Шесть ключевых инноваций, ускоряющих производительность криптографического железа

Чтобы воплотить криптографию завтрашнего дня, отрасли нужно сочетать изобретательные аппаратные улучшения с программными оптимизациями, сокращающими вычислительные затраты. Хорошая новость? Мы строим на прочной основе проверенных технологий.

В ближайшем будущем шифрование станет повсеместным — от списков покупок до медицинских записей. Это обещание вдохновляет, но криптографический ландшафт остается волатильным. Сегодняшняя миссия — защитить данные от угроз, которые возникнут в ближайшем десятилетии.

Каждый байт данных может пройти через множество криптографических операций, пока он проходит через программные, сетевые и хранилищные слои. Эти слои защищают критические бизнес-функции, но также представляют самые вычислительно интенсивные задачи в современном железе. По мере роста объемов данных и перехода организаций на более крупные размеры ключей и мульти-алгоритмные наборы, спрос на криптографические вычисления продолжает резко расти.

Для решения проблемы «стоимости вычислений» аппаратный сектор внедрил новые микроархитектурные улучшения, наборы инструкций фиксированной функции и программные оптимизации. Яркий пример — набор инструкций AES-NI, который драматически сократил такты CPU, необходимые для Advanced Encryption Standard и других алгоритмов FIPS. За последнее десятилетие эти достижения способствовали широкому внедрению надежного шифрования в предприятиях.

Квантовые вычисления угрожают как симметричным, так и асимметричным алгоритмам. В то время как расширение размеров ключей с 128 до 256 бит усиливает AES против квантовых атак, оно также повышает вычислительные накладные расходы. Точно так же RSA и ECDSA, вероятно, устареют. Вместо «смерти от квантов» отрасль поворачивает к постквантовой криптографии (PQC) со стандартами, балансирующими безопасность, размер ключа, хранение и производительность. Конкурс NIST PQC уже демонстрирует несколько многообещающих кандидатов.

Переход на квантоустойчивые алгоритмы будет постепенным; устаревшие схемы будут сосуществовать, пока новые стандарты не докажут свою безопасность и экономическую целесообразность. До тех пор организации осторожно будут внедрять более сильное шифрование только тогда, когда штрафы по производительности приемлемы.

Ниже приведены шесть трансформационных инноваций, ускоряющих завтрашние криптографические возможности уже сегодня:

TLS работает в двух фазах. При инициации сессии клиент использует метод с открытым ключей (обычно RSA) для обмена секретным ключом. Модулярное возведение в степень RSA вычислительно дорого, потребляя большую долю тактов процессора. Комбинирование RSA с эллиптической криптографией (ECC) и совершенной прямой секретностью дает более сильную безопасность при меньших затратах.

В фазе передачи данных TLS шифрует пакеты и аутентифицирует их через MAC. Наборы шифров вроде AES-GCM объединяют шифрование и аутентификацию, снижая задержки round-trip и упрощая реализацию. Оптимизированные пути массовых данных в современных CPU дополнительно повышают пропускную способность.

Для ускорения арифметики больших чисел вендоры теперь поставляют специализированные наборы инструкций. Процессоры Intel Ice Lake, например, поддерживают AVX512_INTEGER_FMA (AVX512_IFMA), который умножает восемь 52-битных беззнаковых целых чисел параллельно и добавляет результат к 64-битному аккумулятору. В сочетании с мультибуферной обработкой эти инструкции дают значительный прирост скорости для RSA, ECC и других операций с открытым ключом.

Два векторных расширения повышают производительность AES: векторизованный AES (VAES) и векторизованное переносо-свободное умножение. VAES обрабатывает до четырех 128-битных блоков одновременно, используя 512-битные ZMM-регистры, что выгодно для всех режимов AES. Расширение переносо-свободного умножения ускоряет хеширование Галуа, тем самым ускоряя AES-GCM.

Новые расширения SHA ускоряют SHA-256, выполняя несколько раундов за инструкцию. Эти улучшения позволяют больше рабочих нагрузок хеширования — критически важных для проверок целостности, вывода ключей и операций блокчейн — без жертв производительности.

Введенная в 2010 году, сшивка функций объединяет два традиционно последовательных алгоритма (например, AES-CBC и SHA-256) в одну интерливированную рутину. Перекрывая зависимости данных и задержки инструкций, исполнительные блоки CPU остаются заняты, давая более высокую пропускную способность, чем раздельные конвейеры.

Мультибуферинг запускает несколько независимых потоков данных параллельно. В паре с SIMD-инструкциями (AVX/AVX2/AVX512) он драматически улучшает пропускную способность для хеширования и симметричного шифрования даже на процессорах без нативной векторной поддержки. По мере роста объемов данных эта техника станет необходимой для поддержания производительности.

Квантовые вычисления придут раньше, чем мы ожидаем. Мышление отрасли смещается от «Стоит ли шифровать?» к «Почему эти данные не зашифрованы?». Комбинируя аппаратные достижения с алгоритмическими и программными инновациями, мы можем встретить вызовы постквантового мира и ускорить внедрение криптографических схем следующего поколения.

Ваджи Фегали — Intel Fellow.

>> Эта статья изначально публиковалась на нашем партнерском сайте EE Times.

Связанные материалы:

• Оценка модели безопасности IoT против отраслевых базовых линий
• Руководство по безопасному подключению IoT-устройств к облаку
• Основы SRAM PUF и как развернуть его для безопасности IoT
• Введение в конфиденциальные вычисления на грани для безопасности IoT
• IoT Security – Криптография
• Понимание элементов управления безопасностью NIST Framework

Для получения дополнительных материалов Embedded подпишитесь на еженедельную рассылку.