UM HARDWARE IP PARA CRIPTOGRAFIA NO PADRÃO AES-RIJNDAEL

Transcrição

1 UM HARDWARE IP PARA CRIPTOGRAFIA NO PADRÃO AES-RIJNDAEL Alessandro Girardi, Cláudio Menezes, Cristiano Lazzari, Fernando Paixão Cortes, Juan P. M. Brito, Renato Hentschke, Renato Ubiratan, Ricardo Reis. [girardi, clazz, fpcortes, renato, juan, Universidade Federal do Rio Grande do Sul - UFRGS Instituto de Informática Cx. Postal Av. Bento Gonçalves, Campus do Vale - Bloco IV Bairro Agronomia - Porto Alegre - RS - Brasil RESUMO Este trabalho apresenta uma alternativa de implementação em ASIC do algoritmo de criptografia Rijndael. O uso de hardware provê desempenho adequado para diversas implementações, nas quais o uso de software não atinge os requisitos necessários. Foi desenvolvido um modelo de arquitetura procurando um equilíbrio entre economia de área, alto desempenho e baixo consumo. A partir de uma estimativa inicial de área baseada no número de transistores, foi feita a planta baixa do core do circuito. A versão do IP em implementação usa a tecnologia AMS 0,35?m. 1. INTRODUÇÃO A comunicação entre sistemas computacionais/eletrônicos demanda cada vez mais o uso de criptografia para permitir transações seguras. Uma possível solução é utilizar um processador e uma implementação em software de algum algoritmo de criptografia. Porém, esta solução peca por desempenho e potência, não atendem cada vez mais as especificações de desempenho de um sistema compoutacional/eletrônico. Desta forma, o desenvolvimento de soluções implementadas em hardware mostra-se interessante e de baixo custo. O algoritmo Rijndael foi recentemente aprovado pelo NIST (National institute of Standards and Technology) como algoritmo de criptografia padrão [01][02], substituindo o algoritmo DES (Data Encription Standard). Ele foi desenvolvido por Joan Daemen e Vincent Rijmen [03][04], sendo escolhido por possuir características favoráveis em relação a desempenho, segurança e flexibilidade com tamanho de blocos de dados a serem criptogradados e da chave de criptografia. Os tamanhos para blocos de dados e chaves podem ser de 128, 192 e 256 bits, sendo que o tamanho escolhido para utilização na execução do algoritmo deve ser padrão entre o tamanho de bloco e de chave. Em [05][06][07] tem-se implementações do algoritmo Rijndael em VHDL e sintetizada em FPGA. Este trabalho trata em uma implementação em ASIC do mesmo algoritmo, baseado na implementação citada anteriormente. Este artigo está organizado da seguinte maneira: a sessão 2 dá uma breve descrição do algoritmo Rijndael; a sessão 3 apresenta a arquitetura, com a estimativa do floorplaning; a sessão 4 discute a continuação do trabalho e na sessão 5 algumas conclusões. 2. O ALGORITMO RIJNDAEL O algoritmo Rijndael consiste em uma aplicação sucessiva de operações, repetidas em um número fixo de iterações, sobre um dado de entrada e uma chave, que é alterada a cada iteração. Chama-se de estado o dado atual que se está sendo trabalhado. O estado é organizado em forma de tabela, como mostra a figura 1. Cada célula contém 8 bits; a palavra de 128 bits é formada por A0, A1,...,A15 A0 A1 A2 A3 A4 A5 A6 A7 A8 A9 A10 A11 A12 A13 A14 A15 Figura 1 O estado do algoritmo Rijndael Basicamente dois módulos compõem o algoritmo: um destinado a, dada uma chave de entrada, gerar as demais chaves que serão usadas pelo algoritmo; outro com o objetivo de transformar o dado de entrada em dado criptografado. O algoritmo é capaz de criptografar

2 pacotes de dados de tamanho fixo, definidos pela implementação. O tamanho de pacotes utilizado é de 128 bits com possibilidade de alteração para os demais tamanhos em caracter de avaliação. A Figura 2 mostra o diagrama do algoritmo Rijndael com as etapas de expansão da chave e de criptografia do dado de entrada. em conjunto com uma das chaves geradas na etapa de expansão da chave. As quatro etapas do algoritmo são os seguintes:?? ByteSub?? ShiftRow?? MixColumn?? AddRoundKey A figura 3 mostra a ordem em que as operações são realizadas. Figura 2 Esquemático do Algoritmo O número de chaves geradas a partir da expansão da chave inicial está diretamente relacionado com o tamanho do pacote de entrada para o algoritmo de criptografia. Para o tamanho de pacote implementado neste trabalho (128 bits), são geradas 10 novas chaves no processo de expansão. Cada uma destas chaves é utilizada numa etapa do processo de criptografia. A execução do algoritmo de expansão da chave pode ser realizada de duas formas. A primeira maneira é, a cada etapa, gerar uma nova chave a partir da anterior, imediatamente antes de utilizá-la. Outra possibilidade é executar a expansão das chaves inicialmente e, após gerar e armazenar as 10 novas chaves, iniciar a execução do restante do algoritmo de criptografia. A escolha neste trabalho foi gerar as chaves inicialmente. Os motivos que levaram a escolha desta opção foram:?? O tempo de expansão de uma única chave é maior que o tempo de execução de uma etapa do algoritmo. Este fator influencia diretamente o tempo de criptografia do dado de entrada.?? Na utilização prática do algoritmo, a alteração da chave de entrada acontece em eventos bastante espaçados no tempo. No momento em que as todas as chaves estão prontas para utilização, não existe a necessidade de executar o algoritmo de expansão da chave cada vez que um novo dado de entrada é inserido. A etapa de expansão da chave consiste em gerar chaves a partir de chaves anteriores, sendo que a primeira chave gerada é a própria chave inicial. A etapa responsável pela encriptação dos dados, por sua vez, é dividida em quatro sub-etapas aplicadas ao dado de entrada. Cada uma dessas quatro sub-etapas é executada Figura 3 As etapas do round O algoritmo Rijndael utiliza constantes armazenadas em uma tabela para substituir os dados e criar um novo vetor de dados. Esta operação é conhecida como ByteSub. O agrupamento de bytes dos dados a serem criptografados são conhecidos como linhas. A aplicação de shifts nessas linhas é conhecida como ShiftRow. Na etapa de MixColumn, são executadas uma série de deslocamentos de bits e aplicações de XORs lógicos em conjuntos de 4 bytes. Esta operação é executada em conjunto com cada chave gerada, exceto na ultima execução. A etapa chamada de AddRoundKey consiste em fazer um XOR lógico entre a chave 0 e o dado a ser criptografado. Esta operação é realizada a cada etapa do algoritmo de criptografia utilizando uma chave diferente 3. ARQUITETURA A partir do código VHDL de [06][07] e de leituras de [01] [02] foi desenvolvida a arquitetura do circuito cifrador do algoritmo de critografia Rijndael com chave e dados de 128 bits. A figura 4 mostra a sua visão global Key Expansion A implementação deste módulo procura minimizar área, preocupando-se pouco com o desempenho, já que esta etapa será realizada apenas uma vez para várias execuções do algoritmo.

3 Para armazenar as chaves, optou-se utilizar uma memória RAM estática. Existem dois registradores temporários de 128 utilizados para realizar os cálculos necessários. Para transformar os dados, existem três portas Xor de 8 bits para fazer transformações, uma ROM de 256 palavras e uma outra ROM de 10 palavras. Por economia, utiliza-se a mesma ROM de 256 palavras da etapa ByteSub. primeiro estado, porém, é uma espera por requisições de chaves a serem lidas na RAM e o algoritmo passa a maior parte do tempo neste estado. Os demais estados são acionados somente quando houver uma modificação na chave inicial, sendo necessário gerar as chaves novamente Byte Sub Esta etapa é simplesmente uma consulta a uma tabela, que recebe como entrada um byte e retorna outro como seu substituto. Esta consulta deve ser realizada por todos os 128 bytes da palavra de estado do algoritmo Rijndael. Esta tabela é implementada por uma ROM. Diferente do KeyExpansion, no projeto do Byte Sub devese preocupar com desempenho, pois a velocidade de suas operações influenciam diretamente no throughput de encriptação/desencriptação. Portanto, decidiu-se utilizar 4 ROMs colocadas lado a lado, como mostra a figura 6. Figura 4 Visão global da arquitetura Para facilitar a organização da arquitetura, utiliza-se um módulo chamado Transf, que é responsável por boa parte da transformação dos dados (dois acessos a ROM e duas Xors). A figura 5 contém o esquemático simplificado da arquitetura da parte operativa. Figura 6 Esquemáticos do Byte Sub. Para desenhar a ROM é utilizada uma ferramenta geradora de ROMs chamada YAROG [08] Shift Row Esta etapa opera sobre o estado atual fazendo deslocamentos nas linhas da matriz. Para implementar estas transformações deve-se rotear a saída do Byte Sub de forma deslocada Mix Column O Mix Column é um bloco que opera sobre as colunas da palavra de estado. É totalmente combinacional. Suas operações básicas são Xors e seleções com multiplexadores. Figura 5 Diagrama Esquemático do Key Expansion. A etapa Key Expansion ainda possui um bloco de controle próprio. No total, o controle possui 24 estados. O 3.5. Add Round Key Esta etapa é simplesmente uma xor de 128 bits entre o estado e a chave do round atual, vinda do Key Expansion como mostra a figura 3.

4 4. ESTIMATIVA DE TAMANHO E PLANEJAMENTO TOPOLÓGICO A fim de realizar o planejamento topológico do circuito foi feita uma estimatimativa inicial da área, baseada no número de transistores de cada bloco. A estimativa considera: 14 transistores para cada flipflop, 4 para cada porta nand, 6 para cada porta xor e 6 para cada Mux 2x1. No caso do Key Expansion, a quantidade de transitores tem-se, além das células lógicas uma ROM que tem, aproximadamente, 150 transistores, e uma RAM que tem, aproximadamente, 8000 transistores. No caso do Byte Sub, tem-se quatro ROMs, de aproximadamente 1300 transitores cada. Somando as quatro ROMs e o bloco combinacional tem-se um total de 8400 transistores. A tabela 1 mostra os dados finais da estimativa de número de transistores. Tabela 1 Estimativa de transistores Bloco Nº de transistores Key Expansion Byte Sub (Total) 8400 Shift Row 0 Mix Column 3000 Add Round Key 1600 Controle 100 A figura 7 mostra a planta baixa do core do cicrcuito realizada com base nas estimativas da tabela 1. A partir da planta baixa e da arquitetura o próximo passo será a implementação do layout de cada bloco na tecnologia AMS 0.35?m. Em paralelo pretende-se fazer a síntese a partir do código VHDL a fim de comparar as duas soluções e também comparar com a solução em FPGA de [06][07]. 5. CONCLUSÕES Este trabalho apresenta uma alternativa de implementação em ASIC do algoritmo de criptografia Rijndael. A arquitetura foi desenvolvida procurando um equilíbrio entre economia de área, alto desempenho e baixo consumo. A partir de uma estimativa inicial de área baseada no número de transistores, foi feita a planta baixa do core do circuito O próximo passo será a implementação do layout do circuito na tecnologia AMS 0.35?m. O trabalho apresenta, ainda, diversas possibilidades a serem exploradas e novos resultados devem ser obtidos em um futuro próximo. 6. REFERENCIAS [01] NIST. Advanced Encryption Standard (AES). Página oficial do NIST sobre o AES Disponível em [02] NIST. Overview of the AES Development Effort. Página oficial do NIST, discutindo a história do desenvolvimento, disponível em view. [03] DAEMEN, Joan e RIJMEN, Pawel. The block cipher Rijndael. Página oficial do Rijndael, disponível em [04] DAEMEN, Joan e RIJMEN, Pawel. AES Proposal: Rijndael. Arquivo ZIP, disponível em daeldocv2.zip (30 Jul. 2001) Figura 7 Planta baixa do core do circuito (Sem Pads) 4. CONTINUAÇÃO DO TRABALHO [05] MROCZKOWSKI, Piotr. Implementation of the block cipher Rijndael using Altera FPGA. Arquivo PDF, disponível em pmroczkowski.pdf

5 [06] BARCELOS, Marcelo; PANATO, Alex e REIS, Ricardo. Design Case: optimized performance and area implementation of Advanced Encryption Standard in Altera devices. Artigo aceito para o DesignCon [07] BARCELOS, M; PANATO, Alex e REIS, Ricardo. Um IP de criptografia padrão Rijndael para projetos em fpga. Artigo submetido para avaliação IberChip/2002. [08] CORTES, F. P. GIRARDI, A. HENTSCHKE, R. YAROG: Um gerador de memória ROM livre de tecnologia. Artigo submetido para avaliação Iberchip/2002. OBS: O trabalho sendo aceito, pretendemos acrescentar maiores detalhes sobre a implementação física do ASIC.