💻 computer science

Benchmarking Post-Quantum Cryptography on Resource-Constrained IoT Devices: ML-KEM and ML-DSA on ARM Cortex-M0+

تقدم هذه الورقة أول اختبارات قياسية منهجية لمعايير المعهد الوطني للمعايير والتقنية (NIST) النهائية لما بعد الكوانتم، وهما ML-KEM وML-DSA، على معالج ARM Cortex-M0+ المحدود الموارد، مما يثبت أن ML-KEM-512 أسرع بكثير وأكثر كفاءة في استهلاك الطاقة من ECDH P-256، بينما يكشف عن تباين عالٍ في زمن انتقال التوقيع في ML-DSA بسبب أخذ العينات بالرفض.

المؤلفون الأصليون: Rojin Chhetri

نُشر 2026-03-26

📖 5 دقيقة قراءة🧠 قراءة متعمّقة

CC BY 4.0

المؤلفون الأصليون: Rojin Chhetri

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن لديك مكتبة ضخمة من الأسرار (بياناتك) التي تريد الحفاظ عليها آمنة للـ 20 عاماً القادمة. في الوقت الحالي، تقوم بقفلها في خزنة باستخدام نوع معين من المفاتيح (التشفير الكلاسيكي). ولكن هناك إشاعة مخيفة بأن "لصاً كمياً" سيصل في المستقبل ومعه مفتاح رئيسي يمكنه فتح أي من أقفالك الحالية في ثوانٍ معدودة.

المشكلة هي أن العديد من أقفالك موجودة على أجهزة ستظل تعمل خلال 20 عاماً — مثل العدادات الذكية، أو المستشعرات الطبية، أو أجهزة التحكم في المصانع. هذه الأجهزة صغيرة، رخيصة، وتمتلك قدرات ذهنية ضئيلة جداً (ذاكرة وسرعة معالجة). إنها شرائح "Cortex-M0+" المذكورة في الورقة البحثية.

هذه الورقة هي بمثابة اختبار جهد لمعرفة ما إذا كان بإمكاننا استبدال الأقفال القديمة بأقفال جديدة "مقاومة للكم" (تسمى ML-KEM و ML-DSA) على هذه الأجهزة الصغيرة والرخيصة دون كسرها.

إليك تفاصيل ما وجدوه، باستخدام تشبيهات من الحياة اليومية:

1. الأجهزة: "العامل الصغير الرخيص"

اختبر الباحثون هذه الأقفال الجديدة على شريحة RP2040 (الموجودة في Raspberry Pi Pico).

التشبيه: فكر في الشرائح القديمة القوية (Cortex-M4) كأنها سيارة فورمولا 1. لديها محركات كبيرة، وشواحن توربينية، ويمكنها القيام بعمليات حسابية معقدة بسرعة كبيرة.
أما Cortex-M0+ فهو مثل الدراجة الهوائية. ليس لها تروس، ولا توربو، وعلى الراكب أن يبذل كل الجهد يدوياً. إنها بطيئة، لا تمتلك ميزات متطورة، ومصممة لتكون رخيصة للغاية (أقل من 5 دولارات).
التحدي: هل يمكنك ركوب دراجة هوائية صعوداً في جبل شديد الانحدار (تشفير مقاوم للكم) يتطلب عادةً سيارة رياضية؟

2. الأقفل الجديد: ML-KEM (تبادل المفاتيح)

يُستخدم ML-KEM لإنشاء اتصال سري بين جهازين.

النتيجة: وجد الباحثون أن "الدراجة" (M0+) يمكنها القيام بهذا الأمر بشكل جيد بشكل مفاجئ!
التشبيه: باستخدام الأقفال القديمة (ECDH)، استغرقت الدراجة 617 ميلي ثانية لتبادل المفاتخ. وباستخدام الأقفال الجديدة المقاومة للكم (ML-KEM-512)، استغرقت 35.7 ميلي ثانية فقط.
المفاجأة: الأقفال الجديدة هي في الواقع أسرع بـ 17 مرة وتستهلك طاقة أقل بنسبة 94% من الأقفال القديمة على هذه الشريحة الصغيرة. الأمر يشبه اكتشاف أن التبديل بالدراجة صعوداً في تلة أسهل من قيادة شاحنة ثقيلة في نفس التلة لأن محرك الشاحة غير فعال في التروس الصغيرة.

3. القفل الصعب: ML-DSA (التوقيع الرقمي)

يُستخدم ML-DSA لتوقيع المستندات لإثبات أصالتها (مثل التوقيع الرقمي على عقد).

المشكلة: هذا القفل لديه سمة غريبة. لتوقيع مستند، تحاول الخوارزمية إنشاء توقيع، ثم تتحقق مما إذا كان "جيداً بما يكفي"، وإذا لم يكن كذلك، فإنها ترميه وتحاول مرة أخرى. وهذا ما يسمى "أخذ العينات بالرفض" (Rejection Sampling).
التشبيه: تخيل أنك تحاول رمي كرة عبر طوق.
- الأقفال القديمة: أنت ترمي الكرة، وهي تمر في كل مرة. ثابتة.
- الأقفال الجديدة (ML-DSA): ترمي الكرة. في 90% من الحالات، تمر عبر الطوق. لكن في بعض الأحيان، تصطدم بالحافة، ترتد، وعليك المحاولة مرة أخرى. أحياناً، يتعين عليك المحاولة 10 أو 20 مرة قبل أن تمر أخيراً.
النتيجة: متوسط الوقت جيد، لكن أسوأ سيناريو سيء للغاية.
- بالنسبة لأعلى مستوى أمان، يتم التوقيع في أقل من ثانية في 99% من الحالات. ولكن في 1% من الحالات، يستغرق الأمر أكثر من 1.1 ثانية من قدرة المعالجة لهذه الشريحة الصغيرة لتوقيع شيء واحد فقط.
- لماذا يهم هذا: إذا كنت تتحكم في ذراع روبوت أو مضخة طبية تحتاج إلى استجابة في 100 ميلي ثانية، فإن هذا "الانتظار حتى تمر الكرة عبر الطوق" قد يؤدي إلى تجمد النظام أو تعطلة.

4. مشكلة الذاكرة: "حقيبة الظهر"

الأجهزة الصغيرة لديها ذاكرة (RAM) قليلة جداً.

التشبيه: فكر في الذاكرة كأنها حقيبة ظهر.
- ML-KEM (تبادل المفاتيح): حقيبة الظهر صغيرة. حتى أكبر نسخة منها تتسع بسهولة.
- ML-DSA (التوقيع): حقيبة الظهر تصبح ضخمة. تتطلب أعلى نسخة أمان حقيبة ظهر تشغل 45% من إجمالي ذاكرة الجهاز.
الخلاصة: يمكنك وضع "تبادل المفاتيح" على أي جهاز رخيص تقريباً. ولكن إذا كنت تريد "توقيع" الأشياء بأعلى مستويات الأمان، فأنت بحاجة إلى جهاز بـ "حقيبة ظهر" أكبر قليلاً (ذاكرة أكثر).

5. مقارنة "الدراجة مقابل السيارة الرياضية"

قارن الباحثون بين "الدراجة" (M0+) ونتائج "السيارة الرياضية" (M4) من دراسات أخرى.

النتيجة: كانت "الدراجة" أبطأ بـ 1.8 إلى 1.9 مرة فقط من "السيارة الرياضية".
لماذا؟ عادةً، يعتقد الناس أن الدراجة ستكون أبطأ بـ 5 أو 10 مرات. ولكن لأن رياضيات التشفير الجديدة فعالة للغاية، فإن غياب "الشواحن التوربينية" (ميزات المعالج المتقدمة) لم يؤثر بقدر ما كان متوقعاً. الرياضيات الجديدة جيدة جداً لدرجة أن حتى المعالج البطيء يمكنه التعامل معها.

الخلاصة النهائية

أخبار جيدة: يمكننا حماية أجهزتنا الصغيرة والرخيصة التي ستعمل لـ 20 عاماً ضد المخترقين الكميين في المستقبل. "تبادل المفاتيح" (ML-KEM) سريع، فعال، ويتناسب مع أي شيء تقريباً.
تنبيه: "التوقيع الرقمي" (ML-DSA) غير متوقع بعض الشيء. إنه سريع معظم الوقت، ولكنه يستغرق وقتاً طويلاً أحياناً لإنهاء العملية. إذا كنت تبني نظاماً يحتاج إلى الاستجابة فوراً (مثل سيارة ذاتية القيادة أو منظم ضربات القلب)، فأنت بحاجة إلى التخطيط لتلك "الانتظارات الطويلة" العرضية أو استخدام نوع آخر من التواقيع.
الحكم: الانتقال إلى الأمن المقاوم للكم ممكن حتى على أرخص وأصغر الشرائح التي نستخدمها اليوم. نحن لا نحتاج إلى رمي أجهزتنا القديمة؛ نحن فقط بحاجة إلى تحديث برامجها.

باختصار: تثبت الورقة البحثية أن "الدراجة" يمكنها حمل الثقل الكبير للأمن المستقبلي، طالما أننا نعرف كيف نتعامل مع "التعثرات" العرضية.

إليك ملخص تقني مفصل لورقة البحث بعنوان "تقييم أداء معايير NIST لـ ML-KEM و ML-DSA على معالج ARM Cortex-M0+: الأداء، الذاكرة، والطاقة على شريحة RP2040" للباحث روجين شيتري.

1. بيان المشكلة

يعد الانتقال إلى التشفير ما بعد الكم (PQC) أمراً بالغ الأهمية لأجهزة إنترنت الأشياء (IoT) ذات دورات التشغيل الطويلة (10-20 سنة) لمنع هجمات "احصد الآن، وفك التشفير لاحقاً". وبينما أنهى المعهد الوطني للمعايير والتقنية (NIST) في الولايات المتحدة صياغة المعايير FIPS 203 (ML-KEM) و FIPS 204 (ML-DSA) في أغسطس 2024، كانت هناك فجوة كبيرة في بيانات الأداء لأكثر فئات المعالجات تقييداً من فئة 32 بت: وهو معالج ARM Cortex-M0+.

ركزت الاختبارات المرجعية السابقة (مثل إطار عمل pqm4) على معالج Cortex-M4 الأكثر قدرة. ويفتقر Cortex-M0+ إلى ميزات حيوية للتشفير ما بعد الكم، بما في ذلك تعليمات الضرب 64-بت (UMULL/SMULL)، وتوسعات DSP/SIMD، كما يمتلك سجلات (registers) محدودة. ركزت الدراسات السابقة على أجهزة M0+ على خوارزميات ما قبل مرحلة التقييس (Kyber، Dilithium، Saber) أو ركزت على الحماية من الهجمات الجانبية بدلاً من الأداء الخام. لم تكن هناك عملية تقييم منهجية ومعزولة للمعايير النهائية لـ NIST على هذه البنية المعمارية.

2. المنهجية

أجرى المؤلفون التجارب على Raspberry Pi Pico (RP2040)، الذي يتميز بمعالج ثنائي النواة من نوع ARM Cortex-M0+ يعمل بتردد 133 ميجاهرتز مع 264 كيلوبايت من ذاكرة SRAM و 2 ميجابايت من ذاكرة Flash.

الأجهزة (Hardware): تم استخدام نواة واحدة فقط لإجراء التقييم. وقد لوحظ أن مضاعف 32×32-بت ذو الدورة الواحدة في RP2040 يعد عاملاً رئيسياً في جعل التشفير ما بعد الكم ممكناً على هذه المنصة.
الحزمة البرمجية (Software Stack):
- الخوارزميات: تم استخدام التنفيذات المرجعية بلغة C من PQClean (قبل انتقالها إلى وضع القراءة فقط) لكل من ML-KEM (المستويات 512، 768، 1024) و ML-DSA (المستويات 44، 65، 87).
- المقارنة المرجعية (Baselines): تم تنفيذ الخوارزميات الكلاسيكية (RSA-2048، ECDSA P-256، ECDH P-256) باستخدام مكتبة mbedTLS للمقارنة.
- المترجم (Compiler): تم استخدام arm-none-eabi-gcc (الإصدار 12.2+) مع الخيارات -mcpu=cortex-m0plus -mthumb. لم يتم تطبيق أي تحسينات بلغة التجميع (Assembly) لإنشاء خط أساس نقي بلغة C.
تقنيات القياس:
- التوقيت (Timing): تم القياس عبر مؤقت الأجهزة الخاص بـ Pico SDK بدقة 1 ميكروثانية. تم تشغيل العمليات الحتمية 30 مرة؛ بينما تم تشغيل ML-DSA signing 100 مرة لالتقاط التباين.
- الذاكرة (Memory): تم قياس ذروة استخدام المكدس (Stack) باستخدام تقنية "طلاء المكدس" (stack-painting) (تهيئ المكدس بالقيمة 0xDEADBEEF ثم مسحه للبحث عن أي تجاوزات). تم قياس بصمة ذاكرة Flash عبر أداة arm-none-eabi-size.
- الطاقة (Energy): تم تقديرها باستخدام نموذج طاقة RP2040 (3.3 فولت، تيار نشط 24 مللي أمبير $\approx$ 79.2 مللي واط).
- التحليل الإحصائي: تم تسجيل المتوسط، الحد الأدنى، الحد الأقصى، الانحراف المعياري، معامل الاختلاف (CV)، والمئويات 95 و99.

3. المساهمات الرئيسية

أول اختبارات معزولة: توفير أول مقاييس للزمن، الذاكرة، والطاقة على مستوى الخوارزمية لمعايير ML-KEM و ML-DSA المعتمدة من NIST على معالج Cortex-M0+.
تحليل التباين: توصيف تأثير أخذ العينات بالرفض (rejection sampling) في عملية توقيع ML-DSA، مما كشف عن تباين عالٍ في زمن الاستجية (CV 66–73%) وزمن الاستجابة في أسوأ الحالات.
خريطة جدوى الذاكرة: تحديد متطلبات المكدس وFlash الدقيقة لجميع متغيرات الخوارزميات الست، مما يؤكد جدواها لأجهزة IoT من الفئة الأولى (Class-1) (وتحديداً RP2040).
مجموعة مفتوحة المصدر: إصدار مجموعة اختبارات مرجعية قابلة لإعادة الإنتاج تشمل الكود، السكريبتات، والبيانات الخام.
تصحيح البيانات السابقة: تتضمن الورقة تصحيحاً (erratum) لقياسات استخدام المكدس السابقة لـ ML-DSA-65 و ML-DSA-87، والتي تم تقديرها بأقل من قيمتها سابقاً بسبب تجاوز المكدس أثناء القياس.

4. النتائج الرئيسية

أ. الأداء (التوقيت)

ML-KEM (تغليف المفتاح):
- ML-KEM-512: تستغرق المصافحة الكاملة (KeyGen + Encap + Decap) حوالي 35.7 مللي ثانية.
- المقارنة: هذا أسرع بـ 17 ضعفاً من ECDH P-256 (617 مللي ثانية) على نفس الأجهزة.
- التباين: منخفض للغاية (CV < 1.5%)، مما يؤكد التنفيذ الحتمي.
ML-DSA (التواقيع الرقمية):
- زمن استجابة التوقيع (Signing Latency): متغير للغاية بسبب أخذ العينات بالرفض.
  - ML-DSA-44: متوسط 158.9 مللي ثانية، المئين 99 يصل إلى 489.9 مللي ثانية.
  - ML-DSA-87: متوسط 355.2 مللي ثانية، المئين 99 يتجاوز 1,125.0 مللي ثانية (> ثانية واحدة).
- الآثار المترتبة: التطبيقات ذات الوقت الحقيقي (Real-time) التي تلتزم بمواعيد نهائية صارمة (<100 مللي ثانية) لا يمكنها ضمان توقيت التوقيع دون آليات حساب مسبق أو إعادة محاولة.
العبء المعماري: يعاني Cortex-M0+ من تباطؤ قدره 1.8–1.9× فقط مقارنة بـ Cortex-M4 (عند تشغيل مرجع C). وهذا أقل من العقوبة المفترضة (3–7×)، ويرجع ذلك أساساً إلى امتلاك RP2040 لمضاعف ذي دورة واحدة وعدم استغلال كود C المرجعي لتعليمات SIMD الخاصة بـ M4.

ب. استهلاك الطاقة

ML-KEM-512: تستهلك 2.83 مللي جول لكل عملية مصافحة.
المقارنة: هذا يمثل توفيراً بنسبة 94% في الطاقة مقارنة بـ ECDH P-256 (48.9 مللي جول). حتى ML-KEM-1024 (6.79 مللي جول) أكثر كفاءة بـ 7.2 مرة من ECDH.
التواقيع: يستهلك ML-DSA-44 حوالي 19.2 مللي جول مقابل 39.4 مللي جول لـ ECDSA P-256.

ج. بصمة الذاكرة

ML-KEM: يتناسب تماماً مع ذاكرة 264 كيلوبايت من SRAM.
- ذروة مكدس ML-KEM-512: حوالي 9.4 كيلوبايت.
- ذروة مكدس ML-KEM-1024: حوالي 20.0 كيلوبايت.
ML-DSA: أكثر استهلاكاً للذاكرة بشكل ملحوظ.
- يتطلب توقيع ML-DSA-87 مكدساً بحجم 119.6 كيلوبايت (حوالي 45% من إجمالي SRAM).
- الجدوى: جميع المتغيرات تتسع في RP2040، ولكن ML-DSA-87 يتطلب إدارة دقيقة لتخصيص المكدس.

5. الأهمية والآثار المترتبة

الجدوى لأجهزة IoT من الفئة الأولى (Class-1): تثبت الدراسة أن التشفير القائم على الشبكات (Lattice-based PQC) عملي على معالجات أقل من 5 دولارات (Cortex-M0+) اليوم. ML-KEM عالي الكفاءة ومناسب لتبادل المفاتيح في الأجهزة المقيدة.
قيود ML-DSA: رغم جدواها، فإن الطبيعة غير الحتمية لتوقيع ML-DSA تفرض تحديات على حلقات التحكم في الوقت الحقيقي (Real-time control loops). يجب على الأنظمة تنفيذ منطق المهلة/إعادة المحاولة أو استراتيجيات الحساب المسبق.
مسار الهجرة: توفر النتائج خط أساساً ملموساً للمهندسين الذين ينتقلون من ECC إلى PQC. الحجج المتعلقة بتوفير الطاقة (حتى 94%) وتحسين السرعة (17× لتبادل المفاتيح) هي حجج قوية لاعتماد هذه التقنيات حتى على الأجهزة منخفضة التكلفة.
السياق الأمني: تشير الورقة إلى أنه بينما الأداء قابل للتطبيق، فإن مقاومة الهجمات الجانبية (مثل Masking) تضيف عبئاً كبيراً (حوالي 10 أضعاف) وتظل مجالاً حيوياً للعمل المستقبلي.

الخاتمة

تملأ هذه الورقة فجوة حرجة في مشهد التشفير ما بعد الكم (PQC) من خلال التحقق من أن معايير ML-KEM و ML-DSA النهائية من NIST يمكنها العمل بكفاءة على أكثر معالجات IoT (32-bit) تقييداً. وبينما يعد ML-KEM جاهزاً للنشر الفوري مع مقاييس أداء وطاقة ممتازة، فإن ML-DSA يتطلب اعتبارات معمارية فيما يتعلق بتباين زمن الاستجابة وإدارة الذاكرة. وتخلص الورقة إلى أنه يمكن التخفيف من تهديد "احصد الآن، وفك التشفير لاحقاً" حتى بالنسبة للأجهزة الأكثر تقييداً في الموارد.