Crypto-RV: High-Efficiency FPGA-Based RISC-V Cryptographic Co-Processor for IoT Security

Technische Zusammenfassung von Crypto-RV: Hocheffizienter FPGA-basierter RISC-V Kryptographie-Coprozessor

Problemstellung
Kryptographische Operationen sind essenziell für die Absicherung von IoT, Edge-Computing und autonomen Systemen. Bestehende RISC-V-Plattformen leiden jedoch unter einem Mangel an effizienter Hardware-Unterstützung für umfassende Kryptographie-Algorithmenfamilien, insbesondere bei der Integration von Post-Quanten-Kryptographie (PQC). Aktuelle Lösungen stehen vor signifikanten Einschränkungen: Befehlssatzerweiterungen verbleiben oft auf der ISA-Ebene ohne konkrete Mikroarchitekturen; softwareoptimierte Implementierungen nutzen generische Pipelines, was den Durchsatz für Multi-Algorithmen begrenzt; und bestehende Hardware-Beschleuniger verfügen entweder nicht über eine enge CPU-Integration, unterstützen nur eine begrenzte Auswahl an 32-Bit-Algorithmen oder versäumen es, das Scheduling für Large-Hash- und Tree-Hash-Workloads zu optimieren. Darüber hinaus erleben konventionelle RISC-V-Kerne während kryptographischer Kernel schwere Speicherengpässe, wobei 70–85 % der Ausführungszyklen durch Load/Store-Operationen statt durch Berechnungen konsumiert werden – ein Problem, das durch Multi-Hash-Workloads wie Merkle-Bäume und SPHINCS+ noch verschärft wird.

Methodik und Architektur
Das Paper schlägt Crypto-RV vor, einen hocheffizienten RISC-V-Coprozessor, der darauf ausgelegt ist, die Unterstützung für SHA-256, SHA-512, SM3, SHA3-256, SHAKE-128, SHAKE-256, AES-128, HARAKA-256 und HARAKA-512 innerhalb eines einzigen 64-Bit-Datenpfads zu vereinheitlichen. Implementiert auf einem Xilinx ZCU102 FPGA, integriert das System ein Processing System (PS) mit einem ARM Cortex-A53 CPU und eine Programmable Logic (PL), die den Coprozessor beherbergt.

Die Architektur stützt sich auf drei primäre Innovationen:

1. Hochbandbreitiger interner Puffer (128×64-Bit): Um Speicherengpässe zu adressieren, verwendet Crypto-RV einen eng gekoppelten internen Puffer. Anstatt wiederholt auf den externen Speicher für Zwischenzustände und Nachrichtenblöcke zuzugreifen, initialisiert der Prozessor den Puffer einmalig mit Konstanten und Nachrichtenwörtern. Dies ermöglicht es, dass Zwischenzustände während der gesamten Rundensequenz on-chip verbleiben. Kundenspezifische Datentransfer-Instruktionen ermöglichen Massentransfers von bis zu 128 Wörtern, wodurch die hochbandbreitige Intra-Round-Datenwiederverwendung von den niederbandigen Off-Chip-Zugriffen entkoppelt wird. Dies reduziert die Anzahl der Load/Store-Instruktionen und ermöglicht es kryptographisch spezialisierten Einheiten, nach der Aufwärmphase eine Pipeline-Iteration pro Zyklus zu erreichen.

2. Kryptographie-spezialisierte Ausführungseinheiten: Der Coprozessor nutzt vereinheitlichte, gepipelte Engines, um funktionale Ressourcen über mehrere Algorithmen hinweg zu teilen und gleichzeitig einen kurzen kritischen Pfad beizubehalten:

   • Vereinheitlichte SM3/SHA-256/SHA-512 Einheit: Eine vierstufige Pipeline, die Addierer und Modus-Selektions-Multiplexer teilt. Im SHA-512-Modus verarbeitet sie einen 1024-Bit-Block pro Zyklus; im SHA-256/SM3-Modus verarbeitet der 32-Bit-Datenpfad zwei Blöcke parallel, was den Durchsatz effektiv verdoppelt, während über 80 % der arithmetischen Ressourcen geteilt werden.
   • Vereinheitlichte AES-128/HARAKA-256/512 Einheit: Eine vierstufige Pipeline, welche die vollständigen Haraka-Berechnungen beschleunigt, einschließlich der Generierung von Rundenkostanten (RC) aus Seed-Keys (SK) und öffentlichen Schlüsseln (PK). Dies eliminiert den RC-Engpass, der herkömmliche Teilimplementierungen plagt, und ermöglicht eine vollständige Beschleunigung für Hash-basierte Signaturen wie SPHINCS+.
   • Vereinheitlichte SHA3-256/SHAKE-128/256 Einheit: Eine zweistufige, ungerollte Struktur, die zwei aufeinanderfolgende Keccak-Runden pro Taktzyklus verarbeitet. Dies reduziert die effektive Iterationstiefe von 24 auf 12 Runden, was die Latenz im Vergleich zu Single-Round-Designs halbiert, während das Timing-Closure bei 160 MHz gewahrt bleibt.

3. Double-Buffering-Mechanismus: Um die Durchsatzdifferenz zwischen spezialisierten Kernen und den Subsystemen zu überwinden, implementiert Crypto-RV ein hierarchisches Double-Buffering-Schema zwischen einem 1024×64-Bit Data Memory (DM) und dem 128×64-Bit internen Puffer. Dies ermöglicht es, dass frische Daten via DMA in den Puffer gestreamt werden, während die Berechnung am aktuellen Block weiterläuft, wodurch ein perfekter Compute-DMA-Overlap ($T_{total} \approx T_{compute}$) erreicht wird. Dies unterstützt kontinuierliche Multi-Block-Hashing- und Many-Hash-Workloads ohne das Anhalten der Pipeline.

Experimentelle Ergebnisse
Crypto-RV wurde auf einem Xilinx ZCU102 FPGA bei 160 MHz mit einer dynamischen Leistungsaufnahme von 0,851 W implementiert. Das Design belegt 34.704 LUTs, 37.329 FFs und 22 BRAMs.

• Beschleunigung gegenüber der Baseline: Im Vergleich zu einem Basis-RISC-V-Kern erzielt Crypto-RV Beschleunigungen zwischen 165× und 1.061×. Insbesondere sehen SHA-256/512/SM3 Verbesserungen von 660×/604×/789×, während AES-128 und HARAKA-256/512 Gewinne von 965×/1.061×/780× erreichen.
• Energieeffizienz: Im Vergleich zu leistungsstarken CPUs (Intel i9-10940X, Intel i7-1270-H und ARM Cortex-A53) demonstriert Crypto-RV eine überlegene Energieeffizienz (gemessen in Mbps/W). Es erreicht eine 5,8× bis 17,4× bessere Effizienz als der Intel i9-10940X, wobei SHA-512 einen Spitzenwert von 11,8× erreicht (187,08 Mbps/W gegenüber 15,89 Mbps/W).
• Vergleich mit früheren RISC-V Arbeiten: Crypto-RV reduziert die Zyklen pro Byte im Vergleich zu verwandten RISC-V-Beschleunigern signifikant. Beispielsweise ist es 56,70× schneller als das Referenzdesign [11] für SHA-256 und bis zu 1.291× schneller als Design [13] für SHA-512. Es erreicht konsistent 2,0 bis 4,1 Zyklen/Byte über alle unterstützten Algorithmen hinweg.

Bedeutung und Ansprüche
Das Paper behauptet, dass Crypto-RV eine praktikable, hochperformante und energieeffiziente Lösung für die kryptographische Verarbeitung in ressourcenbeschränkten IoT-Umgebungen bietet. Durch die Vereinheitlichung der Unterstützung für Standard-Hash-Funktionen, Block-Chiffren und Post-Quanten-Primitive (HARAKA) in einem einzigen 64-Bit-Datenpfad transformiert die Architektur kryptographische Operationen von einer speichergebundenen zu einer berechnungsgebundenen Ausführung. Die Autoren betonen, dass die Fähigkeit des Designs, Large-Hash- und Tree-Hash-Operationen ohne Speicherstalls zu handhaben, es besonders geeignet für aufkommende PQC-Anwendungen macht. Darüber hinaus positioniert das Paper Crypto-RV als flexible Hardware-Plattform, die in zukünftiger Arbeit durch spezialisierte Tree-Hash-Kerne erweitert werden kann, um die SPHINCS+-Signaturgenerierung vollständig zu beschleunigen, und schafft damit eine Grundlage für quantensichere IoT-Sicherheit.