BipBipCache: Pipeline-Aware Integration of Low-Latency Tweakable Encryption in an Embedded Cache Controller

Resumen Técnico: BipBipCache – Integración de Cifrado Ajustable de Baja Latencia con Conciencia de Pipeline en un Controlador de Caché Embebido

Planteamiento del Problema
Los procesadores de consumo y embebidos almacenan frecuentemente datos sensibles (credenciales, datos personales, secretos de firmware) en cachés SRAM integradas en el chip. A diferencia de la memoria principal, el contenido de estas cachés suele no estar cifrado en las microarquitecturas comerciales, lo que las deja vulnerables a ataques de arranque en frío (cold-boot), sondeo directo de SRAM y observación externa de los buses de memoria. Aunque existen protecciones de software, estas suelen imponer una sobrecarga inaceptable para plataformas embebidas de bajo costo. Las contramedidas de hardware existentes, como ScatterCache y SCARF, abordan los canales laterales microarquitectónicos (p. ej., Prime+Probe) mediante la aleatorización de la caché, pero no proporcionan confidencialidad contra la lectura física. Existe la necesidad de una solución de hardware transparente y de baja latencia que cifre los datos y las etiquetas de la caché para proteger contra ataques físicos y a nivel de bus sin incurrir en penalizaciones de rendimiento prohibitivas.

Metodología
Los autores proponen BipBipCache, un controlador de caché de mapeo directo que integra el cifrado de bloques ajustable (TBC) BipBip para cifrar tanto los datos como las etiquetas de la caché en tiempo real. El diseño se basa en tres componentes metodológicos principales:

1. Mapeo Criptográfico (Descomposición Estilo C3): BipBip opera sobre bloques de 24 bits con ajustes (tweaks) de 40 bits, lo cual no se alinea de forma nativa con las palabras de caché estándar de 64 bits. Los autores adoptan una estrategia de descomposición inspirada en la Computación de Capacidades Criptográficas (C3). Cada palabra de caché de 64 bits se divide en un segmento de texto plano de 24 bits y un contexto de ajuste de 40 bits derivado de los bits restantes. El segmento de 24 bits se cifra, mientras que los bits de ajuste de 40 bits pasan sin cambios, vinculando el texto cifrado al endereço de memoria o contexto específico sin expandir el tamaño de la palabra.
2. Encriptador Pipelined de Ingeniería Inversa: La especificación oficial de BipBip proporciona un descifrador de 3 ciclos, pero carece de un encriptador optimizado para hardware. Los autores realizaron ingeniería inversa de las funciones de ronda centradas en el descifrador para construir el primer encriptador BipBip en pipeline en VHDL. Este encriptador opera con una latencia de 6 ciclos, en comparación con la latencia de 3 ciclos del descifrador.
3. Diseño de Controlador con Conciencia de Pipeline: Para mitigar la latencia de cifrado de 6 ciclos durante las operaciones de escritura, el controlador aprovecha la asimetría entre el cifrado y el descifrado. La ruta de escritura almacena en búfer el texto plano mientras la ruta de la etiqueta realiza simultáneamente la detección de aciertos (hit detection) mediante el descifrador de etiquetas de 3 ciclos. Los primeros tres ciclos del proceso de cifrado se superponen con la verificación de la etiqueta y la detección de aciertos. En consecuencia, la señal de habilitación de escritura (write enable) se activa solo después de la confirmación del acierto (ciclo 3), lo que significa que el proceso de cifrado ya está en marcha. Esto resulta en una penalización de escritura efectiva de solo 3 ciclos adicionales tras la verificación del acierto, en lugar de un estancamiento (stall) completo de 6 ciclos.

Contribuciones Clave
El artículo detalla cuatro contribuciones principales:

• Primer Encriptador BipBip de Hardware: La reconstrucción de un encriptador en pipeline de 6 ciclos en VHDL, verificado contra la implementación de referencia oficial en C++.
• Prototipo de Caché Cifrada: Un controlador de caché de mapeo directo que integra tres instancias de BipBip (cifrado de datos, descifrado de datos y descifrado de etiquetas) con un esquema de mapeo 64-bit-a-(24+40) documentado.
• Análisis de Superposición de Pipeline: Una demostración de cómo el descifrado de la ruta de la etiqueta puede sincronizarse con el encriptador para ocultar parte de la latencia de escritura, reduciendo la comisión de escritura efectiva a 3 ciclos tras el acierto.
• Evaluación en FPGA: Resultados exhaustivos de síntesis e implementación en dispositivos Xilinx Artix-7, incluyendo métricas de utilización de recursos y verificación funcional a nivel de placa.

Resultados
El diseño fue implementado y verificado utilizando AMD Vivado 2025.2 y probado en FPGAs Xilinx Artix-7 (específicamente la placa Nexys A7).

• Corrección: Tanto el banco de pruebas del encriptador como el del descifrador coincidieron con la referencia oficial de BipBip en C++ en cinco vectores de verificación.
• Latencia: Las pruebas de pipeline confirmaron las latencias esperadas de 6 ciclos para el cifrado y 3 ciclos para el descifrado.
• Utilización de Recursos: En un Artix-7 (xc7a35tcpg236-1), el diseño utilizó 3,356 Slices LUTs (16.1% del dispositivo), donde la lógica criptográfica representó aproximadamente el 79% del uso de LUTs. El diseño opera a 100 MHz en simulación y en hardware.
• Verificación de Extremo a Extremo: Las pruebas a nivel de placa confirmaron la exitosa ida y vuelta del cifrado y descifrado de las palabras y etiquetas de la caché, con las salidas descifradas coincidiendo con las entradas de texto plano originales.

Significancia y Reclamaciones
Los autores posicionan a BipBipCache como un estudio de viabilidad que demuestra que los cifrados de bloques ajustables de ultra baja latencia pueden integrarse en controladores de caché embebidos con una sobrecarga de pipeline acotada. El trabajo destaca que, si bien el tamaño de bloque pequeño de BipBip (24 bits) requiere un mapeo cuidadoso para palabras de caché completas, la arquitectura resultante protege con éxito el contenido residente en la caché contra ataques de arranque en frío y de lectura física.

El artículo establece explícitamente sus limitaciones:

• Alcance de Seguridad: Protege la confidencialidad contra la lectura física, pero no mitiga los canales laterales microarquitectónicos (que requieren cachés aleatorizadas).
• Integridad: El sistema proporciona metadatos con evidencia de manipulación (etiquetas cifradas), pero no ofrece autenticación fuerte o MACs contra adversarios activos.
• Margen Criptográfico: Los autores reconocen que el margen de seguridad teórica de BipBip es ajustado tras el criptoanálisis de rondas completas, y que solo 24 bits por palabra están fuertemente permutados.
• Trabajo Futuro: Los autores sugieren direcciones futuras, que incluyen la sustitución de primitivas (p. ej., QARMA, MANTIS), la protección de los índices de conjunto, la realización de análisis de canales laterales formales y la integración del diseño en cargas de trabajo completas de SoC.

La significancia del trabajo radica en su demostración práctica de una arquitectura de caché con prioridad en la "confidencialidad primero" que equilibra las restricciones de los sistemas embebidos de baja latencia con la necesidad de protección de datos basada en hardware.