Crypto-RV: High-Efficiency FPGA-Based RISC-V Cryptographic Co-Processor for IoT Security

Résumé Technique de Crypto-RV : Coprocesseur Cryptographique RISC-V à Haute Efficacité Basé sur FPGA

Énoncé du Problème
Les opérations cryptographiques sont essentielles pour sécuriser l'IoT, l'informatique de bord (edge computing) et les systèmes autonomes. Cependant, les plateformes RISC-V existantes souffrent d'un manque de support matériel efficace pour les familles complètes d'algorithmes cryptographiques, particulièrement lors de l'intégration de la cryptographie post-quantique (PQC). Les solutions actuelles présentent des limitations significatives : les extensions de jeu d'instructions restent souvent au niveau de l'ISA sans microarchitectures concrètes ; les implémentations optimisées par logiciel partagent des pipelines génériques qui limitent le débit multi-algorithmes ; et les accélérateurs matériels existants manquent soit d'une intégration étroite avec le CPU, soit ne supportent qu'un ensemble restreint d'algorithmes 32 bits, ou échouent à optimiser l'ordonnancement pour les charges de travail de hachage de grands volumes et de hachage d'arbres. De plus, les cœurs RISC-V conventionnels subissent de graves goulots d'étranglement de mémoire lors des noyaux cryptographiques, où 70 à 85 % des cycles d'exécution sont consommés par des opérations de chargement/stockage (load/store) plutôt que par le calcul, un problème exacerbé par les charges de travail multi-hachages comme les arbres de Merkle et SPHINCS+.

Méthodologie et Architecture
Le document propose Crypto-RV, un coprocesseur RISC-V à haute efficacité conçu pour unifier le support de SHA-256, SHA-512, SM3, SHA3-256, SHAKE-128, SHAKE-256, AES-128, HARAKA-256 et HARAKA-512 au sein d'un seul datapath de 64 bits. Implémenté sur un FPGA Xilinx ZCU102, le système intègre un système de traitement (PS) avec un CPU ARM Cortex-A53 et une logique programmable (PL) hébergeant le coprocesseur.

L'architecture repose sur trois innovations principales :

1. Tampon Interne à Large Bande Passante (128×64 bits) : Pour remédier aux goulots d'étranglement de la mémoire, Crypto-RV utilise un tampon interne étroitement couplé. Au lieu d'accéder de manière répétée à la mémoire hors puce pour les états intermédiaires et les blocs de messages, le processeur initialise le tampon une seule fois avec des constantes et des mots de message. Cela permet aux états intermédiaires de rester sur la puce tout au long de la séquence de tours. Des instructions de mouvement de données personnalisées facilitent les transferts groupés allant jusqu'à 128 mots, découplant la réutilisation des données intra-tour à large bande passante des accès hors puce à faible bande passante. Cela réduit le nombre d'instructions de chargement/stockage et permet aux unités spécialisées en cryptographie d'atteindre une itération de pipeline par cycle après la phase de chauffe (warm-up).

2. Unités d'Exécution Spécialisées en Cryptographie : Le coprocesseur utilise des moteurs unifiés et pipelinés pour partager les ressources fonctionnelles entre plusieurs algorithmes tout en maintenant un chemin critique court :

   • Unité Unifiée SM3/SHA-256/SHA-512 : Un pipeline à quatre étages partageant des additionneurs et des multiplexeurs de sélection de mode. En mode SHA-512, il traite un bloc de 1024 bits par cycle ; en mode SHA-256/SM3, le datapath de 32 bits traite deux blocs en parallèle, doublant ainsi efficacement le débit tout en partageant plus de 80 % des ressources arithmétiques.
   • Unité Unifiée AES-128/HARAKA-256/512 : Un pipeline à quatre étages qui accélère les calculs complets de Haraka, y compris la génération de constantes de tour (RC) à partir de clés de semence (SK) et de clés publiques (PK). Cela élimine le goulot d'étranglement des RC qui affecte les implémentations partielles, permettant une accélération complète pour les signatures basées sur le hachage comme SPHINCS+.
   • Unité Unifiée SHA3-256/SHAKE-128/256 : Une structure déroulée (unrolled) à deux étages qui traite deux tours de Keccak consécutifs par cycle d'horloge. Cela réduit la profondeur d'itération effective de 24 à 12 tours, divisant par deux la latence par rapport aux conceptions à un seul tour tout en préservant le respect des contraintes de temps (timing closure) à 160 MHz.

3. Mécanisme de Double Tamponnage (Double-Buffering) : Pour surmonter l'écart de débit entre les cœurs spécialisés et les sous-systèmes de mémoire, Crypto-RV implémente un schéma de double tamponnage hiérarchique entre une mémoire de données (DM) de 1024×64 bits et le tampon interne de 128×64 bits. Cela permet aux données fraîches d'être injectées dans le tampon via DMA pendant que le calcul s'effectue sur le bloc actuel, atteignant un chevauchement parfait entre calcul et DMA ($T_{total} \approx T_{compute}$). Cela permet un hachage multi-blocs continu et des charges de travail multi-hachages sans bloquer le pipeline.

Résultats Expérimentaux
Crypto-RV a été implémenté sur un FPGA Xilinx ZCU102 fonctionnant à 160 MHz avec une consommation d'énergie dynamique de 0,851 W. La conception occupe 34 704 LUT, 37 329 FF et 22 BRAM.

• Accélération par rapport à la Référence : Comparé à un cœur RISC-V de base, Crypto-RV atteint des accélérations allant de 165× à 1 061×. Plus précisément, SHA-256/512/SM3 voient des améliorations de 660×/604×/789×, tandis qu'AES-128 et HARAKA-256/512 atteignent des gains de 965×/1 061×/780×.
• Efficacité Énergétique : Comparé à des CPU puissants (Intel i9-10940X, Intel i7-12700H et ARM Cortex-A53), Crypto-RV démontre une efficacité énergétique supérieure (mesurée en Mbps/W). Il obtient une efficacité 5,8× à 17,4× meilleure que l'Intel i9-10940X, le SHA-512 atteignant un pic d'amélioration de 11,8× (187,08 Mbps/W contre 15,89 Mbps/W).
• Comparaison avec les Travaux RISC-V Antérieurs : Crypto-RV réduit considérablement les cycles par octet par rapport aux accélérateurs RISC-V connexes. Par exemple, il est 56,70× plus rapide que la conception de référence [11] pour SHA-256 et jusqu'à 1 291× plus rapide pour SHA-512 par rapport à la conception [13]. Il atteint systématiquement 2,0 à 4,1 cycles/octet sur tous les algorithmes supportés.

Signification et Revendications
L'article affirme que Crypto-RV fournit une solution performante, efficace et viable pour le traitement cryptographique dans les environaux IoT à ressources limitées. En unifiant le support des fonctions de hachage standards, des chiffrements par blocs et des primitives post-quantiques (HARAKA) dans un seul datapath de 64 bits, l'architecture transforme les opérations cryptographiques d'une exécution limitée par la mémoire en une exécution limitée par le calcul. Les auteurs soutiennent que la capacité de la conception à gérer les opérations de hachage de grands volumes et de hachage d'arbres sans blocage de la mémoire la rend particulièrement adaptée aux applications PQC émergentes. De plus, l'article positionne Crypto-RV comme une plateforme matérielle flexible pouvant être étendue dans des travaux futurs pour accélérer pleinement la génération de signatures SPHINCS+ grâce à des cœurs de hachage d'arbres spécialisés, établissant ainsi une base pour la sécurité IoT résistante au quantique.