💻 computer science

Benchmarking Post-Quantum Cryptography on Resource-Constrained IoT Devices: ML-KEM and ML-DSA on ARM Cortex-M0+

यह शोध पत्र संसाधन-सीमित ARM Cortex-M0+ प्रोसेसर पर अंतिम रूप से निर्धारित NIST पोस्ट-क्वांटम मानकों ML-KEM और ML-DSA के पहले व्यवस्थित बेंचमार्क प्रस्तुत करता है, जो यह प्रदर्शित करता है कि ML-KEM-512, ECDH P-256 की तुलना में काफी तेज़ और अधिक ऊर्जा-कुशल है, जबकि रिजेक्शन सैंपलिंग (rejection sampling) के कारण ML-DSA साइनिंग में उच्च विलंबता भिन्नता (latency variance) को उजागर करता है।

मूल लेखक: Rojin Chhetri

प्रकाशित 2026-03-26

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Rojin Chhetri

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आपके पास रहस्यों का एक विशाल पुस्तकालय (आपका डेटा) है जिसे आप अगले 20 वर्षों तक सुरक्षित रखना चाहते हैं। अभी, आप उन्हें एक विशिष्ट प्रकार की चाबी (क्लासिकल क्रिप्टोग्राफी) का उपयोग करके एक तिजोरी में बंद करते हैं। अभी एक डरावनी अफवाह है कि भविष्य में, एक "क्वांटम चोर" (Quantum Thief) एक मास्टर की के साथ आएगा जो सेकंडों में आपके किसी भी ताले को खोल सकता है।

समस्या यह है कि आपके कई ताले उन उपकरणों पर लगे हैं जो 20 वर्षों तक चलते रहेंगे, जैसे कि स्मार्ट मीटर, मेडिकल सेंसर, या फैक्ट्री कंट्रोलर। ये उपकरण बहुत छोटे, सस्ते और बहुत कम दिमागी शक्ति (मेमोरी और प्रोसेसिंग स्पीड) वाले हैं। ये वे "Cortex-M0+" चिप्स हैं जिनका उल्लेख पेपर में किया गया है।

यह पेपर एक तनाव परीक्षण (stress test) है यह देखने के लिए कि क्या हम अपने पुराने तालों को नए, "क्वांटम-प्रूफ" तालों (जिन्हें ML-KEM और ML-DSA कहा जाता है) से बिना उन्हें तोड़े या खराब किए बदल सकते हैं।

यहाँ उन्होंने जो पाया है, उसका विवरण दिया गया है, रोजमर्रा के उदाहरणों का उपयोग करते हुए:

1. हार्डवेयर: "छोटा, सस्ता कार्यकर्ता"

शोधकर्ताओं ने इन नए तालों का परीक्षण RP2040 चिप (जो Raspberry Pi Pico में पाया जाता है) पर किया।

उदाहरण: पुराने, शक्तिशाली चिप्स (Cortex-M4) को एक फॉर्मूला 1 कार के रूप में सोचें। उनके पास बड़े इंजन, टर्बोचार्जर हैं और वे जटिल गणित बहुत तेज़ी से कर सकते हैं।
Cortex-M0+ एक साइकिल की तरह है। इसमें कोई गियर नहीं है, कोई टर्बो नहीं है, और सवार को सब कुछ मैन्युअल रूप से पैडल मारना पड़ता है। यह धीमा है, इसमें कोई फैंसी फीचर्स नहीं हैं, और इसे अविश्वसनीय रूप से सस्ता (5 डॉलर से कम) बनाया गया है।
चुनौती: क्या आप एक साइकिल को एक खड़ी पहाड़ी (क्वांटम-प्रूफ एन्क्रिप्शन) पर चढ़ा सकते हैं जिसके लिए आमतौर पर एक स्पोर्ट्स कार की आवश्यकता होती है?

2. नए ताले: ML-KEM (की एक्सचेंज)

ML-KEM का उपयोग दो उपकरणों के बीच एक गुप्त कनेक्शन स्थापित करने के लिए किया जाता है।

परिणाम: शोधकर्ताओं ने पाया कि "साइकिल" (M0+) वास्तव में इसे आश्चर्यजनक रूप से अच्छी तरह से कर सकती है!
उदाहरण: पुराने तालों (ECDH) का उपयोग करते हुए, साइकिल को चाबियाँ बदलने में 617 मिलीसेकंड लगे। नए क्वांटम-प्रूफ तालों (ML-KEM-512) का उपयोग करने पर, इसे केवल 35.7 मिलीसेकंड लगे।
आश्चर्य: नए ताले पुराने वाले की तुलना में 17 गुना तेज़ हैं और 94% कम ऊर्जा का उपयोग करते हैं! यह ऐसा है जैसे यह पता चलना कि एक भारी ट्रक को एक छोटी गियर वाली पहाड़ी पर चलाने की तुलना में साइकिल चलाना आसान है क्योंकि ट्रक का इंजन अक्षम है।

3. पेचीदा ताला: ML-DSA (डिजिटल सिग्नेचर)

ML-DSA का उपयोग दस्तावेजों पर हस्ताक्षर करने के लिए किया जाता है ताकि यह साबित हो सके कि वे प्रामाणिक हैं (जैसे अनुबंध पर डिजिटल हस्ताक्षर)।

समस्या: इस ताले की एक खासियत है। एक दस्तावेज़ पर हस्ताक्षर करने के लिए, एल्गोरिदम एक हस्ताक्षर उत्पन्न करने का प्रयास करता है, जाँचता है कि क्या वह "पर्याप्त अच्छा" है, यदि नहीं, तो यह उसे फेंक देता है और फिर से प्रयास करता है। इसे रिजेक्शन सैंपलिंग (Rejection Sampling) कहा जाता है।
उदाहरण: कल्पना करें कि आप एक घेरे (hoop) के माध्यम से गेंद फेंकने की कोशिश कर रहे हैं।
- पुराने ताले: आप गेंद फेंकते हैं, और वह हर बार अंदर जाती है। निरंतर।
- नए ताले (ML-DSA): आप गेंद फेंकते हैं। 90% बार, वह अंदर जाती है। लेकिन कभी-कभी, वह किनारे से टकराती है, उछलती है, और आपको फिर से प्रयास करना पड़ता है। कभी-कभी, आपको एक चीज़ को सफलतापूर्वक अंदर भेजने से पहले 10 या 20 बार प्रयास करना पड़ सकता है।
परिणाम: औसत समय ठीक है, लेकिन सबसे खराब स्थिति (worst-case scenario) बहुत खराब है।
- उच्चतम सुरक्षा स्तर के लिए, 99% बार, हस्ताक्षर 1 सेकंड के भीतर पूरा हो जाता है। लेकिन 1% बार, एक चीज़ को साइन करने के लिए इस नन्ही चिप की दिमागी शक्ति को 1.1 सेकंड से अधिक का समय लगता है।
- यह क्यों मायने रखता है: यदि आप एक रोबोटिक आर्म या मेडिकल पंप को नियंत्रित कर रहे हैं जिसे तुरंत प्रतिक्रिया देने की आवश्यकता है, तो यह "गेंद को घेरे में जाने के लिए इंतजार करने वाला" समय सिस्टम को फ्रीज या क्रैश कर सकता है।

4. मेमोरी का मुद्दा: "बैकपैक"

छोटे उपकरणों में बहुत कम मेमोरी (RAM) होती है।

उदाहरण: मेमोरी को एक बैकपैक के रूप में सोचें।
- ML-KEM (की एक्सचेंज): बैकपैक छोटा है। सबसे बड़ा संस्करण भी आसानी से फिट हो जाता है।
- ML-DSA (साइनिंग): बैकपैक बहुत बड़ा हो जाता है। उच्चतम सुरक्षा संस्करण के लिए एक ऐसे बैकपैक की आवश्यकता होती है जो डिवाइस की पूरी मेमोरी का 45% घेर लेता है।
सीख: आप लगभग किसी भी सस्ते डिवाइस पर "की एक्सचेंज" फिट कर सकते हैं। लेकिन यदि आप उच्चतम सुरक्षा के साथ "साइन" करना चाहते हैं, तो आपको थोड़े बड़े बैकपैक (अधिक मेमोरी) वाले डिवाइस की आवश्यकता होगी।

5. "साइकिल बनाम स्पोर्ट्स कार" की तुलना

शोधकर्ताओं ने अपने "साइकिल" (M0+) की तुलना अन्य अध्ययनों के "स्पोर्ट्स कार" (M4) परिणामों से की।

निष्कर्ष: साइकिल केवल 1.8 से 1.9 गुना धीमी थी।
क्यों? आमतौर पर, लोग सोचते हैं कि एक साइकिल 5 या 10 गुना धीमी होती है। लेकिन क्योंकि नया एन्क्रिप्शन गणित इतना कुशल है, इसलिए "टर्बोचार्जर" (उन्नत प्रोसेसर फीचर्स) की कमी ने उम्मीद से कम नुकसान पहुँचाया। नया गणित इतना अच्छा है कि एक धीमा प्रोसेसर भी इसे संभाल सकता है।

मुख्य निष्कर्ष (The Bottom Line)

अच्छी खबर: हम अपने छोटे, सस्ते, 20 साल पुराने उपकरणों को भविष्य के क्वांटम हैकर्स से सुरक्षित रख सकते हैं। "की एक्सचेंज" (ML-KEM) तेज़, कुशल है और लगभग किसी भी चीज़ पर फिट हो जाता है।
सावधानी: "डिजिटल सिग्नेचर" (ML-DSA) थोड़ा अप्रत्याशित है। यह अधिकांश समय तेज़ होता है, लेकिन कभी-कभी इसे पूरा होने में लंबा समय लगता है। यदि आप ऐसा सिस्टम बना रहे हैं जिसे तुरंत प्रतिक्रिया देने की आवश्यकता है (जैसे कि एक सेल्फ-ड्राइविंग कार या पेसमेकर), तो आपको उन "लंबे इंतज़ार" के लिए योजना बनानी होगी या किसी अन्य प्रकार के सिग्नेचर का उपयोग करना होगा।
फैसला: सबसे सस्ते, सबसे छोटे चिप्स पर भी क्वांटम-प्रूफ सुरक्षा की ओर जाना संभव है। हमें अपने पुराने उपकरणों को फेंकने की ज़रूरत नहीं है; हमें बस उनके सॉफ़्टवेयर को अपडेट करने की ज़रूरत है।

संक्षेप में: यह पेपर साबित करता है कि "साइकिल" भविष्य की सुरक्षा का भारी बोझ उठा सकती है, जब तक कि हम कभी-कभार होने वाले डगमगाहट (wobble) को संभालना जानते हों।

यहाँ रोजिन छेत्री के शोध पत्र "Benchmarking NIST-Standardised ML-KEM and ML-DSA on ARM Cortex-M0+: Performance, Memory, and Energy on the RP2040" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

लंबे परिचालन जीवनकाल (10-20 वर्ष) वाले इंटरनेट ऑफ थिंग्स (IoT) उपकरणों के लिए पोस्ट-क्वांटम क्रिप्टोग्राफी (PQC) की ओर माइग्रेशन अत्यंत महत्वपूर्ण है, ताकि "अभी एकत्र करें, बाद में डिक्रिप्ट करें" (harvest now, decrypt later) जैसे हमलों को रोका जा सके। जबकि अमेरिकी NIST ने अगस्त 2024 में FIPS 203 (ML-KEM) और FIPS 204 (ML-DSA) मानकों को अंतिम रूप दिया, सबसे सीमित श्रेणी के 32-बिट प्रोसेसर: ARM Cortex-M0+ के लिए प्रदर्शन डेटा में एक महत्वपूर्ण अंतर था।

पिछले बेंचमार्क (जैसे, pqm4 फ्रेमवर्क) अधिक सक्षम Cortex-M4 पर केंद्रित थे। Cortex-M0+ में PQC के लिए महत्वपूर्ण सुविधाओं का अभाव है, जिसमें 64-बिट गुणन निर्देश (UMULL/SMULL), DSP/SIMD एक्सटेंशन शामिल हैं, और इसमें एक सीमित रजिस्टर फ़ाइल है। M0+ हार्डवेयर पर पिछले अध्ययन प्री-स्टैंडर्डाइजेशन एल्गोरिदम (Kyber, Dilithium, Saber) का उपयोग करते थे या कच्चे प्रदर्शन के बजाय साइड-चैनल सुरक्षा पर केंद्रित थे। इस आर्किटेक्चर पर अंतिम NIST मानकों का कोई व्यवस्थित, अलग बेंचमार्किंग नहीं किया गया था।

2. कार्यप्रणाली (Methodology)

लेखकों ने Raspberry Pi Pico (RP2040) पर प्रयोग किए, जिसमें एक डुअल-कोर ARM Cortex-M0+ है जो 133 MHz पर चलता है और इसमें 264 KB SRAM और 2 MB Flash है।

हार्डवेयर: बेंचमार्किंग के लिए केवल एक कोर का उपयोग किया गया। RP2040 के सिंगल-साइकिल 32×32-बिट मल्टीप्लायर को इस प्लेटफॉर्म पर PQC की व्यवहार्यता के लिए एक प्रमुख सक्षमकर्ता (enabler) के रूप में नोट किया गया।
सॉफ्टवेयर स्टैक:
- एल्गोरिदम: ML-KEM (लेवल 512, 768, 1024) और ML-DSA (लेवल 44, 65, 87) के लिए PQClean से संदर्भ C कार्यान्वयन (इसके रीड-ओनली होने से पहले के संस्करण)।
- बेसलाइन: तुलना के लिए शास्त्रीय एल्गोरिदम (RSA-2048, ECDSA P-256, ECDH P-256) को mbedTLS का उपयोग करके लागू किया गया।
- कंपाइलर: -mcpu=cortex-m0plus -mthumb के साथ arm-none-eabi-gcc (v12.2+)। शुद्ध C बेसलाइन स्थापित करने के लिए कोई असेंबली अनुकूलन (optimization) लागू नहीं किया गया।
मापन तकनीकें:
- टाइमिंग (Timing): Pico SDK हार्डवेयर टाइमर (1 µs रिज़ॉल्यूशन) के माध्यम से मापा गया। नियत (deterministic) ऑपरेशन्स को 30 बार; ML-DSA साइनिंग को भिन्नता (variance) को पकड़ने के लिए 100 बार चलाया गया।
- मेमोरी: पीक स्टैक उपयोग को स्टैक-पेंटिंग तकनीक (स्टैक को 0xDEADBEEF से इनिशियलाइज़ करना और ओवरराइट्स को स्कैन करना) का उपयोग करके मापा गया। फ्लैश फुटप्रिंट को arm-none-eabi-size के माध्यम से मापा गया।
- ऊर्जा (Energy): RP2040 डेटाशीट पावर मॉडल (3.3V, 24 mA सक्रिय करंट $\approx$ 79.2 mW) का उपयोग करके अनुमानित किया गया।
- सांख्यिकीय विश्लेषण: माध्य (mean), न्यूनतम (min), अधिकतम (max), मानक विचलन (standard deviation), भिन्नता गुणांक (CV), और 95वें/99वें पर्सेंटाइल को रिपोर्ट किया गया।

3. मुख्य योगदान (Key Contributions)

प्रथम पृथक बेंचमार्क: Cortex-M0+ पर NIST-मानकीकृत ML-KEM और ML-DSA के लिए पहले एल्गोरिदम-स्तरीय टाइमिंग, मेमोरी और ऊर्जा मेट्रिक्स प्रदान किए।
भिन्नता विश्लेषण (Variance Analysis): ML-DSA साइनिंग में रिजेक्शन सैंपलिंग (rejection sampling) के प्रभाव का लक्षण वर्णन किया, जिससे उच्च विलंबता भिन्नता (CV 66–73%) और वर्स्ट-केस लेटेंसी का पता चला।
मेमोरी व्यवहार्यता मानचित्र (Memory Feasibility Map): सभी छह एल्गोरिदम वेरिएंट के लिए सटीक स्टैक और फ्लैश आवश्यकताओं को निर्धारित किया, जिससे क्लास-1 IoT उपकरणों (विशेष रूप से RP2040) के लिए व्यवहार्यता की पुष्टि हुई।
ओपन-सोर्स सुइट: कोड, स्क्रिप्ट और कच्चे डेटा के साथ एक पुनरुत्पादक (reproducible) बेंचमार्क सुइट जारी किया।
पूर्व डेटा का सुधार: पेपर में एक त्रुटि सुधार (erratum) शामिल है जिसने ML-DSA-65 और ML-DSA-87 के पिछले स्टैक उपयोग मापों को सुधारा, जो मापन के दौरान स्टैक ओवरफ्लो के कारण कम आंका गया था।

4. मुख्य परिणाम (Key Results)

A. प्रदर्शन (Timing)

ML-KEM (Key Encapsulation):
- ML-KEM-512: फुल हैंडशेक (KeyGen + Encap + Decap) में 35.7 ms लगता है।
- तुलना: यह उसी हार्डवेयर पर ECDH P-256 (617 ms) की तुलना में 17× तेज़ है।
- भिन्नता: अत्यंत कम (CV < 1.5%), जो नियत निष्पादन (deterministic execution) की पुष्टि करता है।
ML-DSA (Digital Signatures):
- साइनिंग लेटेंसी: रिजेक्शन सैंपलिंग के कारण अत्यधिक परिवर्तनशील है।
  - ML-DSA-44: माध्य 158.9 ms, 99वां पर्सेंटाइल 489.9 ms।
  - ML-DSA-87: माध्य 355.2 ms, 99वां पर्सेंटाइल 1,125.0 ms (>1 सेकंड)।
- निहितार्थ: सख्त समय सीमा (<100 ms) वाले रियल-टाइम अनुप्रयोग बिना प्री-कंप्यूटेशन या रिट्राय मैकेनिज्म के समय पर साइनिंग की गारंटी नहीं दे सकते।
आर्किटेक्चर ओवरहेड: Cortex-M0+ Cortex-M4 (रेफरेंस C चलाते हुए) की तुलना में केवल 1.8–1.9× धीमा है। यह अनुमानित 3–7× दंड (penalty) से कम है, क्योंकि RP2040 में सिंगल-साइकिल मल्टीप्लायर है और रेफरेंस C कोड M4-विशिष्ट SIMD निर्देशों का लाभ नहीं उठाता है।

B. ऊर्जा खपत (Energy Consumption)

ML-KEM-512: प्रति हैंडशेक 2.83 mJ की खपत करता है।
तुलना: यह ECDH P-256 (48.9 mJ) की तुलना में 94% कम ऊर्जा लेता है। यहाँ तक कि ML-KEM-1024 (6.79 mJ) भी ECDH की तुलना में 7.2× अधिक कुशल है।
सिग्नेचर: ML-DSA-44 चक्र ~19.2 mJ खपत करता है बनाम ECDSA P-256 के लिए 39.4 mJ।

C. मेमोरी फुटप्रिंट (Memory Footprint)

ML-KEM: 264 KB SRAM के भीतर आसानी से फिट हो जाता है।
- ML-KEM-512 पीक स्टैक: ~9.4 KB।
- ML-KEM-1024 पीक स्टैक: ~20.0 KB।
ML-DSA: काफी अधिक मेमोरी-गहन (memory-intensive) है।
- ML-DSA-87 साइनिंग के लिए 119.6 KB स्टैक की आवश्यकता होती है (लगभग 45% कुल SRAM)।
- व्यवहार्यता: सभी वेरिएंट RP2040 पर फिट होते हैं, लेकिन ML-DSA-87 के लिए सावधानीपूर्वक स्टैक आवंटन प्रबंधन की आवश्यकता होती है।

5. महत्व और निहितार्थ (Significance and Implications)

Class-1 IoT के लिए व्यवहार्यता: यह अध्ययन सिद्ध करता है कि लैटिस-आधारित PQC आज सब-$5 प्रोसेसर (Cortex-M0+) पर व्यावहारिक है। ML-KEM अत्यधिक कुशल है और बाधित उपकरणों के लिए की-एक्सचेंज हेतु उपयुक्त है।
ML-DSA बाधाएं: हालांकि व्यवहार्य है, ML-DSA साइनिंग की गैर-नियत (non-deterministic) प्रकृति रियल-टाइम IoT कंट्रोल लूप्स के लिए चुनौतियां पेश करती है। सिस्टम को टाइमआउट/रिट्राय लॉजिक या प्री-कंप्यूटेशन रणनीतियों को लागू करना होगा।
माइग्रेशन पथ: परिणाम इंजीनियरों के लिए ECC से PQC में माइग्रेट करने के लिए एक ठोस आधार प्रदान करते हैं। ऊर्जा बचत (94% तक) और गति सुधार (की-एक्सचेंज के लिए 17×) कम-स्तरीय हार्डवेयर पर भी इसे अपनाने के लिए सम्मोहक तर्क हैं।
सुरक्षा संदर्भ: पेपर नोट करता है कि जबकि प्रदर्शन व्यवहार्य है, साइड-चैनल प्रतिरोध (जैसे, मास्किंग) महत्वपूर्ण ओवरहेड (लगभग 10×) जोड़ता है और भविष्य के कार्य के लिए एक महत्वपूर्ण क्षेत्र बना हुआ है।

निष्कर्ष (Conclusion)

यह पेपर PQC परिदृश्य में एक महत्वपूर्ण अंतर को भरता है, यह प्रमाणित करते हुए कि NIST-अंतिम ML-KEM और ML-DSA मानक सबसे सीमित 32-बिट IoT प्रोसेसर पर कुशलतापूर्वक चल सकते हैं। जबकि ML-KEM तत्काल तैनाती के लिए तैयार है और उत्कृष्ट प्रदर्शन एवं ऊर्जा मेट्रिक्स दिखाता है, ML-DSA को विलंबता भिन्नता (latency variance) और मेमोरी प्रबंधन के संबंध में आर्किटेक्चरल विचारों की आवश्यकता है। लेखक निष्कर्ष निकालते हैं कि "अभी एकत्र करें, बाद में डिक्रिप्ट करें" के खतरे को सबसे सीमित उपकरणों के लिए भी कम किया जा सकता है।