Crypto-RV: High-Efficiency FPGA-Based RISC-V Cryptographic Co-Processor for IoT Security

Sintesi Tecnica di Crypto-RV: Co-processore Criptografico RISC-V ad Alta Efficienza Basato su FPGA

Problematica
Le operazioni crittografiche sono essenziali per proteggere l'IoT, l'edge computing e i sistemi autonomi. Tuttavia, le piattaforme RISC-V esistenti soffrono di una mancanza di supporto hardware efficiente per famiglie complete di algoritmi crittografici, in particolare quando si integra la crittografia post-quantistica (PQC). Le soluzioni attuali presentano limitazioni significative: le estensioni del set di istruzioni spesso rimangono a livello ISA senza microarchitetture concrete; le implementazioni ottimizzate via software condividono pipeline generiche che limitano il throughput multi-algoritmo; inoltre, gli acceleratori hardware esistenti mancano di un'integrazione stretta con la CPU, supportano solo un set ristretto di algoritmi a 32 bit o non riescono a ottimizzare lo scheduling per carichi di lavoro a grandi hash e tree-hash. Inoltre, i core RISC-V convenzionali sperimentano gravi colli di bottiglia della memoria durante i kernel crittografici, dove il 70–85% dei cicli di esecuzione è consumato da operazioni di load/store, un problema esacerbato dai carichi di lavoro multi-hash come gli alberi di Merkle e SPHINCS+.

Metodologia e Architettura
Il documento propone Crypto-RV, un co-processore RISC-V ad alta efficienza progettato per unificare il supporto per SHA-256, SHA-512, SM3, SHA3-256, SHAKE-128, SHAKE-256, AES-128, HARAKA-256 e HARAKA-512 all'interno di un unico datapath a 64 bit. Implementato su un FPGA Xilinx ZCU102, il sistema integra un Sistema di Elaborazione (PS) con una CPU ARM Cortex-A53 e una Logica Programmabile (PL) che ospita il co-processore.

L'architettura si basa su tre innovazioni primarie:

1. Buffer Interno ad Alta Larghezza di Banda (128×64-bit): Per affrontare i colli di bottiglia della memoria, Crypto-RV impiega un buffer interno strettamente accoppiato. Invece di accedere ripetutamente alla memoria off-chip per gli stati intermedi e i blocchi di messaggi, il processore inizializza il buffer una sola volta con costanti e parole di messaggio. Ciò consente agli stati intermedi di rimanere on-chip durante l'intera sequenza di round. Le istruzioni personalizzate di movimento dati facilitano i trasferimenti massivi fino a 128 parole, disaccoppiando il riutilizzo dei dati intra-round ad alta larghezza di banda dagli accessi off-chip a bassa larghezza di banda. Questo riduce il numero di istruzioni load/store e consente alle unità specializzate in crittografia di raggiungere un'iterazione di pipeline per ciclo dopo il warm-up.

2. Unità di Esecuzione Specializzate in Crittografia: Il co-processore utilizza motori unificati e pipelined per condividere le risorse funzionali tra più algoritmi mantenendo al contempo un percorso critico breve:

   • Unità Unificata SM3/SHA-256/SHA-512: Una pipeline a quattro stadi che condivide addizionatori e multiplexer di selezione della modalità. In modalità SHA-512, elabora un blocco da 1024 bit per ciclo; in modalità SHA-256/SM3, il datapath a 32 bit elabora due blocchi in parallelo, raddoppiando efficacementamente il throughput pur condividendo oltre l'80% delle risorse aritmetiche.
   • Unità Unificata AES-128/HARAKA-256/512: Una pipeline a quattro stadi che accelera le computazioni complete di Haraka, inclusa la generazione di costanti di round (RC) da chiavi seed (SK) e chiavi pubbliche (PK). Ciò elimina il collo di bottiglia della RC che affligge le implementazioni parziali, consentendo l'accelerazione completa per le firme basate su hash come SPHINCS+.
   • Unità Unificata SHA3-256/SHAKE-128/256: Una struttura srotolata (unrolled) a due stadi che elabora due round consecutivi di Keccak per ogni ciclo di clock. Ciò riduce la profondità di iterazione effettiva da 24 a 12 round, dimezzando la latenza rispetto ai design a singolo round pur preservando il timing closure a 160 MHz.

3. Meccanismo di Double-Buffering: Per superare il mismatch di throughput tra i core specializzati e i sottosistemi di memoria, Crypto-RV implementa uno schema di double-buffering gerarchico tra una Data Memory (DM) da 1024×64-bit e il Buffer interno da 128×64-bit. Ciò consente ai dati freschi di fluire nel buffer tramite DMA mentre la computazione procede sul blocco corrente, ottenendo una perfetta sovrapposizione compute-DMA ($T_{total} \approx T_{compute}$). Questo supporta l'hashing continuo di multi-blocchi e carichi di lavoro many-hash senza bloccare la pipeline.

Risultati Sperimentali
Crypto-RV è stato implementato su Xilinx ZCU102 FPGA operando a 160 MHz con un consumo di potenza dinamica di 0,851 W. Il design occupa 34.704 LUT, 37.329 FF e 22 BRAM.

• Speedup rispetto al Baseline: Rispetto a un core RISC-V di base, Crypto-RV raggiunge accelerazioni compresi tra 165× e 1.061×. Nello specifico, SHA-256/512/SM3 vedono miglioramenti di 660×/604×/789×, mentre AES-128 e HARAKA-256/512 raggiungono guadagni di 965×/1.061×/780×.
• Efficienza Energetica: Confrontato con potenti CPU (Intel i9-10940X, Intel i7-12700H e ARM Cortex-A53), Crypto-RV dimostra un'efficienza energetica superiore (misurata in Mbps/W). Raggiunge un'efficienza da 5,8× a 17,4× migliore rispetto all'Intel i9-10940X, con SHA-512 che raggiunge un picco di 11,8× di miglioramento (187,08 Mbps/W contro 15,89 Mbps/W).
• Confronto con Precedenti Lavori RISC-V: Crypto-RV riduce significativamente i cicli per byte rispetto a correlati acceleratori RISC-V. Ad esempio, è 56,70× più veloce del design di riferimento [11] per SHA-256 e fino a 1.291× più veloce per SHA-512 rispetto al design [13]. Raggiunge costantemente 2,0 - 4,1 cicli/byte in tutti gli algoritmi supportati.

Significato e Rivendicazioni
Il documento afferma che Crypto-RV fornisce una soluzione ad alte prestazioni ed efficiente dal punto di vista energetico per l'elaborazione crittografica in ambienti IoT con risorse limitate. Unificando il supporto per funzioni hash standard, cifrari a blocchi e primitive post-quantistiche (HARAKA) in un unico datapath a 64 bit, l'architettura trasforma le operazioni crittografiche da esecuzione vincolata dalla memoria (memory-bound) a esecuzione vincolata dal calcolo (compute-bound). Gli autori sostengono che la capacità del design di gestire operazioni di large-hash e tree-hash senza stall della memoria lo rende particolarmente adatto per le emergenti applicazioni PQC. Inoltre, il documento posiziona Crypto-RV come una piattaforma hardware flessibile che può essere estesa in lavori futuri per accelerare completamente la generazione di firme SPHINCS+ attraverso core specializzati in tree-hash, stabilendo le fondamenta per la sicurezza IoT quantum-safe.