BipBipCache: Pipeline-Aware Integration of Low-Latency Tweakable Encryption in an Embedded Cache Controller

Sintesi Tecnica: BipBipCache – Integrazione Consapevole della Pipeline di una Cifratura Modificabile a Bassa Latenza in un Controller di Cache Embedded

Problematica
I processori consumer ed embedded memorizzano frequentemente dati sensibili (credenziali, dati personali, segreti del firmware) nelle cache SRAM on-chip. A differenza della memoria principale, i contenuti di queste cache sono tipicamente non cifrati nelle microarchitetture commerciali, lasciandoli vulnerabili ad attacchi cold-boot, al probing diretto della SRAM e all'osservazione offline dei bus di memoria. Sebbene esistano protezioni software, esse spesso impongono un overhead inaccettabile per le piattaforme embedded a basso costo. Le attuali contromisure hardware, come ScatterCache e SCARF, affrontano i canali collaterali microarchitetturali (ad esempio, Prime+Probe) tramite la randomizzazione della cache, ma non forniscono la riservatezza contro la lettura fisica. È necessaria una soluzione hardware trasparente e a bassa latenza che cifri i dati e i tag della cache per proteggerli da attacchi fisici e a livello di bus senza incorrere in penalità di prestazioni proibitive.

Metodologia
Gli autori propongono BipBipCache, un controller di cache direct-mapped che integra il cifrario a blocchi modificabile (TBC) BipBip per cifrare in tempo reale sia i dati che i tag della cache. Il design si basa su tre componenti metodologiche fondamentali:

1. Mappatura Crittografica (Decomposizione in stile C3): BipBip opera su blocchi da 24 bit con tweak da 40 bit, il che non si allinea nativamente con le standard parole di cache a 64 bit. Gli autori adottano una strategia di decomposizione ispirata al Cryptographic Capability Computing (C3). Ogni parola di cache da 6 4 bit viene suddivisa in un segmento di plaintext da 24 bit e un contesto di tweak da 40 bit derivato dai bit rimanenti. Il segmento da 24 bit viene cifrato, mentre i bit di tweak da 40 bit passano inalterati, vincolando il ciphertext all'indirizzo di memoria o al contesto specifico senza espandere la dimensione della parola.
2. Encryptor Pipelined Reverse-Engineered: La specifica ufficiale di BipBip fornisce un decryptor a 3 cicli ma manca di un encryptor ottimizzato per l'hardware. Gli autori hanno effettuato l'reverse engineering delle funzioni di round centrate sul decryptor per costruire il primo encryptor BipBip pipelined in VHDL. Questo encryptor opera con una latenza di 6 cicli, rispetto alla latenza di 3 cicli del decryptor.
3. Design del Controller Consapevole della Pipeline: Per mitigare la latenza di cifratura di 6 cicli durante le operazioni di scrittura, il controller sfrutta l'asimmetria tra cifratura e decifrazione. Il percorso di scrittura bufferizza il plaintext mentre il percorso del tag esegue simultaneamente il rilevamento del hit utilizzando il decryptor del tag a 3 cicli. I primi tre cicli del processo di cifratura si sovrappongono alla verifica del tag e al rilevamento del hit. Di conseguenza, il segnale di write enable viene assertato solo dopo la conferma del hit (ciclo 3), il che significa che il processo di cifratura è già in corso. Ciò risulta in una penalità di scrittura effettiva di soli 3 cicli aggiuntivi dopo la verifica del hit, piuttosto che un intero stall di 6 cicli.

Contributi Chiave
Il documento dettaglia quattro contributi primari:

• Primo Hardware BipBip Encryptor: La ricostruzione di un encryptor pipelined a 6 cicli in VHDL, verificata rispetto alla referenza C++ ufficiale.
• Prototipo di Cache Cifrata: Un controller di cache direct-mapped che integra tre istanze di BipBip (cifratura dati, decifrazione dati e decifrazione tag) con uno schema di mappatura 64-bit-to-(24+40) documentato.
• Analisi della Sovrapposizione della Pipeline: Una dimostrazione di come la decifrazione del percorso del tag possa sincronizzarsi con l'encryptor per nascondere parte della latenza di scrittura, riducendo l'impegno di scrittura effettiva a 3 cicli post-hit.
• Valutazione FPGA: Risultati completi di sintesi e implementazione su dispositivi Xilinx Artix-7, inclusi metriche di utilizzo delle risorse e verifica funzionale a livello di board.

Risultati
Il design è stato implementato e verificato utilizzando AMD Vivado 2025.2 ed è stato testato su FPGA Xilinx Artix-7 (specificamente la scheda Nexys A7).

• Correttezza: Entrambi i testbench dell'encryptor e del decryptor hanno corrisponduto alla referenza C++ ufficiale di BipBip su cinque vettori di verifica.
• Latenza: I test in pipeline hanno confermato le attese latenze di 6 cicli per l'encryption e di 3 cicli per la decryption.
• Utilizzo delle Risorse: Su un Artix-7 (xc7a35tcpg236-1), il design ha utilizzato 3.356 Slice LUT (il 16,1% del dispositivo), con la logica crittografica che rappresenta circa il 79% dell'uso delle LUT. Il design opera a 100 MHz in simulazione e su hardware.
• Verifica End-to-End: I test a livello di board hanno confermato il successo del round-trip di cifratura e decifrazione delle parole e dei tag della cache, con gli output decifrati che corrispondono ai plaintext originali in input.

Significatività e Claim
Gli autori posizionano BipBipCache come uno studio di fattibilità che dimostra come i cifrari a blocchi modificabili a bassissima latenza possano essere integrati in controller di cache embedded con un overhead di pipeline limitato. Il lavoro evidenzia che, sebbene la dimensione del blocco di BipBip (24 bit) richieda una mappatura accurata per l'intera parola di cache, l'architettura risultante protegge con successo i contenuti residenti nella cache contro attacchi cold-boot e di lettura fisica.

Il documento dichiara esplicitamente i propri limiti:

• Ambito di Sicurezza: Protegge la riservatezza contro la lettura fisica, ma non mitiga i canali collaterali microarchitetturali (che richiedono cache randomizzate).
• Integrità: Il sistema fornisce metadati tamper-evident (tag cifrati), ma non offre una forte autenticazione o MAC contro avversari attivi.
• Margine Crittografico: Gli autori riconoscono che il margine di sicurezza teorica di BipBip è stretto a seguito di una crittanalisi a round completi, e che solo 24 bit per parola sono fortemente permutati.
• Lavoro Futuro: Gli autori suggeriscono direzioni future che includono la sostituzione dei primitivi (ad esempio, QARMA, MANTIS), la protezione degli indici di set, l'analisi formale dei canali collaterali e l'integrazione del design in carichi di lavoro SoC completi.

La significatività del lavoro risiede nella sua dimostrazione pratica di un'architettura di cache "priorità alla riservatezza" che bilancia i vincoli dei sistemi embedded a bassa latenza con la necessità di una protezione dei dati basata su hardware.