Crypto-RV: High-Efficiency FPGA-Based RISC-V Cryptographic Co-Processor for IoT Security

기술 요약: Crypto-RV: 고효율 FPGA 기반 RISC-V 암호화 코프로세서

문제 정의
암호화 연산은 IoT, 엣지 컴퓨팅 및 자율 주행 시스템을 보안하는 데 필수적이다. 그러나 기존 RISC-V 플랫폼은 포스트 양자 암호(PQC)를 포함한 포괄적인 암호 알고리즘 제품군에 대한 효율적인 하드웨어 지원이 부족하여 어려움을 겪고 있다. 현재의 솔루션들은 다음과 같은 상당한 한계에 직면해 있다: 명령어 세트 확장(ISA)이 구체적인 마이크로아키텍처로 구현되지 않고 ISA 수준에 머물러 있거나, 소프트웨어 최적화 구현은 범용 파이프라인을 공유하여 멀티 알고리즘 처리량을 제한하며, 기존 하드웨어 가속기는 밀접한 CPU 통합이 부족하거나 32비트 알고리즘만을 좁게 지원하거나, 대규모 해시 및 트리 해시 워크로드에 대한 스케줄링 최적화에 실패한다. 더욱이, 전통적인 RISC-V 코어는 암호화 커널 실행 중 심각한 메모리 병목 현상을 경험하며, 여기서 실행 사이클의 70~85%가 연산이 아닌 로드/스토어(load/store) 연산에 소비된다. 이는 머클 트리(Merkle trees) 및 SPHINCS+와 같은 멀티 해시 워크로드에서 더욱 악화되는 문제이다.

방법론 및 아키텍처
본 논문은 SHA-256, SHA-512, SM3, SHA3-256, SHAKE-128, SHAKE-256, AES-128, HARAKA-256, 그리고 HARAKA-512를 단일 64비트 데이터패스 내에서 통합 지원하도록 설계된 고효율 RISC-V 코프로세서인 Crypto-RV를 제안한다. Xilinx ZCU102 FPGA 상에 구현된 이 시스템은 ARM Cortex-A53 CPU를 탑재한 프로세싱 시스템(PS)과 코프로세서를 호스팅하는 프로그래머블 로직(PL)을 통합한다.

이 아키텍처는 세 가지 주요 혁신 기술에 기반한다:

1. 고대역폭 내부 버퍼 (128×64-bit): 메모리 병목 현상을 해결하기 위해 Crypto-RV는 밀접하게 결합된 내부 버퍼를 채택한다. 중간 상태(intermediate states)와 메시지 블록을 위해 오프칩 메모리에 반복적으로 접근하는 대신, 프로세서는 상수와 메시지 워드로 버퍼를 한 번 초기화한다. 이를 통해 중간 상태가 라운드 시퀀스 동안 온칩(on-chip)에 유지될 수 있도록 한다. 커스텀 데이터 이동 명령은 최대 128개의 워드를 벌크 전송할 수 있게 하여, 저대역폭의 오프칩 액세스와 고대역폭의 인트라-라운드(intra-round) 데이터 재사용을 분리한다. 이는 로드/스토어 명령어 수를 줄이고, 암호 특화 유닛이 웜업(warm-up) 후 매 사이클당 하나의 파이프라인 반복을 달성할 수 있게 한다.

2. 암호화 특화 실행 유닛: 코프로세서는 여러 알고리즘 간에 기능적 리소스를 공유하면서도 짧은 임계 경로(critical path)를 유지하는 통합된 파이프라인 엔진을 활용한다:

   • 통합 SM3/SHA-256/SHA-512 유닛: 애더(adder)와 모드 선택 멀티플렉서를 공유하는 4단계 파이프라인이다. SHA-512 모드에서는 사이클당 하나의 1024비트 블록을 처리하며, SHA-256/SM3 모드에서는 32비트 데이터패스가 두 개의 블록을 병렬로 처리하여 산술 리소스의 80% 이상을 공유하면서도 처리량을 효과적으로 두 배로 높인다.
   • 통합 AES-128/HARAKA-256/512 유닛: 시드 키(SK) 및 공개 키(PK)로부터 라운드 상수(RC)를 생성하는 과정을 포함하여 전체 Haraka 연산을 가속화하는 4단계 파이프라인이다. 이는 부분 구현에서 발생하는 RC 병목 현상을 제거하여, SPHINCS+와 같은 해시 기반 서명을 위한 완전한 가속을 가능하게 한다.
   • 통합 SHA3-256/SHAKE-128/256 유닛: 두 개의 연속적인 Keccak 라운드를 클록 사이클당 두 번씩 처리하는 2단계 언롤링(unrolled) 구조이다. 이는 타이밍 클로저(timing closure)를 160 MHz에서 유지하면서 유효 반복 깊이를 24회에서 12회로 줄여, 단일 라운드 설계 대비 레이턴시를 절반으로 단축한다.

3. 더블 버퍼링 메커니즘: 특화된 코어와 메모리 서브시스템 간의 처리량 불일치를 극복하기 위해, Crypto-RV는 1024×64-bit 데이터 메모리(DM)와 128×64-bit 내부 버퍼 사이에 계층적 더블 버퍼링 체계를 구현한다. 이를 통해 새로운 데이터가 DMA를 통해 버퍼로 스트리밍되는 동안 현재 블록에 대한 연산이 진행될 수 있으며, 완벽한 연산-DMA 중첩($T_{total} \approx T_{compute}$)을 달ien한다. 이는 파이프라인 스톨(stall) 없이 연속적인 멀티 블록 해싱 및 다중 해시 워크로드를 지원한다.

실험 결과
Crypto-RV는 160 MHz에서 동작하며 0.851 W의 동적 전력을 소비하는 Xilinx ZCU102 FPGA에 구현되었다. 설계는 34,704개의 LUT, 37,329개의 FF, 22개의 BRAM을 점유한다.

• 베이스라인 대비 속도 향상: 베이스라인 RISC-V 코어와 비교했을 때, Crypto-RV는 165배에서 1,061배에 이르는 속도 향상을 달성했다. 구체적으로 SHA-256/512/SM3는 660배/604배/789배의 개선을 보였으며, AES-128 및 HARAKA-256/512는 각각 965배/1,061배/780배의 이득을 기록했다.
• 에너지 효율성: 강력한 CPU(Intel i9-10940X, Intel i7-12700H, ARM Cortex-A53)와 비교했을 때, Crypto-RV는 우수한 에너지 효율(Mbps/W로 측정)을 보여준다. Intel i9-10940X보다 5.8배에서 17.4배 더 나은 효율을 달성했으며, SHA-512의 경우 11.8배의 최고 개선율(187.08 Mbps/W vs. 15.89 Mbps/W)에 도달했다.
• 기존 RISC-V 연구와의 비교: Crypto-RV는 관련 RISC-V 가속기들에 비해 바이트당 사이클 수를 크게 감소시킨다. 예를 들어, SHA-256에 대해 참조 설계 [11]보다 56.70배 빠르며, SHA-512의 경우 설계 [13]보다 최대 1,291배 빠르다. 모든 지원되는 알고리즘에 대해 일관되게 2.0 ~ 4.1 cycles/byte를 달성한다.

의의 및 주장
본 논문은 Crypto-RV가 자원이 제한된 IoT 환경의 암호화 처리를 위한 실행 가능하고 고성능이며 에너지 효율적인 솔루션을 제공한다고 주장한다. 표준 해시 함수, 블록 암호 및 포스트 양자 프리미티브(HARAKA)에 대한 지원을 단일 64비트 데이터패스로 통합함으로써, 이 아키텍처는 암호화 연산을 메모리 제한적(memory-bound) 실행에서 연산 제한적(compute-bound) 실행으로 전환한다. 저자들은 대규모 해시 및 트리 해시 연산을 메모리 스톨 없이 처리할 수 있는 Crypto-RV의 능력이 신흥 PQC 애플리케이션에 특히 적합하다고 단언한다. 또한, 본 논문은 Crypto-RV를 특화된 트리 해시 코어를 통해 SPHINCS+ 서명 생성을 완전히 가속화할 수 있는 유연한 하드웨어 플랫폼으로 포지셔닝하며, 이를 통해 양자 내성 IoT 보안을 위한 토대를 마련한다.