BipBipCache: Pipeline-Aware Integration of Low-Latency Tweakable Encryption in an Embedded Cache Controller

Technische Samenvatting: BipBipCache – Pipeline-bewuste Integratie van Low-Latency Tweakable Encryptie in een Embedded Cache Controller

Probleemstelling
Consumenten- en embedded processoren slaan vaak gevoelige gegevens (credentials, persoonsgegevens, firmware-geheimen) op in on-chip SRAM-caches. In tegenstelling tot het hoofdgeheugen zijn de inhoud van deze caches doorgaans niet versleuteld in commerciële microarchitecturen, waardoor ze kwetsbaar zijn voor cold-boot aanvallen, directe SRAM-probing en offline observatie van geheugenbussen. Hoewel softwarematige beschermingen bestaan, leggen deze vaak onacceptabele overhead op voor goedkope embedded platforms. Bestaande hardwarematige tegenmaatregelen, zoals ScatterCache en SCARF, pakken microarchitecturale zijkanaal-aanvallen (bijv. Prime+Probe) aan via cache-randomisatie, maar bieden geen vertrouwelijkheid tegen fysieke uitlezing. Er is behoefte aan een transparante, lage-latentie hardware-oplossing die cache-gegevens en tags versleutelt om bescherming te bieden tegen fysieke en bus-niveau aanvallen zonder excessieve prestatie-impact te veroorzaken.

Methodologie
De auteurs stellen BipBipCache voor, een direct-mapped cache controller die de BipBip tweakable block cipher (TBC) integreert om zowel cache-gegevens als tags in real-time te versleutelen. Het ontwerp rust op drie kerncomponenten van de methodologie:

1. Cryptografische Mapping (C3-stijl Decompositie): BipBip werkt met 24-bit blokken en 40-bit tweaks, wat van nature niet overeenkomt met standaard 64-bit cache woorden. De auteurs hanteren een decompositiestrategie geïnspireerd door Cryptographic Capability Computing (C3). Elk 64-bit cache woord wordt gesplitst in een 24-bit plaintext segment en een 40-bit tweak-context afgeleid van de resterende bits. Het 24-bit segment wordt versleuteld, terwijl de 40-bit tweak-bits ongewijzigd doorgaan, waardoor het ciphertext wordt gebonden aan het specifieke geheugenadres of de context zonder de woordgrootte te vergroten.
2. Reverse-Engineered Pipelined Encryptor: De officiële BipBip-specificatie biedt een 3-cycle decryptor maar mist een hardware-geoptimaliseerde encryptor. De auteurs hebben de decryptor-gecentreerde rondefuncties reverse-engineered om de eerste gepipelinde BipBip-encryptor in VHDL te construeren. Deze encryptor werkt met een latentie van 6 cycli, vergeleken met de 3-cycle latentie van de decryptor.
3. Pipeline-bewust Controller Ontwerp: Om de 6-cycle encryptie-latentie tijdens schrijfacties te mitigeren, maakt de controller gebruik van de asymmetrie tussen encryptie en decryptie. Het schrijfpad buffert de plaintext terwijl het tag-pad simultaan hit-detectie uitvoert met de 3-cycle tag-decryptor. De eerste drie cycli van het encryptieproces overlappen met de tag-verificatie en hit-detectie. Bijgevolg wordt het write enable-signaal pas geactiveerd na hit-bevestiging (cyclus 3), wat betekent dat het encryptieproces al in gang is gezet. Dit resulteert in een effectieve schrijfpenalty van slechts 3 extra cycli na de hit-verificatie, in plaats van een volledige 6-cycle stall.

Belangrijkste Bijdragen
Het artikel beschrijft vier primaire bijdragen:

• Eerste Hardware BipBip Encryptor: De reconstructie van een 6-cycle gepipelinde encryptor in VHDL, geverifieerd tegen de officiële C++ referentie-implementatie.
• Encrypted Cache Prototype: Een direct-mapped cache controller die drie BipBip-instanties integreert (data-encryptie, data-decryptie en tag-decryptie) met een gedocumenteerd 64-bit-naar-(24+40) mapping-schema.
• Pipeline Overlap Analyse: Een demonstratie dat de tag-path decryptie kan synchroniseren met de encryptor om een deel van de schrijflatentie te verbergen, wat de effectieve schrijfcommit naar 3 cycli na de hit reduceert.
• FPGA Evaluatie: Uitgebreide synthese- en implementatieresultaten op Xilinx Art-7 apparaten, inclusief resource-utilisatie metrieken en board-level functionele verificatie.

Resultaten
Het ontwerp is geïmplementeerd en geverifieerd met behulp van AMD Vivado 2025.2 en getest op Xilinx Artix-7 FPGA's (specifiek de Nexys A7 board).

• Correctheid: Zowel de encryptor- als de decryptortestbenches kwamen overeen met de officiële BipBip C++ referentie op vijf verificatievectoren.
• Latentie: De gepipelinde tests bevestigden de verwachte 6-cycle encryptie en 3-cycle decryptie latenties.
• Resource Utilisatie: Op een Artix-7 (xc7a35tcpg236-1) gebruikte het ontwerp 3.356 Slice LUT's (16,1% van het device), waarbij de cryptografische logica ongeveer 79% van de LUT-utilisatie beslaat. Het ontwerp werkt op 100 MHz in simulatie en op hardware.
• End-to-End Verificatie: Board-level tests bevestigden een succesvolle round-trip encryptie en decryptie van cache woorden en tags, waarbij de gedecrypteerde outputs overeenkwamen met de originele plaintext inputs.

Significantie en Claims
De auteurs positioneren BipBipCache als een haalbaarheidsonderzoek dat aantoont dat ultra-lage-latentie tweakable block ciphers geïntegreerd kunnen worden in embedded cache controllers met een begrensde pipeline-overhead. Het werk benadrukt dat, hoewel de kleine blokgrootte van BipBip (24 bits) zorgvuldige mapping vereist voor volledige cache woorden, de resulterende architectuur de inhoud van de cache succesvol beschermt tegen cold-boot en fysieke uitlezing-aanvallen.

Het artikel vermeldt expliciet de volgende beperkingen:

• Beveiligingsomvang: Het beschermt de vertrouwelijkheid tegen fysieke uitlezing, maar mitigeert geen microarchitecturale zijkanalen (die gerandomiseerde caches vereisen).
• Integriteit: Het systeem biedt tamper-evident metadata (versleutelde tags), maar biedt geen sterke authenticatie of MAC's tegen actieve tegenstanders.
• Cryptografische Marge: De auteurs erkennen dat de theoretische beveiligingsmarge van BipBip krap is na full-round cryptanalyse, en dat slechts 24 bits per woord sterk worden gepermuteerd.
• Toekomstig Werk: De auteurs suggereren toekomstige richtingen, zoals het substitueren van primitieven (bijv. QARMA, MANTIS), het beschermen van set-indices, het uitvoeren van formele zijkanaal-analyse en het integreren van het ontwerp in volledige SoC-workloads.

De significantie van het werk ligt in de praktische demonstratie van een "confidentiality-first" cache-architectuur die de beperkingen van low-latency embedded systemen balanceert met de noodzaak van hardwarematige dataprotectie.