Crypto-RV: High-Efficiency FPGA-Based RISC-V Cryptographic Co-Processor for IoT Security

Resumo Técnico do Crypto-RV: Coprocessador Criptográfico Baseado em FPGA de Alta Eficiência para RISC-V

Definição do Problema
As operações criptográficas são essenciais para proteger sistemas de IoT, computação de borda (edge computing) e sistemas autônomos. No entanto, as plataformas RISC-V existentes sofrem com a falta de suporte de hardware eficiente para famílias abrangentes de algoritmos criptográficos, particularmente quando se integra a criptografia pós-quântica (PQC). As soluções atuais enfrentam limitações significativas: extensões de conjunto de instruções frequentemente permanecem no nível da ISA sem microarquiteturas concretas; implementações otimizadas por software compartilham pipelines genéricos que limitam o rendimento (throughput) multi-algoritmo; e os aceleradores de hardware existentes ou carecem de integração estreita com a CPU, ou suportam apenas um conjunto restrito de algoritmos de 32 bits, ou falham em otimizar o escalonamento para cargas de trabalho de grandes hashes e tree-hash. Além disso, os núcleos RISC-V convencionais experimentam gargalos severos de memória durante kernels criptográficos, onde 70–85% dos ciclos de execução são consumidos por operações de load/store, um problema exacerbado por cargas de trabalho multi-hash como árvores de Merkle e SPHINCS+.

Metodologia e Arquitetura
O artigo propõe o Crypto-RV, um coprocessador RISC-V de alta eficiência projetado para unificar o suporte para SHA-256, SHA-512, SM3, SHA3-256, SHAKE-128, SHAKE-256, AES-128, HARAKA-256 e HARAKA-512 dentro de um único datapath de 64 bits. Implementado em um FPGA Xilinx ZCU102, o sistema integra um Sistema de Processamento (PS) com uma CPU ARM Cortex-A53 e uma Lógica Programável (PL) que hospeda o coprocessador.

A arquitetura baseia-se em três inovações primárias:

1. Buffer Interno de Alta Largura de Banda (128×64-bit): Para abordar os gargalos de memória, o Crypto-RV emprega um buffer interno fortemente acoplado. Em vez de acessar repetidamente a memória off-chip para estados intermediários e blocos de mensagem, o processador inicializa o buffer uma única vez com constantes e palavras de mensagem. Isso permite que os estados intermediários permaneçam on-chip durante toda a sequência de rodadas. Instruções de movimentação de dados customizadas facilitam transferências em massa de até 128 palavras, desacoplando a reutilização de dados intra-rodada de alta largura de banda dos acessos off-chip de baixa largura de banda. Isso reduz a contagem de instruções de load/store e permite que as unidades especializadas em criptografia alcancem uma iteração de pipeline por ciclo após o aquecimento (warm-up).

2. Unidades de Execução Especializadas em Criptografia: O coprocessador utiliza motores unificados e pipelined para compartilhar recursos funcionais entre múltiplos algoritmos, mantendo um caminho crítico curto:

   • Unidade Unificada SM3/SHA-256/SHA-512: Um pipeline de quatro estágios que compartilha somadores e multiplexadores de seleção de modo. No modo SHA-512, processa um bloco de 1024 bits por ciclo; no modo SHA-256/SM3, o datapath de 32 bits processa dois blocos em paralelo, efetivamente dobrando o rendimento enquanto compartilha mais de 80% dos recursos aritméticos.
   • Unidade Unificada AES-128/HARAKA-256/512: Um pipeline de quatro estágios que acelera computações completas de Haraka, incluindo a geração de constantes de rodada (RC) a partir de chaves semente (SK) e chaves públicas (PK). Isso elimina o gargalo de RC que prejudica implementações parciais, permitindo a aceleração total para assinaturas baseadas em hash como SPHINCS+.
   • Unidade Unificada SHA3-256/SHAKE-128/256: Uma estrutura desenrolada (unrolled) de dois estágios que processa duas rodadas consecutivas de Keccak por ciclo de clock. Isso reduz a profundidade de iteração efetiva de 24 para 12 rodadas, reduzindo pela metade a latência em comparação com designs de rodada única, preservando o fechamento de tempo (timing closure) a 160 MHz.

3. Mecanismo de Double-Buffering: Para superar o descompasso de rendimento entre os núcleos especializados e os subsistemas de memória, o Crypto-RV implementa um esquema hierárquico de double-buffering entre uma Memória de Dados (DM) de 1024×64-bit e o Buffer interno de 128×64-bit. Isso permite que novos dados fluam para o buffer via DMA enquanto a computação prossegue no bloco atual, alcançando uma sobreposição perfeita de computação-DMA ($T_{total} \approx T_{compute}$). Isso suporta hashing multi-bloco contínuo e cargas de trabalho de muitos hashes sem travar o pipeline.

Resultados Experimentais
O Crypto-RV foi implementado no FPGA Xilinx ZCU102 operando a 160 MHz com um consumo de potência dinâmica de 0,851 W. O design ocupa 34.704 LUTs, 37.329 FFs e 22 BRAMs.

• Aceleração sobre o Baseline: Comparado a um núcleo RISC-V base, o Crypto-RV alcança acelerações variando de 165× a 1.061×. Especificamente, SHA-256/512/SM3 veem melhorias de 660×/604×/789×, enquanto AES-128 e HARAKA-256/512 atingem ganhos de 965×/1.061×/780×.
• Eficiência Energética: Quando comparado a CPUs poderosas (Intel i9-10940X, Intel i7-12700H e ARM Cortex-A53), o Crypto-RV demonstra eficiência energética superior (medida em Mbps/W). Ele alcança uma eficiência de 5,8× a 17,4× melhor que o Intel i9-10940X, com o SHA-512 atingindo um pico de 11,8× de melhoria (187,08 Mbps/W vs. 15,89 Mbps/W).
• Comparação com Trabalhos RISC-V Anteriores: O Crypto-RV reduz significativamente os ciclos por byte em comparação com aceleradores RISC-V relacionados. Por exemplo, é 56,70× mais rápido que o design de referência [11] para SHA-256 e até 1.291× mais rápido para SHA-512 em comparação ao design [13]. Ele atinge consistentemente de 2,0 a 4,1 ciclos/byte em todos os algoritmos suportados.

Significância e Alegações
O artigo afirma que o Crypto-RV fornece uma solução viável, de alto desempenho e energeticamente eficiente para o processamento criptográfico em ambientes de IoT com recursos limitados. Ao unificar o suporte para funções de hash padrão, cifras de bloco e primitivas pós-quânticas (HARAKA) em um único datapath de 64 bits, a arquitetura transforma as operações criptográficas de execução limitada por memória para execução limitada por computação. Os autores afirmam que a capacidade do design de lidar com operações de large-hash e tree-hash sem paradas de memória o torna particularmente adequado para aplicações emergentes de PQC. Além disso, o artigo posiciona o Crypto-RV como uma plataforma de hardware flexível que pode ser estendida em trabalhos futuros para acelerar totalmente a geração de assinatura SPHINCS+ através de núcleos especializados em tree-hash, estabelecendo uma base para a segurança IoT à prova de quantum.