BipBipCache: Pipeline-Aware Integration of Low-Latency Tweakable Encryption in an Embedded Cache Controller

Resumo Técnico: BipBipCache – Integração Sensível ao Pipeline de Criptografia Ajustável de Baixa Latência em um Controlador de Cache Embarcado

Definição do Problema
Processadores de consumo e embarcados frequentemente armazenam dados sensíveis (credenciais, dados pessoais, segredos de firmware) em caches SRAM integradas no chip. Diferente da memória principal, o conteúdo desses caches é tipicamente não criptografado em microarquiteturas comerciais, deixando-os vulneráveis a ataques de cold-boot, sondagem direta de SRAM e observação offline de barramentos de memória. Embora existam proteções de software, elas frequentemente impõem um overhead inaceitável para plataformas embarcadas de baixo custo. Contramedidas de hardware existentes, como ScatterCache e SCARF, abordam canais laterais microarquiteturais (ex: Prime+Probe) via randomização de cache, mas não fornecem confidencialidade contra leitura física. Há uma necessidade de uma solução de hardware transparente e de baixa latência que criptografe dados e tags de cache para proteger contra ataques físicos e de nível de barramento sem incorrer em penalidades de desempenho proibitivas.

Metodologia
Os autores propõem o BipBipCache, um controlador de cache de mapeamento direto que integra a cifra de bloco ajustável (TBC) BipBip para criptografar tanto os dados quanto as tags do cache em tempo real. O design baseia-se em três componentes metodológicos principais:

1. Mapeamento Criptográfico (Decomposição Estilo C3): O BipBip opera em blocos de 24 bits com tweaks de 40 bits, o que não se alinha nativamente com palavras de cache padrão de 64 bits. Os autores adotam uma estratégia de decomposição inspirada no Cryptographic Capability Computing (C3). Cada palavra de cache de 64 bits é dividida em um segmento de texto plano de 24 bits e um contexto de tweak de 40 bits derivado dos bits restantes. O segmento de 24 bits é criptografado, enquanto os bits de tweak de 40 bits passam inalterados, vinculando o texto cifrado ao endereço de memória ou contexto específico sem expandir o tamanho da palavra.
2. Criptografador Pipelined de Engenharia Reversa: A especificação oficial do BipBip fornece um decriptador de 3 ciclos, mas carece de um criptografador otimizado para hardware. Os autores realizaram engenharia reversa das funções de rodada centradas no decriptador para construir o primeiro criptografador BipBip pipelined em VHDL. Este criptografador opera com uma latência de 6 ciclos, comparado à latência de 3 ciclos do decriptador.
3. Design de Controlador Sensível ao Pipeline: Para mitigar a latência de criptografia de 6 ciclos durante operações de escrita, o controlador explora a assimetria entre criptografia e decriptação. O caminho de escrita armazena o texto plano em buffer enquanto o caminho da tag realiza simultaneamente a detecção de hit. Os primeiros três ciclos do processo de criptografia sobrepõem-se à verificação da tag e detecção de hit. Consequentemente, o sinal de write enable é assertado apenas após a confirmação do hit (ciclo 3), o que significa que o processo de criptografia já está em andamento. Isso resulta em uma penalidade de escrita efetiva de apenas 3 ciclos adicionais após a verificação do hit, em vez de um travamento (stall) completo de 6 ciclos.

Principais Contribuições
O artigo detalha quatro contribuições primárias:

• Primeiro Criptografador BipBip de Hardware: A reconstrução de um criptografador pipelined de 6 ciclos em VHDL, verificado contra a implementação de referência oficial em C++.
• Protótipo de Cache Criptografado: Um controlador de cache de mapeamento direto integrando três instâncias de BipBip (criptografia de dados, decriptação de dados e decriptação de tag) com um esquema de mapeamento 64-bit-para-(24+40) documentado.
• Análise de Sobreposição de Pipeline: Uma demonstração de que a decriptação do caminho da tag pode sincronizar-se com o criptografador para ocultar parte da latência de escrita, reduzindo o compromisso de escrita efetivo para 3 ciclos pós-hit.
• Avaliação em FPGA: Resultados abrangentes de síntese e implementação em dispositivos Xilinx Artix-7, incluindo métricas de utilização de recursos e verificação funcional em placa.

Resultos
O design foi implementado e verificado usando AMD Vivado 2025.2 e testado em FPGAs Xilinx Artix-7 (especificamente a placa Nexys A7).

• Corretude: Tanto o testbench do criptografador quanto o do decriptador corresponderam à referência oficial em C++ do BipBip em cinco vetores de verificação.
• Latência: Os testes de pipeline confirmaram as latências esperadas de 6 ciclos para criptografia e 3 ciclos para decriptação.
• Utilização de Recursos: Em um Artix-7 (xc7a35tcpg236-1), o design utilizou 3.356 Slice LUTs (16,1% do dispositivo), com a lógica criptográfica respondendo por aproximadamente 79% do uso de LUTs. O design opera a 100 MHz em simulação e em hardware.
• Verificação End-to-End: Testes em nível de placa confirmaram o sucesso da rodada de criptografia e decriptação de palavras e tags de cache, com as saídas decriptadas correspondendo aos inputs originais de texto plano.

Significância e Alegações
Os autores posicionam o BipBipCache como um estudo de viabilidade demonstrando que cifras de bloco ajustáveis de ultra-baixa latência podem ser integradas em controladores de cache embarcados com overhead de pipeline limitado. O trabalho destaca que, embora o tamanho de bloco pequeno do BipBip (24 bits) exija um mapeamento cuidadoso para palavras de cache completas, a arquitetura resultante protege com sucesso o conteúdo residente no cache contra ataques de cold-boot e leitura física.

O artigo declara explicitamente suas limitações:

• Escopo de Segurança: Protege a confidencialidade contra leitura física, mas não mitiga canais laterais microarquiteturais (que exigem caches randomizados).
• Integridade: O sistema fornece metadados com evidência de violação (tags criptografadas), mas não oferece autenticação forte ou MACs contra adversários ativos.
• Margem Criptográfica: Os autores reconhecem que a margem de segurança teórica do BipBip é estreita após criptoanálise de rodada completa, e apenas 24 bits por palavra são fortemente permutados.
• Trabalhos Futuros: Os autores sugerem direções futuras, incluindo a substituição de primitivas (ex: QARMA, MANTIS), proteção de índices de conjunto, análise formal de canais laterais e integração do design em cargas de trabalho completas de SoC.

A significância do trabalho reside na sua demonstração prática de uma arquitetura de cache com foco em "confidencialidade primeiro", que equilibra as restrições de sistemas embarcados de baixa latência com a necessidade de proteção de dados baseada em hardware.