💻 computer science

PQ-SEAL, Post-Quantum Secure Embedded Architecture with Leakage-Resilient AES on Ibex RV32IMC

Este artigo apresenta o PQ-SEAL, uma implementação bare-metal de RISC-V em um FPGA que integra criptografia pós-quântica padronizada pelo NIST com um esquema de rechaveamento AES-128 resiliente a vazamentos, demonstrando uma melhoria de 31 vezes na resistência contra ataques de Análise de Potência por Correlação sem custos de hardware adicionais.

Autores originais: Charan Kasimahanti

Publicado 2026-08-11

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Charan Kasimahanti

Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

A Fortaleza Digital e a Tempestade Quântica

Imagine a internet como uma cidade enorme e movimentada onde todos enviam cartas secretas uns aos outros. Para manter essas cartas seguras, usamos "fechaduras" (criptografia) que são tão complexas que até os melhores matemáticos do mundo não conseguem abrir sem a chave. Por décadas, essas fechaduras foram incrivelmente fortes. No entanto, cientistas têm construído um novo tipo de ferramenta chamada "computador quântico". Pense nisso não como uma calculadora mais rápida, mas como uma chave mestra mágica que pode abrir quase todas as nossas fechaduras atuais em segundos. Se alguém construir essa máquina, todas as nossas cartas secretas poderão ser lidas instantaneamente, mesmo que tenham sido escritas anos atrás. Isso é um grande problema porque os vilões já estão roubando e guardando nossas cartas secretas hoje, esperando pelo dia em que poderão desbloqueá-las.

Para impedir isso, especialistas estão projetando novas fechaduras que são "à prova de quântica". Essas novas fechaduras são baseadas em quebra-cabeças matemáticos complexos que nem mesmo um computador quântico consegue resolver facilmente. Mas há um porém: criar essas novas fechaduras exige muita capacidade cerebral e memória, o que é difícil de encaixar em dispositivos minúsculos, como sensores inteligentes ou chips simples. Além disso, mesmo que a matemática seja perfeita, um atacante astuto pode tentar roubar a chave observando quanta eletricidade o dispositivo usa enquanto trabalha. Este artigo explora como construir uma fortaleza minúscula, super forte e à prova de quântica em um chip muito pequeno e simples, enquanto também ergue um escudo mágico que confunde qualquer um que tente espionar seu uso de energia.

O Pequeno Guardião: PQ-SEAL

Conheça o PQ-SEAL, um projeto criado por um pesquisador chamado Charan Kasimahanti, do Instituto Indiano de Tecnologia de Madras. O objetivo era construir um sistema de comunicação completo e seguro em um chip de computador minúsculo e de bare-metal (especificamente um Ibex RV32IMC rodando em uma placa FPGA) que possui quase nenhuma memória — apenas 64 KB de RAM, o que é menos que uma única foto de alta resolução. Normalmente, encaixar segurança avançada em um chip tão pequeno é como tentar estacionar um caminhão semirreboque em um depósito de bicicletas.

Os pesquisadores conseguiram espremer duas tarefas massivas neste espaço minúsculo:

O Aperto de Mão à Prova de Quântica: Eles implementaram uma nova forma padronizada pelo NIST para trocar chaves usando ML-KEM e ML-DSA. Este é o "aperto de mão" onde dois computadores dizem: "Olá, eu sou quem eu digo ser, e aqui está uma chave secreta que podemos usar".
O Escudo Resiliente a Vazamentos: Eles adicionaram um truque especial chamado rechaveamento LR4 para proteger as mensagens reais enviadas após o aperto de mão.

Como o Aperto de Mão Funciona

Imagine dois espiões se encontrando em um parque. Em vez de sussurrar um segredo, eles realizam uma dança complexa.

A Saudação: O chip minúsculo (a "Placa") envia um cartão de identidade público (800 bytes) para um computador poderoso (o "Host").
O Truque de Mágica: O computador poderoso faz o trabalho pesado. Ele usa o cartão de identidade para criar um código secreto e uma assinatura digital, e então os envia de volta.
A Verificação: O chip minúsculo verifica a assinatura. Se ela for válida, ambos os lados usam uma função matemática especial (SHAKE-128) para transformar o segredo compartilhado em uma chave de sessão de 32 bytes final.

Todo esse processo levou apenas 0,9 segundos no chip minúsculo, que estava rodando a 50 MHz. Isso é incrivelmente rápido para um dispositivo sem sistema operacional e sem ajudantes de memória extras.

O Escudo Mágico: Rechaveamento LR4

Uma vez concluído o aperto de mão, os dois lados começam a enviar mensagens criptografadas. É aqui que o artigo fica realmente inteligente. Normalmente, se um atacante observa um dispositivo criptografar mensagens, ele pode eventualmente descobrir a chave analisando o consumo de energia (um método chamado Análise de Correlação de Potência ou CPA). É como ouvir um especialista em abrir cofres; se ele gira o disco da mesma maneira toda vez, você pode adivinhar a combinação.

O artigo introduz uma contramedida chamada rechaveamento LR4. Em vez de usar a mesma chave para sempre, o sistema muda a chave a cada 10 blocos de dados.

A Analogia: Imagine que você está enviando uma mensagem secreta em uma caixa. Uma fechadura normal usa a mesma chave para cada caixa. Um espião observa você trancar 100 caixas e acaba descobrindo a chave.
O Truque do PQ-SEAL: Toda vez que você tranca a 10ª caixa, a fechadura automaticamente muda seu mecanismo interno para uma chave nova e completamente aleatória. O espião observa as primeiras 10 caixas, fica confuso e, então, a fechadura muda. Ele tem que começar tudo de novo.

Os pesquisadores testaram isso coletando 300 pares de mensagens e seus resultados criptografados.

Sem o escudo (AES Comum): O espião poderia descobrir a chave com um "rank" de 4 (significando que a chave real era uma das 4 melhores suposições) após 300 tentativas.
Com o escudo (LR4): A melhor suposição do espiã ficou estagnada em um "rank" de 124.

Isso significa que o atacante ficou 31 vezes mais confuso e incerto quando o escudo estava ativo. O artigo prova que esse melhoria ocorreu sem a necessidade de nenhum hardware extra ou chips especiais; foi feito inteiramente via software.

O Teste do Mundo Real

Para mostrar que isso não era apenas um quebra-cabeça matemático, a equipe construiu um aplicativo de mensagens criptografadas ao vivo. Os usuários podiam enviar chats de grupo e mensagens diretas. O chip minúsculo na placa FPGA criptografava cada mensagem antes de enviá-la, e o computador poderoso a descriptografava. O sistema funcionou perfeitamente, provando que, mesmo em um chip minúsculo e carente de recursos, é possível ter uma conversa segura e resistente ao quântico que também é segura contra espiões que monitoram o consumo de energia.

O Que Isso Significa

O artigo não afirma ter resolvido todos os problemas do mundo. Os pesquisadores admitem que seus testes foram feitos em uma simulação de software controlada de uso de energia, não com medidores de energia físicos no chip real ainda. Eles também observaram que o código poderia ser melhorado para evitar ataques de tempo (onde um espião adivinha a chave com base no tempo que uma computação leva).

No entanto, os resultados são uma prova de conceito robusta. Eles mostraram que você pode rodar os padrões mais recentes e seguros de proteção quântica em um chip minúsculo e barato sem um sistema operacional, e que você pode adicionar uma defesa poderosa contra espionagem física apenas mudando a frequência com que troca as chaves. É um passo em direção a um futuro onde até os menores dispositivos podem permanecer seguros tanto contra computadores quânticos quanto contra espiões astutos.

Resumo Técnico: PQ-SEAL

Declaração do Problema

A padronização de algoritmos de Criptografia Pós-Quântica (PQC) pelo NIST (especificamente FIPS 203 para ML-KEM e FIPS 204 para ML-DSA) exige a migração da infraestrutura criptográfica para protocolos resistentes ao quântico. No entanto, implantar esses padrões em sistemas embarcados com recursos limitados apresenta um desafio duplo:

Restrições Computacionais: Processadores embarcados (ex: dispositivos IoT, softcores de FPGA) frequentemente operam com RAM limitada (<64 KB), baixas velocidades de clock (<100 MHz) e carecem de sistemas operacionais ou aceleradores de hardware. As demandas aritméticas da criptografia baseada em redes (Transformada de Número Teórico para multiplicação de polinômios) são significativas para pipelines in-order sem aceleração de multiply-accumulate.
Vulnerabilidades da Camada Física: Embora a PQC aborde a ameaça de computadores quânticos, a camada simétrica que protege os dados (tipicamente AES) permanece vulnerável a ataques de canal lateral. Especificamente, a Análise de Potência por Correlação (CPA) pode recuperar chaves AES a partir de algumas centenas de traços de potência. As implementações de PQC existentes em plataformas embarcadas frequentemente negligenciam contramedidas de canal lateral na camada simétrica, enquanto esquemas de vazamento resiliente (LR) existentes frequentemente assumem o estabelecimento de chaves clássicas em vez de PQC.

Existe uma lacuna na literatura para um sistema completo e de ponta a ponta que integre um aperto de mão (handshake) pós-quântico com um esquema de criptografia simétrica provadamente resiliente a vazamentos em um softcore RISC-V bare-metal sob estritas restrições de memória.

Metodologia

O autor apresenta o PQ-SEAL (Arquitetura Embarcada Segura Pós-Quântica com AES Resiliente a Vazamentos), implementado em um softcore Ibex RV32IMC rodando em um Xilinx Artix-7 FPGA.

Arquitetura do Sistema

Plataforma de Hardware: O sistema roda em uma placa Nexys 4 DDR com o núcleo Ibex operando a 50 MHz e um orçamento unificado de 64 KB de SRAM. Nenhum SO, alocador de heap ou bibliotecas criptográficas externas são utilizados.
Pegada de Firmware: O firmware ocupa 53 KB dos 64 KB de SRAM. As chaves para ML-KEM e ML-DSA são armazenadas em .rodata no momento da compilação para evitar sobrecarga de geração de chave em tempo de execução e a necessidade de um Gerador de Números Aleatórios Verdadeiros (TRNG) de hardware no alvo bare-metal.
Comunicação: A placa comunica-se com um PC host via um canal UART enquadrado (115200 baud). O host realiza toda a aritmética baseada em redes (encapsulamento ML-KEM, assinatura ML-DSA, derivação SHAKE-128) usando liboqs e PQClean, enquanto a placa lida com a criptografia simétrica e o rekeying.

Design do Protocolo

O sistema executa um Handshake PQ-TLS de cinco etapas:

Client Hello: A placa envia sua chave pública ML-KEM-512 (800 B) para o host.
Encapsulamento do Host: O host realiza o encapsulamento ML-KEM-512 localmente para gerar um texto cifrado e um segredo compartilhado.
Assinatura do Host: O host assina um hash da chave pública e do texto cifrado usando ML-DSA-44.
Server Hello: O host envia o texto cifrado, sua chave pública e a assinatura (4504 B no total) para a placa.
Verificação e Derivação de Chave: A placa verifica a assinatura, deriva a chave de sessão ( $K_s$ ) usando SHAKE-128 a partir do segredo compartilhado e envia um reconhecimento.

Camada Simétrica & Rekeying LR4

A comunicação pós-handshake utiliza AES-128-CTR. Para mitigar a CPA, o sistema implementa o esquema de rekeying LR4 (de Fallen Sanctuary [12]):

Mecanismo: A chave é atualizada a cada $m=10$ blocos usando a recorrência $K_{i+1} = \text{AES}_{K_i}(K_i)$ .
Geração de IV: Os IVs são derivados via SHAKE-128 para evitar a reutilização de contador entre fronteiras de época.
Base Teórica: Esta construção é provada para resistir a invocações exponenciais até o limite de aniversário (birthday bound) do tamanho da chave sem exigir um santuário livre de vazamentos, efetivamente limitando o orçamento útil de traços do atacante por época de chave.

Avaliação

Verificação Funcional: O sistema completou com sucesso 10 handshakes consecutivos com chaves de sessão determinísticas. Todos os 300 blocos AES através de 30 eventos de rekeying corresponderam a uma implementação de referência em software.
Análise de Canal Lateral (CPA): O autor coletou $N=300$ $N = 300$ pares texto simples-texto cifrado do hardware. Uma análise CPA de software foi realizada visando o Peso de Hamming da primeira operação SubBytes do AES.
- AES de Chave Fixa: O ranking da chave caiu para 4 em 300 traços, indicando recuperação quase completa.
- Rekeying LR4: O ranking da chave permaneceu em 124 durante os 300 traços. Cada evento de rekeying (a cada 10 traços) resetou a acumulação de correlação, impedindo o atacante de discriminar o byte real da chave.

Principais Contribuições

Integração de Sistema: A primeira implementação completa de um handshake pós-quântico ML-KEM-512 + ML-DSA-44 em um bare-metal Ibex RV32IMC dentro de uma restrição de 64 KB de SRAM, alcançando uma latência de handshake de 0,9 segundos a 50 MHz.
Implementação de Contramedida: O deployment do esquema de rekeying LR4 ( $K_{i+1} = \text{AES}_{K_i}(K_i)$ com $m=10$ ) como uma contramedida de custo zero de hardware contra CPA em um softcore.
Validação Empírica: Uma avaliação CPA de software demonstrando uma melhoria de 31× no ranking da chave (de 4 para 124) usando apenas o rekeying, com validação estatística completa da uniformidade do texto cifrado (entropia, efeito avalanche, testes qui-quadrado).
Demonstração de Aplicação: Uma plataforma de mensagens criptografada baseada em papéis em tempo real construída sobre o canal seguro, validando o sistema em um cenário de implantação multiusuário.

Resultados

Desempenho: A pegada de 53 KB de firmware deixa 11 KB de headroom de SRAM. O handshake completa em 0,9 segundos. O throughput do AES é limitado pela taxa de transmissão UART (115200) em vez da capacidade do processador, alcançando aproximadamente 10 blocos por segundo.
Segurança: O esquema LR4 interrompeu com sucesso a construção monotônica de correlação necessária para CPA. Enquanto o AES de chave fixa era vulnerável (Rank 4), o sistema rekeyed manteve alta incerteza (Rank 124), sem custo adicional de hardware.
Propriedades Estatísticas: Os textos cifrados de ambos os modos (chave fixa e rekeyed) foram estatisticamente indistinguíveis (entropia de Shannon ≈7,99 bits/byte, qui-quadrado $p > 0,05$ ), confirmando que o rekeying não introduz artefatos estatísticos detectáveis por análises criptográficas padrão.

Significância e Alegações

O artigo afirma fornecer a primeira integração de ponta a ponta de estabelecimento de chaves pós-quânticas padronizadas pelo NIST com uma camada simétrica provadamente resiliente a vazamentos em um softcore RISC-V bare-metal.

O autor enfatiza que o PQ-SEAL estabelece uma linha de base de software fiel para o envelope de implantação bare-metal de 64 KB, provando que:

Handshakes PQC completos são viáveis em softcores restritos sem suporte de SO.
Criptografia simétrica resiliente a vazamentos pode ser alcançada em tais plataformas sem aceleradores de hardware ou penalidades significativas de desempenho.
A combinação de PQC e LR4 cria uma defesa robusta contra tanto ameaças quânticas (via ML-KEM/DSA) quanto ataques físicos de canal lateral (via rekeying LR4).

O trabalho é apresentado como uma fundação aberta e reproduzível para pesquisas futuras em canais seguros pós-quânticos em plataformas RISC-V embarcadas. O autor observa limitações, incluindo a dependência de avaliação CPA baseada em software (em vez de medições físicas de EM/potência) e o uso de implementações NTT de tempo não constante, identificando estas como as principais direções para trabalhos futuros.