💻 computer science

Benchmarking Post-Quantum Cryptography on Resource-Constrained IoT Devices: ML-KEM and ML-DSA on ARM Cortex-M0+

本文针对资源受限的物联网设备，首次对 NIST 最终确定的 ML-KEM 和 ML-DSA 后量子密码标准在极度受限的 ARM Cortex-M0+ 处理器上进行了系统性基准测试，结果显示其性能显著优于传统椭圆曲线算法，并揭示了签名操作因拒绝采样导致的延迟方差问题。

原作者： Rojin Chhetri

发布于 2026-03-26

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Rojin Chhetri

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文就像是在给未来的“数字世界”做一场压力测试。

想象一下，现在的互联网安全（比如你手机里的银行 App、智能电表、医疗传感器）都依赖于一把“古典锁”（RSA 或 ECC 加密）。但是，科学家预测，未来会出现一种超级强大的“量子计算机”，它就像一把万能钥匙，能在几秒钟内打开这些古典锁。一旦量子计算机普及，我们今天传输的所有秘密数据（比如你的健康记录、电网控制指令）都可能被破解。这就是所谓的“现在收割，未来解密”的威胁。

为了应对这个威胁，美国国家标准与技术研究院（NIST）刚刚发布了新的“超级锁”标准，叫做 ML-KEM（用来加密通信）和 ML-DSA（用来验证身份）。

这篇论文的核心任务就是：把这些新锁装进最便宜、最简陋的“小房子”里，看看能不能转得动。

1. 为什么要选“最简陋的小房子”？

现在的物联网设备（IoT）种类繁多。有些是高性能的（像 Cortex-M4），但还有很多极度受限的设备，比如几块钱一个的智能水表、工业传感器。它们使用的芯片是 ARM Cortex-M0+。

比喻：如果把高性能芯片比作一辆法拉利，那 Cortex-M0+ 就是一辆老式自行车。
挑战：这辆“自行车”没有助力马达（没有 64 位乘法指令），没有高级导航（没有 SIMD 指令），而且座位很少（寄存器少）。
问题：在这种“自行车”上，能不能骑得动“超级锁”？以前没人测过，因为之前的测试都只针对“法拉利”。

2. 实验过程：给“自行车”装上“超级锁”

作者把新的加密算法（ML-KEM 和 ML-DSA）装在了树莓派 Pico（RP2040）开发板上，这块板子用的就是这种“自行车”芯片。他们像做实验一样，记录了三个关键指标：

A. 速度（时间）

加密通信 (ML-KEM)：
- 结果：非常快！完成一次完整的“握手”（建立安全连接）只需要 35.7 毫秒。
- 对比：这比原来的老式加密（ECDH）快了 17 倍！
- 比喻：以前用老锁，两个人握手要跑完一个操场；现在用新锁，只要跑完一个篮球场。
数字签名 (ML-DSA)：
- 结果：速度很不稳定。平均要几百毫秒，但有时候会突然变慢，甚至超过 1 秒。
- 原因：这个算法有一个“拒绝采样”的机制。就像你在抽奖，如果抽到的号码不对，就得重抽，直到抽到对的为止。有时候运气好一次就中，有时候要抽很多次。
- 比喻：这就像在拥挤的地铁里找座位。大部分时候你很快就能坐下，但偶尔你可能要转好几圈都找不到，导致你迟到。这对需要严格定时的工业控制来说是个麻烦。

B. 能耗（电量）

结果：非常省电。
对比：新锁比老锁省电 94%。
比喻：如果老式加密是“喝一瓶可乐跑完马拉松”，那新加密就是“喝一口水就能跑完”。对于电池只能用几年的智能水表来说，这简直是救命稻草。

C. 内存（空间）

结果：虽然新锁有点大，但“自行车”的后备箱（264KB 内存）勉强装得下。
比喻：
- 加密通信（ML-KEM）就像带个小背包，完全没问题。
- 数字签名（ML-DSA）就像带个大行李箱，尤其是最高安全级别的版本，几乎占满了整个后备箱。如果还要装其他东西，空间就很紧张了。

3. 核心发现与启示

“自行车”也能跑得快：
虽然“自行车”（Cortex-M0+）比“法拉利”（Cortex-M4）慢，但只慢了 1.8 到 1.9 倍。这比大家预想的要快得多！这意味着，即使是几块钱的廉价设备，也能安全地升级到抗量子时代。
签名是个“看运气”的活：
数字签名（ML-DSA）的时间波动很大。如果你要控制一个不能停机的机器（比如心脏起搏器或工厂流水线），这种“看运气”的延迟可能是致命的。
- 建议：要么提前把签名准备好（趁机器空闲时），要么给系统留个“超时重试”的机制。
内存是瓶颈：
对于最顶级的安全级别，内存占用很大。如果你的设备内存特别小（比如只有 10KB），可能连最基础的加密都跑不起来，需要专门的硬件加速。

4. 总结：这对我们意味着什么？

这篇论文就像是一份**“生存指南”**。它告诉我们：

好消息：我们不需要等到超级计算机普及了才担心量子黑客。即使是现在最便宜、最简陋的物联网设备，只要稍微优化一下，完全有能力换上新的“抗量子锁”。
坏消息：新锁里的“签名”功能有点任性（时间不稳定），而且比较占地方（内存）。
行动：开发者在设计未来的智能设备时，必须考虑到这些新锁的特性，给它们留出足够的内存，并设计好应对“签名延迟”的策略。

一句话总结：
这篇论文证明了，即使是最简陋的“自行车”（廉价物联网芯片），也能装上最新的“抗量子防弹衣”，虽然穿起来有点重，而且偶尔会喘口气（签名延迟），但绝对能跑起来，而且比穿旧衣服（老式加密）更省力、更安全。

这是一份关于论文《Benchmarking NIST-Standardised ML-KEM and ML-DSA on ARM Cortex-M0+: Performance, Memory, and Energy on the RP2040》的详细技术总结。

1. 研究背景与问题 (Problem)

后量子密码（PQC）迁移的紧迫性：随着量子计算机的发展，现有的公钥算法（如 RSA、ECC）面临被破解的风险。对于寿命长达 10-20 年的物联网（IoT）设备（如智能电表、医疗传感器），必须提前部署抗量子攻击的算法，以应对“现在收集，未来解密”（Harvest Now, Decrypt Later）的威胁。
NIST 新标准：2024 年 8 月，NIST 发布了最终的后量子密码标准：FIPS 203 (ML-KEM，基于格的密钥封装机制) 和 FIPS 204 (ML-DSA，基于格的数字签名)。
现有研究缺口：
- 现有的基准测试（如 pqm4）主要针对性能较好的 ARM Cortex-M4 处理器。
- Cortex-M0+ 是受资源限制最严重的 32 位处理器（Class-1 IoT 设备，成本<5 美元），缺乏 64 位乘法指令、DSP/SIMD 扩展，且寄存器较少。
- 此前虽有针对 Cortex-M0/M0+ 的 PQC 研究，但均基于非标准化的算法版本（如 Kyber, Dilithium, Saber），缺乏对最终版 NIST 标准 (FIPS 203/204) 在 Cortex-M0+ 上的系统性基准测试。
核心问题：在资源极度受限的 Cortex-M0+ 上，运行标准化的 ML-KEM 和 ML-DSA 是否可行？其性能、内存占用和能耗表现如何？

2. 方法论 (Methodology)

硬件平台：
- 设备：Raspberry Pi Pico (RP2040)。
- 处理器：双核 ARM Cortex-M0+，主频 133 MHz。
- 关键特性：264 KB SRAM，2 MB QSPI Flash。RP2040 实现了单周期 32x32 位乘法器（许多 M0+ 实现为 32 周期），这对 PQC 性能至关重要。
- 配置：仅使用一个核心进行基准测试，另一个核心空闲。
软件实现：
- 算法库：使用 PQClean 的参考 C 语言实现（ML-KEM 和 ML-DSA 的所有安全等级：512/768/1024 和 44/65/87）。
- 编译：使用 arm-none-eabi-gcc 编译，未使用针对 M0+ 的特定汇编优化，旨在建立基准线。
- 对比基线：在同一硬件上测试了经典算法（RSA-2048, ECDSA P-256, ECDH P-256）作为对比。
测量指标：
- 时间：使用硬件定时器测量微秒级延迟。ML-KEM 操作运行 30 次，ML-DSA 签名运行 100 次以捕捉方差。
- 内存：使用“栈染色”（Stack Painting）技术测量峰值栈使用量；使用 arm-none-eabi-size 测量代码（Flash）大小。
- 能耗：基于 RP2040 数据手册模型估算（3.3V, 24mA, 79.2mW 活跃功率），公式为 $E = t \times 0.0792$ 。
- 统计：报告平均值、最小/最大值、标准差、变异系数（CV）以及 ML-DSA 的 95th/99th 百分位延迟。

3. 主要贡献 (Key Contributions)

首个标准化基准测试：首次提供了在 Cortex-M0+ 上针对 NIST 最终标准（FIPS 203/204）的隔离算法级基准测试，涵盖所有安全等级。
ML-DSA 签名延迟方差分析：深入分析了 FIPS 204 中“拒绝采样”（Rejection Sampling）机制对受限硬件的影响，揭示了签名时间的非确定性特征。
完整的内存兼容性图谱：在 264 KB SRAM 设备上绘制了所有算法变体的峰值栈和 Flash 占用图，评估了其在 Class-1 IoT 设备上的可行性。
开源可复现套件：发布了包含代码、串口捕获脚本和原始数据的开源基准测试套件。

4. 关键结果 (Key Results)

A. 性能与时间 (Timing)

ML-KEM (密钥交换)：
- ML-KEM-512：完成一次完整密钥交换（密钥生成 + 封装 + 解封装）仅需 35.7 ms。
- 对比经典算法：比同一硬件上的 ECDH P-256 快 17 倍（ECDH 需 617 ms）。
- 高阶安全：ML-KEM-1024 需 85.7 ms。
- 确定性：ML-KEM 操作具有高度确定性（变异系数 CV < 1.5%）。
ML-DSA (数字签名)：
- 高方差：由于拒绝采样，签名时间波动极大。
  - ML-DSA-44：平均 158.9 ms，但 99% 分位数高达 489.9 ms。
  - ML-DSA-87：平均 355.2 ms，99% 分位数高达 1,125 ms（超过 1 秒）。
- 变异系数：签名操作的 CV 在 66% - 73% 之间，表明最坏情况可能比平均情况慢数倍。
架构差异：Cortex-M0+ 相比 Cortex-M4（运行相同参考 C 代码）仅慢了 1.8 - 1.9 倍。这比通常预期的 3-7 倍差距要小，主要归功于 RP2040 的单周期乘法器。

B. 能耗 (Energy)

ML-KEM-512：一次完整密钥交换消耗 2.83 mJ。
对比：比 ECDH P-256 (48.9 mJ) 节能 94%。
ML-DSA：ML-DSA-44 签名周期（生成 + 签名 + 验证）消耗 19.2 mJ，优于 ECDSA P-256 (39.4 mJ)。

C. 内存占用 (Memory)

ML-KEM：所有等级均能轻松适应 264 KB SRAM。
- ML-KEM-512 解封装峰值栈占用约 9.4 KB。
- ML-KEM-1024 峰值栈占用约 20.0 KB。
ML-DSA：内存需求显著更高，且随安全等级急剧增加。
- ML-DSA-44 签名峰值栈：50.6 KB。
- ML-DSA-65 签名峰值栈：77.6 KB。
- ML-DSA-87 签名峰值栈：119.6 KB（占 RP2040 总 SRAM 的约 45%）。
- 注：论文修正了初版数据，指出早期测量因栈空间不足导致溢出，实际占用远高于初版报告。

5. 意义与结论 (Significance & Conclusion)

可行性验证：研究证明，基于格的 PQC 算法（ML-KEM 和 ML-DSA）在成本低于 5 美元的 Cortex-M0+ 处理器上是可行的。这使得“现在收集，未来解密”的威胁对最受限的 IoT 设备也变得可防御。
ML-KEM 的适用性：ML-KEM 非常适合 Class-1 IoT 设备的密钥交换，速度快、能耗低且确定性高。
ML-DSA 的挑战：虽然可行，但 ML-DSA 签名的高延迟方差是实时系统（如工业控制回路）的重大挑战。
- 建议：对于硬实时应用，需采用预计算策略、超时重试机制，或考虑使用确定性签名的 SLH-DSA (FIPS 205)。
内存限制：对于 Class-1 设备（通常 RAM < 100 KB），运行 ML-DSA-87 可能不可行，但 ML-KEM-512/768 和 ML-DSA-44 是可行的。
未来方向：
- 针对 ARMv6-M 架构的汇编优化（特别是 NTT 内核）。
- 利用 RP2040 的双核特性（一核处理 I/O，一核处理加密）。
- 评估侧信道攻击防护（如掩码技术）带来的开销。

总结：该论文填补了 NIST 标准化后量子算法在最受限 IoT 处理器上基准测试的空白，表明在无需专用硬件加速器的情况下，通过软件实现即可在低成本设备上部署后量子安全，但需特别注意 ML-DSA 签名的非确定性和高内存需求。