💻 computer science

PQ-SEAL, Post-Quantum Secure Embedded Architecture with Leakage-Resilient AES on Ibex RV32IMC

本文介绍了 PQ-SEAL，这是一种在 FPGA 上实现的裸机 RISC-V 架构，它将 NIST 标准化的后量子密码学与一种抗泄漏的 AES-128 重密钥方案相结合，在不增加额外硬件成本的情况下，证明了其在抵御相关功率分析攻击方面实现了 31 倍的提升。

原作者： Charan Kasimahanti

发布于 2026-08-11

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Charan Kasimahanti

原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

数字堡垒与量子风暴

想象一下，互联网是一座规模宏大、繁忙拥挤的城市，每个人都在向彼此发送秘密信件。为了保护这些信件的安全，我们使用“锁”（加密）进行防护，这些锁极其复杂，即使是世界上最顶尖的数学家，在没有钥匙的情况下也无法破解。几十年来，这些锁一直非常坚固。然而，科学家们一直在研制一种名为“量子计算机”的新型工具。不要把它仅仅看作是一个更快的计算器，而要把它看作一把“神奇的万能钥匙”，可以在几秒钟内破解我们几乎所有的现有锁具。如果有人制造出这种机器，我们所有的秘密信件都可能被瞬间读取，即使这些信件是多年前写的。这是一个巨大的问题，因为坏人现在已经在窃取并保存我们的秘密信件，等待着能够解锁它们的那一天。

为了阻止这种情况，专家们正在设计新的“量子防范型”锁。这些新锁基于复杂的数学谜题，即使是量子计算机也难以轻易解决。但问题在于：制造这些新锁需要大量的脑力和内存，很难装进像智能传感器或简单芯片这样微小的设备中。此外，即使数学逻辑是完美的，一个狡猾的攻击者也可能试图通过观察设备工作时消耗电量的变化来窃取密钥。本文探讨了如何在非常小、非常简单的芯片上构建一个微型且超强的量子防范堡垒，同时还要建立一个神奇的护盾，以迷惑那些试图监视其功耗的间谍。

微型守护者：PQ-SEAL

认识一下 PQ-SEAL，这是一个由印度理工学院马德拉斯分校的研究员 Charan Kasimahanti 发起的项目。其目标是在一个微小的、裸机运行的计算机芯片（具体为运行在 FPGA 板上的 Iblex RV32IMC）上构建一个完整的安全通信系统。该芯片几乎没有任何内存——只有 64 KB 的 RAM，这甚至还不到一张高分辨率照片的大小。通常情况下，要在如此小的芯片上塞进先进的安全技术，就像是试图把一辆半挂卡车停进一个自行车棚里。

研究人员成功地将两项庞大的任务挤进了这个微小的空间：

量子防范握手： 他们实现了一种新的、符合 NIST 标准的密钥交换方式，使用了 ML-KEM 和 ML-DSA。这就是所谓的“握手”过程，即两台计算机互相确认：“你好，我是我所声称的那个人，这是我们可以使用的秘密密钥。”
抗泄露护盾： 他们添加了一个名为 LR4 重密钥化（rekeying） 的特殊技巧，用于保护握手之后发送的实际消息。

握手是如何工作的

想象两个间谍在公园里会面。他们不是通过低声耳语，而是通过一场复杂的舞蹈来传递秘密。

问候： 微型芯片（“板卡”）向一台功能强大的计算机（“主机”）发送一个公开身份卡（800 字节）。
魔术表演： 功能强大的计算机承担了繁重的计算工作。它利用这张身份卡生成一个秘密代码和一个数字签名，然后将其发回。
验证： 微型芯片检查签名是否有效。如果有效，双方使用一种特殊的数学函数（SHAKE-128）将共享的秘密转化为最终的 32 字节会话密钥。

整个舞蹈过程在运行速度为 50 MHz 的微型芯片上仅耗时 0.9 秒。对于一个既没有操作系统也没有额外内存辅助的设备来说，这速度惊人地快。

魔术护盾：LR4 重密钥化

一旦握手完成，双方就开始发送加密消息。这是论文中最巧妙的地方。通常，如果攻击者观察一个设备加密消息的过程，他们最终可以通过分析功耗（一种称为相关功率分析或 CPA 的方法）来推算出密钥。这就像是在听一个开保险箱的人：如果他每次转动拨盘的声音都一样，你就能猜出组合。

论文引入了一种名为 LR4 重密钥化 的对策。系统不再永久使用同一个密钥，而是每传输 10 个数据块 就更换一次密钥。

类比： 想象你正在用一个盒子发送秘密消息。普通的锁对每一个盒子都使用相同的钥匙。间谍观察你锁了 100 个盒子，最终识破了钥匙。
PQ-SEAL 的妙招： 每当你锁上第 10 个盒子时，锁会自动改变其内部机制，变成一个完全不同的随机密钥。间谍观察了前 10 个盒子，感到困惑，然后锁又变了。他们必须从头开始。

研究人员通过收集 300 对 消息及其加密结果进行了测试。

没有护盾（普通 AES）： 间谍在 300 次尝试后，可以锁定一个“排名”为 4 的密钥（这意味着真实的密钥就在前 4 个猜测之中）。
有了护盾（LR4）： 间谍的最佳猜测被卡在了“排名” 124。

这意味着当护盾开启时，攻击者的困惑程度和不确定性增加了 31 倍。论文证明，这种提升是在不需要任何额外硬件或特殊芯片的情况下实现的；它完全是通过软件实现的。

现实世界测试

为了证明这不仅仅是一个数学谜题，团队构建了一个实时的加密消息应用。用户可以发送群聊和私信。FPGA 板上的微型芯片在发送每条消息之前都会对其进行加密，而功能强大的计算机则负责解密。系统运行流畅，证明了即使在资源匮乏的微型芯片上，也可以拥有既具备量子抗性又防范功耗攻击间谍的安全对话。

这意味着什么

该论文并不声称解决了世界上所有的难题。研究人员承认，他们的测试是在受控的功耗模拟软件中进行的，尚未在实际芯片上使用物理功率计进行测试。他们还指出，代码仍可进一步优化，以防止计时攻击（即间谍根据计算所需的时间长短来猜测密钥）。

然而，这些结果是一个强有力的概念验证。他们展示了如何在没有操作系统的微型、廉价芯片上运行最新的、最安全的量子防范标准，并且只需通过改变切换密钥的频率，就能增加强大的物理防窃听防御。这是迈向未来的一步，让即使是最微小的设备也能在量子计算机和狡猾间谍面前保持安全。

技术摘要：PQ-SEAL

问题陈述

NIST 对后量子密码学（PQC）算法的标准化（特别是针对 ML-KEM 的 FIPS 203 和针对 ML-DSA 的 FIPS 204）强制要求将加密基础设施迁移到抗量子协议。然而，在资源受限的嵌入式系统上部署这些标准面临着双重挑战：

计算约束： 嵌入式处理器（例如 IoT 设备、FPGA 软核）通常运行在内存有限（<64 KB）、时钟频率低（<100 MHz）且缺乏操作系统或硬件加速器的环境下。格密码学（Lattice-based PQC）的算术需求（用于多项式乘法的数论变换 NTT）对于缺乏乘累加（MAC）加速的顺序流水线而言是非常显著的。
物理层漏洞： 虽然 PQC 解决了量子计算机的威胁，但保护数据的对称层（通常是 AES）仍然容易受到侧信道攻击的影响。具体而言，相关功率分析（CPA）可以在仅需几百条功率迹的情况下恢复 AES 密钥。现有的嵌入式平台上的 PQC 实现往往忽略了对称层的侧信道防护措施，而现有的泄漏弹性（LR）方案通常假设的是经典密钥建立而非 PQC。

在文献中，目前缺乏一个完整的、端到端的系统，能够将后量子握手集成到运行在严格内存限制下的裸机 RISC-V 软核上，并结合可证明的泄漏弹性对称加密方案。

方法论

作者提出了 PQ-SEAL（具有泄漏弹性 AES 的后量子安全嵌入式架构），其实现基于运行在 Xilinx Artix-7 FPGA 上的 Ibex RV32IMC 软核。

系统架构

硬件平台： 系统运行在 Nexys 4 DDR 板上，Ibex 内核运行频率为 50 MHz，拥有 64 KB 的统一 SRAM 预算。该系统没有操作系统、堆分配器或外部加密库。
固件占用： 固件占用了 64 KB SRAM 中的 53 KB。ML-KEM 和 ML-DSA 的密钥在编译时存储在 .rodata 中，以避免运行时密钥生成的开销以及对裸机目标平台上硬件真随机数生成器（TRNG）的需求。
通信： 该板通过帧格式化的 UART 通道（115200 波特率）与主机 PC 通信。主机负责执行所有的格算术运算（ML-KEM 封装、ML-DSA 签名、SHAKE-128 派生），使用 liboqs 和 PQClean；而开发板则处理对称加密和重密钥化（rekeying）。

协议设计

系统执行一个五步 PQ-TLS 握手：

客户端 Hello： 开发板向主机发送其 ML-KEM-512 公钥（800 B）。
主机封装： 主机在本地执行 ML-KEM-512 封装，以生成一个密文和一个共享密钥。
主机签名： 主机使用 ML-DSA-44 对公钥和密文的哈希进行签名。
服务端 Hello： 主机向开发板发送密文、其公钥以及签名（总计 4504 B）。
验证与密钥派生： 开发板验证签名，使用 SHAKE-128 从共享密钥中派生出会话密钥 ( $K_s$ )，并发送确认信息。

对称层与 LR4 重密钥化

握手后的通信使用 AES-128-CTR。为了缓解 CPA，系统实现了 LR4 重密钥化方案（源自 Fallen Sanctuary [12]）：

机制： 密钥每 $m=10$ 个数据块更新一次，递推公式为 $K_{i+1} = \text{AES}_{K_i}(K_i)$ 。
IV 生成： IV 通过 SHAKE-128 派生，以防止跨纪元（epoch）边界的计数器复用。
理论基础： 该构造被证明可以在不需要无泄漏避难所（leak-free sanctuary）的情况下，抵抗高达密钥规模生日界限的指数级调用，从而有效地限制了攻击者在每个密钥纪元内可利用的迹预算。

评估

功能验证： 系统成功完成了 10 次连续握手，且生成的会话密钥具有确定性。所有 300 个 AES 数据块在 30 次重密钥化事件中均与软件参考实现匹配。
侧信道分析 (CPA)： 作者从硬件中收集了 $N=300$ $N = 300$ 对明文-密文对。针对第一个 AES SubBytes 操作的汉明重量（Hamming Weight）进行了软件 CPA 攻击。
- 固定密钥 AES： 在 300 条迹后，密钥排名（key rank）降至 4，表明几乎完成了恢复。
- LR4 重密钥化： 在 300 条迹期间，密钥排名始终保持在 124。每次重密钥化事件（每 10 条迹一次）都会重置相关性累积，从而阻止攻击者区分真实的字节。

核心贡献

系统集成： 首次在 64 KB SRAM 约束下的裸机 Ibex RV32IMC 上实现了完整的 ML-KEM-512 + ML-DSA-44 后量子握手，并在 50 MHz 时实现了 0.9 秒的握手延迟。
防护措施实现： 部署了 LR4 重密钥化方案（ $K_{i+1} = \text{AES}_{K_i}(K_i)$ ，间隔 $m=10$ ）作为针对软核上 CPA 的零硬件开销防护措施。
经验验证： 通过软件 CPA 评估展示了仅靠重密钥化即可实现 31 倍的密钥排名提升（从 4 提升至 124），并对密文均匀性进行了完整的统计验证（熵、雪崩效应、卡方检验）。
应用演示： 构建了一个基于该安全通道的实时、基于角色的加密消息平台，在多用户部署场景下验证了系统的有效性。

结果

性能： 53 KB 的固件占用为 64 KB SRAM 留下了 11 KB 的余量。握手在 0.9 秒内完成。AES 吞吐量受限于 UART 波特率（115200），达到大约每秒 10 个数据块。
安全性： LR4 方案成功阻断了 CPA 所需的单调相关性积累。虽然固定密钥 AES 存在漏洞（排名 4），但重密钥化系统保持了高不确定性（排名 124），且无需额外的硬件成本。
统计特性： 固定密钥和重密钥化模式下的密文在统计上是不可区分的（香农熵 $\approx$ 7.99 bits/byte，卡方检验 $p > 0.05$ ），证实了重密钥化不会引入标准密码学分析可检测到的统计伪影。

意义与主张

本文声称提供了首次端到端的集成，即将 NIST 标准化的后量子密钥建立与可在裸机 RISC-V 软核上运行的可证明泄漏弹性对称层相结合。

作者强调，PQ-SEAL 为 64 KB 裸机部署环境建立了一个可靠的软件基准，证明了：

全套 PQC 握手在没有 OS 支持的受限软核上是可行的。
无需硬件加速器或显著的性能损失，即可在这些平台上实现泄漏弹性的对称加密。
PQC 与 LR4 的结合构建了针对量子威胁（通过 ML-KEM/DSA）和物理侧信道攻击（通过 LR4 重密钥化）的稳健防御。

该工作被呈现为一个开放且可复现的基础，用于未来关于后量子安全 RISC-V 平台通信的研究。作者指出，包括依赖于软件 CPA 评估（而非物理电磁/功率测量）以及使用非恒定时间 NTT 实现，这些都是未来的主要研究方向。