AEGIS: تشفير موثّق عالي السرعة

صُمم AEGIS خصيصًا للاستفادة إلى أقصى حد من تسريع العتاد AES-NI، محققًا معدل نقل يتجاوز AES-GCM بفارق كبير على وحدات المعالجة المركزية الحديثة. وقد قُدم إلى مسابقة CAESAR، ثم وُحّد لاحقًا في مسودة IETF لاستخدامه في TLS وQUIC.

يأتي AEGIS في تنويعين أساسيين: AEGIS-128 (مفتاح بحجم 128 بت وnonce بحجم 128 بت) وAEGIS-256 (مفتاح بحجم 256 بت وnonce بحجم 256 بت). ويوفر كلاهما وسوم مصادقة بحجم 128 بت أو 256 بت على التوالي. أما AEGIS-128L فهو تنويع مُحسّن صُمم للاستفادة من التوازي الأوسع في مسار AES-NI على المعالجات الحديثة.

على خلاف AES-GCM الذي يستخدم AES كوحدة بناء في نمط محدد، يستخدم AEGIS عدة استدعاءات لدالة جولة AES للحفاظ على حالة داخلية وتطويرها. وتطبق كل خطوة تشفير عدة جولات من AES، مما يتيح للتصميم الاستفادة من التوازي على مستوى التعليمات في المعالجات ذات وحدات التنفيذ الواسعة.

يمكن لـ AEGIS-128L تحقيق معدلات نقل تبلغ 100 Gbps أو أكثر على المعالجات التي تدعم AES-NI، مقارنةً بـ AES-GCM الذي يحقق عادةً 40-60 Gbps على العتاد نفسه. وتجعل أفضلية الأداء هذه، التي تبلغ نحو ضعفين إلى ثلاثة أضعاف، AEGIS خيارًا جذابًا لسيناريوهات تشفير الشبكات ذات النطاق الترددي العالي.

يستخدم AEGIS-128L ثماني كلمات حالة بحجم 128 بت، ويعالج كتلتَي رسالة بحجم 256 بت في كل خطوة، مما يزيد إلى أقصى حد الاستفادة من خط أنابيب AES-NI. ويحقق التنويع "L" معدل نقل أعلى من AEGIS-128 القياسي على المعالجات التي تستطيع تنفيذ عدة تعليمات AES-NI عبر خط أنابيب في الوقت نفسه.

يوفر AEGIS سرية بمستوى 128 بت، وأمان أصالة بمستوى 128 بت أو 256 بت، بحسب طول وسم المصادقة. ولا يُظهر تحليل أمانه أي هجمات معروفة تتفوق على القوة الغاشمة ضد البنية الكاملة. ويتسم التصميم بالتحفظ في استخدام جولات AES، مما يوفر هامش أمان كبيرًا.

اقتُرح AEGIS في مسودة IETF (draft-irtf-cfrg-aegis-aead) لتوحيده من جانب Crypto Forum Research Group. وتغطي المسودة AEGIS-128L وAEGIS-128 وAEGIS-256، وتتضمن متجهات اختبار. وتجري حاليًا مناقشة اعتماد مجموعات تشفير TLS وQUIC له بنشاط.

لا يملك AEGIS بديلًا برمجيًا عمليًا؛ فعند غياب AES-NI يتدهور أداؤه بشدة، لأن كل استدعاء لدالة جولة AES يصبح مكلفًا. ولا ينبغي اختيار AEGIS إلا عند ضمان توفر AES-NI في جميع أهداف النشر، بما في ذلك الأجهزة الافتراضية وبيئات الحاويات.

صُمم ChaCha20-Poly1305 ليكون AEAD عالي السرعة في البيئات التي لا يتوفر فيها AES-NI، مثل معالجات ARM المحمولة قبل ARMv8 والأنظمة المضمنة. وقد يكون AEGIS أسرع على ARM64 الحديث مع تسريع AES، لكن يظل ChaCha20-Poly1305 الخيار الآمن الشامل عندما تختلف إمكانات العتاد.

يجب على التطبيقات التي تستخدم AEGIS تدقيق بيئة النشر بعناية. وينبغي تنفيذ بديل برمجي يعتمد على AES-GCM أو ChaCha20-Poly1305 للبيئات التي لا يتوفر فيها AES-NI. وتتولى المرونة التشفيرية في طبقة تفاوض TLS معالجة ذلك تلقائيًا عند عرض AEGIS كمجموعة التشفير المفضلة.

يحظى AEGIS بالدعم في التنفيذ المرجعي AEGIS-cipher، وفي OpenSSL 3.2+ عبر Provider API، وفي عدة حزم TLS تجريبية. ومن المتوقع أن يزداد اعتماده مع تقدم مسودة IETF نحو وضع RFC، ومع سعي التطبيقات ذات النطاق الترددي العالي إلى أداء يتجاوز ما يستطيع AES-GCM تقديمه.

أي عبارة عن متطلبات عتاد AEGIS صحيحة؟

يوفر AEGIS معدل نقل أعلى بمرتين إلى ثلاث مرات من AES-GCM على العتاد الداعم لـ AES-NI، وذلك باستخدام عدة دوال لجولات AES ضمن تصميم قائم على الحالة. ويزيد AEGIS-128L إلى أقصى حد من التوازي في خط الأنابيب. ويتطلب AES-NI، ولا يناسب الحالات التي تختلف فيها إمكانات العتاد. ولا يزال توحيده من جانب IETF قيد التقدم لاستخدامه في TLS وQUIC.