AEGIS: Hochperformante authentifizierte Verschlüsselung

AEGIS wurde speziell dafür entwickelt, die Hardwarebeschleunigung durch AES-NI maximal auszunutzen, und erreicht auf modernen CPUs einen Durchsatz, der AES-GCM deutlich übertrifft. Der Algorithmus wurde bei der CAESAR-Konkurrenz eingereicht und später in einem IETF-Entwurf für die Verwendung in TLS und QUIC standardisiert.

AEGIS gibt es in zwei primären Varianten: AEGIS-128 (128-Bit-Schlüssel, 128-Bit-Nonce) und AEGIS-256 (256-Bit-Schlüssel, 256-Bit-Nonce). Beide bieten jeweils 128-Bit- oder 256-Bit-Authentifizierungs-Tags. AEGIS-128L ist eine optimierte Variante, die darauf ausgelegt ist, die breitere AES-NI-Pipeline-Parallelität moderner Prozessoren auszunutzen.

Im Gegensatz zu AES-GCM, das AES als Baustein in einem bestimmten Modus verwendet, nutzt AEGIS mehrere Aufrufe der AES-Rundenfunktion, um einen internen Zustand zu verwalten und weiterzuentwickeln. Jeder Verschlüsselungsschritt wendet mehrere AES-Runden an, sodass der Entwurf die Instruktionsparallelität von Prozessoren mit breiten Ausführungseinheiten ausnutzen kann.

Auf Prozessoren mit AES-NI kann AEGIS-128L einen Durchsatz von 100 Gbit/s oder mehr erreichen, während AES-GCM auf derselben Hardware typischerweise 40–60 Gbit/s erreicht. Dieser Leistungsvorteil von etwa dem Zwei- bis Dreifachen macht AEGIS für Szenarien mit Netzwerkverschlüsselung und hoher Bandbreite attraktiv.

AEGIS-128L verwendet acht 128-Bit-Zustandswörter und verarbeitet pro Schritt zwei 256-Bit-Nachrichtenblöcke, um die AES-NI-Pipeline maximal auszunutzen. Die Variante mit „L“ erreicht auf Prozessoren, die mehrere AES-NI-Instruktionen gleichzeitig pipelinen können, einen höheren Durchsatz als das standardmäßige AEGIS-128.

AEGIS bietet eine 128-Bit-Sicherheit hinsichtlich der Vertraulichkeit sowie eine 128-Bit- oder 256-Bit-Sicherheit hinsichtlich der Authentizität, abhängig von der Tag-Länge. Die Sicherheitsanalyse zeigt für die vollständige Konstruktion keine bekannten Angriffe, die besser als Brute-Force-Angriffe sind. Beim Einsatz von AES-Runden ist der Entwurf konservativ und bietet dadurch eine erhebliche Sicherheitsreserve.

AEGIS wurde in einem IETF-Entwurf (draft-irtf-cfrg-aegis-aead) zur Standardisierung durch die Crypto Forum Research Group vorgeschlagen. Der Entwurf behandelt AEGIS-128L, AEGIS-128 und AEGIS-256 und enthält Testvektoren. Die Aufnahme in TLS- und QUIC-Cipher-Suites wird derzeit aktiv diskutiert.

AEGIS verfügt über keinen praktisch brauchbaren Software-Fallback: Ohne AES-NI sinkt die Leistung drastisch, weil jeder Aufruf der AES-Rundenfunktion teuer wird. Sie sollten AEGIS nur auswählen, wenn die Verfügbarkeit von AES-NI auf allen Zielumgebungen garantiert ist, einschließlich virtueller Maschinen und Containerumgebungen.

ChaCha20-Poly1305 wurde als schnelles AEAD für Umgebungen ohne AES-NI entwickelt, etwa für mobile ARM-Prozessoren vor ARMv8 und für eingebettete Systeme. Auf modernen ARM64-Systemen mit AES-Beschleunigung kann AEGIS schneller sein, aber ChaCha20-Poly1305 bleibt die sichere universelle Wahl, wenn die Hardwarefähigkeiten variieren.

Anwendungen, die AEGIS verwenden, müssen ihre Bereitstellungsumgebung sorgfältig prüfen. Für Umgebungen ohne AES-NI sollte ein Software-Fallback auf AES-GCM oder ChaCha20-Poly1305 implementiert werden. Die kryptografische Agilität der TLS-Aushandlungsschicht übernimmt dies automatisch, wenn AEGIS als bevorzugte Cipher-Suite angeboten wird.

AEGIS wird von der Referenzimplementierung AEGIS-cipher, von OpenSSL 3.2+ über die Provider API und von mehreren experimentellen TLS-Stacks unterstützt. Es wird erwartet, dass die Verbreitung zunimmt, während der IETF-Entwurf auf den RFC-Status zusteuert und Anwendungen mit hoher Bandbreite nach einer höheren Leistung suchen, als AES-GCM bieten kann.

Welche Aussage zu den Hardwareanforderungen von AEGIS ist korrekt?

AEGIS bietet auf AES-NI-Hardware einen zwei- bis dreimal höheren Durchsatz als AES-GCM, da es mehrere AES-Rundenfunktionen in einem zustandsbasierten Entwurf verwendet. AEGIS-128L maximiert die Pipeline-Parallelität. Der Modus erfordert AES-NI und ist nicht geeignet, wenn die Hardwarefähigkeiten variieren. Die IETF-Standardisierung für den Einsatz in TLS und QUIC ist im Gange.