AEGIS: cifrado autenticado de alta velocidad

AEGIS se diseñó específicamente para aprovechar al máximo la aceleración de hardware AES-NI y alcanzar un rendimiento que supera significativamente al de AES-GCM en las CPU modernas. Se presentó a la competición CAESAR y posteriormente se estandarizó en un borrador del IETF para su uso en TLS y QUIC.

AEGIS cuenta con dos variantes principales: AEGIS-128 (clave de 128 bits, nonce de 128 bits) y AEGIS-256 (clave de 256 bits, nonce de 256 bits). Ambas proporcionan etiquetas de autenticación de 128 o 256 bits, respectivamente. AEGIS-128L es una variante optimizada para aprovechar un paralelismo más amplio de la canalización AES-NI en los procesadores modernos.

A diferencia de AES-GCM, que utiliza AES como componente básico en un modo específico, AEGIS utiliza varias llamadas a la función de ronda de AES para mantener y actualizar un estado interno. Cada paso de cifrado aplica varias rondas AES, lo que permite aprovechar el paralelismo a nivel de instrucciones en procesadores con unidades de ejecución amplias.

En procesadores con AES-NI, AEGIS-128L puede alcanzar un rendimiento de 100 Gbps o más, frente a los 40-60 Gbps que suele alcanzar AES-GCM en el mismo hardware. Esta ventaja de rendimiento de aproximadamente 2-3 veces hace que AEGIS resulte atractivo para escenarios de cifrado de redes de gran ancho de banda.

AEGIS-128L utiliza ocho palabras de estado de 128 bits y procesa dos bloques de mensajes de 256 bits por paso, maximizando el uso de la canalización de AES-NI. La variante "L" alcanza un rendimiento mayor que AEGIS-128 estándar en procesadores capaces de canalizar simultáneamente varias instrucciones AES-NI.

AEGIS proporciona 128 bits de confidencialidad y una seguridad de autenticación de 128 o 256 bits, según la longitud de la etiqueta. Su análisis de seguridad no muestra ataques conocidos contra la construcción completa que sean mejores que la fuerza bruta. El diseño utiliza las rondas AES de forma conservadora, lo que proporciona un margen de seguridad considerable.

AEGIS se ha propuesto en un borrador del IETF (draft-irtf-cfrg-aegis-aead) para su estandarización por parte del Crypto Forum Research Group. El borrador cubre AEGIS-128L, AEGIS-128 y AEGIS-256, e incluye vectores de prueba. La adopción en conjuntos de cifrado de TLS y QUIC se está debatiendo activamente.

AEGIS no tiene una alternativa de software significativa: sin AES-NI, su rendimiento se degrada drásticamente porque cada llamada a la función de ronda de AES resulta costosa. Solo debe seleccionarse AEGIS cuando la disponibilidad de AES-NI esté garantizada en todos los destinos de despliegue, incluidas las máquinas virtuales y los entornos de contenedores.

ChaCha20-Poly1305 se diseñó como el AEAD de alta velocidad para entornos sin AES-NI, como los procesadores ARM móviles anteriores a ARMv8 y los sistemas embebidos. En ARM64 moderno con aceleración AES, AEGIS puede ser más rápido, pero ChaCha20-Poly1305 sigue siendo la opción universal segura cuando las capacidades del hardware varían.

Las aplicaciones que utilizan AEGIS deben auditar cuidadosamente su entorno de despliegue. Debe implementarse una alternativa de software basada en AES-GCM o ChaCha20-Poly1305 para los entornos sin AES-NI. La agilidad criptográfica de la capa de negociación de TLS gestiona esto automáticamente cuando AEGIS se ofrece como conjunto de cifrado preferido.

AEGIS es compatible con la implementación de referencia AEGIS-cipher, con OpenSSL 3.2+ mediante la Provider API y con varias pilas TLS experimentales. Se espera que su adopción crezca a medida que el borrador del IETF avance hacia el estado de RFC y las aplicaciones de gran ancho de banda busquen un rendimiento superior al que puede ofrecer AES-GCM.

¿Qué afirmación sobre los requisitos de hardware de AEGIS es correcta?

AEGIS proporciona un rendimiento 2-3 veces superior al de AES-GCM en hardware con AES-NI mediante el uso de varias funciones de ronda AES en un diseño basado en el estado. AEGIS-128L maximiza el paralelismo de la canalización. Requiere AES-NI y no es adecuado cuando las capacidades del hardware varían. La estandarización por parte del IETF para su uso en TLS y QUIC está en curso.