AEGIS : chiffrement authentifié à haut débit

AEGIS a été conçu spécifiquement pour exploiter au maximum l’accélération matérielle AES-NI, en atteignant un débit qui dépasse nettement celui d’AES-GCM sur les processeurs modernes. Il a été soumis au concours CAESAR, puis défini dans un projet de norme de l’IETF pour une utilisation avec TLS et QUIC.

AEGIS existe en deux variantes principales : AEGIS-128, avec une clé de 128 bits et un nonce de 128 bits, et AEGIS-256, avec une clé de 256 bits et un nonce de 256 bits. Toutes deux fournissent respectivement des étiquettes d’authentification de 128 ou 256 bits. AEGIS-128L est une variante optimisée, conçue pour exploiter un parallélisme accru de la chaîne de traitement AES-NI sur les processeurs modernes.

Contrairement à AES-GCM, qui utilise AES comme élément de base dans un mode particulier, AEGIS utilise plusieurs appels de la fonction de tour AES pour maintenir et faire évoluer un état interne. Chaque étape de chiffrement applique plusieurs tours AES, ce qui permet à la conception d’exploiter le parallélisme au niveau des instructions sur les processeurs dotés d’unités d’exécution larges.

Sur les processeurs équipés d’AES-NI, AEGIS-128L peut atteindre un débit de 100 Gbit/s ou plus, contre 40 à 60 Gbit/s généralement pour AES-GCM sur le même matériel. Cet avantage de performances, de l’ordre de 2 à 3 fois, rend AEGIS intéressant pour les scénarios de chiffrement réseau à haut débit.

AEGIS-128L utilise huit mots d’état de 128 bits et traite deux blocs de message de 256 bits par étape, maximisant ainsi l’utilisation de la chaîne de traitement AES-NI. La variante « L » offre un débit supérieur à celui d’AEGIS-128 standard sur les processeurs capables d’exécuter simultanément plusieurs instructions AES-NI dans la chaîne de traitement.

AEGIS offre une sécurité de 128 bits pour la confidentialité et de 128 ou 256 bits pour l’authenticité, selon la longueur de l’étiquette. Son analyse de sécurité ne révèle aucune attaque connue meilleure que la force brute contre la construction complète. La conception utilise les tours AES de manière prudente, ce qui fournit une marge de sécurité importante.

AEGIS a été proposé dans un projet de l’IETF (draft-irtf-cfrg-aegis-aead) en vue de sa normalisation par le Crypto Forum Research Group. Le projet couvre AEGIS-128L, AEGIS-128 et AEGIS-256, et comprend des vecteurs de test. L’adoption d’AEGIS dans les suites de chiffrement TLS et QUIC fait actuellement l’objet de discussions actives.

AEGIS ne dispose d’aucun mécanisme de secours logiciel réellement viable : sans AES-NI, ses performances se dégradent considérablement, car chaque appel de la fonction de tour AES devient coûteux. AEGIS ne doit être sélectionné que lorsque la présence d’AES-NI est garantie sur toutes les cibles de déploiement, y compris les machines virtuelles et les environnements de conteneurs.

ChaCha20-Poly1305 a été conçu comme l’AEAD hautes performances pour les environnements dépourvus d’AES-NI, notamment les processeurs ARM mobiles antérieurs à ARMv8 et les systèmes embarqués. Sur les processeurs ARM64 modernes dotés d’une accélération AES, AEGIS peut être plus rapide, mais ChaCha20-Poly1305 reste le choix universel sûr lorsque les capacités matérielles varient.

Les applications utilisant AEGIS doivent auditer attentivement leur environnement de déploiement. Un mécanisme de secours logiciel utilisant AES-GCM ou ChaCha20-Poly1305 devrait être implémenté pour les environnements dépourvus d’AES-NI. L’agilité cryptographique de la couche de négociation TLS gère automatiquement cette situation lorsqu’AEGIS est proposé comme suite de chiffrement préférée.

AEGIS est pris en charge par l’implémentation de référence AEGIS-cipher, par OpenSSL 3.2 ou version ultérieure via l’API Provider, ainsi que par plusieurs piles TLS expérimentales. Son adoption devrait progresser à mesure que le projet de l’IETF avance vers le statut de RFC et que les applications à haut débit recherchent des performances supérieures à celles qu’AES-GCM peut offrir.

AEGIS offre un débit 2 à 3 fois supérieur à celui d’AES-GCM sur le matériel équipé d’AES-NI, en utilisant plusieurs fonctions de tour AES dans une conception fondée sur un état. AEGIS-128L maximise le parallélisme de la chaîne de traitement. Il nécessite AES-NI et ne convient pas lorsque les capacités matérielles varient. Sa normalisation par l’IETF pour une utilisation avec TLS et QUIC est en cours.