AEGIS：高速な認証付き暗号

AEGISは、AES-NIによるハードウェアアクセラレーションを最大限に活用するために特別に設計されており、最新のCPU上でAES-GCMを大幅に上回るスループットを実現します。AEGISはCAESARコンペティションに提出され、その後、TLSとQUICで使用するためのIETFドラフトとして標準化が進められました。

AEGISには主に2つのバリアントがあります。AEGIS-128（128ビットキー、128ビットnonce）とAEGIS-256（256ビットキー、256ビットnonce）です。どちらも、それぞれ128ビットまたは256ビットの認証タグを提供します。AEGIS-128Lは、最新のプロセッサでより広いAES-NIパイプラインの並列性を活用するよう最適化されたバリアントです。

特定のモードでAESを構成要素として使うAES-GCMとは異なり、AEGISは複数回のAESラウンド関数呼び出しを使って内部状態を維持・更新します。各暗号化ステップで複数のAESラウンドを適用するため、幅広い実行ユニットを備えたプロセッサ上で命令レベルの並列性を活用できます。

AES-NIを搭載したプロセッサでは、AEGIS-128Lは100 Gbps以上のスループットを達成できる一方、AES-GCMは同じハードウェア上で通常40～60 Gbpsに達します。このおよそ2～3倍の性能差により、AEGISは高帯域幅のネットワーク暗号化に適しています。

AEGIS-128Lは128ビットの状態ワードを8つ使用し、1ステップで256ビットのメッセージブロックを2つ処理することで、AES-NIのパイプライン処理を最大限に活用します。「L」バリアントは、複数のAES-NI命令を同時にパイプライン処理できるプロセッサ上で、標準のAEGIS-128より高いスループットを実現します。

AEGISは、128ビットの機密性と、タグ長に応じて128ビットまたは256ビットの真正性に対する安全性を提供します。その安全性分析では、構成全体に対して総当たり攻撃を上回る既知の攻撃は見つかっていません。AESラウンドを保守的に使用する設計により、十分な安全性マージンが確保されています。

AEGISは、Crypto Forum Research Groupによる標準化に向けて、IETFドラフト（draft-irtf-cfrg-aegis-aead）で提案されています。このドラフトではAEGIS-128L、AEGIS-128、AEGIS-256を扱い、テストベクトルも含まれています。TLSとQUICの暗号スイートへの採用について、活発な議論が行われています。

AEGISには実用的なソフトウェアフォールバックがありません。AES-NIがないと、AESラウンド関数の呼び出し1回ごとのコストが高くなるため、性能が大幅に低下します。仮想マシンやコンテナ環境を含め、すべてのデプロイ先でAES-NIが利用できることを保証できる場合に限って、AEGISを選択してください。

ChaCha20-Poly1305は、ARMv8以前のモバイルARMプロセッサや組み込みシステムなど、AES-NIを利用できない環境向けの高速AEADとして設計されました。最新のARM64でAESアクセラレーションを利用できる場合はAEGISのほうが高速な可能性がありますが、ハードウェア性能が環境によって異なる場合、ChaCha20-Poly1305は引き続き安全な汎用選択肢です。

AEGISを使用するアプリケーションでは、デプロイ環境を慎重に監査する必要があります。AES-NIがない環境に備えて、AES-GCMまたはChaCha20-Poly1305へのソフトウェアフォールバックを実装してください。AEGISを優先暗号スイートとして提示した場合、TLSのネゴシエーション層における暗号アジリティによって、これが自動的に処理されます。

AEGISは、AEGIS-cipherのリファレンス実装、Provider APIを介したOpenSSL 3.2以降、および複数の実験的なTLSスタックでサポートされています。IETFドラフトがRFCの段階に近づき、高帯域幅アプリケーションがAES-GCMを超える性能を求めるにつれて、採用が進むと予想されます。

AEGISのハードウェア要件について、正しい説明はどれでしょうか？

AEGISは、状態ベースの設計で複数のAESラウンド関数を使用することにより、AES-NI対応ハードウェア上でAES-GCMより2～3倍高いスループットを実現します。AEGIS-128Lはパイプラインの並列性を最大限に活用します。AES-NIが必要なため、ハードウェア性能が環境によって異なる場合には適していません。TLSとQUICでの利用に向けたIETF標準化が進められています。