AEGIS: 고속 인증 암호화

AEGIS는 AES-NI 하드웨어 가속을 최대한 활용하도록 특별히 설계되었으며, 최신 CPU에서 AES-GCM을 크게 능가하는 처리량을 달성합니다. AEGIS는 CAESAR 대회에 제출되었고, 이후 TLS와 QUIC에서 사용하기 위한 IETF 초안으로 표준화가 추진되었습니다.

AEGIS에는 두 가지 주요 변형이 있습니다. AEGIS-128은 128비트 키와 128비트 논스를 사용하고, AEGIS-256은 256비트 키와 256비트 논스를 사용합니다. 두 변형은 각각 128비트와 256비트 인증 태그를 제공합니다. AEGIS-128L은 최신 프로세서에서 더 넓은 AES-NI 파이프라인 병렬 처리를 활용하도록 설계된 최적화 변형입니다.

특정 모드에서 AES를 구성 요소로 사용하는 AES-GCM과 달리, AEGIS는 여러 AES 라운드 함수 호출을 사용하여 내부 상태를 유지하고 갱신합니다. 각 암호화 단계에서 여러 AES 라운드를 적용하므로, 실행 유닛의 폭이 넓은 프로세서에서 명령어 수준 병렬 처리를 활용할 수 있습니다.

AES-NI를 지원하는 프로세서에서 AEGIS-128L은 100 Gbps 이상의 처리량을 달성할 수 있는 반면, AES-GCM은 동일한 하드웨어에서 일반적으로 40~60 Gbps를 달성합니다. 이처럼 약 2~3배 높은 성능 덕분에 AEGIS는 고대역폭 네트워크 암호화 시나리오에 매력적인 선택입니다.

AEGIS-128L은 8개의 128비트 상태 워드를 사용하고 단계마다 2개의 256비트 메시지 블록을 처리하여 AES-NI 파이프라이닝을 최대한 활용합니다. "L" 변형은 여러 AES-NI 명령을 동시에 파이프라인으로 처리할 수 있는 프로세서에서 표준 AEGIS-128보다 높은 처리량을 달성합니다.

AEGIS는 128비트 기밀성과 128비트 또는 256비트 인증 보안을 제공합니다. 보안 분석 결과 전체 구성에 대해 완전 탐색보다 나은 것으로 알려진 공격은 없습니다. 이 설계는 AES 라운드를 보수적으로 사용하여 상당한 보안 여유를 제공합니다.

AEGIS는 Crypto Forum Research Group이 표준화를 추진하기 위한 IETF 초안(draft-irtf-cfrg-aegis-aead)으로 제안되었습니다. 이 초안은 AEGIS-128L, AEGIS-128, AEGIS-256을 다루며 테스트 벡터도 포함합니다. TLS와 QUIC 암호 스위트에 채택하는 방안이 활발하게 논의되고 있습니다.

AEGIS에는 실용적인 소프트웨어 대체 경로가 없습니다. AES-NI가 없으면 각 AES 라운드 함수 호출의 비용이 커지기 때문에 성능이 급격히 저하됩니다. 가상 머신과 컨테이너 환경을 포함하여 모든 배포 대상에서 AES-NI를 사용할 수 있음이 보장될 때만 AEGIS를 선택해야 합니다.

ChaCha20-Poly1305는 ARMv8 이전의 모바일 ARM 프로세서와 임베디드 시스템처럼 AES-NI가 없는 환경을 위한 고속 AEAD로 설계되었습니다. AES 가속 기능이 있는 최신 ARM64에서는 AEGIS가 더 빠를 수 있지만, 하드웨어 기능이 다양할 때는 ChaCha20-Poly1305가 여전히 안전한 범용 선택입니다.

AEGIS를 사용하는 애플리케이션은 배포 환경을 신중하게 점검해야 합니다. AES-NI가 없는 환경을 위해 AES-GCM 또는 ChaCha20-Poly1305로 전환하는 소프트웨어 대체 경로를 구현해야 합니다. AEGIS를 선호하는 암호 스위트로 제시하면 TLS 협상 계층의 암호 민첩성이 이 처리를 자동으로 담당합니다.

AEGIS는 AEGIS-cipher 참조 구현, Provider API를 통한 OpenSSL 3.2 이상, 그리고 여러 실험적 TLS 스택에서 지원됩니다. IETF 초안이 RFC 지위로 나아가고 고대역폭 애플리케이션이 AES-GCM 이상의 성능을 요구함에 따라 도입이 확대될 것으로 예상됩니다.

AEGIS의 하드웨어 요구 사항에 대한 설명으로 올바른 것은 무엇일까요?

AEGIS는 상태 기반 설계에서 여러 AES 라운드 함수를 사용하므로 AES-NI 하드웨어에서 AES-GCM보다 2~3배 높은 처리량을 제공합니다. AEGIS-128L은 파이프라인 병렬 처리를 최대화합니다. AES-NI가 필요하므로 하드웨어 기능이 다양한 환경에는 적합하지 않습니다. TLS와 QUIC에서 사용하기 위한 IETF 표준화가 진행 중입니다.