AEGIS: criptografia autenticada de alta velocidade

O AEGIS foi projetado especificamente para explorar ao máximo a aceleração de hardware do AES-NI, alcançando uma vazão que supera significativamente a do AES-GCM em CPUs modernas. Ele foi submetido à competição CAESAR e posteriormente padronizado em um rascunho do IETF para uso em TLS e QUIC.

O AEGIS tem duas variantes principais: AEGIS-128 (chave de 128 bits, nonce de 128 bits) e AEGIS-256 (chave de 256 bits, nonce de 256 bits). Ambas fornecem tags de autenticação de 128 ou 256 bits, respectivamente. O AEGIS-128L é uma variante otimizada, projetada para explorar o paralelismo mais amplo do fluxo de processamento do AES-NI em processadores modernos.

Ao contrário do AES-GCM, que usa o AES como bloco de construção em um modo específico, o AEGIS usa várias chamadas à função de rodada do AES para manter e evoluir um estado interno. Cada etapa de cifragem aplica várias rodadas AES, permitindo que o projeto explore o paralelismo em nível de instrução em processadores com unidades de execução amplas.

Em processadores com AES-NI, o AEGIS-128L pode alcançar uma vazão de 100 Gbps ou mais, enquanto o AES-GCM normalmente alcança de 40 a 60 Gbps no mesmo hardware. Essa vantagem de desempenho de aproximadamente 2 a 3 vezes torna o AEGIS atraente para cenários de cifragem de rede com alta largura de banda.

O AEGIS-128L usa oito palavras de estado de 128 bits e processa dois blocos de mensagem de 256 bits por etapa, maximizando o uso do processamento encadeado do AES-NI. A variante "L" alcança uma vazão maior que o AEGIS-128 padrão em processadores capazes de processar simultaneamente várias instruções AES-NI em paralelo.

O AEGIS oferece segurança de confidencialidade de 128 bits e de autenticidade de 128 ou 256 bits, dependendo do comprimento da tag. A análise de segurança não identifica ataques conhecidos contra a construção completa que sejam mais eficazes que a força bruta. O projeto é conservador no uso das rodadas AES, oferecendo uma margem de segurança considerável.

O AEGIS foi proposto em um rascunho do IETF (draft-irtf-cfrg-aegis-aead) para padronização pelo Crypto Forum Research Group. O rascunho abrange AEGIS-128L, AEGIS-128 e AEGIS-256, além de incluir vetores de teste. A adoção nas conjuntos de cifras do TLS e do QUIC está sendo discutida ativamente.

O AEGIS não tem uma alternativa de software significativa: sem o AES-NI, seu desempenho se degrada drasticamente porque cada chamada à função de rodada do AES se torna dispendiosa. O AEGIS só deve ser selecionado quando a disponibilidade do AES-NI for garantida em todos os ambientes de implantação, incluindo máquinas virtuais e ambientes de contêineres.

O ChaCha20-Poly1305 foi projetado como o AEAD de alta velocidade para ambientes sem AES-NI, como processadores ARM móveis anteriores ao ARMv8 e sistemas embarcados. Em ARM64 modernos com aceleração AES, o AEGIS pode ser mais rápido, mas o ChaCha20-Poly1305 continua sendo a opção universal segura quando os recursos de hardware variam.

As aplicações que usam AEGIS devem auditar cuidadosamente seu ambiente de implantação. Uma alternativa de software para AES-GCM ou ChaCha20-Poly1305 deve ser implementada em ambientes sem AES-NI. A agilidade criptográfica na camada de negociação do TLS lida com isso automaticamente quando o AEGIS é oferecido como conjunto de cifras preferencial.

O AEGIS é compatível com a implementação de referência AEGIS-cipher, com o OpenSSL 3.2 ou posterior por meio da Provider API e com várias pilhas TLS experimentais. Espera-se que sua adoção cresça à medida que o rascunho do IETF avance rumo ao status de RFC e que aplicações de alta largura de banda busquem um desempenho superior ao oferecido pelo AES-GCM.

Qual afirmação sobre os requisitos de hardware do AEGIS está correta?

O AEGIS oferece uma vazão 2 a 3 vezes maior que a do AES-GCM em hardware com AES-NI, usando várias funções de rodada AES em um projeto baseado em estado. O AEGIS-128L maximiza o paralelismo do fluxo de processamento. Ele requer AES-NI e não é adequado quando os recursos de hardware variam. A padronização pelo IETF está em andamento para uso com TLS e QUIC.