AEGIS: высокоскоростное аутентифицированное шифрование

AEGIS был специально разработан для максимально эффективного использования аппаратного ускорения AES-NI и обеспечивает на современных процессорах пропускную способность, значительно превышающую AES-GCM. Он был представлен на конкурсе CAESAR, а позднее предложен в проекте стандарта IETF для использования в TLS и QUIC.

AEGIS имеет два основных варианта: AEGIS-128 (128-битный ключ, 128-битное одноразовое число) и AEGIS-256 (256-битный ключ, 256-битное одноразовое число). Оба варианта обеспечивают теги аутентификации длиной соответственно 128 или 256 бит. AEGIS-128L — оптимизированный вариант, предназначенный для использования более широкого параллелизма конвейера AES-NI на современных процессорах.

В отличие от AES-GCM, который использует AES как базовый строительный блок в определённом режиме, AEGIS применяет многократные вызовы раундовой функции AES для поддержания и обновления внутреннего состояния. На каждом шаге шифрования выполняется несколько раундов AES, что позволяет использовать параллелизм на уровне инструкций на процессорах с широкими исполнительными блоками.

На процессорах с AES-NI AEGIS-128L может обеспечивать пропускную способность 100 Гбит/с и более, тогда как AES-GCM обычно достигает 40–60 Гбит/с на том же оборудовании. Такое преимущество в производительности, примерно в 2–3 раза, делает AEGIS привлекательным для сценариев шифрования сетевого трафика с высокой пропускной способностью.

AEGIS-128L использует восемь 128-битных слов состояния и обрабатывает на каждом шаге два 256-битных блока сообщения, максимально задействуя конвейер AES-NI. Вариант «L» обеспечивает более высокую пропускную способность, чем стандартный AEGIS-128, на процессорах, способных одновременно выполнять несколько инструкций AES-NI в конвейере.

AEGIS обеспечивает 128-битную стойкость конфиденциальности и 128- или 256-битную стойкость аутентификации — в зависимости от длины тега. Анализ безопасности не выявил для всей конструкции известных атак, превосходящих полный перебор. В конструкции используется консервативное число раундов AES, что обеспечивает значительный запас стойкости.

AEGIS предложен в проекте стандарта IETF (draft-irtf-cfrg-aegis-aead) для стандартизации Исследовательской группой криптографического форума. Проект охватывает AEGIS-128L, AEGIS-128 и AEGIS-256, а также содержит тестовые векторы. Возможность включения этих алгоритмов в наборы шифров TLS и QUIC активно обсуждается.

У AEGIS нет практически пригодного программного запасного варианта: без AES-NI его производительность резко падает, поскольку каждый вызов раундовой функции AES становится затратным. AEGIS следует выбирать только в том случае, если наличие AES-NI гарантировано во всех целевых средах развертывания, включая виртуальные машины и контейнерные среды.

ChaCha20-Poly1305 был разработан как высокоскоростной режим AEAD для сред без AES-NI, например для мобильных процессоров ARM до ARMv8 и встроенных систем. На современных ARM64 с аппаратным ускорением AES AEGIS может быть быстрее, однако ChaCha20-Poly1305 остаётся безопасным универсальным выбором, когда возможности оборудования различаются.

Приложения, использующие AEGIS, должны тщательно проверять среду развертывания. Для сред без AES-NI следует реализовать программный запасной вариант на основе AES-GCM или ChaCha20-Poly1305. Криптографическая гибкость на уровне согласования TLS решает эту задачу автоматически, когда AEGIS предлагается как предпочтительный набор шифров.

AEGIS поддерживается в эталонной реализации AEGIS-cipher, в OpenSSL 3.2 и более новых версиях через Provider API, а также в нескольких экспериментальных стеках TLS. Ожидается, что его внедрение будет расширяться по мере продвижения проекта стандарта IETF к статусу RFC и роста потребности приложений с высокой пропускной способностью в производительности, превышающей возможности AES-GCM.

Какое утверждение об аппаратных требованиях AEGIS является правильным?

AEGIS обеспечивает пропускную способность в 2–3 раза выше, чем AES-GCM на оборудовании с AES-NI, используя несколько раундовых функций AES в конструкции на основе состояния. AEGIS-128L максимально использует параллелизм конвейера. Для работы требуется AES-NI, поэтому этот режим не подходит, если возможности оборудования различаются. Стандартизация IETF для использования в TLS и QUIC продолжается.