AEGIS: การเข้ารหัสลับแบบพิสูจน์ตัวตนความเร็วสูง

AEGIS ออกแบบมาโดยเฉพาะเพื่อใช้ประโยชน์จากการเร่งด้วยฮาร์ดแวร์ AES-NI อย่างเต็มที่ ทำให้มีอัตราการประมวลผลสูงกว่า AES-GCM อย่างมากบน CPU สมัยใหม่ AEGIS ถูกเสนอเข้าร่วมการแข่งขัน CAESAR และต่อมาได้รับการกำหนดมาตรฐานในร่างของ IETF เพื่อใช้กับ TLS และ QUIC

AEGIS มีรูปแบบหลักสองรูปแบบ ได้แก่ AEGIS-128 (คีย์ขนาด 128 บิต และ นอนซ์ขนาด 128 บิต) และ AEGIS-256 (คีย์ขนาด 256 บิต และ นอนซ์ขนาด 256 บิต) ทั้งสองรูปแบบให้แท็กการยืนยันความถูกต้องขนาด 128 บิตและ 256 บิตตามลำดับ AEGIS-128L เป็นรูปแบบที่ปรับให้เหมาะสม โดยออกแบบมาเพื่อใช้ประโยชน์จากการประมวลผลแบบสายงานขนานของ AES-NI บนตัวประมวลผลสมัยใหม่

ต่างจาก AES-GCM ซึ่งใช้ AES เป็นองค์ประกอบพื้นฐานในโหมดเฉพาะ AEGIS เรียกใช้ฟังก์ชันรอบ AES หลายครั้งเพื่อรักษาและพัฒนาสถานะภายใน ในแต่ละขั้นตอนของการเข้ารหัสจะใช้รอบ AES หลายรอบ ทำให้การออกแบบนี้ใช้ประโยชน์จากการประมวลผลแบบขนานระดับคำสั่งบนตัวประมวลผลที่มีหน่วยประมวลผลกว้างได้

บนตัวประมวลผลที่มี AES-NI, AEGIS-128L สามารถทำอัตราการประมวลผลได้ 100 Gbps หรือมากกว่า ขณะที่ AES-GCM มักทำได้ 40–60 Gbps บนฮาร์ดแวร์เดียวกัน ความได้เปรียบด้านประสิทธิภาพประมาณ 2–3 เท่านี้ทำให้ AEGIS เหมาะสำหรับการเข้ารหัสเครือข่ายที่มีแบนด์วิดท์สูง

AEGIS-128L ใช้คำสถานะขนาด 128 บิตจำนวนแปดคำ และประมวลผลบล็อกข้อความขนาด 256 บิตจำนวนสองบล็อกในแต่ละขั้นตอน เพื่อใช้ประโยชน์สูงสุดจากการประมวลผลแบบสายงานของ AES-NI รูปแบบ "L" มีอัตราการประมวลผลสูงกว่า AEGIS-128 มาตรฐานบนตัวประมวลผลที่สามารถประมวลผลคำสั่ง AES-NI หลายคำสั่งแบบสายงานพร้อมกันได้

AEGIS ให้ความลับของข้อมูลระดับ 128 บิต และความถูกต้องแท้จริงระดับ 128 บิตหรือ 256 บิต ขึ้นอยู่กับความยาวของแท็ก การวิเคราะห์ความปลอดภัยไม่พบการโจมตีต่อโครงสร้างทั้งหมดที่มีประสิทธิภาพดีกว่าการลองทุกค่า การออกแบบใช้รอบ AES อย่างระมัดระวัง จึงมีขอบเขตความปลอดภัยเหลืออยู่มาก

มีการเสนอ AEGIS ในร่างของ IETF (draft-irtf-cfrg-aegis-aead) เพื่อให้กลุ่มวิจัย Crypto Forum Research Group กำหนดเป็นมาตรฐาน ร่างดังกล่าวครอบคลุม AEGIS-128L, AEGIS-128 และ AEGIS-256 รวมทั้งมีเวกเตอร์ทดสอบ ขณะนี้กำลังมีการหารืออย่างจริงจังเกี่ยวกับการนำ AEGIS ไปใช้ในชุดรหัสเข้ารหัสของ TLS และ QUIC

AEGIS ไม่มีทางเลือกสำรองด้วยซอฟต์แวร์ที่ใช้งานได้อย่างมีนัยสำคัญ หากไม่มี AES-NI ประสิทธิภาพจะลดลงอย่างมาก เพราะการเรียกใช้ฟังก์ชันรอบ AES แต่ละครั้งมีต้นทุนสูง ควรเลือก AEGIS เฉพาะเมื่อรับรองได้ว่า AES-NI มีอยู่ในเป้าหมายการนำไปใช้งานทั้งหมด รวมถึงเครื่องเสมือนและสภาพแวดล้อมคอนเทนเนอร์

ChaCha20-Poly1305 ออกแบบมาให้เป็น AEAD ความเร็วสูงสำหรับสภาพแวดล้อมที่ไม่มี AES-NI เช่น ตัวประมวลผล ARM บนอุปกรณ์เคลื่อนที่ก่อนยุค ARMv8 และระบบฝังตัว บน ARM64 สมัยใหม่ที่มีการเร่ง AES AEGIS อาจทำงานได้เร็วกว่า แต่ ChaCha20-Poly1305 ยังคงเป็นตัวเลือกสากลที่ปลอดภัยเมื่อความสามารถของฮาร์ดแวร์แตกต่างกัน

แอปพลิเคชันที่ใช้ AEGIS ต้องตรวจสอบสภาพแวดล้อมการนำไปใช้งานอย่างละเอียด ควรทำทางเลือกสำรองด้วยซอฟต์แวร์เป็น AES-GCM หรือ ChaCha20-Poly1305 สำหรับสภาพแวดล้อมที่ไม่มี AES-NI ชั้นการเจรจา TLS ที่รองรับการสลับใช้อัลกอริทึมจะจัดการเรื่องนี้โดยอัตโนมัติเมื่อเสนอ AEGIS เป็นชุดรหัสเข้ารหัสที่ต้องการ

AEGIS รองรับในการใช้งานอ้างอิง AEGIS-cipher, OpenSSL 3.2 ขึ้นไปผ่าน Provider API และชุดซอฟต์แวร์ TLS รุ่นทดลองอีกหลายชุด คาดว่าการนำไปใช้จะเพิ่มขึ้นเมื่อร่างของ IETF พัฒนาไปสู่สถานะ RFC และเมื่อแอปพลิเคชันแบนด์วิดท์สูงต้องการประสิทธิภาพที่มากกว่าที่ AES-GCM มอบให้ได้

AEGIS ให้อัตราการประมวลผลสูงกว่า AES-GCM 2–3 เท่าบนฮาร์ดแวร์ AES-NI โดยใช้ฟังก์ชันรอบ AES หลายครั้งในการออกแบบที่อาศัยสถานะ AEGIS-128L ใช้ประโยชน์สูงสุดจากความขนานของการประมวลผลแบบสายงาน AEGIS ต้องใช้ AES-NI จึงไม่เหมาะเมื่อความสามารถของฮาร์ดแวร์แตกต่างกัน ขณะนี้กำลังดำเนินการกำหนดมาตรฐานโดย IETF เพื่อใช้กับ TLS และ QUIC