DOI: https://doi.org/10.46586/tches.v2026.i2.272-295
تاريخ النشر: 2026-04-23
المؤلف: Eros Camacho-Ruiz وآخرون
الموضوع الرئيسي: تنفيذات التشفير والأمان
نظرة عامة
تقدم البحث HOPE-MLKEM، وهو إطار رائد لتنفيذ الأجهزة لـ ML-KEM، الذي تم اعتماده مؤخرًا كـ FIPS 203 في عملية توحيد معيار التشفير بعد الكم من NIST. على عكس التنفيذات الحالية التي تعطي الأولوية للأداء ولكن غالبًا ما تتجاهل الدفاعات ضد هجمات القنوات الجانبية، يوفر HOPE-MLKEM حلاً قابلاً للتكوين ومفتوحًا يدمج حماية عالية المستوى ضد ثغرات القنوات الجانبية المتعلقة بالتوقيت والطاقة. يتكيف الهيكل المعماري القابل للتعديل مع جميع مستويات الأمان والعمليات، ويتميز بمكونات محسّنة للحسابات متعددة الحدود، والضرب المودولي، ومنطق التحكم القابل للبرمجة، مما يسهل دمج تدابير التمويه.
تظهر تقييمات HOPE-MLKEM على منصات FPGA وASIC أدائها التنافسي مقارنةً بالتصاميم غير المحمية الحديثة مع ضمان المرونة ضد هجمات القنوات الجانبية عالية المستوى. تم إصدار الإطار كمصدر مفتوح، مما يعزز مشاركة المجتمع في استكشاف خيارات التصميم، وتقييم التسريبات، وتحسين الأجهزة. تشمل اتجاهات البحث المستقبلية تطوير تدابير مضادة ضد هجمات حقن الأخطاء، وتحسين الوحدات لتنفيذات Keccak المحمية، وتوسيع المنهجية لتشمل مخططات ما بعد الكم الأخرى مثل ML-DSA. بالإضافة إلى ذلك، هناك إمكانية لدمج الإطار أو مكوناته كامتداد ISA لرقائق RISC-V، مما يعزز قابليته للتطبيق في سياقات متنوعة.
مقدمة
تناقش مقدمة ورقة البحث توحيد التشفير بعد الكم (PQC)، مع التركيز بشكل خاص على آلية تغليف المفتاح القائمة على الشبكات ML-KEM، التي تم التعرف عليها لتوازنها الفعال بين الأداء والأمان. مع استعداد ML-KEM للعب دور حاسم في أنظمة الاتصالات الآمنة المستقبلية، يتم التأكيد على الحاجة إلى تنفيذات فعالة وقوية. أصبح إطار قياس البرمجيات pqm4 ضروريًا لتقييم PQC على أجهزة ARM Cortex-M4، ومع ذلك، تواجه التنفيذات على المنصات المدمجة ثغرات ضد هجمات القنوات الجانبية (SCA). على الرغم من وجود تدابير مضادة، فإن متطلبات الذاكرة والكمون العالية تمثل تحديات في البيئات ذات الموارد المحدودة، مما يبرز ضرورة وجود حلول أجهزة مخصصة.
تشير الورقة إلى أنه بينما ركزت التنفيذات السابقة للأجهزة لـ ML-KEM بشكل أساسي على الأداء، بدأت الجهود الأخيرة في معالجة حماية القنوات الجانبية. ومع ذلك، غالبًا ما تقتصر هذه الأساليب على تدابير مضادة من الدرجة الأولى. كما يوضح القسم العمليات التشفيرية المعنية في توليد مفتاح فك التشفير ومفتاح السر المشترك، موضحًا العمليات الرياضية والتحولات المستخدمة في التنفيذ. يبرز هذا التعقيد والحاجة إلى اعتبار دقيق لكل من الأداء والأمان في تطوير أنظمة PQC.
طرق
تستخدم الهندسة المعمارية المقترحة منهجية معيارية تدمج الوظائف التكرارية في مجموعة مضغوطة من الوحدات القابلة لإعادة الاستخدام، مما يعزز الكفاءة في العمليات التشفيرية. تشمل المكونات الرئيسية وحدة Keccak مخصصة لحسابات التجزئة، ووحدة CBD لتنفيذ SamplePolyCBD(•)، ووحدة RS لتنفيذ SampleNTT(•). تتحمل وحدة BU مسؤولية جميع الحسابات متعددة الحدود على الحقل المنتهي \( \mathbb{Z}_q \)، وتشمل العمليات مثل NTT وINTT والضرب متعدد الحدود الموزون (PWM) والجمع (ADD) والطرح (SUB).
في سياق آلية تغليف المفتاح (KEM)، يتم توضيح عمليات الهندسة المعمارية من خلال عملية K-PKE (تشفير سياسة المفتاح)، مع التركيز بشكل خاص على عملية K-PKE.KeyGen. تبدأ هذه العملية بتوليد العشوائية \( d \)، والتي تُستخدم لاشتقاق البذور \( \rho \) و \( \sigma \) عبر الدالة \( G(d, k) \) باستخدام وحدة Keccak. بعد ذلك، يتم حساب المصفوفة \( \hat{A} \) من خلال دالة SampleNTT(•) في وحدة RS، مستفيدة من المخرجات من وحدة Keccak. يتم بعد ذلك توليد المتجه السري \( \hat{s} \) ومتجه الخطأ \( \hat{e} \) باستخدام NTT داخل وحدة BU، مسترشدين بالمخرجات من وحدة CBD. يتم إنتاج المتجه الناتج النهائي \( t \) من خلال عمليات PWM والجمع التي تقوم بها وحدة BU مع متجه الخطأ.
نتائج
في هذا القسم، يقدم المؤلفون مقارنة أداء لطريقتهم المقترحة مقابل التقنيات الحديثة، إلى جانب تقييم أمني. يؤكدون على أهمية الشفافية وقابلية التكرار من خلال توفير مستودع شامل، يُشار إليه باسم [CRNTCA]، والذي يتضمن جميع الشيفرات المصدرية اللازمة لإعادة إنتاج تحليلهم، بالإضافة إلى أدوات للمحاكاة، والتوليف، وتقييم الأمان. يعتمد التنفيذ الذي تم تقييمه في هذه الدراسة على تصميم TOP_MLKEM المتاح في المستودع.
بالإضافة إلى ذلك، يقدم المؤلفون واجهة AXI والسائقين المقابلين لتسهيل التكامل مع المعالجات الخارجية. ومع ذلك، يوضحون أن واجهات الاتصال الخارجية مستبعدة من مقارنة الأداء الخاصة بهم، حيث إنها لا تؤثر على مقاييس الأداء التشفيري الأساسية. علاوة على ذلك، يتم أيضًا استبعاد الوحدات المعتمدة على Keccak وLFSR المستخدمة لتوليد المشاركات العشوائية في التنفيذات المحمية من هذا التحليل.
نقاش
يستعرض قسم النقاش في ورقة البحث تصميم وهندسة تنفيذ الأجهزة المعيارية لـ ML-KEM (آلية تغليف المفتاح القائمة على الشبكات). تتكون الهندسة المعمارية المقترحة من أربعة وحدات حسابية رئيسية: وحدة الفراشة (BU)، وحدة توزيع ثنائي مركزي (CBD)، وحدة العينة المرفوضة (RS)، ووحدة Keccak. يسمح هذا التصميم المعياري بالتهيئة عبر مستويات الأمان المختلفة (512، 768، و1024 بت) وأنماط التشغيل، مع استراتيجية جدولة مخصصة تنسق بشكل مثالي تفعيل هذه المكونات. يتم التحكم في الهندسة المعمارية بواسطة برنامجين رئيسيين للتحكم مخزنين في ROM، يديران تدفق العمليات بناءً على الوضع المحدد ويحفزان توليد المفاتيح، والتغليف، أو فك التغليف.
تم تصميم وحدة الفراشة لأداء العمليات متعددة الحدود الأساسية (NTT، INTT، PWM، ADD، وSUB) بكفاءة، مع دمج تحسينات متنوعة من الأدبيات الحالية. من الجدير بالذكر أن التصميم يستخدم بنية ذاكرة ping-pong لتعزيز التوازي وعرض النطاق الترددي للذاكرة، مما يسمح بمعالجة متزامنة لمعاملات متعددة الحدود. تؤكد الورقة على أهمية العمليات ذات الوقت الثابت للتخفيف من هجمات التوقيت وتناقش تنفيذ الضربات المودولية باستخدام هياكل شجرة دادا للتقليل الفعال. بشكل عام، تُظهر الهندسة المعمارية تحسينات كبيرة في الأداء واستخدام الموارد مقارنةً بالتصاميم الحديثة، مما يجعلها مناسبة للأنظمة المدمجة مع الحفاظ على المرونة لمتطلبات الأمان المختلفة.
DOI: https://doi.org/10.46586/tches.v2026.i2.272-295
Publication Date: 2026-04-23
Author(s): Eros Camacho-Ruiz et al.
Primary Topic: Cryptographic Implementations and Security
Overview
The research introduces HOPE-MLKEM, a pioneering framework for the hardware implementation of ML-KEM, which has recently been adopted as FIPS 203 in the NIST Post-Quantum Cryptography standardization process. Unlike existing implementations that prioritize performance but often neglect side-channel attack defenses, HOPE-MLKEM offers a configurable and open solution that integrates high-order protection against timing and power side-channel vulnerabilities. The framework’s modular architecture accommodates all security levels and operations, featuring optimized components for polynomial arithmetic, modular multiplication, and programmable control logic, thereby facilitating the integration of masking countermeasures.
Evaluation of HOPE-MLKEM on FPGA and ASIC platforms demonstrates its competitive performance relative to state-of-the-art unprotected designs while ensuring resilience against high-order side-channel attacks. The framework is released as open-source, promoting community engagement in exploring design choices, evaluating leakage, and optimizing hardware. Future research directions include developing countermeasures against fault injection attacks, optimizing modules for protected Keccak implementations, and extending the methodology to other post-quantum schemes like ML-DSA. Additionally, there is potential for integrating the framework or its components as an ISA extension for RISC-V cores, enhancing its applicability in diverse contexts.
Introduction
The introduction of the research paper discusses the standardization of Post-Quantum Cryptography (PQC), particularly focusing on the lattice-based key encapsulation mechanism ML-KEM, which has been recognized for its effective balance of performance and security. As ML-KEM is poised to play a crucial role in future secure communication systems, the need for efficient and robust implementations is emphasized. The software benchmarking framework pqm4 has become essential for evaluating PQC on ARM Cortex-M4 devices, yet implementations on embedded platforms face vulnerabilities to Side-Channel Attacks (SCA). Despite existing countermeasures, their high latency and memory requirements pose challenges in resource-constrained environments, underscoring the necessity for dedicated hardware solutions.
The paper notes that while prior hardware implementations of ML-KEM have primarily focused on performance, recent efforts have begun to address side-channel protections. However, these approaches often limit their focus to first-order countermeasures. The section also outlines the cryptographic processes involved in the decapsulation key and shared secret key generation, detailing the mathematical operations and transformations used in the implementation. This highlights the complexity and the need for careful consideration of both performance and security in the development of PQC systems.
Methods
The proposed architecture employs a modular methodology that integrates recursive functionalities into a compact set of reusable modules, enhancing efficiency in cryptographic operations. Key components include a dedicated Keccak module for hash computations, a CBD module for executing SamplePolyCBD(•), and an RS module for implementing SampleNTT(•). The BU module is responsible for all polynomial arithmetic over the finite field \( \mathbb{Z}_q \), encompassing operations such as NTT, INTT, polynomial weighted multiplication (PWM), addition (ADD), and subtraction (SUB).
In the context of the Key Encapsulation Mechanism (KEM), the architecture’s operations are exemplified through the K-PKE (Key-Policy Encryption) process, particularly focusing on the K-PKE.KeyGen operation. This process initiates with the generation of randomness \( d \), which is used to derive seeds \( \rho \) and \( \sigma \) via the function \( G(d, k) \) utilizing the Keccak module. Following this, the matrix \( \hat{A} \) is computed through the SampleNTT(•) function in the RS module, leveraging outputs from the Keccak module. The secret vector \( \hat{s} \) and the error vector \( \hat{e} \) are subsequently generated using the NTT within the BU, guided by outputs from the CBD module. The final output vector \( t \) is produced through PWM and addition operations performed by the BU with the error vector.
Results
In this section, the authors present a performance comparison of their proposed method against state-of-the-art techniques, alongside a security evaluation. They emphasize the importance of transparency and reproducibility by providing a comprehensive repository, denoted as [CRNTCA], which includes all necessary source code for reproducing their analysis, as well as tools for simulation, synthesis, and security assessment. The implementation evaluated in this study is based on the TOP_MLKEM design available in the repository.
Additionally, the authors offer an AXI interface and corresponding drivers to facilitate integration with external processors. However, they clarify that external communication interfaces are excluded from their performance comparison, as these do not influence the core cryptographic performance metrics. Furthermore, modules based on Keccak and the LFSR utilized for random share generation in masked implementations are also omitted from this analysis.
Discussion
The discussion section of the research paper outlines the design and architecture of a modular hardware implementation for the ML-KEM (Module-Lattice Key Encapsulation Mechanism). The proposed architecture consists of four main computational modules: the Butterfly Unit (BU), the Centered Binomial Distribution (CBD) module, the Rejection Sampler (RS), and the Keccak module. This modular design allows for configurability across different security levels (512, 768, and 1024 bits) and operational modes, with a dedicated scheduling strategy that optimally coordinates the activation of these components. The architecture is controlled by two main control programs stored in ROM, which manage the operational flow based on the selected mode and trigger key generation, encapsulation, or decapsulation.
The Butterfly Unit is designed to perform essential polynomial operations (NTT, INTT, PWM, ADD, and SUB) efficiently, integrating various optimizations from existing literature. Notably, the design employs a ping-pong memory architecture to enhance parallelism and memory bandwidth, allowing simultaneous processing of polynomial coefficients. The paper emphasizes the importance of constant-time operations to mitigate timing attacks and discusses the implementation of modular multiplications using Dadda tree structures for efficient reduction. Overall, the architecture demonstrates significant improvements in performance and resource utilization compared to state-of-the-art designs, making it suitable for embedded systems while maintaining flexibility for various security requirements.