Earticle

본 논문에서는 32-bit RISC-V 프로세서 상에서 경량 블록 암호인 SIMECK과 SIMON의 카운터 운용 모드에 대한 최적 구현을 제안한다. CTR 운용 모드의 특징을 활용하여 일부 값을 사전 연산하는 라운드 함수 최적화, 단일평문 최적화와 2개의 평문 병렬 최적화를 제안한다. RISC-V 상에서의 SIMECK과 SIMON에 대한 선행 연구 결과가 존재하지 않기 때문에 단일 평문 최적화와 2개의 평문 병렬 최적화 구현물에 대해 사전 연산 기법이 적용된 구현물과 사전 연산이 적용되지 않은 구현물의 성능을 비교하였다. 결과적으로, 사전 연산 기법이 적용된 구현물은 사전 연산이 적용되지 않은 구현물 대비 모두 1%의 성능 향상을 확인하였다.

In this paper, we propose an optimal implementation of lightweight block ciphers, SIMECK and SIMON counter operation mode, on a 32-bit RISC-V processor. Utilizing the characteristics of the CTR operating mode, we propose round function optimization that precomputes some values, single plaintext optimization and two plaintext parallel optimization. Since there are no previous research results on SIMECK and SIMON on RISC-V, we compared the performance of implementations with and without precomputation techniques for single plaintext optimization and two plaintext parallel optimization implementations. As a result, the implementations to which the precomputation technique was applied showed a performance improvement of 1% compared to the implementations to which precomputation was not applied.

본 논문에서는 경량 블록 암호인 PIPO-64/128, 256에 대해 T-table을 사용한 구현을 최초로 제시한다. 제안 방법은 최초 16개의 T-table을 요구하지만, 필요한 두 종류의 T-table이 순환 구조임을 보이고 T-table 개수를 줄여 구현하는 변형 방법을 추가로 제시한다. 제안 방법들의 T-table 수(코드 크기)-속도간 상충관계 분석을 위해 각각 변형 구현물을 Intel Core i7-9700K 프로세서 환경에서 평가한다. 평가를 통해 획득한 속도 최적화 구현은 TLU(Table-Look-Up) 레퍼런스 구현에 비해 PIPO-64/128, 256에서 각각 11.33, 9.31배, 비트 슬라이스(Bit Slice) 레퍼런스 구현에 비해 각각 3.31, 2.76배 향상된 속도를 갖는다.

In this paper, we presents for the first time an implementation using T-table for PIPO-64/128, 256 which are lightweight block ciphers. While our proposed implementation requires 16 T-tables, we show that the two types of T-tables are circulant and obtain variants implementations that require a smaller number of T-tables. We then discuss trade-off between the number of required T-tables (code size) and throughput by evaluating the throughput of the variant implementations on an Intel Core i7-9700K processor. The throughput-optimized versions for PIPO-64/128, 256 provide better throughput than TLU(Table-Look-Up) reference implementation by factors of 3.11 and 2.76, respectively, and bit-slice reference implementation by factors of 3.11 and 2.76, respectively.

사물인터넷(IoT), 클라우드 컴퓨팅, 빅데이터 등의 확산으로 애플리케이션에 대한 고속 암호화의 필요성이 대두되고 있다. GPU 최적화는 GPU가 이론적으로 얻은 암호 분석 결과 또는 축소된 버전을 합리적인 시간에 검증하는데 사용될 수 있다. 본 논문에서는 다양한 환경에서 구현되고 있는 PIPO 경량암호를 대상으로 GPU 상에서 구현하였다. PIPO에 대한 무차별 대입 공격을 고려하여 최적 구현하였다. 특히 비트 슬라이싱 기법을 적용한 최적화 구현과 GPU 요소를 최대한 사용하였다. 결과적으로 제안 기법의 구현은 RTX 3060 환경에서 초당 약 195억의 처리량을 보여 이전 연구 보다 약 122배 높은 처리량을 달성하였다.

With the spread of the Internet of Things (IoT), cloud computing, and big data, the need for high-speed encryption for applications is emerging. GPU optimization can be used to validate cryptographic analysis results or reduced versions theoretically obtained by the GPU in a reasonable time. In this paper, PIPO lightweight encryption implemented in various environments was implemented on GPU. Optimally implemented considering the brute force attack on PIPO. In particular, the optimization implementation applying the bit slicing technique and the GPU elements were used as much as possible. As a result, the implementation of the proposed method showed a throughput of about 19.5 billion per second in the RTX 3060 environment, achieving a throughput of about 122 times higher than that of the previous study.

2002년 Chow 등은 공격자가 암호 알고리즘의 입출력뿐만 아니라 중간값을 관찰하거나 변조할 수 있는 능력을 가지는 화이트박스 모델을 정의하였다. 화이트박스 암호(White-Box Cryptography, WBC)는 화이트박스 모델에서 하드웨어나 설계의 기밀성에 의존하지 않고 소프트웨어만으로 암호 알고리즘 내 암호 키를 안전하게 보호하는 것을 목표로 한다. 그러나 Chow 등이 제안한 초기 테이블 참조 방식의 화이트박스 구현은 모두 안전하지 않음이 증명되었으며, 2022년 Ranea 등은 라운드 함수의 방정식을 저장하고 이를 풀어 출력을 구하는 새로운 방식의 음함수 화이트박스 구현을 제안하였다. 본 연구에서는 모바일 환경에 적합한 경량 블록 암호인 PIPO 알고리즘에 음함수 화이트박스 구현 방식을 적용하고, 이를 위한 화이트박스 모듈 생성기와 사용자의 암호화 모듈 연산 알고리즘을 제시한다. 또한, 기존의 연구되었던 PIPO 테이블 참조 화이트박스 구현과 메모리 사용량을 비교하고, PIPO 음함수 화이트박스 구현의 성능 및 안전성을 분석한다.

In 2002, Chow et al. introduced the white-box model, where an attacker can observe and manipulate not only the inputs and outputs of a cryptographic algorithm but also its intermediate values. White-Box Cryptography (WBC) aims to securely protect cryptographic keys within this model using software alone, without relying on secure hardware or on the secrecy of the design. However, the initial look-up table white-box implementations proposed by Chow et al. were proven insecure. In2022, Ranea et al. proposed a implicit white-box implementation, a new design of white-box implementation based on implicit functions, which represents round functions as implicit functions and computes outputs by solving these equations. This study applies the implicit white-box implementation to the lightweight block cipher PIPO, designed for mobile environments, and introduces algorithms for a white-box module generator and white-box encryption module operations. Furthermore, it compares the memory usage of look-up table and implicit PIPO white-box implementations and analyzes the performance of the implicit PIPO white-box implementation.

최근 세계적으로 사물인터넷 부문의 지출 성장이 높아짐에 따라 이를 암호화하기 위한 경량 블록 암호의 중요성 또한 높아지고 있다. ICISC 2020에 제안된 경량 블록 암호 PIPO 암호화 알고리즘은 Unbalanced bridge 구조를 이용한 SPN 구조의 암호이다. 화이트박스 공격 모델은 공격자가 암호화 동작의 중간값까지 알 수 있는 상태를 의미한다. 이를 대응하기 위한 기법으로 2002년 Chow 등은 화이트박스 구현 기법을 제안하여 DES와 AES에 적용하였다. 본 논문에서는 경량 블록 암호 PIPO 알고리즘에 화이트박스 구현 기법을 적용한 화이트박스 PIPO를 제안한다. 화이트박스 PIPO는 Chow 등이 제안한 화이트박스 AES 대비 테이블의 크기는 약 5.8배, 연산 시간은 약 17배 감소하였다. 또한, 모바일 보안제품에 화이트박스 PIPO를 활용하였으며 적용 범위에 따른 테스트 케이스 별 실험 결과를 제시한다.

With the recent increase in spending growth in the IoT sector worldwide, the importance of lightweight block ciphers to encrypt them is also increasing. The lightweight block cipher PIPO algorithm proposed in ICISC 2020 is an SPN-structured cipher using an unbalanced bridge structure. The white box attack model refers to a state in which an attacker may know the intermediate value of the encryption operation. As a technique to cope with this, Chow et al. proposed a white box implementation technique and applied it to DES and AES in 2002. In this paper, we propose a white box PIPO applying a white box implementation to a lightweight block cipher PIPO algorithm. In the white box PIPO, the size of the table decreased by about 5.8 times and the calculation time decreased by about 17 times compared to the white box AES proposed by Chow and others. In addition, white box PIPO was used for mobile security products, and experimental results for each test case according to the scope of application are presented.

본 논문에서는 경량 블록 암호 PIPO에 대한 인테그랄 구별자(integral distinguisher)을 탐색한 결과를 통해 8-라운드 PIPO-64/128에 대한 키 복구 공격을 수행한다. ICISC 2020에서 제안된 경량 블록 암호 PIPO는 고차 마스킹 구현을 고려한 설계를 통해 부채널 공격에 대한 저항성을 갖는 효율적인 구현이 가능하다. 동시에 차분 분석, 선형 분석 등의 다양한 분석법을 적용하여 PIPO의 안전성을 보였다. 그러나 인테그랄 공격에 대해, 5-라운드 이상의 인테그랄 구별자가 존재하지 않을 것이라고 제안되었을 뿐 인테그랄 공격에 대한 안전성 분석은 현재까지 수행된 바 없다. 본 논문에서는 MILP 기반 Division Property를 통해 PIPO에 대한 인테그랄 구별자를 탐색하는 방법을 제시하고, 기존의 결과와 달리 6-라운드 인테그랄 구별자가 존재함을 보인다. 뿐만 아니라, PIPO의 라운드 함수 구조를 활용하여 입출력에 대한 선형 변환을 고려하는 인테그랄 구별자 탐색 방법을 통해 총 136개의 6-라운드 인테그랄 구별자를 제시한다. 마지막으로, 획득한 6-라운드 인테그랄 구별자 중 4개를 이용하여 2^124.5849의 시간 복잡도와 2⁹³의 메모리 복잡도를 가지는 8-라운드 PIPO-64/128 키 복구 공격을 제안한다.

In this paper, we search integral distinguishers of lightweight block cipher PIPO and propose a key recovery attack on 8-round PIPO-64/128 with the obtained 6-round distinguishers. The lightweight block cipher PIPO proposed in ICISC 2020 is designed to provide the efficient implementation of high-order masking for side-channel attack resistance. In the proposal, various attacks such as differential and linear cryptanalyses were applied to show the sufficient security strength. However, the designers leave integral attack to be conducted and only show that it is unlikely for PIPO to have integral distinguishers longer than 5-round PIPO without further analysis on Division Property. In this paper, we search integral distinguishers of PIPO using a MILP-aided Division Property search method. Our search can show that there exist 6-round integral distinguishers, which is different from what the designers insist. We also consider linear operation on input and output of distinguisher, respectively, and manage to obtain totally 136 6-round integral distinguishers. Finally, we present an 8-round PIPO-64/128 key recovery attack with time complexity 2^124.5849 and memory complexity of 2⁹³ with four 6-round integral distinguishers among the entire obtained distinguishers.

본 논문에서는 유비쿼터스 컴퓨팅 보안을 위한 128비트 Reversible Cellular Automata(RCA)기반 경량 블록 암호를 설계하고 구현한다. 유비쿼터스 컴퓨팅이 요구하는 하드웨어 제약조건을 충족하기 위하여 높은 임의성을 제공하는 Cellular Automata를 기반으로 블록구조를 설계하였다. 구현된 블록 암호기법은 암호화 과정동안 704 클럭 사이클로 동작하고 2,874 게이트수를 보였다. 구현 결과 기존의 AES나 NTRU보다 처리속도가 31% 향상되었고, gate수는 20%만큼 절감되었다. 차분 분석(Differential Cryptanalysis)과 Strict Avalanche Criterion(SAC)을 수행함으로써 구현된 블록 암호 알고리즘의 안정성을 검증하였다.

This paper presents a 128-bit Reversible Cellular Automata (RCA) based lightweight block cipher for Ubiquitous computing security. To satisfy resource-constraints for Ubiquitous computing, it is designed as block architecture based on Cellular Automata with high pseudo-randomness. Our implementation requires 704 clock cycles and consumes 2,874 gates for encryption of a 128-bit data block. In conclusion, the processing time outperformed that of AES and NTRU by 31%, and the number of gate was saved by 20%. We evaluate robustness of our implementation against both Differential Cryptanalysis and Strict Avalanche Criterion.

무선 인터넷과 IoT(Internet of Things) 기술 기반의 다양한 스마트기기가 확산함에 따라 경량 블록 암호 기술의 사용이 증가하고 있다. 경량 블록 암호는 저전력과 저면적 환경에서 데이터의 보안, 무결성, 인증 등 스마트 기기의 정보보호에 필수적인 기술로 자리 잡고 있다. 그러나, 개발된 경량 블록 암호 기술에 대한 공격 기법들이 연구되면서, 개선의 필요성이 대두되고 있다. 본 연구에서는 경량 블록 암호 기술을 개선하기 위해, 추가적인 논리 게이트오버헤드가 전혀 없는 비용 제로(zero-cost) 기반의 통계적 경로 재설계 기법(Statistical Path Redesign)을 제안한다. 이 통계적 경로 재설계 기법을 활용하여, 경량 블록 암호의 국제 표준으로 선정된 SPN(Substitution-Permutation Network) 구조의 PRESENT[2]와 ARX(Addition-Rotation-XOR) 구조의 HIGHT[3] 암호 기술에 대한 취약성을 분석하고, 최적화된 개선 방안을 제안한다. 그리고, 개선된 경량 블록 암호에 대해 기존 공격 기법들에 대한 저항성과 최초 제안된 경량 블록 암호와의 성능을 대수적 검증과 시뮬레이션 결과로 분석한다.

As various smart devices based on wireless internet and IoT(Internet of Things) technologies proliferate, the demand for lightweight block cipher technology continues to rise. Lightweight block ciphers have become an essential component for ensuring data security, integrity, and authentication in smart devices operating within low-power and resource-constrained environments. However, as cryptanalysis techniques against existing lightweight block ciphers advance, the necessity for structural improvement is emerging. In this paper, to enhance lightweight block cipher security, we propose a Statistical Path Redesign(SPR) technique achieved at zero-cost, incurring absolutely no additional logic gate overhead. Using this SPR technique, we analyze the vulnerabilities of the SPN(Substitution-Permutation Network)-based PRESENT[2] and ARX(Addition-Rotation-XOR)-based HIGHT[3] architectures which are both registered as international standards for lightweight ciphers, and propose optimized improvement schemes. Finally, through rigorous algebraic verification and extensive simulation results, we demonstrate that the enhanced lightweight block ciphers fundamentally evade known attack vectors while maintaining the performance profiles of the originally proposed designs.

초경량 LEA 128비트 블록 암호화 아키텍처는 자원이 제약된 유비쿼터스 장치에 보안성을 높일 방법으 로, 국가보안기술연구소에서 개발되고 국제표준화기구와 국제전기기술위원회에서 암호 분야 국제 표준으로 제정된 보안 알고리즘인 128비트 Lightweight Encryption Algorithm 알고리즘을 하드웨어 환경에서 설계하여 내부 레지 스터 재사용, 리소스 공유를 통해 LEA 암호화/복호화 모듈을 저 면적으로 구현하였다. Xilinx ISE 14.7 Virtex-5 를 이용하여 합성한 결과, 최대 주파수는 190.88MHz를 달성했으며 최대 128Mbps의 처리 속도를 가진다. 또한, 301개의 Flip-Flop, 1151개의 Look-Up-Table, 485개의 슬라이스로 구현되어 128비트 LEA 알고리즘을 저면적으 로 구현된 하드웨어 디자인을 제시한다.

In this paper, we present an efficient hardware design of the 128-bit Lightweight Encryption Algorithm. LEA is a security algorithm developed by the National Security Technology Institute and established as an international standard for cryptography in the International Organization for Standardization and International Electrotechnical Commission for use in a hardware environment. The proposed architecture is based on internal register reuse and resource sharing to lower the LEA encryption/decryption crypto core’s area. The maximum frequency is 190.88MHz and has throughput of 128Mbps. In addition, 301 Flip-Flops, 1151 Look-Up-Tables, and 485 Slices are utilized to present a low-area 128-bit LEA hardware design.

Precomputation look-up table based masking countermeasure is low-cost and secure against first-order DPA, therefore is more suitable for lightweight ciphers in resourceconstrained devices. In this paper, we investigate the resistance of this masking countermeasure against second-order power analysis attack under the attack context of the Hamming weight leakage and the precomputation masked S-box. We improve the Adapted CPA technique [1] to make a better use of this attack context. Our attack successfully reveals the secret key with and without electronic noise and algorithmic noise. The number of power traces required to reveal the secret key rises from 600(unprotected implementation) to 16,000.

Lightweight cryptography is equipped as security component, to secure those pervasive devices that are security and privacy sensitive. It has been conclusively proven that unprotected cryptographic implementations are vulnerable to side-channel attacks. In practice, area resource smaller than 3,000GE (5,000GE sometimes) may be available for security components in pervasive devices. This paper presents an ultra-lightweight first-order side-channel resistant crypto of KLEIN, which is a new family of lightweight block cipher that has advantages in both of software and hardware performances. The serial implementation of masked KLEIN requires 2102GE, while parallel implementation requires 4451GE, which are suitable for resource-constrained pervasive devices. Experimental results show that it is secure under First-order Power Analysis Attack, but still vulnerable to High-order Side-channel Attacks, with an exponential increase of the SCA data complexity.

CHAM is a lightweight block cipher, proposed in ICISC 2017. CHAM-n/k has the n-bit block and the k-bit key, and designers recommend CHAM-64/128, CHAM-128/128, and CHAM-128/256. In this paper, we study how to make optimal software implementation of CHAM such that it has high encryption speed on CPUs with high computing power. The best performances of our CHAM implementations are 1.6 cycles/byte for CHAM-64/128, 2.3 cycles/byte for CHAM-128/128, and 3.8 cycles/byte for CHAM-128/256. The comparison with existing software implementation results for well-known block ciphers shows that our results are competitive.

본 논문은 128/192/256-비트의 마스터키 길이를 지원하는 경량 블록 암호 알고리즘 CLEFIA-128/192/256의 FPGA 설계에 대하여 기술한다. 라운드키 생성을 위한 중간키 생성과 라운드 변환이 단일 데이터 프로세싱 블록으로 처리되도록 설계하였으며, 변형된 GFN(Generalized Feistel Network) 구조와 키 스케줄링 방법을 적용하여 데이터 프로세싱 블록과 키 스케줄링 블록의 회로를 단순화시켰다. Verilog HDL로 설계된 CLEFIA 크립토 프로세서를 FPGA로 구현하여 정상 동작함을 확인하였다. Vertex5 XC5VSX50T FPGA에서 1,563개의 LUT FilpFlop pairs로 구현되었으며, 최대 112 Mhz 81.5/69/60 Mbps의 성능을 갖는 것으로 예측되었다.

80/128-비트의 마스터키를 지원하는 초경량 블록암호 PRESENT-80/128의 하드웨어 구현에 대해 기술한다. PRESENT 알고리듬은 SPN (substitution and permutation network)을 기반으로 하며 31번의 라운드 변환을 갖는다. 64-비트 데이터 패스를 갖는 단일 라운드 변환 회로를 이용하여 31번의 라운드가 반복처리 되도록 하였으며, 암호화/복호화 회로가 공유되도록 설계하였다. Verilog HDL로 설계된 PRESENT 프로세서를 Virtex5 XC5VSX-95T FPGA로 구현하여 정상 동작함을 확인하였다. 최대 275 Mhz 클록으로 동작하여 550 Mbps의 성능을 갖는 것으로 예측되었다.

This paper describes a hardware implementation of ultra-lightweight block cipher algorithm PRESENT-80/128 that supports for two master key lengths of 80-bit and 128-bit. The PRESENT algorithm that is based on SPN (substitution and permutation network) consists of 31 round transformations. A round processing block of 64-bit data-path is used to process 31 rounds iteratively, and circuits for encryption and decryption are designed to share hardware resources. The PRESENT-80/128 crypto-processor designed in Verilog-HDL was verified using Virtex5 XC5VSX-95T FPGA and test system. The estimated throughput is about 550 Mbps with 275 MHz clock frequency.

최근 사물인터넷(IoT) 환경에서 다양한 장비의 인터넷 통신이 가능하여 이에 적절한 경량 블록 암호 알고리즘에 대한 연구가 활발히 진행되고 있다. ICISC 2020에서 새로 발표된 국산 경량 블록 암호 알고리즘인 PIPO는 새로운 경량 S-Box를 조합한 unbalanced-Bridge 구조로 효율적인 비트슬라이싱 구현을 제공한다. IoT 환경에 PIPO가 적용되기 위해서는 부채널 분석에 대한 안전성이 보장되어야 한다. 따라서 본 논문에서는 PIPO가 1차 CPA 공격에 취약함을 확인한다. 그리고 부채널 공격에 대응하기 위해 1차 마스킹 기법을 제안한다. 제안한 마스킹 기법은 1차 CPA 공격에 안전하였으며, 마스킹 적용 전보다 -375%의 성능을 보였다. 그리고 기존 기법보다 1287% 속도가 빨라진 것을 확인하였다.

고성능 양자 컴퓨터의 개발이 기대됨에 따라 잠재적인 양자 컴퓨터의 공격으로부터 안전한 양자 후 보안 시스템 구축을 위한 연구들이 활발하게 진행되고 있다. 대표적인 양자 알고리즘 중 하나인 Grover 알고리즘이 대칭키 암호의 키 검색에 사용될 경우, 암호의 보안 강도가 제곱근으로 감소되는 안전성의 문제가 발생할 수 있다. NIST는 암호 알고리즘의 공격에 필요로 하는 Grover 알고리즘의 비용을 기준으로 추정한 양자 후 보안 강도를 대칭키 암호에 대한 양자 후 보안 요구사항으로 제시하고 있다. 대칭키 암호의 공격에 대한 Grover 알고리즘의 추정 비용은 해당하는 암호화 알고리즘의 양자 회로 복잡도에 의해 결정된다. 본 논문에서는 NIST의 경량암호 공모전 최종 후보에 오른 SPARKLE의 AEAD군인 SCHWAEMM 알고리즘의 양자 회로를 효율적으로 구현하고, Grover 알고리즘을 적용하기 위한 양자 비용에 대해 분석한다. 이때, 암호화 순열 과정 중에 사용되는 덧셈기와 관련하여 CDKM ripple-carry 덧셈기와 Unbounded Fan-Out 덧셈기에 따른 비용을 같이 비교한다. 마지막으로, 분석한 비용과 NIST의 양자 후 보안 요구사항을 기반으로 경량암호 SPARKLE SCHWAEMM 알고리즘에 대한 양자 후 보안 강도를 평가한다. 양자 회로 구현 및 비용 분석에는 양자 프로그래밍 툴인 ProjectQ가 사용되었다.

As high-performance quantum computers are expected to be developed, studies are being actively conducted to build a post-quantum security system that is safe from potential quantum computer attacks. When the Grover's algorithm, a representative quantum algorithm, is used to search for a secret key in a symmetric key cryptography, there may be a safety problem in that the security strength of the cipher is reduced to the square root. NIST presents the post-quantum security strength estimated based on the cost of the Grover's algorithm required for an attack of the cryptographic algorithm as a post-quantum security requirement for symmetric key cryptography. The estimated cost of Grover's algorithm for the attack of symmetric key cryptography is determined by the quantum circuit complexity of the corresponding encryption algorithm. In this paper, the quantum circuit of the SCHWAEMM algorithm, AEAD family of SPARKLE, which was a finalist in NIST's lightweight cryptography competition, is efficiently implemented, and the quantum cost to apply the Grover's algorithm is analyzed. At this time, the cost according to the CDKM ripple-carry adder and the unbounded Fan-Out adder is compared together. Finally, we evaluate the post-quantum security strength of the lightweight cryptography SPARKLE SCHWAEMM algorithm based on the analyzed cost and NIST's post-quantum security requirements. A quantum programming tool, ProjectQ, is used to implement the quantum circuit and analyze its cost.

고성능 양자 컴퓨터가 개발될 것으로 기대됨에 따라 잠재적인 양자 컴퓨터의 공격으로부터 안전한 양자 후 보안 시스템을 구축하기 위한 연구들이 진행되고 있다. 대표적인 양자 알고리즘인 Grover 알고리즘이 대칭키 암호에 적용될 경우 보안 강도가 제곱근으로 감소되는 보안 훼손이 발생한다. NIST는 대칭키 암호에 대한 양자 후 보안 요구사항으로, 암호 알고리즘 공격에 요구되는 Grover 알고리즘 비용을 기준을 기준으로 양자 후 보안 강도를 추정하고 있다. 대칭키 암호를 공격하기 위한 Grover 알고리즘의 비용은 대상 암호화 알고리즘의 양자 회로 복잡도에 따라 결정된다. 본 논문에서는 NIST 경량암호 공모전 최종 후보에 오른 Sparkle 알고리즘의 양자 회로를 효율적으로 구현하고 Grover 알고리즘을 적용하기 위한 양자 비용에 대해 분석한다. 마지막으로, NIST 양자 후 보안 요구사항과 분석한 비용을 기반으로 경량암호 Sparkle에 대한 양자 후 보안 강도를 평가한다. 양자 회로 구현 및 비용 분석에는 양자 프로그래밍 툴인 ProjectQ가 사용되었다.

고성능 양자 컴퓨터의 개발이 기대됨에 따라 잠재적인 양자 컴퓨터의 공격으로부터 안전한 양자 후 보안 시스템 구축을 위한 연구들이 활발하게진행되고 있다. 대표적인 양자 알고리즘 중 하나인 Grover 알고리즘이 대칭키 암호의 키 검색에 사용될 경우, 암호의 보안 강도가 제곱근으로감소되는 안전성의 문제가 발생할 수 있다. NIST는 암호 알고리즘의 공격에 필요로 하는 Grover 알고리즘의 비용을 기준으로 추정한 양자 후보안 강도를 대칭키 암호에 대한 양자 후 보안 요구사항으로 제시하고 있다. 대칭키 암호의 공격에 대한 Grover 알고리즘의 추정 비용은 해당하는암호화 알고리즘의 양자 회로 복잡도에 의해 결정된다. 본 논문에서는 NIST의 경량암호 공모전 최종 후보에 오른 SPARKLE의 AEAD군인SCHWAEMM 알고리즘의 양자 회로를 효율적으로 구현하고, Grover 알고리즘을 적용하기 위한 양자 비용에 대해 분석한다. 이때, 암호화 순열과정 중에 사용되는 덧셈기와 관련하여 CDKM ripple-carry 덧셈기와 Unbounded Fan-Out 덧셈기에 따른 비용을 같이 비교한다. 마지막으로,분석한 비용과 NIST의 양자 후 보안 요구사항을 기반으로 경량암호 SPARKLE SCHWAEMM 알고리즘에 대한 양자 후 보안 강도를 평가한다. 양자회로 구현 및 비용 분석에는 양자 프로그래밍 툴인 ProjectQ가 사용되었다

As high-performance quantum computers are expected to be developed, studies are being actively conducted to build a post-quantumsecurity system that is safe from potential quantum computer attacks. When the Grover’s algorithm, a representative quantum algorithm,is used to search for a secret key in a symmetric key cryptography, there may be a safety problem in that the security strength of thecipher is reduced to the square root. NIST presents the post-quantum security strength estimated based on the cost of the Grover’s algorithmrequired for an attack of the cryptographic algorithm as a post-quantum security requirement for symmetric key cryptography. Theestimated cost of Grover's algorithm for the attack of symmetric key cryptography is determined by the quantum circuit complexity ofthe corresponding encryption algorithm. In this paper, the quantum circuit of the SCHWAEMM algorithm, AEAD family of SPARKLE, whichwas a finalist in NIST's lightweight cryptography competition, is efficiently implemented, and the quantum cost to apply the Grover’salgorithm is analyzed. At this time, the cost according to the CDKM ripple-carry adder and the unbounded Fan-Out adder is comparedtogether. Finally, we evaluate the post-quantum security strength of the lightweight cryptography SPARKLE SCHWAEMM algorithm basedon the analyzed cost and NIST's post-quantum security requirements. A quantum programming tool, ProjectQ, is used to implement thequantum circuit and analyze its cost.

본 논문에서는 2-bit RISC-V 프로세서 상에서의 경량 블록 암호인 SPECK의 CTR 운용 모드에 대한 최적 구현을 제안한다. RISC-V 상에서의 SPECK 단일 평문과 2개의 평문에 대한 최적화와 고정된 논스 값을 사용하는 CTR 운용모드의 특징을 활용하여 일부 값에 대해 사전 연산을 하는 라운드 함수 최적화를 제안한다. 결과적으로, 레퍼런스 대비 제안된 기법은 단일 평문과 2개의 평문에 대해 각각 5.76배 2.24배 성능 향상을 확인하였으며, 사전 연산 기법을 적용하지 않은 최적 구현 대비 사전 연산 기법을 적용하였을 때, 1% 성능 향상을 확인하였다.

ICISC'19에서 기존 CHAM과 동일한 구조와 규격을 갖지만, 라운드 수만 증가시킨 revised CHAM이 발표되었다. CHAM은 사물인터넷에서 사용되는 저사양 프로세서에서 효율적인 구현이 가능한 특징을 갖고 있다. AVR, ARM 프로세서 상에서의 CHAM 암호 알고리즘에 대한 최적 구현은 존재하지만, 아직 RISC-V 프로세서 상에서의 CHAM 구현은 존재하지 않는다. 따라서, 본 논문에서는 RISC-V 프로세서 상에서의 Revised CHAM 알고리즘을 최초로 구현을 제안한다. CHAM 라운드 함수의 내부 구조의 일부를 생략하여 최적 구현하였다. 그리고 홀수 라운드와 짝수 라운드를 모듈별로 구현하여 필요에 따라 모듈을 호출하여 손쉽게 사용할 수 있게 하였다. 결과적으로, RISC-V 상에서 제안 기법 적용하기 전보다 제안 기법 적용 후에 12%의 속도 향상을 달성하였다.