Flexibler Krypto-CoProzessor für Server als SoC

Transkript

1 Flexibler Krypto-CoProzessor für Server als SoC Diplomzwischenvortrag H. Gregor Molter Betreuer: Dipl.-Inform. Ralf Laue H. Gregor Molter Diplomzwischenvortrag / 23

2 Gliederung 1 Einführung 2 Hardware Übersicht Partition 3 Algorithmen ECC RSA 4 Software Aufbau Simulation 5 Zusammenfassung & Ausblick H. Gregor Molter (gmolter@gmx.de) Diplomzwischenvortrag / 23

3 Zielsetzung Entwickeln eines FPGA Core der 1 ECC und RSA Kryptographie unterstützt, 2 AES als symmetrisches Verfahren benutzt und 3 die eigentliche Arithmetik auf mehreren Hardware-Verarbeitungseinheiten ausgelagert ist. Gesteuert wird das System über ein Programm auf dem Host-PC ( nicht stand-alone). H. Gregor Molter (gmolter@gmx.de) Diplomzwischenvortrag / 23

4 Entwicklungsplattform Umgesetzt wird das SoC auf dem Xilinx XUP Board mit einem Virtex-II Pro FPGA. Hauptproblem ist das verfügbare B-RAM ( Kbit Dual-Port BRAM = 272 KByte). H. Gregor Molter (gmolter@gmx.de) Diplomzwischenvortrag / 23

5 Übersicht Komponenten OPB LMB 1 FSL 1 DS 1 µb 1 FF-Arith 1 DIP-Sw. LEDs UART TRNG AES DS 0 DOCM PPC 1 IOCM PS 0 LMB 2 PS 1 DS 2 µb 2 FF-Arith 2 DS 3 µb 3 FF-Arith 3 PS 2 DS 4 µb 4 FF-Arith 4 H. Gregor Molter (gmolter@gmx.de) Diplomzwischenvortrag / 23

6 Partition Datenaustausch PPC 1 µb i OPB LMB i FSL i PPC 1 DS i µb i FF-Arith i Datenaustausch über gemeinsamen Datenspeicher DS i : PowerPC hat Zugriff auf alle Datenspeicher, Microblaze nur auf seine eigenen Datenspeicher. Um zu erkennen ob Daten verfügbar sind, muss periodisch ein Status-Byte abgefragt werden. H. Gregor Molter (gmolter@gmx.de) Diplomzwischenvortrag / 23

7 Partition Datenverarbeitung µb i FF-Arith i OPB LMB i FSL i PPC 1 DS i µb i FF-Arith i Der Microblaze lädt die Daten von DS in die Arithmetikeinheit. Über ein Konfigurationsdatum wird der Betriebsmodus (ECC / RSA) und die Aktion (Ver- oder Entschlüsseln, Signieren oder Verifizieren) festgelegt. H. Gregor Molter (gmolter@gmx.de) Diplomzwischenvortrag / 23

8 Partition Steuerung der Verarbeitungseinheiten OPB LMB 1 DS 1 µb 1 Host-PC RS-232 UART OPB PPC 1 DS 2 LMB 2 µb 2 DS 3 LMB 3 µb 3 LMB 4 DS 4 µb 4 Die Host-PC Software stellt Anfragen an den PowerPC, der bis zu vier Anfragen annehmen kann und weitere ablehnt, die Anfragen auf die vorhandenen, freien Verarbeitungseinheiten verteilt, das Ergebnis an den Host-PC zurück liefert. H. Gregor Molter (gmolter@gmx.de) Diplomzwischenvortrag / 23

9 Partition Zufallszahlengenerator Design nach Paper von Schellekens et al.: i 1(t) =1 n(t) D- FF s(t) Resilient f(x) i 128(t) tc 128 Oszillator-Ringe, XOR-Reduktion als balancierter Binärbaum, mindestens 35% der Bits n(t) sind deterministisch und werden durch einen zyklischen Code f(x) gefiltert. H. Gregor Molter (gmolter@gmx.de) Diplomzwischenvortrag / 23

10 Partition Vorab Leistungsbewertung Kenndaten: vier Microblaze Prozessoren, ein PowerPC-Kern, acht Dual-PORT B-RAM, vier FF-Arith Einheiten (am OPB), diverse Peripherie (UART, DIP-Switch, LED), TRNG mit 128 Oszillator-Ringen, kein AES! Synthese-Ergebnis: Knapp 100 MHz Takt möglich, insbesondere für die Microblaze Prozessoren, 9318 Slices (68% des FPGA). H. Gregor Molter Diplomzwischenvortrag / 23

11 Allgemeine Design-Entscheidungen Verwenden der Montgomery Reduktion für effektive modulare Reduktion. Algorithmen sind Speicher- statt Laufzeit-optimiert. Algorithmen sollten SPA und DPA resistent sein. Symmetrische Ver- und Entschlüsselung in den Algorithmen über AES. Hash-Funktionen und Derivate (KDF, MGF) anhand von AES. Arithmetik-Einheiten müssen mindestens mit 160-Bit maximal mit 3072-Bit rechnen. H. Gregor Molter Diplomzwischenvortrag / 23

12 ECC Design-Entscheidungen Elliptische Kurven Kryptographie nur über Primkörpern (modp). Nur verwenden der vereinfachte Weierstraßschen Gleichung mit a = 3. E : y 2 = x 3 + ax + b Keine Generierung von elliptischen Kurven möglich. Verwenden von projektiven Koordinaten für schnellere Algorithmen. H. Gregor Molter (gmolter@gmx.de) Diplomzwischenvortrag / 23

13 ECC Implementierte Algorithmen Implementiert nach IEEE Std und IEEE Std. 1336a-2004: Schlüssel generieren, Öffentliche Schlüssel und Kurvenparameter validieren, Verschlüsseln und Entschlüsseln (ECIES), Signieren und Validieren (ECDSA). H. Gregor Molter Diplomzwischenvortrag / 23

14 RSA Design-Entscheidungen RSA mit chinesischem Restsatz. RSA-Bitlänge minimal 1024-Bit (bis maximal 3072-Bit). Keine Schlüssel-Generierung möglich. H. Gregor Molter Diplomzwischenvortrag / 23

15 RSA Implementierte Algorithmen Implementiert nach PKCS#1 v2.1: RSA Primitive zum Ver- und Entschlüsseln (RSAEP, RSADP), RSA Primitive zum Signieren und Validieren (RSASP, RSAVP), Verschlüsseln und Entschlüsseln (RSAES-OAEP-Encrypt, RSAES-OAEP-Decrypt), Signieren und Validieren (RSASSA-PSS-Sign, RSASSA-PSS-Verify). H. Gregor Molter Diplomzwischenvortrag / 23

16 Aufbau Design-Entscheidungen Features: C++ Quellcode, Software-Portabilität durch GNU autotools (autoconf, automake, libtool,... ), Modular aufgebaut (ECC oder RSA Teile können leicht entfernt werden), benutzt LiDIA Bibliothek für die modulare Arithmetik, OpenSSL für die Simulation des AES IP, Test-Suite prüft die Berechnungen der Algorithmen über LiDIA nach. H. Gregor Molter Diplomzwischenvortrag / 23

17 Aufbau Haupt-Module LiDIA OpenSSL AES Arithmetik Hash Simtools ECC RSA Test-Suite H. Gregor Molter Diplomzwischenvortrag / 23

18 Simulation Test-Suite Test-Suite rechnet die Ergebnisse der Algorithmen mit Hilfe von LiDIA nach. Simuliert wird mit: NIST Kurven P-192, P-224, P-256, P-384, P-521, Test-Kurve mit mod 29, RSA mit Schlüssellänge 512 und 1024 Bit. Geprüft wird: FF-Arithmetik: Exponentation, ECC: Punkt-Verdoppelung, Punkt-Addition, Skalare Multiplikation, Schlüssel-Generierung und Validierung, Verund Entschlüsselung, Signieren und Verifizieren, RSA: Ver- und Entschlüsseln (Primitive), Ver- und Entschlüsseln (OAEP), Signieren und Verifizieren. H. Gregor Molter Diplomzwischenvortrag / 23

19 Simulation Schrittweise Verfeinerung der Simulation und Algorithmen 1 Algorithmen benutzen direkt die LiDIA Datentypen und Funktionen funktionale Simulation. 2 In den Algorithmen wurden die LiDIA Aufrufe durch #define s gekapselt. 3 LiDIA Datentypen wurden ersetzt durch eigene Datenstrukturen Bit-genaue Simulation. 4 Multiplikation und Inversion mit Montgomery. 5 Emulation der Speicherbereiche des FF-Arith IP semantische Simulation. 6 Algorithmen benutzen die zwei Multiplizierer des FF-Arith IP. 7 Diverse eingebettete Prüfroutinen um Speicher-Fehlzugriffe, fehlende Warte-Routinen und falsche vorberechnete Werte zu identifizieren Hardware-orientierte Simulation. H. Gregor Molter (gmolter@gmx.de) Diplomzwischenvortrag / 23

20 Simulation Haupt-Module LiDIA OpenSSL AES Arithmetik Hash Simtools ECC RSA Test-Suite H. Gregor Molter Diplomzwischenvortrag / 23

21 Zusammenfassung Definition des Systems inkl. Peripherie und Anbindung. Festlegen der verwendeten ECC / RSA Algorithmen und Strukturen. Entwickeln einer Hardware-orientierten Simulationssoftware sowie implementieren der ECC / RSA Algorithmen. Analyse der Kommunikationsmöglichkeiten zwischen PowerPC und Microblaze. Implementierung und Testen eines TRNG. H. Gregor Molter (gmolter@gmx.de) Diplomzwischenvortrag / 23

22 Ausblick Portieren der Software für die Microblaze Prozessoren. Implementieren der Host-PC und der PowerPC Steuersoftware. Einbinden des AES Core und Anbindung an die Microblaze Prozessoren. FF-Arith auf FSL Bus Anbindungen umschreiben / vorbereiten. Leistungsbewertung durchführen. Design optimieren um 100 MHz für die Microblaze Prozessoren zu erreichen. H. Gregor Molter (gmolter@gmx.de) Diplomzwischenvortrag / 23

23 Vielen Dank für Ihre Aufmerksamkeit. H. Gregor Molter Diplomzwischenvortrag / 23