양자내성암호 ML-KEM-512/768/1024를 지원하는 고성능 하드웨어 가속기

국문 초록 (Abstract)

양자컴퓨터의 등장은 전통적인 공개키 암호 체계에 근본적인 위협을 가한다. 이에 대응하여 미국 국립표준기술연구소 (NIST)는 양자내성암호 (post-quantum cryptography; PQC) 표준을 선정하였다. 그 결과 CRYSTALS-Kyber에 기반한 Module-Lattice-Based Key-Encapsulation Mechanism (ML-KEM)이 차세대 키 캡슐화 메커니즘으로 선정되었다.
본 논문은 고성능 ML-KEM 하드웨어 가속기에 대해 기술한다. 설계된 가속기는 ML-KEM-512, ML-KEM-768, ML-KEM-1024의 세 가지 파라미터 세트를 지원하며, 이는 각각 NIST 보안 카테고리 1, 3, 5에 대응한다. 또한 ML-KEM scheme을 구성하는 세 가지 알고리듬 (ML-KEM.KeyGen, ML-KEM.Encaps, ML-KEM.Decaps)를 모두 지원한다. 설계된 가속기는 SHA-3 (Secure Hash Algorithm 3) 해시 연산과 샘플링을 수행하는 HASH_Sampling Core (HSC), 그리고 NTT (Number Theoretic Transform), INTT (Inverse NTT), 행렬-벡터 곱셈을 수행하는 Polynomial Arithmetic Core (PAC)로 구성된다. 각 코어는 FIFO (first in, first out)를 통해 데이터를 버퍼링하고, 내부 연산 모듈의 입출력 폭과 처리율에 맞춰 데이터 흐름을 조정한다. 또한 파라미터 변화에 대응할 수 있는 재구성 가능한 FIFO를 도입하여 다양한 보안 카테고리를 지원하도록 설계하였다.
SHA-3 연산에는 3단계 파이프라인을 적용하여 처리율을 향상시켰으며, 출력 폭을 가변적으로 조정하여 후속 모듈과의 처리율 차이로 인한 버퍼 사용을 최소화하였다. PAC는 사이클당 4개의 계수를 처리하여 높은 처리율을 가지며, NTT/INTT 연산에는 dual radix-2 MDC (multi-path delay commutator) 구조를 채택하였다. 또한 전체 아키텍처를 기반으로 데이터 흐름을 면밀히 분석해 ML-KEM scheme에 대한 최적화된 연산 스케줄링을 적용하였으며, 이는 모듈 간의 병렬성을 극대화한다.
설계된 하드웨어 가속기는 보안 카테고리 1, 3, 5에 대해 ML- KEM.KeyGen, ML-KEM.Encaps, ML-KEM.Decaps 알고리듬의 RTL 시뮬레이션을 수행하고, Zynq UltraScale+ MPSoC FPGA 디바이스 상에 구현하여 정상 동작을 검증하였다. 성능평가는 Artix-7 FPGA 디바이스에서 수행되었다. 구현 결과, 212 MHz의 동작 주파수에서 7,389개의 슬라이스를 사용했으며, BRAM과 DSP는 사용되지 않았다. 보안 카테고리 3을 기준으로 ML- KEM.KeyGen, ML-KEM.Encaps, ML-KEM.Decaps 연산에 각각 7 μsec, 9 μsec, 9 μsec가 소요된다. 구현 결과를 다중 보안 카테고리를 지원하는 최신 연구와 비교한 결과, 연산 시간은 보안 카테고리 1, 3, 5에서 각각 1.9×, 1.8×, 1.6× 향상되었으며, 면적-시간 효율은 1.11×, 1.15×, 1.11× 향상되었다. 이러한 결과는 설계된 가속기가 우수한 성능과 면적 효율을 달성함을 입증한다.