基于Fixslicing AES的认证加密与消息认证码方案在STM32微控制器上的性能对比研究

《IEEE Embedded Systems Letters》：Performance of Some AES-Based AE and MAC Schemes Using Fixslicing on STM32 Microcontrollers

为解决资源受限设备缺乏专用加密硬件时高效实现认证加密(AE)和消息认证码(MAC)的难题，研究人员开展了基于Fixslicing AES技术的OCB、OCBRA、EliMAC和PMACRA算法在STM32微控制器上的性能对比研究。结果表明，采用两轮AES掩码生成的OCBRA在加密性能上与OCB相当（512字节时CPB分别为408和395），而优化为12轮AESR(·)的EliMAC12在认证场景下与OCBRA-AD性能相近（512字节CPB分别为328和340）。该研究为嵌入式系统提供了兼顾安全性与效率的密码方案选型依据。

　　

在当今万物互联的时代，嵌入式设备已渗透到生活的各个角落，从智能家居到工业控制系统，这些设备往往需要处理敏感数据并确保通信安全。认证加密(Authenticated Encryption, AE)和消息认证码(Message Authentication Code, MAC)作为保障数据机密性和完整性的核心密码学原语，其实现效率直接影响到嵌入式系统的整体性能。然而，现实挑战在于：大多数嵌入式微控制器（如广泛使用的STM32系列）缺乏类似x86架构的AES-NI专用指令集，难以高效执行高级加密标准(Advanced Encryption Standard, AES)运算。更棘手的是，现代密码方案（如OCB、EliMAC等）常采用减轮AES设计，使得传统的硬件加密加速器无法直接适配。此外，基于查表的软件实现虽快却易遭受侧信道攻击。这一矛盾促使研究者寻求兼具高效率、高安全性的AES软件实现方案。

发表于《IEEE Embedded Systems Letters》的这项研究，首次系统对比了四种基于AES的AE/MAC方案在ARM Cortex-M7微控制器上的性能表现。研究团队创新性地采用Fixslicing技术重构AES运算流程，使两种算法在仅认证场景下，EliMAC12表现最优（512字节时每字节周期数Cycles Per Byte, CPB为328）；在加密认证联合场景中，OCB与OCBRA性能趋同（512字节CPB分别为395和408）。该成果为资源受限设备提供了重要的密码方案选型依据。

关键技术方法主要包括：1) 采用Fixslicing技术将AES状态矩阵重构为32位字操作，利用ARM处理器位旋转指令并行处理两个AES块；2) 针对OCBRA设计基于两轮AES的掩码生成函数（Δ_i=AESR_K1(AESR_K2(L+i⁴))）；3) 将EliMAC的AXU函数轮数调整为8轮（称为EliMAC12），避免状态矩阵重排序开销；4) 在STM32F756ZGT6开发板（Cortex-M7 216MHz）上通过100次实测取均值评估性能。

认证性能分析显示，对于纯认证任务（OCB-AD/OCBRA-AD），EliMAC12与OCBRA-AD的CPB随消息增长而收敛：32字节时分别为669和673，512字节时分别为328和340。这种趋同性源于二者均采用"AXU+PRF"结构，且总轮数相近（EliMAC12为8+4轮，OCBRA-AD为2+10轮）。而传统OCB-AD因初始化开销较大，在512字节时CPB仍达350。PMACRA因处理顺序差异略逊于OCBRA-AD。

加密性能对比表明，OCBRA在小消息处理上具有优势（32字节时CPB为960，低于OCB的1007），因其避免了OCB的格雷码初始化过程。但随着消息增大，初始化开销占比降低，二者差距缩小：在512字节时OCBRA与OCB的CPB分别为408和395。值得注意的是，尽管OCB需要计算ntz(·)（尾部零计数）函数，但其优化的查表机制抵消了额外开销。

研究结论强调，Fixslicing技术使减轮AES方案在嵌入式场景获得突破性性能提升。对于需随机块处理的场景（如数据库加密），OCBRA成为OCB的可行替代；而在纯认证需求下，EliMAC12与OCBRA-AD可依据具体需求互换使用。该研究不仅证明了软件实现可逼近硬件加速性能，更为缺乏专用指令集的RISC-V、ARM等架构提供了普适性优化范式，对物联网安全领域具有重要实践意义。