ISO/IEC 29192-8：轻量级密码学——受限设备认证加密技术

ISO/IEC 29192-8定义了轻量级关联数据认证加密（AEAD）方案，能够同时提供机密性、完整性和真实性验证。这些算法对于保护资源受限环境中的通信至关重要，在这种环境中，单独的加密和认证将带来难以承受的开销。标准规定了针对硬件和软件实现进行了优化的AEAD方案，目标应用包括物联网、嵌入式系统、RFID以及其他功耗、面积和计算资源严重受限的领域。

ISO/IEC 29192-8中的认证加密方案

该标准规定了两种主要的AEAD算法：ASCON和GIFT-COFB。ASCON是一系列基于海绵结构的轻量级认证加密方案，提供两种主要变体：ASCON-128（128位安全级别）和ASCON-128a（128位安全级别，更高吞吐量）。ASCON在NIST轻量级密码学竞赛中被选为轻量级认证加密的首选方案，证实了其密码学稳健性。该算法使用320位内部状态和双工海绵模式，根据变体不同以64位或128位块处理数据。

GIFT-COFB将GIFT轻量级分组密码与COFB（组合反馈）工作模式相结合，提供认证加密功能。GIFT是一种替代-置换网络密码，提供GIFT-64（64位块，128位密钥）和GIFT-128（128位块，128位密钥）两种变体。COFB模式以速率1的方式处理数据，即每个明文块只需一次分组密码调用，效率极高。ASCON和GIFT-COFB都支持关联数据（AAD），这些数据经过认证但不加密，这对于必须保持明文状态的协议头部和其他元数据至关重要。

安全保障与密码学特性

ISO/IEC 29192-8中的AEAD方案在正确实现时提供强大的安全保证。加密组件确保机密性，防止攻击者从密文中获取任何关于明文的信息。完整性保护确保在解密过程中能够检测到对密文或关联数据的任何未经授权的修改。真实性保证数据源自拥有正确密钥的参与方。这些属性在AEAD的标准安全概念下成立：IND-CPA（选择明文攻击下的不可区分性）和INT-CTXT（密文完整性）。

ASCON的安全性基于海绵结构对差分、线性和代数密码分析的抵抗能力。ASCON置换已经过广泛的第三方分析，安全余量远高于实际威胁水平。GIFT-COFB的安全性依赖于GIFT分组密码对已知攻击的抵抗能力，以及COFB模式的可证明安全界。标准规定实现必须在释放解密的明文之前验证认证标签，这是防止填充预言机攻击和其他侧信道攻击的关键要求。两种算法在使用恒定时间编程技术实现时，都能提供针对时序攻击的纵深防御。

实现策略与性能权衡

实现ISO/IEC 29192-8 AEAD方案需要在吞吐量、延迟、功耗、内存占用和侧信道抵抗等多个性能目标之间取得平衡。在硬件方面，ASCON实现的门数范围从面向最小面积的串行化架构约6,000门等效量到完全展开的高吞吐量设计的20,000 GE以上。GIFT-COFB实现通常需要3,000-5,000 GE用于GIFT核心，外加COFB模式控制器的附加逻辑。串行与并行数据路径的选择取决于应用的吞吐量需求和可用硅面积。

在软件方面，两种算法在各种微控制器架构上表现良好。在32位ARM Cortex-M平台上，ASCON的加密和认证组合性能约为每字节15-25个周期，而8位AVR实现的性能为每字节80-150个周期。GIFT-COFB由于其更简单的轮结构，在寄存器文件有限的平台上往往更为高效。标准提供了AEAD实现的内存管理指导，包括关联数据和明文的缓冲区处理、标签验证策略以及操作完成后安全清除敏感材料。