30、BL - AREA：并行加密与完整性检查技术解析

BL - AREA：并行加密与完整性检查技术解析

1. 相关工作回顾

在内存加密和认证领域，有不少相关的研究和技术方案。AEGIS、XOM、SP 架构旨在为可信处理器架构设计提供内存认证和加密功能，它们采用了通用的组合方案（先加密后进行消息认证码计算，即 Encrypt - then - MAC），然而存在无法并行化以及硬件资源利用不优化的问题。

这些方案在计算标签时会考虑数据块和地址（addressed - MAC），以此防范欺骗和拼接攻击，能确保只读（RO）数据的认证，但读写（RW）数据仍易受重放攻击影响。例如 XOM 因将 RW 数据当作 RO 数据处理，未能有效防止重放攻击。若在片上存储 RW 数据块的哈希值可防范重放攻击，但会带来较大的片上内存开销。

为减少片上内存开销，出现了树技术，如 Merkle Tree、Parallelizable Authentication Tree（PAT）、Tamper - Evident Counter Tree（TEC - Tree）等。不过，这些树方案需要递归调用认证原语并多次访问片外存储的元数据，对于一些不具备预取引擎、大缓存或乱序执行机制的低成本嵌入式系统而言，开销过大。

Vaslin 等人提出了一种针对嵌入式系统的解决方案，使用一次性密码本（OTP）加密数据，并通过在可信片上区域存储明文块的循环冗余校验（CRC）校验和来进行数据认证。该方案性能不错，但由于 CRC 不具备抗碰撞性，牺牲了一定的安全性。

2. 块级 AREA 技术

块级 AREA（BL - AREA）技术基于香农提出的分组密码扩散特性。理论上，分组密码应与具有等概率输出的随机置换无法区分，即明文块