近日，华中科技大学集成电路学院刘冬生教授团队在后量子密码芯片领域的最新研究成果以“A 40nm 1.26μJ/Op Energy-Efficient CRYSTALS-KYBER Post-Quantum Crypto-Processor with Comprehensive Side Channel Security Analysis and Countermeasures”为题，发表在于美国科罗拉多州丹佛举行的集成电路设计顶会之一IEEE定制集成电路大会（CICC 2024）。集成电路学院刘冬生教授为论文通讯作者，集成电路学院博士生李奥博为论文第一作者，华中科技大学集成电路学院为论文第一完成单位。

后量子密码学（Post-Quantum Cryptography, PQC）全球迁移正在加速，随着2023年PQC FIPS信息处理标准的三个草案的发布，其中Kyber是唯一正式选定的关键密钥封装机制（KEM）。然而，从传统密码学到PQC的迁移仍面临以下三个挑战：

1) 密钥大小和加解密延迟的显著增加导致现有信息设备的性能下降和资源开销增大。此外，未经授权的访问也引发了隐私问题；

2) 更复杂的计算和调度，以及潜在的效率问题；

3) 侧信道攻击（SCA）的风险以及PQC硬件面临的保护要求提升。

本文提出了一种高能效Kyber后量子密码处理器芯片，该芯片架构包括控制和交互顶层模块、多数据生成器、多项式算术矩阵和两个物理隔离的存储器。控制器用于处理芯片内外的指令和数据交互。它统一调度数据生成和多项式计算。所有Kyber的加密过程均由控制器安排。自定义指令增强了灵活性，并为Kyber的不同安全级别操作提供了更好的重用性。两级级联的Keccak核心和两个采样器构成数据生成的关键电路。循环连接和内部状态寄存器的复用带来了较低的开销。并行的二项式采样器和拒绝采样器能够从连续的随机比特流中产生特定的系数分布。四个哈希函数结合状态跳转和截断，将产生摘要和HMAC。使用八个可重配置算术单元（RAU）加速Kyber中多项式的计算，包括数论变换（NTT）和逆NTT（INTT）、点乘、压缩和解压。两个独立的SRAM分别是安全RAM（6KB）和公共RAM（3KB）。所有数据只能通过总线交换，保证数据安全性。

40nm工艺下处理器面积仅0.43mm²，工作电压范围为0.65V@10MHz至1.2V@180MHz，支持Kyber的三种安全级别的密钥生成、封装和解封。该芯片消耗总共302k等效门数，使用9KB内存。单个完整的Kyber方案只需1.26μJ/Op，这是当前最先进的后量子密码芯片中效率最高指标。