基于Verilog硬件描述語(yǔ)言的AES密碼算法實(shí)現

　　0 引言

　　密碼模塊是安全保密系統的重要組成部分，其核心任務(wù)就是加/解密數據。目前，分組密碼算法AES以其高效率、低開(kāi)銷(xiāo)、實(shí)現簡(jiǎn)單等特點(diǎn)被廣泛應用于密碼模塊的研制。隨著(zhù)計算機信息技術(shù)和超大規模集成電路技術(shù)的成熟與發(fā)展，通過(guò)硬件來(lái)實(shí)現密鑰模塊的內部運作，可保證在外界無(wú)密鑰的明文流動(dòng)，能夠實(shí)現真正意義上的保密。此外，硬件實(shí)現還具有高速、高可靠性等特點(diǎn)。目前許多AES算法的硬件實(shí)現采用基于RAM查找表方式來(lái)實(shí)現算法中最關(guān)鍵的SubBytes部分。本文采用復合域來(lái)實(shí)現SubBytes部分的求逆運算，以便于采用組合邏輯減小面積。同時(shí)采用加/解密運算中列變換的部分電路進(jìn)行復用，從而進(jìn)一步節省實(shí)現面積。這樣可以使AES密碼應用于RFID系統，IC卡等面積要求較小的場(chǎng)合。

　　1 AES算法簡(jiǎn)介

　　AES算法是一種迭代型分組密碼，其分組長(cháng)度和密鑰長(cháng)度均可變，各自可以獨立指定為128 b，192 b，256 b。本文主要討論分組長(cháng)度和密鑰長(cháng)度為128 b的情況。AES算法是將輸入的明文(或密文)分成16個(gè)字節，在第一個(gè)Add Round Keys變換后進(jìn)入10輪迭代。迭代過(guò)程的前9輪完全相同，依次經(jīng)過(guò)字節代替(substitute bytes)、行移位(shift rows)、列混合(mixcolumns)、輪密鑰加(add round keys)，最后一輪則跳過(guò)了列混合(mix columns)。解密過(guò)程與加密過(guò)程類(lèi)似，但執行順序與描述內容有所不同，因此AES算法的加解密運算需要分別實(shí)現。

　　2 AES算法的硬件設計

　　根據AES算法的原理和基本結構，將整個(gè)AES算法模塊分成4個(gè)相對獨立的子模塊：接口模塊、控制單元模塊、加解密運算模塊、密鑰擴展模塊。本文所設計的密碼算法不包括密鑰發(fā)生器，所用的密鑰通過(guò)接口模塊由外部輸入，加解密運算后的數據經(jīng)輸出接口輸出。AES算法模塊的總體結構如圖1所示。

　　2.1 接口模塊的設計

　　輸入接口模塊的主要任務(wù)是：將數據傳送到加解密運算模塊，將外部輸入的密鑰傳送到密鑰擴展模塊。由于明文和密鑰輸入都是128位，將導致整個(gè)模塊的輸入/輸出過(guò)多，占用太多資源，考慮到本文的設計主要應用于對面積要求較小的場(chǎng)合使用，如RFID系統中數據的傳輸，即每次傳輸的數據是64位，故采用4個(gè)32位寄存器，在時(shí)鐘的控制下每次輸入1組32位，通過(guò)4個(gè)時(shí)鐘周期可得到128位的數據，可以有效減少資源的占用。輸出接口模塊的作用是將128位的解密運算結果輸出，同樣也采取32位分4組輸出的方法。

　　2.2 控制模塊的設計

　　控制模塊的主要任務(wù)是實(shí)現加/解密運算模塊與密鑰擴展模塊工作的啟動(dòng)?？刂颇K在時(shí)鐘脈沖控制下，產(chǎn)生控制加/解密模塊中字節替代、行移位、列混合、密鑰加各部分工作信號?？捎?個(gè)兩狀態(tài)的狀態(tài)機實(shí)現控制。當新的數據或密鑰輸入時(shí)，通過(guò)狀態(tài)機的信號可判斷上次加/解密運算是否完成。如果狀態(tài)機信號處于忙狀態(tài)，說(shuō)明加解密運算正在進(jìn)行，需要等待;如果信號處于空閑狀態(tài)，說(shuō)明加解密運算已經(jīng)完成，可以啟動(dòng)加解密運算模塊與密鑰擴展模塊，將數據和密鑰分別輸入到加解密運算模塊與密鑰擴展模塊中，開(kāi)始新一組數據的加解密運算。

　　2.3 加解密運算模塊的設計

　　AES算法的輪變換特點(diǎn)使之在硬件實(shí)現時(shí)可以有多種方式：串行方式，輪變換可采用組合邏輯實(shí)現;在10輪迭代過(guò)程中，前一輪結果可直接作為下一輪的輸入;并在1個(gè)周期內完成1個(gè)分組運算，使吞吐量達到最佳狀態(tài)。但需要大量的存儲器資源和組合邏輯資源支持，一般的FP-GA芯片難以滿(mǎn)足容量的需求，而且時(shí)鐘頻率非常低;基本迭代反饋方式，所有迭代只用1個(gè)輪變換模塊，10個(gè)時(shí)鐘周期完成1個(gè)分組運算，資源占用較少;輪內流水線(xiàn)方式，在輪變換中插入寄存器，將每輪運算分成多個(gè)操作段，每個(gè)時(shí)鐘完成1個(gè)操作段，其優(yōu)點(diǎn)是可以提高算法運行的時(shí)鐘頻率。但輪內各級流水部件不能同時(shí)執行，因此增加了算法運行的時(shí)鐘數目。輪內流水線(xiàn)級數越多，時(shí)鐘數目也越多，雖然算法仿真頻率可以達到很高，但吞吐量并沒(méi)有明顯提高。

　　綜上比較可知，本文AES算法的硬件實(shí)現的目的是盡量減少資源的占用，使面積盡可能減小。故采用基本迭代反饋工作方式設計。

　　2.3.1 SubBytes()和InvSubBytes()的設計

　　字節代替是整個(gè)AES硬件實(shí)現中最為重要的變換，在加解密運算模塊及密鑰擴展模塊中字節代替是主要的運算過(guò)程。因此，字節代替的硬件設計決定了整個(gè)AES算法硬件實(shí)現的速度和面積。字節代替可以通過(guò)查找表和算術(shù)運算的方式得到。傳統的AES算法使用查找表方法實(shí)現字節代替，可以提高求逆速度，但由于該變換輸入的數據為8位，加密和解密所用的替換字節表不同，因此需要的選擇器和寄存器數量較多，硬件實(shí)現面積較大，故主要用于高速AES的實(shí)現。算術(shù)運算的方式在硬件設計上表現為組合邏輯，采用算術(shù)運算的方式實(shí)現則會(huì )降低硬件設計的復雜度，減小面積。

　　2.3.2 ShiftRows()和InvShiftRows()的設計

　　行移位變換作用在中間態(tài)的行上，將狀態(tài)中的行按不同的偏移量進(jìn)行循環(huán)移位。加密運算中間態(tài)的0～3行，分別向右循環(huán)移動(dòng)O，1，2，3個(gè)字節。該操作僅是將數據按字節進(jìn)行移動(dòng)，硬件實(shí)現時(shí)只需在布線(xiàn)上進(jìn)行調整，基本不占硬件資源。

　　解密過(guò)程只是行移位的逆變換，即分別向左循環(huán)移動(dòng)0，1，2，3個(gè)字節。同樣，該操作也僅將數據按字節移動(dòng)。如果有字節的位置改變，只需在布線(xiàn)上進(jìn)行修改。

　　2.3.3 MixColumns()和InvMixColumns()的設計

　　MixColumns()變換以矩陣中的列為單位，將每列看作一個(gè)GF(28)域上的四階多項式，將多項式乘以c(x)/d(x)并對x4+1取模。其中c(x)為：

　　在相應的解密過(guò)程中：

　　同樣對

　　為了降低整個(gè)模塊的復雜度，考慮將加解密運算中列混合變換的部分電路進(jìn)行復用，對比加解密運算所乘的多項式，可以發(fā)現{03}x可以用

　　這樣：

　　由于

　　而解密時(shí)，Mixcolumns()的系數是{09，OB，OE，OD)，實(shí)現這些乘法顯然比加密時(shí)需要更多的時(shí)間。由式(3)可知，InvMixcolumns()也可用xtime()函數與異或門(mén)實(shí)現。這樣，就可以實(shí)現加/解密列混合變換電路的復用，從而節約電路面積，提高解密運算速度。

　　2.3.4 密鑰加AddRoundKey()的設計

　　在A(yíng)ES算法中，加法用異或操作實(shí)現。密鑰加是中間狀態(tài)的每一字節按位與輪密鑰進(jìn)行異或操作，加法的逆運算也用異或操作，所以可采用逐位異或操作實(shí)現加解密運算的AddRoundkey()。AddRoundkey()的逆運算是其自身。因此本文在常規輪中把加密時(shí)的密鑰加、列混合變換和解密時(shí)的密鑰加、列混合變換集成為同一模塊，通過(guò)加解密信號的選擇，實(shí)現加解密運算的列變換和密鑰加功能。這樣可消除加解密硬件結構的差異，同時(shí)也可降低輪密鑰處理的復雜度。

　　2.4 密鑰擴展模塊的設計

　　輪密鑰的產(chǎn)生是AES加解密運算的基礎，密鑰擴展模塊的作用就是產(chǎn)生除了初始密鑰本身之外的10個(gè)輪密鑰，分別用于10輪加解密運算。

　　加密運算采用密鑰內部擴展的方式，即加密運算與密鑰擴展并行完成。這一過(guò)程，每一輪變換都要和相應密鑰擴展輪次生成的子密鑰進(jìn)行異或，因此需使用狀態(tài)機控制加密運算和密鑰擴展的同步，否則會(huì )發(fā)生混亂。需要指出，使用內部擴展方式可以提高整個(gè)加密運算速度。而解密運算采用外部擴展方式，即密鑰擴展完之后再進(jìn)行解密運算，因為解密運算使用的初始密鑰是密鑰擴展生成的最后一輪子密鑰。

　　3 仿真測試與結果

　　根據前述設計思路和優(yōu)化措施，系統采用Mentor公司專(zhuān)門(mén)為各邏輯器件制造廠(chǎng)商設計的第三方專(zhuān)用仿真工具M(jìn)odelSim 6.o進(jìn)行功能仿真，給出了最后的功能仿真圖。

　　3.1 加密運算的仿真測試

　　一次完整的加密操作，需要12個(gè)時(shí)鐘周期。其中，10個(gè)周期用于10個(gè)輪循環(huán)變換，1個(gè)時(shí)鐘周期用于初始的密鑰擴展，1個(gè)時(shí)鐘周期用于密文的輸出。加密運算的功能測試仿真波形如圖3所示。

　　從圖3給出的加密運算功能仿真結果可以看出，加密運算與密鑰擴展過(guò)程是并行進(jìn)行。當“rst”變?yōu)榈碗娖?，“l(fā)d”變?yōu)楦唠娖綍r(shí)，明文3243f6a8885a308d313198a2e0370734與密鑰2b7el5l628aed2a6abf7158809cf4f3c分別同時(shí)加載到加解密運算模塊與密鑰擴展模塊中;在下一個(gè)時(shí)鐘周期，密鑰擴展模塊生成1輪子密鑰，等待加密輪變換中的密鑰加操作。當完成1次加密過(guò)程后，“done”信號變?yōu)楦唠娖?，同時(shí)輸出密文3925841d02dc09fbdc118597196a0632。從圖3中同時(shí)也可以看出，密鑰擴展模塊總是提前一個(gè)時(shí)鐘周期生成下一輪的子密鑰，這樣可以保證密鑰擴展與加密運算同時(shí)進(jìn)行而不會(huì )發(fā)生錯亂，并且還可提高加密速度，節約資源占用和減少面積。使用DC進(jìn)行綜合和優(yōu)化后，加密運算模塊面積不超過(guò)20 000個(gè)等效門(mén)，其中組合邏輯面積為14 264門(mén)，非組合邏輯面積為3 878門(mén)。

　　3.2 解密運算的仿真測試

　　在解密過(guò)程中，完成一次解密操作同樣需要12時(shí)鐘周期。其中，10個(gè)周期用于10個(gè)輪循環(huán)變換，1個(gè)時(shí)鐘周期用于初始密鑰的加載，1個(gè)時(shí)鐘周期用于密文的輸出。在解密過(guò)程中，本文采用在解密之前所生成的10輪子密鑰，因為解密初始需要的子密鑰是密鑰擴展得到的最后一輪子密鑰，而最后一輪需要的子密鑰是密鑰擴展的初始密鑰。如圖4所示。

　　解密過(guò)程與密鑰擴展過(guò)程不是同步的，當“kld”為高電平時(shí)，從第1個(gè)時(shí)鐘周期開(kāi)始，便將初始密鑰2b7e151628aed2a6abf7158809cf4f-3c輸入到密鑰擴展模塊中，之后經(jīng)過(guò)10個(gè)時(shí)鐘周期生成10輪子密鑰，并存儲到寄存器中。當“l(fā)d”為高電平時(shí)，密文3925841d02dc09fbdcll-8597196a0632開(kāi)始加載到解密模塊中，經(jīng)過(guò)10個(gè)時(shí)鐘周期將解密的密文輸出，同時(shí)“done”信號變?yōu)楦唠娖?，表示解密過(guò)程結束，并輸出明文3243f6a8885a308d313198a2e0370734。

　　對比圖3與圖4仿真測試結果可知，加解密運算的功能正確，即解密運算能夠正確地解出加密運算的密文。解密運算模塊使用DC進(jìn)行綜合和優(yōu)化后面積不超過(guò)25 000個(gè)等效門(mén)。其中組合邏輯面積為10 495門(mén)，非組合邏輯面積為14 142門(mén)。由于密鑰擴展與解密過(guò)程不是同步進(jìn)行，占用了寄存器存儲解密過(guò)程所需的10輪子密鑰，所以非組合邏輯面積比加密運算模塊大。但需要指出，由于加/解密運算模塊部分電路采用復用的方法實(shí)現，所以整個(gè)加/解密運算模塊的實(shí)際總面積比沒(méi)有復用時(shí)減小。

　　4 結語(yǔ)

　　根據設計思路和優(yōu)化措施，本文使用Verilog硬件描述語(yǔ)言實(shí)現AES密碼算法，并在ModelSim 6.O工具下進(jìn)行仿真，證明本文設計的正確性。為了更進(jìn)一步做比較，證明本文設計思路的合理性和優(yōu)化措施的有效性，同樣采取未優(yōu)化的設計方案實(shí)現了該算法，通過(guò)在Dc中進(jìn)行綜合、布線(xiàn)，兩相比較，優(yōu)化后的設計比優(yōu)化前節省了22%的邏輯單元，處理速度提高了13%。