Silicom Accelerated Crypto Adapter(SACA)是什麼？
隨著全球因應量子運算而逐步轉向到新的密碼學標準，後量子密碼學(Post-Quantum Cryptography，PQC)已成為確保未來通訊安全的必要條件。Silicom Accelerated Crypto Adapter(SACA)由 Silicom 與 Eideticom 共同開發，提供一套具備彈性且高效能的 PQC 卸載解決方案，專為因應量子安全加密日益增長的需求。透過卸載複雜的 PQC 運算，SACA 確保系統能夠採用新興的密碼演算法，在提升整體效率的同時也確保長期的安全性。SACA 更確保 CPU 核心能受益於硬體層級的加密加速，而無需依賴 CPU 內建的加速功能，也不會受到 CPU 本身加速能力的限制。無論是 Intel、AMD 或 ARM 架構的平台，都能因此獲得效能提升。
藉由 Eideticom 的 NoLoad® Cryptographic Accelerator，SACA 解決方案支援整合 ML-KEM 和 ML-DSA 等 PQC 演算法，這些演算法是為了抵禦量子電腦可能帶來的威脅所設計。SACA與 OpenSSL、NGINX 和 Apache 的無縫整合，確保現代應用程式能夠安全地卸載這些高度運算密集的加密操作，而不會造成效能下降。
使用情境
- 雲端安全: 保護雲端基礎架構中的敏感資料
- 金融服務: 在金鑰交換與資料加密流程中，透過量子密碼學(PQC)確保交易安全。
- 高效能運算與研究: 為學術與科學研究提供量子安全的密碼學能力。
- 政府與國防: 以具前瞻性的加密技術滿足嚴格的安全要求
問題說明
隨著量子電腦逐漸成為對傳統密碼系統的實質威脅，組織必須導入後量子密碼學(PQC)算法，以確保敏感資料的安全。然而，這些演算法具備高度的計算需求，需要大量的處理能力，並容易在大規模應用中造成效能瓶頸。傳統的加密加速器，例如Intel的QuickAssist Technology (QAT)在因應不斷演進的 PQC算法時，缺乏足夠的彈性，導致維運成本提高、更新速度也受到限制。為了在不犧牲效能與安全性的前提下，因應量子密碼學(PQC)標準的快速演進需要一套不受單一CPU廠商綁定、能夠提供彈性與可擴展性的解決方案。 這樣的架構能讓CPU核心聚焦於應用程式的相關工作，而 CPU 的選擇也能依其執行應用程式的能力來做決策，而非依賴如 Intel QAT® 這類有限的卸載功能。如此一來，能在維持平台彈性的同時，降低整體平台成本。
SACA 技術總覽
Silicom Accelerated Crypto Adapter(SACA) 提供一套 Look-aside PCIe 解決方案，用於卸載計算量龐大的後量子密碼學(PQC)加密運算。透過採用現場可程式化門陣列(FPGAs)，此解決方案提供無與倫比的彈性，能夠整合客製化與新興的加密演算法，其中包括後量子密碼學。NoLoad® Cryptographic Accelerator 能夠有效卸載後量子密碼學演算法的運算工作，例如基於模組辨識格的密鑰封裝機制(Module Lattice-Based Key Encapsulation Mechanism，ML-KEM)，以及基於模組辨識格的數位簽章演算法(Module Lattice-Based Digital Signature Algorithm，ML-DSA)，確保系統能維持長期的安全防護能力。
NoLoad® Cryptographic Accelerator 提供的核心功能
功能與應用整合特性
- PQC 演算法 : 支援卸載 ML-KEM(512、768、1024)與 ML-DSA(44、65、87)等 PQC 密碼運算
- 密碼敏捷性 : 能隨著加密標準的演進輕鬆因應並採用新的加密演算法，確保長期安全性。無縫整合: 可與 OpenSSL、NGINX 和 Apache 整合，為多種應用提供開箱即用的支援。
- 支援TLS 1.3 : 確保支援現代的安全通訊協定，包括傳統與後量子密碼學標準
- 支援ECDSA/ECDH(E)/RSA : P-256, P-384, P-521 & X25519
- 支援混和PQC: X25519MLKEM768
- 金鑰管理: 安全金鑰匯入、匯出與輪替
- 側通道攻擊防護
- OpenSSL、NGINX 和 Apache 整合支援
- 密碼敏捷性
- 硬體亂數產生器 : 符合NIST SP 800-22/SP 800-90B
效能指標
Silicom Accelerated Crypto Adapter (SACA) 的效能會隨FPGA規模而提升。以下為不同FPGA型號的效能基準，著重於 PQC 卸載性能：
| FPGA 型號 | PQC 演算法 | 每秒 TLS 交握次數 (CPS PQC) |
備註 |
| AGF008 | ML-KEM(768) | 290k | 入門款機型，具備極低功耗 |
| AGF014 | ML-KEM(768) | 817k | 適用於一般用途的卸載作業 |
| AGF022 | ML-KEM(768) | 1.4M | 為中階級別的運算負載進行最佳化 |
| AGF027 | ML-KEM(768) | 1.8M | 高效能等級型號 |
效能會隨 FPGA 規模大致呈線性提升，並可依據運算負載需求彈性選擇最適合的配置。
方案
SACA 解決方案針對正面臨後量子密碼學(PQC)轉換，並需要卸載高運算量加密作業的組織而設計。其設計架構能無縫融入既有環境，提供高效能的卸載能力，，同時確保支援未來加密標準的演進。
交付項目
- 主機端軟體:
- 與 OpenSSL、NGINX 和 Apache 無縫整合，可直接套用。
- 提供 Linux 的內建驅動(in-box driver)支援
- 硬體與 FPGA:
- ½ 高、½ 長 PCIe 卡，採用 Altera Agilex F FPGA，具備 PCIe Gen4 x16。(可提供如 M.2、U.2、E3.S 等不同外型規格)
- 提供多款 FPGA 型號，以滿足不同運算需求
- FPGA IP 以編譯後的程式碼格式提供，並附上設定腳本
- 管理：支援NVMe-MI，用於系統層級管理、韌體更新與記錄、提供NVMe 日誌頁面與管理功能
- 文件：詳細的產品資料表、整合與安裝指南
整合流程
- 明確定義演算法需求
- 申請FPGA 映像檔，內含適當的演算法組合
- 將硬體卡安裝至適當的 PCI 插槽，安裝於 Linux 或 freeBSD 伺服器中
- 將包含演算法組合的 FPGA 映像檔寫入加速卡的快閃記憶體
- 設定相關服務以使用加速卡（整合 OpenSSL、NGINX、Apache），並啟用隨附的 provider 外掛模組
- 透過提供的設定腳本與工具完成設定流程，並啟動管理用的背景執行程式(Daemon)
- 啟動服務並驗證功能是否正常
關於 Eideticom
Eideticom以高效能、可擴展的資料中心解決方案，全面強化企業在加密、壓縮與資料分析領域的安全性與運算效能。Eideticom的產品已廣泛部署於全球各大組織，並為金融科技(FinTech)、高效能運算(HPC)、內容傳遞網路(CDN)與大數據等關鍵產業提供穩定可靠的基礎架構防護與加速能力。欲了解更多資訊，歡迎造訪 www.eideticom.com。
*文章來源 Silicom
