W prezentacji odkrywamy kuchnię pisania wysokowydajnych procedur asemblerowych na przykładzie funkcji kryptograficznych.

3. Kto mówi?
● Inżynier systemów wbudowanych
● Linux/ARM
● Sieci
● DPDK

4. Plan
1. Po co programować w asemblerze?
2. Potok przetwarzania procesora
3. Wstęp do kryptografii komputerowej
4. AES128-CBC + SHA256 na ARMv8

5. Plan
1. Po co programować w asemblerze?
2. Potok przetwarzania procesora
3. Wstęp do kryptografii komputerowej
4. AES128-CBC + SHA256 na ARMv8

8. Typowe aplikacje dla asemblera
● Computational kernels (80% czasu spędzanego w jednej funkcji)
○ Procedury numeryczne
○ Funkcje kryptograficzne
● Obsługa sprzętu
○ Bootloadery
○ Fragmenty Jądra OS
■ przełączanie kontekstu
■ obsługa przerwań

9. Plan
1. Po co programować w asemblerze?
2. Potok przetwarzania procesora
3. Wstęp do kryptografii komputerowej
4. AES128-CBC + SHA256 na ARMv8

11. Kod maszynowy
while (--i)
a[i] = a[i] * 5 + 2
LOOP:
ADD Y, -1
CMP Y, a
BE END
LOAD X, [Y]
MUL X, 5
ADD X, 2
STORE X, [Y]
B LOOP
END:
Instrukcja Latencja Zajętość
LOAD 2 1
ADD 1 1
MUL 4 4
STORE 2 1

12. Potok dla ciała pętli
Cykl 1 2 3 4 5 6 7 8 9 10 11 12
LOAD X, [Y+5] F D ADD M W
MUL X,5 F D - MUL MUL MUL MUL
ADD X,2 F - D - - ADD M W
STORE X, [Y+5] F - - - D ADD M W

13. Rozwinięta pętla
while (i-=2) {
a[i] = a[i] * 5 + 2
a[i-1] = a[i-1] * 5 + 2
}
LOOP:
ADD Y, -2
CMP Y, a
BE END
LOAD X, [Y]
LOAD Z, [Y-1]
MUL X, 5
MUL Z, 5
ADD X, 2
ADD Z, 2
STORE X, [Y]
STORE Z, [Y-1]
B LOOP
END:

14. Potok dla ciała pętli
Cykl 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18
LOAD X, [Y] F D ADD M W
LOAD Z, [Y-1] F D ADD M W
MUL X, 5 F D MUL MUL MUL MUL M W
MUL Z, 5 F D - - - MUL MUL MUL MUL M W
ADD X, 2 F - - - D ADD M W
ADD Z, 2 F - - - - - - D ADD M W
STORE X, [Y] F - - - - - - D ADD M W
STORE Z, [Y-1] F - - - - - - D ADD M W

15. Wnioski z przetwarzania
potokowego
● Pętla zwykła
12 cykli na iterację + narzut na pętlę
● Pętla rozwinięta 2x
18 cykli na iterację + narzut pętli = 9 cykli/iterację + narzut / 2
● Procesory Out-of-Order częściowo potrafią same rozwijać pętle
optymalizacja „za darmo” przez sam procesor!

16. Plan
1. Po co programować w asemblerze?
2. Potok przetwarzania procesora
3. Wstęp do kryptografii komputerowej
4. Implementacja AES128-CBC + SHA256

19. SHA 256
● Funkcja skrótu używana do autentykacji kryptogramów
● Wejście: N Bloków 64B
● Wynik - 256 bitów = 32B skrótu

21. Plan
1. Po co programować w asemblerze?
2. Potok przetwarzania procesora
3. Wstęp do kryptografii komputerowej
4. AES128-CBC + SHA256 na ARMv8

24. AES128
+SHA256
– fragment
eor v0.16b v0.16b v18.16b /* final res 0 */
ld1 {v6.16b} [x8] 16 /* key6 */
add v5.4s v5.4s v27.4s /* wk = key5+w1 */
sha256su
0 v26.4s v27.4s
eor v1.16b v1.16b v0.16b /* mode op 1 xor w/prev value */
ld1 {v7.16b} [x8] 16 /* key7 */
mov v21.16b v22.16b /* copy abcd */
st1 {v0.16b} [x1] 16
aese v1.16b v8.16b
sha256h q22 q23 v4.4s
add v6.4s v6.4s v28.4s /* wk = key6+w2 */
sha256h2 q23 q21 v4.4s
aesmc v1.16b v1.16b
sha256su
1 v26.4s v28.4s v29.4s
aese v1.16b v9.16b
sha256su
0 v27.4s v28.4s
mov v21.16b v22.16b /* copy abcd */
sha256h q22 q23 v5.4s
aesmc v1.16b v1.16b
sha256h2 q23 q21 v5.4s
aese v1.16b v10.16b
ld1 {v2.16b} [x0] 16
add v7.4s v7.4s v29.4s /* wk = key7+w3 */

25. AES128-SHA256 – schemat
Blok 1 Blok 2 Blok 11 Blok 12...
16B
Wejście:
LOAD V1, Blok 1
LOAD V2, Blok 2
AES V1
LOAD V3, Blok 3
AES V2
LOAD V4, Blok 4
AES V3
LOAD V5, Blok 5
AES V4
LOAD V6, Blok 6
SHA V1
AES v5
LOAD V7, Blok 7
SHA V2
AES V6
LOAD V8, Blok 8
SHA V3
AES V7
LOAD V9, Blok 9
SHA V4
AES V8
LOAD V10, Blok 10
SHA V5
AES v9
LOAD V11, Blok 11
SHA V6
AES V10
LOAD V12, Blok 12
SHA V7
AES V11
SHA V8
AES V12
SHA V9
SHA V10
SHA V11
SHA v12
Blok mieści się w rejestrze NEON 128-bit
AES - wszystkie rundy AES dla 1 bloku
SHA - wszystkie instrukcje SHA256 dla bloku 16B*
* Pełne SHA to 4 bloki

26. AES128-SHA256 – pod lupą
Instrukcja Cykl Zależność
1 aese v1.16b v8.16b 1
2 sha256h q22 q23 v4.4s 2
3 add v6.4s v6.4s v28.4s 3
4 sha256h2 q23 q21 v4.4s 4 q23??
5 aesmc v1.16b v1.16b 5 1
6 sha256su1 v26.4s v28.4s v29.4s 6
7 aese v1.16b v9.16b 7 5
8 sha256su0 v27.4s v28.4s 8
Instrukcja Latencja Zajętość
sha256su0 8 5
sha256su1 8 5
sha256h 8 5
sha256h2 8 5
ld1 (1 reg) 3 1
aese 4 2
aesmc 2 2

27. AES128-SHA256 – pod lupą
Instrukcja Cykl Zależność
1 aese v1.16b v8.16b 1
2 sha256h q22 q23 v4.4s 2
3 add v6.4s v6.4s v28.4s 3
4 sha256h2 q23 q21 v4.4s 4 q23??
5 aesmc v1.16b v1.16b 5 1
6 sha256su1 v26.4s v28.4s v29.4s 6
7 aese v1.16b v9.16b 7 5
8 sha256su0 v27.4s v28.4s 8
Instrukcja Latencja Zajętość
sha256su0 8 5
sha256su1 8 5
sha256h 8 5
sha256h2 8 5
ld1 (1 reg) 3 1
aese 4 2
aesmc 2 2

28. Do poduchy
● Kod źródłowy:
○ https://github.com/caviumnetworks/armv8_crypto
● Computer Architecture, A Quantitative Approach, 5th
edition
● Computer Organization and Design, ARM edition
● Intel® 64 and IA-32 Architectures Optimization Reference
Manual
○ http://www.intel.com/content/dam/www/public/us/en/documents/man
uals/64-ia-32-architectures-optimization-manual.pdf
● NEON tutorial
○ https://people.xiph.org/~tterribe/daala/neon_tutorial.pdf