The effort in reducing the area of AES implementations has largely been focused on application-specific integrated circuits (ASICs) in which a tower field construction leads to a small design of the AES S-box. In contrast, a naive implementation of the AES S-box has been the status-quo on field-programmable gate arrays (FPGAs). A similar discrepancy holds for masking schemes—a well-known side-channel analysis countermeasure—which are commonly optimized to achieve minimal area in ASICs. In this paper, we demonstrate a representation of the AES S-box exploiting rotational symmetry which leads to a 50% reduction in the area footprint on FPGA devices. We present new AES implementations which improve on the state-of-the-art and explore various trade-offs between area and latency. For instance, at the cost of increasing 4.5 times the latency, one of our design variants requires 25% less look-up tables (LUTs) than the smallest known AES on Xilinx FPGAs by Sasdrich and Güneysu at ASAP 2016. We further explore the protection of such implementations against side-channel attacks. We introduce a generic methodology for masking any n -bit Boolean functions of degree t with protection order d . The methodology is exact for first-order and heuristic for higher orders. Its application to our new construction of the AES S-box allows us to improve previous results and introduce the smallest first-order masked AES implementation on Xilinx FPGAs, to date.

中文翻译：

---

Spin Me Right Round Rotational Symmetry for FPGA-Specific AES: Extended Version

减少 AES 实现面积的努力主要集中在专用集成电路 (ASIC) 上，其中塔场结构导致 AES S 盒的小型设计。相比之下，AES S-box 的简单实现一直是现场可编程门阵列 (FPGA) 的现状。掩蔽方案（一种众所周知的旁道分析对策）也存在类似的差异，通常对其进行优化以实现 ASIC 中的最小面积。在本文中，我们展示了一种利用旋转对称性的 AES S-box 表示，这导致 FPGA 设备上的面积减少了 50%。我们提出了新的 AES 实现，它改进了最先进的技术并探索了面积和延迟之间的各种权衡。例如，以增加 4.5 倍的延迟为代价，与 Sasdrich 和 Güneysu 在 ASAP 2016 上的 Xilinx FPGA 上已知的最小 AES 相比，我们的设计变体之一需要的查找表 (LUT) 少 25%。我们进一步探索了此类实现对侧信道攻击的保护。我们引入了一种通用方法，用于使用保护顺序 d 屏蔽任何 t 级的 n 位布尔函数。该方法对于一阶是精确的，对于高阶是启发式的。将其应用于我们新构建的 AES S-box 使我们能够改进以前的结果，并在赛灵思 FPGA 上引入迄今为止最小的一阶屏蔽 AES 实现。我们引入了一种通用方法，用于使用保护顺序 d 屏蔽任何 t 级的 n 位布尔函数。该方法对于一阶是精确的，对于高阶是启发式的。将其应用于我们新构建的 AES S-box 使我们能够改进以前的结果，并在赛灵思 FPGA 上引入迄今为止最小的一阶屏蔽 AES 实现。我们引入了一种通用方法，用于使用保护顺序 d 屏蔽任何 t 级的 n 位布尔函数。该方法对于一阶是精确的，对于高阶是启发式的。将其应用于我们新构建的 AES S-box 使我们能够改进以前的结果，并在赛灵思 FPGA 上引入迄今为止最小的一阶屏蔽 AES 实现。