После десяти лет обсуждений и тестирования десятков алгоритмов Национальный институт стандартов и технологий (NIST) утвердил окончательный стандарт «облегчённой криптографии» (lightweight cryptography) для микроконтроллеров, встроенных CPU, слабых FPGA и других устройств с ограниченными аппаратными возможностями, то есть минимальным количеством памяти и вычислительными ресурсами.

Принятие стандартов даёт надежду, что современная криптография — идентификаторы, цифровые подписи, шифрование, защита от кибератак — будет поддерживаться на миллиардах устройств Интернета вещей и другой малой электронике, такой как RFID-метки и медицинские имплантаты.

Итоговый 52-страничный документ опубликован в августе 2025 года под названием «Стандарты облегчённой криптографии на основе Ascon для устройств с ограниченными ресурсами» — NIST SP 800-232.

Облегчённая или легковесная криптография рекомендуется к использованию везде, где ограничения ресурсов раньше препятствовали внедрению обычной криптографии: от умной домашней электроники и автомобильных счётчиков для платных дорог до медицинских имплантатов. Общим для этой электроники является жёсткие ограничения на количество энергии, времени и пространства, которые выделяются для криптографии. Этот стандарт соответствует возможностям таких устройств.

Стандарт построен на группе криптографических алгоритмов семейства Ascon, которые NIST выбрал в 2023 году после многоэтапного процесса публичного рассмотрения.

Семейство шифров Ascon разработано в 2014 году командой криптографов из Технологического университета Граца (Австрия), Infineon Technologies, Lamarr Security Research и Университета Неймегена (Нидерланды). В 2019 году он победил в конкурсе CAESAR среди легковесных шифров. Таким образом, к настоящему моменту алгоритмы уже прошли многолетнюю проверку со стороны криптографического сообщества.

В стандарте представлены четыре варианта ASCON для разных сценариев использования. Варианты ориентированы на две основные задачи облегчённой криптографии: аутентифицированное шифрование с сопутствующими данными (AEAD) и хэширование.

ASCON-128 AEAD

ASCON-128 AEAD разработан для шифрования данных и проверки их подлинности. Общим недостатком небольших устройств является их уязвимость к «атакам по побочным каналам», при которых злоумышленник может извлечь конфиденциальную информацию, наблюдая за физическими характеристиками, такими как энергопотребление или время выполнения операций.

Хотя ни один криптографический алгоритм не является по своей сути устойчивым к таким атакам, ASCON разработан таким образом, чтобы упростить разработку более устойчивых реализаций.

Ascon-Hash256

Ascon-Hash256 берёт все шифруемые данные и использует их для создания короткого хэша длиной в несколько символов, который функционирует как «отпечаток» данных. Даже небольшое изменение исходных данных целиком изменяет хэш. Таким образом, этот алгоритм полезен для обеспечения целостности данных — например, обновлений программного обеспечения, чтобы защитить его от внедрения постороннего кода. Другие области применения — защита паролей и цифровых подписей.

Это облегчённая альтернатива семейству хэш-алгоритмов SHA-3 от NIST, которое широко используется для тех же целей.

ASCON-XOF 128 и ASCON-CXOF 128

Это хэш-функции с особенностью: оба алгоритма позволяют изменять размер хэша. Такой вариант может быть полезен для небольших устройств, поскольку более короткие хэши экономят энергию и количество вычислительных циклов в процедуре шифрования.

Вариант ASCON-CXOF 128 добавляет возможность прикрепить к хэшу настраиваемую «метку» длиной в несколько символов. Если множество небольших устройств выполняют одну и ту же операцию шифрования, существует небольшая вероятность коллизии. Добавление настраиваемых меток позволит пользователям обойти эту потенциальную проблему.

NIST заявил, что принятые стандарты уже сейчас пригодны для использования. Институт также обеспечит их расширяемость для удовлетворения будущих потребностей. Возможно, в будущем будут добавлены дополнительные функции, о которых просили пользователи, например, выделенный код аутентификации сообщений.

Производительность шифров на разных CPU, циклов на бит:

Ascon-AEAD128 (NIST SP 800-232)

Ascon-Hash256 и Ascon-XOF128 (NIST SP 800-232)

Ascon-Mac и Ascon-Prf

Ascon-PrfShort

Звёздочкой отмечены результаты с бенчмарков eBACS для Ascon v1.2.

Дополнительная информация о шифрах — в разделе «Легковесная криптография» на сайте NIST. Например, там приведён календарь всех событий на конкурсе с первого семинара в июле 2015-го, а также результаты измерения производительности представленных шифров на недорогом железе с ограниченными аппаратными ресурсами (встроенные процессоры, микроконтроллеры, дешёвые FPGA).