Estendemos o trabalho de Vincent Rijmen e Joan Daemen na estratégia de trilha larga, uma metodologia de projeto para primitivas criptográficas simétricas eficientes e demonstravelmente resistentes às técnicas de criptanálise diferencial e linear. Preocupamo-nos principalmente com a melhoria na eficiência de primitivas projetadas de acordo com a estratégia de trilha larga. Investigamos duas linhas distintas de pesquisa: a aplicabilidade da técnica de bitslicing à implementação em software de primitivas baseadas na estratégia de trilha larga; e o projeto de S-boxes estruturadas com implementação eficiente em hardware e bitslicing, e especificamente, o uso de S-boxes invariantes por rotação, que exibem propriedades vantajosas para implementação. Também implementamos e otimizamos algumas primitivas criptográficas em plataformas de software selecionadas, para substanciar e aprimorar as afirmações de eficiência da estratégia de trilha larga. Ademais, aplicamos nosso conhecimento e técnicas propostas ao projeto de novas primitivas criptográficas altamente eficientes, em particular a função de hash MAELSTROM-0 e a cifra de bloco legada FUTURE. / We extend the work of Vincent Rijmen and Joan Daemen on the Wide Trail strategy, a design methodology for symmetric-key cryptographic primitives which are efficient and provably secure against differential and linear cryptanalysis. We concern ourselves mainly with improving the efficiency of primitives designed according to the Wide Trail strategy. To that end, we investigate two distinct lines of research: the applicability of the bitslicing technique to the software implementation of primitives based on the Wide Trail strategy; and the design of structured S-boxes with efficient implementation in hardware and bitslicing, and specifically, the use of rotation-symmetric S-boxes, which exhibit advantageous implementation properties. We also perform general implementation and optimization work on selected software platforms, to further realize the claims of efficiency of the Wide Trail strategy. Additionally, we apply our expertise and proposed techniques to the design of new highly-efficient cryptographic primitives, in particular the hash function MAELSTROM-0 and the legacy-level block cipher FUTURE.

Estendemos o trabalho de Vincent Rijmen e Joan Daemen na estratégia de trilha larga, uma metodologia de projeto para primitivas criptográficas simétricas eficientes e demonstravelmente resistentes às técnicas de criptanálise diferencial e linear. Preocupamo-nos principalmente com a melhoria na eficiência de primitivas projetadas de acordo com a estratégia de trilha larga. Investigamos duas linhas distintas de pesquisa: a aplicabilidade da técnica de bitslicing à implementação em software de primitivas baseadas na estratégia de trilha larga; e o projeto de S-boxes estruturadas com implementação eficiente em hardware e bitslicing, e especificamente, o uso de S-boxes invariantes por rotação, que exibem propriedades vantajosas para implementação. Também implementamos e otimizamos algumas primitivas criptográficas em plataformas de software selecionadas, para substanciar e aprimorar as afirmações de eficiência da estratégia de trilha larga. Ademais, aplicamos nosso conhecimento e técnicas propostas ao projeto de novas primitivas criptográficas altamente eficientes, em particular a função de hash MAELSTROM-0 e a cifra de bloco legada FUTURE. / We extend the work of Vincent Rijmen and Joan Daemen on the Wide Trail strategy, a design methodology for symmetric-key cryptographic primitives which are efficient and provably secure against differential and linear cryptanalysis. We concern ourselves mainly with improving the efficiency of primitives designed according to the Wide Trail strategy. To that end, we investigate two distinct lines of research: the applicability of the bitslicing technique to the software implementation of primitives based on the Wide Trail strategy; and the design of structured S-boxes with efficient implementation in hardware and bitslicing, and specifically, the use of rotation-symmetric S-boxes, which exhibit advantageous implementation properties. We also perform general implementation and optimization work on selected software platforms, to further realize the claims of efficiency of the Wide Trail strategy. Additionally, we apply our expertise and proposed techniques to the design of new highly-efficient cryptographic primitives, in particular the hash function MAELSTROM-0 and the legacy-level block cipher FUTURE.

A criptografia de chave pública é uma área do conhecimento sujeita que é tema de intensa atividade contemporânea de pesquisa. Novos protocolos, primitivas e ataques são propostos com frequência, com semelhanças e diferenças mútuas que podem ser mais ou menos evidentes. Algumas primitivas criptográficas de chave pública mostram-se extremamente férteis em termos de flexibilidade, eficiência e segurança. Duas vertentes que se enquadram nesta categoria são os emparelhamentos e os reticulados. Por possuírem semelhanças em suas funcionalidades a despeito de possuírem naturezas completamente díspares, além de exibirem uma versatilidade rara em toda a área de criptografia de chave pública, alguns autores propuseram chamar os reticulados de os novos emparelhamentos, conforme a ordem cronológica em que essas primitivas passaram a atrair interesse mais vívido de pesquisa. Neste cenário, um estudo comparativo entre elas é de razoável interesse, em particular sobre vantagens e desvantagens que o estado da arte revela sobre a eficiência de cada uma delas. A pesquisa aqui relatada contempla esse estudo, e contribui técnicas de implementação eficiente de emparelhamentos (com ênfase no uso de coordenadas afins, pouco exploradas na literatura), novos parâmetros para a construção de reticulados compactos (na forma das chamadas álgebras discretas de Rojo) e uma técnica inovadora para instanciar reticulados na prática (especificamente, um algoritmo simples e natural para amostrar vetores normalmente distribuídos nos reticulados comumente adotados em sistemas criptográficos). / Public key cryptography is an area of knowledge undergoing intense research at present. New protocols, primitives and attacks are often proposed, with mutual similarities and differences that may be more or less evident. Some public key cryptographic primitives tend to be extremely prolific in terms of flexibility, efficiency and security. Two trends that fit this category are pairings and lattices. Because of their similar functionalities despite their completely disparate nature, and because of their rare versatility within the whole area of public key cryptography, some authors proposed to call lattices \"the new pairings,\" according to the chronological order by which these primitives began to attract more vivid research interest. In this scenario, a comparative study between them is of reasonable interest, in particular on the advantages and disadvantages that the state of the art reveals about the efficiency of each one. The research reported herein addresses this study, and also contributes efficient pairing implementation techniques (focusing on affine coordinates, which are scarcely explored in literature), new parameters for building compact lattices (in the form of the so-called discrete Rojo algebras) and an innovative technique to instantiate lattices in practical (specifically, a simple and natural algorithm for sampling normally distributed vectors in the lattices that are commonly adopted in cryptographic systems).

A criptografia de chave pública é uma área do conhecimento sujeita que é tema de intensa atividade contemporânea de pesquisa. Novos protocolos, primitivas e ataques são propostos com frequência, com semelhanças e diferenças mútuas que podem ser mais ou menos evidentes. Algumas primitivas criptográficas de chave pública mostram-se extremamente férteis em termos de flexibilidade, eficiência e segurança. Duas vertentes que se enquadram nesta categoria são os emparelhamentos e os reticulados. Por possuírem semelhanças em suas funcionalidades a despeito de possuírem naturezas completamente díspares, além de exibirem uma versatilidade rara em toda a área de criptografia de chave pública, alguns autores propuseram chamar os reticulados de os novos emparelhamentos, conforme a ordem cronológica em que essas primitivas passaram a atrair interesse mais vívido de pesquisa. Neste cenário, um estudo comparativo entre elas é de razoável interesse, em particular sobre vantagens e desvantagens que o estado da arte revela sobre a eficiência de cada uma delas. A pesquisa aqui relatada contempla esse estudo, e contribui técnicas de implementação eficiente de emparelhamentos (com ênfase no uso de coordenadas afins, pouco exploradas na literatura), novos parâmetros para a construção de reticulados compactos (na forma das chamadas álgebras discretas de Rojo) e uma técnica inovadora para instanciar reticulados na prática (especificamente, um algoritmo simples e natural para amostrar vetores normalmente distribuídos nos reticulados comumente adotados em sistemas criptográficos). / Public key cryptography is an area of knowledge undergoing intense research at present. New protocols, primitives and attacks are often proposed, with mutual similarities and differences that may be more or less evident. Some public key cryptographic primitives tend to be extremely prolific in terms of flexibility, efficiency and security. Two trends that fit this category are pairings and lattices. Because of their similar functionalities despite their completely disparate nature, and because of their rare versatility within the whole area of public key cryptography, some authors proposed to call lattices \"the new pairings,\" according to the chronological order by which these primitives began to attract more vivid research interest. In this scenario, a comparative study between them is of reasonable interest, in particular on the advantages and disadvantages that the state of the art reveals about the efficiency of each one. The research reported herein addresses this study, and also contributes efficient pairing implementation techniques (focusing on affine coordinates, which are scarcely explored in literature), new parameters for building compact lattices (in the form of the so-called discrete Rojo algebras) and an innovative technique to instantiate lattices in practical (specifically, a simple and natural algorithm for sampling normally distributed vectors in the lattices that are commonly adopted in cryptographic systems).

With the increasing demand for intelligent transportation systems (ITS), security and privacy requirements are paramount. This demand led to many proposals aimed at creating a Vehicular Public Key Infrastructure (VPKI) able to address such prerequisites. Among them, the Security Credential Management System (SCMS) is particularly promising, providing data authentication in a privacy-preserving manner and supporting the revocation of misbehaving vehicles. Namely, one of the main benefits of SCMS is its so-called butterfly key expansion process, which issues arbitrarily large batches of pseudonym certificates through a single request. Despite SCMS\'s appealing design, in this document, we show that its certificate issuing process can be improved. Namely, this protocol originally requires the vehicle to provide two separate public/private key pairs to registration authorities; we now propose an improved approach that unifies them into a single key pair. We also show that such performance gains come with no negative impact in terms of security, flexibility or scalability when compared to the original SCMS. Besides the improvement on the initial Elliptic Curve based protocol, we present a post-quantum version of the protocol using Ring Learning-with-errors (R-LWE) assumption. This new protocol has the same shape and features of the original one, but using R-LWE-based signature and encryption as underlying schemes and Lattices operation for the key issuing instead of Elliptic Curves. / Com o aumento da demanda por Sistemas de Transporte Inteligentes (ITS - intelligent transportation systems), requisitos de segurança de informação e privacidade são primordiais. Isso levou a muitas propostas visando a criação de uma infraestrutura de chave pública veicular (VPKI - Vehicular Public Key Infrastructure) capaz de atender esses requisitos. Entre estes, o Sistema de Gerenciamento de Credenciais de segurança (SCMS - Security Credential Management System) é particularmente promissor. Ele provê autenticação de dados de uma maneira a preservar a privacidade e também suporta revogação de veículos que apresentem comportamento inadequado. Especificamente, um dos principais benefícios do SCMS é o chamado processo de butterfly key expansion, que emite lotes arbitrariamente grandes de certificados para pseudônimos a partir de única requisição. Embora este protocolo originalmente exija que o veículo forneça dois pares de chaves públicas/privadas separadas para as autoridades de registro, aqui é proposta uma abordagem aprimorada que as unifica em um único par de chaves. Também é mostrado esse ganho de desempenho não causa nenhuma deterioração em termos de segurança, flexibilidade ou escalabilidade quando comparado ao SCMS original. Além das melhorias no protocolo original baseado em curvas elípticas, aqui é apresentada uma versão pós-quântica do protocolo usando a hipótese de segurança R-LWE (Ring Learning-with-errors). Este novo protocolo tem o mesmo formato e características do original, mas usa assinatura e cifração baseada em R-LWE como esquemas subjacentes e operações em reticulados para o processo de emissão de chaves em vez de curvas elípticas.

A criptografia é uma ciência que tem especial destaque no mundo moderno, evidenciando a necessidade em pesquisar algoritmos e técnicas para seu aperfeiçoamento. Apesar das soluções atualmente empregadas serem baseadas em problemas suficientemente seguros, se comparados ao poderio computacional necessário para resolvê-los, seu emprego futuro é questionado. Pesquisas demonstram potencial vulnerabilidade destes sistemas, caso tenhamos à disposição computadores quânticos sendo utilizados para fraudá-los. Alternativas têm sido estudadas e o criptossistema proposto por Robert J. McElice se mostra como uma das mais interessantes, visto sua versão convencional, baseada em códigos de Goppa, ter a segurança até o momento inafetada, inclusive se levado em conta a disponibilidade de tecnologia quântica. Entretanto, tal solução sofria com o tamanho de suas grandes chaves criptográficas, representando um entrave para sua aplicação na prática. Objetivando minimizar esta deficiência, neste trabalho, propomos a classe de códigos de Goppa quase-diádicos, que admitem uma matriz de paridade ou matriz geradora com representação muito compacta, produzindo chaves do tipo McEliece que são até um fator t = O(n) menores que as chaves genéricas, em notação que omite fatores logarítmicos, produzidas a partir de códigos de Goppa de comprimento n, para a correção de t erros em característica 2. No caso binário, essa família também mantém a capacidade de corrigir o número total projetado de erros em vez de apenas a metade; esta propriedade falta a todas as tentativas anteriores de construção de códigos compactos para fins de criptografia, incluindo (BERGER et al., 2009). Além disso, a complexidade de todas as operações criptográficas típicas torna-se O(n). Esta proposta foi submetida e selecionada para publicação e apresentação no XVI Workshop Selected Areas in Cryptography (SAC2009), ocorrido entre 13 e 14 de Agosto de 2009, em Calgary, Alberta, Canadá, de referência bibliográfica (MISOCZKI; BARRETO, 2009). Este evento foi realizado em cooperação com a International Association for Cryptologic Research (IACR) e teve seus artigos publicados pela Springer em Lecture Notes in Computer Science, volume 5867. / Cryptography is a science that is especially prominent in the modern world, highlighting the need to find algorithms and techniques for its improvement. Despite the fact that solutions currently used are based on problems that are sufficiently secure, if compared to the computing power needed to solve them, their future use is questioned. Researches demonstrated the potential vulnerability of these systems, if quantum computers are used to defraud them. Alternatives have been studied and the cryptosystem proposed by Robert J. McElice has been considered as one of the most interesting, since its conventional version, based on Goppa codes, has the security so far unaffected, even if taken into account the availability of quantum technology. However, this solution suffered with the large size of their cryptographic keys, an obstacle to its implementation in practice. Aiming to minimize this shortcoming, in this paper, we propose the class of quasidyadic Goppa codes, which admits a generator or parity-check matrix with very compact representation, producing McEliece keys that are up to a factor t = O(n) lower than the generic keys, in notation which omits logarithmic factors, produced from Goppa codes of length n, to correct t errors in characteristic 2. In the binary case, this family also retains the ability to correct the projected total number of errors, rather than just half; this property lacks in all previous attempts to build compact code for encryption, including (BERGER et al., 2009). Moreover, the complexity of all typical cryptographic operations becomes O(n). This proposal was submitted and selected for publication and presentation in the XVI Workshop Selected Areas in Cryptography (SAC2009), occurred in August, 13th and 14th, 2009, in Calgary, Alberta, Canada, with bibliographic reference (MISOCZKI; BARRETO, 2009). This event was held in cooperation with the International Association for Cryptologic Research (IACR) and had his papers published by Springer in Lecture Notes in Computer Science, volume 5867.

A criptografia é uma ciência que tem especial destaque no mundo moderno, evidenciando a necessidade em pesquisar algoritmos e técnicas para seu aperfeiçoamento. Apesar das soluções atualmente empregadas serem baseadas em problemas suficientemente seguros, se comparados ao poderio computacional necessário para resolvê-los, seu emprego futuro é questionado. Pesquisas demonstram potencial vulnerabilidade destes sistemas, caso tenhamos à disposição computadores quânticos sendo utilizados para fraudá-los. Alternativas têm sido estudadas e o criptossistema proposto por Robert J. McElice se mostra como uma das mais interessantes, visto sua versão convencional, baseada em códigos de Goppa, ter a segurança até o momento inafetada, inclusive se levado em conta a disponibilidade de tecnologia quântica. Entretanto, tal solução sofria com o tamanho de suas grandes chaves criptográficas, representando um entrave para sua aplicação na prática. Objetivando minimizar esta deficiência, neste trabalho, propomos a classe de códigos de Goppa quase-diádicos, que admitem uma matriz de paridade ou matriz geradora com representação muito compacta, produzindo chaves do tipo McEliece que são até um fator t = O(n) menores que as chaves genéricas, em notação que omite fatores logarítmicos, produzidas a partir de códigos de Goppa de comprimento n, para a correção de t erros em característica 2. No caso binário, essa família também mantém a capacidade de corrigir o número total projetado de erros em vez de apenas a metade; esta propriedade falta a todas as tentativas anteriores de construção de códigos compactos para fins de criptografia, incluindo (BERGER et al., 2009). Além disso, a complexidade de todas as operações criptográficas típicas torna-se O(n). Esta proposta foi submetida e selecionada para publicação e apresentação no XVI Workshop Selected Areas in Cryptography (SAC2009), ocorrido entre 13 e 14 de Agosto de 2009, em Calgary, Alberta, Canadá, de referência bibliográfica (MISOCZKI; BARRETO, 2009). Este evento foi realizado em cooperação com a International Association for Cryptologic Research (IACR) e teve seus artigos publicados pela Springer em Lecture Notes in Computer Science, volume 5867. / Cryptography is a science that is especially prominent in the modern world, highlighting the need to find algorithms and techniques for its improvement. Despite the fact that solutions currently used are based on problems that are sufficiently secure, if compared to the computing power needed to solve them, their future use is questioned. Researches demonstrated the potential vulnerability of these systems, if quantum computers are used to defraud them. Alternatives have been studied and the cryptosystem proposed by Robert J. McElice has been considered as one of the most interesting, since its conventional version, based on Goppa codes, has the security so far unaffected, even if taken into account the availability of quantum technology. However, this solution suffered with the large size of their cryptographic keys, an obstacle to its implementation in practice. Aiming to minimize this shortcoming, in this paper, we propose the class of quasidyadic Goppa codes, which admits a generator or parity-check matrix with very compact representation, producing McEliece keys that are up to a factor t = O(n) lower than the generic keys, in notation which omits logarithmic factors, produced from Goppa codes of length n, to correct t errors in characteristic 2. In the binary case, this family also retains the ability to correct the projected total number of errors, rather than just half; this property lacks in all previous attempts to build compact code for encryption, including (BERGER et al., 2009). Moreover, the complexity of all typical cryptographic operations becomes O(n). This proposal was submitted and selected for publication and presentation in the XVI Workshop Selected Areas in Cryptography (SAC2009), occurred in August, 13th and 14th, 2009, in Calgary, Alberta, Canada, with bibliographic reference (MISOCZKI; BARRETO, 2009). This event was held in cooperation with the International Association for Cryptologic Research (IACR) and had his papers published by Springer in Lecture Notes in Computer Science, volume 5867.

To evaluate the performance of a hardware design, it is necessary to select the met- rics of interest. Several metrics can be chosen, but in general three of them are considered basic: area, latency, and power. From these, other metrics of practical interest such as throughput and energy consumption can be obtained. These metrics relate to one another by creating trade-offs that designers need to know to execute the best design decisions. Some works address optimized hardware design for improving one of these metrics. In other works, optimizations are made for two of them. Others analyze the trade-off between two of these metrics. However, the literature lacks of works that analyze the behavior of three metrics together. In this work, we intend to contribute to bridge this gap, proposing a method that allow analyzing trade-offs among area, power, and throughput. To verify the proposed method, the permutation function of crypto- graphic sponge BlaMka was chosen as a case study. No hardware implementation has been found for this algorithm yet. Therefore, an additional contribution is to provide its first hardware design. Combinational and sequential circuits were designed and synthesized for ASIC and FPGA. With the synthesis results, a detailed performance analysis was performed for each platform, starting from a one-dimensional analysis, going through a two-dimensional analysis, and culminating in a three-dimensional analysis. Two techniques were presented for such analysis, namely projections approach and planes approach. Although there is room for improvement, the proposed method is a initial step showing that, in fact, a trade-off between three metrics can be analyzed, and that it is also possible to find balanced performance points. From the two approaches presented, it was possible to derive a criterion to select optimizations when we have restrictions, such as a desired throughput range or a maximum physical size, and when we do not have restrictions, in which case we can choose the optimization with the most balanced performance. / Para avaliar o desempenho de um projeto de hardware, é necessário selecionar as métricas de interesse. Várias métricas podem ser escolhidas, mas em geral três delas são consideradas básicas: área, latência e potência. A partir delas, podem ser obtidas outras métricas de interesse prático, tais como vazão e consumo de energia. Essas métricas relacionam-se entre si, criando trade-offs que os projetistas precisam conhecer para executar as melhores decisões de projeto. Alguns trabalhos abordam o projeto de hardware otimizado para melhorar uma dessas métricas. Em outros trabalhos, as otimizações são feitas para duas delas, mas sem analisar como uma terceira métrica se relaciona com as demais. Outros analisam o trade-off entre duas dessas métricas. Entretanto, a literatura carece de trabalhos que analisem o comportamento de três métricas em conjunto. Neste trabalho, pretendemos contribuir para preencher essa lacuna, propondo um método que permita a análise de trade-offs entre área, potência e vazão. Para verificar o método proposto, foi escolhida a função de permutação da esponja criptográfica BlaMka como estudo de caso. Até o momento, nenhuma implementação em hardware foi encontrada para esse algoritmo. Dessa forma, uma contribuição adicional é apresentar seu primeiro projeto de hardware. Circuitos combinacionais e sequenciais foram projetados e sintetizados para ASIC e FPGA. Com os resultados de síntese, foi realizada uma análise de desempenho detalhada para cada plataforma, a partir de uma análise unidimensional, passando por uma análise bidimensional e culminando em uma análise tridimensional. Duas técnicas foram apresentadas para tal análise tridimensional, chamadas abordagem das projeções e abordagem dos planos. Embora passível de melhorias, o método apresentado é um passo inicial mostrando que, de fato, um trade-off entre três métricas pode ser analisado, e que também é possível encontrar pontos de desempenho balanceado. A partir das duas abordagens, foi possível derivar um critério para selecionar otimizações quando há restrições, como um faixa de vazão desejada ou um tamanho físico máximo, e quando não há restrições, caso em que é possível escolher a otimização com o desempenho mais balanceado.

As redes de sensores sem fio (RSSF) são compostas por pequenos dispositivos distribuídos em uma região geográfica com a finalidade de monitorar ou interagir com o ambiente. Esse tipo de rede tem sido alvo de grande atenção da comunidade acadêmica e empresarial, dados os avanços das produções científicas e aplicações comerciais. Além disso, há grande potencial para esse modelo de rede, pois há diversos benefícios em se ter muitos dispositivos de baixo custo trabalhando em cooperação e que ainda podem interagir com o mundo real. As RSSFs apresentam novos desafios, até então inexistentes na maioria das redes modernas. A baixa capacidade de processamento dos dispositivos, a limitação do tamanho de um pacote, a baixa taxa de transferência de pacotes, a baixa capacidade da bateria de um dispositivo e o alcance limitado do rádio dificultam ou até inviabilizam muitas implementações de segurança. Neste sentido, há uma grande variedade de protocolos de segurança, os quais tentam fornecer o máximo de propriedades desejadas, como por exemplo autenticidade e confidencialidade de mensagens. Nesta dissertação, analisamos e comparamos dois pares de protocolos de segurança que possuem grande atenção da comunidade. Os protocolos foram analisados com base em seus mecanismos criptográficos e propriedades oferecidas. Além disso, com o uso de um simulador de RSSFs, realizamos experimentos que ajudam a entender o comportamento de dois protocolos, principalmente no que se relaciona com o consumo de energia dos dispositivos sensores. / Wireless Sensor Networks (WSNs) are formed by many tiny devices deployed for monitoring or interacting with the environment in a geografic area. This kind of network has received great attention in the academic and corporate community, given the advances of comercial applications and scientific developments. The benefits of having many low cost devices cooperating and interacting with the real world explain the great potential of such networks. The WSNs come with new challenges, so far not faced in modern networks. The low-power, low-processing devices, limited bandwidth and radio range make many security implementations difficult or even unfeasible. Within this context, there is a diversity of security protocols, intended to provide as many security properties as possible, like confidentiality and authentication of messages. In this master thesis, we compare and evaluate two pairs of security protocols that enjoy significant attention in the community. These protocols are evaluated based on their given properties and cryptographic primitives. Using a WSNs simulator, we performed experiments that help to understand the behavior of these two protocols, mainly for energy consumption purposes.

To evaluate the performance of a hardware design, it is necessary to select the met- rics of interest. Several metrics can be chosen, but in general three of them are considered basic: area, latency, and power. From these, other metrics of practical interest such as throughput and energy consumption can be obtained. These metrics relate to one another by creating trade-offs that designers need to know to execute the best design decisions. Some works address optimized hardware design for improving one of these metrics. In other works, optimizations are made for two of them. Others analyze the trade-off between two of these metrics. However, the literature lacks of works that analyze the behavior of three metrics together. In this work, we intend to contribute to bridge this gap, proposing a method that allow analyzing trade-offs among area, power, and throughput. To verify the proposed method, the permutation function of crypto- graphic sponge BlaMka was chosen as a case study. No hardware implementation has been found for this algorithm yet. Therefore, an additional contribution is to provide its first hardware design. Combinational and sequential circuits were designed and synthesized for ASIC and FPGA. With the synthesis results, a detailed performance analysis was performed for each platform, starting from a one-dimensional analysis, going through a two-dimensional analysis, and culminating in a three-dimensional analysis. Two techniques were presented for such analysis, namely projections approach and planes approach. Although there is room for improvement, the proposed method is a initial step showing that, in fact, a trade-off between three metrics can be analyzed, and that it is also possible to find balanced performance points. From the two approaches presented, it was possible to derive a criterion to select optimizations when we have restrictions, such as a desired throughput range or a maximum physical size, and when we do not have restrictions, in which case we can choose the optimization with the most balanced performance. / Para avaliar o desempenho de um projeto de hardware, é necessário selecionar as métricas de interesse. Várias métricas podem ser escolhidas, mas em geral três delas são consideradas básicas: área, latência e potência. A partir delas, podem ser obtidas outras métricas de interesse prático, tais como vazão e consumo de energia. Essas métricas relacionam-se entre si, criando trade-offs que os projetistas precisam conhecer para executar as melhores decisões de projeto. Alguns trabalhos abordam o projeto de hardware otimizado para melhorar uma dessas métricas. Em outros trabalhos, as otimizações são feitas para duas delas, mas sem analisar como uma terceira métrica se relaciona com as demais. Outros analisam o trade-off entre duas dessas métricas. Entretanto, a literatura carece de trabalhos que analisem o comportamento de três métricas em conjunto. Neste trabalho, pretendemos contribuir para preencher essa lacuna, propondo um método que permita a análise de trade-offs entre área, potência e vazão. Para verificar o método proposto, foi escolhida a função de permutação da esponja criptográfica BlaMka como estudo de caso. Até o momento, nenhuma implementação em hardware foi encontrada para esse algoritmo. Dessa forma, uma contribuição adicional é apresentar seu primeiro projeto de hardware. Circuitos combinacionais e sequenciais foram projetados e sintetizados para ASIC e FPGA. Com os resultados de síntese, foi realizada uma análise de desempenho detalhada para cada plataforma, a partir de uma análise unidimensional, passando por uma análise bidimensional e culminando em uma análise tridimensional. Duas técnicas foram apresentadas para tal análise tridimensional, chamadas abordagem das projeções e abordagem dos planos. Embora passível de melhorias, o método apresentado é um passo inicial mostrando que, de fato, um trade-off entre três métricas pode ser analisado, e que também é possível encontrar pontos de desempenho balanceado. A partir das duas abordagens, foi possível derivar um critério para selecionar otimizações quando há restrições, como um faixa de vazão desejada ou um tamanho físico máximo, e quando não há restrições, caso em que é possível escolher a otimização com o desempenho mais balanceado.