TLS1.3で使用する共通鍵暗号は攻撃リスクの小さい認証付き暗号(AEAD:Authenticated Encryption with Associated Data)を 暗号スイートの標準とした。認証付き暗号とは、データの暗号化と同時にMACなどの認証用コードの演算を行うアルゴリズムのことだ。 ブロック暗号では、AES-GCMやAES-CCMが認証付き暗号とされるが、性能が思うように出ないことが課題だった。特に、AES-NI (AESを高速処理する命令セット)を搭載したIntelプロセッサに比べ、組み込み分野で高いシェアを持つArmプロセッサはAESの 性能が十分ではなかったこともあり、AES以外の選択肢も求められていた。