[論文レビュー] BoMaNet: Boolean Masking of an Entire Neural Network

Anuj Dubey, Rosario Cammarota+1 more|arXiv (Cornell University)|Jun 16, 2020

Physical Unclonable Functions (PUFs) and Hardware Security参考文献 70被引用数 6

ひとこと要約

この論文では、ゲートレベルでのブールマスキングを用いて、電力ベースの側帯域攻撃に対して防御する最初の完全マスク化ニューラルネットワーク推論エンジンであるBoMaNetを提案する。パイプライン化されたマスク化アダーと1サイクルのスループットを備えた非線形演算用の安全なマスク化LUTを含む、線形および非線形演算のための新しいマスク化プリミティブを設計することで、FPGA上で3.5%の遅延オーバーヘッドと5.9倍の面積オーバーヘッドで最初の段階のセキュリティを達成した。

ABSTRACT

Recent work on stealing machine learning (ML) models from inference engines with physical side-channel attacks warrant an urgent need for effective side-channel defenses. This work proposes the first $ extit{fully-masked}$ neural network inference engine design. Masking uses secure multi-party computation to split the secrets into random shares and to decorrelate the statistical relation of secret-dependent computations to side-channels (e.g., the power draw). In this work, we construct secure hardware primitives to mask $ extit{all}$ the linear and non-linear operations in a neural network. We address the challenge of masking integer addition by converting each addition into a sequence of XOR and AND gates and by augmenting Trichina's secure Boolean masking style. We improve the traditional Trichina's AND gates by adding pipelining elements for better glitch-resistance and we architect the whole design to sustain a throughput of 1 masked addition per cycle. We implement the proposed secure inference engine on a Xilinx Spartan-6 (XC6SLX75) FPGA. The results show that masking incurs an overhead of 3.5\% in latency and 5.9$ imes$ in area. Finally, we demonstrate the security of the masked design with 2M traces.

研究の動機と目的

• 機械学習モデルに対する物理的側帯域攻撃、特に電力分析によるモデル盗難の増加する脅威に対処すること。
• すべての演算—線形および非線形—を側帯域漏洩から保護する完全マスク化ニューラルネットワークアクセラレータを設計すること。
• ニューラルネットワーク推論ハードウェアにおける整数演算、特に加算のマスキングの課題を克服すること。
• 実用的な評価と検証のため、FPGAに安全で高スループットのマスク化推論エンジンを実装すること。
• 最大200万回の電力トレースを用いたTVLAにより、最初の段階のセキュリティを実証すること。

提案手法

• 著者らは、秘密をランダムなシェアに分割することで、秘密依存計算からの側帯域漏洩を相関解除する、セキュアなマルチパーティ計算に基づくブールマスキングを用いる。
• トリチーナのマスキングスタイルに従い、整数加算をXORおよびANDゲートのシーケンスに変換し、グリッチ耐性を向上させるためにパイプライン化されたANDゲートを採用する。
• 複数サイクルの計算にもかかわらず、1サイクルごとに1つのマスク化加算を維持できるように、フィードバックとパイプライン化を施した新しい20ビットのマスク化フルアダーを設計する。
• 非線形演算（例：ReLUやソフトマックス）のためのマスク化ルックアップテーブル（LUT）と、出力層の信頼性選択のためのマスク化最大値検出ユニットを含む。
• 低レベルのプリミティブ（例：トリチーナのANDゲート）から構成され、パイプライン化されており、高いスループットを維持する。
• 面積効率を高めるためにバイナリニューラルネットワーク（BNN）をターゲットとし、評価のためXilinx Spartan-6 FPGAに実装した。

実験結果

リサーチクエスチョン

• RQ1 すべての線形および非線形演算を側帯域漏洩から保護する完全マスク化ニューラルネットワーク推論エンジンを設計できるか？
• RQ2 符号ビットの漏洩を回避するため、ブール論理のみを用いて整数加算をハードウェアで安全にマスキングできるか？
• RQ3 完全マスク化されたニューラルネットワークの、マスク化されていないベースラインと比較した性能および面積オーバーヘッドはどの程度か？
• RQ4 マスク化算術および複数サイクルの演算の複雑さにもかかわらず、マスク化設計が高スループットを維持できるか？
• RQ5 マスク化設計は最大200万トレースの微分電力分析に対して最初の段階のセキュリティを満たすか？

主な発見

• 提案されたBoMaNetは、最大200万回の電力トレースを用いたTVLA評価において、検出可能な漏洩が一切ないため、電力ベースの側帯域攻撃に対して最初の段階のセキュリティを達成した。
• Xilinx Spartan-6 FPGA上では、マスク化ベースラインと比較して推論遅延が3.5%増加したにとどまり、非常に低いオーバーヘッドを実現した。
• マスク化設計の面積オーバーヘッドは、マスク化されていない設計の5.9倍であり、セキュリティとリソース使用量の実用的かつ妥当なトレードオフを示した。
• パイプライン化とフィードバックにより、マスク化アダーのアーキテクチャは、複数サイクルの計算にもかかわらず、1サイクルごとに1つのマスク化加算をサポートし、高いスループットを実現した。
• 重み付き和の計算、ReLU、最大値選択といったBNN推論において重要な重要な演算が、成功裏にマスキングされた。
• 評価の結果、高サンプリングレートと大きなトレースサイズのため、200万トレースの収集に1週間を要したことが判明し、大規模な側帯域テストの課題を浮き彫りにした。