[論文レビュー] GuardNN: Secure Accelerator Architecture for Privacy-Preserving Deep Learning

Weizhe Hua, Muhammad Umar+2 more|arXiv (Cornell University)|Aug 26, 2020

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

GuardNNは、信頼できない環境（クラウドやモバイルプラットフォームなど）において、モデル重み、入力、出力のエンドツーエンドの機密性と整合性を保証するハードウェア保護型DNNアクセラレータを提案する。DNNワークロードに特化した命令セットとメモリ保護を採用することで、FPGA上で約3%のパフォーマンスオーバーヘッドを達成し、信頼できるコンピューティングベース（TCB）を単一のアクセラレータにまで縮小。これにより、高パフォーマンスでプライバシーを守る推論と学習が可能となる。

ABSTRACT

This paper proposes GuardNN, a secure DNN accelerator that provides hardware-based protection for user data and model parameters even in an untrusted environment. GuardNN shows that the architecture and protection can be customized for a specific application to provide strong confidentiality and integrity guarantees with negligible overhead. The design of the GuardNN instruction set reduces the TCB to just the accelerator and allows confidentiality protection even when the instructions from a host cannot be trusted. GuardNN minimizes the overhead of memory encryption and integrity verification by customizing the off-chip memory protection for the known memory access patterns of a DNN accelerator. GuardNN is prototyped on an FPGA, demonstrating effective confidentiality protection with ~3% performance overhead for inference.

研究の動機と目的

• クラウドやモバイルプラットフォームなどの信頼できない環境において、高パフォーマンスでプライバシーを守るDNNアクセラレーションの不足を解消すること。
• 大規模なMLワークロードに対して、一般用途のTEE（例：Intel SGX）のパフォーマンスおよびセキュリティ上の制限を克服すること。
• セキュリティが重要なコンponentsをドメイン特化アクセラレータ内に隔離することで、信頼できるコンピューティングベース（TCB）を最小限に抑えること。
• ホストCPUが信頼できない状況でも、カスタム命令セットとオフチップメモリ暗号化により機密性保護を実現すること。
• DNN固有のアクセスパターンに最適化されたメモリ保護により、暗号化と整合性検証のオーバーヘッドを低減すること。

提案手法

• すべてのプライベートデータがアクセラレータ外でも暗号化されたまま保たれるように、カスタム命令セットを設計し、命令が信頼できない場合でも安全であることを保証する。
• DNN推論および学習の予測可能で規則的なメモリアクセスパターンに特化した、ハードウェアベースのメモリ暗号化と整合性検証を実装する。
• 各アクセラレータインスタンスに固有の秘密鍵を割り当て、リモートユーザーとのリモート認証および安全な鍵交換を実現する。
• リモートアテステーションとオフチップ整合性検証を統合し、アクセラレータ状態への不正な改ざんを検出可能にする。
• DNNアクセラレータのアプリケーション特化による単純さを活かし、TCBを最小限に抑え、固定された実行タイミングとメモリアクセスパターンによりサイドチャnel漏洩を防止する。
• CHaiDNNをベースラインとしてFPGAにGuardNNをプロトタイピングし、マイコンロジックにカスタムファームウェアと保護ロジックを実装する。

実験結果

リサーチクエスチョン

• RQ1 ドメイン特化アクセラレータは、一般用途のTEEよりもDNN推論および学習において、より強力なセキュリティと低いパフォーマンスオーバーヘッドを実現できるか？
• RQ2 DNNメモリアクセスパターンのアプリケーション特化知識を活かすことで、メモリ暗号化および整合性検証のオーバーヘッドをどの程度低減できるか？
• RQ3 ホストCPUが信頼できない状況でも、最小限の信頼できるコンピューティングベース（TCB）で強力な機密性と整合性保証を達成できるか？
• RQ4 実世界のワークロードにおいて、ハードウェア保護型DNNアクセラレータのパフォーマンスは、一般用途のTEEやMPCベースのソリューションと比べてどの程度か？
• RQ5 予測可能な実行挙動により、メモリおよびタイミングのサイドチャnel攻撃に対して、セキュアなDNNアクセラレータを維持できるか？

主な発見

• GuardNNはFPGAプロトタイプでDNN推論に約3%のパフォーマンスオーバーヘッドを達成し、実世界のワークロードに与える影響は最小限であることが実証された。
• DNNメモリアクセスパターンに特化したカスタマイズのおかげで、メモリ暗号化および整合性検証のオーバーヘッドは無視できるほど小さい。
• 信頼できるコンピューティングベース（TCB）は、ホストCPUやソフトウェアスタックが信頼できない状況でも、アクセラレータハードウェアのみにまで縮小された。
• CPUベースのTEEと比較して、パフォーマンスおよびエネルギー効率で3桁の差を付け、同じベンチマークで60%以上のオーバーヘッドを追加する。
• 固定アクセスパターンと定常実行時間のおかげで、入力や重み値に依存しないため、メモリおよびタイミングのサイドチャnel攻撃に対して安全である。
• MPCベースのアプローチと比較して、GuardNNははるかに低いパフォーマンスオーバーヘッドを実現しながらも、強力なセキュリティ保証を維持しており、高スルーレートで大規模なMLワークロードに適している。