[論文レビュー] GuardNN: Secure DNN Accelerator for Privacy-Preserving Deep Learning.

Weizhe Hua, Muhammad Umar+2 more|arXiv (Cornell University)|Aug 26, 2020

Adversarial Robustness in Machine Learning参考文献 62被引用数 13

ひとこと要約

GuardNN は、信頼できない環境においてユーザーのデータおよびモデルパラメータの強力な機密性と整合性を保証するハードウェア保護型 DNN アクcelerator である。命令セットをカスタマイズし、アプリケーション固有のメモリ保護を適用することで、信頼をアクセラレータに限定し、現代の DNN モデルにおいて 2% 未塔のパフォーマンスオーバーヘッドを達成する。

ABSTRACT

This paper proposes GuardNN, a secure deep neural network (DNN) accelerator, which provides strong hardware-based protection for user data and model parameters even in an untrusted environment. GuardNN shows that the architecture and protection can be customized for a specific application to provide strong confidentiality and integrity protection with negligible overhead. The design of the GuardNN instruction set reduces the TCB to just the accelerator and enables confidentiality protection without the overhead of integrity protection. GuardNN also introduces a new application-specific memory protection scheme to minimize the overhead of memory encryption and integrity verification. The scheme shows that most of the off-chip meta-data in today's state-of-the-art memory protection can be removed by exploiting the known memory access patterns of a DNN accelerator. GuardNN is implemented as an FPGA prototype, which demonstrates effective protection with less than 2% performance overhead for inference over a variety of modern DNN models.

研究の動機と目的

• 信頼できない環境における DNN アクセラレータの強力で効率的なハードウェアレベルのセキュリティの欠如に対処すること。
• 信頼計算基盤（TCB）をアクセラレータに限定することで、システム全体の信頼を最小限に抑えること。
• DNN のメモリアクセスパターンの予測可能性を活用して、不要なメモリ保護のオーバーヘッドを排除すること。
• 必要でない場合に整合性保護のコストを負担せずに機密性を確保できること。
• FPGA ベースのプロトタイプを用いて、実用的妥当性を示すこと。

提案手法

• アクセラレータを唯一の信頼されるコンponentとして隔離するカスタム命令セットの設計により、TCB を最小限に抑える。
• DNN のメモリアクセスパターンの予測可能性を活用して、オフチップメタデータの大部分を削除するアプリケーション固有のメモリ保護方式の導入。
• 機密性と整合性保護を分離することで、必要に応じて強制を制御し、オーバーヘッドを低減する。
• アクセスパターン解析に基づき、必要な箇所でのみメモリ暗号化と整合性検証を実装する。
• 外部メタデータに依存するセキュリティの信頼性を減らすために、アクセラレータのメモリインターフェースを最適化する。
• 複数の現代的な DNN モデルを対象に、FPGA プロトタイプを用いて設計を検証する。

実験結果

リサーチクエスチョン

• RQ1 DNN アクセラレータは、最小限のパフォーマンスオーバーヘッドで、強力な機密性と整合性保護を達成できるか？
• RQ2 DNN システムにおいて、信頼計算基盤（TCB）をアクセラレータに限定することは可能か？
• RQ3 DNN 特有のアクセスパターンを活用することで、メモリ保護におけるオフチップメタデータをどの程度削除できるか？
• RQ4 特定のワークロードでは、整合性保護のコストを負担せずに機密性を確保できるか？
• RQ5 このようなセキュアな DNN アクセラレータの実世界でのパフォーマンスオーバーヘッドは、多様なモデルにおいてどの程度か？

主な発見

• GuardNN は、さまざまな現代的なモデルにおいて DNN 推論で 2% 未塔のパフォーマンスオーバーヘッドを達成する。
• 信頼計算基盤はアクセラレータに限定され、ホストまたはシステムソフトウェアへの信頼が排除される。
• アプリケーション固有のメモリ保護方式により、オフチップメタデータの大部分が削除され、メモリ保護のオーバーヘッドが顕著に低減される。
• 機密性は整合性保護とは独立して確保可能であり、脅威モデルに応じた最適化された展開が可能になる。
• FPGA プロトタイプは、DNN アクセラレータにおいて強力なセキュリティと高いパフォーマンスが両立可能であることを示している。
• この設計は、信頼できない環境におけるユーザーのデータおよびモデルパラメータの両方を効果的に保護する。