[論文レビュー] Privado: Practical and Secure DNN Inference.

Shruti Tople, Karan Grover+3 more|arXiv (Cornell University)|Oct 1, 2018

Security and Verification in Computing参考文献 31被引用数 28

ひとこと要約

Privado は、Intel SGX を使用して実用的で安全な DNN 推論サービスを実現するために、ONNX モデルを自動的かつゼロ効率の変換により、コンパクトで安全な C コードに変換することで、入力依存のアクセスパターンを排除する。20.77% の平均パフォーマンスオーバーヘッドを達成しながら、サイドチャnel攻撃に対して入力に依存しない保護を実現する。

ABSTRACT

Recently, cloud providers have extended support for trusted hardware primitives such as Intel SGX. Simultaneously, the field of deep learning is seeing enormous innovation and increase in adoption. In this paper, we therefore ask the question: Can third-party cloud services use SGX to provide practical, yet secure DNN Inference-as-a-service? Our work addresses the three main challenges that SGX-based DNN inferencing faces, namely, security, ease-of-use, and performance. We first demonstrate that side-channel based attacks on DNN models are indeed possible. We show that, by observing access patterns, we can recover inputs to the DNN model. This motivates the need for Privado, a system we have designed for secure inference-as-a-service. Privado is input-oblivious: it transforms any deep learning framework written in C/C++ to be free of input-dependent access patterns. Privado is fully-automated and has a low TCB: with zero developer effort, given an ONNX description, it generates compact C code for the model which can run within SGX-enclaves. Privado has low performance overhead: we have used Privado with Torch, and have shown its overhead to be 20.77\% on average on 10 contemporary networks.

研究の動機と目的

• 信頼できないクラウド環境における DNN 推論のセキュリティを、Intel SGX などの信頼できるハードウェアを用いて解決すること。
• DNN 推論における入力依存のメモリアクセスパターンを利用したサイドチャnel攻撃を排除すること。
• モデルデプロイに開発者による手作業が一切不要な、完全に自動化された低信頼性コードベースのソリューションを提供すること。
• セキュリティを損なわず、SGX ベースの推論において高いパフォーマンス効率を達成すること。
• 強力なセキュリティ保証を備えた実用的な DNN 推論サービスの提供を可能にすること。

提案手法

• Privado は、入力依存のメモリアクセスパターンを排除することで、任意の C/C++ ベースのディープラーニングモデルを入力に依存しない形に変換する。
• ONNX モデルに対して静的解析とコード変換パイプラインを適用し、SGX エンclave内で実行可能なコンパクトで安全な C コードを生成する。
• システムは、メモリアクセスパターンがモデルの入力に関する情報を漏洩させないことを保証し、サイドチャnel漏洩を防止する。
• Privado は最小限の信頼性基盤（TCB）で動作し、SGX ハードウェアと小さな形式的検証可能なランタイムに依存する。
• ONNX を入力として受け取り、最適化されたエングレーブ互換コードを生成するため、PyTorch などの既存のディープラーニングフレームワークとシームレスに統合できる。
• 変換は完全に自動化されており、手動でのコード変更や開発者による干渉が一切不要である。

実験結果

リサーチクエスチョン

• RQ1 メモリアクセスパターンに基づくサイドチャnel攻撃は、SGX で保護された DNN 推論における入力の機密性を侵害する可能性があるか？
• RQ2 SGX エンclave内で、このようなサイドチャネル漏洩を防ぐために、DNN 推論をどのようにして入力に依存しない形にすればよいか？
• RQ3 SGX で自動的かつゼロ効率の変換を用いて DNN 推論を保護する場合のパフォーマンスオーバーヘッドはどの程度か？
• RQ4 信頼性の高いセキュリティ、低 TCB、実用的なパフォーマンスを併せ持つ DNN 推論サービス用のシステムを構築可能か？
• RQ5 既存のディープラーニングフレームワークは、ONNX を中間表現として用いることで、SGX で安全かつ効率的にデプロイ可能か？

主な発見

• メモリアクセスパターンに基づくサイドチャネル攻撃は、DNN モデルの入力を効果的に回復可能であり、SGX で保護された推論における実在の脅威を示している。
• Privado は入力依存のアクセスパターンを効果的に排除し、システムを入力に依存しない形にし、このようなサイドチャネル漏洩に対して耐性を持つ。
• PyTorch モデルを用いたデプロイにおいて、10 個の現代的で洗練された深層ニューラルネットワーク全体で平均 20.77% のパフォーマンスオーバーヘッドを達成している。
• Privado は開発者による作業がゼロであり、ONNX モデルを自動的に安全でコンパクトな C コードに変換して SGX 実行に適したコードを生成する。
• Privado の信頼性基盤は最小限であり、SGX ハードウェアと小さな形式的検証可能なランタイムコンponent のみから構成される。
• このアプローチにより、強力な機密性保証を備えた安全な DNN 推論サービスの実用的デプロイが可能になる。