[論文レビュー] Privado: Practical and Secure DNN Inference with Enclaves

Karan Grover, Shruti Tople+3 more|arXiv (Cornell University)|Oct 1, 2018

Network Security and Intrusion Detection参考文献 66被引用数 29

ひとこと要約

Privado は、DNN の入力に依存しないメモリアクセスパターンを自動的かつフレームワークに依存しない変換によって、Intel SGX エンclaveを用いた実用的で安全な DNN 推論を可能にするシステムである。11 個の現代的 DNN において平均 17.18% のパフォーマンスオーバーヘッドを達成するとともに、入力のアクセスパターンを観測することで MNIST で 97%、CIFAR-10 で 71% の精度に達するサイドチャnel攻撃を防止する。

ABSTRACT

Cloud providers are extending support for trusted hardware primitives such as Intel SGX. Simultaneously, the field of deep learning is seeing enormous innovation as well as an increase in adoption. In this paper, we ask a timely question: "Can third-party cloud services use Intel SGX enclaves to provide practical, yet secure DNN Inference-as-a-service?" We first demonstrate that DNN models executing inside enclaves are vulnerable to access pattern based attacks. We show that by simply observing access patterns, an attacker can classify encrypted inputs with 97% and 71% attack accuracy for MNIST and CIFAR10 datasets on models trained to achieve 99% and 79% original accuracy respectively. This motivates the need for PRIVADO, a system we have designed for secure, easy-to-use, and performance efficient inference-as-a-service. PRIVADO is input-oblivious: it transforms any deep learning framework that is written in C/C++ to be free of input-dependent access patterns thus eliminating the leakage. PRIVADO is fully-automated and has a low TCB: with zero developer effort, given an ONNX description of a model, it generates compact and enclave-compatible code which can be deployed on an SGX cloud platform. PRIVADO incurs low performance overhead: we use PRIVADO with Torch framework and show its overhead to be 17.18% on average on 11 different contemporary neural networks.

研究の動機と目的

• 信頼できないクラウドプラットフォーム上で DNN 推論サービスを提供する際、モデルの重みと入力データを機密に保つという重要なギャップを埋めること。
• 入力が暗号化されていても、SGX エンclave内での DNN 推論が、メモリアクセスパターンに基づくサイドチャnel攻撃に対して脆弱であることを実証すること。
• 開発者による作業をゼロに抑え、信頼されるコンピューティング基盤（TCB）を最小限に抑えることで、入力に依存しない実行（入力の見えなさ）を保証するシステムを設計すること。
• 強力な敵がエンクラーブのメモリアクセスパターンを監視している状況でも、強いセキュリティ保証を維持しつつ、実用的なパフォーマンスを達成すること。
• ONNX モデルをエンクラーブ互換の無偏見コードに変換する、完全に自動化されたエンドツーエンドのソリューションを提供すること。

提案手法

• Privado は二段階のアーキテクチャを採用している：モデルの計算グラフをデータに依存しないコードに分析・変換する Privado-Converter、およびコンパactでエンクラーブ互換の C/C++ コードを生成する Privado-Generator。
• 条件分岐が値の代入または即時終了のいずれかである「代入または何もしない」アクセスパターンを特定し、データ依存のメモリアクセスパターンを自動的に排除可能にする。
• データ依存のアクセスパターンをマスクするために、無偏見のシャッフルやメモリアクセスパディングといった無偏見プリミティブを適用し、すべてのメモリアクセスが入力値に依存しないように保証する。
• ONNX を介してあらゆる DNN フレームワークをサポートし、PyTorch（Torch）のような既存のモデルやツールに影響を与えることなく、再トレーニングや手動のコード変更なしに統合可能である。
• エンクラーブの攻撃表面を最小限に抑えることで、信頼されるコンピューティング基盤（TCB）を低く保つ。I/O やシステム操作は信頼できないホストに委ねられ、エンクラーブ内では必須の推論ロジックのみが実行される。
• Intel SGX のハードウェアによる隔離機能を活用し、クラウド管理者や損傷したソフトウェアスタックからのモデル重みや入力の保護を実現。同時に、証明と安全な通信チャネルを用いてエンドツーエンドの信頼性を確保する。

実験結果

リサーチクエスチョン

• RQ1 入力が暗号化されていても、SGX エンクラーブ内での DNN 推論が、メモリアクセスパターンに基づくサイドチャnel攻撃によって侵害可能であるか。
• RQ2 DNN における入力依存のアクセスパターンをどの程度自動的に排除できるか、入力に依存しない実行を達成できるか。
• RQ3 入力依存のアクセスパターンの漏洩に対する強力なセキュリティを、最小限のパフォーマンスオーバーヘッドとゼロの開発者作業で実現できるシステムを構築可能か。
• RQ4 完全に自動化された無偏見 DNN 推論システムのパフォーマンスは、現代的で実世界の DNN アーキテクチャにおいて、既存のソリューションと比較してどの程度か。
• RQ5 信頼できるハードウェアを用いて、使いやすさを損なわず、強力なセキュリティと実用的なパフォーマンスを両立できる DNN 推論サービスを実現可能か。

主な発見

• 敵が DNN 推論中のメモリアクセスパターンのみを観測しても、MNIST では入力の暗号化を前提に 97% の精度で分類可能であり、CIFAR-10 では 71% の精度に達する。これは、それぞれ元の精度が 99% および 79% のモデルに対しても成立する。
• Privado は、DNN 計算グラフの自動変換により、すべての入力依存アクセスパターンを排除し、手動のコード変更なしに入力に依存しない実行を達成する。
• PyTorch フレームワークを用いた場合、11 個の現代的 DNN に対して平均 17.18% のパフォーマンスオーバーヘッドしか発生せず、実世界での展開に実用的であることが示された。
• Privado は、ONNX 形式で記述されたあらゆるモデルをサポートし、既存のディープラーニングフレームワークやツールとのシームレスな統合を実現し、開発者の作業をゼロに保つ。
• エンクラーブの攻撃表面を最小限に抑え、エンクラーブ内に必要な推論ロジックのみを隔離することで、信頼されるコンピューティング基盤（TCB）を低く保つ。
• Privado は、SGX 上での DNN 推論において、入力に依存しない実行、低 TCB、使いやすさ、低パフォーマンスオーバーヘッドを同時に満たす最初のシステムであり、完全に自動化されたパイプラインを提供する。