[논문 리뷰] Channel-Aware Adversarial Attacks Against Deep Learning-Based Wireless Signal Classifiers

Brian Kim, Yalin E. Sagduyu외 3명|arXiv (Cornell University)|2020. 05. 11.

Wireless Signal Modulation Classification참고 문헌 49인용 수 33

한 줄 요약

논문은 채널 인지형 OTA 적대적 공격을 모듈레이션 분류기에 대해 시연하고 방송 교란 공격과 무작위 스무딩 및 인증 보장을 통한 방어를 도입한다.

ABSTRACT

This paper presents channel-aware adversarial attacks against deep learning-based wireless signal classifiers. There is a transmitter that transmits signals with different modulation types. A deep neural network is used at each receiver to classify its over-the-air received signals to modulation types. In the meantime, an adversary transmits an adversarial perturbation (subject to a power budget) to fool receivers into making errors in classifying signals that are received as superpositions of transmitted signals and adversarial perturbations. First, these evasion attacks are shown to fail when channels are not considered in designing adversarial perturbations. Then, realistic attacks are presented by considering channel effects from the adversary to each receiver. After showing that a channel-aware attack is selective (i.e., it affects only the receiver whose channel is considered in the perturbation design), a broadcast adversarial attack is presented by crafting a common adversarial perturbation to simultaneously fool classifiers at different receivers. The major vulnerability of modulation classifiers to over-the-air adversarial attacks is shown by accounting for different levels of information available about the channel, the transmitter input, and the classifier model. Finally, a certified defense based on randomized smoothing that augments training data with noise is introduced to make the modulation classifier robust to adversarial perturbations.

연구 동기 및 목표

• 무선 시스템에서 DNN 기반 모듈레이션 분류기에 대한 적대적 위협을 동기 부여하고 모델화한다.
• 송신기에서 수신기까지의 채널 및 공격자에서 수신기로의 채널 효과를 반영하는 채널 인지형 화이트박스 및 블랙박스 적대적 공격 전략을 개발한다.
• 하나의 교란으로 다수의 수신기를 속이는 방송 공격을 탐구한다.
• 무작위 스무딩과 인증된 강건성 등을 포함한 방어 메커니즘을 제안하여 OTA 적대적 교란을 완화한다.

제안 방법

• 단일 안테나 채널을 갖는 송신기, 다수의 수신기, 그리고 공격자를 모델링하여 각 수신기에서 DNN 기반 모듈레이션 분류기에 대해 OTA 공격을 수행한다.
• 전력 제약 하에서 채널 인지형 적대적 교란을 구성하여 표적 및 비표적 공격 모두에서 오분류를 유발한다.
• 정확한 채널 지식을 갖춘 화이트박스 설정에서 Channel Inversion, MMSE, MRPP 변형 등 표적 채널 인지 공격을 개발한다.
• 정확한 채널 지식을 갖춘 화이트박스 설정에서 Naive, MMSE, MRPP 변형 등 비표적 채널 인지 공격을 개발한다.
• 무선 채널의 방송 특성을 활용하여 다수 수신기의 분류기를 동시에 속이도록 방송 적대적 교란 설계를 도입한다.
• PCA 및 기타 차원 축소 기법을 사용하여 제한된 채널 정보가 있는 시나리오와 보편 교란으로 가능한 블랙박스 설정으로 공격을 확장한다.
• 가우시안 노이즈를 사용한 학습 보강 및 인증된 강건성을 제공하기 위한 무작위 스무딩 기반 방어 전략을 제안한다.

실험 결과

연구 질문

• RQ1 공격자로부터 각 수신기로의 채널 효과가 모듈레이션 분류를 위한 적대적 교란의 설계와 효과에 어떤 영향을 미치는가?
• RQ2 무선 방송 특성을 활용하여 하나의 공통 교란으로 다수의 수신기를 동시에 속일 수 있는가?
• RQ3 화이트박스 및 제한 정보 시나리오에서 채널 인지 표적 및 비표적 공격은 얼마나 효과적인가?
• RQ4 무작위 스무딩 및 인증된 강건성을 포함한 어떤 방어가 OTA 적대적 교란으로 인한 모듈레이션 분류기의 취약점을 완화할 수 있는가?

주요 결과

• 채널 인지형 공격은 채널 효과를 무시하는 공격에 비해 실제 교란 전력에서 특히 모듈레이션 분류기의 정확도를 크게 감소시킨다.
• MRPP 공격(최대 수신 교란 전력)은 채널 정보를 활용하여 많은 환경에서 다른 표적 및 비표적 전략을 능가한다.
• 채널 특이성은 선택적 공격을 만든다: 한 수신기를 위해 설계된 교란은 다른 채널을 가진 다른 수신기의 분류기를 속이지 못하는 경우가 많아 방송 공격 설계가 가능해진다.
• 다수의 수신기 정보를 공동으로 이용해 설계된 방송 교란은 동시다발적으로 여러 수신기의 분류기를 악화시킬 수 있다.
• 무작위 스무딩 기반 학습은 적대적 교란에 대한 강건성을 향상시키고, 가우시안 증강 하에서 강건성 보장을 제공하는 인증된 방어 프레임워크를 제공한다.