[논문 리뷰] CSI Neural Network: Using Side-channels to Recover Your Artificial Neural Network Information

Lejla Batina, Shivam Bhasin외 2명|arXiv (Cornell University)|2018. 10. 22.

Advancements in Semiconductor Devices and Circuit Design인용 수 27

한 줄 요약

이 논문은 임베디드 시스템에서 전력 소비 측정을 이용한 사이드 채널 분석이 다층 퍼셉트론 신경망을 역설계할 수 있음을 입증한다. 단일 측정으로 활성화 함수, 아키텍처 세부 정보, 가중치, 심지어 입력까지 복원할 수 있다. 이 공격은 실제 ARM Cortex-M3 하드웨어에서 실용적으로 실행 가능하며, 사이드 채널 보호 조치가 없을 경우 신경망 IP가 노출됨을 보여준다.

ABSTRACT

Machine learning has become mainstream across industries. Numerous examples proved the validity of it for security applications. In this work, we investigate how to reverse engineer a neural network by using only power side-channel information. To this end, we consider a multilayer perceptron as the machine learning architecture of choice and assume a non-invasive and eavesdropping attacker capable of measuring only passive side-channel leakages like power consumption, electromagnetic radiation, and reaction time. We conduct all experiments on real data and common neural net architectures in order to properly assess the applicability and extendability of those attacks. Practical results are shown on an ARM CORTEX-M3 microcontroller. Our experiments show that the side-channel attacker is capable of obtaining the following information: the activation functions used in the architecture, the number of layers and neurons in the layers, the number of output classes, and weights in the neural network. Thus, the attacker can effectively reverse engineer the network using side-channel information. Next, we show that once the attacker has the knowledge about the neural network architecture, he/she could also recover the inputs to the network with only a single-shot measurement. Finally, we discuss several mitigations one could use to thwart such attacks.

연구 동기 및 목표

• 전력 소비와 같은 수동적 사이드 채널 누출만을 이용해 신경망 파rameter를 복원할 수 있는지 조사하기 위해.
• 임베디드 시스템 내 실제 신경망 구현에 대한 사이드 채널 공격의 실용성을 평가하기 위해.
• 사이드 채널 트레이스에서 가중치와 활성화 함수를 포함한 전체 신경망 아키텍처를 재구성할 수 있음을 보여주기 위해.
• 아키텍처가 복원된 후 단일 사이드 채널 측정으로 네트워크의 입력을 복원할 수 있음을 보여주기 위해.
• 마스킹 및 일정 시간 구현과 같은 대응 조치를 제안하고, 이러한 사이드 채널 누출로부터 신경망을 보호하는 데의 효과를 평가하기 위해.

제안 방법

• 공격은 ARM Cortex-M3 마이크로컨트롤러에서 신경망 추론 중 전력 트레이스에서 정보를 추출하기 위해 간단한 전력 분석(SPA)과 차별적 전력 분석(DPA)을 사용한다.
• 입력 값에 따라 변하는 비상수 시간 동작 행동을 분석함으로써, 승수 연산과 같은 연산에서 활성화 함수를 식별한다.
• 기존 입력이 알려진 상태에서 곱셈 연산 중 미지의 가중치에 대한 가설과 전력 트레이스를 상관시켜 가중치를 복원한다.
• 전력 트레이스의 연산 구조와 순서를 분석함으로써 레이어 수, 레이어당 뉴런 수, 출력 클래스 수를 유추한다.
• 네트워크 아키텍처가 복원된 후 단일 사이드 채널 트레이스만으로도 기밀 입력을 복원할 수 있는 고정밀 공격(High-Precision Attack, HPA)을 적용한다.
• 대응 조치로는 계산 중 민감한 데이터를 무작위화하는 마스킹과 데이터 의존적 누출을 제거하기 위한 연산의 일정 시간 실행 구현이 포함된다.

실험 결과

연구 질문

• RQ1 임베디드 시스템에 구현된 다층 퍼셉트론 신경망의 아키텍처를 사이드 채널 전력 트레이스로 복원할 수 있는가?
• RQ2 전력 소비 측정을 통해 활성화 함수와 가중치를 얼마나 정확히 역설계할 수 있는가?
• RQ3 네트워크 아키텍처가 복원된 후 단일 사이드 채널 트레이스만으로도 네트워크의 입력을 복원할 수 있는가?
• RQ4 마스킹 및 일정 시간 실행과 같은 표준 사이드 채널 대응 조치가 신경망 보호에 얼마나 효과적인가?
• RQ5 ARM Cortex-M3와 같은 현대 마이크로컨트롤러는 이러한 사이드 채널 공격의 실현 가능성과 실용성에 어떤 영향을 미치는가?

주요 결과

• 사이드 채널 공격자는 승수 연산에서 발생하는 데이터 의존적 시간 변동을 감지함으로써 신경망에서 사용된 활성화 함수를 성공적으로 복원했다.
• 전력 트레이스의 연산 순서와 구조를 분석함으로써 레이어 수, 레이어당 뉴런 수, 출력 클래스 수를 재구성했다.
• 곱셈 연산 중 미지의 가중치에 대한 가설과 전력 트레이스를 상관시킴으로써 네트워크의 모든 가중치를 복원했다.
• 고정밀 공격(High-Precision Attack, HPA)을 적용하여 아키텍처가 복원된 후 단일 사이드 채널 측정만으로도 네트워크의 입력을 복원했다.
• 공격에는 추가로 약 20초의 측정 시간이 소요되었으며, 네트워크 크기에 따라 스케일이 가능하여 선형 스케일링을 보였다.
• 마스킹 및 일정 시간 실행 구현과 같은 대응 조치는 효과적이지만 상당한 성능 및 면적 오버헤드를 수반한다.