[논문 리뷰] GuardNN: Secure Accelerator Architecture for Privacy-Preserving Deep Learning

Weizhe Hua, Muhammad Umar외 2명|arXiv (Cornell University)|2020. 08. 26.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

GuardNN는 신뢰할 수 없는 환경에서 모델 가중치, 입력값, 출력값의 종단 간 기밀성과 무결성을 보장하는 하드웨어 보호 기능을 갖춘 DNN 가속기입니다. DNN 워크로드에 맞게 지시어 세트와 메모리 보호 기능을 맞춤 설정함으로써 FPGA에서 약 3%의 성능 오버헤드를 달성하면서도 신뢰할 수 있는 컴퓨팅 기반(TCB)을 단지 가속기로만 축소하여 고성능, 프라이버시 보장 기반 추론 및 훈련을 가능하게 합니다.

ABSTRACT

This paper proposes GuardNN, a secure DNN accelerator that provides hardware-based protection for user data and model parameters even in an untrusted environment. GuardNN shows that the architecture and protection can be customized for a specific application to provide strong confidentiality and integrity guarantees with negligible overhead. The design of the GuardNN instruction set reduces the TCB to just the accelerator and allows confidentiality protection even when the instructions from a host cannot be trusted. GuardNN minimizes the overhead of memory encryption and integrity verification by customizing the off-chip memory protection for the known memory access patterns of a DNN accelerator. GuardNN is prototyped on an FPGA, demonstrating effective confidentiality protection with ~3% performance overhead for inference.

연구 동기 및 목표

• 클라우드나 모바일 플랫폼과 같은 신뢰할 수 없는 환경에서 고성능, 프라이버시 보장 기반 DNN 가속화의 부족을 해결한다.
• 대규모 머신러닝 워크로드에 대해 일반적인 TEE(예: Intel SGX)의 성능 및 보안 한계를 극복한다.
• 보안 핵심 컴포onent을 도메인 특화 가속기 내부에 격리시켜 신뢰할 수 있는 컴퓨팅 기반(TCB)을 최소화한다.
• 호스트 CPU가 신뢰할 수 없더라도, 맞춤형 지시어 세트와 외부 메모리 암호화를 통해 기밀성 보호를 실현한다.
• DNN 전용 액세스 패턴에 최적화된 메모리 보호 기능을 통해 암호화 및 무결성 검증 오버헤드를 감소시킨다.

제안 방법

• 모든 개인 데이터가 가속기 외부에서도 암호화된 상태로 유지되도록 보장하는 맞춤형 지시어 세트를 설계한다.
• DNN 추론 및 훈련의 예측 가능하고 규칙적인 메모리 액세스 패턴에 맞게 최적화된 하드웨어 기반 메모리 암호화 및 무결성 검증을 구현한다.
• 각 가속기 인스턴스마다 고유한 비밀키를 사용하여 원격 인증 및 안전한 키 교환을 수행한다.
• 원격 진단 및 외부 메모리 무결성 검증을 통합하여 가속기 상태에 대한 무단 수정를 탐지한다.
• DNN 가속기의 응용 분야 특화 단순성 덕분에 TCB를 최소화하고, 고정된 실행 시간 및 메모리 액세스 패턴을 통해 사이드 채널 누출을 방지한다.
• 기본 기반으로 CHaiDNN를 사용하여 FPGA에 GuardNN 프로토타입을 제작하고, 마이크로컨트롤러에 맞춤형 펌웨어 및 보호 로직을 구현한다.

실험 결과

연구 질문

• RQ1 도메인 특화 가속기가 일반적인 TEE보다 DNN 추론 및 훈련에 대해 더 강력한 보안성과 낮은 성능 오버헤드를 제공할 수 있는가?
• RQ2 DNN 메모리 액세스 패턴에 대한 응용 분야 지식을 얼마나 활용하면 암호화 및 무결성 검증 오버헤드를 줄일 수 있는가?
• RQ3 호스트 CPU가 신뢰할 수 없을 경우에도 최소한의 신뢰할 수 있는 컴퓨팅 기반(TCB)으로 강력한 기밀성 및 무결성 보장을 달성할 수 있는가?
• RQ4 실제 워크로드에서 하드웨어 보호 기반 DNN 가속기의 성능이 일반적인 TEE 및 MPC 기반 솔루션과 비교해 어떻게 되는가?
• RQ5 예측 가능한 실행 행동을 통해 메모리 및 타이밍 사이드 채널 공격에 대해 보안을 유지할 수 있는가?

주요 결과

• FPGA 프로토타입에서 DNN 추론에 대해 약 3%의 성능 오버헤드를 기록하여 실제 워크로드에 미치는 영향이 최소화됨을 입증한다.
• 알려진 DNN 메모리 액세스 패턴에 맞춰 최적화되었기 때문에 메모리 암호화 및 무결성 검증 오버헤드는 무시할 만큼 낮다.
• 신뢰할 수 있는 컴퓨팅 기반(TCB)은 단지 가속기 하드웨어로만 제한되며, 호스트 CPU 및 소프트웨어 스택은 모두 신뢰할 수 없다.
• CPU 기반 TEE보다 성능 및 에너지 효율성에서 약 3개의 주요 단위 높으며, 동일한 벤치마크에서 CPU TEE는 60% 이상의 오버헤드를 유발한다.
• 고정된 액세스 패턴과 일정한 실행 시간 덕분에 입력값 또는 가중치 값과 무관하게 메모리 및 타이밍 사이드 채널 공격에 대해 보안이 유지된다.
• MPC 기반 접근 방식과 비교해도 GuardNN는 훨씬 낮은 성능 오버헤드를 기록하면서도 강력한 보안 보장을 유지하므로 고처리량, 대규모 머신러닝 워크로드에 적합하다.