[논문 리뷰] GuardNN: Secure DNN Accelerator for Privacy-Preserving Deep Learning.

Weizhe Hua, Muhammad Umar외 2명|arXiv (Cornell University)|2020. 08. 26.

Adversarial Robustness in Machine Learning참고 문헌 62인용 수 13

한 줄 요약

GuardNN는 신뢰할 수 없는 환경에서 사용자 데이터 및 모델 파라미터에 대해 강력한 기밀성과 무결성을 보장하는 하드웨어 보호 기능을 갖춘 DNN 가속기입니다. 지정된 명령어 집합을 사용하고 애플리케이션 특화 메모리 보호 기법을 적용함으로써 신뢰 범위를 오직 가속기로만 제한하며, 현대 DNN 모델 전반에서 성능 오버헤드가 2% 미만입니다.

ABSTRACT

This paper proposes GuardNN, a secure deep neural network (DNN) accelerator, which provides strong hardware-based protection for user data and model parameters even in an untrusted environment. GuardNN shows that the architecture and protection can be customized for a specific application to provide strong confidentiality and integrity protection with negligible overhead. The design of the GuardNN instruction set reduces the TCB to just the accelerator and enables confidentiality protection without the overhead of integrity protection. GuardNN also introduces a new application-specific memory protection scheme to minimize the overhead of memory encryption and integrity verification. The scheme shows that most of the off-chip meta-data in today's state-of-the-art memory protection can be removed by exploiting the known memory access patterns of a DNN accelerator. GuardNN is implemented as an FPGA prototype, which demonstrates effective protection with less than 2% performance overhead for inference over a variety of modern DNN models.

연구 동기 및 목표

• 신뢰할 수 없는 환경에서 DNN 가속기의 강력하고 효율적인 하드웨어 수준 보안의 부족을 해결하기 위해.
• 신뢰 컴퓨팅 베이스(TCB)를 오직 가속기로만 줄여 시스템에 대한 신뢰를 최소화하기 위해.
• 알려진 DNN 메모리 액세스 패턴을 활용하여 불필요한 메모리 보호 오버헤드를 제거하기 위해.
• 필요하지 않은 경우 무결성 보호 비용을 지불하지 않고도 기밀성을 확보할 수 있도록 하기 위해.
• 다양한 현대 DNN 모델을 대상으로 낮은 오버헤드를 가진 FPGA 기반 프로토타입을 통해 실현 가능성 검증하기 위해.

제안 방법

• 가속기를 유일한 신뢰할 수 있는 구성요소로 격리시키기 위해 맞춤형 명령어 집합을 설계하여 TCB를 최소화하기 위해.
• 예측 가능한 DNN 메모리 액세스 패턴을 활용하여 외부 메타데이터를 대부분 제거하는 애플리케이션 특화 메모리 보호 기법을 도입하기 위해.
• 기밀성과 무결성 보호를 분리하여 선택적 적용이 가능하게 하여 오버헤드를 감소시키기 위해.
• 액세스 패턴 분석에 기반해 메모리 암호화 및 무결성 검증을 필요한 곳에만 구현하기 위해.
• 보안을 위해 외부 메타데이터에 의존하는 것의 최소화를 위해 가속기의 메모리 인터페이스를 최적화하기 위해.
• 다양한 현대 DNN 모델을 대상으로 FPGA 프로토타입을 통해 설계를 검증하기 위해.

실험 결과

연구 질문

• RQ1 DNN 가속기가 낮은 성능 오버헤드로 강력한 기밀성과 무결성 보호를 달성할 수 있는가?
• RQ2 DNN 시스템에서 신뢰 컴퓨팅 베이스(TCB)를 오직 가속기로만 줄일 수 있는가?
• RQ3 DNN 특화 액세스 패턴을 활용하면 외부 메모리 보호 메타데이터를 얼마나 제거할 수 있는가?
• RQ4 일부 워크로드에서는 무결성 보호 비용 없이도 기밀성을 보장할 수 있는가?
• RQ5 다양한 모델을 대상으로 실제 환경에서 이러한 보안 DNN 가속기의 성능 오버헤드는 어느 정도인가?

주요 결과

• GuardNN는 다양한 현대 모델에서 DNN 추론 시 2% 미만의 성능 오버헤드를 달성합니다.
• 신뢰 컴퓨팅 베이스는 오직 가속기로만 제한되어, 호스트 또는 시스템 소프트웨어에 대한 신뢰를 제거합니다.
• 애플리케이션 특화 메모리 보호 기법은 대부분의 외부 메타데이터를 제거하여 메모리 보호 오버헤드를 크게 감소시킵니다.
• 기밀성은 무결성과 별개로 보장될 수 있어 위협 모델에 따라 최적화된 배포가 가능합니다.
• FPGA 프로토타입은 강력한 보안과 높은 성능이 DNN 가속기에서 공존할 수 있음을 입증합니다.
• 이 설계는 신뢰할 수 없는 환경에서 사용자 데이터 및 모델 파라미터를 효과적으로 보호합니다.