[논문 리뷰] Hacking the Waveform: Generalized Wireless Adversarial Deep Learning

Francesco Restuccia, Salvatore D’Oro외 5명|arXiv (Cornell University)|2020. 05. 05.

Wireless Signal Modulation Classification참고 문헌 28인용 수 5

한 줄 요약

이 논문은 무선 딥러닝 분류기를 손상시켜 탐지되지 않으면서도 낮은 왜곡을 유지하는 변형된 웨이브폼을 생성함으로써 블랙박스 적대적 공격 프레임워크인 FIRNet을 제안한다. 실제 SDR 테스트베드에서 최대 97%의 오도율을 달성하여, 채널 이상 및 디코딩 제약 조건이 존재하는 실생활 무선 환경에서도 적대적 공격이 매우 효과적임을 입증한다.

ABSTRACT

This paper advances the state of the art by proposing the first comprehensive analysis and experimental evaluation of adversarial learning attacks to wireless deep learning systems. We postulate a series of adversarial attacks, and formulate a Generalized Wireless Adversarial Machine Learning Problem (GWAP) where we analyze the combined effect of the wireless channel and the adversarial waveform on the efficacy of the attacks. We propose a new neural network architecture called FIRNet, which can be trained to "hack" a classifier based only on its output. We extensively evaluate the performance on (i) a 1,000-device radio fingerprinting dataset, and (ii) a 24-class modulation dataset. Results obtained with several channel conditions show that our algorithms can decrease the classifier accuracy up to 3x. We also experimentally evaluate FIRNet on a radio testbed, and show that our data-driven blackbox approach can confuse the classifier up to 97% while keeping the waveform distortion to a minimum.

연구 동기 및 목표

• 시간에 따라 변하는 채널 조건과 웨이브폼 디코딩 가능성에 의해 제약을 받는 실세계 무선 환경에서 적대적 기계학습(AML)의 실현 가능성과 영향을 조사하기 위해.
• 기존 AML 연구에서의 격차를 보완하기 위해, 무선 채널 상태와 적대적 웨이브폼 왜곡의 병합된 영향을 고려하여 분류기의 강인성에 영향을 미치는 요소를 모델링하기 위해.
• 모델 내부 파rameter에 대한 접근 없이도 출력 피드백만을 사용하여 딥러닝 분류기를 조작할 수 있는 데이터 기반의 블랙박스 공격 방법을 개발하기 위해.
• 소프트웨어 정의 무선(SDR) 테스트베드를 사용하여 실제 하드웨어 조건 하에서 제안된 공격의 효과성을 검증하기 위해.

제안 방법

• 공격 효율성을 평가하기 위해 무선 채널과 적대적 웨이브폼 왜곡을 함께 모델링하는 일반화된 무선 적대적 기계학습 문제(GWAP)를 제안한다.
• 분류기의 출력 로짓에서만 역전파를 수행함으로써 적대적 I/Q 샘플을 생성할 수 있도록 설계된 단일 FIR 레이어를 갖는 신경망 아키텍처인 FIRNet을 도입한다.
• 공격자가 모델에 대한 액세스 없이도 공격를 수행할 수 있도록, 공격자가 분류기의 예측 점수만을 사용하여 FIRNet을 훈련시키는 블랙박스 최적화 전략을 채택한다.
• 목표 클래스 확률과 적대적 예측 간의 교차 엔트로피 기반 손실 함수를 사용하며, 웨이브폼 왜곡을 제한하기 위해 L2 정규화를 적용한다.
• 실제 성능 평가를 위해 64개의 옴니-방향성 안테나와 2.4–2.5 GHz 및 4.9–5.9 GHz 대역에서 작동하는 SDR를 사용하는 테스트베드를 활용한다.
• 640개의 I/Q 샘플을 5대의 동일한 USRP N210 라디오에서 수집하여 훈련한 TNN 기반의 라디오 지문 분류 시스템을 대상으로, 6개의 OFDM 심볼을 입력으로 사용하는 타겟 공격을 수행한다.

실험 결과

연구 질문

• RQ1 시간에 따라 변하는 채널 조건과 디코딩 제약 조건이 존재하는 실세계 무선 환경에서도 적대적 기계학습 공격가 성공적으로 수행될 수 있는가?
• RQ2 채널 영향과 웨이브폼 왜곡이 무선 딥러닝 분류기의 적대적 공격 성공률에 어떻게 동시에 영향을 미치는가?
• RQ3 내부 아키텍처에 대한 지식 없이 출력 피드백만을 사용하는 블랙박스 공격자가 무선 분류기를 얼마나 효과적으로 조작할 수 있는가?
• RQ4 실제 SDR 구현 환경에서 적대적 웨이브폼 합성으로 달성 가능한 최대 오도율은 얼마이며, 간단한 재생 공격과 비교해 볼 때 어떤가?

주요 결과

• 제안된 FIRNet 공격는 실제 SDR 테스트베드에서 97%의 오도율을 달성하였으며, 단순한 재생 공격의 30% 오도율을 크게 초월한다.
• ε = 10 및 20개의 FIR 탭을 사용할 경우, FIRNet은 기준 재생 공격 대비 60퍼센트포인트 향상된 97%의 오도율을 확보한다.
• 낮은 왜곡(평균 FIR 탭 값이 1 이하) 조건에서도 FIRNet은 앰플리튜드를 미세하게 수정함으로써 분류기를 성공적으로 조작하였으며, 위상과 디코딩 무결성은 유지하였다.
• 다양한 채널 조건 하에서도 공격가 효과적으로 유지되며, 적대적 왜곡이 무선 전파를 통과하더라도 딥러닝 분류기를 오도시킬 수 있음을 입증하였다.
• 실험 결과, ε와 FIR 탭 수를 증가시키면 공격 성공률이 크게 향상됨을 확인하였으며, 이는 적대적 웨이브폼 설계에서 이 두 요소가 핵심적인 역할을 함을 확인한다.
• 웨이브폼 분석 결과, 수정 사항은 앰플리튜드에 국한되며, OOK 변조 특성을 유지하고 비트 오류율(BER)을 증가시키지 않음을 확인하였다.