[论文解读] BoMaNet: Boolean Masking of an Entire Neural Network

Anuj Dubey, Rosario Cammarota+1 more|arXiv (Cornell University)|Jun 16, 2020

Physical Unclonable Functions (PUFs) and Hardware Security参考文献 70被引用 6

一句话总结

该论文提出 BoMaNet，首个在门级使用布尔掩码防御基于功耗的侧信道攻击的全掩码神经网络推理引擎。通过设计用于线性和非线性运算的新颖掩码原原子，包括具备单周期吞吐量的流水线掩码加法器和用于 BNN 的安全掩码查找表，该引擎在 FPGA 上仅带来 3.5% 的延迟开销和 5.9 倍的面积开销，实现了第一级安全防护。

ABSTRACT

Recent work on stealing machine learning (ML) models from inference engines with physical side-channel attacks warrant an urgent need for effective side-channel defenses. This work proposes the first $ extit{fully-masked}$ neural network inference engine design. Masking uses secure multi-party computation to split the secrets into random shares and to decorrelate the statistical relation of secret-dependent computations to side-channels (e.g., the power draw). In this work, we construct secure hardware primitives to mask $ extit{all}$ the linear and non-linear operations in a neural network. We address the challenge of masking integer addition by converting each addition into a sequence of XOR and AND gates and by augmenting Trichina's secure Boolean masking style. We improve the traditional Trichina's AND gates by adding pipelining elements for better glitch-resistance and we architect the whole design to sustain a throughput of 1 masked addition per cycle. We implement the proposed secure inference engine on a Xilinx Spartan-6 (XC6SLX75) FPGA. The results show that masking incurs an overhead of 3.5\% in latency and 5.9$ imes$ in area. Finally, we demonstrate the security of the masked design with 2M traces.

研究动机与目标

• 为应对机器学习模型日益增长的物理侧信道攻击威胁，特别是通过功耗分析实施的模型盗取攻击。
• 设计一种全掩码神经网络加速器，保护所有运算——线性和非线性——免受侧信道泄露影响。
• 解决在神经网络推理硬件中对整数算术（尤其是加法）进行掩码处理的挑战。
• 在 FPGA 上实现一个安全、高吞吐量的掩码推理引擎，以进行实际评估与验证。
• 通过 TVLA 方法证明设计在高达 200 万条功耗轨迹下具备第一级安全性。

提出的方法

• 作者采用基于安全多方计算的布尔掩码，将秘密拆分为随机份额，从而将侧信道泄露与依赖秘密的计算解耦。
• 采用 Trichina 的掩码风格，将整数加法转换为异或（XOR）和与（AND）门的序列，并通过流水线 AND 门提升抗跳变能力。
• 设计了一种新型 20 位掩码全加法器，通过反馈和流水线结构，即使在多周期计算下也能实现每周期一次掩码加法。
• 设计包括用于非线性运算（如 ReLU 和 softmax）的掩码查找表（LUT），以及用于输出层置信度选择的掩码最大值查找单元。
• 整个系统由低级原原子（如 Trichina 的 AND 门）模块化构建，并通过流水线化设计以保持高吞吐量。
• 实现目标为二值化神经网络（BNN）以提升面积效率，并在 Xilinx Spartan-6 FPGA 上进行评估。

实验结果

研究问题

• RQ1 能否设计出一个全掩码神经网络推理引擎，以保护所有线性和非线性运算免受侧信道泄露影响？
• RQ2 如何仅使用布尔逻辑在硬件中安全地掩码整数加法，避免符号位泄露？
• RQ3 与未掩码基线相比，掩码整个神经网络带来的性能和面积开销是多少？
• RQ4 尽管存在掩码运算的复杂性和多周期操作，掩码设计能否保持高吞吐量？
• RQ5 该掩码设计在高达 200 万条轨迹下是否具备对差分功耗分析的第一级安全性？

主要发现

• 所提出的 BoMaNet 在基于功耗的侧信道攻击下实现了第一级安全性，在使用高达 200 万条功耗轨迹的 TVLA 评估中未检测到任何泄露。
• 与未掩码基线相比，BoMaNet 在 Xilinx Spartan-6 FPGA 上仅带来 3.5% 的推理延迟增加。
• 掩码设计的面积开销为未掩码设计的 5.9 倍，表明该设计在安全性和资源使用之间实现了实用的权衡。
• 掩码加法器架构通过流水线和反馈机制，实现了每周期一次掩码加法，即使在多周期计算下也能保持高吞吐量。
• 该设计成功掩码了关键运算，如加权求和、ReLU 和最大值选择，这些运算在 BNN 推理中至关重要。
• 评估结果表明，由于采样率高且轨迹数据量大，采集 200 万条轨迹耗时长达一周，凸显了大规模侧信道测试的挑战。