[论文解读] GuardNN: Secure DNN Accelerator for Privacy-Preserving Deep Learning.

Weizhe Hua, Muhammad Umar+2 more|arXiv (Cornell University)|Aug 26, 2020

Adversarial Robustness in Machine Learning参考文献 62被引用 13

一句话总结

GuardNN 是一种硬件保护的 DNN 加速器，可在不受信任的环境中确保用户数据和模型参数的强保密性和完整性。通过定制其指令集并使用特定应用的内存保护机制，GuardNN 将信任范围缩小至仅加速器本身，在现代 DNN 模型上实现了低于 2% 的性能开销。

ABSTRACT

This paper proposes GuardNN, a secure deep neural network (DNN) accelerator, which provides strong hardware-based protection for user data and model parameters even in an untrusted environment. GuardNN shows that the architecture and protection can be customized for a specific application to provide strong confidentiality and integrity protection with negligible overhead. The design of the GuardNN instruction set reduces the TCB to just the accelerator and enables confidentiality protection without the overhead of integrity protection. GuardNN also introduces a new application-specific memory protection scheme to minimize the overhead of memory encryption and integrity verification. The scheme shows that most of the off-chip meta-data in today's state-of-the-art memory protection can be removed by exploiting the known memory access patterns of a DNN accelerator. GuardNN is implemented as an FPGA prototype, which demonstrates effective protection with less than 2% performance overhead for inference over a variety of modern DNN models.

研究动机与目标

• 解决在不受信任环境中 DNN 加速器缺乏强效、高效的硬件级安全保护的问题。
• 通过将受信任计算基（TCB）缩小至仅加速器，最小化系统中的信任范围。
• 通过利用已知的 DNN 内存访问模式，消除不必要的内存保护开销。
• 在无需完整性保护的场景中，实现保密性保护而不承担完整性保护的成本。
• 通过低开销的 FPGA 原型，证明其实际可行性。

提出的方法

• 设计一种自定义指令集，将加速器作为唯一受信任组件，从而最小化受信任计算基（TCB）。
• 引入一种特定应用的内存保护机制，通过利用可预测的 DNN 内存访问模式，消除大部分外部内存元数据。
• 将保密性和完整性保护分离，实现选择性强制执行，从而降低开销。
• 仅在必要时实施内存加密和完整性验证，基于访问模式分析进行决策。
• 优化加速器的内存接口，减少对外部元数据在安全机制中的依赖。
• 通过在多种现代 DNN 模型上运行的 FPGA 原型，验证设计的有效性。

实验结果

研究问题

• RQ1 DNN 加速器能否在极低性能开销下实现强保密性和完整性保护？
• RQ2 如何在 DNN 系统中将受信任计算基（TCB）缩小至仅加速器？
• RQ3 通过利用 DNN 特定的访问模式，能在多大程度上消除内存保护中的外部元数据？
• RQ4 在某些工作负载中，能否在不承担完整性保护成本的前提下实现保密性保护？
• RQ5 此类安全 DNN 加速器在多样化模型上的实际性能开销是多少？

主要发现

• GuardNN 在多种现代模型上实现 DNN 推理时，性能开销低于 2%。
• 受信任计算基被缩小至仅加速器，消除了对主机或系统软件的信任。
• 特定应用的内存保护机制消除了大部分外部元数据，显著降低了内存保护开销。
• 保密性可独立于完整性进行保护，从而根据威胁模型实现优化部署。
• FPGA 原型表明，强安全性和高性能在 DNN 加速器中可以兼容。
• 该设计能有效保护不受信任环境中用户数据和模型参数的安全。