[论文解读] SESAME: Software defined Enclaves to Secure Inference Accelerators with Multi-tenant Execution

Sarbartha Banerjee, Prakash Ramrakhyani+2 more|arXiv (Cornell University)|Jul 14, 2020

Security and Verification in Computing参考文献 57被引用 6

一句话总结

SESAME 为多租户推理加速器引入了软件定义的飞地（SDE），通过使用经过编译器调优的私有队列和流量整形器，在实现特定威胁模型安全性的前提下，性能开销范围为 3.96% 至 34.87%。该框架实现了计算非干扰性，并防止了基于 DAE 的加速器在 VGG、ResNet 和 AlexNet 等模型上的侧信道泄露。

ABSTRACT

Hardware-enclaves that target complex CPU designs compromise both security and performance. Programs have little control over micro-architecture, which leads to side-channel leaks, and then have to be transformed to have worst-case control- and data-flow behaviors and thus incur considerable slowdown. We propose to address these security and performance problems by bringing enclaves into the realm of accelerator-rich architectures. The key idea is to construct software-defined enclaves (SDEs) where the protections and slowdown are tied to an application-defined threat model and tuned by a compiler for the accelerator's specific domain. This vertically integrated approach requires new hardware data-structures to partition, clear, and shape the utilization of hardware resources; and a compiler that instantiates and schedules these data-structures to create multi-tenant enclaves on accelerators. We demonstrate our ideas with a comprehensive prototype -- Sesame -- that includes modifications to compiler, ISA, and microarchitecture to a decoupled access execute (DAE) accelerator framework for deep learning models. Our security evaluation shows that classifiers that could distinguish different layers in VGG, ResNet, and AlexNet, fail to do so when run using Sesame. Our synthesizable hardware prototype (on a Xilinx Pynq board) demonstrates how the compiler and micro-architecture enables threat-model-specific trade-offs in code size increase ranging from 3-7 $\%$ and run-time performance overhead for specific defenses ranging from 3.96$\%$ to 34.87$\%$ (across confidential inputs and models and single vs. multi-tenant systems).

研究动机与目标

• 解决现有加速器硬件飞地中存在的性能与安全性权衡问题，这些问题由于最坏情况假设而引发侧信道泄露和高开销。
• 弥合通用 CPU 密钥计算与加速器丰富的架构之间的差距，实现在领域专用加速器上安全高效的推理。
• 在飞地中实现应用特定的威胁建模，使性能与安全性能够根据实际威胁模型动态扩展，而非强制采用统一的保护机制。
• 在 RTL 层次设计并集成新型硬件数据结构——私有队列和流量整形器，以防止通过竞争和观察通道引发的侧信道泄露。
• 证明 SDE 可通过编译器栈自动生成，该栈能够调度并标注代码以实现安全性，同时优化性能与资源利用率。

提出的方法

• 提出一个垂直集成的堆栈，结合编译器、ISA 扩展和对解耦访问-执行（DAE）加速器框架的微架构修改。
• 设计两种新的 RTL 数据结构：私有队列用于划分共享硬件资源，防止竞争通道泄露；流量整形器用于将观察通道与敏感数据解耦。
• 支持编译器自动调优，生成能最大化性能的分块调度方案，同时确保敏感信息不会通过执行差异性或内存访问模式泄露。
• 支持软件可配置的流量整形器，相比纯硬件混淆机制更为简单，其依赖于编译时学习的程序阶段感知的流量分布。
• 通过 ISA 扩展和驱动级配置集成特定威胁模型的防御机制，如私有队列和流量整形，实现基于部署上下文的动态调优。
• 使用可综合的 RTL 原型（在 Xilinx Pynq 上实现）评估多租户场景（时间共享与空间共享）下的性能与安全性，涵盖 VGG、ResNet 和 AlexNet 等真实世界模型。

实验结果

研究问题

• RQ1 软件定义的飞境能否有效应用于领域专用加速器，以在保持强安全性保证的同时降低性能开销？
• RQ2 如何在 RTL 和编译器层面协同设计私有队列与流量整形器，以防止多租户加速器执行中的侧信道泄露？
• RQ3 与通用 TEE 中采用整体性、最坏情况安全假设相比，威胁模型特定的安全调优能在多大程度上降低性能开销？
• RQ4 在多租户推理中，性能开销如何随不同威胁模型（如片上 vs. 片外可见性）和共享模式（时间共享 vs. 空间共享）而变化？
• RQ5 所提出的框架能否防止分类器区分深度学习模型的不同层，从而证明其对侧信道分析具备抵抗力？

主要发现

• Sesame 有效防止了侧信道分类器对 VGG、ResNet 和 AlexNet 模型各层的区分，证明了对片上和片外信号泄露的有效防护。
• 在时间共享模式下，性能开销范围为 3.77% 至 25.81%（使用 QARMA128）和 4.92% 至 34.87%（使用 AES128 加密），具体取决于威胁模型和模型复杂度。
• 在空间共享模式下，当资源被四名租户平均划分时，开销更低（使用 QARMA128 时为 3.31% 至 12.78%，使用 AES128 时为 4.86% 至 16.73%），尤其在 AlexNet 和 VGG 等大模型中更为显著，因为这些模型的内存带宽已成瓶颈。
• 由于编译器标注和硬件实例化，代码大小增加了 3% 至 7%，与通用 TEE 中最坏情况安全性的性能代价相比可忽略不计。
• 流量整形单元比以往的纯硬件整形器更简单，因为它依赖于软件学习的流量模式，从而在保持强安全性的同时降低了 RTL 复杂度。
• 该框架可与其它 TEE 原原子（如加密、完整性检查和 ORAM）组合使用，未来可扩展以支持图工作负载和通用 CPU。