Influence of Parallelism in Vector-Multiplication Units on Correlation Power Analysis

Planteamiento del Problema
El despliegue creciente de Redes Neuronales (NN) en dispositivos periféricos (edge) con recursos limitados introduce riesgos significativos de seguridad relacionados con la confidencialidad del modelo. Aunque los aceleradores de hardware se utilizan comúnmente para mejorar el rendimiento de la inferencia mediante el procesamiento paralelo, también alteran las características de fuga física explotadas por el Análisis de Canal Lateral (SCA). Específicamente, los ataques de Análisis de Correlación de Potencia (CPA), que tradicionalmente se dirigen a implementaciones secuenciales o no altamente paralelizadas, enfrentan nuevos desafíos cuando se aplican a unidades de multiplicación vectorial donde múltiples neuronas procesan la misma entrada simultáneamente. Investigaciones existentes indican que el consumo de potencia global o las emisiones electromagnéticas (EM) pueden ser insuficientes para la extracción de parámetros en aceleradores altamente paralelos; sin embargo, ha faltado un análisis formal sobre cómo el grado de paralelismo degrada cuantitativamente la tasa de éxito de CPA. El problema central abordado es determinar el umbral de paralelismo más allá del cual el CPA basado en potencia global se vuelve inviable para la extracción de pesos de neuronas en capas totalmente conectadas.

Metodología
Los autores emplean un enfoque combinado, tanto teórico como experimental, para modelar el impacto del paralelismo en el éxito de CPA:

1. Modelado Teórico:

   • Modelo de Potencia: El estudio modela el consumo de potencia total ($P_{total}$) de una unidad de multiplicación vectorial que consiste en un arreglo de Elementos de Procesamiento (PE). Se asume un escenario idealizado donde los componentes constantes y de ruido se minimizan, centrándose en los componentes dependientes de los datos ($P_{data}$) y dependientes de la operación ($P_{op}$).
   • Dependencia Estadística: A diferencia de los algoritmos criptográficos donde los componentes paralelos suelen procesar datos independientes, el estudio señala que en la multiplicación vectorial de NN, todos los PE procesan el mismo valor de entrada simultáneamente pero con diferentes pesos. Esto crea una dependencia estadística entre el consumo de potencia de los diferentes PE.
   • Análisis de Correlación: Los autores derivan ecuaciones para describir el coeficiente de correlación ($\rho$) entre una hipótesis de peso correcta y el consumo de potencia total en función del número de PE paralelos ($n_{PE}$). Utilizan modelos de Peso de Hamming (HW) y Distancia de Hamming (HD) para simular trazas de potencia para resultados intermedios.
   • Relación Señal-Ruido (SNR): El estudio analiza la relación entre la SNR y el éxito de CPA, estableciendo un límite donde la correlación de la hipótesis correcta cae por debajo de la de las hipótesis incorrectas.

2. Validación Experimental:

   • Implementación de Hardware: Una unidad de multiplicación vectorial fue implementada en una FPGA Xilinx Artix-7 (Placa NewAE Technology CW305). El diseño permite el ajuste dinámico del número de PE paralelos (desde 1 hasta 64).
   • Parámetros: El sistema utiliza pesos y entradas cuantizados de 8 bits, con registros de 32 bits para resultados intermedios. La FPGA opera a 1 MHz para evitar el solapamiento del consumo de potencia entre ciclos de reloj.
   • Medición: El consumo de potencia se midió a través de una resistencia shunt y se amplificó, muestreado a 625 MHz. El ataque tiene como objetivo la extracción de los pesos procesados por un PE específico mientras otros PE operan en paralelo con diferentes pesos.
   • Estrategia de Ataque: Los autores prueban CPA en diferentes puntos temporales ($\tau$) dentro de la secuencia de la operación MAC (Multiplicación y Acumulación), apuntando específicamente a la primera multiplicación ($\tau=0$) y a los cambios de registro subsiguientes ($\tau=1, \tau=7$).

Contribuciones Clave

1. Descripción del Comportamiento Teórico: El artículo proporciona una descripción teórica de cómo el procesamiento de datos en paralelo en las unidades de multiplicación vectorial afecta el consumo de potencia, destacando específicamente la dependencia estadística introducida por las entradas compartidas.
2. Cuantificación del Impacto del Paralelismo: Los autores derivan ecuaciones (específicamente la Ec. 7 y sus variantes) que describen la disminución exponencial en el coeficiente de correlación para la hipótesis de peso correcta a medida que aumenta el número de PE paralelos.
3. Umbral de Viabilidad: El estudio establece un límite práctico para la viabilidad de CPA. Identifica que, para la implementación probada, el CPA basado en potencia global falla cuando 8 o más PE operan en paralelo, mientras que los modelos teóricos sugieren un umbral ligeramente superior (alred alrededor de 15 PE) bajo condiciones idealizadas.
4. Validación de las Ecuaciones: Las ecuaciones derivadas que describen la caída de la correlación se validan contra mediciones prácticas de la FPGA, mostrando una aproximación cercana entre los datos simulados y medidos.

Resultos

• Decaimiento de la Correlación: A medida que aumenta el número de PE paralelos, el coeficiente de correlación para la hipótesis correcta disminuye exponencialmente. El estudio proporciona funciones de interpolación específicas para diferentes puntos temporales ($\tau=0, 3, 7$).
• Umbral de Viabilidad del Ataque:
  • Teórico: La correlación de la hipótesis correcta sigue siendo distinguible de las hipótesis incorrectas hasta aproximadamente 15 PE paralelos. Más allá de esto, la SNR cae por debajo del umbral necesario (aprox. 0.045 en promedio, 0.1 en el peor de los casos).
  • Experimental: Las mediciones prácticas en la FPGA muestran que el ataque se vuelve inviable con tan solo 8 PE paralelos. En este punto, la SNR cae por debajo de ~0.02, y las hipótesis incorrectas comienzan a exhibir coeficientes de correlación más altos que la correcta.
• Sensibilidad del Punto Temporal: Apuntar a operaciones MAC posteriores (por ejemplo, $\tau=7$) ofrece una robustez ligeramente mayor que apuntar a la primera multiplicación ($\tau=0$) debido a que los resultados intermedios se vuelven más disjuntos. Sin embargo, incluso con puntos temporales posteriores, el ataque falla más allá de 8 PE paralelos en la configuración experimental.
• Distribución de Entrada: El estudio confirma que la distribución estadística de los pesos (uniforme vs. normal) no impacta significativamente la tasa de éxito del CPA, ya que el ataque depende de la dependencia estadística de la entrada más que de los valores específicos de los pesos.

Significancia y Reivindicaciones
El artículo afirma proporcionar el primer análisis detallado de cómo las multiplicaciones vectoriales paralelas en los aceleradores de IA afectan el éxito de los ataques de canal lateral basados en correlación. Su principal significancia radica en definir los límites del análisis de potencia global para la extracción de NN:

• Demuestra que el consumo de potencia global es insuficiente para extraer pesos de unidades de multiplicación vectorial con alto paralelismo (específicamente $\ge 8$ PE en la configuración probada).
• Establece que, para tales aceleradores altamente paralelos, se requieren mediciones EM localizadas para aislar la fuga de los PE individuales (específicamente, sondas capaces de resolver no más de 4–15 PE, dependiendo de la SNR específica y el paralelismo).
• Las ecuaciones derivadas permiten a los diseñadores y atacantes estimar la viabilidad de los ataques CPA basándose en el grado de paralelismo en una implementación de hardware específica, sin necesidad de realizar mediciones físicas exhaustivas para cada configuración.

Los autores mantienen una postura modesta, señalando que sus hallazgos se basan en implementaciones cuantizadas específicas y supuestos de ruido idealizados, pero se espera que las tendencias observadas se mantengan para arquitecturas de multiplicación vectorial similares. Expresan explícitamente que se asume que la arquitectura en sí es extraíble por otros medios, enfocando su contribución estrictamente en la dificultad de la extracción de parámetros (pesos) mediante el análisis de potencia en entornos paralelos.