Verifiable and Confidential DNN Inference on Low-End Edge Devices

Resumen Técnico: VECODI

Declaración del Problema

El despliegue de la inferencia de Redes Neuronales Profundas (DNN) en dispositivos periféricos (edge) de gama baja (por ejemplo, microcontroladores) presenta dos desafíos conflictivos: garantizar la confidencialidad del modelo contra sistemas periféricos comprometidos y permitir la inferencia verificable sin incurrir en una sobrecarga prohibitiva.

Las soluciones existentes enfrentan limitaciones significativas:

1. Particionamiento de DNN Protegido por TEE (TSDP): Aunque estos enfoques protegen las capas sensibles del modelo dentro de Entornos de Ejecución Confiables (TEE), requieren colocar el código de inferencia y las librerías directamente en el Mundo Seguro (Secure World), lo que aumenta significativamente la Base de Computación Confiable (TCB), incrementa la superficie de ataque y sobrecarga la memoria limitada de los dispositivos de gama baja.
2. Ejecución Completa en TEE: Ejecutar todo el pipeline en el TEE suele ser inviable debido a las restricciones de memoria (la RAM Segura es típicamente de decenas de kilobytes, mientras que las DNN requieren megabytes).
3. Ejecución No Confiable: La ejecución íntegramente en el Mundo Normal (Non-Secure World) no ofrece protección contra la extracción de modelos o la suplantación de resultados por parte de malware.

Además, los enfoques actuales a menudo no abordan los ataques de extracción de modelos (donde los adversarios reconstruyen modelos mediante consultas de inferencia) o introducen una sobrecarga computacional excesiva mediante pruebas criptográficas, lo que los hace inadecuados para dispositivos periféricos con restricciones de potencia.

Metodología

Los autores proponen VECODI, un marco para la inferencia de DNN verificable y confidencial en plataformas ARM TrustZone-M. La innovación central es un nuevo modelo de abstracción de ejecución llamado SHANGRI-LA.

SHANGRI-LA: Un Tercer Entorno de Ejecución

A diferencia de las arquitecturas tradicionales de TrustZone-M que separan estrictamente el Mundo Seguro (SW) y el Mundo No Seguro (NSW), SHANGRI-LA establece un tercer entorno de ejecución que reside físicamente en el Mundo No Seguro, pero opera con privilegios elevados impuestos por el Mundo Seguro.

• Modelo de Privilegios: SHANGRI-LA posee privilegios estrictamente intermedios entre el Mundo Seguro y el Mundo No Seguro. Está protegido del Mundo No Seguro (evitando la manipulación de código/datos) pero no puede interferir con los componentes del Mundo Seguro.
• Gestión de Memoria: El código y los datos de SHANGRI-LA residen en la RAM No Segura. Sin embargo, durante la fase de Creación (Create), el Mundo Seguro marca temporalmente estas regiones como Seguras para evitar el acceso. Justo antes de la ejecución, la API Ejecutar (Execute) las vuelve a marcar atómicamente como No Seguras, permitiendo que el código se ejecute en el Mundo Normal manteniendo la aislación de otros procesos No Seguros.
• Acceso al Hardware: SHANGRI-LA conserva el acceso directo a los periféricos de E/S de hardware, asegurando que la adquisición de datos de sensores no pueda ser interceptada o manipulada por el Mundo Normal.

Protocolo VECODI

VECODI orquesta las interacciones entre cuatro partes interesadas: un Proveedor de Modelo (PVD), un Dispositivo Periférico (DEV), un Consumidor de Modelo (CSM) y un Verificador (VRF). El protocolo consta de cuatro etapas:

1. Provisión (I1): El PVD particiona el modelo DNN en un componente público ($M_{pub}$) y un componente privado ($M_{pri}$). $M_{pri}$ está cifrado. El código de inferencia ($F$), $M_{pub}$ y el $M_{pri}$ cifrado se instalan en el Mundo Normal. Los metadatos y las claves se provisionan al Mundo Seguro mediante la API Provision.
2. Autorización (I2): El CSM solicita acceso al PVD. El PVD emite un token de autorización firmado ($T_{CSM}$) que especifica los límites de uso. El Mundo Seguro del DEV actualiza la política de la instancia de SHANGRI-LA mediante la API Authorize.
3. Inferencia (I3): El CSM invoca la API Create para instanciar SHANGRI-LA. Luego llama a Execute, proporcionando un token firmado. El Mundo Seguro valida la solicitud, cambia la memoria de SHANGRI-LA a No Segura y ejecuta $F$. $F$ recupera los datos brutos de los sensores, realiza la inferencia usando $M$ y genera un resultado ($Out_F$).
4. Verificación (I4): Si se solicita, el Mundo Seguro genera una Prueba de Ejecución (PoX) ($T_{proof}$) firmada con la clave de atestación del dispositivo. Esta prueba vincula la entrada, el ID de modelo específico, la instancia de ejecución y el resultado. El VRF valida esta prueba sin necesidad de acceder a los datos de entrada brutos.

Mecanismos Clave de Seguridad

• Confidencialidad: $M_{pri}$ está cifrado en la Flash y solo se descifra en la RAM No Segura protegida durante la ejecución. El Mundo Seguro garantiza que ningún otro código No Seguro pueda acceder a esta memoria.
• Verificabilidad: El mecanismo PoX garantiza que el resultado fue producido por el código correcto ($F$) en el modelo correcto ($M$) utilizando entradas de sensores auténticas, sin revelar las entradas brutas al verificador.
• Anti-Extracción: La API Authorize impone límites de uso estrictos, mitigando los ataques de extracción de modelos que dependen de consultas de inferencia de alta frecuencia.

Contribuciones Clave

1. Abstracción SHANGRI-LA: La introducción de un entorno de ejecución ligero y tercero en TrustZone-M que proporciona aislamiento del Mundo Normal sin requerir la ejecución del código de inferencia dentro del Mundo Seguro. Esto permite a desarrolladores terceros desplegar aplicaciones confiables sin modificar los componentes principales del Mundo Seguro.
2. Inferencia Segura y Verificable: Un protocolo completo (VECODI) que logra la confidencialidad del modelo y la inferencia verificable en dispositivos de gama baja. Combina SHANGRI-LA con un mecanismo de autorización de inferencia y un esquema de prueba de ejecución que preserva la privacidad de la entrada.
3. Implementación Práctica: Una implementación prototípica en una placa de desarrollo NUCLEO-L552ZE-Q (ARM Cortex-M33) que demuestra la viabilidad del enfoque en hardware con recursos limitados.

Resultados y Evaluación

Los autores evaluaron VECODI frente a un baseline donde el código de inferencia se ejecuta enteramente en el Mundo Seguro (diseño D2) y un baseline No Seguro.

• Reducción de la TCB: VECODI reduce la TCB del Mundo Seguro en un 95.64% (de 34,865 líneas de código a 1,523 LOC). Crucialmente, el tamaño de la TCB es independiente del código de inferencia o la arquitectura del modelo, a diferencia de enfoques previos donde la TCB crece con la aplicación.
• Huella de Memoria: Al mantener el componente público del modelo ($M_{pub}$) en el Mundo Normal y solo duplicar el componente privado ($M_{pri}$) en la RAM No Segura protegida, VECODI evita la necesidad de almacenar todo el modelo en texto plano en la RAM Segura, lo cual suele exceder la capacidad de los dispositivos de gama baja.
• Sobrecarga de Tiempo de Ejecución: VECODI incurre en una sobrecarga de tiempo de ejecución de solo 0.83 ms (0.07%) en comparación con un baseline No Seguro. La generación de la prueba añade aproximadamente 230 ms, pero esto es comparable al costo de firma requerido en sistemas seguros base para autenticar el dispositivo.
• Caso de Estudio: En un escenario de clasificación de imágenes basado en cámara, VECODI mantuvo una latencia promedio de 1428.42 ms por inferencia, mostrando una sobrecarga insignificante comparada con el baseline (1427.57 ms).

Significado y Reivindicaciones

El artículo afirma que VECODI representa una solución práctica para la inferencia de DNN segura en dispositivos periféricos de gama baja al cambiar fundamentalmente el modelo de ejecución. Mediendo la introducción de SHANGRI-LA, los autores demuestran que es posible:

1. Desacoplar el código de inferencia de la Base de Computación Confiable, minimizando así la superficie de ataque y el tamaño de la TCB.
2. Habilitar la inferencia verificable y la confidencialidad del modelo sin requerir características de hardware de alto nivel (como MMUs) o incurrir en penalizaciones de rendimiento prohibitivas.
3. Soportar las estrategias existentes de Particionamiento de DNN Protegido por TEE sin modificaciones, convirtiéndolo en una mejora directa para las arquitecturas de seguridad actuales en el borde.

Los autores sostienen que SHANGRI-LA es de interés independiente más allá de la inferencia de DNN, ya que permite el despliegue de aplicaciones confiables arbitrarias en dispositivos TrustZone-M sin alterar el núcleo del Mundo Seguro, abordando un vacío en las abstracciones de seguridad actuales para sistemas de gama baja.