Influence of Parallelism in Vector-Multiplication Units on Correlation Power Analysis

Problematica
La crescente implementazione di Reti Neurali (NN) su dispositivi edge con risorse limitate introduce significativi rischi di sicurezza riguardanti la riservatezza del modello. Sebbene gli acceleratori hardware siano comunemente utilizzati per migliorare le prestazioni di inferenza attraverso l'elaborazione parallela, essi alterano anche le caratteristiche di fuga fisica sfruttate dall'Analisi dei Canali Laterali (SCA). Nello specifico, gli attacchi di Correlazione della Potenza (CPA), che tradizionalmente prendono di mira implementazioni sequenziali o non altamente parallelizzate, affrontano nuove sfide quando applicati alle unità di moltiplicazione vettoriale dove più neuroni elaborano lo stesso input simultaneamente. Le ricerche esistenti indicano che il consumo di potenza globale o le emissioni elettromagnetiche (EM) potrebbero essere insufficienti per l'estrazione dei parametri in acceleratori altamente paralleli, tuttavia manca un'analisi formale di come il grado di parallelismo degradi quantitativamente il tasso di successo della CPA. Il problema centrale affrontato è determinare la soglia di parallelismo oltre la quale la CPA basata sulla potenza globale diventa impraticabile per l'estrazione dei pesi dei neuroni negli strati fully-connected.

Metodologia
Gli autori impiegano un approccio combinato teorico ed sperimentale per modellare l'impatto del parallelismo sulla successione della CPA:

1. Modellazione Teorica:

   • Modello di Potenza: Lo studio modella il consumo di potenza totale ($P_{total}$) di un'unità di moltiplicazione vettoriale composta da un array di Elementi di Elaborazione (PE). Assume uno scenario idealizzato in cui i componenti costanti e di rumore sono minimizzati, concentrandosi sui componenti dipendenti dai dati ($P_{data}$) e dall'operazione ($P_{op}$).
   • Dipendenza Statistica: A differenza degli algoritmi crittografici dove i componenti paralleli spesso elaborano dati indipendenti, lo studio nota che nella moltiplicazione vettoriale delle NN, tutti i PE elaborano lo stesso valore di input simultaneamente ma con pesi diversi. Ciò crea una dipendenza statistica tra il consumo di potenza di diversi PE.
   • Analisi di Correlazione: Gli autori derivano equazioni per descrivere il coefficiente di correlazione ($\rho$) tra un'ipotesi di peso corretta e il consumo di potenza totale in funzione del numero di PE paralleli ($n_{PE}$). Utilizzano modelli di Hamming Weight (HW) e Hamming Distance (HD) per simulare le tracce di potenza per i risultati intermedi.
   • Rapporto Segnale-Rumore (SNR): Lo studio analizza la relazione tra SNR e il successo della CPA, stabilendo un confine in cui la correlazione dell'ipotesi corretta scende al di sotto di quella delle ipotesi errate.

2. Validazione Sperimentale:

   • Implementazione Hardware: Un'unità di moltiplicazione vettoriale è stata implementata su una FPGA Xilinx Artix-7 (Scheda NewAE Technology CW305). Il design consente la regolazione dinamica del numero di PE paralleli (da 1 fino a 64).
   • Parametri: Il sistema utilizza pesi e input quantizzati a 8 bit, con registri a 32 bit per i risultati intermedi. La FPGA opera a 1 MHz per prevenire la sovrapposizione del consumo di potenza tra i cicli di clock.
   • Misurazione: Il consumo di potenza è stato misurato tramite un resistore di shunt e amplificato, campionato a 625 MHz. L'attacco mira all'estrazione dei pesi elaborati da un PE specifico mentre altri PE operano in parallelo con pesi differenti.
   • Strategia di Attacco: Gli autori testano la CPA a diversi punti temporali ($\tau$) all'interno della sequenza di operazione MAC, prendendo di mira specificamente la prima moltiplicazione ($\tau=0$) e le successive commutazioni dei registri ($\tau=1, \tau=7$).

Contributi Chiave

1. Descrizione Comportamentale Teorica: Il documento fornisce una descrizione teorica di come l'elaborazione di dati paralleli nelle unità di moltiplicazione vettoriale influenzi il consumo di potenza, evidenziando in particolare la dipendenza statistica introdotta dall'input condiviso.
2. Quantificazione dell'Impatto del Parallelismo: Gli autori derivano equazioni (specificamente l'Eq. 7 e le sue varianti) che descrivono la diminuzione esponenziale del coefficiente di correlazione per l'ipotesi del peso corretto all'aumentare del numero di PE paralleli.
3. Confine di Fattibilità: Lo studio stabilisce un confine pratico per la fattibilità della CPA. Identifica che, per l'implementazione testata, la CPA basata sulla potenza globale fallisce quando 8 o più PE operano in parallelo, mentre i modelli teorici suggeriscono una soglia leggermente superiore (circa 15 PE) in condizioni idealizzate.
4. Validazione delle Equazioni: Le equazioni derivate che descrivono il decadimento della correlazione sono validate rispetto a misurazioni pratiche su FPGA, mostrando un'approssimazione stretta tra i dati simulati e quelli misurati.

Risultati

• Decadimento della Correlazione: All'aumentare del numero di PE paralleli, il coefficiente di correlazione per l'ipotesi corretta diminuisce esponenzialmente. Lo studio fornisce funzioni di interpolazione specifiche per diversi punti temporali ($\tau=0, 3, 7$).
• Soglia di Fattibilità dell'Attacco:
  • Teorica: La correlazione dell'ipotesi corretta rimane distinguibile dalle ipotesi errate fino a circa 15 PE paralleli. Oltre questo punto, l'SNR scende al di sotto della soglia necessaria (circa 0,045 in media, 0,1 nei casi peggiori).
  • Sperimentale: Le misurazioni pratiche sulla FPGA mostrano che l'attacco diventa impraticabile con soli 8 PE paralleli. A questo punto, l'SNR scende sotto lo 0,02 e le ipotesi errate iniziano a mostrare coefficienti di correlazione superiori a quello corretto.
• Sensibilità del Punto Temporale: Il targeting di operazioni MAC successive (ad es. $\tau=7$) offre una robustezza leggermente superiore rispetto al targeting della prima moltiplicazione ($\tau=0$) perché i risultati intermedi diventano più disgiunti. Tuttavia, anche con punti temporali successivi, l'attacco fallisce oltre gli 8 PE paralleli nella configurazione sperimentale.
• Distribuzione dell'Input: Lo studio conferma che la distribuzione statistica dei pesi (uniforme vs normale) non influenza significativamente il tasso di successo della CPA, poiché l'attacco si basa sulla dipendenza statistica dell'input piuttosto che sui valori specifici dei pesi.

Significatività e Rivendicazioni
Il documento sostiene di fornire la prima analisi dettagliata di come le moltiplicazioni vettoriali parallele negli acceleratori AI influenzino il successo degli attacchi side-channel basati sulla correlazione. La sua importanza primaria risiede nel definire i limiti dell'analisi della potenza globale per l'estrazione di NN:

• Dimostra che il consumo di potenza globale è insufficiente per estrarre i pesi dalle unità di moltiplicazione vettoriale con alto parallelismo (specificamente $\ge 8$ PE nella configurazione testata).
• Stabilisce che, per tali acceleratori altamente paralleli, sono necessarie misurazioni EM localizzate per isolare la fuga di singoli PE (specificamente, sonde capaci di risolvere non più di 4–15 PE, a seconda del relativo SNR e parallelismo).
• Le equazioni derivate permettono ai progettisti e agli attaccanti di stimare la fattibilità degli attacchi CPA basandosi sul grado di parallelismo in una specifica implementazione hardware, senza dover eseguire misurazioni fisiche esaustive per ogni configurazione.

Gli autori mantengono una posizione modesta, notando che le loro scoperte si basano su specifiche implementazioni quantizzate e assunzioni di rumore idealizzate, ma i trend osservati dovrebbero mantenersi per architetture simili di moltiplicazione vettoriale. Essi dichiarano esplicitamente che l'architettura stessa è assunta come estraibile tramite altri mezzi, concentrando il loro contributo strettamente sulla difficoltà dell'estrazione dei parametri (pesi) tramite l'analisi della potenza in ambienti paralleli.