Beyond TVLA: Anderson-Darling Leakage Assessment for Neural Network Side-Channel Leakage Detection

1. Il Problema

L'implementazione di reti neurali su piattaforme embedded e edge espone i dispositivi ad attacchi di analisi dei canali laterali (SCA), dove un avversario può inferire informazioni sensibili (come pesi del modello o dati di input) analizzando variazioni nel consumo energetico o nelle emissioni elettromagnetiche.
Per valutare la resistenza a questi attacchi, lo standard de facto è la Valutazione della Perdita di Vettori di Test (TVLA), basata sul test t di Welch. Tuttavia, la TVLA presenta una limitazione fondamentale: è un test basato esclusivamente sulla media delle distribuzioni.
Quando vengono applicate contromisure come lo shuffling (mescolamento dell'ordine delle operazioni) o il jitter casuale (ritardi temporali), le differenze nella media del consumo energetico possono essere ridotte o mascherate. In questi scenari, la perdita di informazioni (leakage) può persistere sotto forma di differenze di ordine superiore nelle distribuzioni (es. varianza, code della distribuzione) che il test t di Welch non riesce a rilevare. Il paper affronta la necessità di un metodo di valutazione più sensibile a queste differenze distributive, specialmente per le implementazioni di reti neurali protette.

2. Metodologia: ADLA

Gli autori propongono l'Anderson–Darling Leakage Assessment (ADLA), un nuovo framework per il rilevamento delle perdite che sostituisce il test t di Welch con il test di Anderson-Darling a due campioni.

• Fondamento Statistico: Mentre la TVLA testa l'uguaglianza delle medie ($H_0: \mu_x = \mu_y$), l'ADLA testa l'uguaglianza delle funzioni di distribuzione cumulativa (CDF) complete ($H_0: F_x = F_y$). Questo permette di rilevare discrepanze non solo nella posizione centrale, ma anche nella forma, nella varianza e nelle code delle distribuzioni dei dati.
• Soglia di Decisione: Un contributo cruciale è la derivazione di una soglia di decisione esplicita per l'ADLA. Per garantire la comparabilità con la TVLA, gli autori adottano lo stesso livello di significatività ($\alpha \approx 3.4 \times 10^{-6}$), che corrisponde alla soglia standard TVLA di 4.5. Poiché la distribuzione limite del statistic di Anderson-Darling non ha una forma chiusa, gli autori hanno calcolato la soglia critica ($\tau_A$) utilizzando l'adattamento di curve di Pearson basato sui primi quattro cumulanti della distribuzione limite. Il risultato è una soglia di $\tau_A \approx 11.99$.
• Setup Sperimentale:
  • Modello: Un Perceptron Multistrato (MLP) addestrato sul dataset MNIST.
  • Piattaforma: ChipWhisperer-Husky con microcontrollore Atmel SAM4S (ARM Cortex-M4).
  • Contromisure: Implementazione protetta che combina shuffling (casualizzazione dell'ordine delle moltiplicazioni) e jitter casuale (ritardi pseudo-casuali).
  • Procedura: Vengono raccolte tracce di consumo energetico variando il valore di un singolo neurone di input (mantenendo gli altri fissi) per creare due condizioni sperimentali. Le distribuzioni delle tracce vengono poi confrontate punto per punto nel tempo.

3. Contributi Chiave

Il paper apporta i seguenti contributi principali:

1. Introduzione dell'ADLA: Un metodo di valutazione delle perdite specifico per le implementazioni di reti neurali, basato sul test di Anderson-Darling a due campioni, che supera i limiti dei test basati sulla media.
2. Derivazione della Soglia: Calcolo matematico e numerico di una soglia di rilevamento pratica ($\tau_A \approx 11.99$) che permette di prendere decisioni binarie (leakage rilevato/non rilevato) con un livello di significatività rigoroso e confrontabile con la TVLA.
3. Dimostrazione Sperimentale: Evidenza empirica che l'ADLA offre una sensibilità superiore alla TVLA in scenari protetti, rilevando perdite con un numero significativamente inferiore di tracce.

4. Risultati Sperimentali

Gli esperimenti hanno confrontato le prestazioni di TVLA e ADLA su implementazioni protette da shuffling e jitter:

• Sensibilità: L'ADLA è riuscito a rilevare perdite statisticamente significative con un numero di tracce molto basso (es. 850 tracce), mentre la TVLA è rimasta al di sotto della sua soglia di rilevamento nello stesso scenario.
• Analisi delle Distribuzioni: I grafici mostrano che il statistic normalizzato dell'ADLA ($A^2/\tau_A$) supera la soglia di 1 con un margine molto più ampio rispetto al statistic TVLA normalizzato ($|t|/\tau_t$), indicando che la perdita non è guidata da uno spostamento della media, ma da differenze distributive più ampie.
• Verifica della Normalità: L'uso di grafici Q-Q (Quantile-Quantile) ha confermato che le distribuzioni delle perdite in questi punti critici non seguono una distribuzione Gaussiana, invalidando implicitamente l'assunzione di normalità su cui si basa la robustezza del test t di Welch in questi contesti specifici.

5. Significato e Impatto Pratico

• Efficienza nei Test: La maggiore sensibilità dell'ADLA si traduce direttamente in una riduzione del numero di tracce necessarie per valutare la sicurezza. Questo riduce i tempi di acquisizione e i costi di misurazione, un fattore critico per i laboratori di certificazione e testing.
• Valutazione di Contromisure Avanzate: Il metodo è particolarmente prezioso per valutare implementazioni che utilizzano tecniche di offuscamento (come shuffling e jitter) che sono efficaci contro gli attacchi basati sulla media ma potrebbero lasciare tracce distributive rilevabili.
• Nuova Direzioni di Ricerca: Il lavoro suggerisce che le analisi di canali laterali sulle reti neurali devono evolvere oltre i test basati sulla media. Inoltre, apre la strada a futuri lavori su attacchi di ordine superiore e sull'analisi della sfruttabilità delle perdite rilevate dall'ADLA per recuperare pesi segreti, anche quando gli attacchi CPA (Correlation Power Analysis) standard falliscono.

In sintesi, il paper dimostra che l'approccio ADLA è uno strumento superiore alla TVLA tradizionale per la valutazione della sicurezza delle reti neurali su hardware, specialmente quando le contromisure rendono invisibili le semplici differenze di media.