Verifiable and Confidential DNN Inference on Low-End Edge Devices

기술 요약: VECODI

문제 정의

저사양 엣지 디바이스(예: 마이크로컨트롤러)에 심층 신경망(DNN) 추론을 배포하는 것은 두 가지 상충하는 과제를 안겨줍니다: 즉, 엣지 시스템이 침해되었을 때의 모델 기밀성(model confidentiality) 보장과, 과도한 오버헤드 없이 **검증 가능한 추론(verifiable inference)**을 가능하게 하는 것입니다.

기존 솔루션들은 다음과 같은 상당한 한계점을 가집니다:

1. TEE 보호형 DNN 분할(TSDP): 이러한 접근 방식은 신뢰 실행 환경(TEE) 내에 민감한 모델 레이어를 보호하지만, 보안 세계(Secure World)에 추론 코드와 라이브러리를 직접 배치해야 합니다. 이는 신뢰 컴퓨팅 기반(TCB)을 크게 확장하고, 공격 표면을 넓히며, 저사양 디바이스의 제한된 메모리에 부담을 줍니다.
2. 전체 TEE 실행: 전체 파이프라인을 TEE에서 실행하는 것은 메모리 제약으로 인해 불가능한 경우가 많습니다(보안 RAM은 보통 수십 킬로바이트인 반면, DNN은 메가바이트 단위의 메모리를 요구합니다).
3. 신뢰할 수 없는 실행(Untrusted Execution): 전체 과정을 일반 세계(Normal World)에서 실행하는 것은 악성코드에 의한 모델 추출이나 결과 조작으로부터 아무런 보호를 제공하지 못합니다.

나아가, 현재의 접근 방식들은 모델 추출 공격(공격자가 추론 쿼리를 통해 모델을 재구성하는 공격)을 적절히 다루지 못하거나, 암호화 증명으로 인해 과도한 계산 오버헤드를 발생시켜 전력 제한이 있는 엣지 디바이스에는 부적합한 경우가 많습니다.

방법론

저자들은 ARM TrustZone-M 플랫폼을 위한 검증 가능하고 기밀성이 보장되는 DNN 추론 프레임워크인 VECODI를 제안합니다. 핵심 혁신은 SHANGRI-LA라고 불리는 새로운 실행 추상화 계층입니다.

SHANGRI-LA: 제3의 런타임 환경

기존의 TrustZone-M 아키텍처가 보안 세계(SW)와 비보안 세계(NSW)를 엄격하게 분리하는 것과 달리, SHANGRI-LA는 제3의 런타임 환경을 구축합니다. 이 환경은 물리적으로는 비보안 세계에 존재하지만, 보안 세계에 의해 강제되는 격상된 권한을 가집니다.

• 권한 모델: SHANGRI-LA는 보안 세계와 비보안 세계 사이의 중간 단계 권한을 가집니다. 이는 비보안 세계로부터 보호받아 코드 및 데이터 변조를 방지하지만, 보안 세계 구성 요소에는 간섭할 수 없습니다.
• 메모리 관리: SHANGRI-LA의 코드와 데이터는 비보안 RAM에 위치합니다. 그러나 생성(Create) 단계에서 보안 세계는 이 영역을 일시적으로 보안 영역으로 표시하여 접근을 차단합니다. 실행 직전, 실행(Execute) API는 이 영역을 다시 비보안 영역으로 원자적으로 재표시하여, 코드가 일반 세계에서 실행되면서도 다른 비보안 프로세스로부터 격리될 수 있도록 합니다.
• 하드웨어 접근: SHANGRI-LA는 하드웨어 I/O 주변 장치에 대한 직접적인 접근 권한을 유지하여, 센서 데이터 수집이 일반 세계에 의해 가로채지거나 조작되지 않도록 보장합니다.

VECODI 프로토콜

VECODI는 네 명의 이해관계자(모델 제공자(PVD), 엣지 디바이스(DEV), 모델 소비자(CSM), 검증자(VRF)) 간의 상호작용을 조율합니다. 프로토콜은 네 단계로 구성됩니다:

1. 프로비저닝 (I1): PVD는 DNN 모델을 공개 컴포넌트($M_{pub}$)와 비공개 컴포넌트($M_{pri}$)로 분할합니다. $M_{pri}$는 암호화되어 있습니다. 추론 코드($F$), $M_{pub}$, 그리고 암호화된 $M_{pri}$는 일반 세계에 설치됩니다. 메타데이터와 키는 Provision API를 통해 보안 세계로 프로비저닝됩니다.
2. 권한 부여 (I2): CSM은 PVD에 액세스 권한을 요청합니다. PVD는 사용 제한을 명시한 서명된 권한 토큰($T_{CSM}$)을 발행합니다. DEV의 보안 세계는 Authorize API를 통해 SHANGRI-LA 인스턴스 정책을 업데이트합니다.
3. 추론 (I3): CSM은 SHANGRI-LA를 인스턴스화하기 위해 Create API를 호출합니다. 그 다음 서명된 토큰을 제공하며 Execute를 호출합니다. 보안 세계는 요청을 검증하고, SHANGRI-LA 메모리를 비보안 모드로 전환한 뒤 $F$를 실행합니다. $F$는 로우(raw) 센서 데이터를 가져와 모델 $M$을 사용하여 추론을 수행하고 출력값($Out_F$)을 생성합니다.
4. 검증 (I4): 요청이 있을 경우, 보안 세계는 디바이스의 어테스테이션 키(attestation key)로 서명된 실행 증명(Proof of Execution, PoX)($T_{proof}$)을 생성합니다. 이 증명은 입력값, 특정 모델 ID, 실행 인스턴스 및 출력값을 결합합니다. 검증자(VRF)는 로우 입력 데이터에 접근하지 않고도 이 증명을 검증할 수 있습니다.

주요 보안 메커니즘

• 기밀성: $M_{pri}$는 플래시(Flash) 내에서 암호화되어 있으며, 실행 중에만 보호된 비보안 RAM으로 복호화됩니다. 보안 세계는 다른 비보안 코드가 이 메모리에 접근할 수 없도록 보장합니다.
• 검증 가능성: PoX 메커니즘은 출력이 올바른 코드($F$)와 올바른 모델($M$)에 의해 생성되었으며, 인증된 센서 입력을 사용했음을 보장합니다. 이때 검증자에게 로우 입력 데이터를 노출하지 않습니다.
• 추출 방지: Authorize API는 엄격한 사용 제한을 강제하여, 고빈도 추론 쿼리에 의존하는 모델 추출 공격을 완화합니다.

주요 기여

1. SHANGRI-LA 추상화: 추론 코드를 보안 세계 내에서 실행할 필요 없이, TrustZone-M 상에서 일반 세계로부터 격리된 경량 제3의 런타임 환경을 도입했습니다. 이를 통해 개발자는 핵심 보안 세계 구성 요소를 수정하지 않고도 신뢰할 수 있는 애플리케이션을 배포할 수 있습니다.
2. 보안 및 검증 가능한 추론: 저사양 디바이스에서 모델 기밀성과 검증 가능한 추론을 달성하는 완전한 프로토콜(VECODI)을 제공합니다. 이는 SHANGRI-LA를 추론 권한 부여 메커니즘 및 입력 프라이버시를 보존하는 실행 증명 체계와 결합합니다.
3. 실제 구현: NUCLEO-L552ZE-Q 개발 보드(ARM Cortex-M33)에서의 프로토타입 구현을 통해 자원이 제한된 하드웨어에서의 접근 타당성을 입증했습니다.

결과 및 평가

저자들은 VECODI를 추론 코드가 완전히 보안 세계에서 실행되는 베이스라인(D2 설계) 및 비보안 베이스라인과 비교 평가했습니다.

• TCB 감소: VECODI는 보안 세계의 TCB를 95.64% 감소시켰습니다(34,865행에서 1,523행으로). 결정적으로, 기존 방식에서는 TCB가 애플리케이션과 함께 커지는 것과 달리, VECODI의 TCB 크기는 추론 코드나 모델 아키텍처와 무관합니다.
• 메모리 점유: 공개 모델 컴포넌트($M_{pub}$)를 일반 세계에 두고 보호된 비보안 RAM에 비공개 컴포넌트($M_{pri}$)만을 복제함으로써, VECODI는 전체 평문 모델을 보안 RAM에 저장해야 하는 문제를 피했습니다. 이는 저사양 디바이스의 용량을 초과하는 경우가 많습니다.
• 런타임 오버헤드: VECODI는 비보안 베이스라인과 비교했을 때 단 **0.83 ms (0.07%)**의 런타임 오버헤드만을 발생시킵니다. 증명 생성은 약 230 ms가 추가되지만, 이는 디바이스를 인증하기 위해 베이스라인 보안 시스템에서 요구되는 서명 비용과 유사한 수준입니다.
• 사례 연구: 카메라 기반 이미지 분류 시나리오에서 VECODI는 평균 1428.42 ms의 추론 지연 시간을 유지하여, 베이스라인(1427.57 ms)과 비교해 무시할 만한 수준의 오버헤드를 보여주었습니다.

의의 및 주장

본 논문은 VECODI가 실행 모델을 근본적으로 변경함으로써 저사양 엣지 디바이스에서 보안 DNN 추론을 위한 실질적인 솔루션을 제공한다고 주장합니다. SHANGRI-LA를 통해 저자들은 다음을 입증했습니다:

1. 추론 코드를 신뢰 컴퓨팅 기반(TCB)에서 분리하여, 공격 표면과 TCB 크기를 최소화할 수 있습니다.
2. 고사양 하드웨어 기능(예: MMU)을 요구하거나 과도한 성능 저하를 일으키지 않고도 검증 가능한 추론과 모델 기밀성을 구현할 수 있습니다.
3. 기존의 TEE 보호형 DNN 분할 전략을 수정 없이 지원할 수 있어, 현재의 엣지 보안 아키텍처에 즉시 적용 가능한 개선책이 됩니다.

저자들은 SHANGRI-LA가 DNN 추론을 넘어 독립적인 가치를 지닌다고 주장합니다. 이는 핵심 보안 세계를 변경하지 않고도 TrustZone-M 디바이스에 임의의 신뢰할 수 있는 애플리케이션을 배포할 수 있게 함으로써, 현재 저사양 보안 추상화의 공백을 메워주기 때문입니다.