기술 요약: 비특권 토폴로지 인증서 (Unprivileged Topology Certificates)를 통한 클라우드 GPU 원격 검증

문제 정의

클라우드 GPU 테넌트(Tenant)는 신뢰의 격차(Trust Gap)에 직면해 있다. 테넌트는 임대한 가속기의 물리적 정체성, 하드웨어 클래스, 그리고 지리적 위치에 관한 제공업체의 주장에 의존해야 하지만, 이러한 속성을 직접 조사하는 데 필요한 특권 액세스(Privileged Access) 권한이 없다. 표준 원격 검증(Remote Attestation)은 신뢰할 수 있는 하드웨어 루트와 벤더 서명 키(예: NVIDIA Confidential Computing)에 의사 의존하지만, 범용 마켓플레이스를 통해 노출되는 소비자용 또는 워크스테이션급 GPU에서는 이러한 경로를 사용할 수 없는 경우가 많다. 이러한 특권 경로가 없을 때, 테넌트는 제공업체가 다른 가속기로 교체했는지, 작업을 다른 사이트로 이동시켰는지, 혹은 데이터 센터 위치를 잘못 기재했는지 확인할 방법이 없다. 본 논문은 비특권 테넌트가 CUDA 커널을 실행하고 네트워크 경로를 측정할 수는 있지만, 펌웨어 상태, 시리얼 번호 또는 벤더 검증 보고서에는 접근할 수 없는 구체적인 시나리오를 다룬다.

방법론

본 논문은 임대한 GPU 인스턴스를 세 가지 뚜렷한 속성인 물리적 정체성, 하드웨어 클래스, 그리고 거친 네트워크 위치(Coarse Network Location)에 결합하는 "토폴로지 인증서(Topology Certificate)"를 생성하는 **소프트웨어 전용 검증 프리미티브(Software-only Attestation Primitive)**를 제안한다. 이 시스템은 다음과 같은 스트리밍 파이프라인을 통해 작동한다:

1. GPU 프로브 (데이터 수집):

   • 물리적 정체성 (Physical Identity): CUDA 프로브는 물리적 스트리밍 멀티프로세서(SM)와 메모리 영역 간의 레이턴시 행렬(Latency Matrix)을 측정한다. 이 과정에서 SM을 식별하기 위해 PTX 특수 레지스터인 %smid를 활용하며, L2/글로벌 캐시 레이턴시를 측정하기 위해 종속적 글로벌 로드(ld.global.cg.u32)를 수행한다.
   • 하드웨어 클래스 (Hardware Class): 프로브는 고대역폭 메모리(HBM) 전반에 걸쳐 캐시 바이패싱 스윕(ld.global.cv)을 수행하여 메모리 토폴로지 시그니처를 복구한다. 레이턴시 행렬을 가중치 그래프로 분석하고 스펙트럴 파티셔닝(Spectral Partitioning, Fiedler 벡터)을 적용함으로써, 건축적 파티션(예: 통합 L2 vs 분할 L2 vs 멀티 다이 패키지)을 드러낸다.
   • 위치 (Location): 시스템은 공공 랜드마크(RIPE Atlas, Cloudflare, M-Lab)에 대한 네트워크 왕복 시간(RTT)을 기록하여 빛의 속도에 기반한 거리 경계(Distance Bounds)를 설정한다.

2. 스트리밍 리듀서 (요약):

   • 원시 측정값 스트림($R$)은 개수, 평균, 분산, 극댓값/극솟값을 포함하는 충분 통계량(Sufficient Statistics)의 유계된 요약본($S$)으로 매핑된다.
   • 이 요약본은 구성 해시, 소스 코드 해시 및 네트워크 증거($E$)와 결합되어 압축된 SHA-256 인증서($C$)를 형성한다.

3. 검증기 (Validation):

   • 검증기는 요약본 $S$로부터 결정 술어(Decision Predicates)를 재계산하고, 인증서 $C$에 대해 해시를 확인한다.
   • 결정적으로, 검증에는 GPU가 필요 없으며, 전체 원시 트레이스에 대한 접근도 필요하지 않다. 오직 유계된 요약본과 인증서만을 필요로 한다.

주요 기여 및 결과

1. 물리적 정체성 안정성 (Physical Identity Stability)

본 논문은 per-SM 레이턴시 맵이 안정적인 물리적 지문(Fingerprint) 역할을 함을 입증한다.

• 안정성: RTX 5090에 대한 6시간 풀 로드 실행 결과, 중앙값 시간 지터(Median Temporal Jitter)는 0.09 사이클(평균 레이턴시의 0.025%)이었으며, 초기 스냅샷 대비 최소 맵 상관관계는 0.999798이었다.
• 분리 가능성 (Separability): 이러한 지문을 사용한 형태 기반 Leave-one-out 분류는 두 개의 서로 다른 Blackwell 다이(RTX 5090과 RTX PRO 6000)를 구분하는 데 있어 100.0%의 정확도를 달성했다. 이는 적대적 부하 조건에서도 작동하며, 이를 통해 벤더 키 없이도 교체된 장치를 거부할 수 있게 한다.

2. 하드웨어 클래스 검증 (Hardware Class Attestation)

프로브는 세대 및 클래스에 따라 달라지는 건축적 토폴로지 시그니처를 성공적으로 복구한다.

• Volta (V100): 파티션이 없는 통합 L2 메모리 도메인을 보여준다 (상관관계 $r \approx -0.00$).
• Hopper (H200): 두 갈래로 파티션된 L2 (66/66 SM 분할)를 드러내며, 강한 역상관 관계($r = -0.95$)와 31사이클의 교차 파티션 페널티를 보여준다.
• Blackwell (B200): 두 개의 다이로 구성된 NV-HBI 패키지 (74/74 SM 분할)를 노출하며, **30사이클 (15.5 ns)**의 교차 다이 페널티를 나타낸다. 이 페널티는 측정된 노이즈 플로어보다 342배 크므로, 부하로 인한 드리프트에 대해 견고한 클래스 구분을 보장한다.

3. 거친 위치 검증 (Coarse Location Attestation)

시스템은 네트워크 랜드마크를 사용하여 인증서를 지리적 영역에 결합한다.

• 방법: 알려진 관측 지점들에 대한 RTT 측정으로부터 유도된 "빛의 속도" 디스크(Disk)들을 교차함으로써, 제한 영역(Constraint Region)을 정의한다.
• 결과: B200 인스턴스의 경우, 169개의 RIPE Atlas 프로브를 통해 호스트가 주장된 데이터 센터로부터 44 km 이내에 있음을 확인했다. 시스템은 거리 경계를 위반하는 11개 중 11개의 모든 데코이(Decoy) 위치(예: 시드니, 도쿄, 뉴욕)를 성공적으로 거부했다.
• 강제 실행: RTT 자체는 일방향적이지만(공격자는 레이턴시를 늘릴 수는 있어도 빛의 속도 아래로 줄일 수는 없음), 물리적 지문과의 결합은 컴플라이언스를 준수하는 프록시가 다른 곳에서 응답하는 "프록시 공격(Proxy Attack)"을 방지한다. 지문은 타이밍 응답을 특정 등록된 다이(Die)에 결합시킨다.

의의 및 주장

본 논문은 이 연구를 작지만 널리 적용 가능한 신뢰할 수 있는 하드웨어 검증의 대안으로 포지셔닝한다.

• 범위: 컨피덴셜 컴퓨팅 경로와 벤더 키가 부재한 범용 GPU(소비자용/워크스테이션 부품)를 대상으로 한다.
• 역량: 이는 다음 세 가지 특정 주장을 검증할 수 있게 한다:
  1. 정체성: 물리적 다이가 교체되지 않았음.
  2. 클래스: 하드웨어 아키텍처가 청구된 클래스와 일치함 (예: B200과 V100의 구분).
  3. 위치: 인스턴스가 계약과 일치하는 거친 지리적 영역 내에 존재함.
• 한계: 저자들은 이 방법이 펌웨어 무결성을 증명하거나, 호스트가 프로브 실행을 거부하는 것을 방지하거나, TEE가 가용할 때 벤더 검증을 대체할 수 없음을 명시적으로 밝힌다. 위치 검증은 메트로폴리탄에서 대륙 규모 수준으로 제한되며, 랙 단위의 정밀도는 지원하지 않으며, 네트워크 프로브에 응답하는 데 있어 호스트의 협조에 의존한다.

주요 기여는 토폴로지 인증서이다. 이는 하드웨어 타이밍 측정으로부터 유도된 보안 시스템 객체로서, 검증자가 벤더 키 계층 없이도 클라우드 GPU의 정체성, 클래스 및 위치를 확인할 수 있도록 한다.