Vogls: a Fast Interactive Full-timing Simulator for Pre-silicon Power Side-Channel Analysis

기술 요약: Vogls – 사전 실리콘 전력 부채널 분석을 위한 고속 대화형 풀-타이밍 시뮬레이터

문제 정의
하드웨어의 부채널 공격(SCA) 저항성을 설계하는 것은 점차 제조 전 단계에서 장치의 누설(leakage)을 예측하는 사전 실리콘 시뮬레이션에 의존하고 있습니다. 그러나 현재의 기능 검증 시뮬레이터는 SCA 워크플로우에 적합하지 않습니다. SCA는 약간의 입력 변이가 있는 대량의 짧은 트레이스 컬렉션을 생성해야 하는데, 이는 표준 시뮬레이터가 수행하기에 매우 비효율적인 작업입니다. 기존의 학술적 도구들은 대개 세 단계의 패턴을 따릅니다: 신호 트레이스 캡처(주로 VCD/SAIF/FST 형식), Hamming Weight와 같은 모델을 사용한 합성 전력 트레이스로의 변환, 그리고 통계적 분석 수행. 이 과정은 두 가지 주요 문제로 인해 방해를 받습니다:

1. 성능: 대규모 설계에 대해 수백만 개의 트레이스를 시뮬레이션하는 것은 엄청난 시간을 소요하며, 결과물인 트레이스 파일의 크기가 지나치게 커져 저장 및 변환 비용이 많이 듭니다.
2. 대화형 제어: 표준 시뮬레이터는 시뮬레이션 상태에 대한 미세한 제어가 부족합니다. 이들은 일반적으로 매 트레이스마다 리셋부터 다시 시작해야 하며, "포킹(forking, 설정 로직 재사용)"이나 적응형 공격에 필요한 상태의 대화형 변이(mutation)를 지원하지 못합니다.

또한, 기존의 오픈 소스 시뮬레이터들은 효율성(빠른 트레이스 수집), 대화형 제어(상태 조작), 다양성(풀-타이밍, 다중 추상화 레벨 및 4-값 로직 지원)이라는 세 가지 핵심 기준을 동시에 충족하지 못합니다. 상용 시뮬레이터는 효율적이고 다양하지만, 대화형 제어가 부족하고 소스 코드를 사용할 수 없습니다.

방법론 및 설계
저자들은 컴파일된 코드의 성능과 풀-타이밍 시뮬레이션의 대화형 기능을 모두 연결하도록 설계된, Rust로 작성된 오픈 소스 Verilog 시뮬레이터인 Vogls(Versatile Open Gate Level Simulator)를 제시합니다.

• 아키텍처: Vogls는 컴파일러와 유사한 구조를 따릅니다. Verilog(SDF 주석 포함)를 토큰화, 파싱 및 정교화(elaboration)하여 커스텀 **Vogls 중간 표현(VIR)**으로 변환합니다.
• Vogls 중간 표현 (VIR): VIR는 LLVM IR에서 영감을 받았으나, 비합성 Verilog 개념(예: 지연 제어, specify 블록)을 지원하도록 확장된 시간 인지형(temporally-aware) 통합 타겟입니다. 이는 프로세스, 신호 및 타이밍을 모델링하기 위해 정적 단일 할당(SSA)과 제어 흐름 그래프(CFG)를 사용합니다. 또한 2-값 및 4-값 로직을 모두 지원합니다.
• 실행 전략: 최적화된 VIR는 다음 두 가지 방식으로 실행될 수 있습니다:
  1. 빠른 반복 및 짧은 실행을 위한 바이트코드 인터프리터.
  2. 고성능의 반복 실행을 위한 컴파일된 C 코드 (네이티브 명령어로 트랜스파일됨).
• 상태 관리: 핵심 혁신은 디자인(상수, 읽기 전용)과 시뮬레이션 상태(시간, 신호 값, 리스너)를 분리하는 것입니다. 이를 통해 시뮬레이터가 상태를 **포킹(fork)**할 수 있게 합니다. 워크플로우는 설정 로직을 한 번 실행한 후, 관심 지점(point-of-interest)에서 상태를 포킹하여 다양한 입력을 가진 짧은 윈도우를 시뮬레이션함으로써 디자인을 재초기화하지 않고도 타이밍과 누설 특성을 보존하면서 중복된 설정 시뮬레이션을 제거할 수 있습니다.
• 인터페이스: Vogls는 사용자가 하드웨어 설계를 수정하지 않고도 시뮬레이션을 일시 중지, 검사, 신호 변이 및 포킹할 수 있도록 하는 Python 인터페이스를 제공합니다.

주요 기여

1. 최초의 결합형 시뮬레이터: Vogls는 컴파일된 코드의 성능, 풀-타이밍 시뮬레이션, 그리고 미세한 상태 제어(포킹/변이)를 결적으로 결합한 최초의 오픈 소스 시뮬레이터입니다.
2. VIR 구현: 사이클 정확(cycle-accurate) 단계부터 풀-타이밍까지 Verilog 특유의 타이밍 구조를 처리할 수 있는 통합 중간 표현을 도입했습니다.
3. 효율적인 트레이스 수집: 상태 포킹을 활용함으로써, 매 트레이스마다 리셋부터 다시 시뮬레이션할 필요를 없애 대규모 데이터셋 수집에 필요한 시간을 크게 단축했습니다.
4. 사전 실리콘 SCA 워크플로우: RTL부터 풀-타이밍 게이트 레벨(GTL) 추상화 단계까지 전체 워크플로우를 지원하며, 표준 전력 모델(Hamming Weight/Distance)을 구현합니다.

실험 결과
저자들은 세 가지 워크로드에 대해 Verilator(효율적, 사이클 정확, 2-값) 및 Icarus Verilog(다양성, 인터프리터 방식, 4-값)를 대상으로 Vogls의 벤치마크를 수행했습니다:

1. PicoRV32 (RTL): 1000번째 소수 계산.
2. Masked Canright SBOX (RTL): 마스킹된 로직 검증.
3. UART + AES (Full-timing GTL): ICE40 FPGA 넷리스트를 사용한 타이밍 주석이 달린 게이트 레벨 시뮬레이션.

• 성능:
  • 풀-타이밍 AES 설계에서, Vogls(컴파일형)는 Icarus Verilog(12.8초)보다 5.9배 빠르게 시뮬레이션했습니다(76.2초). Verilator는 풀-타이밍 지원 부족으로 이 실험을 수행할 수 없었습니다.
  • PicoRV32 RTL 설계에서, Vogls(컴파일형)는 풀-타이밍 기능과 4-값 로직 지원을 제공하면서도 Verilator(1.4초) 대비 30% 느린 수준(1.8초)의 성능을 보였습니다.
• 사례 연구 (DPA 공격):
  • 저자들은 RTL, GTL, 그리고 풀-타이밍 GTL 레벨에서 AES 구현에 대한 차분 전력 분석(DPA) 공격을 수행했습니다.
  • 포킹 워크플로우를 사용하여 30,000개의 트레이스를 캡처했습니다.
  • 결과: 공격은 모든 추상화 레벨에서 키를 성공적으로 복구했습니다. 최소 노출 트레이스 수(MTD)는 모델의 충실도(fidelity)가 높아짐에 따라 증가했습니다(RTL 6,897개, GTL 13,154개, 풀-타이밍 GTL 18,341개). 이는 더 정확한 타이밍 모델이 더 미세한 누설을 드러내지만, 이를 악용하기 위해서는 더 많은 트레이스가 필요함을 보여줍니다.

의의 및 주장
본 논문은 Vogls가 빠르고 스크립트 작성이 가능한 풀-타이밍 시뮬레이션을 수행할 수 있는 도구가 부족한 현재의 오픈 소스 하드웨어 설계 도구 상자의 중요한 공백을 메운다고 주장합니다. 효율적인 트레이스 수집과 대화형 상태 조작을 가능하게 함으로써, Vogls는 이전에 불가능했던 사전 실리콘 SCA 워크플로우를 실용적으로 만듭니다.

저자들은 Vogls가 일반적인 기능 검증을 위해 Verilator나 Icarus Verilog와 같은 성숙한 도구를 대체하려는 목적이 아님을 강조합니다. 대신, 이는 SCA 연구의 특정 요구 사항을 위해 제작된 목적 맞춤형 도구입니다. Vogls는 풀-타이밍 시뮬레이션과 트레이스 수집에 필요한 개념을 지원하면서도 오픈 소스인 가볍고 확장 가능한 기반(VIR을 통해)을 제공합니다. 결론적으로, 저자들은 Vogls를 오픈 소스로 공개함으로써 부채널 분석을 위한 목적 맞춤형 시뮬레이터에 대한 추가적인 탐구를 촉진하고자 합니다.