Influence of Parallelism in Vector-Multiplication Units on Correlation Power Analysis

Probleemstelling
De toenemende inzet van neurale netwerken (NN's) op middelenbeperkte edge-apparaten introduceert aanzienlijke beveiligingsrisico's met betrekking tot de vertrouwelijkheid van modellen. Hoewel hardwareversnellers algemeen worden gebruikt om de inferentieprestaties te verbeteren door middel van parallelle verwerking, veranderen zij ook de fysieke lekkenmerken die worden geëxploiteerd door Side-Channel Analysis (SCA). Specifiek staan Correlation Power Analysis (CPA) aanvallen, die traditioneel gericht zijn op sequentiële of niet-hoog-geparalleliseerde implementaties, voor nieuwe uitdagingen bij vectorvermenigvuldigingseenheden waar meerdere neuronen tegelijkertijd dezelfde input verwerken. Bestaand onderzoek geeft aan dat globaal stroomverbruik of elektromagnetische (EM) emissies onvoldoende kunnen zijn voor parameterextractie in sterk geparalleliseerde versnellers, maar een formele analyse van hoe de graad van parallellisme het succespercentage van CPA kwantitatief degradeert, ontbrak tot nu toe. Het kernprobleem dat wordt aangepakt, is het bepalen van de drempel van parallellisme waarbij globale vermogensgebaseerde CPA onhaalbaar wordt voor het extraheren van neurongewichten in volledig verbonden (fully-connected) lagen.

Methodologie
De auteurs hanteren een gecombineerde theoretische en experimentele aanpak om de impact van parallellisme op de CPA-succesrate te modelleren:

1. Theoretische Modellering:

   • Vermodellering: De studie modelleert het totale stroomverbruik ($P_{total}$) van een vectorvermenigvuldigingseenheid bestaande uit een array van Processing Elements (PE's). Er wordt uitgegaan van een geïdealiseerd scenario waarbij constante en ruiscomponenten worden geminimaliseerd, met de focus op de datagebonden ($P_{data}$) en operatiegebonden ($P_{op}$) componenten.
   • Statistische Afhankelijkheid: In tegenstelling tot cryptografische algoritmen waarbij parallelle componenten vaak onafhankelijke data verwerken, merkt de studie op dat bij NN-vectorvermenigvuldiging alle PE's tegelijkertijd dezelfde inputwaarde verwerken, maar met verschillende gewichten. Dit creëert een statistische afhankelijkheid tussen het stroomverbruik van verschillende PE's.
   • Correlatieanalyse: De auteurs leiden vergelijkingen af die de correlatiecoëfficiënt ($\rho$) beschrijven tussen een correct gewichtshypothese en het totale stroomverbruik als een functie van het aantal parallelle PE's ($n_{PE}$). Zij maken gebruik van Hamming Weight (HW) en Hamming Distance (HD) modellen om de stroomsporen voor tussenresultaten te simuleren.
   • Signaal-ruisverhouding (SNR): De studie analyseert de relatie tussen SNR en het succes van CPA, waarbij een grens wordt vastgesteld waar de correlatie van de correcte hypothese onder die van incorrecte hypothesen daalt.

2. Experimentele Validatie:

   • Hardware Implementatie: Een vectorvermenigvuldigingseenheid werd geïmplementeerd op een Xilinx Artix-7 FPGA (NewAE Technology CW305 Board). Het ontwerp maakt dynamische aanpassing van het aantal parallelle PE's mogelijk (van 1 tot maximaal 64).
   • Parameters: Het systeem gebruikt 8-bit gekwantiseerde gewichten en inputs, met 32-bit registers voor tussenresultaten. De FPGA werkt op 1 MHz om overlap van stroomverbruik over klokcycli heen te voorkomen.
   • Meting: Het stroomverbruik werd gemeten via een shuntweerstand en versterkt, gesampled op 625 MHz. De aanval richt zich op het extraheren van gewichten die worden verwerkt door een specifieke PE, terwijl andere PE's parallel met verschillende gewichten opereren.
   • Aanvalsstrategie: De auteurs testen CPA op verschillende tijdstippen ($\tau$) binnen de MAC (Multiply-and-Accumulate) operatiesequentie, specifiek gericht op de eerste vermenigvuldiging ($\tau=0$) en daaropvolgende registerwisselingen ($\tau=1, \tau=7$).

Belangrijkste Bijdragen

1. Theoretische Gedragsbeschrijving: Het artikel biedt een theoretische beschrijving van hoe parallelle gegevensverwerking in vectorvermenigvuldigingseenheden het stroomverbruik beïnvloedt, waarbij specif wordt gewezen op de statistische afhankelijkheid die wordt geïntroduceerd door gedeelde inputs.
2. Kwantificering van de Impact van Parallellisme: De auteurs leiden vergelijkingen af (specifiek Eq. 7 en varianten daarvan) die de exponentiële afname van de correlatiecoëfficiënt voor de correcte gewichtshypothese beschrijven naarmate het aantal parallelle PE's toeneemt.
3. Haalbaarheidsgrens: De studie stelt een praktische grens vast voor de CPA-haalbaarheid. Het identificeert dat voor de geteste implementatie globale vermogensgebaseerde CPA faalt wanneer 8 of meer PE's parallel opereren, terwijl theoretische modellen onder geïdealiseerde omstandigheden een iets hogere drempel suggereren (rond de 15 PE's).
4. Validatie van Vergelijkingen: De afgeleide vergelijkingen die de correlatiedecay beschrijven, worden gevalideerd tegen praktische FPGA-metingen, waarbij een nauwe benadering wordt getoond tussen gesimuleerde en gemeten gegevens.

Resultaten

• Correlatiedecay: Naarmate het aantal parallelle PE's toeneemt, neemt de correlatiecoëfficiënt voor de correcte hypothese exponentieel af. De studie biedt specifieke interpolatiefuncties voor verschillende tijdstippen ($\tau=0, 3, 7$).
• Haalbaarheidsdrempel voor de Aanval:
  • Theoretisch: De correlatie van de correcte hypothese blijft onderscheidbaar van incorrecte hypothesen tot ongeveer 15 parallelle PE's. Daarboven daalt de SNR onder de noodzakelijke drempel (gemiddeld ca. 0,045, in het slechtste geval 0,1).
  • Experimenteel: Praktische metingen op de FPGA tonen aan dat de aanval al onhaalbaar wordt met slechts 8 parallelle PE's. Op dat punt daalt de SNR tot onder ~0,02, en beginnen incorrecte hypothesen hogere correlatiecoëfficiënten te vertonen dan de correcte.
• Gevoeligheid voor Tijdstip: Het richten op latere MAC-operaties (bijv. $\tau=7$) biedt iets meer robuustheid dan het richten op de eerste vermenigvuldiging ($\tau=0$), omdat de tussenresultaten meer uiteenlopend worden. Echter, zelfs met latere tijdstippen faalt de aanval bij meer dan 8 parallelle PE's in de experimentele opstelling.
• Inputverdeling: De studie bevestigt dat de statistische verdeling van gewichten (uniform versus normaal) de succesrate van de CPA niet significant beïnvloedt, aangezien de aanval steunt op de statistische afhankelijkheid van de input in plaats van de specifieke gewichtswaarden.

Betekenis en Claims
Het artikel claimt de eerste gedetailleerde analyse te bieden van hoe parallelle vectorvermenigvuldigingen in AI-versnellers de succesrate van correlatiegebaseerde side-channel aanvallen beïnvloeden. De primaire betekenis ligt in het definiëren van de grenzen van globale vermogensanalyse voor NN-extractie:

• Het demonstreert dat globaal stroomverbruik onvoldoende is voor het extraheren van gewichten uit vectorvermenigvuldigingseenheden met een hoge mate van parallellisme (specifiek $\ge 8$ PE's in de geteste configuratie).
• Het stelt vast dat voor dergelijke hoog-geparalleliseerde versnellers, gelokaliseerde EM-metingen vereist zijn om de lekkage van individuele PE's te isoleren (specifiek probes die in staat zijn om niet meer dan 4–15 PE's te resolveren, afhankelijk van de specifieke SNR en parallellisme).
• De afgeleide vergelijkingen stellen ontwerpers en aanvallers in staat om de haalbaarheid van CPA-aanvallen te schatten op basis van de graad van parallellisme in een specifieke hardware-implementatie, zonder dat daarvoor uitputtende fysieke metingen nodig zijn voor elke configuratie.

De auteurs nemen een bescheiden standpunt in door te merken dat hun bevindingen gebaseerd zijn op specifieke gekwantiseerde implementaties en geïdealiseerde ruisveronderstellingen, maar dat de geobserveerde trends naar verwachting zullen gelden voor vergelijkbare vectorvermenigvuldigingsarchitecturen. Zij verklaren expliciet dat de architectuur zelf wordt verondersteld extraheerbaar te zijn via andere methoden, en richten hun bijdrage strikt op de moeilijkheid van parameterextractie (gewichtsextractie) via vermogensanalyse in parallelle omgevingen.