🤖 AI

Beyond TVLA: Anderson-Darling Leakage Assessment for Neural Network Side-Channel Leakage Detection

Deze paper introduceert ADLA, een nieuwe methode voor het detecteren van zijkanallekken in neurale netwerken die gebaseerd is op de Anderson-Darling-test en gevoeliger is dan de standaard TVLA-methode, vooral bij beveiligde implementaties met een beperkt aantal metingen.

Oorspronkelijke auteurs: Ján Mikulec, Jakub Breier, Xiaolu Hou

Gepubliceerd 2026-03-20

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Ján Mikulec, Jakub Breier, Xiaolu Hou

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

De Kern: Een Nieuwe Manier om "Luisteraars" te Vangen

Stel je voor dat je een geheimzinnig slot op een deur hebt (een beveiligde computerchip). Kapers proberen niet de deur open te breken, maar luisteren naar het geluid dat het slot maakt als je de sleutel draait. Als het geluid anders klinkt afhankelijk van welke sleutel je gebruikt, kunnen ze het geheim raden. Dit heet side-channel analysis (bijvangst-analyse).

Om te controleren of een slot veilig is, gebruiken experts een standaardtest genaamd TVLA. Maar deze nieuwe paper stelt voor: "Die oude test is te simpel. We hebben een scherper oor nodig."

Hier is hoe het werkt, stap voor stap:

1. Het Oude Middel: De "Gemiddelde" Test (TVLA)

De huidige standaardtest (TVLA) werkt als een weegschaal.
Stel je voor dat je twee groepen mensen hebt:

Groep A (gebruikt sleutel 1)
Groep B (gebruikt sleutel 2)

De oude test kijkt alleen naar het gemiddelde gewicht van beide groepen.

Als Groep A gemiddeld 80 kg weegt en Groep B 82 kg, zegt de test: "Er is een verschil! De sleutels klinken anders."
Het probleem: Wat als beide groepen gemiddeld precies 80 kg wegen, maar Groep A bestaat uit heel zware en heel lichte mensen (extremen), terwijl Groep B uit mensen bestaat die allemaal precies 80 kg wegen? De weegschaal ziet dan geen verschil, maar de groepen zijn toch heel anders!

In de wereld van computers betekent dit: als hackers slimme trucs gebruiken (zoals het willekeurig versnellen of vertragen van de tijd), verdwijnt het "gemiddelde" verschil. De oude test denkt dan dat alles veilig is, terwijl er nog steeds gevaarlijke informatie lekt.

2. De Nieuwe Uitvinding: De "Volledige Profiel"-Test (ADLA)

De auteurs van dit paper (Ján, Jakub en Xiaolu) hebben een nieuwe test bedacht: ADLA.
In plaats van alleen naar het gemiddelde te kijken, kijkt deze test naar het hele profiel van de geluiden.

Gebruik de analogie van een muziekband:

De oude test (TVLA) luistert alleen naar het gemiddelde volume van de band.
De nieuwe test (ADLA) luistert naar de hele muziek: de lage tonen, de hoge tonen, de ritmes en de stiltes.

Zelfs als het gemiddelde volume hetzelfde blijft, kan de nieuwe test horen dat de ene band een heel ander geluid maakt dan de andere. Dit is cruciaal omdat moderne beveiliging (zoals "shuffling" en "jitter") juist probeert het gemiddelde geluid gelijk te houden, maar de onderliggende patronen verandert.

3. Het Experiment: De "Neurale Netwerk" Proef

De auteurs hebben dit getest op een neuraal netwerk (een soort kunstmatige intelligentie die foto's herkent, zoals cijfers van 0 tot 9).

Ze hebben de AI op een klein chipje gezet.
Ze hebben beveiliging toegevoegd: het chipje doet dingen in een willekeurige volgorde en met willekeurige vertragingen (alsof de muzikant soms een noot een beetje te vroeg of te laat speelt).
Ze hebben gemeten hoeveel stroom het chipje verbruikt terwijl het werkt.

Het Resultaat:
Bij een klein aantal metingen (traces) zag de oude test (TVLA) geen probleem. De "weegschaal" dacht: "Alles is veilig."
Maar de nieuwe test (ADLA) riep direct: "Stop! Er is een verschil!"
De nieuwe test zag dat de verdeling van de stroomverbruiks-pieken anders was, zelfs als het gemiddelde hetzelfde leek.

4. Waarom is dit belangrijk?

Stel je voor dat je een beveiligingslaboratorium bent. Je moet testen of een nieuwe chip veilig is voordat deze op de markt komt.

Met de oude test moet je duizenden metingen doen om zeker te weten dat er geen lek is. Dat kost tijd en geld.
Met de nieuwe test (ADLA) ontdek je de lekken al bij veel minder metingen. Je kunt dus sneller zeggen: "Deze chip is niet veilig, we moeten het ontwerp aanpassen."

Samenvatting in één zin

Deze paper zegt: "Luister niet alleen naar het gemiddelde geluid van een beveiligde chip, want slimme hackers verstoppen zich daar. Luister naar het hele geluid, want daar zit het echte gevaar verborgen."

De nieuwe test (ADLA) is dus als een super-gevoelig oor dat zelfs de kleinste, meest verborgen verschillen kan horen, waardoor we veiliger technologie sneller kunnen bouwen.

Probleemstelling

De implementatie van neurale netwerken op embedded en edge-platforms blootstelt deze systemen aan fysieke aanvallen via zijkanaalanalyse (Side-Channel Analysis, SCA). De huidige de-facto standaard voor het beoordelen van lekken (leakage assessment) is Test Vector Leakage Assessment (TVLA), die gebaseerd is op de Welch's t-test.

Het fundamentele probleem met TVLA is dat het een gemiddelde-gebaseerde test is. Het detecteert lekken uitsluitend door verschillen in het gemiddelde (mean) van de verdeling van de stroomverbruiksgegevens te vergelijken. Wanneer beveiligingsmaatregelen zoals shuffling (het randomiseren van de uitvoeringsvolgorde) of random jitter (het introduceren van willekeurige vertragingen) worden toegepast, worden gemiddelde verschuivingen vaak gemaskeerd of gereduceerd. Echter, kunnen lekken dan nog steeds aanwezig zijn in de vorm van hogere-orde distributieverschillen (bijv. variatie, staartgedrag), die door een puur gemiddelde-gevoelige statistiek zoals TVLA niet worden opgepikt. Dit leidt tot een onderwaardering van het veiligheidsrisico, vooral bij neurale netwerken.

Methodologie: Anderson–Darling Leakage Assessment (ADLA)

De auteurs stellen een nieuw framework voor: Anderson–Darling Leakage Assessment (ADLA). Dit framework gebruikt de twee-steekproef Anderson–Darling (AD) test in plaats van de Welch's t-test.

Statistische Basis:
- TVLA (Welch's t-test): Test de nullhypothese $H_0: \mu_x = \mu_y$ (de gemiddelden zijn gelijk).
- ADLA (Anderson–Darling test): Test de nullhypothese $H_0: F_x = F_y$ (de volledige cumulatieve verdelingsfuncties (CDF) zijn gelijk).
- De AD-test is een niet-parametrische methode die de gehele verdeling vergelijkt, waardoor het gevoelig is voor verschillen in variantie, skewness en staartgedrag, niet alleen het gemiddelde.
Bepaling van de Drempelwaarde:
- Om direct vergelijkbaar te zijn met TVLA, kiezen de auteurs voor dezelfde significantieniveau $\alpha \approx 3.4 \times 10^{-6}$ (wat overeenkomt met de standaard TVLA-drempel van 4,5).
- Omdat de limietverdeling van de AD-statistiek geen gesloten vorm heeft, hebben de auteurs de drempelwaarde ( $\tau_A$ ) numeriek afgeleid. Ze gebruikten de Pearson-curve-fittingmethode door de eerste vier cumulanten van de asymptotische verdeling te berekenen.
- De afgeleide drempelwaarde voor ADLA is $\tau_A \approx 11.99$ .
Experimenteel Opzet:
- Model: Een Multilayer Perceptron (MLP) getraind op het MNIST-dataset.
- Hardware: ChipWhisperer-Husky platform met een Atmel SAM4S microcontroller (ARM Cortex-M4).
- Beveiliging: De implementatie gebruikt zowel shuffling als random jitter als tegenmaatregelen tegen Correlation Power Analysis (CPA).
- Procedure: Er werden twee sets van metingen gegenereerd met verschillende waarden voor de eerste invoerneuron (terwijl de rest constant bleef) om lekken gerelateerd aan specifieke gewichten te testen.

Belangrijkste Bijdragen

Introductie van ADLA: Een nieuw lek-detectiemethode specifiek ontworpen voor neurale netwerken die gebaseerd is op de Anderson–Darling test.
Afleiding van een Praktische Drempel: De auteurs hebben een expliciete beslissingsdrempel ( $\tau_A \approx 11.99$ ) afgeleid die een vergelijkbaar significantieniveau biedt als de standaard TVLA-drempel, waardoor het direct toepasbaar is in evaluatieworkflows.
Experimentele Validatie: Het aantonen dat ADLA een hogere gevoeligheid biedt dan TVLA bij een laag aantal traces, zelfs in beveiligde implementaties waar TVLA faalt.

Resultaten

De experimentele resultaten tonen aan dat ADLA aanzienlijk effectiever is dan TVLA in de geteste scenario's:

Detectie bij minder traces: ADLA kon lekken detecteren met een veel kleiner aantal traces dan TVLA. In sommige gevallen bleef de TVLA-statistiek onder de drempelwaarde (geen lek gedetecteerd), terwijl de ADLA-statistiek duidelijk boven de drempel uitkwam.
Aard van het lek: De analyse toonde aan dat de lekken in deze beveiligde implementaties niet voornamelijk worden gekenmerkt door een verschuiving in het gemiddelde, maar door bredere distributieverschillen.
Normaliteitstest: Een Q-Q plot (Quantile-Quantile) bevestigde dat de lekverdeling op kritieke tijdstippen niet Gaussiaans is. Dit ondermijnt de assumptie van de Welch's t-test en verklaart waarom TVLA minder effectief was. De AD-test, die geen normaliteitsveronderstelling maakt, pakte deze niet-Gaussische lekken correct op.
Visualisatie: In de grafieken (Fig. 1 en 2) is te zien dat de genormaliseerde ADLA-statistiek ( $A^2/\tau_A$ ) veel verder boven de drempel van 1 uitkomt dan de genormaliseerde TVLA-statistiek ( $|t|/\tau_t$ ), wat wijst op een sterkere statistische significantie.

Betekenis en Toekomstperspectief

Deze studie is van groot praktisch belang voor beveiligingstestlaboratoria en certificeringsinstanties:

Efficiëntie: Door een hogere gevoeligheid bij een lager aantal traces, kunnen evaluatiecampagnes korter duren en goedkoper worden. Het vermijden van het verzamelen van enorme datasets is cruciaal voor praktische toepassingen.
Betere Beveiligingsbeoordeling: ADLA biedt een completer beeld van de beveiliging. Als een implementatie "veilig" lijkt volgens TVLA maar lekken vertoont volgens ADLA, kan dit leiden tot onterechte goedkeuringen. ADLA vangt lekken op die door geavanceerde tegenmaatregelen (zoals shuffling) verborgen blijven voor gemiddelde-gebaseerde tests.
Toekomstig Werk: De auteurs plannen om te onderzoeken of de door ADLA gedetecteerde lekpunten kunnen worden gebruikt voor daadwerkelijke aanvallen (bijv. hogere-orde power analysis) om geheime gewichten te reconstrueren. Ze onderzoeken ook $\chi^2$ -tests, maar merken op dat deze zeer gevoelig zijn voor discretisatie (binning).

Kortom, dit paper pleit voor een verschuiving van puur gemiddelde-gebaseerde lektesten naar distributiegevoelige methoden zoals ADLA, vooral in de context van moderne, beveiligde neurale netwerken op embedded systemen.