Verifiable and Confidential DNN Inference on Low-End Edge Devices

Resumo Técnico: VECODI

Declaração do Problema

A implantação de inferência de Redes Neurais Profundas (DNN) em dispositivos de borda de baixo desempenho (ex: microcontroladores) apresenta dois desafios conflitantes: garantir a confidencialidade do modelo contra sistemas de borda comprometidos e permitir a inferência verificável sem incorrer em um overhead proibitivo.

As soluções existentes enfrentam limitações significativas:

1. Particionamento de DNN Protegido por TEE (TSDP): Embora essas abordagens protejam camadas sensíveis do modelo dentro de Ambientes de Execução Confiáveis (TEEs), elas exigem que o código e as bibliotecas de inferência sejam colocados diretamente no Mundo Seguro (Secure World). Isso amplia significativamente a Base de Computação Confiável (TCB), aumenta a superfície de ataque e sobrecarrega a memória limitada de dispositivos de baixo desempenho.
2. Execução Total em TEE: Executar todo o pipeline no TEE é frequentemente inviável devido a restrições de memória (a RAM Segura é tipicamente de dezenas de kilobytes, enquanto DNNs requerem megabytes).
3. Execução Não Confiável: Executar inteiramente no Mundo Normal (Non-Secure World) não oferece proteção contra extração de modelos ou falsificação de resultados por malware.

Além disso, as abordagens atuais frequentemente falham em abordar ataques de extração de modelo (onde adversários reconstroem modelos via consultas de inferência) ou introduzem um overhead computacional excessivo através de provas criptográficas, tornando-as inadequadas para dispositivos de borda com restrição de energia.

Metodologia

Os autores propõem o VECODI, um framework para inferência de DNN verificável e confidencial em plataformas ARM TrustZone-M. A inovação central é um novo modelo de abstração de execução chamado SHANGRI-LA.

SHANGRI-LA: Um Terceiro Ambiente de Execução

Ao contrário das arquiteturas TrustZone-M tradicionais, que separam estritamente o Mundo Seguro (SW) do Mundo Não Seguro (NSW), o SHANGRI-LA estabelece um terceiro ambiente de execução que reside fisicamente no Mundo Não Seguro, mas opera com privilégios elevados impostos pelo Mundo Seguro.

• Modelo de Privilégio: O SHANGRI-LA possui privilégios estritamente intermediários entre os Mundos Seguro e Não Seguro. Ele é protegido do Mundo Não Seguro (impedindo a manipulação de código/dados) mas não pode interferir nos componentes do Mundo Seguro.
• Gerenciamento de Memória: O código e os dados do SHANGRI-LA residem na RAM Não Segura. No entanto, durante a fase de Criação (Create), o Mundo Seguro marca temporariamente essas regiões como Seguras para evitar acesso. Imediatamente antes da execução, a API Executar (Execute) as remarca atomicamente como Não Seguras, permitindo que o código rode no Mundo Normal enquanto mantém o isolamento de outros processos Não Seguros.
• Acesso ao Hardware: O SHANGRI-LA retém acesso direto aos periféricos de I/O de hardware, garantindo que a aquisição de dados de sensores não possa ser interceptada ou manipulada pelo Mundo Normal.

Protocolo VECODI

O VECODI orquestra as interações entre quatro partes interessadas: um Provedor de Modelo (PVD), um Dispositivo de Borda (DEV), um Consumidor de Modelo (CSM) e um Verificador (VRF). O protocolo consiste em quatro estágios:

1. Provisionamento (I1): O PVD particiona o modelo DNN em um componente público ($M_{pub}$) e um componente privado ($M_{pri}$). $M_{pri}$ é criptografado. O código de inferência ($F$), $M_{pub}$ e o $M_{pri}$ criptografado são instalados no Mundo Normal. Metadados e chaves são provisionados para o Mundo Seguro via API Provision.
2. Autorização (I2): O CSM solicita acesso ao PVD. O PVD emite um token de autorização assinado ($T_{CSM}$) especificando limites de uso. O Mundo Seguro do DEV atualiza a política da instância do SHANGRI-LA via API Authorize.
3. Inferência (I3): O CSM invoca a API Create para instanciar o SHANGRI-LA. Em seguida, chama Execute, fornecendo um token assinado. O Mundo Seguro valida a requisição, alterna a memória do SHANGRI-LA para Não Segura e executa $F$. $F$ recupera dados brutos de sensores, realiza a inferência usando $M$ e gera uma saída ($Out_F$).
4. Verificação (I4): Se solicitado, o Mundo Seguro gera uma Prova de Execução (PoX) ($T_{proof}$) assinada com a chave de atestação do dispositivo. Esta prova vincula a entrada, o ID específico do modelo, a instância de execução e a saída. O VRF valida esta prova sem precisar de acesso aos dados brutos de entrada.

Mecanismos de Segurança Chave

• Confidencialidade: $M_{pri}$ é criptografado no Flash e apenas descriptografado na RAM Não Segura protegida durante a execução. O Mundo Seguro garante que nenhum outro código Não Seguro possa acessar esta memória.
• Verificabilidade: O mecanismo de PoX garante que a saída foi produzida pelo código correto ($F$) no modelo correto ($M$) usando entradas de sensores autênticas, sem revelar as entradas brutas ao verificador.
• Anti-Extração: A API Authorize impõe limites de uso estritos, mitigando ataques de extração de modelo que dependem de consultas de inferência de alta frequência.

Principais Contribuições

1. Abstração SHANGRI-LA: A introdução de um ambiente de execução leve, um terceiro ambiente, no TrustZone-M que fornece isolamento do Mundo Normal sem exigir a execução do código de inferência dentro do Mundo Seguro. Isso permite que desenvolvedores terceiros implantem aplicações confiáveis sem modificar os componentes principais do Mundo Seguro.
2. Inferência Segura e Verificável: Um protocolo completo (VECODI) que alcança confidencialidade de modelo e inferência verificável em dispositivos de baixo desempenho. Ele combina o SHANGRI-LA com um mecanismo de autorização de inferência e um esquema de prova de execução que preserva a privacidade da entrada.
3. Implementação Prática: Uma implementação prototípica em uma placa de desenvolvimento NUCLEO-L552ZE-Q (ARM Cortex-M33) demonstrando a viabilidade da abordagem em hardware com recursos limitados.

Resultados e Avaliação

Os autores avaliaram o VECODI contra um baseline onde o código de inferência roda inteiramente no Mundo Seguro (design D2) e um baseline Não Seguro.

• Redução da TCB: O VECODI reduz a TCB do Mundo Seguro em 95,64% (de 34.865 Linhas de Código para 1.523 LOC). Crucialmente, o tamanho da TCB é independente do código de inferência ou da arquitetura do modelo, ao contrário de abordagens anteriores onde a TCB cresce com a aplicação.
• Pegada de Memória: Ao manter o componente público do modelo ($M_{pub}$) no Mundo Normal e apenas duplicar o componente privado ($M_{pri}$) na RAM Não Segura protegida, o VECODI evita a necessidade de armazenar todo o modelo em texto claro na RAM Segura, o que frequentemente excede a capacidade de dispositivos de baixo desempenho.
• Overhead de Tempo de Execução: O VECODI incorre em um overhead de execução de apenas 0,83 ms (0,07%) em comparação com um baseline Não Seguro. A geração da prova adiciona aproximadamente 230 ms, mas isso é comparável ao custo de assinatura exigido em sistemas seguros basais para autenticar o dispositivo.
• Estudo de Caso: Em um cenário de classificação de imagem baseado em câmera, o VECODI manteve uma latência média de 1428,42 ms por inferência, mostrando um overhead negligenciável em relação ao baseline (1427,57 ms).

Significância e Alegações

O artigo afirma que o VECODI representa uma solução prática para inferência de DNN segura em dispositivos de borda de baixo desempenho ao mudar fundamentalmente o modelo de execução. Ao introduzir o SHANGRI-LA, os autores demonstram que é possível:

1. Desacoplar o código de inferência da Base de Computação Confiável, minimizando assim a superfície de ataque e o tamanho da TCB.
2. Habilitar inferência verificável e confidencialidade de modelo sem exigir recursos de hardware de alto nível (como MMUs) ou incorrer em penalidades de desempenho proibitivas.
3. Suportar estratégias existentes de Particionamento de DNN Protegido por TEE sem modificação, tornando-o uma melhoria direta para as arquiteturas de segurança de borda atuais.

Os autores afirmam que o SHANGRI-LA é de interesse independente além da inferência de DNN, pois permite a implantação de aplicações confiáveis arbitrárias em dispositivos TrustZone-M sem alterar o núcleo do Mundo Seguro, abordando uma lacuna nas atuais abstrações de segurança para baixa escala.