[論文レビュー] Attack Resilience and Recovery using Physical Challenge Response Authentication for Active Sensors Under Integrity Attacks

Yasser Shoukry, Paul Martin+3 more|arXiv (Cornell University)|May 6, 2016

Physical Unclonable Functions (PUFs) and Hardware Security被引用数 7

ひとこと要約

本稿では、ランダム化された物理信号を用いて環境をプローブし、物理法則に従った応答を検証することで、アクティブセンサーのセキュリティを強化する物理的チャレンジ・レスポンス認証方式であるPyCRAを提案する。物理的ダイナミクスの不変性を活用することで、アナログ領域における整合性攻撃を検出し、耐性を示す。磁気センサーやRFIDタグにおいて理論的および実証的妥当性を示し、スプーフィングおよび混乱フェーズ下での耐性を実証した。

ABSTRACT

Embedded sensing systems are pervasively used in life- and security-critical systems such as those found in airplanes, automobiles, and healthcare. Traditional security mechanisms for these sensors focus on data encryption and other post-processing techniques, but the sensors themselves often remain vulnerable to attacks in the physical/analog domain. If an adversary manipulates a physical/analog signal prior to digitization, no amount of digital security mechanisms after the fact can help. Fortunately, nature imposes fundamental constraints on how these analog signals can behave. This work presents PyCRA, a physical challenge-response authentication scheme designed to protect active sensing systems against physical attacks occurring in the analog domain. PyCRA provides security for active sensors by continually challenging the surrounding environment via random but deliberate physical probes. By analyzing the responses to these probes, and by using the fact that the adversary cannot change the underlying laws of physics, we provide an authentication mechanism that not only detects malicious attacks but provides resilience against them. We demonstrate the effectiveness of PyCRA through several case studies using two sensing systems: (1) magnetic sensors like those found wheel speed sensors in robotics and automotive, and (2) commercial RFID tags used in many security-critical applications. Finally, we outline methods and theoretical proofs for further enhancing the resilience of PyCRA to active attacks by means of a confusion phase---a period of low signal to noise ratio that makes it more difficult for an attacker to correctly identify and respond to PyCRA's physical challenges. In doing so, we evaluate both the robustness and the limitations of PyCRA, concluding by outlining practical considerations as well as further applications for the proposed authentication mechanism.

研究の動機と目的

• デジタルセキュリティメカニズムを回避する物理層の整合性攻撃に対して脆弱な埋め込みセンサーの課題に対処すること。
• デジタイゼーションの前段階でスプーフィングや改ざんを検出可能な、ランタイム認証メカニズムをアナログ信号レベルで開発すること。
• センサー応答を支配する物理法則を活用して、改ざんに対して本質的に耐性のある信頼モデルを構築すること。
• 磁気センサーやRFIDタグを含む実世界のアクティブセンシングシステムにおいて、本アプローチの実現可能性と頑健性を実証すること。
• 攻撃者による予測を困難にするために、信号対雑音比を意図的に低下させる「混乱フェーズ」を導入すること。

提案手法

• アクティブセンサーを用いて、環境にランダムな物理プローブ（例：電磁気的または機械的信号）を発信する。
• 自然な物理法則が可能な応答を制限するという事実に依存して、環境へのプローブに対する物理的応答を測定する。
• 与えられたチャレンジ下での期待される物理的挙動と一致するかを検証することで、センサー出力の認証を行う。
• 攻撃者が正しい応答を予測または模倣する能力を低下させるために、信号対雑音比を意図的に低下させる「混乱フェーズ」を適用する。
• 攻撃下での正しい応答一致確率がαで有界である確率的フレームワークを用いてシステムをモデル化し、漸近的検出信頼性を保証する。
• 確率的過程と尤度関数を用いて検出と回復を形式化し、攻撃検出確率および誤検出の確率を定量化する。

実験結果

リサーチクエスチョン

• RQ1 物理法則は、アナログドメインにおけるセンサー出力認証の信頼アンカーとして利用可能か？
• RQ2 アクティブセンシングを活用することで、従来のデジタルセキュリティメカニズムを回避する整合性攻撃を検出可能か？
• RQ3 制御された混乱フェーズは、物理的チャレンジ・レスポンスシステムにおける攻撃者の応答偽造能力にどのような影響を与えるか？
• RQ4 PyCRAは、磁気センサーやRFIDタグなどの実世界のアクティブセンサーにおいて、スプーフィング攻撃をどの程度検出・回復可能か？
• RQ5 攻撃的条件下で、PyCRAの検出確率および誤報率に理論的限界を設定可能か？

主な発見

• 攻撃者がアナログ信号経路を制御している状況下でも、チャレンジと応答の物理的整合性を検証することで、PyCRAはアクティブセンサーにおける整合性攻撃を効果的に検出する。
• 攻撃検出の漸近的検出確率がαに達し、Pr(τ = Γ + 1) ≈ αを満たす。ここでτは検出時間、Γは攻撃発生時刻を表す。
• 混乱フェーズにより、攻撃者の正しい応答の予測・模倣能力が顕著に低下し、攻撃の有効コストが上昇する。
• 実証的評価により、PyCRAは磁気センサーや商用RFIDタグにおけるスプーフィング攻撃を現実的条件下で効果的に検出可能であることが示された。
• 理論的分析により、信号対雑音比の変動や攻撃者のプローブ戦略の変化に対しても、検出メカニズムが頑健であることが確認された。
• 攻撃者がアナログ信号経路を完全に制御している場合でも、応答において物理法則に違反しない限り、本手法は高い耐性を維持する。