[論文レビュー] FVCARE:Formal Verification of Security Primitives in Resilient Embedded SoCs

Avani Dave, Nilanjan Banerjee+1 more|arXiv (Cornell University)|Apr 22, 2023

Security and Verification in Computing被引用数 4

ひとこと要約

FVCAREは、レジliントな小さな埋め込みシステムにおけるセキュアブートおよびリモートアテステーションのための、最初のエンド・ツー・エンド形式的共同検証フレームワークを提示する。SMVによるハードウェア検証と、アサーション、LTL、弱み予測のためのカスタムプラグインを備えたFrama-Cを用いたソフトウェア検証を統合している。5.6 KBのセキュアブート実装について、0.2秒未満でセキュリティ特性と機能的正しさの完全検証を達成する。

ABSTRACT

With the increased utilization, the small embedded and IoT devices have become an attractive target for sophisticated attacks that can exploit the devices security critical information and data in malevolent activities. Secure boot and Remote Attestation (RA) techniques verifies the integrity of the devices software state at boot-time and runtime. Correct implementation and formal verification of these security primitives provide strong security guarantees and enhance user confidence. The formal verification of these security primitives is considered challenging, as it involves complex hardware software interactions, semantics gaps and requires bit-precise reasoning. To address these challenges, this paper presents FVCARE an end to end system co-verification framework. It also defines the security properties for resilient small embedded systems. FVCARE divides the end to end system co verification problem into two modules: 1) verifying the (bit precise) initial system settings, registers, and access control policies by hardware verification techniques, and 2) verifying the system specification, security properties, and functional correctness using source-level software abstraction of the hardware. The evaluation of proposed techniques on SRACARE based systems demonstrates its efficacy in security co verification.

研究の動機と目的

• セキュリティが重要な埋め込みシステムにおける複雑なハードウェア・ソフトウェア相互作用の検証という課題に対処すること。
• 小さな埋め込みおよびIoTデバイスにおけるセキュリティプリミティブ（例：セキュアブート、リモートアテステーション）の形式的検証を提供すること。
• システムレベルのセキュリティ特性に対するエンド・ツー・エンドの共同検証を欠如している既存ツールのギャップを埋めること。
• ビット単位の正確さで、初期システム状態、レジスタ設定、アクセス制御ポリシー、および機能的正しさを併せて検証できること。
• オンボードのリカバリを備えたSRACAREベースのレジリエントシステムにおける実用的で形式的な検証を示すこと。

提案手法

• システム検証を2段階に分ける：SMVおよびNuSMVを用いた初期設定およびアクセス制御ポリシーのハードウェア検証。
• ハードウェアをソフトウェアとして抽象化することで、Frama-Cを用いたハードウェア・ソフトウェア共同検証を実施する。
• Frama-Cに3つのカスタムプラグインを採用：弱み予測（WP）、アサーションチェック、線形時相論理（LTL）検証。
• SystemVerilogハードウェアモジュールをSMVに変換し、セキュリティに重要な特性の形式的ハードウェア検証を実施する。
• 境界モデルチェックとK帰納法に基づく検証を用いて、機能的正しさおよびセキュリティ特性のカバレッジを確保する。
• 暗号コアのハードウェア検証とシステム動作のソフトウェア抽象化を統合することで、システムレベルの正しさを検証する。

Figure 1: Highlights the proposed SRACARE system design flow. It represents the lightweight authenticated secure communication protocol and a new RA and secure boot architecture using custom CARE module.

実験結果

リサーチクエスチョン

• RQ1 形式的検証は、小さな埋め込みシステムにおけるハードウェア・ソフトウェア相互作用にどのように効果的に適用できるか？
• RQ2 レジリエントSoCにおけるセキュアブートおよびリモートアテステーションを検証する際、最もスケーラブルで正確な方法は何か？
• RQ3 ハイブリッドなハードウェア・ソフトウェア共同検証フレームワークは、セキュリティ特性および機能的正しさの完全カバレッジを達成できるか？
• RQ4 初期システム状態およびアクセス制御ポリシーのビット単位の正確な検証はどのように達成できるか？
• RQ5 形式的検証ツールは、鍵機密性や攻撃検出といったセキュリティ固有の特性をサポートするために拡張可能か？

主な発見

• FVCAREは、ハードウェア抽象化とFrama-Cプラグインを用いて、5.6 KBのファームウェアのセキュアブートを0.2秒で形式的検証する。
• フレームワークは、アクセス制御の強制、鍵機密性、攻撃検出を含む、指定されたセキュリティ特性の100％を正常に検証した。
• SMVおよびNuSMVによるハードウェア検証により、システムレジスタおよびアクセス制御ポリシーの正しい初期化が確認された。
• Frama-Cとカスタムプラグインの統合により、ソフトウェアレベルの検証としてアサーションチェック、LTLモデル検証、弱み予測が可能になった。
• FVCAREは、SRACAREベースのシステムにおけるセキュアブート、リモートアテステーション、およびオンボードリカバリのエンド・ツー・エンド共同検証を提供する最初のフレームワークである。
• 評価では、エッジケースおよびセキュリティ特性の完全カバレッジを実現するハードウェアとソフトウェアの形式的検証を統合することで、FVCAREが既存のアプローチを上回ることを示した。

Figure 2: Highlights the system design and key contributions of SRACARE : 1) Novel lightweight, secure authenticated communication protocol (steps 1 to 12), and 2) Secure boot with CARE and remote attestation architecture for the P r device (steps 13 to 20)).