[論文レビュー] Trick or Heat? Manipulating Critical Temperature-Based Control Systems Using Rectification Attacks

Yazhou Tu, Sara Rampazzi+4 more|arXiv (Cornell University)|Apr 10, 2019

Electrostatic Discharge in ElectronicsEngineering参考文献 49被引用数 20

ひとこと要約

本論文は、医療制御システムや冷蔵庫などの重要な制御システムにおける温度センサーの読み取り値を、遠隔から操作可能にし、警報を発動させずに不正な整流効果を利用した物理層攻撃を示している。低出力の電磁干渉（EMI）により、制御可能な直流オフセットを誘発し、1.9 mまでの距離で危険なレベル（例：38.5°C または 29°C）の加熱または冷却を遠隔で実行可能である。

ABSTRACT

Temperature sensing and control systems are widely used in the closed-loop control of critical processes such as maintaining the thermal stability of patients, or in alarm systems for detecting temperature-related hazards. However, the security of these systems has yet to be completely explored, leaving potential attack surfaces that can be exploited to take control over critical systems. In this paper we investigate the reliability of temperature-based control systems from a security and safety perspective. We show how unexpected consequences and safety risks can be induced by physical-level attacks on analog temperature sensing components. For instance, we demonstrate that an adversary could remotely manipulate the temperature sensor measurements of an infant incubator to cause potential safety issues, without tampering with the victim system or triggering automatic temperature alarms. This attack exploits the unintended rectification effect that can be induced in operational and instrumentation amplifiers to control the sensor output, tricking the internal control loop of the victim system to heat up or cool down. Furthermore, we show how the exploit of this hardware-level vulnerability could affect different classes of analog sensors that share similar signal conditioning processes. Our experimental results indicate that conventional defenses commonly deployed in these systems are not sufficient to mitigate the threat, so we propose a prototype design of a low-cost anomaly detector for critical applications to ensure the integrity of temperature sensor signals.

研究の動機と目的

• アナログセンサー部品に対する物理層攻撃が温度制御システムに及えるセキュリティおよび安全性のリスクを調査すること。
• 電磁干渉（EMI）がアンプ内で不正な整流を引き起こし、警報を回避する偽装温度読み取り値を生じさせることを実証すること。
• 実世界の安全・重要なシステム（乳児保温器、ラボスケールなど）に影響を与える攻撃の実現可能性と影響を評価すること。
• 同様の信号処理回路が使用される圧力センサーやpHセンサーなどの他のアナログセンサーの脆弱性を分析すること。
• センサ信号の整合性を向上させ、脅威を軽減するための低コストなアナログ異常検出器プロトタイプを提案すること。

提案手法

• 攻撃は、オペアンプおよびインストルメンテーションアンプにおける不正な整流を利用し、入射する電磁信号がアンプ出力に制御可能な直流オフセットを生成することに依存する。
• UHF帯域（300 MHz – 3 GHz）の低出力で振幅変調されたEMI信号を遠隔から送信し、物理的接触なしにセンサ回路に電圧オフセットを誘発する。
• 直接電力注入（DPI）および遠隔信号注入を用いて、市販の温度センサーおよび制御システム（乳児保温器、高精度スケールなど）で実験を実施した。
• 攻撃は複数のシステムで検証された：乳児保温器、デジタルラボスケール（CGOLDENWALLおよびEscali L600）、pHメーター。距離および周波数を変化させた攻撃を実施した。
• EMI注入下でのセンサ出力（例：温度、重量、pH）の変化を観察し、結果を摂氏度、グラム、pH単位で定量的に測定した。
• 偽装信号を示す異常な信号特性を検出できるように、アナログ異常検出器のプロトタイプを設計した。これにより、重要なアプリケーションにおけるセンサ整合性が向上する。

実験結果

リサーチクエスチョン

• RQ1 電磁干渉を用いて、アンプ内の不正な整流により、温度センサ信号に制御可能な直流オフセットを誘発できるか？
• RQ2 このような攻撃は、警報を発動させずに、乳児保温器などの安全・重要なシステムの温度読み取り値をどれほど遠隔で操作可能か？
• RQ3 同様の信号処理回路が使用される圧力センサーやpHセンサーなど、他のアナログセンサーも同様の攻撃に対して脆弱であるか？
• RQ4 遮蔽、ノイズ除去、アンテナの種別および向きといったシステムレベル要因が、攻撃の成功率および範囲にどのように影響するか？
• RQ5 従来のEMI防御策は、このハードウェアレベルの脆弱性を十分に緩和できるか、それとも新たな検出メカニズムが必要か？

主な発見

• 4 Wの送信出力で、1.9 mの距離から攻撃者が乳児保温器の温度を38.5°C（発熱リスク）または29°C（低体温リスク）に遠隔操作可能である。
• 685 MHzのEMIを用いて0.5 mの距離で、CGOLDENWALLデジタルスケールに6.37 gの減少を誘発し、Escali L600スケールに0.5 mで7 gの減少または13.9 gの増加を誘発した。
• 515 MHzのEMIを0.5 mの距離で使用したpHメーターでは、0.42 pH単位の上昇が観測され、SCADAシステムや水処理施設の脆弱性が示された。
• 従来のEMI防御策を採用しているシステムに対しても攻撃が有効であるため、従来の保護策ではこの物理層攻撃に対処できないことが示された。
• 誘発される直流オフセットの大きさは、システムの遮蔽、ノイズ除去回路、アンテナの特性および向きに顕著に影響を受ける。
• 偽装信号を検出するためのアナログ異常検出器プロトタイプを提案し、重要な温度測定アプリケーションにおける実用的防御メカニズムを提供した。