[論文レビュー] Who is in Control? Practical Physical Layer Attack and Defense for mmWave based Sensing in Autonomous Vehicles

Zhi Sun, Sarankumar Balakrishnan+4 more|arXiv (Cornell University)|Nov 22, 2020

Adversarial Robustness in Machine Learning参考文献 18被引用数 8

ひとこと要約

本稿では、自動運転車両におけるmmWaveレーダーに対する実用的な物理層攻撃および防御を提示しており、スプーフィング攻撃が障害物検出を信頼性高く操作し、危険な運転意思決定を引き起こすことを実証している。実世界のテストベッドを用いて、攻撃者は障害物をスプーフィングするか、その位置を改ざんすることで致命的な衝突シナリオを引き起こせることを検証した。一方で、RFフィンガープrintingとワンクラスSVMを用いることで、98.9%のスプーフィング検出精度を達成した。

ABSTRACT

With the wide bandwidths in millimeter wave (mmWave) frequency band that results in unprecedented accuracy, mmWave sensing has become vital for many applications, especially in autonomous vehicles (AVs). In addition, mmWave sensing has superior reliability compared to other sensing counterparts such as camera and LiDAR, which is essential for safety-critical driving. Therefore, it is critical to understand the security vulnerabilities and improve the security and reliability of mmWave sensing in AVs. To this end, we perform the end-to-end security analysis of a mmWave-based sensing system in AVs, by designing and implementing practical physical layer attack and defense strategies in a state-of-the-art mmWave testbed and an AV testbed in real-world settings. Various strategies are developed to take control of the victim AV by spoofing its mmWave sensing module, including adding fake obstacles at arbitrary locations and faking the locations of existing obstacles. Five real-world attack scenarios are constructed to spoof the victim AV and force it to make dangerous driving decisions leading to a fatal crash. Field experiments are conducted to study the impact of the various attack scenarios using a Lincoln MKZ-based AV testbed, which validate that the attacker can indeed assume control of the victim AV to compromise its security and safety. To defend the attacks, we design and implement a challenge-response authentication scheme and a RF fingerprinting scheme to reliably detect aforementioned spoofing attacks.

研究の動機と目的

• 自動運転車両（AVs）におけるmmWaveレーダーに対する実用的物理層攻撃の実現可能性と影響を調査すること。これは、安全に重要な感知機能にとって不可欠である。
• 実世界の条件下でスプーフィング攻撃がAVの意思決定を操作し、危険または致命的な運転結果を引き起こすかどうかを評価すること。
• RFフィンガープリントと機械学習を用いて、正当な信号のみを用いた訓練で高い信頼性を持つmmWaveレーダーのスプーフィング攻撃を検出できる防御メカニズムを設計・実装すること。
• 従来の研究が不切実な仮定や低周波数帯に依存するのに対し、エンドツーエンドの実世界攻撃と防御を実証することで、研究ギャップを埋めること。

提案手法

• 2つのコアな攻撃戦略を設計・実装する：(1) 任意の位置に偽の障害物を挿入する、(2) mmWave chirp信号の往復遅延を操作することで、既存の障害物の位置を偽装する。
• ソフトウェア定義無線（SDR）と独自のmmWaveテストベッドを用いて、24–28 GHz帯の正当なレーダー信号を模倣する正確な時間遅延を有するスプーフィング信号を生成する。
• 信号の出所を検証し、スプーフィング試行を検出するためのチャレンジ・レスポンス認証方式を開発する。応答タイミングと信号構造を比較することで実現する。
• 受信信号の大きさと位相の統計的特徴（標準偏差、尖度、歪度）を用いてRFフィンガープリントを実装し、ルート平均二乗（RMS）正規化により正規化する。
• ワンクラスサポートベクターマシン（SVM）を用い、正当な信号のみで学習を実施し、特徴分布のずれに基づいてスプーフィング攻撃を検出する。
• Lincoln MKZベースのAVテストベッドを用いて実地実験を行い、実世界の走行条件下での攻撃および防御性能を評価する。

実験結果

リサーチクエスチョン

• RQ1 24–28 GHz帯のmmWaveレーダー・センサーに対して、障害物の認識位置と距離を正確に制御できるように、偽の障害物を注入することでスプーフィングが可能か？
• RQ2 攻撃者は被害を受けるAVを継続的に追跡し、時間経過に伴ってスプーフィング信号を動的に更新することで、長期間にわたり騙しを維持できるか？
• RQ3 スプーフィング攻撃を設計し、前方の障害物を危険領域から誤って移動させることで、AVが衝突を引き起こすように操作できるか？
• RQ4 攻撃波形の事前知識がなくても、正当な信号のみを用いた訓練で、RFフィンガープリントとワンクラスSVMがスプーフィング攻撃を高い精度で検出できるか？
• RQ5 スプーフィング攻撃が実世界の走行シナリオにおけるAVの感知システムの安全性と信頼性をどの程度損なうか？

主な発見

• 著者らは、障害物検出を操作する5つの実世界攻撃シナリオを成功裏に実証し、停止不能な障害物への対応を妨げる危険なAV意思決定を引き起こした。
• Lincoln MKZベースのAVテストベッドを用いた実地実験により、攻撃者が障害物を信頼性高くスプーフィングし、その位置を改ざんすることで、衝突を引き起こす危険な行動を誘発できることを確認した。
• 提案されたチャレンジ・レスポンス認証方式は、信号タイミングと構造の検証により、リアルタイム動作における誤検出を低減し、スプーフィングを効果的に検出できた。
• RMS正規化された信号特徴（大きさと位相の標準偏差、尖度、歪度）を用いたRFフィンガープリントは、正当な信号とスプーフィング信号を明確に区別できた。
• ワンクラスSVMベースのスプーフィング検出システムは、訓練に3,000件の正当信号、テストに3,000件のスプーフィング信号を用いて、98.9%の検出精度を達成した。
• 統計的特徴の分布は、正当信号とスプーフィング信号で明確に乖離しており、攻撃波形の事前知識がなくても、信頼性の高い検出が可能であった。