[논문 리뷰] CPDY: Extending the Dolev-Yao Attacker with Physical-Layer Interactions

Marco Rocchetto, Nils Ole Tippenhauer|arXiv (Cornell University)|2016. 07. 09.

Physical Unclonable Functions (PUFs) and Hardware Security참고 문헌 24인용 수 4

한 줄 요약

이 논문은 사이버-물리 시스템(CPS)에서 기계적, 화학적, 전기적 영향과 같은 물리층 상호작용을 포함하도록 고전적인 Dolev-Yao 프레임워크를 확장한 CPDY(Cyber-Physical Dolev-Yao) 공격자 모델을 제안한다. 물리 법칙과 수직 상호작용 채널을 형식 모델에 통합함으로써 CPDY는 기존의 네트워크 중심 모델이 놓치는 물리층 공격—예를 들어 과열로 인한 탱크 폭발—을 탐지할 수 있게 되었으며, 이는 ASLan++ 및 AVANTSSAR를 사용한 물 처리 공장 사례 연구를 통해 입증되었다.

ABSTRACT

We propose extensions to the Dolev-Yao attacker model to make it suitable for arguments about security of Cyber-Physical Systems. The Dolev-Yao attacker model uses a set of rules to define potential actions by an attacker with respect to messages (i.e. information) exchanged between parties during a protocol execution. As the traditional Dolev-Yao model considers only information (exchanged over a channel controlled by the attacker), the model cannot directly be used to argue about the security of cyber-physical systems where physical-layer interactions are possible. Our Dolev-Yao extension, called cyber-physical Dolev-Yao (CPDY) attacker model, allows additional orthogonal interaction channels between the parties. In particular, such orthogonal channels can be used to model physical-layer mechanical, chemical, or electrical interactions between components. In addition, we discuss the inclusion of physical properties such as location or distance in the rule set. We present an example set of additional rules for the Dolev-Yao attacker, using those we are able to formally discover physical attacks that previously could only be found by empirical methods or detailed physical process models.

연구 동기 및 목표

• 기존의 Dolev-Yao 모델이 사이버-물리 시스템(CPS)의 물리층 상호작용을 포괄하지 못하는 한계를 해결하기 위해.
• 네트워크 수준의 조작을 넘어서 기계적 간섭이나 가열과 같은 물리적 행동을 포함한 공격자 능력을 형식화하기 위해.
• 온도, 압력, 거리와 같은 물리적 성질을 공격자 모델에 통합함으로써 CPS 보안의 형식적 검증을 가능하게 하기 위해.
• 이전에는 경험적 또는 세밀한 물리 모델링을 통해만 발견 가능했던 물리층 공격가 형식적으로 탐지할 수 있도록 하기 위해.
• CPDY 모델을 ASLan++에 구현하고 AVANTSSAR 플랫폼을 사용하여 검증하기 위해.

제안 방법

• 물리층 영향—예를 들어 가열, 압력 변화, 물질 성질—을 모델링하기 위해 Dolev-Yao 공격자 모델에 수직 상호작용 채널을 추가한다.
• 물체 내 물이 포함된 구성 요소에서 온도와 압력 간의 직접 비례 관계를 반영하는 새로운 규칙들을 도입한다.
• 위치, 거리, 상태 변화(예: 가열, 폭발)와 같은 물리적 성질을 공격자의 지식과 능력의 일부로 형식화한다.
• ASLan++ 형식 언어를 사용해 물리적 상호작용을 기호 제약 조건으로 표현함으로써 기존의 형식적 검증 도구(예: AVANTSSAR)와의 통합을 가능하게 한다.
• 컴ponent를 가열하거나 물리적 상태를 조작하는 공격자 행동을 정의하고, 시스템 상태와 물리 법칙에 기반한 논리적 조건을 설정한다.
• 기호 추론과 물리 규칙 세트의 조합을 통해 형식 보안 분석 프레임워크 내에서 물리층 공격를 시뮬레이션하고 검증한다.

실험 결과

연구 질문

• RQ1 기존의 Dolev-Yao 모델은 사이버-물리 시스템에서 물리층 공격를 탐지할 수 있는가?
• RQ2 가열, 압력 축적, 물질 변화와 같은 물리적 상호작용은 기호 공격자 프레임워크 내에서 어떻게 형식적으로 모델링할 수 있는가?
• RQ3 기계적 또는 열적 간섭과 같은 물리층 능력을 표현하기 위해 Dolev-Yao 모델에 어떤 확장이 필요한가?
• RQ4 물리 과정 모델링이나 경험적 테스트를 통해만 발견 가능했던 공격가 확장된 모델을 통해 탐지할 수 있는가?
• RQ5 열역학적 관계와 같은 물리 법칙은 형식 보안 모델 내에서 논리 규칙으로 어떻게 표현할 수 있는가?

주요 결과

• CPDY 모델은 과열로 인해 탱크가 폭발하는 물리층 공격를 성공적으로 탐지하였으며, 원래의 Dolev-Yao 모델은 이를 탐지하지 못한다.
• 공격는 AVANTSSAR 플랫폼을 사용해 형식적으로 검증되었으며, 탱크가 폭발해서는 안 된다는 보안 목표 위반이 발생했다고 보고되었다.
• 탐지에 핵심이 된 두 가지 규칙은 각각 가열로 인한 온도 상승을 모델링하는 것과 물이 포함된 구성 요소에서 압력 상승을 모델링하는 것이었다.
• 모델은 네트워크 수준의 침해 없이도 물리적 상호작용—예를 들어 가열—이 시스템 장애로 이어질 수 있음을 입증하였다.
• 공격자 모델에 물리 법칙을 통합함으로써 순수 암호학적 또는 네트워크 중심 모델이 놓치는 공격를 탐지할 수 있게 되었다.
• CPDY 모델은 형식 보안 모델의 표현력을 확장하여 물리적 동역학을 포함함으로써 CPS에서 더 포괄적인 위협 분석을 가능하게 하였다.