[논문 리뷰] Restart-Based Security Mechanisms for Safety-Critical Embedded Systems

Fardin Abdi, Chien-Ying Chen외 4명|arXiv (Cornell University)|2017. 05. 03.

Security and Verification in Computing참고 문헌 26인용 수 4

한 줄 요약

이 논문은 물리적 관성의 특성을 활용하여 안전 임베디드 CPS에서 물리적 안전성과 시스템 보안을 분리하는 리스타트 기반 보안 프레임워크를 제안한다. 동적으로 안전한 운영 윈도우를 계산하고 하드웨어 기반 Root of Trust(RoT)를 사용해 시스템 전반의 리스타트를 유도함으로써, 공격자가 전체 시스템을 제어하더라도 식물(plant)이 안전 범위를 벗어나지 않도록 보장한다. 이 방법은 3-DoF 헬리콥터와 시뮬레이션된 온도 제어 시스템에서 타당성을 입증하였다.

ABSTRACT

Many physical plants that are controlled by embedded systems have safety requirements that need to be respected at all times - any deviations from expected behavior can result in damage to the system (often to the physical plant), the environment or even endanger human life. In recent times, malicious attacks against such systems have increased - many with the intent to cause physical damage. In this paper, we aim to decouple the safety of the plant from security of the embedded system by taking advantage of the inherent inertia in such systems. In this paper we present a system-wide restart-based framework that combines hardware and software components to (a) maintain the system within the safety region and (b) thwart potential attackers from destabilizing the system. We demonstrate the feasibility of our approach using two realistic systems - an actual 3 degree of freedom (3-DoF) helicopter and a simulated warehouse temperature control unit. Our proof-of-concept implementation is tested against multiple emulated attacks on the control units of these systems.

연구 동기 및 목표

• 물리적 손상이나 사망으로 이어질 수 있는 안전 임베디드 시스템을 향한 사이버 공격 증가에 대응한다.
• 물리적 안전성과 시스템 보안을 분리하여, 시스템이 해킹되더라도 안전성이 유지됨을 보장한다.
• 기존 보안 메커니즘이 물리적 동역학을 고려하지 못하고 공격 상황에서 안전성을 보장하지 못하는 한계를 극복한다.
• 자원 제약 환경에서 검증 가능한 안전성 보장을 제공하는 경량이며 COTS 기반의 솔루션을 설계한다.
• 운영 중 시스템 설계자가 성능과 보안 간의 트레이드오프를 공식적인 안전성 보장과 함께 실행 가능하게 한다.

제안 방법

• 공격자가 전체 제어권을 가짐에도 불구하고 식물이 위험한 상태로 이동하지 못하도록 하기 위해 물리적 관성의 특성을 활용해 안전한 운영 윈도우를 계산한다.
• 하드웨어 기반 Root of Trust(RoT)를 사용해 시스템 전반의 리스타트를 유도함으로써 공격자가 리스타트 시점이나 실행을 조작할 수 없도록 보장한다.
• 리스타트 주기 동안 모든 외부 인터페이스(예: 네트워크, 디버그)를 격리하여 센서와 액추에이터 외에는 활성화되지 않도록 한다.
• 도달 가능성 분석과 현재 식물 상태를 기반으로 다음 리스타트 시점을 동적으로 계산하며, 안전 경계선에 가까워질 경우 이를 조정한다.
• 안전 마진이 너무 작아질 경우 격리 모드를 연장하고, 안전 컨트롤러를 사용해 식물을 위험 영역에서 멀리 이동시켜 안전성을 복구한다.
• 리스타트 주기 내에 랜덤화 기법을 통합하여 공격자가 예측 가능한 실행 패턴을 파고들 수 없도록 하여 공격자의 노력 증가를 유도한다.

실험 결과

연구 질문

• RQ1 시스템 전반의 리스타트와 물리적 시스템 동역학을 조합하여, 공격자가 전체 제어권을 가진 상황에서도 안전 임베디드 CPS의 안전성을 보장할 수 있는가?
• RQ2 어떻게 하면 공격자가 단일 주기 내에 식물의 안정성을 붕괴시킬 수 없도록 하는 안전한 운영 윈도우를 공식적으로 계산할 수 있는가?
• RQ3 고도로 발전된 공격 상황에서도 하드웨어 기반 Root of Trust가 리스타트 이벤트의 무결성을 보장할 수 있는 정도는 어느 정도인가?
• RQ4 장기적인 격리 운영 모드 동안 성능과 반응성은 유지하면서도 안전성을 확보할 수 있는가?
• RQ5 이 프레임워크는 추가 하드웨어나 특수 장치 없이 표준 COTS 임베디드 플랫폼에 구현 가능한가?

주요 결과

• 제안된 프레임워크는 전체 시스템 해킹 상황을 포함한 다양한 공격 시나리오에서도 물리적 식물을 안전 영역 내에 유지하는 데 성공하였다.
• 안전한 운영 윈도우는 실시간 상태 분석에 기반해 동적으로 조정되어, 공격 상황에서도 안전 마진이 유지됨을 보장한다.
• 하드웨어 기반 Root of Trust의 사용으로 공격자가 리스타트 시점이나 격리 단계를 조작하거나 우회하는 것을 방지할 수 있었다.
• 장기적인 격리 모드 동안 안전 컨트롤러가 시스템을 위험 영역에서 효과적으로 이탈시켜 정상 운영 재개 전에 충분한 안전 마진을 복구하였다.
• 이 방법은 실제 환경과 시뮬레이션 환경 모두에서 효과적이며, 3-DoF 헬리콥터와 창고 온도 제어 시스템을 포함한 다양한 시스템에서 검증되었다.
• 이 프레임워크는 주요 제어 소프트웨어의 보안성과 무관하게 검증 가능한 안전성 보장을 제공하여 안전성과 보안성의 분리를 실현하였다.