[論文レビュー] A Reconnaissance Attack Mechanism for Fixed-Priority Real-Time Systems

Chien-Ying Chen, AmirEmad Ghassami+5 more|arXiv (Cornell University)|May 7, 2017

Real-Time Systems Scheduling参考文献 32被引用数 8

ひとこと要約

本稿では、システム動作を変更せずにCPU利用率のパターンを分析することで、固定優先度リアルタイムシステムの正確なスケジュールを再構築できる新規のレコンサイタンス攻撃ScheduLeakを提示する。この手法は実行時間のばらつきがあっても高い精度（平均95%の正確性）を達成し、予測可能なタスクタイミングを活用して後続のサイドチャnel攻撃を可能にする。

ABSTRACT

In real-time embedded systems (RTS), failures due to security breaches can cause serious damage to the system, the environment and/or injury to humans. Therefore, it is very important to understand the potential threats and attacks against these systems. In this paper we present a novel reconnaissance attack that extracts the exact schedule of real-time systems designed using fixed priority scheduling algorithms. The attack is demonstrated on both a real hardware platform and a simulator, with a high success rate. Our evaluation results show that the algorithm is robust even in the presence of execution time variation.

研究の動機と目的

• 固定優先度リアルタイムシステムの予測可能性をセキュリティ上の脆弱性として同定・活用すること。
• 検出されない非侵襲的な方法で、ハードリアルタイムシステムの正確なタスクスケジュールを推定すること。
• 実際のシステム変動（実行時間のジャイタやタスク数の変動）下でのスケジュール再構築の実現可能性と正確性を評価すること。
• シミュレーションおよび実ハードウェア上で組み込みプラットフォームにデプロイした実装を通じて、攻撃の実用性を示すこと。
• 再構築されたスケジュールが、キャッシュベースのタイミング漏洩などの高精度なサイドチャnel攻撃を可能にすることを示すこと。

提案手法

• 攻撃は、システム運用中に収集したCPU利用率トレースを用いて、タスクの到着時刻と実行パターンを推定する。
• システムを、既知の最悪実行時間（WCET）を持つ周期的タスクの集合としてモデル化し、ビジー区間におけるタスク組み合わせを特定するために分解アルゴリズムを適用する。
• ScheduLeakアルゴリズムは、固定優先度スケジューリングの予測可能な構造を活用し、観測された利用率パターンから正確なタスクスケジュールを再構築する。
• 推定品質を評価するために、新たなパフォーマンス指標（正確性比とスケジュール再構築正確性）を導入する。
• 本手法は、さまざまなシステムパラメータ（利用率、タスク数、実行時間のばらつき）を想定した包括的なシミュレーションと、リアルタイムオペレーティングシステムを実行するハードウェアプラットフォーム上での実世界テストを通じて検証された。
• ユースケースでは、再構築されたスケジュールが、ランダムまたは不正確なタイミングに基づく攻撃とは異なり、高い成功率でキャッシュベースのサイドチャnel攻撃を可能にすることを示している。

実験結果

リサーチクエスチョン

• RQ1 攻撃者がCPU利用率の受動的観測のみを用いて、固定優先度リアルタイムシステムの正確なスケジュールを再構築できるか？
• RQ2 実行時間のばらつきが、リアルタイムシステムにおけるスケジュール推定の正確性にどのように影響するか？
• RQ3 タスク数、利用率、ビジー区間長などのシステムパラメータのうち、スケジュール再構築の成功率に最も顕著に影響を与えるものは何か？
• RQ4 再構築されたスケジュールを、キャッシュベースのサイドチャネル攻撃などの他の巧妙な攻撃にどれほど活用できるか？
• RQ5 監視期間の長さが、スケジュール推定の正確性にどのように影響するか？

主な発見

• 実行時間のばらつきがWCETの80%に設定された場合、ScheduLeakアルゴリズムの平均正確性比は0.95を達成し、60%のばらつきでは0.929に達する。
• タスク数の増加に伴い、ビジー区間の分解における組み合わせの複雑性が高まるため、スケジュール再構築の正確性が低下する。
• 低利用率システムに一般的に見られる短いビジー区間は、到着時刻の候補数が限られるため、推定成功確率を低下させる。
• 高いシステム利用率は、1つのビジー区間に含まれるタスク数が増加するため、不確実性が増大し、全体の推定正確性が低下する。
• 長い監視期間は推定正確性を向上させ、複数のハイパーパリオドを観測することで正確性が向上する。
• 再構築されたスケジュールは、キャッシュベースのサイドチャネル攻撃を成功に導くが、スケジュール知識なしの単純な攻撃では、使用不能なノイズデータが得られる。