[論文レビュー] Oops..! I Glitched It Again! How to Multi-Glitch the Glitching-Protections on ARM TrustZone-M

Marvin Saß, Richard Mitev+1 more|arXiv (Cornell University)|Feb 14, 2023

Physical Unclonable Functions (PUFs) and Hardware Security被引用数 5

ひとこと要約

本稿では、1つのトリガー信号を用いて複数の同期された電圧故障を注入できる、初めての電圧故障インジェクションプラットフォームである$\mu$-Glitchを提案する。これにより、故障パラメータの探索複雑度が顕著に低減される。本研究では、4つのARM TrustZone-Mチップに対してマルチグリッチインジェクションを成功裏に実装した—約1日間で4回の連続故障を達成し、単一故障を想定した指令レベルの故障インジェクション保護を効果的に回避した。

ABSTRACT

Voltage Fault Injection (VFI), also known as power glitching, has proven to be a severe threat to real-world systems. In VFI attacks, the adversary disturbs the power-supply of the target-device forcing the device to illegitimate behavior. Various countermeasures have been proposed to address different types of fault injection attacks at different abstraction layers, either requiring to modify the underlying hardware or software/firmware at the machine instruction level. Moreover, only recently, individual chip manufacturers have started to respond to this threat by integrating countermeasures in their products. Generally, these countermeasures aim at protecting against single fault injection (SFI) attacks, since Multiple Fault Injection (MFI) is believed to be challenging and sometimes even impractical. In this paper, we present μ-Glitch, the first Voltage Fault Injection (VFI) platform which is capable of injecting multiple, coordinated voltage faults into a target device, requiring only a single trigger signal. We provide a novel flow for Multiple Voltage Fault Injection (MVFI) attacks to significantly reduce the search complexity for fault parameters, as the search space increases exponentially with each additional fault injection. We evaluate and showcase the effectiveness and practicality of our attack platform on four real-world chips, featuring TrustZone-M: The first two have interdependent backchecking mechanisms, while the second two have additionally integrated countermeasures against fault injection. Our evaluation revealed that μ-Glitch can successfully inject four consecutive faults within an average time of one day. Finally, we discuss potential countermeasures to mitigate VFI attacks and additionally propose two novel attack scenarios for MVFI.

研究の動機と目的

• 現代のハードウェア保護を念頭に置いた、複数電圧故障インジェクション（MVFI）のための実用的ツールの欠如に応えること。
• MVFIにおける複数の故障パラメータの探索空間が指数関数的に増大する問題を、効率的なパラメータ探索アルゴリズムの設計により低減すること。
• 相互に依存するバックチェック機構と故障インジェクション対策を備えた実世界のARM TrustZone-Mマイコンに対して、MVFIの実現可能性と有効性を実証すること。
• 従来のSFI中心の対策が、同期的でマルチ故障を伴う攻撃に対しては不十分であることを明らかにすること。
• セキュアな組み込みシステムにおけるMVFIのための新たな攻撃シナリオと対策を提案すること。

提案手法

• 1つのトリガー信号で複数の正確なタイミングの電圧故障を注入可能な、独自開発のハードウェアプラットフォーム$\mu$-Glitchの設計および実装。
• 複数の故障パラメータの探索における指数的複雑性を低減する、新規で効率的なパラメータ探索アルゴリズムの開発。
• 1回のファームウェア実行中に複数の故障インジェクションを同期させるためのトリガーに基づく同期メカニズムの統合。
• 相互に依存するバックチェック機構と専用のFI対策を備えた4つの実際のARM TrustZone-M MCUsにおける$\mu$-Glitchの評価。
• 特定の順序で実行される命令ポイントに故障を注入することで、LPC55SXXやRT6XX MCUsに内在する指令レベル保護を標的とする攻撃フローの適応。
• ソフトウェアベースの故障保護メカニズムの脆弱性を突くために、命令スキップを焦点とした故障モデルの使用。

実験結果

リサーチクエスチョン

• RQ1 単一のトリガー信号のみを用いて、同期的かつ順次的な故障インジェクションを実現できる実用的で低コストなプラットフォームを構築できるか？
• RQ2 複数の故障パラメータの探索空間が指数的に増大する中で、MVFIを実用的に行うために効率的に探索空間を探索する方法は何か？
• RQ3 ARM TrustZone-Mシステムにおいて、同期的MVFI攻撃を用いることで、従来のSFI中心のソフトウェアおよびハードウェア対策はどの程度まで回避可能か？
• RQ4 複雑で相互に依存する故障保護メカニズムを備えた実世界のMCUを標的にした場合、MVFIの実用的制限と成功確率はどの程度か？
• RQ5 同期的MVFIが可能になったことで生じる新たな攻撃シナリオは何か。それらは、故障インジェクション耐性に関する従来の仮定をどのように覆すか？

主な発見

• $\mu$-Glitchは、平均して1日間でARM TrustZone-Mマイコンに4回の連続的な電圧故障を注入することに成功し、MVFIの実用性を実証した。
• 本プラットフォームは、1つのトリガー信号のみで故障の同期を実現し、従来のMVFIツールにおける主要なボトルネックを克服した。
• LPC55SXXおよびRT6XX MCUsにおける指令レベルの故障インジェクション保護は、複数の連続する命令を標的にすることで回避された。
• 本研究では、評価対象の2つのチップに内在する相互に依存するバックチェック機構が、故障タイミングと順序を的確に最適化すれば依然としてMVFIに対して脆弱であることが判明した。
• 著者らは、命令の複製やオンチップバックチェックに基づくSFI中心の対策が、同期的MVFIに対しては不十分であることを実証した。
• 本研究は、深刻な脅威表面を露呈した：現在の大多数の対策は単一故障攻撃を想定しており、マルチ故障で同期された電圧故障インジェクションに対しては極めて脆弱である。