[論文レビュー] Restart-Based Security Mechanisms for Safety-Critical Embedded Systems

Fardin Abdi, Chien-Ying Chen+4 more|arXiv (Cornell University)|May 3, 2017

Security and Verification in Computing参考文献 26被引用数 4

ひとこと要約

本論文は、物理的インertiaを活用することで、安全でない埋め込み型CPSにおける物理的安全性とシステムセキュリティを分離するリスタートベースのセキュリティフレームワークを提案する。安全な運用ウィンドウを動的に計算し、ハードウェアRoot of Trust（RoT）を用いてシステム全体のリスタートをトリガーすることで、攻撃者が完全に制御下に置かれても、プラントが安全な範囲内に保たれることを保証する。3自由度ヘリコプターとシミュレートされた温度制御システムを用いた実証により、実現可能性が示された。

ABSTRACT

Many physical plants that are controlled by embedded systems have safety requirements that need to be respected at all times - any deviations from expected behavior can result in damage to the system (often to the physical plant), the environment or even endanger human life. In recent times, malicious attacks against such systems have increased - many with the intent to cause physical damage. In this paper, we aim to decouple the safety of the plant from security of the embedded system by taking advantage of the inherent inertia in such systems. In this paper we present a system-wide restart-based framework that combines hardware and software components to (a) maintain the system within the safety region and (b) thwart potential attackers from destabilizing the system. We demonstrate the feasibility of our approach using two realistic systems - an actual 3 degree of freedom (3-DoF) helicopter and a simulated warehouse temperature control unit. Our proof-of-concept implementation is tested against multiple emulated attacks on the control units of these systems.

研究の動機と目的

• 物理的損害や人的被害を引き起こす可能性がある、安全でない埋め込み型CPSに対するサイバー攻撃の増加に取り組む。
• 物理的安全性とシステムセキュリティを分離し、システムが侵害されても安全性が保たれるようにする。
• 従来のセキュリティメカニズムでは物理的ダイナミクスを考慮できず、攻撃下でも安全性を保証できないという限界を克服する。
• リソース制約のある環境でも、検証可能な安全性を提供する、軽量でCOTSベースのソリューションを設計する。
• システム設計者が実行時におけるパフォーマンスとセキュリティのトレードオフを、形式的な安全性保証とともに行えるようにする。

提案手法

• 攻撃者が完全に制御下にあっても、プラントを危険な状態にできない安全な運用ウィンドウを、物理的インertiaを活用して計算する。
• ハードウェアRoot of Trust（RoT）を用いてシステム全体のリスタートをトリガーし、攻撃者がリスタートのタイミングや実行を改ざんできないようにする。
• リスタートサイクル中は、すべての外部インターフェース（例：ネットワーク、デバッグ）を隔離し、センサーやアクチュエータ以外のアクセスを遮断する。
• 到達可能性解析と現在のプラント状態に基づいて、次回のリスタート時刻を動的に計算し、安全境界への接近度に応じて調整する。
• 安全マージンが小さすぎる場合には、隔離モードを延長し、安全でない領域からプラントを積極的に遠ざける安全制御器を用いる。
• リスタートサイクルにランダム化技術を統合することで、攻撃者が予測可能な実行パターンを把握できないようにし、攻撃の努力を増加させる。

実験結果

リサーチクエスチョン

• RQ1 システム全体のリスタートと物理的システムダイナミクスを組み合わせることで、攻撃者が完全に制御下に置かれても、安全でない埋め込み型CPSにおける安全性を保証できるか？
• RQ2 攻撃者が1サイクル内にプラントを不安定化できないようにするため、安全な運用ウィンドウを形式的に計算する方法は何か？
• RQ3 高度な攻撃が存在する状況下でも、ハードウェアRoot of Trustがリスタートイベントの整合性をどの程度保証できるか？
• RQ4 延長された隔離運用モード中でも、パフォーマンスと応答性を維持しながら安全性を確保するにはどうすればよいか？
• RQ5 このフレームワークは、RoTを除いて追加または特化したハードウェアを必要としない標準的なCOTS埋め込みプラットフォーム上に実装可能か？

主な発見

• 提案されたフレームワークは、完全なシステム侵害が加わる複数の攻撃シナリオにおいても、物理的プラントを安全領域内に維持することに成功した。
• 安全な運用ウィンドウは、リアルタイムの状態解析に基づいて動的に調整され、攻撃下でも安全マージンが保たれることを保証した。
• ハードウェアRoot of Trustの使用により、攻撃者がリスタートのタイミングを改ざんしたり、隔離フェーズを回避したりするのを防げた。
• 延長された隔離モード中、安全制御器が効果的にシステムを危険領域から遠ざけ、通常運用を再開する前に十分な安全マージンを回復させた。
• 本手法は、実世界およびシミュレート環境の両方で有効であることが実証された。具体的には、3自由度ヘリコプターと倉庫温度制御システムを用いた実験が行われた。
• フレームワークは、主制御ソフトウェアのセキュリティに依存しない検証可能な安全性保証を提供し、安全性とセキュリティの分離を達成した。