[论文解读] A Reconnaissance Attack Mechanism for Fixed-Priority Real-Time Systems

Chien-Ying Chen, AmirEmad Ghassami+5 more|arXiv (Cornell University)|May 7, 2017

Real-Time Systems Scheduling参考文献 32被引用 8

一句话总结

本文提出 ScheduLeak，一种新颖的侦察攻击，通过分析 CPU 利用率模式，在不改变系统行为的前提下，重建固定优先级实时系统的精确调度。该方法即使在执行时间波动下仍能实现高精度（平均 95% 准确率），从而通过利用可预测的任务调度，为后续侧信道攻击创造条件。

ABSTRACT

In real-time embedded systems (RTS), failures due to security breaches can cause serious damage to the system, the environment and/or injury to humans. Therefore, it is very important to understand the potential threats and attacks against these systems. In this paper we present a novel reconnaissance attack that extracts the exact schedule of real-time systems designed using fixed priority scheduling algorithms. The attack is demonstrated on both a real hardware platform and a simulator, with a high success rate. Our evaluation results show that the algorithm is robust even in the presence of execution time variation.

研究动机与目标

• 识别并利用固定优先级实时系统的可预测性作为安全漏洞。
• 开发一种非侵入式方法，以在不被检测的情况下推断硬实时系统的精确任务调度。
• 评估在实际系统变化（如执行时间抖动和任务数量变化）下，调度重建的可行性和精度。
• 通过仿真和在嵌入式平台上实际部署硬件的方式，证明该攻击的实用性。
• 展示重建的调度可支持高精度的侧信道攻击，例如基于缓存的时序泄漏。

提出的方法

• 该攻击使用系统运行期间收集的 CPU 利用率轨迹，推断任务到达时间和执行模式。
• 将系统建模为一组具有已知最坏情况执行时间（WCET）的周期性任务，并应用分解算法以识别繁忙区间内的任务组合。
• ScheduLeak 算法利用固定优先级调度的可预测结构，从观测到的利用率模式中重建精确的任务调度。
• 引入新的性能度量——精确率比和调度重建准确率，以评估推断质量。
• 通过在不同系统参数（利用率、任务数量、执行时间变化）下进行详尽的仿真，以及在运行实时操作系统的硬件平台上进行真实世界测试，验证该方法。
• 一个用例表明，重建的调度可使基于缓存的侧信道攻击获得高成功率，而缺乏调度知识的朴素攻击则产生无法使用的噪声数据。

实验结果

研究问题

• RQ1 攻击者能否仅通过被动观察 CPU 利用率，重建固定优先级实时系统的精确调度？
• RQ2 执行时间波动如何影响实时系统中调度推断的精度？
• RQ3 哪些系统参数（如任务数量、利用率、繁忙区间长度）对调度重建成功率的影响最大？
• RQ4 重建的调度在多大程度上可用于支持其他隐蔽攻击，如基于缓存的侧信道攻击？
• RQ5 观察持续时间如何影响调度推断的准确性？

主要发现

• 当执行时间波动设置为 WCET 的 80% 时，ScheduLeak 算法的平均精确率比达到 0.95；在 60% WCET 时为 0.929。
• 由于繁忙区间分解中的组合复杂性增加，任务数量越多，调度重建的精度越低。
• 较短的繁忙区间——在低利用率系统中常见——会因可选到达时间候选数减少而降低推断成功率。
• 更高的系统利用率会因每个繁忙区间内任务更多而增加不确定性，从而导致整体推断精度下降。
• 更长的观察持续时间可提高推断准确性，当观测到多个超周期时，精确率随之提升。
• 重建的调度可使基于缓存的侧信道攻击成功，而缺乏调度知识的朴素攻击则产生无用的噪声数据。