[论文解读] Restart-Based Security Mechanisms for Safety-Critical Embedded Systems

Fardin Abdi, Chien-Ying Chen+4 more|arXiv (Cornell University)|May 3, 2017

Security and Verification in Computing参考文献 26被引用 4

一句话总结

本文提出了一种基于重启的安全框架，通过利用物理惯性，将安全关键嵌入式 CPS 中的物理安全与系统安全解耦。通过动态计算安全运行窗口，并使用硬件可信根（Root of Trust）触发系统级重启，该方法即使在遭受完全攻击控制的情况下，也能确保被控对象保持在安全范围内。该方法已在三自由度直升机和模拟温控系统上得到验证。

ABSTRACT

Many physical plants that are controlled by embedded systems have safety requirements that need to be respected at all times - any deviations from expected behavior can result in damage to the system (often to the physical plant), the environment or even endanger human life. In recent times, malicious attacks against such systems have increased - many with the intent to cause physical damage. In this paper, we aim to decouple the safety of the plant from security of the embedded system by taking advantage of the inherent inertia in such systems. In this paper we present a system-wide restart-based framework that combines hardware and software components to (a) maintain the system within the safety region and (b) thwart potential attackers from destabilizing the system. We demonstrate the feasibility of our approach using two realistic systems - an actual 3 degree of freedom (3-DoF) helicopter and a simulated warehouse temperature control unit. Our proof-of-concept implementation is tested against multiple emulated attacks on the control units of these systems.

研究动机与目标

• 应对日益增长的安全关键嵌入式系统所面临的网络攻击威胁，此类攻击可能导致物理损坏或人员伤亡。
• 将物理安全与系统安全解耦，确保即使系统被攻破，安全仍能得以维持。
• 克服传统安全机制的局限性，这些机制未能考虑物理动力学特性，且在遭受攻击时无法保证安全。
• 设计一种轻量级、基于商用现成（COTS）的解决方案，可在资源受限环境中提供可验证的安全保障。
• 使系统设计者能够在运行时通过形式化安全保证，灵活权衡性能与安全性。

提出的方法

• 利用物理惯性，计算在攻击者即使完全控制下也无法使被控对象进入不安全状态的安全运行窗口。
• 使用硬件可信根（RoT）触发系统级重启，确保攻击者无法篡改重启时机或执行过程。
• 在重启周期中隔离所有外部接口（如网络、调试接口），仅允许传感器和执行器保持活动。
• 基于可达性分析和当前被控对象状态，动态计算下一次重启时间，并根据接近安全边界的程度进行调整。
• 当安全裕度过小时，延长隔离模式，并使用安全控制器主动将被控对象从不安全区域驱离。
• 在重启周期中引入随机化技术，通过破坏可预测的执行模式，增加攻击者实施攻击的难度。

实验结果

研究问题

• RQ1 在系统级重启与物理系统动力学相结合的情况下，是否能在遭受完全攻击控制的条件下，保证安全关键 CPS 的安全性？
• RQ2 如何形式化计算一个安全运行窗口，以确保攻击者无法在单个周期内使物理被控对象失稳？
• RQ3 在面对复杂攻击时，硬件可信根在多大程度上能确保重启事件的完整性？
• RQ4 在长时间隔离运行模式下，系统如何在确保安全的同时维持性能和响应能力？
• RQ5 该框架是否可部署在标准商用现成（COTS）嵌入式平台上，而无需额外定制或专用硬件，仅需可信根（RoT）？

主要发现

• 所提出的框架在多种攻击场景下，包括系统完全被攻破的情况下，均成功将物理被控对象维持在安全区域内。
• 安全运行窗口根据实时状态分析动态调整，即使在对抗条件下也能确保安全裕度不被突破。
• 硬件可信根的使用可防止攻击者篡改重启时机或绕过隔离阶段。
• 安全控制器在长时间隔离模式下能有效将系统从不安全边界区域驱离，恢复足够的安全裕度后才重新进入正常运行状态。
• 该方法在真实世界和模拟环境中均被证明有效，包括三自由度直升机和仓库温控系统。
• 该框架提供了与主控软件安全性无关的可验证安全保证，实现了安全与安全的解耦。