[论文解读] Studying EM Pulse Effects on Superscalar Microarchitectures at ISA Level

Julien Proy, Karine Heydemann+3 more|arXiv (Cornell University)|Mar 6, 2019

Cryptographic Implementations and Security参考文献 26被引用 6

一句话总结

本文提出一种黑盒方法，用于在超标量乱序微架构（如ARM Cortex-A9）的指令集架构（ISA）层面表征电磁（EM）脉冲引起的故障效应。该方法识别出新型故障模型，包括操作数替换、多个相关联寄存器损坏以及高级控制流劫持，超越了传统的指令跳过和寄存器损坏模型，表明这些复杂效应可绕过标准软件防护措施，尤其在与魔边故障（magic-edge faults）结合时。

ABSTRACT

In the area of physical attacks, system-on-chip (SoC) designs have not received the same level of attention as simpler micro-controllers. We try to model the behavior of secure software running on a superscalar out-of-order microprocessor typical of more complex SoC, in the presence of electromagnetic (EM) pulses. We first show that it is possible, in a black box approach, to corrupt the loop iteration count of both original and hardened versions of two sensitive loops. We propose a characterization methodology based on very simple codes, to understand and classify the fault effects at the level of the instruction set architecture (ISA). The resulting classification includes the well established instruction skip and register corruption models, as well as new effects specific to more complex processors, such as operand substitution, multiple correlated register corruptions, advanced control-flow hijacking, and combinations of all reported effects. This diversity and complexity of effects can lead to powerful attacks. The proposed methodology and fault classification at ISA level is a first step towards a more complete characterization. It is also a tool supporting the designers of software and hardware countermeasures.

研究动机与目标

• 研究运行在复杂超标量乱序微架构上的安全软件对电磁（EM）故障注入的脆弱性。
• 开发一种系统性、黑盒方法，使用最少且有针对性的测试代码，在ISA层面对故障效应进行分类。
• 识别并表征针对先进微架构特有的新型故障模型，这些模型可规避传统软件防护措施。
• 评估现有软件防护措施（如循环复制和校验和）对这些复杂故障模式的有效性。
• 通过揭示现有防护方案的局限性，指导更稳健的软硬件混合防护措施的设计。

提出的方法

• 使用市售EM设备对ARM Cortex-A9处理器实施黑盒故障注入，以污染普通和硬化版本的软件循环迭代计数。
• 采用逐步推进的方法，从简单代码片段（如单条指令、小型循环）入手，隔离并分类ISA层面的故障效应。
• 系统性地对不同芯片位置进行故障注入实验，采用不同的EM脉冲参数，以观察并记录故障行为。
• 基于可观测效应对故障进行分类：指令跳过、寄存器损坏、操作数替换、控制流劫持以及复合效应。
• 分析硬化循环变体（如带校验和的循环复制）在复杂故障条件下的检测能力与失效模式。
• 采用概率性故障建模方法解释注入结果，识别未被检测到但具有危害性的故障模式，包括魔边效应。

实验结果

研究问题

• RQ1 在超标量乱序微架构中，EM脉冲在ISA层面可引发哪些类型的故障效应？
• RQ2 如操作数替换和相关联寄存器损坏等新型故障模型，与指令跳过或单寄存器损坏等经典模型有何不同？
• RQ3 最先进的软件防护措施（如带校验和的循环复制）在多大程度上无法检测到复杂复合故障效应？
• RQ4 魔边效应在绕过基于软件的故障检测机制中起到何种作用？
• RQ5 涉及多个同时损坏或控制流操纵的复合故障效应是否可被可靠表征并加以利用？

主要发现

• 本研究仅使用市售EM设备，成功在敏感循环的普通版本和硬化版本上诱导出故障效应，证明了在复杂SoC上实际可利用性。
• 15%的观测故障无法解释，表明存在未知或高度复杂的故障机制，需进一步研究。
• 复合故障和魔边效应是未被检测到的有害故障的主要原因，其中48%的复合故障被基于循环的防护措施检测到，而剩余52%则成功规避检测。
• 导致双重寄存器损坏的操作数替换是最常见的有害单一故障，可绕过标准检测机制。
• 叠加多个防护措施（如循环复制+校验和）使代码大小增加11倍，但仍无法完全抵御魔边故障和复合故障。
• 结果表明，基于复制的纯软件防护措施在面对相关联和复合故障模型时根本不足，而这类模型在复杂微架构中普遍存在。