[论文解读] Trick or Heat? Manipulating Critical Temperature-Based Control Systems Using Rectification Attacks

Yazhou Tu, Sara Rampazzi+4 more|arXiv (Cornell University)|Apr 10, 2019

Electrostatic Discharge in ElectronicsEngineering参考文献 49被引用 20

一句话总结

本文展示了一种物理层攻击，利用运算放大器和仪器放大器中的非预期整流效应，远程操控关键控制系统（如婴儿保育箱和冷藏设备）中的温度传感器读数，且不会触发警报。该攻击通过低功率电磁干扰产生可控的直流偏移，使温度远程升至危险水平（例如38.5°C或29°C），作用距离可达1.9米。

ABSTRACT

Temperature sensing and control systems are widely used in the closed-loop control of critical processes such as maintaining the thermal stability of patients, or in alarm systems for detecting temperature-related hazards. However, the security of these systems has yet to be completely explored, leaving potential attack surfaces that can be exploited to take control over critical systems. In this paper we investigate the reliability of temperature-based control systems from a security and safety perspective. We show how unexpected consequences and safety risks can be induced by physical-level attacks on analog temperature sensing components. For instance, we demonstrate that an adversary could remotely manipulate the temperature sensor measurements of an infant incubator to cause potential safety issues, without tampering with the victim system or triggering automatic temperature alarms. This attack exploits the unintended rectification effect that can be induced in operational and instrumentation amplifiers to control the sensor output, tricking the internal control loop of the victim system to heat up or cool down. Furthermore, we show how the exploit of this hardware-level vulnerability could affect different classes of analog sensors that share similar signal conditioning processes. Our experimental results indicate that conventional defenses commonly deployed in these systems are not sufficient to mitigate the threat, so we propose a prototype design of a low-cost anomaly detector for critical applications to ensure the integrity of temperature sensor signals.

研究动机与目标

• 研究模拟传感器组件遭受物理层攻击时，基于温度的控制系统所面临的安全与风险问题。
• 展示电磁干扰（EMI）如何在放大器中引发非预期整流，导致伪造的温度读数，从而绕过警报机制。
• 评估此类攻击在真实世界安全关键系统（包括婴儿保育箱和实验用精密天平）中的可行性与影响。
• 分析其他使用类似信号调理电路的模拟传感器（如压力和pH传感器）的脆弱性。
• 提出一种低成本的模拟异常检测器原型，以提升传感器信号完整性并缓解该威胁。

提出的方法

• 该攻击利用运算放大器和仪器放大器中的非预期整流效应，其中入射电磁信号在放大器输出端产生可控的直流电压偏移。
• 通过远程发射UHF频段（300 MHz – 3 GHz）的低功率调幅电磁干扰信号，诱导传感器电路中的电压偏移，无需直接物理接触。
• 实验采用直接电源注入（DPI）和远程信号注入方法，在市售温度传感器和控制系统（包括婴儿保育箱和精密天平）上进行。
• 该攻击在多个系统上得到验证：婴儿保育箱、数字实验室天平（CGOLDENWALL和Escali L600），以及pH计，攻击距离和信号频率各不相同。
• 通过观察EMI注入下传感器输出（如温度、重量、pH）的变化来衡量攻击效果，结果以摄氏度、克和pH单位量化。
• 设计了一款模拟异常检测器原型，用于检测表明信号欺骗的异常信号特征，从而增强关键应用中的传感器完整性。

实验结果

研究问题

• RQ1 能否利用电磁干扰通过放大器中的非预期整流效应，在温度传感器信号中产生可控的直流偏移？
• RQ2 此类攻击在多大程度上可远程操控婴儿保育箱等安全关键系统中的温度读数，且不触发警报？
• RQ3 使用类似信号调理电路的其他模拟传感器（如压力和pH传感器）是否也易受此类攻击影响？
• RQ4 系统级因素（如屏蔽、噪声抑制、天线类型和方向）如何影响攻击的成功率和作用范围？
• RQ5 传统EMI防护措施是否足以缓解此硬件级漏洞，还是需要新的检测机制？

主要发现

• 攻击者可使用4 W的发射功率，在1.9米距离处将婴儿保育箱的温度远程操控至38.5°C（高热风险）或29°C（低热风险）。
• 在0.5米距离处，使用685 MHz的EMI信号，成功使CGOLDENWALL数字天平读数减少6.37 g，Escali L600天平读数减少7 g或增加13.9 g。
• 在0.5米距离处，使用515 MHz的EMI信号，使pH计读数增加0.42 pH单位，表明在SCADA和水处理系统中存在脆弱性。
• 即使系统采用传统EMI防护措施，该攻击仍具有效力，表明传统防护手段不足以应对此类物理层攻击。
• 所诱导的直流偏移量显著受系统屏蔽、噪声抑制电路以及天线特性与方向的影响。
• 提出了一款模拟异常检测器原型，可检测伪造信号，为关键温度传感应用提供实用的防御机制。