ACM通信
内部风险
相信传感器物理原理的风险
图源:Getty Images
传感器是将物理转化为电子的传感器。然后计算机软件对二进制表示进行解释和操作，而不是直接的物理量或电量。例如，无人机软件使用有符号整数的抽象来表示陀螺仪的输出，以实现飞行稳定性和姿态控制。13一个转导攻击利用传感器物理中的漏洞来操纵其输出或诱导故意错误。例如，恶意声干扰可以影响从智能手机到医疗设备到自动驾驶汽车等系统中受软件信任的传感器的输出。尽管有不值得信任的组件，自治系统仍然应该是值得信任的。来自嵌入式安全的技术可以帮助防止物联网中自主系统的模拟威胁。
的威胁。盗贼可以利用中间人(MITM)攻击无钥匙进入系统来闯入汽车。5汽车制造商可以通过正确使用密码学来抵消MITM攻击。然而，这些MITM攻击利用汽车系统，意图无线电波允许访问。相反，传导攻击利用电路的非预期功能来威胁传感器输出的完整性和可用性。密码学不足以防御转导攻击。攻击者可以利用材料的物理特性来欺骗传感器，使其无意中接收到不需要的恶意信号。这种威胁越来越大，以至于美国政府警告制造商注意利用传感器物理原理的传感器攻击。1
传感器面临两种类型的模拟威胁:不需要特殊用途设备的机会攻击，以及需要特殊用途发射器和对物理的基本理解的高级攻击。例如，机会主义攻击可以利用网络钓鱼来诱骗一个人在智能手机上播放不可信的音乐视频。声波可以影响加速度计的输出。14由于智能手机同时包含扬声器和加速计，攻击者不需要发射器或特殊设备来进行这种攻击。高级攻击者可以构建自定义的声学或射频发射器。例如，对手可以使用远程声学设备(LRAD)从一英里外传递强烈的声波。
漏洞。数十亿部署的传感器缺乏针对故意物理操作的内置保护。4，12，13，14，15最有可能的是，这些传感器是在社区了解安全风险之前设计的。研究人员已经反复展示了对手不仅可以导致拒绝服务，而且还可以在传感器的谐振频率上使用恶意模拟信号控制传感器输出本身。漏洞往往潜伏在模拟传感器的物理结构中。风险上升到软件层。
的DolphinAttack15表示一个转导攻击漏洞，通过听不见的声音可以欺骗语音识别系统执行幻影命令。麦克风，尤其是微型微电子机械系统(MEMS)麦克风，可以听到超声波。虽然电路和软件试图减弱这种高频声音，但对手可以用超声波注入虚假的语音命令。超声波方法利用了电路信号路径调节中的非线性行为。麦克风被欺骗成一个无意的声音解调器。海豚攻击可以无声地操纵几乎所有流行的语音识别系统，比如Siri、谷歌Now、三星S Voice、华为HiVoice、Cortana、Alexa，以及奥迪汽车的语音控制导航系统。
恶意后门耦合。在飞机安全的背景下，前门干扰是指直接通过天线端口进入系统的不需要的信号，而后门干扰是指通过耦合到电线和其他组件间接进入系统的不需要的信号。9换能器攻击可以使用恶意后门耦合使传感器充当无意的接收器和解调器。也就是说，设计用于感知一种现象(例如，汽车减速)的传感器也可能接受不需要的信号(例如，传感器谐振频率的声波)，而不区分来源。恶意的后门耦合可以利用振幅不显著的谐振频率来掩盖合法的信号。恶意后门耦合侵犯传感器完整性的例子有很多。恶意后门无线电波欺骗起搏器使起搏电击失效。4混合前门和后门耦合的恶意干扰欺骗了特斯拉的传感器，使其隐藏和欺骗障碍物，7如本专栏中描述真实、欺骗和阻塞距离的三幅图像系列所示。
黑客不一定需要特殊用途的设备来利用传感器中的后门耦合。人们可以利用笔记本电脑、智能手机、扬声器系统甚至灯泡中常见的软件控制发射器。例如，我们的研究演示了播放嵌入在YouTube视频中的声音如何让对手控制智能手机的MEMS加速计的输出。该漏洞的工作原理是传感器和智能手机内置扬声器之间的机械耦合，扬声器会以传感器的谐振频率通过载波调制发出恶意信号，以诱导选定的传感器输出。14
高级传感器攻击。传感器将物理转化为电子，由计算机系统进行解释。然而，模拟信号可以利用传感器的物理特性来欺骗数据。这张照片显示了恶意电磁波如何欺骗软件处理信号从热电偶显示一个不可思议的低温(零下1409°F是低于绝对零度527°K)。
可靠的嵌入式系统
防范转导攻击是很困难的，因为后果会作为软件症状出现，但风险始于硬件物理。静态分析、模糊测试和签名软件更新等良好的安全实践不足以防止传感器故意传递虚假数据。软件安全工具的设计不是为了控制模拟安全风险。因此，我们建议回归经典工程方法，以获得更可靠的嵌入式系统，以应对对传感器技术底层物理的威胁。
- 从以组件为中心的安全性转向以系统为中心的对不可信组件的容忍度。
- 使传感器硬件的输出可以通过软件更连续地检查，以防止对手的影响。
- 通过制造减少共振效应的电路来增加攻击的难度。
避免以组件为中心的安全性。传感器系统应该保持安全，尽管对抗性的影响不值得信任的组件。容错系统通过使用分区等技术限制损害，开创了该问题的非对抗性变体。但是，验证后产生的错误和缺陷无法通过验证被发现。在计算机安全中，攻击者控制了组件中恶意诱导错误的概率分布，并可以在验证后诱导故障。
尽管有不值得信任的组件，自治系统仍然应该是值得信任的。
将安全性仅仅视为另一个组件而不是属性的系统，在面对能够通过传导攻击操纵传感器的模拟对手时，生存能力很差。受信任的组件不足以确保系统受信任。例如，如果盲目地接受来自可信传感器的输出，而不是不断地怀疑和检查传感器输出的可信度，安全处理器将很乐意签署虚假的传感器数据。当攻击成功时，可信任的组件可能会灾难性地失败;当攻击成功时，值得信任的系统可以更优雅地失败。整个系统可信度的关键是系统能够检查传感器输出的可信度。
恶意干扰愚弄了特斯拉的传感器，使其隐藏和欺骗障碍物:7(a)实际距离;(b)欺骗距离;(c)堵塞距离。
使传感器输出的安全性可连续检查。信息安全的核心原则8是将输入视为谨慎的，直到显示为值得信赖(例如，通过满足独立检查)。传感器可以包含自校准电路，在制造或上电期间用注入信号进行测试，以验证传感器的性能符合规定。即使自然母亲是敌人，自我检查也是困难的。NOAA发现，由于异常检测算法的假阳性，其算法错误地排除了阿拉斯加温度传感器的输出。3.受到有意转导攻击威胁的传感器必须通过更高的连续可检查性标准。
网络物理系统必须应对对手在没有任何特殊用途设备的情况下可以利用的模拟威胁。
传感器接口可以不断地为应用程序传递额外的证据，以执行传感器可信度的端到端检查。一些传感器已经在内部维护调试信息，但不通过硬件-软件API公开这些信息。传感器可以暴露光谱分析、置信度指标或其他提示，以便软件应用程序可以更好地检测威胁，例如已知谐振频率的信号。系统还可以比较基于不同物理原理的多个传感器的数据(例如，比较感应磁场的簧片开关和霍尔效应传感器)。一个工程上的挑战是协调安全性与性能、单板空间和成本的限制。暴露传感器输出可信度的可检查提示将使以组件为中心的安全性向以系统为中心的安全性转变。
指定物理安全性。当我们报告了一个允许加速度计输出产生对抗性影响的声学安全漏洞时，一家制造商提出了一个创新的建议，详细说明了如何更安全地将传感器连接到电路板上。2对CERT报告的回应可能是建议客户实际操作钻头(而不是数字钻头)以减轻安全漏洞的第一个例子。建议客户使用硬机箱的内安装柱，以减少传感器附近的板偏转，并确保板的振动高于传感器的谐振频率。在电路板上钻不同的孔可以将谐振频率移出附近的声学换能器可以产生的范围或传感器的非线性可以解调的范围。制造商还建议客户在包含扬声器的电路板周围放置物理沟槽，以减少机械耦合。这种简单的物理方法可以作为有效的补偿控制，以降低转导攻击的风险。
嵌入式安全教育
安全性是系统属性。因此，传感器驱动的安全关键系统的设计应该由具有广泛计算机安全风险知识的系统工程师进行监督。这种系统的团队领导需要掌握从物理、电气工程、机械工程到计算机科学、信息科学、公共政策和伦理的技能。
跨学科团队。对于医疗设备和车辆，工程团队最少需要机械工程、电气工程和计算机科学方面的专家，他们都有风险意识，并认识到合作的价值。注定要解决这类问题的学生需要尽早在课堂和实习中接触跨学科的团队合作。然而，并不是所有的工程师都必须掌握计算机安全的基本物理知识。相反，每个团队成员都需要对风险有基本的认识。系统总是包含一些风险，这些风险不属于团队成员的专业领域。因此，每个工程师都有道德责任保持对模拟安全风险的认识，向管理层通报未控制的风险，并知道何时向团队领导者寻求专家帮助。
跨学科教育的概念对于计算机科学来说并不新鲜。在20世纪90年代，软件工程社区讨论了向计算机科学范围之外的跨学科教育的转变。10，11类似地，一个好的嵌入式安全工程师不会简单地是一个好的计算机科学家或一个好的程序员。跨学科的教育和团队合作是确保传感器驱动的安全关键系统安全的关键。
嵌入式安全教育机会。有抱负的系统安全工程师需要机会学习嵌入式安全的基础知识。然而，考虑到满足行业对天才程序员的需求的压力，计算机科学课程几乎没有增加内容的空间。在这些限制条件下，计算机科学专业如何培养嵌入式安全专业毕业生?计算机科学不能单独取得成功。
工程学院应该为有抱负的学生提供跨学科的教育课程，让他们学习如何保护网络物理系统。学生不仅要学习计算机科学和计算机安全的基础知识，还要学习计算抽象的物理学。软件工程师可以参加计算机安全课程，学习威胁建模、密码学和安全编程方法。为了掌握嵌入式安全的概念和技能，工程师还需要学习信号和系统、通信理论和经典物理的基础知识。例如，防御转导攻击涉及光谱分析、机械共振和调制。希望成为嵌入式安全专家的学生必须了解从传感器到人类行为的每一层计算在遭受对抗性干扰时是如何失败的。
回到基本问题。学生们正在失去对实现计算抽象的物理机器的欣赏。从削弱计算机作用的院系毕业的学生将无法创建值得信赖的网络物理系统。例如，不知道转导攻击的学生可能错误地认为经过验证的软件是防故障的。以数学为中心的院系倾向于避免那些强调构建物理系统的课程。如果一个系取消了计算机体系结构，学生们可能会躲在漂亮的Java外观后面寻求舒适，而不是面对计算机的丑陋限制。即使是以工程为中心的计算机科学系也会遇到这个问题。学生们可能会渴望马上就能进入市场的编程技能，而不是理解软件运行的机器的基本限制。
创建下一代可信的网络物理系统的学生需要了解实现每个抽象的机器的物理限制。做到这一点的一个有效方法是包括本专栏前面建议的以实验为特色的实验室。未来的软件工程师必须掌握以数学为中心和以工程为中心的技能，同时了解计算机械的物理限制。这个话题值得更长的对话。
结论
传感器容易受到换能器攻击的欺骗。网络物理系统必须应对对手在没有任何特殊用途设备的情况下可以利用的模拟威胁。汽车根据加速度计的数据来决定是否安装安全气囊。14心脏起搏器和除颤器根据心脏传感器的数据决定是否发出电击。6黑客试图操纵传感器造成破坏是不可避免的，也是可以预见的。即使对手可以利用物理原理来影响传感器的输出，做出安全关键决策的自主系统也应该保持安全。社区可以通过设计可连续检查安全属性的传感器和增加学生掌握计算机安全物理和嵌入式安全原理的机会来降低这些风险。
参考文献
1.警报(ics -报警- 17 - 073 - 01 - a)。MEMS加速度计硬件设计缺陷(更新A)，(2017年4月11日);http://bit.ly/2CjTdcD．
2.Analog Devices对ICS-ALERT-17-073-01的建议(2017年4月);http://bit.ly/2EPF9cc．
3.阿恩特，D.阿拉斯加北坡的气候变化超出了我们测量它的工具之一。2017年12月6日;http://bit.ly/2AFNBJz．
4.Foo Kune, D.等。Ghost Talk:减轻针对模拟传感器的EMI信号注入攻击。在IEEE安全与隐私研讨会论文集(奥克兰，加州)，2013年5月。
5.Francillon, A, Danev, B，和Capkun, S.继电器攻击被动无钥匙进入和现代汽车启动系统。在网络与分布式系统安全研讨会论文集，《互联网协会》，2011。
6.起搏器召回暴露了国家对嵌入式安全研究和教育的需求。在计算机社区联盟(CCC)，(2017年9月);http://bit.ly/2xBEqel．
7.刘杰，闫超，徐伟，你能信任自动驾驶汽车吗:针对自动驾驶汽车传感器的非接触式攻击。在DEFCON24(2016年8月);http://bit.ly/2EQNOLs．
8.诺伊曼，P.G.基本诚信原则。在网络安全新解决方案。在麻省理工学院出版社/连接科学， H. Shrobe, D. Shrier, A. Pentland, Eds。，剑桥，马萨诸塞州，2018年。
9.多个便携式电子设备对飞机无线电的累积干扰。在IEEE数字航空电子系统会议, 2005年。
10.为计算机专业人员提供教育。在IEEE计算机23， 1(1990年1月)，1722。
11.软件工程课程不是计算机科学课程。在软件工程年鉴(1998), 1937。(转载于IEEE Software(2011年11月/ 12月)1999), 1930。
12.鲁夫，我，等人。车内无线网络的安全和隐私漏洞:胎压监测系统案例研究。在USENIX安全研讨会论文集，(2010年8月)。
13.Son, S.等人。摇摆无人机与陀螺仪传感器上有意的声音噪音。在USENIX安全研讨会论文集(2015年8月)。
14.特里佩尔，T.等。核桃:用声注入攻击对MEMS加速度计的完整性提出质疑。在IEEE欧洲安全与隐私研讨会论文集(欧元标普)，(2017年4月)，http://bit.ly/2Cl2KQn．
脚注
作者感谢Steve Bellovin、Robert Dick、Peter Denning、Nancy Leveson、Peter Neumann、David Parnas、Jerry Saltzer、Zeynep Tufekci和Ben Zorn的评论意见。
这项工作得到了美国国家科学基金会CNS-1330142的支持。本专栏中包含的观点和结论是作者的观点，不应被解释为必然代表NSF的官方政策，无论是明示的还是暗示的。
数字图书馆是由计算机协会出版的。版权所有©2018 ACM, Inc.
没有找到条目