Wider die bösartigen Schaltkreise! Maschinelles Lernen spürt Hardware-Trojaner auf

Anbieter zum Thema

Stäubli Fluid Connectors

Dell GmbH

Rosenberger-OSI GmbH & Co. OHG

Keysight Technologies Deutschland GmbH

Mit moderner Messtechnik zusammen mit einem sehr schnellen Clustering-Algorithmus ist es möglich, Gefärdungen durch Hardware zuverlässig zu erkennen. Es lassen sich nicht nur Trojaner aufspüren.

Weltweit werden unzählige elektronische Geräte verwendet. Allein bei den Mobiltelefonen sind es laut Statista mehr als 5,19 Milliarden Menschen im Jahr 2020. Damit ist die Zahl gegenüber dem Vorjahr um 124 Millionen gestiegen. Mit der Ausweitung des Internets der Dinge (IoT) wird die Zahl in Zukunft noch deutlich ansteigen. Mit diesem Anstieg einher geht die wachsende Cybersecurity-Bedrohung durch Hardware-Trojaner, bei denen es sich um böswillige Modifikationen der vorgesehenen Funktionalität von in Halbleiterchips eingebetteten Schaltkreisen handelt.

Ihre einfachste Form besteht aus einem Trigger und einer Payload aus einer kleinen Anzahl von Gates. Wenn die Trigger-Bedingungen erfüllt sind, verursacht die Payload eine Fehlfunktion im Chip [1]. Mit dem zunehmenden Auslagern (Outsourcing) des Design und der Fertigung von Schaltkreisen und der Verwendung des geistigen Eigentums (Intellectual Property) von Drittanbietern, steigen die Risiken durch Hardware-Trojaner.

Der Einsatz von elektronischen Geräten, welche genau diese Schwachstellen haben, setzt nicht nur den einzelnen Anwender, sondern auch die Gesellschaft einem enormen Risiko aus. Das ist besonders dann der Fall, wenn die elektronischen Komponenten kritische Systeme wie E-Commerce-Verschlüsselung, autonom fahrende Fahrzeuge oder Luftfahrtkontrollsysteme betreffen.

Aus diesem Grund ist es unerlässlich, dass die Systeme frei von jeglichen bösartigen Schaltkreisen sind. Hier muss es entsprechende Systeme geben, die Hardware-Trojaner in elektronischen Systemen zuverlässig erkennen.

Analysator verfügt über dynamische Strommesstechnik

Forscher unter der Leitung von Nozomu Togawa, Professor an der Fakultät für Natur- und Ingenieurwissenschaften der Universität Waseda, spüren Hardware-Trojaner auf und nutzen dabei den Signalform-Analysator „CX3300A“ von Keysight. Das erfolgt über eine spezielle Art, den Strom zu analysieren und damit die Hardware-Trojaner zu erkennen [2].

Der Analysator verfügt über eine dynamische Strommesstechnik. Sie ist in der Lage, schwer zu messende Signaturen mit hoher Bandbreite zu erfassen. Außerdem unterstützt der Analysator einen Algorithmus für das maschinelle Lernen. Mit dem Algorithmus lassen sich kleine Anomalien in sehr großen Datenbanken (über ein Terabyte) identifizieren.

Die Hardware-Trojaner können über Aktionen wie Signalstopp und Zerstörung schwere Schäden an den elektronischen Geräten anrichten. Die Eingriffe lassen sich durch das Einfügen von wenigen Gates in die Schaltung während der Phase des IC-Designs erreichen und sind damit schwer zu entdecken.

Die beste Möglichkeit, Trojaner zu entdecken, sind Schaltpläne oder Kommunikationssignale des Hauptkanals. Leider wird es durch das zunehmende Outsourcing von Schaltungsdesign und -fertigung sowie das geistige Eigentum anderer Unternehmen schwierig, jedes Detail des Chipdesigns und der I/O-Muster zu verstehen und zu verifizieren.

Damit wird es schwierig bis unmöglich, die bösartigen Trojaner nach der Siliziumherstellung zu erkennen. Das betrifft vor allem die Untersuchung des Hauptkanals. Auf der anderen Seite enthält das Seitenkanalsignal des Versorgungsstroms vielfältige Informationen über die internen Vorgänge des Halbleiterchips.

Sind irgendwelche bösartigen Aktivitäten vorhanden, dann werden sie durch Abweichungen des Versorgungsstroms erkennbar. Allerdings ist es nicht trivial die Trojaner zu erkennen, wenn der Versorgungsstrom überwacht wird.

• Hochauflösende Strommessung mit hoher Bandbreite: Halbleiterchips arbeiten mit Hochfrequenztakten mit mehreren gleichzeitig ablaufenden Prozessen, so dass die Abweichungen des Versorgungsstroms kurzlebig und sehr klein sind. Deshalb wird Strommesstechnik mit hoher Bandbreite und hoher Auflösung benötigt, um Trojaner-Aktivitäten zu identifizieren.

• Maschinelles Lernen für die Analyse von großen Signalformdaten: Da Hardware-Trojaner nur selten aktiv sind, muss mit hoher Geschwindigkeit und hoher Auflösung ununterbrochen über lange Zeiträume gemessen werden. Allerdings erzeugt eine lange und hochaufgelöste Datenerfassung extrem große Datensätze. Die Aufzeichnung eines Datenstroms von 10 Mega Samples per Second (MSa/s) über 24 Stunden erzeugt, beispielsweise eine Signalform-Datenbank mit einer Größe von mehr als einem Terabyte. Hier müssen die Algorithmen sich schnell durch riesige Datenbanken arbeiten.

Bis vor kurzem konnten die vorhandenen Techniken diese Anforderungen nicht erfüllen. Spezialisten bei Keysight sind diese Aufgabe angegangen.

Hochauflösende Strommessung mit hoher Bandbreite

Die Abbildung 1 zeigt ein Beispiel, wie sich Trojaner-Aktivitäten durch Analyse des Seitenkanal-Versorgungsstromsignals erkennen lassen. Im Beispiel wurde eine stromsparende Micro Controller Unit (MCU) so programmiert, dass sie während ihrer aktiven Zeit Nutzdaten mit AES-128 verschlüsselt, während des Ruhezustands findet keine Aktivität statt. In diesem Fall gibt es jedoch einen Trojaner, der die Verschlüsselung gelegentlich deaktiviert.

Eine Versorgungsstrom-Pulsfolge mit diesem Trojaner ist in Abbildung 1a dargestellt. Es ist schwierig, die normalen und die infizierten Pulse visuell zu unterscheiden. Die vergrößerten Ansichten zeigen die Signalunterschiede, wenn der Trojaner aktiv (b) und inaktiv (c) ist. Es ist immer noch schwer, zwischen den beiden Signalen zu unterscheiden. Wenn wir den Anfangsbereich der Pulse vergrößern, können wir sehen, dass es Unterschiede im Mikroampere-Bereich mit Frequenzanteilen von mehreren Megahertz (MHz) gibt.

Bösartige Trojaner zu erkennen ist nur mit einer hochauflösenden Strommesstechnik verbunden mit hoher Bandbreite möglich. Das ist allerdings auch jenseits der Leistungsfähigkeit herkömmlicher Stromtastköpfe.

Es gibt viele Strommesstechniken. Gängige Tastköpfe haben einen minimal messbaren Strom von ungefähr 1 bis 3 mA [3]. Das ist für die Trojaner-Erkennung unzureichend. Im Gegensatz dazu kann der Stromsensor CX1101A von Keysight mit einem internen Shunt-Widerstand von 0,41 Ohm [4] Ströme von bis zu 3 µA und einer Bandbreite von bis zu 100 MHz messen.

Bei niedrigen Pegeln und hoher Bandbreite zu messen wird durch ein spezielles Stromerfassungsschema ermöglicht. Es kombiniert die ohmsche Stromerfassung bei Gleichstrom und niedrigen Frequenzen mit magnetischer Stromerfassung bei höheren Frequenzen. Aufgrund des geringen Einfügewiderstands verursachen große Stromspitzen keinen großen Spannungsabfall, der ausreichen würde, um eine kurzzeitige Absenkung der Spannung des MCU-Bausteins auszulösen (Brownout). Aus diesen Gründen erfasst der Stromsensor „CX1101A“ den dynamischen Stromfluss der Seitenkanalsignale präzise.

Viele Messdaten mit maschinellem Lernen analysieren

Algorithmen für das maschinelle Lernen werden in zwei Kategorien eingeteilt: Supervised und Unsupervised. Mit dem Supervised Learning lassen sich bekannte Muster erkennen und das Unsupervised Learning ist geeignet, wenn unbekannte Anomalien erkannt werden sollen. Da die von Trojanern erstellte Signatur unbekannt ist, ist es sinnvoller, auf das Unsupervised Learning zu setzen.

Unter den Algorithmen für Unsupervised Learning ist Clustering in vielen Anwendungen zu einem wichtigen Tool für die Analyse von Big Data geworden. Es wurden zwar viele Implementierungen von Algorithmen für das Unsupervised Machine Learning unter Verwendung von Clustering entwickelt, aber die meisten waren nicht in der Lage, große Mengen von Signalformdaten zu verarbeiten.

Das Problem: Signalformen sind numerische Arrays, die Tausende von Datenpunkten enthalten. Eine Signalformdatenbank mit Millionen von Signalformen, die jeweils aus Tausenden von Datenpunkten bestehen, ist in Bezug auf die Datenanalyse und Klassifizierung nicht einfach zu handhaben.

Sortieren und Klassifizieren einer solch massiven Datenbank mit herkömmlichen Algorithmen erfordert umfangreiche Rechenressourcen und lange Verarbeitungszeiten. Keysight hat einen Algorithmus entwickelt, der riesige Mengen an Signalformdaten mit einer handelsüblichen PC-Plattform in der gleichen Zeit verarbeiten kann wie große Server.

Die Berechnungszeit des Algorithmus von Keysight ist linear zur Datenmenge und -dimension, selbst wenn die Größe der Messdatenbank weit über den CPU-Hauptspeicher hinausgeht (siehe: Abbildung 2 a). Die Leistung des Algorithmus von Keysight, der auf einem handelsüblichen PC läuft, ist vergleichbar mit der Leistung von Algorithmen, die auf großen Computing-Servern mit 300 bis 400 CPU-Kernen laufen.

Nach der Datenerfassung beginnt die Analyse der Daten

Während die Daten erfasst werden, verwendet die Software die Trigger-Funktion des Oszilloskops, um Signalformen zu definieren, die gleichzeitig durch einen Echtzeit-Tagging-Prozess in ungefähre Cluster (oder Tags) vorsortiert werden (siehe: Abbildung 2 b). Die vorsortierten Ergebnisse speichert der Algorithmus in der Tag-Datenbank, die eine übersichtliche Zusammenfassung aller Signalformen darstellt. Die Größe der verwendeten Tag-Datenbank beträgt etwa 1/100 bis 1/500 der verlustfreien Datenbank, die ein vollständiges Archiv aller Signalformen enthält.

Dank dieser Funktionen kann der Anwender sofort nach Abschluss der Datenerfassung mit der Analyse beginnen. Die Tag-Datenbank verwendet Signalform-Metadaten. Somit lassen sich wichtige Datenanalysevorgänge in zehn Sekunden oder weniger abschließen.

Änderungen an der Anzahl von Clustern und Sub-Clustern (Aufteilung eines ausgewählten Clusters in weitere Cluster) sind ebenfalls schnell abgeschlossen. Wenn die Tag-Datenbank nicht über eine ausreichende Auflösung verfügt, um ein Sub-Clustering zu ermöglichen, kann ein Detail-Clustering unter Verwendung der verlustfreien Datenbank durchgeführt werden. Zusätzlich zu diesen Funktionen ermöglicht eine Cluster-fokussierte Wiedergabefunktion die Betrachtung der erfassten Signalformen nahezu in Echtzeit sowie das schnelle Auffinden bestimmter Signalformen. Die Technik identifiziert einfach und schnell eine Signalform, die nur einmal unter einer Million vorhanden ist.

Software und Hardware erkennen den Trojaner

Die Abbildung 3 zeigt ein Beispiel für die Trojaner-Erkennung durch Analyse der Signalformen der Seitenkanal-Versorgungsströme. Unmittelbar nach Abschluss der Datenerfassung unterteilt die Software die erfassten Signalformen in vier Cluster.

Die beiden Hauptcluster, die gelb und grün kodiert sind, umfassen den Großteil der Signalformen. Dabei kann die Software die infizierten Signalformen unterscheiden (rot markiert), auch wenn der Unterschied zu den Hauptclustern nur gering ist. Diese Art der Analyse ist mit einem Oszilloskop und einem Tastkopf nicht möglich, da ihnen die notwendige Auflösung und Bandbreite fehlt.

Darüber hinaus können herkömmliche Algorithmen für Machine-Learning-Signalformen dieser Anzahl und Komplexität nicht verarbeiten. Nur die Kombination aus den dynamischen Strommessfunktionen des „CX3300“ mit hoher Bandbreite und Auflösung und dem extra-schnellen Clustering-Algorithmus von Keysight kann ein solch effizientes Mittel sein, um schließlich die Hardware-Trojaner richtig zu identifizieren.

Die Technik eignet sich nicht nur, um Hardware-Trojaner zu erkennen, sondern ist außerdem ein sehr universell einsetzbares Tool. Es lassen sich Anomalien in jeder Umgebung mit umfangreichen Messdaten erkennen. Das Technologie-Unternehmen Keysight plant auch in Zukunft, seine Machine-Learning-Algorithmen weiter zu entwickeln.

Referenzen

[1] Bhunia, S., Tehranipoor, M.: ‘The hardware Trojan war: attacks, myths, and defenses’ (Springer, Switzerland, 2018).

[2] K. Hasegawa, K. Chikamatsu, and N. Togawa, “Empirical Evaluation on Anomaly Behavior Detection for Low-Cost Micro-Controllers Utilizing Accurate Power Analysis”, IEEE International Symposium on On-Line Testing and Robust System Design (IOLTS), 2019, pp. 54-57.

[3] Keysight Technologies, “Evaluating current probe technologies for low-power measurements.”

[4] Keysight Technologies, “CX3300 Series Device Current Waveform Analyzer Datasheet.” https://literature.cdn.keysight.com/litweb/pdf/ 5992-1430EN.pdf?id=2727780.

[5] M. Goto, N. Kobayashi, G. Ren, M. Ogihara, “Scaling Up Heterogeneous Waveform Clustering for Long-Duration Monitoring Signal Acquisition, Analysis, and Interaction: Bridging Big Data Analytics with Measurement Instrument Usage Pattern”, IEEE International Conference of Big Data, Los Angeles, CA. USA. 2019, pp. 1794-1803

Hinweis: Den Artikel hat DataCenter-Insider vom Schwesterportal „Elektronik Praxis“ übernommen.

* Kiyoshi Chikamats arbeitet als R&D Project Manager, Masaharu Goto ist ein Principal Research Engineer und Alan Wadsworth ist Business Development Manager für Präzisions- und Power-Produkte. Sie arbeiten bei Keysight Technologies.

(ID:47400834)