ハードウェアトロイの木馬

ハードウェア トロイの木馬( HT )は、集積回路の回路を悪意を持って改変したものです。ハードウェアトロイの木馬は、その物理的表現と動作によって完全に特徴付けられます。HTのペイロードは、トロイの木馬がトリガーされたときに実行されるアクティビティ全体です。一般に、トロイの木馬はシステムのセキュリティ フェンスをバイパスまたは無効にしようとします。たとえば、無線放射によって機密情報を漏らします。HT は、チップ全体またはそのコンポーネントを無効にしたり、損傷したり、破壊したりすることもあります。

ハードウェアトロイの木馬は、評判の悪いソースから購入された既成の特定用途向け集積回路(ASIC)半導体知的財産コア(IP コア) を使用してコンピュータチップを設計する際に挿入される隠された「フロントドア」として導入される可能性があります。また、不正な従業員が独自に、または不正な特別利益団体や国家が支援するスパイ活動や諜報活動に代わって内部的に挿入されることもあります。^[1]

2015年にIEEEが発表したある論文では、正しい「イースターエッグ」トリガーを適用してデータ漏洩をアクティブにした場合、トロイの木馬を含むハードウェア設計によって、アンテナまたはネットワーク接続を介して漏洩した暗号鍵が漏洩する可能性があることが説明されています。^[2]

高いセキュリティが求められる政府のIT部門では、KVMスイッチ、キーボード、マウス、ネットワークカード、その他のネットワーク機器などのハードウェアを購入する際に、ハードウェアトロイの木馬が問題となることはよく知られています。これは特に、キーボードのパスワードを漏らしたり、リモートからの不正アクセスを可能にするハードウェアトロイの木馬が仕込まれている可能性のある、信頼性の低いソースからそのような機器を購入する場合に当てはまります。^[3]

多様なグローバル経済では、生産タスクのアウトソーシングは、製品のコストを下げる一般的な方法です。組み込みハードウェア デバイスは、必ずしも設計および/または販売する企業によって製造されるわけではなく、使用される国で製造されるわけでもありません。製造をアウトソーシングすると、製造された製品の完全性に関する証拠(最終製品が元の設計から変更されていないという確信) に疑問が生じる可能性があります。理論上は、製造プロセスにアクセスできる人なら誰でも、最終製品に何らかの変更を加えることができます。複雑な製品の場合、大きな影響を与える小さな変更を検出することは困難です。

深刻で悪意のある設計変更の脅威は、政府機関にとって特に重要です。ハードウェアの整合性に関する疑問を解決することは、軍事、金融、エネルギー、政治の各経済部門における技術の脆弱性を軽減する方法の 1 つです。信頼できない工場で集積回路が製造されることはよくあるため、敵が回路に追加のコンポーネントを隠したり、回路の機能を妨害したりした場合にそれを検出するための高度な検出技術が登場しました。

HT は、物理的表現、起動フェーズ、アクション フェーズなど、いくつかの方法で特徴付けることができます。別の方法では、トリガー、ペイロード、ステルスによって HT を特徴付けます。

この物理的なトロイの木馬の特性の 1 つは、タイプです。トロイの木馬のタイプは、機能的またはパラメトリックのいずれかです。攻撃者が元のチップ設計にトランジスタやゲートを追加または削除した場合、トロイの木馬は機能的です。もう 1 つの種類のトロイの木馬であるパラメトリック トロイの木馬は、元の回路を変更します。たとえば、配線を細くしたり、フリップフロップやトランジスタを弱くしたり、チップを放射線にさらしたり、集束イオン ビーム (FIB) を使用してチップの信頼性を低下させたりします。

トロイの木馬のサイズは、その物理的な拡張、またはトロイの木馬を構成するコンポーネントの数です。トロイの木馬は多数のコンポーネントで構成されている可能性があるため、設計者は悪意のあるロジックの部分をチップ上に分散させることができます。追加ロジックは、機能の変更、追加、または削除が必要なチップ上の任意の場所に配置できます。悪意のあるコンポーネントは、分散して配置されている場合 (ルーズ分散と呼ばれます)、または少数のコンポーネントのみで構成されている場合 (タイト分散と呼ばれます) があり、悪意のあるロジックがチップのレイアウトを占有する領域は小さくなります。

場合によっては、高度な技術を持つ攻撃者がレイアウトを再生成し、IC のコンポーネントの配置が変更されることがあります。まれに、チップの寸法が変更されることもあります。これらの変更は構造的な変更です。

典型的なトロイの木馬は条件ベースです。つまり、センサー、内部ロジック状態、特定の入力パターン、または内部カウンター値によってトリガーされます。条件ベースのトロイの木馬は、非アクティブなときに電源トレースである程度検出できます。これは、トロイの木馬をアクティブにするトリガーまたはカウンター回路によって生成されるリーク電流によるものです。

ハードウェアトロイの木馬は、さまざまな方法で起動されます。トロイの木馬は内部で起動される可能性があり、これはIC内部の 1 つ以上の信号を監視していることを意味します。悪意のある回路は、攻撃者がチップに追加したカウントダウン ロジックを待機し、特定の時間後にトロイの木馬が起動する可能性があります。その逆は外部で起動されます。チップ内に悪意のあるロジックがあり、敵がチップの外部からアクセスできるアンテナやその他のセンサーを使用する場合があります。たとえば、トロイの木馬は巡航ミサイルの制御システム内にある可能性があります。ミサイルの所有者は、敵が無線でロケットを停止できることを知りません。

常時オンのトロイの木馬は、配線を短縮することができます。このように変更されたチップは、配線が集中的に使用されるたびにエラーが発生したり、故障したりします。常時オンの回路は、電源トレースで検出するのが困難です。

この文脈では、組み合わせ型トロイの木馬とシーケンシャル型トロイの木馬が区別されます。組み合わせ型トロイの木馬は、特定の条件が発生するまで内部信号を監視します。シーケンシャル型トロイの木馬も内部でアクティブ化された条件ベースの回路ですが、組み合わせ型トロイの木馬のように特定の状態や条件ではなく、内部信号を監視し、シーケンスを検索します。

ハードウェア トロイの木馬によってトロイの木馬を検出せずに秘密キーを抽出するには、トロイの木馬がランダム信号を使用するか、何らかの暗号化実装自体を使用する必要があります。

トロイの木馬自体に暗号鍵を保存して縮小することを避けるために、物理的に複製不可能な関数を使用することができます。^[4]物理的に複製不可能な関数はサイズが小さく、暗号化プロパティが異なっていてもレイアウトが同一である可能性があります。

HT はチップの機能を変更したり、チップのパラメータ特性を変更したりする可能性があります (例: プロセス遅延を引き起こす)。機密情報を敵対者に転送することもできます (キー情報の転送)。

ネットワークとネットワーク エンドポイントに対する比較的新しい脅威ベクトルは、承認された周辺機器の通信プロトコルを使用してネットワーク エンドポイントと対話するように設計された、物理的な周辺機器として現れる HT です。たとえば、意図しないUSB チャネルを使用してターゲット ネットワーク エンドポイントと通信することにより、接続されているターゲット ネットワーク エンドポイントからすべての悪意のある処理サイクルを隠すUSBキーボードがあります。機密データがターゲット ネットワーク エンドポイントから HT に持ち出されると、HT はデータを処理し、その処理方法を決定します。つまり、後で HT で物理的に取得できるようにメモリに保存するか、ワイヤレスを使用してインターネットに持ち出すか、または侵害されたネットワーク エンドポイントをピボットとして使用します。^{[5] [6]}

一般的なトロイの木馬は、改変されたデバイスが使用されているほとんどの期間、受動的ですが、活性化されると致命的な損害を引き起こす可能性があります。トロイの木馬が活性化されると、機能が変更され、デバイスが破壊または無効化され、機密情報が漏洩したり、セキュリティと安全性が損なわれたりする可能性があります。トロイの木馬はステルス性があり、活性化の前提条件は非常にまれなイベントであることを意味します。従来のテスト手法では不十分です。製造上の欠陥はランダムな位置で発生しますが、悪意のある変更は検出を回避するためにうまく配置されます。

まず、モールディングコートをカットして回路を露出させます。次に、エンジニアはチップの層を研磨しながら表面を繰り返しスキャンします。回路をスキャンするには、いくつかの操作があります。一般的な目視検査方法は、走査型光学顕微鏡（SOM）、走査型電子顕微鏡（SEM）、^[7]ピコ秒イメージング回路解析（PICA）、電圧コントラストイメージング（VCI）、光誘起電圧変化（LIVA）、または電荷誘起電圧変化（CIVA）です。チップのフロアプランを比較するには、実際のチップの画像と比較する必要があります。これはまだかなり難しいことです。異なる（暗号）キーを含むトロイの木馬ハードウェアを検出するには、イメージの差分を取得してチップ上の異なる構造を明らかにすることができます。固有の暗号キーを使用しながら同じ構造を持つ唯一の既知のハードウェアトロイの木馬は^[8]です。この特性により、トロイの木馬の検出不能性が向上します。

この検出方法は、チップの入力ポートを刺激し、出力を監視して製造上の欠陥を検出します。出力の論理値が本物のパターンと一致しない場合、欠陥またはトロイの木馬が見つかる可能性があります。

組み込み自己テスト(BIST) およびテスト容易化設計(DFT) 技術は、チップに回路 (ロジック) を追加して、チップが構築時に機能仕様を実装しているかどうかを検証できるようにします。追加ロジックは、通常、チェックサムを計算するか、カスタマイズされたスキャン技術を使用して内部レジスタを公開することにより、入力刺激と内部信号またはメモリ状態を監視します。DFT は通常、外部のテスト メカニズムと連携しますが、BIST 対応チップにはカスタム テスト パターン ジェネレータが組み込まれています。BIST 機能は、スキャン チェーンやその他の低速 DFT 機能を使用できない場合に、実速度 (高速) 検証を実行するためによく使用されます。どちらの方法も、もともと製造エラーを検出するために開発されたものですが、チップ上の悪意のあるロジックの影響を検出したり、悪意のあるロジックに悪用されてチップ内のリモート状態を密かに検査したりするという、諸刃の剣の可能性があります。

DFT が意図しないロジックを認識する方法を考えてみましょう。DFT 入力によって駆動されると、本物のチップはよく知られたシグネチャを生成しますが、欠陥のあるチップや改変されたチップは予期しないシグネチャを表示します。シグネチャは、チップからの出力データ (スキャン チェーン全体または中間データ結果) の任意の数で構成される場合があります。トロイの木馬検出のコンテキストでは、DFT ロジックは暗号化アルゴリズムと見なすことができます。つまり、DFT 入力をキーとして使用して、テスト中の設計の動作から得られたメッセージに署名します。侵入回避のコンテキストでは、BIST または DFT 機能は、チップの内部状態へのアクセスによって、秘密の監視や破壊的な攻撃にさらされる可能性があるため、製造環境の外部では通常 (ハードウェア再構成によって) 無効にされます。

電気的に活動するすべてのデバイスは、磁場や電場などのさまざまな信号を発します。電気的活動によって引き起こされるこれらの信号を分析することで、デバイスの状態と処理するデータに関する情報を得ることができます。これらの副作用を測定する高度な方法が開発されており、非常に敏感です（サイドチャネル攻撃）。したがって、これらのアナログ信号を測定することで、密結合したトロイの木馬を検出することができます。測定値は、分析されたデバイスのシグネチャとして使用できます。また、測定エラーやその他の不正確さを回避するために、一連の測定値を評価することも一般的です。^[9]

• FDIV
• ハードウェアバックドア
• ハードウェア難読化
• ハードウェアセキュリティ
• キルスイッチ
• 物理的に複製不可能な機能(PUF)
• セキュリティスイッチ
• インテル マネジメント エンジン

• Mainak Banga と Michael S. Hsiao: ハードウェアトロイの木馬の識別のための領域ベースのアプローチ、バージニア工科大学ブラッドリー電気・コンピュータ工学部、Host'08、2008 年
• AL D'Souza および M. Hsiao: 領域ベース モデルを使用した順序回路のエラー診断、IEEE VLSI 設計会議の議事録、2001 年 1 月、pp. 103–108。
• C. Fagot、O. Gascuel、P. Girard、C. Landrault: 組み込み自己テストのための効率的な LFSR シードの計算について、Proc. Of European Test Workshop、1999、pp 7–14
• G. Hetherington、T. Fryars、N. Tamarapalli、M. Kassab、A. Hassan、J. Rajski: 大規模工業設計向けロジック BIST、実際の問題とケーススタディ、ITC、1999、pp. 358–367
• WT Cheng、M. Sharma、T. Rinderknecht、C. Hill: ロジック BIST のシグネチャ ベース診断、ITC 2006、2006 年 10 月、pp. 1–9
• Rajat Subhra Chakraborty、Somnath Paul、Swarup Bhunia: ハードウェアトロイの木馬の検出可能性を向上させるためのオンデマンドの透明性、ケースウェスタンリザーブ大学電気工学およびコンピュータサイエンス学部、オハイオ州クリーブランド、米国
• Yier Jin と Yiorgos Makris: パス遅延フィンガープリントを使用したハードウェアトロイの木馬の検出、イェール大学電気工学部、ニューヘイブン
• Reza Rad、Mohammad Tehranipoor、Jim Plusquellic: 電源過渡信号を使用したハードウェアトロイの木馬に対する感度分析、第 1 回 IEEE 国際ハードウェア指向セキュリティおよび信頼ワークショップ (HOST'08)、2008 年
• Dakshi Agrawal、Selcuk Baktir、Deniz Karakoyunlu、Pankaj Rohatgi、Berk Sunar: IC フィンガープリンティングを使用したトロイの木馬検出、IBM TJ Watson リサーチ センター、ヨークタウン ハイツ、電気 \& コンピュータ エンジニアリング ウースター工科大学、マサチューセッツ州ウースター、2006 年 11 月 10 日
• P. Song、F. Stellari、D. Pfeiffer、J. Culp、A. Weger、A. Bonnoit、B. Wisnieff、T. Taubenblatt: MARVEL - 光の放出による悪意のある変更の認識と検証、IEEE Int. Symp. on Hardware-Oriented Security and Trust (HOST)、pp. 117–121、2011
• Xiaoxiao Wang、Mohammad Tehranipoor、Jim Plusquellic: セキュア ハードウェアにおける悪意のあるインクルードの検出、課題と解決策、第 1 回 IEEE 国際ハードウェア指向セキュリティおよび信頼ワークショップ (HOST'08)、2008 年
• ミロン・アブラモビッチとポール・ブラッドリー: 集積回路のセキュリティ - 新たな脅威と解決策
• Zheng Gong および Marc X. Makkes: 物理的に複製不可能な機能に基づくハードウェア トロイの木馬サイドチャネル - 情報セキュリティの理論と実践。ワイヤレス通信におけるモバイル デバイスのセキュリティとプライバシー 2011、Lecture Notes in Computer Science 6633、P294-303。
• Vasilios Mavroudis、Andrea Cerulli、Petr Svenda、Dan Cvrcek、Dusan Klinec、George Danezis。「A Touch of Evil: 信頼できないコンポーネントからの高保証暗号化ハードウェア」。第 24 回 ACM コンピューターおよび通信セキュリティ会議、テキサス州ダラス、2017 年 10 月 30 日～11 月 3 日。
• Xinmu Wang、「ハードウェアトロイの木馬攻撃：ゴールデンフリー検出と安全な設計による脅威分析と低コストの対抗手段」、CASE WESTERN RESERVE UNIVERSITY。

• 「ハードウェアトロイの木馬講義 - フロリダ大学」2020年7月17日アーカイブ、Wayback Machine
• 「Trust-hub」ウェブサイト