0
雷鋒網(wǎng)AI科技評論按：第27屆現(xiàn)場可編程邏輯與應(yīng)用國際會(huì)議（The International Conference on Field-Programmable Logic and Applications，F(xiàn)PL）九月份在比利時(shí)根特召開。在FPL 2017上，一篇來自德國卡爾斯魯厄理工學(xué)院（Karlsruhe Institute of Technology）的論文《Voltage Drop-based Fault Attacks on FPGAs
using Valid Bitstreams》獲得了最佳論文獎(jiǎng)，同時(shí)也成為了所有與會(huì)者談?wù)摰慕裹c(diǎn)。
本文作者@小哲打豆豆為雷鋒網(wǎng)專欄作者，目前在多倫多大學(xué)電子工程系就讀博士，以下為作者對于本篇論文的介紹。
FPGA（Field Programmable Gate Array，現(xiàn)場可編程邏輯門陣列）因?yàn)槠渥吭降撵`活性而越來越受到用戶青睞。不論是低端的IoT設(shè)備，還是高端的云計(jì)算中心，F(xiàn)PGA在這些最新的應(yīng)用場景下都展示出高效的計(jì)算能力。加上過去就一直在應(yīng)用FPGA的關(guān)鍵行業(yè)，例如軍工，航空航天等，諸多領(lǐng)域的發(fā)展都給FPGA的安全性帶來了新的挑戰(zhàn)。
之前對FPGA攻擊的研究都是基于本地的，例如，更改FPGA的電源或時(shí)鐘，或在管腳人為注入“特洛伊代碼”。隨著FPGA越來越多的在云計(jì)算中心中的應(yīng)用，任何人都可以遠(yuǎn)程在服務(wù)器的FPGA上占用一部分邏輯門，將這個(gè)區(qū)域設(shè)置為自己需要的任意電路，以實(shí)現(xiàn)運(yùn)算加速等功能。而之前，F(xiàn)PGA只能通過受信任的IP提供者被設(shè)置。這意味著FPGA在云計(jì)算這類應(yīng)用中將前所未有的暴露自身的安全漏洞。
這項(xiàng)研究的威脅模型基于以下假設(shè)：攻擊者可以重構(gòu)部分或全部FPGA的邏輯門，目的是對系統(tǒng)發(fā)起DoS（Denial of Service）攻擊。作者對兩種FPGA分別進(jìn)行了測試，一類是在云計(jì)算中心作為加速器的FPGA，另一類是有片上SoC的FPGA，這類FPGA多應(yīng)用在IoT場景下。對兩種FPGA的研究都發(fā)現(xiàn)，發(fā)動(dòng)的DoS攻擊可以使FPGA完全癱瘓直至手動(dòng)復(fù)位電源。對于有片上SoC的FPGA來說，在其應(yīng)用場景下可能并沒有電源復(fù)位的選項(xiàng)，唯一復(fù)位電源的的辦法只能是將電池取出再放回。
針對FPGA的DoS攻擊的基本原理大致如下：通過編輯片上邏輯，使FPGA負(fù)載能在瞬間改變。由于電源瞬態(tài)響應(yīng)緩慢，以及電源分配網(wǎng)絡(luò)（Power Delivery Network，PDN）的設(shè)計(jì)缺陷，導(dǎo)致FPGA電壓過低，進(jìn)入欠壓保護(hù)而被鎖定，進(jìn)而達(dá)到癱瘓?jiān)O(shè)備的目的。
為了達(dá)到瞬間改變FPGA負(fù)載的效果，作者將一個(gè)邏輯單元的輸出經(jīng)過一個(gè)非門連回到輸出端。如下圖所示，這樣的電路構(gòu)成了一個(gè)正反饋的環(huán)形振蕩器（Ring Oscillator）。環(huán)形振蕩器里的CMOS開關(guān)管會(huì)以極快的速度翻轉(zhuǎn)，消耗大量電流。大量邏輯單元都被設(shè)置成這樣的環(huán)形振蕩器，并且通過一個(gè)使能信號控制所有振蕩器，就能瞬間改變FPGA的電流負(fù)載。通過控制使能信號的開關(guān)頻率fRO-t，可以模擬不同的負(fù)載變化來觀察其對FPGA的影響。
實(shí)驗(yàn)結(jié)果與討論
作者測試了三塊FPGA開發(fā)板，分別是：有40納米的Xilinx Virterx 6 FPGA的ML605開發(fā)板，28納米的Kintex 7 FPGA的KC705開發(fā)板，以及28納米的Zynq 7020 SoC-FPGA（雙ARM Cortex A9 + 片上FPGA）的Zedboard開發(fā)板。
測試中，三種開發(fā)板都在一定條件下發(fā)生了欠壓保護(hù)導(dǎo)致的系統(tǒng)崩潰。ML605和KC705在欠壓保護(hù)后均無法自動(dòng)恢復(fù)。Zedboard則會(huì)隨機(jī)出現(xiàn)三種不同的系統(tǒng)故障：一是和前兩塊開發(fā)板一樣出現(xiàn)無法自動(dòng)復(fù)位的欠壓保護(hù)；一種是芯片自動(dòng)重置，片上所有的設(shè)置，包括兩個(gè)ARM核的狀態(tài)也被重置；第三種狀況類似重置，但是作者在試圖重新配置芯片時(shí)發(fā)生軟件故障，之后系統(tǒng)便進(jìn)入第一種無法自動(dòng)恢復(fù)的欠壓保護(hù)模式?？梢?，不論出現(xiàn)何種故障，都需要手動(dòng)重置電源才能恢復(fù)系統(tǒng)。
以ML605開發(fā)板作為實(shí)例，作者在片上布設(shè)了18720個(gè)環(huán)形振蕩器，大約只占用了12%的片上資源。使能信號的頻率fRO-t從20kHz到2MHz。實(shí)驗(yàn)發(fā)現(xiàn)，在高于1MHz時(shí)，片上電壓壓降不足以引起欠壓保護(hù)；在80kHz到1MHz的范圍內(nèi)，系統(tǒng)崩潰會(huì)隨機(jī)的發(fā)生；而在頻率小于80kHz時(shí)，系統(tǒng)崩潰幾乎必然發(fā)生。
作者同時(shí)將兩塊開發(fā)板通過PCIe接口接入工作站，發(fā)現(xiàn)系統(tǒng)崩潰同樣發(fā)生了。崩潰后ML605可以通過板上的電源開關(guān)進(jìn)行復(fù)位，而KC705甚至必須要將整個(gè)工作站重啟才能恢復(fù)。下表總結(jié)了三塊板在不同狀態(tài)下的能耗：
以上實(shí)例展示了通過欠壓保護(hù)機(jī)制對FPGA發(fā)動(dòng)DoS攻擊的方法。如此發(fā)動(dòng)的DoS攻擊快速，且可以導(dǎo)致整塊FPGA不可逆的癱瘓，直至手動(dòng)重置電源。
允許用戶自己設(shè)置FPGA實(shí)現(xiàn)運(yùn)算加速的系統(tǒng)中，無疑暴露了巨大的安全隱患。這導(dǎo)致整臺(tái)服務(wù)器需要重新啟動(dòng)。如果系統(tǒng)是通過不可替換的電池供電的話，F(xiàn)PGA將陷入永久的DoS狀態(tài)。
FPGA在云計(jì)算和IoT中都有大量的應(yīng)用，在這些新的應(yīng)用中，傳統(tǒng)的比特流加密（bitstream encryption）等安全措施已經(jīng)不足以應(yīng)對新的挑戰(zhàn)。在這項(xiàng)研究中，作者揭示了一個(gè)新的安全漏洞，通過一類方法可以對FPGA發(fā)動(dòng)DoS攻擊，并在兩代FPGA上進(jìn)行了實(shí)測。結(jié)果發(fā)現(xiàn)，僅僅利用12%的片上資源，就可以使FPGA由于欠壓保護(hù)而完全癱瘓。
雷鋒網(wǎng)AI科技評論獨(dú)家約稿，未經(jīng)許可不得轉(zhuǎn)載。
雷峰網(wǎng)特約稿件，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
