Module an toàn phần cứng quán tính chống lại các tấn công vật lý tiên tiến

MỞ ĐẦU

Trong [1] đã giới thiệu một giải pháp mới để các HSM chống lại các tấn công vật lý. Đây là kết quả nghiên cứu của hai nhà khoa học người Đức, Jan Sebastian Götte và Björn Scheuermann từ Viện Internet và xã hội mang tên Alexander von Humboldt và Đại học Humbold, Berlin.

Điều cốt lõi là bất kỳ HSM được chế bằng phương pháp thô sơ nào cũng có thể khó bị tấn công hơn nhiều bằng cách di chuyển nó ở tốc độ rất nhanh.

Ví dụ, hãy xem xét một HSM được sử dụng trong xử lý thanh toán thẻ tín dụng trực tuyến. Mức độ an toàn vật lý của nó được thiết lập bởi kích thước cấu trúc của lưới đảm bảo an toàn. Một cuộc tấn công vào lưới của nó có thể liên quan đến các mũi khoan tinh vi, các mũi kim, dây điện, keo dán, chất hàn và tia laser. Bây giờ hãy xem xét cũng HSM đó được gắn trên mô hình một bánh đà lớn. Ngoài khả năng phòng thủ thông thường, HSM hiện được trang bị một gia tốc kế mà nó sử dụng để xác minh rằng nó đang quay ở tốc độ cao.

Câu hỏi đặt ra là làm thế nào để kẻ tấn công tiếp cận HSM này? Kẻ tấn công sẽ phải giảm tốc độ quay – việc này kích hoạt gia tốc kế hoặc phải tấn công HSM đang chuyển động. Khi đó, HSM thực sự trở thành một mục tiêu di động. Ở tốc độ chậm, có thể xoay bàn làm việc của kẻ tấn công nhưng việc quay các khung tham chiếu ở mức tốc độ cao trở nên không phù hợp với cuộc sống con người thực tế. Vì các cuộc tấn công điện từ hoặc quang học không tiếp xúc bị hạn chế hơn ngay từ đầu và có thể được che chắn, nên đã thực sự buộc kẻ tấn công phải sử dụng một robot tấn công.

Các hệ thống thông thường có điểm chung là chúng cố gắng phát hiện các cuộc tấn công bởi các cảm biến phản ứng với các thay đổi ngày càng nhỏ của ranh giới hoặc không gian an ninh được giám sát. Cách tiếp cận của hai nhà khoa học trên rất mới lạ ở chỗ họ giảm yêu cầu về độ nhạy của các lưới an ninh, các cảm biến khác và tăng độ phức tạp của bất kỳ thay đổi nào bằng cách xoay lưới hoặc cảm biến an ninh ở tốc độ cao, do đó đưa ra một mục tiêu di chuyển đối với kẻ tấn công. Các nỗ lực để dừng vòng quay có thể dễ dàng theo dõi bằng máy đo gia tốc hệ thống vi cơđiện (Microelectromechanical system – MEMS) và con quay hồi chuyển thương mại. Cách tiếp cận của họ dẫn đến một HSM có thể dễ dàng được chế tạo từ các thành phần sẵn có của bất kỳ phòng thí nghiệm điện tử của trường đại học nào, nhưng vẫn cung cấp mức độ bảo mật cao.

LỊCH SỬ VỀ HSM VÀ MỘT SỐ CÔNG TRÌNH CÓ LIÊN QUAN

Cách tiếp cận phổ biến ngày nay của việc theo dõi các dấu vết điện quanh co trên một lá kim loại mỏng manh được quấn quanh HSM về cơ bản biến bài toán về độ an toàn thành thách thức tạo ra các dấu vết điện rất tinh vi trên một lá kim loại mềm. Đã có một số nghiên cứu về việc giám sát bên trong của HSM bằng cách sử dụng, ví dụ, bức xạ điện từ [2] hoặc siêu âm [3] nhưng chưa có nghiên cứu nào trong số này được áp dụng rộng rãi.

Trong [4], Anderson đưa ra một cái nhìn tổng thể toàn diện về an toàn vật lý. Một ví dụ mà họ trích dẫn là IBM 4758 HSM, đó là một ví dụ về xây dựng theo tiêu chuẩn công nghiệp. Bên cạnh các cảm biến nhiệt độ và bức xạ bổ trợ để bảo vệ chống lại các cuộc tấn công vào bộ nhớ SRAM tích hợp sẵn, chướng ngại vật đảm bảo an toàn chính của mô-đun sử dụng cấu trúc truyền thống của một lưới dễ uốn bao quanh lõi của mô-đun. Mô-đun giám sát lưới này đối với các mạch ngắn, các mạch hở và độ dẫn điện. Cách tiếp cận nền tảng để phát hiện lục lọi và kiến thiết là tương tự như các đề xuất thương mại khác.

Các tác giả của [1] là người đầu tiên đề xuất chướng ngại vật đảm bảo an toàn HSM di chuyển một cách cơ học như một phần của mô-đun an toàn phần cứng. Hầu hết các nghiên cứu hàn lâm tập trung vào vấn đề tạo ra các chướng ngại vật đảm bảo an toàn mới, nhạy cảm hơn cho các HSM. Trong khi đó, các nhà cung cấp thương mại tập trung vào các biện pháp để được kiểm chứng và sản xuất với giá rẻ các chướng ngại vật đảm bảo an toàn này. Thay vào đó, họ tập trung vào vấn đề lấy bất kỳ chướng ngại vật đảm bảo an toàn hiệu suất thấp rẻ tiền hiện có nào và biến nó thành một chướng ngại vật đắt hơn một chút nhưng hiệu suất cao. Gần nhất với HSM cơ học mà họ có thể tìm thấy trong quá trình nghiên cứu của mình là bằng sáng chế năm 1988 [5], nó mô tả cơ chế phát hiện can thiệp dọc theo cáp truyền tin bằng cách bọc cáp bên trong một ống dẫn được nạp đầy khí điều áp.

CÁCH XÂY DỰNG VÀ VẬN HÀNH HSM QUÁN TÍNH

Chuyển động cơ học đã được đề xuất như một biện pháp làm cho mọi thứ khó nhìn hơn bằng mắt người và thường được sử dụng trong các ứng dụng quân sự để làm cho mọi thứ khó đánh trúng hơn, nhưng Jan Sebastian Götte và Björn Scheuermann dường như là người đầu tiên sử dụng nó để phát hiện can thiệp. Nếu xem xét các cách di chuyển khác nhau của HSM để làm cho khó bị can thiệp hơn, thì nhận thấy việc làm cho nó quay có một số lợi thế.

Đầu tiên, HSM phải di chuyển khá nhanh. Nếu bất kỳ điểm nào của lưới cảm biến can thiệp của HSM di chuyển đủ chậm để con người có thể theo dõi, thì điểm đó sẽ trở thành điểm yếu. Ví dụ, trong chuyển động con lắc tuyến tính, con lắc đứng yên tại đỉnh của nó.

Thứ hai, HSM quay thì nhỏ gọn so với các lựa chọn thay thế như HSM trên các bánh xe. Cuối cùng, chuyển động quay dẫn đến các phép đo gia tốc kế dễ dự đoán được. Một tác dụng phụ có lợi của việc quay HSM là nếu trục quay nằm trong chính HSM, thì kẻ tấn công đang cố gắng theo dõi chuyển động sẽ phải quay quanh chính trục đó. Vận tốc tuyến tính tiếp tuyến của chúng sẽ tăng tuyến tính với bán kính từ trục quay, điều này cho phép chúng ta giới hạn kích thước và khối lượng tối đa gần đúng của kẻ tấn công bằng cách sử dụng giả thiết về lực ly tâm có thể chịu được. Trong trường hợp này, trục quay là một điểm yếu, nhưng điều đó có thể được giảm thiểu bằng cách sử dụng nhiều lớp bảo vệ lồng nhau.

Trong hệ quy chiếu quay, lực ly tâm tỉ lệ với bình phương vận tốc góc và tỉ lệ thuận với khoảng cách từ trục quay. Chúng ta có thể khai thác thực tế này để tạo ra một cảm biến phát hiện bất kỳ can thiệp nào của chuyển động quay bằng cách đặt một gia tốc kế tuyến tính ở một khoảng cách nào đó so với trục quay. Trong quá trình quay không thay đổi, sau khi trừ đi trọng lực, cả gia tốc tiếp tuyến với chuyển động quay và dọc theo trục quay sẽ bằng không. Gia tốc ly tâm sẽ không đổi.

Gia tốc ly tâm lớn ở tốc độ cao đặt ra thách thức kỹ thuật trong việc ngăn chặn toàn bộ vật thể bay ra ngoài, nhưng nó cũng tạo ra trở ngại cho bất kỳ kẻ tấn công nào cố gắng thao túng cảm biến. Không cần phải di chuyển toàn bộ nội dung của HSM, chỉ cần di chuyển chướng ngại vật phát hiện can thiệp xung quanh một trọng tải tĩnh. Việc này làm giảm mô-men quán tính của bộ phận chuyển động, tức là có thể sử dụng các dây cáp cho nguồn tải trọng và dữ liệu. Ngay cả ở tốc độ vừa phải trên 500 vòng/phút, một cuộc tấn công sẽ phải được thực hiện bằng cách sử dụng một người máy.

Bố trí cơ học

Suy nghĩ về kiến thiết cụ thể của HSM cơ học, thách thức đầu tiên là gắn cả lưới và tải trọng trên một trục duy nhất. Cách đơn giản nhất có thể tìm thấy để gắn một trọng tải tĩnh bên trong lưới an ninh quay là một trục rỗng. Tải trọng có thể được gắn trên một thanh cố định luồn qua trục rỗng này cùng với các dây dẫn điện và dữ liệu. Trục là một điểm yếu của hệ thống, nhưng điểm yếu này có thể được giảm bớt thông qua xây dựng cẩn thận hoặc một lớp lưới quay thứ hai với một trục quay khác. Các cấu hình mà không sử dụng động cơ trục rỗng là có khả năng, nhưng có thể yêu cầu các đệm bổ sung để giữ cho stator không bị rung.

Lựa chọn thiết kế tiếp theo cần phải thực hiện là cấu trúc vật lý của lưới đảm bảo. Lưới quay tròn phải được thiết kế để bao phủ toàn bộ bề mặt của tải trọng, nhưng so với HSM truyền thống, sẽ là đủ nếu nó quét qua mọi phần của tải trọng một lần trong mỗi vòng quay (Hình 1).

1 – Trục; 2 – Lưới bảo vệ; 3 – Tải trọng; 4 – Gia tốc kế; 5 – Trục xuyên thủng lưới bảo vệ

Điều này có nghĩa có thể thiết kế các lỗ hổng theo chiều dọc vào trong lưới cho phép không khí bên ngoài đi qua tải trọng. Trong các HSM cảm nhận ranh giới truyền thống, việc làm mát bộ xử lý tải trọng là một vấn đề quan trọng vì bất kỳ ống dẫn khí hoặc ống dẫn nhiệt nào sẽ phải xâm nhập vào ranh giới an ninh của HSM. Vấn đề này chỉ có thể được giải quyết bằng các cấu tạo kiểu siphon phức tạp và tốn kém, vì vậy trong các hệ thống thương mại, việc dẫn nhiệt được sử dụng riêng [6].

Cách này hạn chế sự tiêu tán công suất tối đa của tải trọng. Thiết lập được lựa chọn cho phép làm mát không khí trực tiếp của các bộ tản nhiệt thông thường. Cách này làm tăng mức tiêu hao năng lượng có thể tối đa của tải trọng và giải phóng khả năng xử lý mạnh mẽ hơn nhiều. Trong một bước phát triển về thiết kế, lưới quay thậm chí có thể được thiết kế để trở thành một chiếc quạt làm mát.

Công suất lưới quay và truyền dữ liệu

Về mặt điện, ý tưởng về một lưới đảm bảo an toàn quay với tốc độ hơn 500 vòng/phút sẽ gây ra một số thách thức trong quá trình triển khai. Vì lưới quay phải được theo dõi các chỗ đứt hoặc ngắn mạch liên tục, nên cần phải cung cấp điện cho mạch giám sát quay và liên kết dữ liệu tới stator.

Một ngọn đèn sáng chiếu vào tấm pin mặt trời đang quay là một điểm khởi đầu tốt. Thiết lập này bền về mặt cơ học ở tốc độ cao và nó cũng cung cấp công suất đầu ra hợp lý. Pin có thể không đảm bảo thời gian sử dụng hữu ích nếu không tối ưu hóa năng lượng. Tương tự như vậy, thiết lập thu hoạch năng lượng có thể không cung cấp đủ dòng điện để cung cấp cho nhu cầu cao điểm.

Vì mạch giám sát sử dụng dòng điện nhỏ nên hiệu suất truyền tải điện không quan trọng. Mặt khác, chi phí có thể là một mối quan tâm trong sản xuất. Ở đây, việc thay thế thiết lập pin mặt trời bằng một cuộn dây phụ trên rô-to của động cơ (brushless direct current – BLDC) đang làm cho lưới quay có thể rất đáng giá. Động cơ này có thể là một bộ phận tùy chỉnh, vì vậy việc lắp thêm một cuộn dây không có khả năng làm tăng chi phí đáng kể. Cách truyền điện cảm ứng truyền thống hơn cũng có thể là một lựa chọn nếu nó có thể được tích hợp vào thiết kế cơ học.

1 – Tấm đế của rotor; 2 – Tấm đế của stator; 3 – Động cơ; 4 – điốt quang p-i-n của người nhận; 5 – LED hồng ngoại của người phát

Bên cạnh năng lượng, liên kết dữ liệu giữa lưới quay và tải trọng là rất quan trọng đối với thiết kế của HSM. Liên kết này được sử dụng để truyền báo cáo trạng thái không thường xuyên cùng với tín hiệu kích hoạt cảnh báo có độ trễ thấp từ lưới đến trọng tải. Một liên kết quang hồng ngoại đơn giản như trong Hình 2 có thể là một giải pháp tốt cho mục đích này.

KẾT LUẬN

Nghiên cứu [1] đã giới thiệu các mô-đun an toàn phần cứng quán tính, một khái niệm mới để xây dựng các mô-đun an toàn phần cứng an toàn cao từ các thành phần rẻ tiền, thường có sẵn. Các tác giả đã cân nhắc kỹ lưỡng các xem xét kỹ thuật làm cơ sở cho việc triển khai thực tế khái niệm này.

HSM quán tính cung cấp mức độ an toàn cao hơn những gì các kỹ thuật truyền thống có thể cung cấp. Chúng cho phép xây dựng các thiết bị an toàn trước một dải rộng các cuộc tấn công thực tế.