⚡ electrical engineering

Mitigating Timing-Based Attacks in Real-Time Cyber-Physical Systems

تقترح هذه الورقة إطار عمل للتخفيف يعتمد على الجدولة، يعمل على تأمين الأنظمة السيبرانية الفيزيائية في الوقت الفعلي ضد الهجمات القائمة على التوقيت من خلال إدخال اضطرابات توقيت مهيكلة ومحدودة لإخفاء أنماط التنفيذ مع الحفاظ بصرامة على ضمانات قابلية الجدولة في الوقت الفعلي وأداء التحكم.

المؤلفون الأصليون: Arkaprava Sain, Sunandan Adhikary, Soumyajit Dey

نُشر 2026-02-04

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Arkaprava Sain, Sunandan Adhikary, Soumyajit Dey

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أوركسترا عالية المخاطر حيث يجب على كل موسيقي (مهمة حاسوبية) أن يعزف نوتته في اللحظة ذاتها تماماً للحفاظ على سلامة الموسيقى (النظام الفيزيائي، مثل سيارة أو شبكة طاقة). في هذه "الأنظمة السيبرانية الفيزيائية في الوقت الحقيقي"، التوقيت هو كل شيء. إذا تأخر أحد الموسيقيين ولو لجزء من الثانية، فقد ينهار الأداء بأكمله، مما يؤدي إلى كارثة.

ومع ذلك، فإن هذا الإيقاع الصارم والمتوقع له جانب مظلم. فبسبب جدوله الصارم والمتوقع، يمكن للمتسلل المتلصص (المهاجم) أن يستمع إلى الإيقاع، ويعرف بالضبط متى يعزف أهم الموسيقيين (المهام الحرجة للسلامة)، ثم يتسلل خلال الفجوات الصغيرة بين النوتات ليعبث بالموسيقى. يُسمى هذا بـ هجوم قائم على التوقيت (Timing-Based Attack).

المشكلة: الإيقاع المتوقع

تخيل جدول مواعيد النظام مثل جدول مواعيد القطارات. "قطار السلامة الحرجة" (مهمة التحكم) يغادر المحطة في الساعة 10:00، 10:10، 10:20، وهكذا.

خدعة المهاجم: يعرف القطار "غير الموثوق به" (مهمة ذات أولوية منخفضة) بالضبط متى يصل قطار السلامة الحرجة ومتى يغادر. ينتظر المهاجم وصول قطار السلامة الحرجة لتفريغ حمولته (البيانات)، ثم يقفز فوراً ليقوم باستبدال الحمولة بشيء مزيف قبل وصول القطار التالي.
النافذة: هناك "نافذة هجوم" محددة مباشرة بعد مغادرة قطار السلامة الحرجة. إذا تمكن القطار السيئ من الوصول في الوقت المناسب، فيمكنه تخريب النظام.

الحلول القديمة (ولماذا فشلت)

كانت المحاولات السابقة لمنع هذا تشبه محاولة إخفاء جدول مواعيد القطارات عن طريق:

عشوائية الجدول: جعل القطارات تغادر في أوقات عشوائية. المشكلة: هذا يربك النظام نفسه، مما يسبب تأخيرات قد تؤدي إلى اصطدام السيارة أو تعطل شبكة الطاقة.
عزل القطارات: إبقاء القطارات السيئة في ساحة منفصلة. المشكلة: هذا يهدر المساحة والموارد، مما يجعل النظام غير فعال.

الحل الجديد: SecureRT (إطار عمل "التأخير الذكي")

يقترح مؤلفو هذه الورقة إطار عمل جديداً يسمى SecureRT. بدلاً من الفوضى العشوائية أو العزل الصارم، يستخدمون تأخيراً "ذكياً" ومحسوباً.

تخيل أن قائد الأوركسترا (المجدول) لديه خطة سرية. عندما يشتبه في وقوع هجوم، فإنه لا يلغي الرحلة؛ بل يطلب من قطار السلامة الحرجة الانتظار لفترة زمنية محددة ومحسوبة مسبقاً قبل المغادرة.

إليك كيف يعمل ذلك في ثلاث خطوات:

1. فحص السلامة (هل سيصل القطار في موعده؟)

قبل إجراء أي تغييرات، يحسب النظام الحد الأقصى للتأخير الآمن. يسأل النظام: "إذا جعلنا القطار ينتظر 3 ثوانٍ، هل سيصل إلى وجهته قبل الموعد النهائي؟"

إذا كانت الإجابة نعم، فالتأخير آمن.
إذا كانت الإجابة لا، فالتأخير طويل جداً وقد يسبب حادثاً.
هذا يضمن أن النظام يظل قابلاً للجدولة (آمناً وفي الوقت المحدد).

2. فحص الأداء (هل ستظل الموسيقى جيدة؟)

حتى لو وصل القطار في موعده، فإن الانتظار لفترة طويلة قد يجعل الموسيقى تبدو خارجة عن الإيقاع. يحسب النظام مقدار تدهور "أداء التحكم" (جودة الموسيقى) إذا انتظر القطار.

يضعون حداً: "لا يمكن للموسيقى أن تسوء بنسبة أكثر من 5%".
يجدون الحد الأقصى للتأخير المقبول — وهو أطول مدة انتظار تحافظ على جودة الموسيقى بشكل جيد بما يكفي.

3. الخلطة الذكية (التحسين)

الآن، يحل النظام لغزاً معقداً. ينظر إلى "نافذة الهجوم" وجدول "القطارات السيئة" (المهام غير الموثوقة).

يحسب سلسلة من التأخيرات (على سبيل المثال: انتظر 3 ثوانٍ، ثم انتظر 0 ثانية، ثم انتظر 5 ثوانٍ) التي تزيح وصول قطار السلامة الحرجة بما يكفي بحيث لا يعود بإمكان "القطارات السيئة" الدخول في نافذة الهجوم.
الأمر يشبه تغيير وقت مغادرة القطار بحيث يظل الرجل السيئ عالقاً عند إشارة حمراء في الوقت الذي يُفترض فيه أن يغادر القطار.

كيف يعمل في الحياة الواقعية

يعمل النظام باستخدام "كاشف" (مثل حارس الأمن) يراقب علامات التلاعب.

الوضع الطبيعي: تعمل القطارات وفق الجدول السريع القياسي.
اكتشاف هجوم: إذا رأى الحارس نمطاً مشبوهاً (القطار السيئ يحاول التسلل)، ينتقل النظام فوراً إلى وضع SecureRT.
التبديل: يتم تطبيق "التأخيرات الذكية" المحسوبة مسبقاً على قطار السلامة الحرجة. يغادر القطار في أوقات مختلفة قليلاً عن المعتاد، مما يربك توقيت المهاجم.
النتيجة: لم يعد بإمكان المهاجم التنبؤ بموعد الضرب، فلا يعود بإمكان "القطار السيئ" دخول النافذة، وتظل البيانات آمنة، ويستمر النظام في العمل بسلاسة دون الانهيار.

الخلاصة

توضح الورقة أنه ليس عليك الاختيار بين الأمن والسلامة. فمن خلال استخدام استراتيجية "التأخير الذكي"، يمكنك:

إرباك المهاجم بحيث لا يمكنه تخمين متى يضرب.
الحفاظ على سلامة النظام من خلال ضمان عدم تجاوز التأخيرات لحدود السلامة.
الحفاظ على أداء النظام من خلال ضمان عدم إفساد التأخيرات لجودة التحكم.

في تجاربهم باستخدام نظام محاكاة للتحكم في السيارات، أظهروا أنه بينما يتعرض النظام القياسي للاختراق والانهيار، ويصبح نظام "التأخير العشوائي" عرضة للاختراق مع سوء الأداء، نجح نظام SecureRT في صد الهجوم مع الحفاظ على قيادة السيارة بشكل مثالي.

ملخص تقني: التخفيف من الهجمات القائمة على التوقيت في الأنظمة السيبرانية الفيزيائية في الوقت الفعلي

بيان المشكلة

تعتمد الأنظمة السيبرانية الفيزيائية (CPS) في الوقت الفعلي، مثل تلك الموجودة في مجالات السيارات، والطيران، وإنترنت الأشياء الصناعي، على تنفيذ مهام حتمي لضمان السلامة والصحة. هذا الحتمية، التي تتحقق غالباً من خلال الجدولة ذات الأولوية الثابتة مسبقة الاستباق (PFP)، تخلق دون قصد قنوات جانبية زمنية (timing side-channels). يمكن للمهاجمين استغلال الطبيعة المتوقعة لهذه الجداول لاستنتاج أنماط التنفيذ لمهام التحكم عالية الأولوية (الضحية).

تتناول هذه الورقة تحديداً الهجمات القائمة على الجدولة (SBAs). في هذه الهجمات، يقوم المهاجم باختراق مهمة منخفضة الأولوية وغير موثوقة للتنبؤ بأوقات وصول مهمة تحكم "ضحية" عالية الأولوية. ومن خلال حساب نافذة الهجوم الفعالة (AEW) — وهي الفترة الزمنية التي تلي تنفيذ مهمة الضحية حيث تكون مخازن بياناتها عرضة للاختراق — يمكن للمهاجم شن هجمات حقن البيانات الكاذبة (FDI). تقوم هذه الهجمات بالتلاعب بمدخلات التحكم المخزنة في مخازن الإدخال/الإخراج المشتركة، مما قد يؤدي إلى تدهور أداء التحكم في الحلقة المغلقة أو التسبب في فشل النظام.

تفشل الدفاعات الحالية، مثل عشوائية الجدولة أو العزل الزمني، غالباً في مراعاة التداعيات الحرجة لمثل هذه التعديلات على أداء التحكم وقابلية الجدولة. فالعشوائية يمكن أن تزيد من تبديل السياق (context switches) وفقدان المواعيد النهائية، بينما قد ينتهك حقن الضجيج (مثل توزيع لابلاس) ضمانات التوقيت الصارمة المطلوبة للأنظمة الحرجة التي تتطلب وقتاً حقيقياً.

المنهجية: إطار العمل SecureRT

يقترح المؤلفون SecureRT، وهو إطار عمل يخفف من هجمات استنتاج التوقيت عن طريق إدخال تأخيرات مقيدة وهيكلية على مستوى الوظيفة (job-level delays) لمهام التحكم الضحية. تم تصميم هذا النهج لتقليل التداخل الزمني بين نافذة الهجوم الفعالة (AEW) الخاصة بالضحية وفترات تنفيذ المهام غير الموثوقة، دون انتهاك ضمانات الوقت الفعلي أو تدهور جودة التحكم.

يعمل إطار العمل من خلال ثلاث خطوات متتالية:

1. تحليل وقت التصميم

تحليل قابلية الجدولة (WCRT): يقوم إطار العمل بإجراء تحليل محافظ لوقت الاستجابة في أسوأ الحالات (WCRT) لتحديد ذروة التأخير على مستوى الوظيفة ( $\Delta^{peak}_v$ ). هذا هو الحد الأقصى للتأخير الذي يمكن تطبيقه على إصدارات مهام الضحية دون التسبب في فقدان الضحية أو أي مهام منخفضة الأولوية لمواعيدها النهائية. يأخذ التحليل في الاعتبار "التداخل الوارد" من المهام ذات الأولوية الأعلى والاضطراب الناتج عن الإصدارات المتأخرة.
تحليل أداء التحكم: إدراكاً بأن التأخيرات تؤثر على ديناميكيات النظام الفيزيائي، قام المؤلفون بنمذجة مهمة التحكم كنظام منظم تربيعي خطي (LQR) مدرك للتأخير. يقومون بتخليق متحكم مدرك للتأخير وحساب الحد الأقصى للتأخير المقبول ( $\Delta^{max}_i$ ). هذا هو أكبر تأخير يحافظ على تكلفة التحكم ( $J$ ) تحت عتبة محددة مسبقاً ( $J_{Th}$ ) وضعها مصمم النظام.
صياغة التحسين: يتم صياغة مشكلة تحسين لتوليد تسلسل أمثل للتأخير على مستوى الوظيفة ( $\Delta_i$ $Δ_{i}$ ) لكل مهمة تحكم. الهدف هو تقليل إجمالي التداخل الزمني بين نوافذ AEW لمهام الضحية ونوافذ تنفيذ جميع المهام غير الموثوقة عبر الفترة الزمنية (hyperperiod).
- دالة التداخل غير خطية ومجزأة. ولحل ذلك، قام المؤلفون بتمثيل المشكلة خطياً باستخدام البرمجة الخطية بمصفوفات الأعداد الصحيحة المختلطة (MILP). لقد أدخلوا متغيرات مستمرة مساعدة ومتغيرات قرار ثنائية (باستخدام طريقة Big-M) لتحويل حساب التداخل إلى قيود خطية مناسبة للمحللات القياسية (مثل Gurobi).

2. التنفيذ في وقت التشغيل (مجدول PFP-d)

يتكامل إطار العمل مع مجدول مخصص، PFP-d (الأولوية الثابتة مسبقة الاستباق مع التأخير)، مع كاشف شذوذ عبر الإنترنت.

كشف الشذوذ: تم تجهيز كل حلقة تحكم بكاشف بقايا يعتمد على $\chi^2$ يراقب الفرق بين المخرجات المرصودة والمقدرة. إذا تجاوزت الإحصائية العتبة ( $Th$ )، يتم الإبلاغ عن هجوم.
التخفيف: عند اكتشاف هجوم على مهمة ضحية معينة، ينتقل المجدول من PFP القياسي إلى PFP-d. يقوم باستعادة تسلسل التأخير الأمثل المحسوب مسبقاً ويطبق التأخير المقابل على وقت إصدار النسخة الحالية والنسخ اللاحقة من مهمة الضحية.
إعادة الضبط: يظل التخفيف نشطاً لفترة زمنية محددة مسبقاً ( $T_{RES}$ )، وبعد ذلك يعود النظام إلى التشغيل الاسمي.

3. التعقيد والتكاليف الإضافية

تعمل خوارزمية وقت التشغيل (الخوارزمية 1) بتعقيد $O(1)$ لكل خطوة زمنية. وبما أن تسلسلات التأخير المثلى يتم حسابها خارجياً وتخزينها، فإن التكاليف الإضافية في وقت التشغيل ضئيلة، مما يجعل النهج مناسباً للمنصات المدمجة محدودة الموارد.

المساهمات الرئيسية

التحسين المشترك للأمن والتحكم: على عكس الأعمال السابقة التي تركز فقط على تعمية الجدولة، يأخذ SecureRT في الاعتبار صراحةً تأثير تعديلات الجدولة على أداء التحكم في الحلقة المغلقة وقابلية الجدولة.
اشتقاق التأخيرات المقيدة: تشتق الورقة حدوداً صارمة للتأخيرات على مستوى الوظيفة ( $\Delta^{peak}$ و $\Delta^{max}$ ) التي تضمن كلاً من قابلية جدولة النظام واستقرار التحكم.
تخليق التأخير الأمثل: يتم تقديم صياغة MILP مبتكرة لتوليد تسلسلات تأخير دورية مثلى تقلل من سطح الهجوم (تداخل AEW) مع الالتزام بالحدود المشتقة.
إطار عمل SecureRT: يوفر دمج كاشف $\chi^2$ عبر الإنترنت مع مجدول PFP-d مخصص آلية دفاع عملية وخفيفة الوزن ضد هجمات SBAs اللاحقة.

النتائج التجريبية

قيم المؤلفون SecureRT باستخدام دراسة حالة واقعية للسيارات (التحكم في السرعة، نظام التحكم في الثبات ESP، ومتحكمات تتبع المسار) تم تنفيذها على Raspberry Pi 4 مع نواة Linux معدلة (PREEMPT_RT) لضمان سلوك الوقت الفعلي الصارم.

دراسات الحالة: تمت مقارنة أربع سيناريوهات:
1. الأساس (PFP، بدون هجوم): يعمل النظام بشكل طبيعي.
2. الهجوم (PFP، بدون تأخير): ينجح المهاجم في تنفيذ FDI، مما يسبب انحرافاً كبيراً في حالة النظام وزيادة مستمرة في تكلفة التحكم.
3. التأخيرات العشوائية (أحدث التقنيات): أدى تطبيق التأخيرات العشوائية (توزيع لابلاس) إلى تقليل القدرة على التنبؤ ولكنه فشل في منع FDI باستمرار، مما أدى إلى تدهور الأداء وزيادة التكاليف.
4. SecureRT (PFP-d): نجح تسلسل التأخير الأمثل في تقليل التداخل بين AEW الخاص بالضحية ونافذة تنفيذ المهاجم. حافظ النظام على تتبع مستقر للنظام الفيزيائي، وظلت تكلفة التحكم قريبة من القيمة الاسمية رغم الهجوم المستمر.
التحسن الكمي: في دراسة حالة السيارات، قلل تسلسل التأخير الأمثل مدة التداخل المتاحة لهجمات FDI بنسبة 60% (من 45 مللي ثانية إلى 18 مللي ثانية).
الجدولة العامة: أظهرت التجارب الاصطناعية المكثفة عبر نطاقات استخدام مختلفة وأعداد مهام متنوعة (5، 10، و20 مهمة) أن SecureRT يحافظ على قابلية جدولة عالية، خاصة عندما تكون مهام الضحية ذات أولوية عالية وتكون نسبة استخدام النظام منخفضة إلى متوسطة.

الأهمية والادعاءات

تدعي الورقة أن SecureRT يقدم تقدماً كبيراً على استراتيجيات التخفيف الحالية من خلال سد الفجوة بين الأمن السيبراني ونظرية التحكم. تكمن أهميته الأساسية في القدرة على تأمين أعباء عمل التحكم في الوقت الفعلي ضد هجمات استنتاج التوقيت دون المساس بالضمانات الحتمية أو الأداء الفيزيائي للنظام.

يؤكد المؤلفون أن نهجهم ليس مجرد تمرين نظري، بل هو حل قابل للنشر في البيئات محدودة الموارد. ومن خلال استخدام تأخيرات مهيكلة ومقيدة بدلاً من العشوائية غير المقيدة، يضمن SecureRT أن الأنظمة الحرجة يمكنها العمل ضمن حدود أداء محددة مسبقاً مع تقليل سطح الهجوم بشكل كبير. وتخلص الورقة إلى أن التوسعات المستقبلية ستستهدف تطبيق هذا الإطار على الأنظمة متعددة الأنوية والمجدولات ذات الأولوية الديناميكية (مثل EDF).