In der Welt der modernen Elektronik werden die Chips, die unsere kritischsten Systeme antreiben – von den Steuerungscomputern in Flugzeugen bis hin zu den sicheren Netzwerken, die die nationale Infrastruktur schützen – zunehmend auf einer flexiblen Technologie namens Field-Programmable Gate Arrays, oder FPGAs, aufgebaut. Im Gegensatz zu Standard-Computerchips, die mit einem festen Satz von Anweisungen hergestellt werden, sind FPGAs wie leere Leinwände, die Ingenieure nach ihrer Herstellung so programmieren können, dass sie spezifische Aufgaben ausführen. Diese Flexibilität ermöglicht schnelle Aktualisierungen und kundenspezifische Designs, öffnet aber auch die Tür für eine spezielle Art von Bedrohung, die als Hardware-Trojaner bekannt ist. Dies sind keine digitalen Viren, die mit Software gelöscht werden können; es handelt sich um winzige, bösartige Modifikationen, die während der Entstehung physisch im Schaltkreis des Chips verborgen sind. Oft so konzipiert, dass sie während des Standardtests im Ruhezustand verharren und unsichtbar bleiben, warten diese Trojaner auf einen spezifischen Auslöser, wie etwa eine seltene Sequenz von Eingaben, bevor sie aktiviert werden, um das System zu sabotieren, Geheimnisse zu stehlen oder einen Totalausfall zu verursachen. Da sich diese Angriffe innerhalb des komplexen, rekonfigurierbaren Gefüges des Chips verstecken, war es Experten für Sicherheit lange Zeit ein nahezu unmögliches Unterfangen, sie zu finden und zu neutralisieren, während das System läuft.

Ein Team von Forschern hat nun ein neues Framework entwickelt, das es diesen sensiblen Chips ermöglicht, sich selbst in Echtzeit zu verteidigen, indem sie ihre Wunden im Moment der Erkennung eines Angriffs effektiv selbst heilen. Ihr Ansatz, der in einer aktuellen Studie detailliert beschrieben wird, stützt sich auf ein dual-schichtiges Verteidigungssystem, das in den FPGA selbst eingebaut ist. Anstatt zu versuchen, jeden möglichen Angriff vor der Herstellung des Chips zu verhindern, was oft unmöglich ist, geht das System davon aus, dass eine Sicherheitsverletzung auftreten könnte, und konzentriert sich auf die sofortige Wiederherstellung. Die Forscher identifizierten die kritischsten Teile eines Schaltkreises – wie etwa die Logik, die den Speicherzugriff oder Verschlüsselungsschlüssel steuert – und bauten zwei separate, parallele Versionen dieser Komponenten unter Verwendung unterschiedlicher interner Strukturen auf. Eine Struktur ist ein virtuelles Gitter aus winzigen, rekonfigurierbaren Logikblöcken, während die andere eine spezialisierte Art von Speicherzelle verwendet, die ihre Funktion im laufenden Betrieb ändern kann. Diese beiden Versionen laufen nebeneinander und werden ständig von einem sicheren Referenzmodell überwacht, das in einem geschützten Teil des Chip-Speichers gespeichert ist, der extrem schwer für einen Angreifer manipulierbar ist.

Wenn das Überwachungssystem eine Diskrepanz zwischen dem aktiven Schaltkreis und dem sicheren Referenzmodell feststellt, weiß es, dass wahrscheinlich ein Trojaner aktiviert wurde. In diesem präzisen Moment gerät das System nicht in Panik oder fährt nicht herunter. Stattdessen schaltet es den Ausgang sofort auf das sichere Referenzmodell um, wodurch sichergestellt wird, dass der Rest des Systems ohne Unterbrechung korrekte Daten erhält. Gleichzeitig springt eine spezialisierte Recovery-Engine in Aktion, um den beschädigten Teil zu reparieren. Diese Engine nutzt einen Prozess, der von der biologischen Evolution inspiriert ist, bei dem sie eine kleine, feste Population potenzieller neuer Konfigurationen für den defekten Schaltkreis generiert, diese testet und diejenigen behält, die am besten funktionieren. Über eine Serie schneller Iterationen entwickelt sie eine neue, gesunde Version des Schaltkreises, die die bösartige Modifikation vollständig umgeht. Sobald diese neue Konfiguration gefunden und verifiziert wurde, wechselt das System nahtlos zurück zum reparierten Schaltkreis, wodurch der Trojaner isoliert und unwirksam bleibt, während der Benutzer nie eine Störung bemerkt.

Die Forscher testeten diese Methode an mehreren komplexen Schaltkreisen, einschließlich Speichercontrollern und Verschlüsselungsmodulen, indem sie absichtlich verschiedene Arten von Hardware-Trojanern injizierten, um zu sehen, ob das System sich erholen kann. Sie fanden heraus, dass der evolutionäre Wiederherstellungsprozess bemerkenswert schnell war und oft eine funktionierende Lösung in weniger als dreißig Versuchen fand, was einer Wiederherstellungszeit von nur wenigen Mikrosekunden entspricht. In einem spezifischen Test mit einem Speichercontroller identifizierte das System erfolgreich einen versteckten Angreifer, der ein Signal dazu zwang, in einer Position festzustehen. Die Recovery-Engine rekonfigurierte den Schaltkreis schnell, um das korrumpierte Signal zu ignorieren und die Daten über einen sauberen Pfad zu leiten, wodurch die volle Funktionalität wiederhergestellt wurde. In einem anderen Test mit einem kryptografischen Modul detektierte das System eine winzige Veränderung, die ein einzelnes Bit einer verschlüsselten Nachricht umdrehte. Der Wiederherstellungsprozess passte die interne Logik so an, dass der Fehler kompensiert wurde, wodurch sichergestellt wurde, dass die endgültige Ausgabe sicher blieb.

Eine zentrale Erkenntnis der Studie ist, dass die Methode am besten funktioniert, wenn das System genau weiß, welcher Teil des Chips defekt ist. Durch den Einsatz eines Fault-Localization-Controllers, um den spezifischen beschädigten Abschnitt zu lokalisieren, kann die Recovery-Engine ihre Suche auf ein kleines Gebiet konzentrieren, anstatt zu versuchen, den gesamten Chip auf einmal zu reparieren. Dieser gezielte Ansatz beschleunigt den Prozess erheblich. Die Forscher verglichen zwei verschiedene interne Architekturen für das Wiederherstellungssystem: eine, die auf einem flexiblen Gitter von Logikblöcken basiert, und eine, die auf rekonfigurierbaren Speicherzellen mit zusätzlichen Schaltfähigkeiten basiert. Während der Ansatz mit den Speicherzellen etwas mehr Zeit für die Rekonfiguration benötigte, da er Daten Bit für Bit umschreiben musste, verbrauchte er letztlich weniger physische Ressourcen auf dem Chip. Der gitterbasierte Ansatz war schneller zu rekonfigurieren, beanspruchte aber mehr Platz. Beide Methoden erwiesen sich jedoch als äußerst effektiv, wobei das Design mit den Speicherzellen eine leichte Effizienzvorteil zeigte, indem es etwa 1,8 Prozent mehr Ressourcen als ein Standarddesign ohne Schutz verbrauchte, während das Gitter-Design etwa 2,5 Prozent mehr beanspruchte.

Die Studie untersuchte auch, wie die Recovery-Engine noch intelligenter gestaltet werden könnte. Indem die Forscher die Art und Weise anpassten, wie die Engine neue Möglichkeiten exploriert – etwa indem sie mit einer breiten Suche beginnt und dann zu fein abgestimmten Lösungen übergeht –, konnten sie die Zeit, die zur Findung einer funktionierenden Konfiguration benötigt wurde, im Vergleich zu älteren Methoden um mehr als die Hälfte reduzieren. Sie fanden auch heraus, dass eine Strategie, die die leistungsstärksten Lösungen bevorzugt, während sie gleichzeitig einige schwächere im Spiel behält, dem System hilft, Sackgassen zu vermeiden. Dieses Gleichgewicht ermöglichte es dem System, sich an verschiedene Arten von Angriffen anzupassen, egal ob der Trojaner ein Signal dauerhaft auf „An“ hält, ein Bit umdreht oder interne Zähler manipuliert. Die Ergebnisse legen nahe, dass durch die Kombination von Echtzeit-Erkennung mit einer adaptiven, selbstheilenden Architektur möglich ist, elektronische Systeme zu bauen, die selbst gegenüber den heimtückischsten Hardware-Angriffen resilient sind, wodurch sichergestellt wird, dass die kritische Infrastruktur auch unter Belagerung sicher weiter betrieben werden kann.

Die Auswirkungen dieser Arbeit erstrecken sich über das bloße Reparieren defekter Chips hinaus; sie repräsentieren einen Wandel in der Art und Weise, wie wir über Hardware-Sicherheit denken. Anstatt sich ausschließlich auf die Verhinderung von Angriffen zu verlassen, was oft ein aussichtsloser Kampf gegen hochentwickelte Gegner ist, akzeptiert dieser Ansatz, dass Sicherheitsverletzungen eintreten können, und konzentriert sich auf Resilienz. Die Fähigkeit, einen Chip dynamisch um eine bösartige Modifikation herum zu rekonfigurieren, bedeutet, dass das System Angriffen überleben kann, die andernfalls katastrophale Ausfälle verursacht hätten. Die Forscher demonstrierten, dass dieser Grad an Schutz mit sehr geringen Kosten in Bezug auf die Größe und Leistung des Chips erreicht werden kann, was ihn zu einer praktischen Lösung für reale Anwendungen macht. Da elektronische Systeme immer stärker in unser tägliches Leben und unsere kritische Infrastruktur integriert werden, wird die Fähigkeit, verborgene Hardware-Bedrohungen in Echtzeit zu erkennen und zu beheben, voraussichtlich zu einer Standardanforderung werden, um sicherzustellen, dass die digitalen Fundamente unserer Welt sicher und zuverlässig bleiben.