A PUF-Based Security Framework for Fault and Intrusion Detection

Resumen Técnico: Un Marco de Seguridad Basado en PUF para la Detección de Fallos e Intrusiones

Declaración del Problema
Los Sistemas de Control Industrial (ICS), como las plantas de tratamiento de agua y las centrales eléctricas, dependen en gran medida de la retroalimentación de los sensores para mantener los procesos críticos de seguridad dentro de los límites operativos. Los ataques en la capa de medición, que a menudo se originan en vulnerabilidades de la cadena de suministro como los troyanos de hardware embebidos, pueden comprometer las lecturas de los sensores. Cuando los controladores actúan sobre estos puntos de datos falsificados o defectuosos, pueden dirigir los procesos industriales hacia estados peligrosos. Además, los fallos no maliciosos causados por interferencia electromagnética, vibración, corrosión o deriva térmica pueden producir efectos desestabilizadores similares. Las herramientas de seguridad tradicionales a nivel de red, como los firewalls, carecen de visibilidad ante estas anomalías en la capa de medición. Asimismo, los métodos de autenticación convencionales que dependen de claves criptográficas almacenadas son cada vez más vulnerables a los ataques físicos y al acceso no autorizado.

Metodología
Esta investigación propone un marco de raíz de confianza de hardware que integra una Función Físicamente Inconcluyente (PUF, por sus siglas en inglés) en la capa de medición para autenticar las lecturas de los sensores. El sistema se integra con arquitectes de ICS estándar sin requerir cambios estructurales, utilizando el protocolo TCP-MODBUS para la comunicación entre la PUF y el Controlador Lógico Programable (PLC).

La metodología consta de tres componentes principales:

1. Arquitectura de la PUF: La PUF aprovecha las variaciones inherentes de fabricación en las transiciones de inversores CMOS como fuente de entropía. Genera un flujo de bits de respuesta barriendo las regiones de transición de un arreglo de inversores para extraer la Distorsión Armónica Total (THD). Este valor de THD se compara con un valor medio precalculado almacenado en una Tabla de Búsqueda (LUT) indexada por un desafío (challenge). Para mejorar la seguridad, un desafío siembra un Generador de Números Pseudoaleatorios (PRNG) para determinar dinámicamente regiones de barrido distintas, produciendo un vector de respuesta de 18 bits a partir de un espacio de desafío de 8 bits.
2. Módulo de Verificación: Este módulo realiza dos tipos de comprobaciones:
   • Verificación de la PUF: Valida el voltaje actual del sensor contra una línea base aprendida. Opera dentro de una ventana de tolerancia (±2 unidades) alrededor de umbrales predefinidos de nivel de tanque (de 0 a 300 en incrementos de 20). Si una lectura cae dentro de una ventana, el módulo verifica la existencia de un par de nivel de tanque–respuesta de la PUF coincidente en la memoria.
   • Verificación Temporal: Este componente rastrea la diferencia entre la lectura máxima y mínima de un sensor en una cola. Compara la diferencia máxima actual contra un valor registrado durante la fase de enrolamiento. Si la diferencia excede el umbral enrolado, la autenticación temporal falla.
3. Flujo de Trabajo: El sistema opera en dos fases. Durante la Fase de Enrolamiento, el sistema registra pares válidos de nivel de tanque y respuesta de la PUF dentro de las ventanas de tolerancia. Durante la Fase de Autenticación, el sistema realiza la validación en tiempo real. Una autenticación exitosa (cuando pasan tanto la verificación de la PUF como la temporal) resulta en un código de respuesta de "3". Un fallo en cualquiera de las comprobaciones resulta en un código de "1", señalando un fallo o ataque.

Configuración Experimental y Resultados
El marco fue prototipado en un banco de pruebas de tanque de agua de Hardware-in-the-Loop (HIL) utilizando un emulador de PUF basado en Simulink, un simulador 3D de Factory IO y un OpenPLC ejecutándose en una Raspberry Pi 4.

• Operación Normal: Durante un periodo de operación normal de 5.18 horas (286,281 muestras), el sistema alcanzó una precisión del 99.97%. Hubo 72 instancias donde el sistema señaló una desviación en la línea base de voltaje-nivel (respuesta "2"), aunque las tendencias temporales se mantuvieron correctas. Esto resultó en una tasa de falsos positivos del 0.025% para la autenticación de la firma de voltaje y cero falsos positivos para la autenticación temporal.
• Detección de Fallos del Sensor: El sistema detectó y señaló con éxito:
  • Fallos de Pico (Spike Faults): Señales de impulso de alta amplitud hicieron que la PUF transitara de un estado normal ("3") a un estado de alerta ("1").
  • Fallos de Saturación (Hard-Over Faults): Tanto los desplazamientos abruptos positivos (saturación) como los negativos (colapso a cero) fueron detectados, identificando correctamente los fallos de autenticación temporal mediante la PUF.
• Detección de Troyanos de Hardware: En un escenario donde un troyano de hardware permaneció latente durante una hora antes de restar un valor constante a las lecturas del sensor, la PUF detectó los fallos de autenticación temporal resultantes. El sistema señaló los tres periodos de activación del troyano, evitando que el controlador mantuviera el nivel de agua dentro de la banda prevista y evitando un posible desbordamiento.

Contribuciones Clave
El artículo describe tres contribuciones principales:

1. Un marco de autenticación de sensores basado en PUF y consciente del proceso que combina huellas digitales de voltaje analógico con autenticación temporal para detectar desviaciones graduales y abruptas.
2. Una arquitectura de banco de pruebas de Hardware-in-the-Loop que operacionaliza la autenticación basada en PUF dentro de un sistema de control de tanque de agua.
3. Una evaluación empírica que demuestra una alta precisión de detección a través de fallos de sensores y escenarios adversos, incluyendo troyanos de hardware.

Significancia
Los autores afirman que esta investigación proporciona un enfoque consciente del proceso y agnóstico respecto al proveedor, capaz de integrarse con plantas heredadas (legacy). Al embeber la seguridad en el nivel del hardware, el marco ofrece un mecanismo para detectar la degradación de la señal del sensor y ataques sofisticados de la cadena de suministro que las herramientas de monitoreo de red tradicionales no pueden ver. El sistema sirve como un "ancla verdadera" en la capa de detección, mejorando la protección contra la manipulación maliciosa y los fallos ambientales en entornos de misión crítica.

Trabajo Futuro
El artículo sugiere esfuerzos futuros para migrar el modelo de PUF virtual a una matriz de puertas lógicas programable en campo (FPGA) para la validación de señales en tiempo real en cada ciclo del PLC. Adicionalmente, los autores proponen evaluar el enfoque en diferentes dominios de ICS, probar la precisión en entornos de múltiples sensores con controladores interdependientes, e integrar la PUF con un entorno de ejecución de confianza para crear una jaula de computación para validar las respuestas de los sensores.