Resumen Técnico: Mitigación de Ataques Basados en Tiempos en Sistemas Ciber-Físicos en Tiempo Real

Planteamiento del Problema

Los Sistemas Ciber-Físicos (CPS) en tiempo real, como los de los dominios automotriz, de aviónica e IoT industrial, dependen de la ejecución determinista de tareas para garantizar la seguridad y la corrección. Este determinismo, logrado a menudo mediante la programación de Prioridad Fija con Preemción (PFP), crea inadvertidamente canales laterales de tiempo. Los adversarios pueden explotar la naturaleza predecible de estos esquemas para inferir los patrones de ejecución de las tareas de control de alta prioridad (víctimas).

Específicamente, el artículo aborda los Ataques Basados en el Esquema (SBAs). En estos ataques, un adversario compromete una tarea de menor prioridad y no confiable para predecir los tiempos de llegada de una tarea de control "víctima" de alta prioridad. Al calcular la Ventana Efectiva de Ataque (AEW) —el intervalo de tiempo que sigue a la ejecución de una tarea víctima donde sus búferes de datos son vulnerables— el atacante puede lanzar ataques de Inyección de Datos Falsos (FDI). Estos ataques manipulan las entradas de control almacenadas en búferes de E/S compartidos, lo que puede degradar el rendimiento del control de bucle cerrado o causar fallos en el sistema.

Las defensas existentes, como la aleatorización del esquema o el aislamiento temporal, a menudo no tienen en cuenta las implicaciones críticas de tales modificaciones sobre el rendimiento del control y la programabilidad (schedulability). La aleatorización puede aumentar los cambios de contexto y los incumplimientos de plazos (deadlines), mientras que la inyección de ruido (por ejemplo, distribución de Laplace) puede violar las estrictas garantías de tiempo requeridas por los sistemas de tiempo real crítico para la seguridad.

Metodología: El Marco de Trabajo SecureRT

Los autores proponen SecureRT, un marco de trabajo que mitiga los ataques de inferencia de tiempo introduciendo retrasos estructurados y acotados a nivel de trabajo (job-level delays) para las tareas de control víctimas. El enfoque está diseñado para minimizar el solapamiento temporal entre la AEW de la tarea víctima y la ejecución de tareas no confiables sin violar las garantías de tiempo real ni degradar la calidad del control.

El marco opera a través de tres pasos secuenciales:

1. Análisis en Tiempo de Diseño

• Análisis de Programabilidad (WCRT): El marco realiza un análisis conservador del Tiempo de Respuesta del Peor Caso (WCRTs) para determinar el retraso pico a nivel de trabajo ($\Delta^{peak}_v$). Este es el retraso máximo que se puede aplicar a las liberaciones de las tareas de la víctima sin que la víctima o cualquier tarea de menor prioridad incumplan sus plazos. El análisis tiene en cuenta la interferencia de "entrada" (carry-in) de tareas de mayor prioridad y el jitter introducido por las liberaciones retrasadas.
• Análisis de Rendimiento del Control: Reconociendo que los retrasos afectan la dinámica de la planta física, los autores modelan la tarea de control como un sistema de Regulador Cuadrático Lineal (LQR) sensible al retraso. Ellos sintetizan un controlador sensible al retraso y computan el retraso máximo admisible ($\Delta^{max}_i$). Este es el mayor retraso que mantiene el costo de control ($J$) por debajo de un umbral predefinido ($J_{Th}$) establecido por el diseñador del sistema.
• Formulación de Optimización: Se formula un problema de optimización para generar una secuencia óptima de retrasos a nivel de trabajo ($\Delta_i$) para cada tarea de control. El objetivo es minimizar el solapamiento temporal total entre las AEWs de las tareas víctimas y las ventanas de ejecución de todas las tareas no confiables sobre un hiperperiodo.
  • La función de solapamiento es no lineal y por partes. Para resolver esto, los autores linealizan el problema utilizando Programación Lineal con Variables Enteras Mixtas (MILP). Introducen variables continuas auxiliares y variables de decisión binaria (usando el método Big-M) para transformar el cálculo del solapamiento en restricciones lineales aptas para solvers estándar (por ejemplo, Gurobi).

2. Ejecución en Tiempo de Ejecución (Planificador PFP-d)

El marco integra un planificador personalizado, PFP-d (Prioridad Fija con Preemción y retraso), con un detector de anomalías en línea.

• Detección de Anomalías: Cada bucle de control está equipado con un detector de residuos basado en $\chi^2$ que monitorea la diferencia entre las salidas medidas y estimadas. Si la estadística excede un umbral ($Th$), se marca un ataque.
• Mitación: Al detectar un ataque en una tarea víctima específica, el planificador cambia de PFP estándar a PFP-d. Recupera la secuencia de retrasos óptima precalculada y aplica el retraso correspondiente al tiempo de liberación de las instancias de trabajo actuales y subsiguientes de la tarea víctima.
• Reinicio (Reset): La mitigación permanece activa durante una duración predefinida ($T_{RES}$), tras la cual el sistema se reinicia a la operación nominal.

3. Complejidad y Sobrecarga

El algoritmo de tiempo de ejecución (Algoritmo 1) opera con una complejidad de $O(1)$ por paso de tiempo. Dado que las secuencias de retraso óptimas se computan fuera de línea y se almacenan, la sobrecarga en tiempo de ejecución es insignificante, lo que hace que el enfoque sea adecuado para plataformas embebidas con recursos limitados.

Contribuciones Clave

1. Optimización Conjunta de Seguridad y Control: A diferencia de trabajos previos que se centran únicamente en la ofuscación del esquema, SecureRT tiene en cuenta explícitamente el impacto de las modificaciones de programación en el rendimiento del control de bucle cerrado y la programabilidad.
2. Derivación de Retrasos Acotados: El artículo deriva límites estrictos para los retrasos a nivel de trabajo ($\Delta^{peak}$ y $\Delta^{max}$) que garantizan tanto la programabilidad del sistema como la estabilidad del control.
3. Síntesis de Retraso Óptimo: Se presenta una novedosa formulación MILP para generar secuencias de retraso a nivel de trabajo cíclicas y óptimas que minimizan la superficie de ataque (solapamiento de la AEW) mientras se adhieren a los límites derivados.
4. Marco de Trabajo SecureRT: La integración de un detector $\chi^2$ en línea con un planificador PFP-d personalizado proporciona un mecanismo de defensa práctico y ligero contra los SBAs posteriores.

Resultados Experimentales

Los autores evaluaron SecureRT utilizando un caso de estudio automotriz realista (Control de Crucero, ESP y controladores de Seguimiento de Trayectoria) implementado en una Raspberry Pi 4 con un kernel Linux parcheado (PREEMPT_RT) para asegurar un comportamiento de tiempo real estricto.

• Casos de Estudio: Se compararon cuatro escenarios:
  1. Línea Base (PFP, Sin Ataque): El sistema opera normalmente.
  2. Ataque (PFP, Sin Retraso): Un atacante realiza con éxito un FDI, causando una desviación significativa en el estado de la planta y un aumento constante en el costo de control.
  3. Retrasos Aleatorios (Estado del Arte): Aplicar retrasos aleatorios (distribución de Laplace) redujo la predictibilidad pero no logró prevenir consistentemente el FDI, provocando degradación del rendimiento y aumentos de costo.
  4. SecureRT (PFP-d): La secuencia de retraso óptima logró minimizar el solapamiento entre la AEW de la víctima y la ventana de ejecución del atacante. El sistema mantuvo un seguimiento estable de la planta y el costo de control se mantuvo cercano al valor nominal a pesar del ataque en curso.
• Mejora Cuantitativa: En el caso de estudio automotriz, la secuencia de retraso óptima redujo la duración del solapamiento disponible para ataques FDI en un 60% (de 45ms a 18ms).
• Programabilidad General: Experimentos sintéticos extensos a través de varios rangos de utilización y conteos de tareas (5, 10 y 20 tareas) demostraron que SecureRT mantiene una alta programabilidad, particularmente cuando las tareas víctimas son de alta prioridad y la utilización del sistema es de baja a moderada.

Significado y Reivindicaciones

El artículo afirma que SecureRT ofrece un avance significativo sobre las estrategias de mitigación existentes al cerrar la brecha entre la ciberseguridad y la teoría de control. Su principal significancia radica en la capacidad de asegurar las cargas de trabajo de control en tiempo real contra ataques de inferencia de tiempo sin comprometer las garantías deterministas ni el rendimiento físico del sistema.

Los autores enfatizan que su enfoque no es meramente un ejercicio teórico, sino una solución desplegable para entornos con recursos limitados. Al utilizar retrasos estructurados y acotados en lugar de una aleatorización sin límites, SecureRT asegura que los sistemas críticos para la seguridad puedan operar dentro de límites de rendimiento predefinidos mientras reducen significamente la superficie de ataque. El trabajo concluye señalando que futuras extensiones buscarán aplicar este marco a sistemas multinúcleo y planificadores de prioridad dinámica (como EDF).