Résumé technique : Atténuation des attaques basées sur le temps dans les systèmes cyber-physiques en temps réel

Énoncé du problème

Les systèmes cyber-physiques (CPS) en temps réel, tels que ceux utilisés dans les domaines de l'automobile, de l'avionique et de l'IoT industriel, reposent sur une exécution déterministe des tâches pour garantir la sécurité et la correction. Ce déterminisme, souvent réalisé via un ordonnancement à priorité fixe préemptif (PFP), crée par inadvertance des canaux auxiliaires de temporisation (timing side-channels). Des adversaires peuvent exploiter la nature prévisible de ces ordonnancements pour inférer les modèles d'exécution de tâches de contrôle critiques pour la sécurité.

Plus précisément, l'article traite des attaques basées sur l'ordonnancement (SBA). Dans ces attaques, un adversaire compromet une tâche de priorité inférieure et non fiable pour prédire les temps d'arrivée d'une tâche de contrôle de haute priorité dite « victime ». En calculant la fenêtre d'efficacité de l'attaque (AEW) — l'intervalle de temps suivant l'exécution d'une tâche victime où ses tampons de données sont vulnérables — l'attaquant peut lancer des attaques par injection de fausses données (FDI). Ces attaques manipulent les entrées de commande stockées dans des tampons d'E/S partagés, ce qui peut dégrader les performances du contrôle en boucle fermée ou provoquer une défaillance du système.

Les défenses existantes, telles que la randomisation de l'ordonnancement ou l'isolement temporel, échouent souvent à prendre en compte les implications critiques de telles modifications sur les performances de contrôle et la planifiabilité (schedulability). La randomisation peut augmenter les changements de contexte et les dépassements de échéances, tandis que l'injection de bruit (par exemple, une distribution de Laplace) peut violer les garanties temporelles strictes requises par les systèmes critiques pour la sécurité en temps réel dur.

Méthodologie : Le cadre SecureRT

Les auteurs proposent SecureRT, un cadre qui atténue les attaques d'inférence temporelle en introduisant des délais de niveau job bornés et structurés aux tâches de contrôle victimes. L'approche est conçue pour minimiser le chevauchement temporel entre l'AEW de la victime et l'exécution des tâches non fiables sans violer les garanties en temps réel ni dégrader la qualité du contrôle.

Le cadre fonctionne via trois étapes séquentielles :

1. Analyse au temps de conception (Design-Time)

• Analyse de planifiabilité (WCRT) : Le cadre effectue une analyse conservatrice du temps de réponse le plus défavorable (WCRT) pour déterminer le délai de crête au niveau job ($\Delta^{peak}_v$). Il s'agit du délai maximal qui peut être appliqué aux déclenchement des jobs d'une tâche victime sans que la victime ou toute tâche de priorité inférieure ne manque ses échéances. L'analyse tient compte de l'interférence de « carry-in » provenant des tâches de priorité supérieure et du jitter introduit par les déclenchement retardés.
• Analyse de performance de contrôle : Reconnaissant que les délais affectent la dynamique de l'unité physique (plant), les auteurs modélisent la tâche de contrôle comme un système LQR (Régulateur Quadratique Linéaire) sensible aux délais. Ils synthétisent un contrôleur sensible aux délais et calculent le délai admissible maximal ($\Delta^{max}_i$). Il s'agit du délai le plus grand qui maintient le coût de contrôle ($J$) en dessous d'un seuil prédéfini ($J_{Th}$) fixé par le concepteur du système.
• Formulation d'optimisation : Un problème d'optimisation est formulé pour générer une séquence de délais optimale au niveau job ($\Delta_i$) pour chaque tâche de contrôle. L'objectif est de minimiser le chevauchement temporel total entre les AEW des tâches victimes et les fenêtres d'exécution de toutes les tâches non fiables sur une hyperpériode.
  • La fonction de chevauchement est non linéaire et par morceaux. Pour la résoudre, les auteurs la linéarisent en utilisant la programmation linéaire en nombres entiers mixtes (MILP). Ils introduisent des variables continues auxiliaires et des variables de décision binaires (en utilisant la méthode Big-M) pour transformer le calcul du chevauchement en contraintes linéaires adaptées aux solveurs standards (ex: Gurobi).

2. Exécution au runtime (Ordonnanceur PFP-d)

Le cadre intègre un ordonnanceur personnalisé, PFP-d (Preemptive Fixed Priority with delay), avec un détecteur d'anomalies en ligne.

• Détection d'anomalie : Chaque boucle de contrôle est équipée d'un détecteur de résidus basé sur $\chi^2$ qui surveille la différence entre les sorties mesurées et estimées. Si la statistique dépasse un seuil ($Th$), une attaque est signalée.
• Atténuation : Lors de la détection d'une attaque sur une tâche victime spécifique, l'ordonnanceur passe du mode PFP standard au mode PFP-d. Il récupère la séquence de délais optimale précalculée et applique le délai correspondant au temps de déclenchement de l'instance de job actuelle et des instances suivantes de la tâche victime.
• Réinitialisation : L'atténuation reste active pendant une durée prédéfinie ($T_{RES}$), après quoi le système se réinitialise vers un fonctionnement nominal.

3. Complexité et surcharge

L'algorithme d'exécution (Algorithme 1) fonctionne avec une complexité $O(1)$ par pas de temps. Puisque les séquences de délais optimales sont calculées hors ligne et stockées, la surcharge de runtime est négligeable, rendant l'approche adaptée aux plateformes embarquées à ressources limitées.

Contributions clés

1. Optimisation conjointe de la sécurité et du contrôle : Contrairement aux travaux antérieurs qui se concentrent uniquement sur l'obscurcissement de l'ordonnancement, SecureRT prend explicitement en compte l'impact des modifications d'ordonnancement sur la performance du contrôle en boucle fermée et la planifiabilité.
2. Dérivation de délais bornés : L'article dérive des limites strictes pour les délais au niveau job ($\Delta^{peak}$ et $\Delta^{max}$) qui garantissent à la fois la planifiabilité du système et la stabilité du contrôle.
3. Synthèse de délais optimaux : Une nouvelle formulation MILP est présentée pour générer des séquences de délais cycliques optimales au niveau job qui minimisent la surface d'attaque (chevauchement de l'AEW) tout en respectant les limites dérivées.
4. Cadre SecureRT : L'intégration d'un détecteur $\chi^2$ en ligne avec un ordonnanceur PFP-d personnalisé fournit un mécanisme de défense pratique et léger contre les attaques SBA postérieures.

Résultats expérimentaux

Les auteurs ont évalué SecureRT en utilisant un cas d'étude automobile réaliste (Contrôle de vitesse de croisière, ESP et contrôleurs de suivi de trajectoire) implémenté sur un Raspberry Pi 4 avec un noyau Linux patché (PREEMPT_RT) pour garantir un comportement en temps réel dur.

• Études de cas : Quatre scénarios ont été comparés :
  1. Référence (PFP, Pas d'attaque) : Le système fonctionne normalement.
  2. Attaque (PFP, Pas de délai) : Un attaquant réalise avec succès une FDI, provoquant une déviation significative de l'état de l'unité physique et une augmentation constante du coût de contrôle.
  3. Délais aléatoires (État de l'art) : L'application de délais aléatoires (distribution de Laplace) a réduit la prédictibilité mais n'a pas réussi à prévenir systématiquement la FDI, entraînant une dégradation des performances et une augmentation des coûts.
  4. SecureRT (PFP-d) : La séquence de délais optimale a réussi à minimiser le chevauchement entre l'AEW de la victime et l'exécution de l'attaquant. Le système a maintenu un suivi stable de l'unité physique, et le coût de contrôle est resté proche de la valeur nominale malgré l'attaque en cours.
• Amélioration quantitative : Dans le cas d'étude automobile, la séquence de délais optimale a réduit la durée de chevauchement disponible pour les attaques FDI de 60 % (de 45 ms à 18 ms).
• Planifiabilité générale : Des expériences synthétiques étendues à travers diverses plages d'utilisation et de nombres de tâches (5, 10 et 20 tâches) ont démontré que SecureRT maintient une planifiabilité élevée, particulièrement lorsque les tâches victimes sont de haute priorité et que l'utilisation du système est faible à modérée.

Signification et affirmations

L'article affirme que SecureRT offre une avancée significative par rapport aux stratégies d'atténuation existantes en comblant le fossé entre la cybersécurité et la théorie du contrôle. Sa principale importance réside dans sa capacité à sécuriser les charges de travail de contrôle en temps réel contre les attaques d'inférence temporelle sans compromettre les garanties déterministes ou les performances physiques du système.

Les auteurs soulignent que leur approche n'est pas simplement un exercice théorique, mais une solution déployable pour les environnements à ressources limitées. En utilisant des délais structurés et bornés plutôt qu'une randomisation non bornée, SecureRT garantit que les systèmes critiques pour la sécurité peuvent fonctionner dans des limites de performance prédéfinies tout en réduisant considérablement la surface d'attaque. Les travaux concluent en notant que les extensions futures viseront à appliquer ce cadre aux systèmes multi-cœurs et aux ordonnanceurs à priorité dynamique (comme l'EDF).