💻 computer science

PowerFuzz: Power-Based Black-Box Firmware Fuzzing

PowerFuzz est un framework de fuzzing de firmware statistique de type boîte noire qui utilise des mesures de canaux auxiliaires de consommation d'énergie pour reconstruire des graphes de flux de contrôle et guider la génération de tests, atteignant une couverture de branches comparable à celle des fuzzer de type boîte grise tout en surpassant de manière significative les approches de type boîte noire existantes.

Auteurs originaux : Dakshina Tharindu, Sahan Sanjaya, Philip Baptist, Prabhat Mishra

Publié 2026-06-24

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Dakshina Tharindu, Sahan Sanjaya, Philip Baptist, Prabhat Mishra

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous possédez une boîte noire flambant neuve et verrouillée (un micrologiciel informatique) qui contrôle un appareil comme un implant médical ou un thermostat intelligent. Vous voulez la briser pour trouver des failles cachées, mais vous ne pouvez pas ouvrir la boîte, vous n'avez pas les plans (le code source) et vous ne pouvez même pas voir l'intérieur pendant qu'elle fonctionne. C'est le problème de la « Boîte Noire ».

Habituellement, pour tester efficacement un logiciel, les experts utilisent une approche de type « Boîte Grise ». Ils ont une fenêtre ouverte sur le code. Ils peuvent voir chaque virage que prend le logiciel, comme un GPS qui suit l'itinéraire d'un conducteur. Si le conducteur prend une nouvelle route, le GPS dit : « Super ! Nous avons trouvé un nouveau chemin ! » et le testeur se concentre sur cette zone.

Entrez en scène, PowerFuzz : Le « Détective de la Puissance »

Mais avec une boîte noire verrouillée, le testeur est aveugle. Il lance des entrées aléatoires dans la boîte en espérant que quelque chose d'intéressant se produise. C'est comme lancer des fléchettes sur un mur dans l'obscurité ; vous finirez peut-être par toucher quelque chose, mais c'est incroyablement inefficace.

Les chercheurs de l'Université de Floride ont trouvé une astuce ingénieuse appelée PowerFuzz. Au lieu d'essayer de voir à l'intérieur de la boîte, ils écoutent la quantité d'électricité que la boîte consomme.

L'idée centrale est la suivante : Chaque fois que l'ordinateur à l'intérieur de la boîte prend une décision (comme « si la température est élevée, allumer le ventilateur »), il utilise une quantité de puissance infime et unique. C'est comme le rythme cardiaque d'une personne qui change légèrement selon qu'elle marche, court ou dort.

Comment fonctionne PowerFuzz (L'analogie)

Imaginez que vous essayez de cartographier un labyrinthe, mais que vous ne voyez pas les murs. Vous avez un ami à l'intérieur du labyrinthe qui ne peut pas vous parler, mais vous pouvez entendre ses pas à travers le sol.

Écouter les pas (Traces de puissance) :
PowerFuzz envoie un message de test (un « dard ») à l'appareil. Pendant que l'appareil traite ce message, PowerFuzz enregistre un graphique de sa consommation d'énergie. Ce graphique est l'« empreinte » des pensées de l'appareil.
Le détective à la « Fenêtre Glissante » (Trouver le virage) :
Le système compare le nouveau graphique de puissance avec les anciens.
- Le Problème : Parfois, l'appareil suit le même chemin, mais le graphique de puissance semble légèrement différent à cause du léger « bruit » électrique (comme un ami marchant sur un plancher qui craque).
- La Solution : PowerFuzz utilise un outil mathématique appelé Dynamic Time Warping (Déformation Temporelle Dynamique). Considérez cela comme une règle flexible qui étire ou rétrécit les graphiques pour les aligner parfaitement, en ignorant les petits craquements pour se concentrer sur l'essentiel.
- La « Fenêtre Grandissante » : Une fois qu'il a trouvé un endroit approximatif où les graphiques pourraient différer, il zoome avec une « fenêtre grandissante » pour localiser précisément le moment où l'appareil a pris un virage différent.
Dessiner la carte (Le TCFG) :
Chaque fois que PowerFuzz trouve un nouveau virage (une nouvelle branche dans le code), il dessine un nœud sur une carte appelée Trace-guided Control Flow Graph (TCFG) (Graphe de Flux de Contrôle Guidé par la Trace).
- Au début, la carte n'est qu'une seule ligne.
- À mesure qu'il trouve de nouveaux chemins, la carte se ramifie comme un arbre.
- Crucialement, cette carte est construite entièrement en écoutant l'électricité, sans jamais voir le code.
Le guide intelligent (Sélection des branches) :
Maintenant que PowerFuzz possède une carte, il arrête de lancer des dards au hasard. Il regarde la carte et dit : « Hé, nous n'avons pas encore exploré cette branche profonde et sombre au bas de l'arbre. Visons cette zone pour nos prochains dards. » Il donne la priorité aux chemins les plus difficiles à atteindre, tel un explorateur intelligent.

Les résultats : À quel point cela a-t-il fonctionné ?

Les chercheurs ont testé cela sur du matériel réel (comme des microcontrôleurs que l'on trouve dans des routeurs et des dispositifs médicaux) en utilisant dix programmes logiciels différents. Ils ont comparé PowerFless à :

Le Test Aléatoire : Lancer des dards dans le noir.
Fuzz'EMup : La meilleure méthode actuelle de « boîte noire », qui utilise des ondes électromagnétiques (comme une radio) au lieu de la puissance.
Le Fuzzing de « Boîte Grise » : Le « standard de référence » où ils pouvaient voir le code (utilisé comme point de comparaison pour obtenir le meilleur résultat possible).

Les conclusions :

Battre la concurrence : PowerFuzz a trouvé nettement plus de chemins cachés que les testeurs aléatoires et la méthode électromagnétique (Fuzz'EMup). Dans certains cas, il a trouvé 22 % de code en plus que la précédente meilleure méthode de boîte noire.
Rattraper le « Mode Dieu » : Bien que PowerFuzz ne puisse pas voir le code, il a réussi à trouver presque autant de chemins que la méthode de « Boîte Grise » qui pouvait voir le code. Il était à seulement 13,5 % du score parfait.
Application universelle : Il a fonctionné de manière aussi efficace sur différents types de puces informatiques (ARM et AVR), prouvant qu'il s'agit d'un outil polyvalent.

En résumé

PowerFuzz est comme un détective qui résout un mystère non pas en lisant le journal intime du suspect (le code), mais en écoutant le rythme de ses pas (la consommation d'énergie). En cartographiant ces rythmes, il construit une carte mentale de la logique du logiciel, ce qui lui permet de traquer les faiblesses cachées bien plus rapidement et plus efficacement qu'en devinant dans l'obscurité. Cela prouve que vous n'avez pas besoin de voir l'intérieur d'une boîte noire pour comprendre comment elle réfléchit ; il vous suffit d'écouter comment elle s'alimente.

Résumé Technique : PowerFuzz

Énoncé du Problème

Les systèmes embarqués constituent l'épine dorsale des infrastructures critiques, pourtant leur firmware reste nettement moins étudié que les logiciels traditionnels en raison de la difficulté d'observer le comportement d'exécution sans accès direct aux binaires ou à une infrastructure de débogage. Les firmwares modernes sont souvent propriétaires, chiffrés ou obfusqués, et les protections matérielles (par exemple, les bits de fusion verrouillés, le démarrage sécurisé/secure boot) empêchent l'extraction binaire. Par conséquent, les techniques classiques de fuzzing guidé par la couverture — qui reposent sur l'instrumentation binaire pour surveiller la couverture de branchement — sont inapplicables.

Les approches existantes de type "boîte noire" manquent de boucles de rétroaction efficaces. Le test aléatoire est inefficace pour les firmwares dépendants de l'état, et les tentatives antérieures utilisant des canaux auxiliaires (par exemple, les émanations électromagnétiques) nécessitent souvent un équipement de sondage en champ proche coûteux et spécialisé. Le défi central consiste à reconstruire une boucle de rétroaction guidée par la couverture pour une cible "entièrement boîte noire" où le flux de contrôle interne est opaque, sans modifier le firmware ni accéder à son binaire.

Méthodologie

Le document présente PowerFuzz, un framework de fuzzing statistique en boîte noire qui substitue l'instrumentation binaire par des mesures de canaux auxiliaires de consommation électrique. Le framework repose sur l'idée qu'un microcontrôleur (MCU) encode des informations fines sur son exécution interne via sa consommation électrique, laquelle varie de manière mesurable selon les instructions exécutées et les décisions de branchement.

Composants Clés

Acquisition de Traces de Puissance :
- Le système capture de manière synchrone la consommation électrique du MCU sous la forme d'un signal de série temporelle ( $P = \langle p_1, p_2, \dots, p_n \rangle$ ) chaque fois qu'une nouvelle entrée est envoyée à la cible.
- Pour atténuer le bruit de mesure, $N=10$ traces sont capturées par entrée et moyennées.
Analyse de Similitude (Identification de Branchement) :
- Pour déterminer si une nouvelle entrée déclenche un chemin d'exécution différent, PowerFuzz compare la nouvelle trace aux traces précédemment capturées en utilisant un algorithme en deux étapes :
  - Étape 1 : Dynamic Time Warping (DTW) avec Fenêtre Glissante : Le DTW aligne les deux séquences de séries temporelles pour gérer le jitter temporel. Une analyse par fenêtre glissante est appliquée au profil de décalage résultant pour détecter les divergences soutenues (indiquant une transition de branchement) tout en filtrant le bruit transitoire.
  - Étape 2 : Corrélation de Pearson avec Fenêtre Croissante : Une fois qu'une fenêtre de divergence grossière est identifiée, une analyse de corrélation de Pearson est effectuée. Une fenêtre glissante localise d'abord la déviation approximative, suivie d'une analyse par fenêtre croissante qui s'étend progressivement à partir du début de la divergence jusqu'à ce que la corrélation chute en dessous d'un seuil. Cela permet de localiser précisément l'indice d'échantillon où les chemins d'exécution divergent.
Construction du Graphe de Flux de Contrôle Guidé par la Trace (TCFG) :
- PowerFuzz construit dynamiquement une structure arborescente hiérarchique appelée TCFG, qui sert de substitut au graphe de flux de contrôle (CFG).
- Structure des Nœuds : Chaque nœud représente un bloc de base et stocke : (1) le segment de la trace de puissance correspondant à ce bloc, (2) l'entrée ayant atteint ce bloc, et (3) des pointeurs vers les enfants gauche/droite représentant les chemins "branchement pris" et "branchement non pris".
- Mécanisme de Mise à Jour : Lorsqu'une nouvelle trace est analysée, l'algorithme parcourt récursivement le TCFG. Si la nouvelle trace diverge à l'intérieur d'un nœud existant, ce nœud est divisé : un nouveau nœud parent stocke le préfixe partagé, tandis que le nœud original et le nouveau chemin divergent deviennent respectivement les enfants gauche et droit. Cela permet au graphe de croître de manière incrémentale sans connaissance préalable du firmware.
Sélection de Branchement et Mutation :
- Le TCFG guide le moteur de fuzzing (construit sur LibAFL) pour sélectionner les branches à explorer.
- Sélection Aléatoire : Utilisée lors des premières phases lorsque le TCFG est clairsemé.
- Sélection Priorisant la Profondeur : À mesure que le TCFG croît, le fuzzer priorise les nœuds situés à des profondeurs plus importantes, ciblant la logique conditionnelle imbriquée et les comportements complexes dépendants de l'état, plus difficiles à atteindre.
- Les entrées qui entraînent une mise à jour du TCFG (nouvelle couverture) sont conservées dans le corpus de graines (seeds) ; les autres sont rejetées.

Contributions Clés

Le papier revendique les contributions suivantes :

Premier Framework de Puissance en Boîte Noire : Il présente le premier framework utilisant des mesures de canaux auxiliaires de puissance pour permettre le fuzzing guidé par la couverture pour des firmwares entièrement boîte noire, ne nécessitant aucune visibilité interne.
Identification de Branchement Novatrice : Il implémente une méthode combinant l'analyse par fenêtre glissante, la corrélation de trace complète par fenêtre croissante et le Dynamic Time Warping pour identifier les branchements exécutés à partir des traces de puissance.
Génération Dynamique de TCFG : Il permet la construction en temps réel d'un graphe de flux de contrôle guidé par la trace sans accès au binaire, en utilisant les traces de puissance accumulées pour inférer les relations structurelles.
Validation Empirique : Il démontre, par une évaluation approfondie, que PowerFuzz peut atteindre une couverture de branchement comparable à celle de fuzzers "boîte grise" tout en surpassant significativement les alternatives "boîte noire" de pointe.

Résultats Expérimentaux

Le framework a été évalué sur trois plateformes matérielles (STM32F0, STM32F3 et XMEGA) en utilisant dix benchmarks de firmware, incluant des applications de grande échelle (GPS, contrôleur de moteur pas à pas, machine CNC, station de soudage) et de petites bibliothèques (cjson, zlib, implémentations cryptographiques).

Comparaison de Couverture :
- vs. Boîte Grise : PowerFuzz a atteint une couverture de branchement à 13,5 % près de celle de fuzzers "boîte grise" de pointe (qui possèdent une visibilité binaire totale).
- vs. Boîte Noire (Fuzz'EMup) : PowerFuzz a nettement surpassé Fuzz'EMup (un fuzzer boîte noire utilisant des émanations électromagnétiques) avec jusqu'à 22 % de couverture de branchement supplémentaire sur les benchmarks.
- vs. Test Aléatoire : PowerFuzz a systématiquement atteint des plateaux de couverture bien plus élevés et plus rapidement que le test aléatoire, avec des avantages de couverture allant de 20 % à 30 % selon les plateformes.
Précision Structurelle :
- Lorsqu'il est comparé aux CFG de vérité terrain extraits via angr, les TCFG inférés ont montré une précision de nœud de 97,66 % et un rappel de nœud de 77,61 %. La haute précision indique que la détection de divergence crée rarement de fausses divisions, tandis que le rappel plus faible est attribué à la conception conservatrice requise pour éviter la fragmentation induite par le bruit.
Applicabilité Trans-Architecture :
- PowerFuzz a démontré une performance constante sur les architectures 32 bits ARM et 8 bits AVR sans ajustement spécifique à l'architecture, atteignant des taux de couverture stables sur différents types de MCU.

Signification et Revendications

Le papier positionne PowerFuzz comme une avancée critique pour la sécurité des systèmes embarqués, répondant au "défi fondamental" de la vérification des firmwares propriétaires ou chiffrés où l'instrumentation traditionnelle est impossible. En exploitant la consommation électrique comme substitut à l'instrumentation binaire, PowerFuzz permet une boucle de rétroaction guidée par la couverture dans un contexte de boîte noire totale.

Les auteurs affirment que PowerFest comble le fossé entre l'inefficacité aveugle du test aléatoire et l'inaccessibilité du fuzzing "boîte grise". Les résultats suggèrent que les mesures physiques de canaux auxiliaires peuvent effectivement approximer les informations structurelles obtenues par l'analyse binaire, rendant le test automatisé rigoureux possible pour une classe plus large de dispositifs embarqués, y compris ceux dans des environnements critiques pour la sécurité et la sûreté. Ce travail établit que les traces de puissance, traditionnellement utilisées pour les attaques cryptographiques, peuvent être détournées comme un mécanisme robuste de vérification logicielle.