Replicating the Signature: Unsupervised Targeted Impersonation Attack on RF Fingerprinting

Résumé Technique : Répliquer la Signature : Attaque d'Impersonation Ciblée Non Supervisée sur l'Empreinte Radiofréquence (RFFP)

Énoncé du Problème
L'empreinte radiofréquence basée sur l'apprentissage profond (DL-based RFFP) est apparue comme une méthode robuste pour l'authentification de dispositifs au niveau de la couche physique, en exploitant les imperfections matérielles uniques (ex: décalage de fréquence porteuse, déséquilibre I/Q, non-linéarités de l'amplificateur de puissance) intégrées dans les signaux transmis. Cependant, la robustesse de ces systèmes contre les attaques d'impersonation actives reste peu explorée. Les modèles d'attaque existants reposent souvent sur des hypothèses irréalistes, telles que l'accès complet au classifieur de la victime (White-Box), l'injection directe de signaux contournant les canaux sans fil, ou le recours à la relecture de signaux capturés qui impriment inévitablement les propres distorsions matérielles de l'attaquant. De plus, de nombreuses approches antérieures compromettent la fiabilité de la communication (augmentant le taux d'erreur binaire) ou nécessitent la connaissance de séquences de charge utile spécifiques utilisées pour l'empreinte, ce qui limite leur applicabilité pratique dans des scénarios réels de « No-Access » où l'attaquant utilise un matériel indépendant et n'a aucune connaissance du modèle de la victime.

Méthodologie
Les auteurs proposent un nouveau cadre d'impersonation non supervisé conçu pour fonctionner sous un modèle de menace « No-Access », où l'attaquant ne possède ni le matériel du récepteur de la victime, ni son modèle de classification. Le cadre se compose de deux variantes principales :

1. Cadre HWE (Estimation Matérielle) :

   • Estimation non supervisée des imperfections : L'innovation centrale est une approche d'apprentissage non supervisé pour estimer le vecteur d'imperfection matérielle ($\Theta$) de l'appareil cible sans étiquettes de vérité terrain. Cela utilise une architecture Encodeur-Décodeur où un réseau de neurones entraînable (HWE) extrait le vecteur d'imperfection de la phase d'un signal capturé, et une fonction de modulation non entraînable ($Mod$) reconstruit le signal. Le système est entraîné pour minimiser la perte de reconstruction entre le signal capturé original et le signal régénéré en utilisant les imperfections estimées et la séquence de bits démodulée.
   • Synthèse de Signal : Une fois les imperfections cibles ($\hat{\Theta}_T$) estimées, l'attaquant utilise une fonction de modulation pour intégrer ces imperfections dans une séquence de bits de charge utile malveillante contrôlable, synthétisant ainsi un signal adversaire de haute fidélité ($x_A[n]$) qui imite la signature RF de l'appareil cible.

2. HWE+ (Raffinement par Gradient) :

   • Pour améliorer davantage les taux de succès, HWE+ introduit une étape de raffinement itératif. Puisque l'attaquant n'a pas accès au classifieur de la victime ($CL_{SV}$), il entraîne un classifieur de substitution local ($CL_{SA}$) sur son propre matériel.
   • En utilisant la descente de gradient projetée (PGD), l'attaquant ajoute de manière itérative de petites perturbations bornées ($\delta$) au signal synthétisé afin de maximiser la probabilité que le classifieur de substitution identifie incorrectement le signal comme étant l'appareil cible, tout en garantissant que la perturbation reste dans un budget valide ($\epsilon$) pour maintenir la fiabilité de la communication.

Contributions Clés

• Génération de Signaux Pilotée par les Imperfections : L'article introduit le premier cadre capable de générer des signaux d'impersonation avec des charges utiles contrôlables sous des modèles et des conditions de système inconnus, en estimant et en appliquant explicitement les imperfections matérielles sans connaissance préalable du modèle de la victime.
• Robustesse sous Décalage de Domaine : Le cadre démontre sa généralisabilité à travers différents domaines (récepteurs, canaux, liaisons filaires/sans fil) et sa robustesse face à diverses représentations de données, abordant le défi de l'adaptation de domaine dans la RFFP.
• Évaluation de Modèle de Menace Réaliste : Contrairement aux travaux précédents reposant sur le Full-Access ou l'injection directe, ce travail valide l'attaque sous un modèle « No-Access » réaliste via des transmissions Over-the-Air (OTA) dans des scénarios LoS (Line-of-Sight) et NLoS (Non-Line-of-Sight).
• Libération de Dataset : Les auteurs publient un ensemble de données complet d'empreinte RFFP de Bluetooth Low Energy (BLE) collecté à partir de 31 dispositifs IoT à travers divers environnements, récepteurs et canaux pour faciliter la recherche future en généralisation de domaine et en attaques.

Résultats Expérimentaux
Des expériences approfondies ont été menées sur un banc d'essai BLE impliquant 31 dispositifs IoT Seeed Studio XIAO et des transmetteurs Ettus USRP B210.

• Taux de Succès des Attaques : Les cadres HWE et HWE+ proposés ont atteint un Taux de Succès d'Attaque Ciblée (TASR) de plus de 97 % de manière constante à travers les modèles Full-Access, Limited-Access et No-Access. Cela a nettement surpassé les bases de comparaison existantes (PGD, CDIA), qui ont échoué ou obtenu de faibles taux de succès sous le modèle No-Access.
• Scalabilité : L'attaque est restée efficace à mesure que le nombre de dispositifs enregistrés augmentait (jusqu'à 31 dispositifs), bien que le TASR ait naturellement diminué à mesure que la confusion de classe augmentait.
• Robustesse aux Représentations : L'attaque a été efficace contre diverses représentations de caractéristiques d'entrée (RawIQ, Phase Derivative, DoLoS, CLPS, Mbed). Bien que les caractéristiques de la Dérivée de Phase (PD) aient offert la plus grande robustesse de défense, l'attaque proposée a tout defois maintenu des taux de succès significatifs.
• Performance OTA : Dans des conditions OTA, incluant le NLoS et des distances variables (1,5 m à 7 m), l'attaque est restée hautement efficace. Le calibrage des distorsions induites par l'OTA a amélioré le TASR jusqu'à 20 %, rapprochant les performances de celles de l'Injection Directe.
• Généralisation : L'attaque s'est transférée avec succès à des architectures de victimes non vues (Transformers, RNN, divers CNN) et à des séquences d'entraînement non vues (où la victime utilisait des séquences internes cachées pour l'identification), démontrant une haute transférabilité.

Signification et Revendications
L'article affirme révéler une vulnérabilité fondamentale dans les systèmes actuels de RFFP basés sur le DL. En démontrant qu'une estimation précise des imperfections matérielles peut être obtenue via l'apprentissage non supervisé et utilisée pour synthétiser des signaux adverses physiquement cohérents sans connaissance du modèle de la victime, les auteurs soutiennent que les défenses RFFP existantes sont insuffisantes face à des attaques d'impersonation matérielles réalistes. Ce travail souligne la nécessité critique de mécanismes de défense plus robustes et résilients qui tiennent compte de la transférabilité des signatures matérielles à travers différents domaines et de la faisabilité de la réplication non supervisée des imperfections. Les auteurs insistent sur le fait que leur approche ne repose pas sur des hypothèses irréalistes, faisant de la menace identifiée une préoccupation pressante pour le déploiement de la RFFP dans les applications de sécurité du monde réel.