💻 computer science

EvoPatch-IoT: Evolution-Aware Cross-Architecture Vulnerability Retrieval and Patch-State Profiling for BusyBox-Based IoT Firmware

EvoPatch-IoT एक विकास-जागरूक (evolution-aware) ढांचा है जो गुमनाम निर्देश विशेषताओं (anonymous instruction features) और ऐतिहासिक फंक्शन प्रोटोटाइप का लाभ उठाकर स्ट्रिप्ड (stripped) BusyBox-आधारित IoT फर्मवेयर में क्रॉस-आर्किटेक्चर भेद्यता पुनर्प्राप्ति (vulnerability retrieval) और पैच-स्टेट प्रोफाइलिंग को सक्षम बनाता है, जो बेसलाइन की तुलना में महत्वपूर्ण प्रदर्शन सुधार प्राप्त करता है और मैन्युअल निरीक्षण प्रयासों को लगभग 99% तक कम करता है।

मूल लेखक: Yinhao Xiao, Huixi Li, Yongluo Shen

प्रकाशित 2026-04-22

📖 5 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Yinhao Xiao, Huixi Li, Yongluo Shen

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आप एक डिजिटल जासूस हैं जो लॉक की गई, गुमनाम किताबों के एक विशाल पुस्तकालय में एक विशिष्ट, खतरनाक दोष खोजने की कोशिश कर रहे हैं। ये सामान्य किताबें नहीं हैं; ये IoT फर्मवेयर (आपके स्मार्ट कैमरा, राउटर और थर्मोस्टेट के अंदर का सॉफ्टवेयर) हैं।

समस्या यह है:

किताबों को छील दिया गया है (Stripped): प्रकाशकों (डिवाइस निर्माताओं) ने किताबों से सभी नाम, अध्याय शीर्षक और लेखक के हस्ताक्षर हटा दिए हैं। वे केवल कोड के पन्ने हैं जिन पर कोई लेबल नहीं है।
पुस्तकालय विशाल और मिश्रित है: पुस्तकालय में एक ही किताब (BusyBox, एक सामान्य सॉफ्टवेयर टूलकिट) के हजारों संस्करण हैं, जो अलग-अलग भाषाओं (विभिन्न कंप्यूटर आर्किटेक्चर जैसे ARM, MIPS, x86) में छपे हुए हैं।
लक्ष्य: आपको एक गुमनाम किताब में से एक विशिष्ट "खराब पन्ना" (एक भेद्यता/vulnerability) ढूंढना है ताकि आप देख सकें कि आपका डिवाइस सुरक्षित है या नहीं। लेकिन बिना नामों के, आप कैसे जानेंगे कि कौन सा पन्ना कौन सा है?

यहीं पर EvoPatch-IoT काम आता है। इसे एक सुपर-स्मार्ट, समय यात्रा करने वाले जासूस के रूप में सोचें जो इस रहस्य को सुलझाता है।

जासूस का टूलकिट: यह कैसे काम करता है

पूरे किताब को एक साथ पढ़ने के बजाय, EvoPatch-IoT अतीत के ज्ञात "खराब पन्नों" से गुमनाम पन्नों का मिलान करने के लिए तीन चतुर तरकीबों का उपयोग करता है।

1. पन्ने का "आकार" (Geometric Priors)

कल्पना कीजिए कि आपके पास एक रहस्यमयी उपन्यास का फटा हुआ पन्ना है। आप टेक्स्ट नहीं पढ़ सकते, लेकिन आप उसे माप सकते हैं।

पन्ना कितना लंबा है?
वह किताब में कहाँ स्थित है?
उसमें कितने पैराग्राफ (कोड की लाइनें) हैं?
वह कितनी बार दूसरे पन्ने पर कूदता है?

EvoPatch-IoT कोड के इन भौतिक "आकारों" को मापता है। भले ही टेक्स्ट गायब हो, लेकिन कोड का आकार अक्सर एक जैसा रहता है। यह भीड़ में अपने दोस्त को उसके चेहरे से नहीं, बल्कि उसकी लंबाई, चाल और बैग ले जाने के तरीके से पहचानने जैसा है (भले ही चेहरा छिपा हो)।

2. "टाइम मशीन" (Evolution-Aware Prototypes)

यही असली जादू है। जासूस केवल वर्तमान किताब को नहीं देखता; वह इतिहास को देखता है।

वे जानते हैं कि 2015 में, एक विशिष्ट अध्याय में एक टाइपो (लिखने की गलती) था।
वे जानते हैं कि 2020 में, प्रकाशक ने उस टाइपो को ठीक कर दिया।
वे जानते हैं कि 2024 में, प्रकाशक ने फॉन्ट बदल दिया लेकिन कहानी वही रखी।

EvoPatch-IoT एक "टाइम मशीन" डेटाबेस बनाता है। यह याद रखता है कि सॉफ्टवेयर के 57 विभिन्न संस्करणों में फंक्शन (अध्याय) कैसे बदले। जब यह एक नया, गुमनाम पन्ना देखता है, तो यह पूछता है: "क्या यह पन्ना 2015 के 'खराब' संस्करण जैसा दिखता है, या 2020 के 'ठीक किए गए' संस्करण जैसा?" यह इसके पैच स्टेट (patch state) का अनुमान लगाने में मदद करता है—क्या डिवाइस असुरक्षित है, या इसे पैच किया जा चुका है?

3. "यूनिवर्सल ट्रांसलेटर" (Cross-Architecture)

पुस्तकालय में अलग-अलग भाषाओं (AArch64, ARM, MIPS, आदि) में लिखी गई किताबें हैं। एक भाषा में एक वाक्य पूरी तरह से अलग दिख सकता है, जबकि दूसरी भाषा में उसका अर्थ समान हो सकता है।

Evo3Patch-IoT एक अनुवादक के रूप में कार्य करता है। यह कोड के "आकार" और "कहानी" को सामान्य (normalize) करता है ताकि यह "MIPS" में लिखे गए पन्ने की तुलना "x86" वाले पन्ने से कर सके।
यह महसूस करता है कि भले ही शब्द अलग हों, लेकिन कहानी की संरचना बिल्कुल समान है।

परिणाम: यह क्यों मायने रखता है

अतीत में, सुरक्षा विशेषज्ञों को इन गुमनाम, स्ट्रिप्ड किताबों में दोष खोजने के लिए मैन्युअल रूप से हजारों पन्ने पढ़ने पड़ते थे। यह धीमा था, महंगा था और अक्सर खतरे को मिस कर देता था।

EvoPatch-IoT के साथ:

गति: यह एक विशाल पुस्तकालय को स्कैन कर सकता है और संदिग्ध पन्नों को सेकंडों में ढूंढ सकता है।
सटीकता: इसने पहली ही बार में सही "खराब पन्ने" को 34.56% बार (Hit@1) सफलतापूर्वक पहचाना, जो पिछले तरीकों की तुलना में एक बड़ी छलांग है।
दक्षता: इसने सुरक्षा विशेषज्ञों के मैन्युअल काम को 99% तक कम कर दिया। एक खराब पन्ने को खोजने के लिए 600 पन्ने पढ़ने के बजाय, उन्हें अब केवल लगभग 6 पन्ने चेक करने की आवश्यकता है।

वास्तविक दुनिया का परीक्षण

शोधकर्ताओं ने इसका परीक्षण CVE-2021-42386 नामक एक वास्तविक दुनिया के बग पर किया (जो टेक्स्ट प्रोसेसिंग के लिए उपयोग किए जाने वाले "AWK" टूल में एक खामी है)।

उन्होंने सिस्टम से पूछा: "क्या यह डिवाइस AWK टूल के पुराने, टूटे हुए संस्करण का उपयोग कर रहा है, या नए, ठीक किए गए संस्करण का?"
सिस्टम ने 82% मामलों में डिवाइस की स्थिति को सही ढंग से पहचाना, भले ही डिवाइस उस प्रकार के प्रोसेसर पर चल रहा था जिसका अध्ययन शोधकर्ताओं ने किया था।

निचोड़ (The Bottom Line)

EvoPatch-IoT सुरक्षा विशेषज्ञों को एक ऐसे आवर्धक लेंस (magnifying glass) देने जैसा है जो समय और भाषा की बाधाओं के पार देख सकता है। इसे गुमनाम पन्नों को खोजने के लिए किताब के शीर्षक या लेखक की आवश्यकता नहीं है। कोड के "आकार" को देखकर और यह याद रखकर कि यह वर्षों में कैसे बदला है, यह बता सकता है कि आपका स्मार्ट कैमरा या राउटर हैकर्स के लिए असुरक्षित है या नहीं, जिससे हमें दुनिया के हर एक डिवाइस का मैन्युअल निरीक्षण करने से बचाया जा सकता है।

यहाँ शोध पत्र "EvoPatch-IoT: Evolution-Aware Cross-Architecture Vulnerability Retrieval and Patch-State Profiling for BusyBox-Based IoT Firmware" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

IoT फर्मवेयर के सुरक्षा ऑडिटिंग में तीन प्राथमिक चुनौतियाँ बाधा उत्पन्न करती हैं:

स्ट्रिप्ड बाइनरीज़ (Stripped Binaries): वास्तविक दुनिया की फर्मवेयर इमेज स्ट्रिप्ड बाइनरीज़ के रूप में वितरित की जाती हैं, जिनमें फंक्शन सिम्बल्स, सोर्स पाथ या वर्जन स्ट्रिंग्स का अभाव होता है, जिससे रिवर्स इंजीनियरिंग कठिन हो जाती है।
विषम आर्किटेक्चर (Heterogeneous Architectures): एक ही ओपन-सोर्स घटक (जैसे BusyBox) को विभिन्न इंस्ट्रक्शन सेट आर्किटेक्चर (ISAs) जैसे कि ARM, MIPS, AArch64, और x86_64 के लिए कंपाइल किया जाता है।
वर्जन इवोल्यूशन और इनकंसिस्टेंट पैचिंग (Version Evolution & Inconsistent Patching): विक्रेता अक्सर पुराने वर्जन्स का पुन: उपयोग करते हैं, केवल आंशिक पैच बैकपोर्ट करते हैं, या घटकों को कस्टमाइज़ करते हैं। ऑडिटर्स को यह निर्धारित करने की आवश्यकता होती है कि क्या एक विशिष्ट स्ट्रिप्ड फंक्शन किसी ज्ञात वल्नरेबल अपस्ट्रीम रूटीन के अनुरूप है और क्या बाइनरी एक "वल्नरेबल" या "पैच्ड" वंशावली (lineage) का प्रतिनिधित्व करती है, बावजूद इसके कि वर्जन में महत्वपूर्ण बदलाव (drift) आया हो।

मौजूदा विधियाँ अक्सर जेनेरिक बाइनरी समानता या क्रॉस-आर्किटेक्चर मिलान पर ध्यान केंद्रित करती हैं लेकिन उनमें इवोल्यूशन-अवेयरनेस (समय के साथ परिवर्तनों को ट्रैक करना) और विशेष रूप से स्ट्रिप्ड BusyBox घटकों के लिए फंक्शन-लेवल ग्रैनुलैरिटी का अभाव है।

2. कार्यप्रणाली: EvoPatch-IoT (Methodology: EvoPatch-IoT)

EvoPatch-IoT एक रिट्रीवल फ्रेमवर्क है जिसे बिना सिम्बल्स पर निर्भर रहे स्ट्रिप्ड बाइनरीज़ में होमोलॉगस फंक्शन्स को खोजने और उनके पैच स्टेट्स को प्रोफाइल करने के लिए डिज़ाइन किया गया है। यह चार मुख्य परतों के माध्यम से संचालित होता है:

A. बेंचमार्क निर्माण (Benchmark Construction)

लेखकों ने एक बड़े पैमाने का, पुनरुत्पादक (reproducible) बेंचमार्क बनाया जिसमें शामिल हैं:

BusyBox के 57 ऐतिहासिक संस्करण (v1.11.0 से v1.37.0 तक)।
5 आर्किटेक्चर (AArch64, ARM, MIPS, MIPSEL, x86_64) में 270 अनस्ट्रिप्ड (Unstripped) और 285 स्ट्रिप्ड (Stripped) बाइनरीज़।
सत्यापन के लिए 130 सोर्स रिलीज़।
155,845 हाई-कॉन्फिडेंस मैच: स्ट्रिप्ड और अनस्ट्रिप्ड बाइनरीज़ के बीच एक द्विदिश अलाइनमेंट प्रक्रिया के माध्यम से स्थापित किए गए।

B. फीचर एक्सट्रैक्शन (Feature Extraction - Stripped-Compatible)

चूंकि सिम्बल्स गायब हैं, सिस्टम एक हेडलेस Ghidra एक्सपोर्टर का उपयोग करके अनायोनिमस फीचर्स निकालता है:

जियोमेट्रिक शेप डिस्क्रिप्टर (Geometric Shape Descriptor): एक 5-डायमेंशनल वेक्टर जो फंक्शन के स्थान, आकार और बाइनरी के भीतर रैंक (जैसे, log(size), नॉर्मलाइज्ड एड्रेस, एड्रेस रैंक) को कैप्चर करता है। यह एक मजबूत लोकल प्रायर (prior) के रूप में कार्य करता है।
अनायोनिमस मल्टी-व्यू फीचर्स (Anonymous Multi-View Features):
- टोकेन्स (Tokens): इंस्ट्रक्शन टोकेन्स जिन्हें TF-IDF एम्बेडिंग्स में बदला गया है।
- कॉन्टेक्स्ट (Context): कॉल रेफरेंस, स्ट्रिंग्स और कांस्टेंट्स जिन्हें एम्बेडिंग्स में बदला गया है।
- ग्राफ स्टैटिस्टिक्स (Graph Statistics): कंट्रोल फ्लो ग्राफ (CFG) मेट्रिक्स (बेसिक ब्लॉक्स, एजेस, ब्रांच डेंसिटीज़)।
फ्यूज्ड रिप्रेजेंटेशन (Fused Representation): ये व्यूज़ एक 361-डायमेंशनल वेक्टर $z(f)$ में संयोजित होते हैं, जिसे प्रति आर्किटेक्चर नॉर्मलाइज किया जाता है।

C. द्विदिश अनायोनिमस अलाइनमेंट (Bidirectional Anonymous Alignment)

स्ट्रिप्ड और अनस्ट्रिप्ड बाइनरीज़ के बीच के अंतर को बिना टेस्टिंग के दौरान लेबल लीक किए पाटने के लिए:

वर्जन-आर्किटेक्चर बकेट के भीतर एक द्विदिश निकटतम-पड़ोसी मिलान (bidirectional nearest-neighbor matching) एल्गोरिदम का उपयोग किया जाता है।
यह पारस्परिक निरंतरता (mutual consistency) को लागू करता है: एक स्ट्रिप्ड फंक्शन $s$ और एक लेबल वाला फंक्शन $l$ तभी मैच होते हैं जब $s$ , $l$ का निकटतम पड़ोसी हो और $l$ , $s$ का निकटतम पड़ोसी हो, जो कि जियोमेट्रिक दूरी पर आधारित हो।
यह "एंकर" बनाता है जिनका उपयोग प्रोटोटाइप को प्रशिक्षित करने और प्रदर्शन का मूल्यांकन करने के लिए किया जाता है।

D. इवोल्यूशन-अवेयर रिट्रीवल स्कोरिंग (Evolution-Aware Retrieval Scoring)

एक क्वेरी $q$ और कैंडिडेट $c$ के लिए अंतिम रैंकिंग स्कोर $R(q, c)$ तीन घटकों को जोड़ता है (Eq. 11):
$R(q, c) = \lambda_s [-D_s(q, c)] + \lambda_f \cos(z(q), z(c)) + \lambda_p \cos(z(c), p_{u(q)})$

जियोमेट्रिक टर्म ( $\lambda_s = 0.70$ ): नेगेटिव शेप डिस्टेंस। यह बैकबोन है, जो स्थानीय संरचनात्मक समानता सुनिश्चित करता है।
मल्टी-व्यू फ्यूजन ( $\lambda_f = 0.10$ ): फ्यूज्ड सिमेंटिक एम्बेडिंग्स का कोसाइन सिमिलैरिटी, जो अस्पष्टता को दूर करता है।
हिस्टोरिकल प्रोटोटाइप ( $\lambda_p = 0.20$ ): यह कैंडिडेट की तुलना एक हिस्टोरिकल प्रोटोटाइप $p_u$ (उसी फंक्शन आइडेंटिटी के पुराने वर्जन्स से प्राप्त फ्यूज्ड वेक्टर्स का औसत) से करता है। यह "इवोल्यूशन मेमोरी" को इंजेक्ट करता है ताकि वर्जन ड्रिफ्ट को संभाला जा सके।

E. पैच-स्टेट प्रोफाइलिंग (Patch-State Profiling)

एक लाइटवेट प्रॉक्सी क्लासिफायर पूरे-बाइनरी सांख्यिकी (फ़ाइल आकार, सिंबल काउंट्स, फंक्शन साइज डिस्ट्रीबशंस) का उपयोग करके यह अनुमान लगाता है कि कोई बाइनरी विशिष्ट CVEs के लिए "वल्नरेबल" या "पैच्ड" अवस्था में है।

3. प्रमुख योगदान (Key Contributions)

पहला बड़े पैमाने का BusyBox बेंचमार्क: एक अद्वितीय डेटासेट जो 57 वर्जन्स और 5 आर्किटेक्चर के माध्यम से क्रॉस-वर्जन इवोल्यूशन और स्ट्रिप्ड/अनस्ट्रिप्ड पत्राचार को उजागर करता है।
EvoPatch-IoT फ्रेमवर्क: एक नवीन रिट्रीवल मेथड जो जियोमेट्रिक प्रायर्स, मल्टी-व्यू सिमेंटिक एम्बेडिंग्स और हिस्टोरिकल इवोल्यूशन प्रोटोटाइप को फ्यूज करता है।
द्विदिश अलाइनमेंट एल्गोरिदम: बिना सिंबल लीकेज के स्ट्रिप्ड और अनस्ट्रिप्ड बाइनरीज़ के बीच हाई-कॉन्फिडेंस एंकर स्थापित करने की एक कठोर विधि।
व्यापक मूल्यांकन: 1,020 आर्किटेक्चर पेयर्स और 128,084 क्वेरीज पर व्यापक परीक्षण, जिसमें CVE-2021-42386 (एक AWK वल्नरेबिलिटी) पर एक विशिष्ट केस स्टडी भी शामिल है।

4. प्रयोगात्मक परिणाम (Experimental Results)

12 बेसलाइन परिवारों (ट्रांसफॉर्मर-आधारित, ग्राफ-आधारित और ह्यूरिस्टिक विधियों सहित) के विरुद्ध मूल्यांकन किया गया:

रिट्रीवल परफॉरमेंस (Retrieval Performance):
- Weighted Hit@1: 34.56% (सबसे मजबूत बेसलाइन, Array 2025, को 16.04% से पीछे छोड़ते हुए)।
- Weighted Hit@10: 56.24% (बेसलाइन से 26.85% बेहतर)।
- Mean Inspected@10: इसने मैनुअल इंस्पेक्शन स्पेस को 98.98% कम कर दिया (ऑडिटर्स को मैच खोजने के लिए औसतन केवल ~6.2 फंक्शनों का निरीक्षण करना पड़ा, जो ~609 के पूल से काफी कम है)।
रोबस्टनेस (Robustness):
- EvoPatch-IoT 57 में से 56 BusyBox वर्जन्स पर सर्वश्रेष्ठ प्रदर्शन करने वाली विधि थी।
- इसने कठिन आर्किटेक्चर पेयर्स (जैसे, ARM से MIPS) पर भी निरंतर लाभ बनाए रखा।
इवोल्यूशन ट्रांसफर (Evolution Transfer): वर्जन-चेंज ट्रांसफर अध्ययनों ने औसत ROC-AUC 0.9887 प्राप्त किया, जो यह सिद्ध करता है कि वर्जन इवोल्यूशन सिग्नल आर्किटेक्चर के पार ट्रांसफ़रेबल हैं।
पैच-स्टेट प्रोफाइलिंग (Patch-State Profiling): CVE-2021-42386 केस स्टडी पर, प्रॉक्सी ने होल्ड-आउट आर्किटेक्चर में 82.44% सटीकता और 88.47% F1-स्कोर प्राप्त किया।

5. महत्व और निहितार्थ (Significance and Implications)

व्यावहारिक ऑडिटिंग (Practical Auditing): यह फ्रेमवर्क सुरक्षा विश्लेषकों के लिए "सर्च स्पेस" को काफी कम कर देता है, जिससे एक विशाल रिवर्स-इंजीनियरिंग कार्य एक प्रबंधनीय रैंक की गई उम्मीदवारों की सूची में बदल जाता है।
सिग्नल के रूप में इवोल्यूशन (Evolution as a Signal): अध्ययन यह प्रदर्शित करता है कि ऐतिहासिक वर्जन डेटा केवल शोर (noise) नहीं है, बल्कि एक महत्वपूर्ण सुपरवाइजरी सिग्नल है जो वर्जन ड्रिफ्ट अधिक होने पर रिट्रीवल रोबस्टनेस को बेहतर बनाता है।
जियोमेट्री बनाम सिमेंटिक्स (Geometry vs. Semantics): परिणाम इस बात पर प्रकाश डालते हैं कि स्ट्रिप्ड बाइनरी विश्लेषण में, लोकल जियोमेट्रिक प्रायर्स सबसे विश्वसनीय बैकबोन हैं, जबकि जटिल नेबरहुड्स में अस्पष्टता को हल करने के लिए सिमेंटिक फ्यूजन और हिस्टोरिकल प्रोटोटाइप आवश्यक हैं।
स्केलेबिलिटी (Scalability): पाइपलाइन की लाइटवेट और डिटर्मिनिस्टिक प्रकृति बड़े IoT डिवाइस फ्लोट्स की स्केलेबल निगरानी की अनुमति देती है।

निष्कर्षतः, EvoPatch-IoT स्ट्रिप्ड IoT फर्मवेयर के ऑडिटिंग के लिए एक व्यावहारिक, इवोल्यूशन-अवेयर आधार प्रदान करता है, जो विषम, स्ट्रिप्ड बाइनरीज़ और ज्ञात वल्नरेबल अपस्ट्रीम कोड के बीच के अंतर को प्रभावी ढंग से पाटता है।