Riepilogo Tecnico: REPOSE – Quantificare il Prezzo della Sicurezza nei Sistemi Cyber-Fisici a Tempo Reale Debolmente Rigidi

1. Definizione del Problema

I contemporanei dispositivi edge IoT e i Sistemi Cyber-Fisici in Tempo Reale (RT-CPS) affrontano una dicotomia critica nell'integrazione della sicurezza. Gli approcci attuali rientrano generalmente in due categorie, entrambe le quali presentano limitazioni significative:

1. Approcci al Design-Time/Opportunistici: La sicurezza è imposta tramite parametri di design o esecuzione opportunistica. In sistemi altamente utilizzati, ciò comporta spesso che i task di sicurezza vengano saltati interamente, lasciando il sistema vulnerabile.
2. Integrazione a Vincoli Rigidi (Hard-Constraint): Il lavoro precedente spesso aggiunge meccanismi di sicurezza a ogni task o impone overhead costanti e pessimistici. Questo approccio rende spesso l'integrazione della sicurezza impraticabile in sistemi ad alta utilizzazione o riduce drasticamente le prestazioni.

Inoltre, molti RT-CPS sono in grado di gestire mancati rispetto dei deadline occasionali e limitati senza compromettere la sicurezza fisica (noti come sistemi debolmente rigidi o weakly-hard), sebbene la letteratura esistente sulla sicurezza assuma ampiamente vincoli rigidi (tolleranza zero per i mancati respect dei deadline). Questo disallineamento crea uno scenario "tutto o niente" in cui la sicurezza è o troppo permissiva o troppo costosa da implementare. Il documento identifica la necessità di un framework che quantifichi il "prezzo della sicurezza" nei sistemi RT-CPS debolmente rigidi, consentendo un compromesso limitato tra sicurezza e protezione (safety).

2. Metodologia: Il Framework REPOSE

Gli autori introducono REPOSE (Real-time systems' Price Of SEcurity), un framework analitico e un meccanismo di scheduling online progettato per RT-CPS debolmente rigidi caratterizzati da vincoli $(m, k)$ (dove un task può tollerare fino a $m$ mancati deadline in ogni $k$ invocazioni).

Componenti Core

• Trigger di Sicurezza Reattivo: A differenza dei meccanismi proattivi che impongono un overhead costante, REPOSE è attivato da un sistema di rilevamento delle anomalie online (ad esempio, rilevamento "RedZone" basato su anomalie nel tempo di esecuzione o nell'uso della memoria). Risponde a specifici eventi di sicurezza piuttosto che operare continuamente.
• Modello di Controllo del Sistema Debolmente Rigido: Il framework integra un modello di impianto Gaussiano lineare-quadratico con un modello di task debolmente rigido. Calcola la perdita di prestazione del controllo ($J_i$) come funzione del ritardo di controllo ($\Delta_i$) e del periodo del task ($T_i$).
• Operazioni di Sicurezza in Tre Fasi: Al rilevamento di un'anomalia, REPOSE valuta e pianifica una delle tre operazioni in base alla fattibilità del sistema:
  1. CLEANUP: Svuota o invalida le risorse di sistema (ad esempio, la cache) allocate al task vittima per mitigare attacchi posteriori o di tipo "pincer". Ciò comporta un overhead di $\psi_i C_i$ (una frazione del Worst-Case Execution Time).
  2. RESTART: Scarta l'esecuzione corrente del task e la riavvia per ricalcolare lo stato. L'overhead è l'intero tempo di esecuzione $C_i$.
  3. CLEANUP + RESTART: Esegue entrambe le operazioni. L'overhead è $C_i(1 + \psi_i)$.

Analisi di Fattibilità e Scheduling

REPOSE impiega un algoritmo di selezione dei task online (Algoritmo 2) per determinare lo scheduling di sicurezza ottimale.

• Verifica di Fattibilità: Prima dello scheduling, il sistema calcola il ritardo di controllo rimanente ($\hat{\Delta}_i(t)$) considerando il tempo corrente $t$, la finestra di esecuzione e l'interferenza da parte di task a priorità superiore.
• Verifica dei Vincoli: Il framework verifica se l'aggiunta dell'overhead di sicurezza ($\kappa_i$) viola la soglia di prestazione del controllo ($J^{TH}_i$) o il vincolo $(m, k)$.
• Scheduling Basato sulla Priorità: L'algoritmo dà priorità ai task a priorità più alta. Le operazioni di sicurezza (specificamente la fase di cleanup) sono eseguite con la priorità massima per minimizzare l'impatto sui task critici, mentre i task riavviati riprendono la loro normale priorità.
• Meccanismo di Allarme: Se nessuna operazione di sicurezza è fattibile per i task vittime rilevati senza violare i vincoli di sicurezza, REPOSE lancia un allarme all'amministratore invece di forzare uno scheduling impraticabile.

3. Contributi Chiave

Il documento presenta i seguenti contributi specifici:

1. Un Meccanismo di Sicurezza a Due Fasi: REPOSE limita gli overhead e caratterizza il "prezzo" dell'integrazione della sicurezza nei RT-CPS debolmente rigidi, allontanandosi dal paradigma del tutto o niente.
2. Framework Analitico: Estende l'analisi del ritardo di controllo per tenere conto dell'overhead di sicurezza aggiunto a un tempo arbitrario $t$, fornendo misure esatte di come la sicurezza impatti le prestazioni complessive del sistema.
3. Algoritmo di Selezione dei Task Online: Un algoritmo innovativo che pianifica i cleanup di sicurezza in base alla fattibilità in tempo reale delle operazioni sotto vincoli debolmente rigidi, minimizzando l'impatto sui task a priorità inferiore.
4. Valutazione Quantitativa: Lo studio dimostra che i vincoli debolmente rigidi permettono una migliore ammissibilità della sicurezza rispetto ai vincoli rigidi, particolarmente in scenari di alta utilizzazione.

4. Risultati e Valutazione

Gli autori hanno valutato REPOSE utilizzando set di task sintetici (5.000 set, 10 task ciascuno) e un caso di studio di un sistema di controllo massa-molla-smorzatore.

• Confronto degli Overhead: Al 80% di utilizzazione del sistema, REPOSE ha ottenuto un overhead di fattibilità dello 0,06% rispetto al 29% di overhead osservato nei sistemi con vincoli rigidi.
• Tolleranza ai Mancati Deadline: I sistemi con vincoli debolmente rigidi (ad esempio, $m=2, k=20$) hanno mostrato un "Prezzo della Sicurezza" (PoS) significativamente inferiore rispetto ai sistemi con vincoli rigidi ($m=0, k=1$). Il PoS aumentava drasticamente per i vincoli rigidi all'aumentare dell'utilizzazione, mentre i sistemi debolmente rigidi mantenevano overhead inferiori.
• Impatto dei Parametri:
  • Tolleranza ai Mancati Deadline ($m$): Una maggiore tolleranza ai mancati deadline ha migliorato significativamente la fattibilità della sicurezza.
  • Probabilità di Mancato: Sebbene la probabilità di mancato influenzasse l'overhead, i limiti $(m, k)$ erano il fattore dominante nel determinare la fattibilità.
  • Politiche di Scheduling: Uno scheduling a priorità fissa arbitraria ha performato leggermente meglio dello scheduling Rate-Monotonic (RMS) riguardo all'overhead di sicurezza, poiché RMS assegna una priorità più alta ai task con periodi più brevi (e quindi soglie di prestazione più strette), rendendoli più sensibili ai ritardi indotti dalla sicurezza.
• Caso di Studio: Nel caso di studio della simulazione massa-molla-smorzatore, un'operazione di "CLEANUP+RESTART" è riuscita a riportare il sistema in uno stato sicuro dopo un attacco simulato di cache pollution, mentre l'operazione "CLEANUP" da sola ha lasciato il sistema in uno stato non sicuro prolungato a causa di errori di stato residui.

5. Significato e Rivendicazioni

Il documento sostiene che REPOSE fornisce un framework robusto per analizzare e calcolare il compromesso tra sicurezza e protezione (safety) nei RT-CPS. Il suo significato primario risiede in:

• Fattibilità in Alta Utilizzazione: Dimostra che la sicurezza può essere integrata in dispositivi edge altamente utilizzati sfruttando la naturale tolleranza dei sistemi debolmente rigidi ai mancati deadline limitati, una capacità precedentemente inesplorata nella letteratura sulla sicurezza.
• Adattamento Dinamico: Attivando la sicurezza solo in seguito al rilevamento di anomalie e calcolando il "prezzo" dinamicamente, REPOSE evita gli overhead costanti e pessimistici degli approcci precedenti basati sul design-time.
• Implementazione Pratica: Il framework è progettato per essere implementabile su RTOS COTS (ad esempio, RTEMS, FreeRTOS) utilizzando API standard per il flushing della cache e la gestione dei task, senza richiedere modifiche all'hardware.

Gli autori concludono che REPOSE offre una via percorribile per proteggere i RT-CPS critici per la sicurezza dove l'integrazione della sicurezza tradizionale in tempo reale è impraticabile, fornendo agli amministratori un meccanismo per bilanciare dinamicamente le prestazioni del sistema e l'integrità della sicurezza.