💻 computer science

PowerFuzz: Power-Based Black-Box Firmware Fuzzing

PowerFuzz è un framework di fuzzing di firmware statistico black-box che utilizza misurazioni dei canali laterali di potenza per ricostruire i grafi del flusso di controllo e guidare la generazione di test, raggiungendo una copertura dei rami comparabile ai fuzzer gray-box e superando significativamente gli approcci black-box esistenti.

Autori originali: Dakshina Tharindu, Sahan Sanjaya, Philip Baptist, Prabhat Mishra

Pubblicato 2026-06-24

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Dakshina Tharindu, Sahan Sanjaya, Philip Baptist, Prabhat Mishra

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di avere una scatola nera nuova di zecca e chiusa (un pezzo di firmware di un computer) che controlla un dispositivo come un impianto medico o un termostato intelligente. Vuoi "romperla" per trovare vulnerabilità nascoste, ma non puoi aprire la scatola, non hai i progetti (codice sorgente) e non puoi nemmeno vedere cosa succede all'interno mentre è in funzione. Questo è il problema della "Scatola Nera" (Black Box).

Di solito, per testare efficacemente un software, gli esperti usano un approccio "Gray Box". Hanno una finestra sul codice. Possono vedere ogni svolta che il software compie, come un GPS che traccia il percorso di un conducente. Se il conducente prende una nuova strada, il GPS dice: "Ottimo! Abbiamo trovato un nuovo percorso!" e il tester si concentra su quell'area.

Ma con una scatola nera chiusa, il tester è cieco. Lancia input casuali alla scatola e spera che accada qualcosa di interessante. Questo è come lanciare freccette contro un muro al buio; potresti colpire qualcosa prima o poi, ma è incredibilmente inefficiente.

Entra in scena PowerFuzz: Il "Detective dell'Energia"

I ricercatori dell'Università della Florida hanno ideato un trucco astuto chiamato PowerFuzz. Invece di cercare di guardare dentro la scatola, ascoltano quanta elettricità consuma la scatola.

L'idea centrale è questa: Ogni volta che il computer all'interno della scatola prende una decisione (come "se la temperatura è alta, accendi la ventola"), utilizza una quantità di energia minuscola e unica. È come il battito cardiaco di una persona che cambia leggermente se sta camminando, correndo o dormendo.

Come funziona PowerFuzz (L'analogia)

Immagina di cercare di mappare un labirinto, ma non puoi vedere le pareti. Hai un amico dentro il labirinto che non può parlarti, ma puoi sentire i suoi passi attraverso il pavimento.

Ascoltare i passi (Tracce di potenza):
PowerFuzz invia un messaggio di test (una "freccetta") al dispositivo. Mentre il dispositivo elabora questo messaggio, PowerFuzz registra un grafico del consumo di energia. Questo grafico è l'impronta digitale dei pensieri del dispositivo.
Il detective della "finestra scorrevole" (Trovare la svolta):
Il sistema confronta il nuovo grafico di potenza con quelli vecchi.
- Il Problema: A volte il dispositivo percorre lo stesso sentiero, ma il grafico di potenza appare leggermente diverso a causa del minimo "rumore" elettrico (come un amico che cammina su un pavimento che scricchiola).
- La Soluzione: PowerFuzz utilizza uno strumento matematico chiamato Dynamic Time Warping. Immaginalo come un righello flessibile che allunga o restringe i grafici per allinearli perfettamente, ignorando i piccoli scricchiolii e concentrandosi sul quadro generale.
- La "Finestra in crescita": Una volta individuato un punto approssimativo in cui i grafi potrebbero differire, il sistema zooma con una "finestra in crescita" per individuare l'istante esatto in cui il dispositivo ha preso una direzione diversa.
Disegnare la mappa (Il TCFG):
Ogni volta che PowerFuzz trova una nuova svolta (un nuovo ramo nel codice), disegna un nodo su una mappa chiamata Trace-guided Control Flow Graph (TCFG).
- All'inizio, la mappa è solo una singola linea.
- Man mano che trova nuovi percorsi, la mappa si dirama come un albero.
- Fondamentalmente, questa mappa viene costruita interamente ascoltando l'elettricità, senza mai vedere il codice.
La guida intelligente (Selezione dei rami):
Ora che PowerFuzz ha una mappa, smette di lanciare freccette in modo casuale. Guarda la mappa e dice: "Ehi, non abbiamo ancora esplorato quel ramo profondo e buio in fondo all'albero. Puntiamo le nostre prossime freccette lì". Prioritizza i percorsi più difficili da raggiungere, proprio come un esploratore intelligente.

I Risultati: Quanto ha funzionato?

I ricercatori hanno testato questo sistema su hardware reale (come i microcontrollori che si trovano in router e dispositivi medici) utilizzando dieci diversi programmi software. Hanno confrontato PowerFuzz con:

Testing Casuale: Lanciare freccette al buio.
Fuzz'EMup: Il miglior metodo "Black Box" attuale, che utilizza onde elettromagnetiche (come una radio) invece della potenza.
Gray-Box Fuzzing: Il "gold standard", dove potevano vedere il codice (usato come termine di paragone per il risultato migliore possibile).

Le Conclusioni:

Batter la concorrenza: PowerFuzz ha trovato significativamente più percorsi nascosti rispetto ai tester casuali e al metodo elettromagnetico (Fuzz'EMup). In alcuni casi, ha trovato il 22% in più del codice rispetto al precedente miglior metodo black-box.
Raggiungere la "Modalità Dio": Nonostante PowerFuzz non potesse vedere il codice, è riuscito a trovare quasi tanti percorsi quanto il metodo "Gray-Box" che invece poteva vedere il codice. Era entro il 13,5% dal punteggio perfetto.
Applicazione Universale: Ha funzionato altrettanto bene su diversi tipi di chip informatici (ARM e AVR), dimostrando di essere uno strumento versatile.

In sintola

PowerFuzz è come un detective che risolve un mistero non leggendo il diario del sospettato (il codice), ma ascoltando il ritmo dei suoi passi (il consumo di energia). Mappando questi ritmi, costruisce una mappa mentale della logica del software, permettendogli di dare la caccia a vulnerabilità nascoste molto più velocemente ed efficacemente rispetto al tirare a indovinare al buio. Dimostra che non è necessario guardare dentro una scatola nera per capire come pensa; basta ascoltare come si alimenta.

Riepilogo Tecnico: PowerFuzz

Problematica

I sistemi embedded costituiscono l'ossatura delle infrastrutture critiche, eppure il loro firmware rimane significativamente meno studiato rispetto al software tradizionale a causa della difficoltà di osservare il comportamento di esecuzione senza un accesso diretto ai binari o alle infrastrutture di debugging. Il firmware moderno è spesso proprietario, criptato o offuscato, e le protezioni hardware (ad esempio, bit dei fuse bloccati, secure boot) impediscono l'estrazione del binario. Di conseguenza, le tecniche standard di fuzzing guidato dalla copertura (coverage-guided fuzzing) — che si basano sull'strumentazione del binario per monitorare la copertura dei rami — risultano inapplicabili.

Gli approcci black-box esistenti mancano di feedback loop efficaci. Il testing casuale è inefficiente per il firmware dipendente dallo stato, e i tenti precedenti di utilizzare i canali laterali (side-channels, ad esempio le emanazioni elettromagnetiche) richiedono spesso apparecchiature di sondaggio in campo vicino costose e specializzate. La sfida centrale è ricostruire un feedback loop guidato dalla copertura per un target "completamente black-box" dove il flusso di controllo interno è opaco, senza modificare il firmware o accedere al suo binario.

Metodologia

Il documento presenta PowerFuzz, un framework di fuzzing statistico black-box che sostituisce l'strumentazione del binario con misurazioni del canale laterale di potenza. Il framework opera sulla consapevolezza che il consumo di potenza di un microcontrollore (MCU) codifica informazioni granulari sul suo esecuzione interna, variando in modo misurabile in base alle istruzioni eseguite e alle decisioni di branching.

Componenti Core

Acquisizione della Traccia di Potenza:
- Il sistema cattura in modo sincrono il consumo di potenza dell'MCU come un segnale di serie temporale ( $P = \langle p_1, p_2, \dots, p_n \rangle$ ) ogni volta che un nuovo input viene inviato al target.
- Per mitigare il rumore di misurazione, vengono catturate $N=10$ tracce per ogni input e mediate.
Analisi di Similarità (Identificazione dei Rami):
- Per determinare se un nuovo input innesca un percorso di esecuzione differente, PowerFuzz confronta la nuova traccia con le tracce precedentemente catturate utilizzando un algoritmo a due stadi:
  - Stadio 1: Dynamic Time Warping (DTW) con Finestra Scorrevole: DTW allinea le due sequenze di serie temporali per gestire il jitter temporale. Viene applicata un'analisi a finestra scorrevole sul profilo di offset risultante per rilevare divergenze sostenute (indicative di una transizione di ramo) filtrando al contempo il rumore transitorio.
  - Stadio 2: Correlazione di Pearson con Finestra Crescente: Una volta identificata una finestra di divergenza grossolana, viene eseguita un'analisi di correlazione di Pearson. Una finestra scorrevole individua prima l'approssimativa deviazione, seguita da un'analisi a finestra crescente che si espande incrementalmente dal punto di inizio della divergenza fino a quando la correlazione scende sotto una soglia. Questo permette di individuare con precisione l'indice di campionamento in cui i percorsi di esecuzione divergono.
Costruzione del Trace-guided Control Flow Graph (TCFG):
- PowerFuzz costruisce dinamicamente una struttura ad albero gerarchica chiamata TCFG, che funge da proxy per il Control Flow Graph (CFG).
- Struttura del Nodo: Ogni nodo rappresenta un basic block e memorizza: (1) il segmento della traccia di potenza corrispondente a quel blocco, (2) l'input che lo ha raggiunto, e (3) i puntatori ai figli sinistro/destro che rappresentano i percorsi branch-taken e branch-not-taken.
- Meccanismo di Aggiornamento: Quando una nuova traccia viene analizzata, l'algoritmo attraversa ricorsivamente il TCFG. Se la nuova traccia diverge all'interno di un nodo esistente, il nodo viene diviso: un nuovo nodo genitore memorizza il prefisso condiviso, mentre il nodo originale e il nuovo percorso divergente diventano rispettivamente figli sinistro e destro. Ciò consente alla struttura di crescere incrementalmente senza conoscenza pregressa del firmware.
Selezione dei Rami e Mutazione:
- Il TCFG guida il motore di fuzzing (costruito su LibAFL) nella selezione dei rami da esplorare.
- Selezione Casuale: Utilizzata nelle fasi iniziali quando il TCFG è rado.
- Selezione Prioritaria per Profondità: Man mano che il TCFG cresce, il fuzzer dà priorità ai nodi a maggiore profondità, mirando alla logica condizionale nidificata e ai comportamenti complessi dipendenti dallo stato che sono più difficili da raggiungere.
- Gli input che risultano in un aggiornamento del TCFG (nuova copertura) vengono mantenuti nel corpus dei seed; gli altri vengono scartati.

Contributi Chiave

Il documento rivendica i seguenti contributi:

Primo Framework Basato sulla Potenza: Presenta il primo framework che utilizza misurazioni del canale laterale di potenza per abilitare il fuzzing guidato dalla copertura per firmware completamente black-box, senza richiedere visibilità interna.
Nuova Identificazione dei Rami: Implementa un metodo che combina l'analisi a finestra scorrevole, la correlazione della traccia completa con finestra crescente e il Dynamic Time Warping per identificare i rami eseguiti dalle tracce di potenza.
Generazione Dinamica del TCFG: Permette la costruzione runtime di un grafo di flusso di controllo guidato dalla traccia senza accesso al binario, utilizzando le tracce di potenza accumulate per inferire le relazioni strutturali.
Validazione Empirica: Dimostra, attraverso una valutazione estesa, che PowerFuzz può raggiungere una copertura dei rami comparabile a quella dei fuzzer gray-box, superando significativamente le alternative black-box allo stato dell'arte.

Risultati Sperimentali

Il framework è stato valutato su tre piattaforme hardware embedded (STM32F0, STM32F3 e XMEGA) utilizzando dieci benchmark di firmware, inclusi applicazioni su larga scala (GPS, Stepper Controller, CNC, Stazione di Saldatura) e librerie più piccole (cjson, zlib, implementazioni crypto).

Confronto della Copertura:
- vs. Gray-Box: PowerFuzz ha raggiunto una copertura dei rami entro il 13,5% rispetto ai gray-box all'avanguardia (che hanno piena visibilità del binario).
- vs. Black-Box (Fuzz'EMup): PowerFuzz ha superato significativamente Fuzz'EMup (un fuzzer black-box che utilizza emanazioni elettromagnetiche) fino al 22% in termini di copertura dei rami attraverso i benchmark.
- vs. Random Testing: PowerFuzz ha costantemente raggiunto plateau di copertura più elevati molto più velocemente del testing casuale, con vantaggi di copertura che vanno dal 20% al 30% tra le diverse piattaforme.
Accuratezza Strutturale:
- Quando confrontati con i CFG di verità fondamentale estratti tramite angr, i TCFG inferiti hanno mostrato una precisione dei nodi del 97,66% e un recall dei nodi del 77,61%. L'alta precisione indica che il rilevamento delle divergenze raramente crea falsi split, mentre il recall inferiore è attribuito al design conservativo richiesto per evitare la frammentazione indotta dal rumore.
Applicabilità Cross-Architecture:
- PowerFuzz ha dimostrato prestazioni coerenti su architetture a 32 bit ARM e a 8 bit AVR senza tuning specifico per l'architettura, raggiungendo tassi di copertura stabili attraverso diversi tipi di MCU.

Significato e Rivendicazioni

Il documento posiziona PowerFuzz come un avanzamento critico per la sicurezza dei sistemi embedded, affrontando la "sfida fondamentale" della verifica di firmware proprietari o criptati dove l'instrumentazione tradizionale è impossibile. Sfruttando il consumo di potenza come sostituto dell'instrumentazione del binario, PowerFuzz abilita un feedback loop guidato dalla copertura in un contesto completamente black-box.

Gli autori affermano che PowerFuzz colma il divario tra l'inefficienza cieca del testing casuale e l'inaccessibilità del fuzzing gray-box. I risultati suggeriscono che le misurazioni dei canali lateri fisici possono effettivamente approssimare le intuizioni strutturali derivate dall'analisi del binario, rendendo il testing automatizzato rigoroso fattibile per una classe più ampia di dispositivi embedded, inclusi quelli in ambienti critici per la sicurezza e sensibili alla sicurezza. Il lavoro stabilisce che le tracce di potenza, tradizionalmente usate per attacchi criptografici, possono essere riutilizzate come un robusto meccanismo per la verifica del software.