💻 computer science

PowerFuzz: Power-Based Black-Box Firmware Fuzzing

PowerFuzzは、電力サイドチャネル測定を利用して制御フローグラフを再構成し、テスト生成を誘導する統計的ブラックボックス・ファームウェア・ファジング・フレームワークであり、グレーボックス・ファザーに匹敵する分岐カバレッジを実現しつつ、既存のブラックボックス手法を大幅に上回る性能を発揮する。

原著者： Dakshina Tharindu, Sahan Sanjaya, Philip Baptist, Prabhat Mishra

公開日 2026-06-24

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Dakshina Tharindu, Sahan Sanjaya, Philip Baptist, Prabhat Mishra

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

あなたは、医療用インプラントやスマートサーモスタットのようなデバイスを制御する、新品のロックされたブラックボックス（コンピュータ・ファームウェア）を持っていると想像してください。あなたは、その中にある隠れた弱点を見つけ出すために、その箱を壊したいと考えています。しかし、あなたは箱を開けることができず、設計図（ソースコード）も持っておらず、動作中の内部を見ることもできません。これが「ブラックボックス」問題です。

通常、ソフトウェアを効果的にテストするには、「グレーボックス」のアプローチが用いられます。グレーボックスでは、コードの中を覗き見ることができます。コードがどのような分岐を通るのかを、GPSがドライバーのルートを追跡するように、すべて把握できるのです。もしドライバーが新しい道を通れば、GPSは「素晴らしい！新しい経路が見つかりました！」と教えてくれます。そして、テスターはそのエリアに焦点を絞ります。

しかし、ロックされたブラックボックスの場合、テスターは盲目です。彼らはブラックボックスに対してランダムに入力を投げ込み、何か面白いことが起きるのをただ待つしかありません。これは、暗闇の中で壁に向かってダーツを投げ続けるようなものです。いつかは当たるかもしれませんが、非常に効率が悪い方法です。

登場したのは、PowerFuzz：「電力の探偵」

フロリダ大学の研究者たちは、PowerFuzzと呼ばれる巧妙なトリックを考案しました。箱の中を覗き込もうとする代わりに、彼らは箱がどれだけの電気を使用しているかに耳を傾けます。

核心となるアイデアはこうです。コンピュータが決定を下す（例えば、「温度が高い場合はファンを回す」など）たびに、そのデバイスは、ごくわずかで独特な量の電力を消費します。それは、人が歩いているのか、走っているのか、あるいは眠っているのかによって、心拍数がわずかに変化するようなものです。

PowerFuzzの仕組み（比喩）

迷路の地図を作ろうとしていますが、壁が見えない状況を想像してください。あなたの友人の中に迷路にいる人がいますが、その友人はあなたと話すことはできません。しかし、あなたは床を通じて友人の足音を聞くことができます。

足音を聞く（電力トレース）：
PowerFuzzは、テストメッセージ（「ダーツ」）をデバイスに送ります。デバイスがこのメッセージを処理する際、PowerFuzzはその電力消費量のグラフを記録します。このグラフは、デバイスの「思考の足跡」となります。
「スライディング・ウィンドウ」探偵（分岐を見つける）：
システムは、新しい電力グラフを古いグラフと比較します。
- 問題点： 時として、デバイスは同じ経路を通っているにもかかわらず、微細な電気的「ノイズ」（例えば、軋む床の上を歩く友人の足音のようなもの）によって、電力グラフがわずかに異なって見えることがあります。
- 解決策： PowerFuzzは、**動的時間伸縮法（Dynamic Time Warping）**という数学的ツールを使用します。これは、グラフを伸縮させて完璧に一致させ、小さな軋み音を無視して全体像に集中するための、柔軟な定規のようなものです。
- 「拡大するウィンドウ」： グラフが異なる可能性がある大まかな箇所を見つけると、PowerFuzzは「拡大するウィンドウ（growing window）」を用いてズームインし、デバイスが実際に別の道に曲がった正確な瞬間を特定します。
地図を描く（TCFG）：
新しい分岐（コードの新しい枝分かれ）を見つけるたびに、PowerFuzzは**トレース誘導型制御フローグラフ（TCFG）**と呼ばれる地図上にノードを描きます。
- 最初は、地図は単なる一本の線です。
- 新しい経路が見つかるにつれ、地図は木のように枝分かれしていきます。
- 極めて重要なのは、この地図が、コードを一度も見ることなく、電力の動きを聴取することのみによって構築されるという点です。
スマートなガイド（分岐選択）：
これでPowerFophは地図を手に入れました。ここからは、ダーツをランダムに投げるのをやめます。地図を見て、「おっと、あの木の根元にある、深く暗い枝の部分がまだ探索されていないぞ。次はあそこを狙おう」と判断します。地図に基づいて、最も到達が困難な経路を優先的に探索するのです。まるで賢明な探検家のように。

結果：どの程度の成果が得られたのか？

研究者たちは、実際のハードウェア（ルーターや医療機器で見られるマイクロコントローラなど）を使用して、10種類のソフトウェアプログラムでテストを行いました。彼らはPowerFrazを以下の手法と比較しました。

ランダムテスト： 暗闇の中でダーツを投げ続ける方法。
Fuzz'EMup： 現在の最高峰の「ブラックボックス」手法であり、電力ではなく電磁波（ラジオ波のようなもの）を使用する方法。
グレーボックス・ファジング： コードが見えている状態での「ゴールドスタンダード（最高水準）」であり、ベンチマークとして使用されました。

判明したこと：

競合に勝利： PowerFuzzは、ランダムなテスターや電磁波を用いた手法（Fuzz'EMup）よりも、有意に多くの隠れた経路を見つけ出しました。いくつかのケースでは、従来の最高峰のブラックボックス手法よりも22%多くのコードを発見しました。
「神モード」への接近： PowerFuzzはコードを見ることができなかったにもかかわらず、コードが見えている「グレーボックス」手法とほぼ同等の経路を見つけ出すことができました。完璧なスコアに対して、その差はわずか**13.5%**でした。
普遍的な適用性： さまざまな種類のチップ（ARMおよびAVR）に対しても同様に機能し、非常に汎用性の高いツールであることを証明しました。

まとめ

PowerFuzzは、容疑者の日記（コード）を読むのではなく、容疑者の足音のリズム（電力使用量）を聞くことで謎を解く探偵のようなものです。これらのリズムをマッピングすることで、ソフトウェアの論理構造のメンタルマップを構築し、暗闇で推測するよりもはるかに速く、効果的に隠れた弱点を追い詰めることができます。これは、ブラックボックスの中身を見る必要はなく、ただどのように電力を消費しているかに耳を澄ませばよいということを証明しています。

技術要約: PowerFuzz

問題提起

組み込みシステムは重要インフラのバックボーンを形成しているが、バイナリへの直接的なアクセスやデバッグ環境なしに実行挙動を観察することが困難であるため、そのファームウェアは従来のソフトウェアと比較して著しく研究が進んでいない。現代のファームウェアは多くの場合、プロプライエタリであったり、暗号化や難読化が施されていたりするため、ハードウェア保護（例：ロックされたフューズビット、セキュアブート）によってバイナリの抽出が妨げられている。その結果、分岐カバレッジを監視するためにバイナリ・インストルメンテーションに依存する標準的なカバレッジ誘導型ファジング手法は適用不可能である。

既存のブラックボックス・アプローチは、効果的なフィードバックループを欠いている。ランダムテストは状態依存型のファームウェアに対しては非効率であり、サイドチャネル（例：電磁放射）を利用した先行研究の試みは、高価で特殊な近接場プロービング装置を必要とすることが多い。核心となる課題は、バイナリにアクセスしたりファームウェアを修正したりすることなく、内部の制御フローが不透明な「完全なブラックボックス」ターゲットに対して、いかにしてカバレッジ誘導型のフィードバックループを再構築するかである。

手法

本論文では、バイナリ・インストルメンテーションの代わりに電力サイドチャネル測定を用いる統計的ブラックボックス・ファジングフレームワークであるPowerFuzzを提案する。本フレームワークは、マイクロコントローラ（MCU）の消費電力が、実行される命令や分岐決定に基づいて測定可能な形で変化し、内部の実行に関する微細な情報をエンコードしているという洞察に基づいている。

コアコンポーネント

電力トレース取得:
- システムは、新しい入力がターゲットに送出されるたびに、MCUの消費電力を時系列信号（ $P = \langle p_1, p_2, \dots, p_n \rangle$ ）として同期的にキャプチャする。
- 測定ノイズを軽減するため、1つの入力につき $N=10$ 個のトレースをキャプチャし、平均化を行う。
類似性分析（分岐の特定）:
- 新しい入力が以前とは異なる実行パスをトリガーしたかどうかを判断するために、PowerFuzzは、二段階のアルゴリズムを用いて、新しいトレースを以前にキャプチャされたトレースと比較する。
  - ステージ1: スライディングウィンドウを用いた動的時間伸縮法（DTW）: DTWは、タイミングのジッターに対処するために、2つの時系列シーケンスを整列させる。得られたオフセットプロファイルに対してスライディングウィンドウ分析を適用し、過渡的なノイズをフィルタリングしながら、持続的な乖離（分岐遷移を示すもの）を検出する。
  - ステージ2: 成長ウィンドウを用いたピアソン相関: 粗い乖離ウィンドウが特定された後、ピアソン相関分析が行われる。スライディングウィンドウがまずおおよかな偏差箇所を特定し、続いて、相関が閾値を下回るまで段階的に拡大する成長ウィンドウ分析を実行することで、実行パスが分岐する正確なサンプルインデックスを特定する。
トレース誘導型制御フローグラフ（TCFG）の構築:
- PowerFuzzは、CFGのプロキシとして機能する、階層的なツリー構造であるTCFGを動的に構築する。
- ノード構造: 各ノードは基本ブロックを表し、(1) そのブロックに対応する電力トレースのセグメント、(2) そのブロックに到達した入力、(3) 分岐成立（branch-taken）および分岐不成立（branch-not-taken）を表す左/右の子ポインタ、を保持する。
- 更新メカニズム: 新しいトレースが分析される際、アルゴリズムはTCFGを再帰的にトラバースする。新しいトレースが既存のノード内で乖離した場合、そのノードは分割される。新しい親ノードは共有されるプレフィックスを保持し、元のノードと新しい分岐パスがそれぞれ左および右の子となる。これにより、ファームウェアに関する事前知識なしに、グラフを漸進的に成長させることが可能になる。
分岐選択とミューテーション:
- TCFGは、LibAFL上に構築されたファジングエンジンに対し、どの分岐を探索すべきかをガイドする。
- ランダム選択: TCFGが疎な初期段階で使用される。
- 深さ優先選択: TCFGが成長するにつれ、ファザーはより深い階層のノードを優先し、入れ子になった条件ロジックや、到達が困難な複雑な状態依存型の挙動を標的とする。
- TCFGの更新（新しいカバレッジ）をもたらした入力はシードコーパスに保持され、それ以外は破棄される。

主な貢献

本論文は以下の貢献を主張している：

初の電力ベース・ブラックボックスフレームワーク: 内部の可視性を一切必要とせず、電力サイドチャネル測定を用いてカバレッジ誘導型のファジングを可能にする、初のフレームワークを提示している。
新規の分岐特定手法: スライディングウィンドウ分析、成長ウィンドウによるフルトレース相関、および動的時間伸縮法を組み合わせ、電力トレースから実行された分岐を特定する手法を実装している。
動的なTCFG生成: 集積された電力トレースを用いて構造的関係を推論することにより、バイナリへのアクセスなしに、実行時にトレース誘導型の制御フローグラフを構築することを可能にしている。
実証的検証: 広範な評価を通じて、PowerFuzzがグレーボックスファザと同等の分岐カバレッジを達成し、最先端のブラックボックス代替手法を大幅に上回ることを実証している。

実験結果

本フレームワークは、3つの組み込みハードウェアプラットフォーム（STM32F0、STM32F3、XMEGA）を用い、大規模アプリケーション（GPS、ステッピングコントローラ、CNC、はんだ付けステーション）および小規模ライブラリ（cjson、zlib、暗号実装）を含む10個のファームウェアベンチマークで評価された。

カバレッジ比較:
- vs. グレーボックス: PowerFuzzは、最先端のグレーボックスファザ（フルバイナリ可視性を有する）の分岐カバレッジの**13.5%**以内の範囲を達成した。
- vs. ブラックボックス (Fuzz'EMup): PowerFuzzは、ベンチマーク全体で、電磁放射を利用したブラックボックスファザであるFuzz'EMupに対し、分岐カバレッジにおいて最大**22%**上回った。
- vs. ランダムテスト: PowerFuzzは、ランダムテストよりもはるかに早く高いカバレッジのプラトーに到達し、プラットフォーム間で20%から30%の範囲でカバレッジの優位性を示した。
構造的精度:
- angrを介して抽出されたグラウンドトゥルース（正解）のCFGと比較した際、推論されたTCFGは**97.66%のノード精度（precision）と77.61%のノード再現率（recall）**を示した。高い精度は、分岐検出が誤った分割をほとんど発生させていないことを示しており、低い再現率は、ノイズによる断片化を避けるために必要な保守的な設計に起因している。
アーキテクチャ横断的な適用可能性:
- PowerFuzzは、アーキテクチャ固有のチューニングなしに、32ビットARMおよび8ビットAVRアーキテクチャ間で一貫した性能を示し、異なる種類のMCU間で安定したカバレッジ率を達成した。

重要性と主張

本論文は、従来のインストルメンテーションが不可能な、プロプライエタリまたは暗号化されたファームウェアの検証における「根本的な課題」に対処する、PowerFuzzを組み込みシステムセキュリティにおける重要な進展として位置づけている。電力消費をバイナリ・インストルメンテーションの代用として活用することで、PowerFuzzは完全なブラックボックス設定においてカバレッジ誘導型のフィードバックループを可能にする。

著者らは、PowerFuzzが、ランダムテストの盲目的な非効率性と、グレーボックスファジングのアクセスの困難さとの間の溝を埋めるものであると主張している。結果は、物理的なサイドチャネル測定が、バイナリ分析から得られる構造的な洞察を効果的に近似できることを示唆しており、安全性が重視される環境やセキュリティが重要な環境を含む、より幅広いクラスの組み込みデバイスに対して、厳格な自動テストを可能にする。本研究は、従来は暗号攻撃に使用されてきた電力トレースが、堅牢なソフトウェア検証メカニズムとして再利用できることを確立している。