Function Recognition from Raw Power Side Channels in Bare-Metal Embedded Systems: Feasibility and Limits

技術要約：ベアメタル組み込みシステムにおける生（Raw）電力サイドチャネルからの関数認識

問題提起
ベアメタル・マイクロコントローラ、特にARM Cortex-Mバリアントは、リソース制約のあるIoT、産業用、およびサイバー物理システムにおいて基礎的な役割を果たしています。しかし、これらはOSレベルのインストルメンテーション（計装）を欠いているため、ランタイム・セキュリティ監視における重大なブラインドスポット（死角）を生み出します。メモリ関連のC言語関数（例：memcpy, memset）はセキュリティ上の弱点の頻繁な要因となりますが、その実行を観測しただけでは、その呼び出しが必ずしも悪意的であることを証明できません。本研究の核心となる問いは、ソフトウェアによるインストルメンテーションや設計されたスペクトル特徴量を用いずに、連続的な未修正のベアメタル・ワークロードにおいて、選択されたセキュリティに関連するC言語関数を、生の電力トレースから直接認識できるかどうかです。本研究は、このアプローチの実現可能性と、露出した信号から区別可能な物理的限界の両方を明らかにすることを目的としています。

手法
著者らは、ChipWhisperer Lite オシロスコープを用いた電力取得を行い、ARM Cortex-M4-K82Fプラットフォームを使用してこの問題の調査を行いました。実験セットアップには以下が含まれます：

• データ取得: パラメータ依存の変動を捉えるために、ランダム化された関数の入力を用いて、8 MHz（CPU周波数に一致）でトレースを収集しました。バイナリは、明示的な関数の境界を維持するために -O0 でコンパイルされました。
• データセット構築: 関数ごとに2,700個のトレースを生成し、固定サイズのウィンドウ（主要構成：50サンプル）に分割し、様々なオーバーラップを用いています。データ漏洩を防ぐため、生のトレースレベルで分割された140,000個のウィンドウからなるバランスの取れたデータセットを作成しました。
• アーキテクチャの比較: 本研究では、以下の3つの異なるアプローチを比較しました：
  1. Transformerベースのシーケンス分類: 共有オートエンコーダによる拒絶ステージに続く、Transformerエンコーダ。
  2. LSTMベースのシーケンス分類: スタックされたLSTMレイヤー。スタンドアロン、および関数境界を扱うための「Mixed」クラスを含む共有拒絶ステージの両方でテスト。
  3. 並列クラス固有オートエンコーダ: 本研究で提案する主要な手法。単一のマルチクラス分類器の代わりに、ターゲットとなる関数ごとに1つのオートエンコーダを訓練します。各モデルは、単一の関数の電力シグネチャの再構成分布を学習します。推論時、ウィンドウの再構成誤差が関数固有の閾値を下回らない限り、そのウィンドウは拒絶され、分布外（out-of-distribution）として扱われます。

主な貢献

1. 生電力による関数認識: 著者らは、スペクトル特徴量のエンジニアリングやワークロードの変更を行うことなく、連続的なワークロード内の固定サイズRaw電力ウィンドウから、選択されたC関数を直接認識できることを実証しました。
2. クラス固有の再構成: 本研究は、並列的なクラス固有オートエンコーダのアーキテクチャを導入し、検証しました。このアプローチは、無関係なワークロードセグメントを既知のカテゴリに強制的に分類するのではなく、拒絶することを可能にすることで、シーケンス分類のベースラインを上回る性能を示しました。
3. 物理的限界の特性評価: 本研究は、認識の困難さが単なるモデル容量の問題ではなく、物理信号自体の情報量によって制約されていることを示し、観測可能性の限界を経験的に明らかにしました。

結果
評価は、一般的なソフトウェアの脆弱性（例：バッファオーバーフロー、符号付き・符号なし変換エラー）を発生させるように設計された独立した連続ワークロード（W1–W20）に対して行われました。

• 7関数セット: 全7つのターゲット関数（memcpy, memset, memmove, strncpy, strncat, malloc, strcpy）を評価した際、すべてのアーキテクチャが高偽陽性率（FPR）に苦戦しました。並列オートエンコーダは最も低いFPR（52.49%）を達成しましたが、依然としてすべてのシグネチャを確実に分離することには失敗しました。
• 5関数セット: malloc と strcpy を除外した場合、並列クラス固有オートエンコーダは最良の動作点である 96.00% の真陽性率（TPR） と 4.00% の偽陰性率（FNR） （FPRは 39.79%）を達成しました。
  • Transformerベースラインは、44.95% のFPRにおいて 90.00% のTPRに達しました。
  • 最良のLSTM構成は 100% のTPRに達しましたが、大幅に高い 59.38% のFPRを伴いました。
• 困難な関数: 2つの特定の関数が、すべてのアーキテクチャにおいて一貫して困難であることが判明しました：
  • malloc: アロケーションサイズに関わらず、ほぼ不変の実行プロファイル（約166サイクル）を示し、関数内の信号のバリエーションが不足していました。
  • strcpy: memcpy や他のメモリ転送操作との間で高い関数間類似性を示し、生の電力ウィンドウ内での曖昧さを生じさせました。
• 取得パラメータ: サンプリングレートを4倍のCPU周波数に上げる、あるいはウィンドウサイズを200サンプルに増やすことは、認識性能の向上には繋がらなかったため、限界は取得解像度ではなく、信号の情報自体に起因することが示唆されました。
• クロスプラットフォーム検証: Cortex-M4-F303を用いたコンテキスト評価により、本手法が異なるボード上で再学習可能であり、100%のTPRを達成できる一方で、33.35%のFPRを維持し、精度が関数によって大きく変動することが確認されました。

意義と主張
本論文は、生電力による関数認識は、リソース制約のある組み込みシステムを監視するための独立した行動シグナルとして実現可能であるが、単独の脆弱性検知器にはならないと結論付けています。

• 行動シグナル vs セキュリティ検知器: 著者らは、関数の実行を認識することは、その呼び出しが安全か、あるいは悪意があるかを確立するものではないことを強調しています。代わりに、このアプローチは、マルチステージの監視アーキテクチャにおいて、ソフトウェア由来のエビデンスを補完する外部的な行動シグナルを提供します。
• 物理的観測可能性の限界: 本研究は、関数の識別可能性が、特定のハードウェア、コンパイラ、およびライブラリの実装によって露出する物理的な情報によって制限されることを確立しています。malloc や strcpy における継続的な困難さは、モデルの容量をいくら高めても、不十分または重複する物理的情報を克服することはできないことを示唆しています。
• 展開の実態: 著者らは、高い偽陽性率や関数依存の適合率を考慮し、即時の展開については慎重な姿勢を保っています。信頼できる展開のためには、偽陽性の低減、およびコンパイラの最適化、環境条件、ハードウェアプラットフォームに対する堅牢性の確立に関するさらなる研究が必要です。

要約すると、本研究は、生の電力サイドチャネルが明らかにし得る境界を定義しています。それらは、監視対象のソフトウェアスタックに依存することなく、セキュリティに関連するソフトウェアの振る舞いを露出できますが、その有用性は、物理的なエビデンスが識別可能な状態にある特定の関数および動作条件に厳密に限定されます。