기술 요약: 실시간 사이버 물리 시스템에서의 타이밍 기반 공격 완화

문제 정의

자동차, 항공, 산업용 IoT 도메인과 같은 실시간 사이버 물리 시스템(CPS)은 안전성과 정확성을 보장하기 위해 결정론적인 작업 실행에 의존한다. 이러한 결정론은 흔히 선점형 고정 우선순위(Preemptive Fixed-Priority, PFP) 스케줄링을 통해 달성되지만, 이는 의도치 않게 타이밍 부채널(timing side-channels)을 생성한다. 공격자는 이러한 예측 가능한 스케줄의 특성을 악용하여 고우선순위 제어 작업의 실행 패턴을 추론할 수 있다.

구체적으로, 본 논문은 **스케줄 기반 공격(Schedule-Based Attacks, SBAs)**을 다룬다. 이러한 공격에서 공격자는 낮은 우선순위를 가진 신뢰할 수 없는 작업을 탈취하여, 고우선순위 "희생자(victim)" 제어 작업의 도착 시간을 예측한다. 공격자는 희생자 작업의 실행 직후 데이터 버퍼가 취약해지는 시간 간격인 **공격 유효 윈도우(Attack Effective Window, AEW)**를 계산함으로써, 공유 I/O 버퍼에 저장된 제어 입력을 조작하는 허위 데이터 주입(False Data Injection, FDI) 공격을 수행할 수 있다. 이러한 공격은 폐루프 제어 성능을 저하시키거나 시스템 실패를 유발할 수 있다.

스케줄 무작위화(randomization)나 시간적 격리(temporal isolation)와 같은 기존 방어 기법들은 이러한 수정이 제어 성능 및 **스케줄링 가능성(schedulability)**에 미치는 결정적인 영향력을 고려하지 못하는 경우가 많다. 무작위화는 컨텍스트 스위칭과 데드라인 미스를 증가시킬 수 있으며, 노이즈 주입(예: 라플라스 분포)은 엄격한 타이밍 보장이 필요한 하드 실시간 안전 필수 시스템의 요구 사항을 위반할 수 있다.

방법론: SecureRT 프레임워크

저자들은 **구조화된 유계 작업 수준 지연(bounded, structured job-level delays)**을 희생자 제어 작업에 도입하여 타이밍 추론 공격을 완화하는 SecureRT 프레임워크를 제안한다. 이 접근 방식은 실시간 보장이나 제어 품질을 저하시키지 않으면서, 희생자의 AEW와 신뢰할 수 없는 작업의 실행 사이의 시간적 중첩을 최소화하도록 설계되었다.

이 프레임워크는 다음의 세 가지 순차적인 단계를 통해 작동한다.

1. 설계 시점 분석 (Design-Time Analysis)

• 스케줄링 가능성 분석 (WCRT): 프레임워크는 희생자 또는 하위 우선순위 작업이 데드라인을 놓치지 않도록 하는 최대 피크 작업 수준 지연($\Delta^{peak}_v$)을 결정하기 위해 보수적인 최악 응답 시간(Worst-Case Response Time, WCRT) 분석을 수행한다. 이 분석은 고우선순위 작업으로부터의 "캐리인(carry-in)" 간섭과 지연된 릴리스로 인해 발생하는 지터(jitter)를 고려한다.
• 제어 성능 분석: 지연이 물리적 플랜트의 동역학에 미치는 영향을 인식하여, 저자들은 지연을 고려한 선형 이차 조절기(Linear Quadratic Regulator, LQR) 시스템으로 모델링한다. 이들은 지연을 고려한 제어기를 합성하고, 시스템 설계자가 설정한 사전 정의된 임계값($J_{Th}$) 미만으로 제어 비용($J$)을 유지하는 최대 허용 지연($\Delta^{max}_i$)을 계산한다.
• 최적화 정식화: 각 제어 작업에 대한 최적의 작업 수준 지연 시퀀스($\Delta_i$)를 생성하기 위한 최적화 문제를 구성한다. 목표는 하이퍼피리어드(hyperperiod) 동안 희생자 작업의 AEW와 모든 신뢰할 수 없는 작업의 실행 윈도우 사이의 총 시간적 중첩을 최소화하는 것이다.
  • 중첩 함수는 비선형이며 구간별로 정의된다. 이를 해결하기 위해 저자들은 **혼합 정수 선형 계획법(Mixed-Integer Linear Programming, MILP)**을 사용하여 문제를 선형화한다. 이들은 보조 연속 변수와 이진 결정 변수(Big-M 방법 사용)를 도입하여 중첩 계산을 표준 솔버(예: Gurobi)에 적합한 선형 제약 조건으로 변환한다.

2. 런타임 실행 (PFP-d 스케줄러)

프레임워크는 온라인 이상 탐지기가 포함된 커스텀 스케줄러인 PFP-d(Preemptive Fixed Priority with delay)와 통합된다.

• 이상 탐지: 각 제어 루프에는 센서 출력과 추정 출력 사이의 차이를 모니터링하는 $\chi^2$ 기반 잔차 검출기가 장착되어 있다. 통계량이 임계값($Th$)을 초과하면 공격이 감지된다.
• 완화: 특정 희생자 작업에 대한 공격이 감지되면, 스케줄러는 표준 PFP에서 PFP-d로 전환한다. 스케줄러는 미리 계산된 최적의 지연 시퀀스를 가져와 현재 및 후속 작업 인스턴스의 릴리스 타임에 해당 지연을 적용한다.
• 리셋: 완화 조치는 사전 정의된 기간($T_{RES}$) 동안 활성화된 후, 시스템을 정상 운영 상태로 리셋한다.

3. 복잡도 및 오버헤드

런타임 알고리즘(Algorithm 1)은 타임 스텝당 $O(1)$ 복잡도로 동작한다. 최적의 지연 시퀀스는 오프라인에서 계산되어 저장되므로, 런타임 오버헤드는 무시할 수 있는 수준이며, 이는 자원이 제한된 임베디드 플랫폼에 적합하다.

주요 기여

1. 보안과 제어의 공동 최적화: 보안만을 위해 스케줄 난독화에 집중했던 기존 연구들과 달리, SecureRT는 스케줄링 변경이 폐루프 제어 성능 및 스케줄링 가능성에 미치는 영향을 명시적으로 고려한다.
2. 유계 지연 도출: 시스템의 스케줄링 가능성과 제어 안정성을 모두 보장하는 작업 수준 지연의 엄격한 상한($\Delta^{peak}$ 및 $\Delta^{max}$)을 도출한다.
3. 최적 지연 합성: 공격 표면(AEW 중첩)을 최소화하면서 도출된 경계 내에서 작동하는 최적의 순환적 작업 수준 지연 시퀀스를 생성하기 위한 새로운 MILP 정식화를 제시한다.
4. SecureRT 프레임워크: 온라인 $\chi^2$ 검출기와 커스텀 PFP-d 스케줄러의 통합을 통해 사후(posterior) SBA에 대한 실용적이고 가벼운 방어 메커니즘을 제공한다.

실험 결과

저자들은 자동차 케이스 스터디(크루즈 컨트롤, ESP, 경로 추적 제어기)를 활용하여 하드 실시간 동작을 보장하도록 패치된 리눅스 커널(PREEMPT_RT)이 설치된 Raspberry Pi 4에서 SecureRT를 평가하였다.

• 케이스 스터디: 네 가지 시나리오를 비교하였다:
  1. 베이스라인 (PFP, 공격 없음): 시스템이 정상적으로 작동함.
  2. 공격 (PFP, 지연 없음): 공격자가 FDI를 성공적으로 수행하여 플랜트 상태의 상당한 편차와 제어 비용의 지속적인 증가를 유발함.
  3. 무작위 지연 (기존 기술): 무작위 지연(라플라스 분포)을 적용하면 예측 가능성은 감소하지만, FDI를 일관되게 방지하지 못하여 성능 저하와 비용 증가를 초래함.
  4. SecureRT (PFP-d): 최적의 지연 시퀀스가 희생자의 AEW와 공격자의 실행 사이의 중첩을 성공적으로 최소화함. 공격이 진행되는 중에도 시스템은 안정적인 플랜트 추적을 유지하였으며, 제어 비용은 명목 값에 가깝게 유지됨.
• 정량적 개선: 자동차 케이스 스터디에서 최적의 지연 시퀀스는 FDI 공격에 사용 가능한 중첩 지속 시간을 60% (45ms에서 18ms로) 감소시켰다.
• 일반적 스케줄링 가능성: 다양한 활용도 범위와 작업 수(5, 10, 20개 작업)에 걸친 광범 위한 합성 실험을 통해, SecureRT가 특히 희생자 작업이 고우선순위이고 시스템 활용도가 낮거나 중간 정도일 때 높은 스케줄링 가능성을 유지함을 입증하였다.

의의 및 주장

본 논문은 SecureRT가 제어 이론과 사이버 보안 사이의 간극을 메움으로써 기존 완화 전략보다 유의미한 발전을 이루었다고 주장한다. 이 연구의 주요 의의는 결정론적 보장이나 물리적 성능을 저해하지 않으면서 실시간 제어 워크로드를 타이밍 추론 공격으로부터 보호할 수 있는 능력에 있다.

저자들은 이 접근 방식이 단순한 이론적 연습이 아니라, 자원이 제한된 환경에 배포 가능한 솔루션임을 강조한다. 무제한적인 무작위화 대신 유계되고 구조화된 지연을 사용함으로써, SecureRT는 안전 필수 시스템이 정의된 성능 한계 내에서 작동하면서도 공격 표면을 크게 줄일 수 있도록 보장한다. 결론적으로, 향후 확장 연구는 이 프레임워크를 멀티코어 시스템 및 동적 우선순위 스케줄러(EDF 등)에 적용하는 것을 목표로 한다.