기술 요약: PowerFuzz

문제 정의

임베디드 시스템은 핵심 인프라의 중추를 형성하고 있으나, 바이너리나 디버깅 인프라에 대한 직접적인 접근 없이 실행 동작을 관찰하기 어렵다는 점 때문에 전통적인 소프트웨어에 비해 현저히 연구가 부족한 상태이다. 현대의 펌웨어는 종종 독점적(proprietary)이거나 암호화되어 있으며, 난독화되어 있기도 하며, 하드웨어 보호 기법(예: 잠긴 퓨즈 비트, 보안 부트)으로 인해 바이너리 추출이 차단된다. 결과적으로, 바이너리 인스트루멘테이션(instrumentation)을 통해 분기 커버리지를 모니터링하는 데 의존하는 표준 커버리지 가이드 퍼징(coverage-guided fuzzing) 기법들을 적용할 수 없다.

기존의 블랙박스 접근 방식은 효과적인 피드백 루프가 결여되어 있다. 무작위 테스트(random testing)는 상태 의존적인 펌웨어에 대해 비효율적이며, 사이드 채널(예: 전자기파 방출)을 사용하려는 이전의 시도들은 값비싸고 전문적인 근접장 프로브 장비를 필요로 하는 경우가 많다. 핵심 과제는 내부 제어 흐름이 불투명한 "완전한 블랙박스" 타겟에 대해, 펌웨어를 수정하거나 바이너리에 접근하지 않고도 커버리지 가이드 피드백 루프를 재구성하는 것이다.

방법론

본 논문은 이진 인스트루멘테이션을 전력 사이드 채널 측정으로 대체하는 통계적 블랙박스 퍼징 프레임워크인 PowerFuzz를 소개한다. 이 프레임워크는 마이크로컨트롤러(MCU)의 전력 소비량이 실행되는 명령어 및 분기 결정에 따라 측정 가능하게 변한다는 점, 즉 MCU의 전력 소비가 내부 실행에 대한 미세한 정보를 인코딩하고 있다는 통찰력을 바탕으로 작동한다.

핵심 구성 요소

1. 전력 트레이스 획득 (Power Trace Acquisition):

   • 시스템은 새로운 입력이 타겟으로 전달될 때마다 타겟의 전력 소비를 시계열 신호($P = \langle p_1, p_2, \dots, p_n \rangle$)로 동기적으로 캡처한다.
   • 측정 노이즈를 완화하기 위해, 입력당 $N=10$개의 트레이스를 캡처하여 평균을 낸다.

2. 유사도 분석 (분기 식별 - Similarity Analysis):

   • 새로운 입력이 이전에 캡처된 트레이스와 다른 실행 경로를 트리거했는지 판단하기 위해, PowerFuzz는 2단계 알고리즘을 사용하여 새 트레이스를 기존 트레이스와 비교한다.
     • 1단계: 슬라이딩 윈도우를 적용한 동적 시간 워핑 (DTW): DTW는 타이밍 지터(jitter)를 처리하기 위해 두 시계열 시퀀스를 정렬한다. 생성된 오프셋 프로파일에 슬라이딩 윈도우 분석을 적용하여, 일시적인 노이즈를 필터링하면서 지속적인 편차(분기 전환을 나타냄)를 감지한다.
     • 2단계: 커지는 윈도우를 적용한 피어슨 상관계수 (Pearson Correlation): 거친(coarse) 수준의 편차 윈도우가 식별되면, 피어슨 상관계수 분석이 수행된다. 슬라이딩 윈도우가 대략적인 편차 위치를 먼저 찾고, 이후 커지는 윈도우 분석이 편차의 시작점으로부터 상관계수가 임계값 아래로 떨어질 때까지 점진적으로 확장하며 실행 경로가 갈라지는 정확한 샘플 인덱스를 찾아낸다.

3. 트레이스 가이드 제어 흐름 그래프 (TCFG) 구축:

   • PowerFuzz는 제어 흐름 그래프(CFG)의 대리물 역할을 하는 계층적 트리 구조인 TCFG를 동적으로 구축한다.
   • 노드 구조: 각 노드는 기본 블록(basic block)을 나타내며 다음을 저장한다: (1) 해당 블록에 대응하는 전력 트레이스 세그먼트, (2) 해당 블록에 도달한 입력, (3) branch-taken 및 branch-not-taken 경로를 나타내는 좌/우 자식 포인터.
   • 업데이트 메커니즘: 새로운 트레이스가 분석될 때, 알고리즘은 TCFG를 재귀적으로 순회한다. 만약 새 트레이스가 기존 노드 내에서 편차를 보이면, 해당 노드가 분할된다. 새로운 부모 노드는 공유된 접두사(prefix)를 저장하고, 기존 노드와 새로운 편차 경로는 각각 왼쪽과 오른쪽 자식이 된다. 이를 통해 펌웨어에 대한 사전 지식 없이도 그래프를 점진적으로 성장시킬 수 있다.

4. 분기 선택 및 변이 (Branch Selection and Mutation):

   • TCFG는 LibAFL 기반으로 구축된 퍼징 엔진이 탐색할 분기를 선택하도록 가이드한다.
   • 무작위 선택 (Random Selection): TCFG가 희소한 초기 단계에서 사용된다.
   • 깊이 우선 선택 (Depth-Prioritized Selection): TCFG가 성장함에 따라, 퍼저는 중첩된 조건부 로직 및 도달하기 어려운 복잡한 상태 의존적 동작을 타겟팅하기 위해 더 깊은 곳에 있는 노드를 우선적으로 탐색한다.
   • TCFG 업데이트(새로운 커버리지)를 초래하는 입력은 시드 코퍼스(seed corpus)에 유지되며, 그렇지 않은 입력은 폐기된다.

주요 기여

본 논문은 다음과 같은 기여를 주장한다:

• 최초의 전력 기반 블랙박스 프레임워크: 내부 가시성을 전혀 요구하지 않고 완전한 블랙박스 펌웨어에 대해 커버리지 가이드 퍼징을 가능하게 하는 최초의 전력 사이드 채널 기반 프레임워크를 제시한다.
• 새로운 분기 식별 기법: 전력 트레이스로부터 실행된 분기를 식별하기 위해 슬라이딩 윈도우 분석, 커지는 윈도우 전체 트레이스 상관계수, 그리고 동적 시간 워핑을 결합한 방법을 구현하였다.
• 동적 TCFG 생성: 바이너리 접근 없이 축적된 전력 트레이스를 사용하여 구조적 관계를 추론함으로써, 런타임에 트레이스 가이드 제어 흐름 그래프를 구축할 수 있게 한다.
• 실증적 검증: 광범은 평가를 통해 PowerFuzz가 그레이박스 퍼저와 대등한 수준의 분기 커버리지를 달성할 수 있으며, 최신 블랙박스 대안들보다 성능이 우수함을 입증하였다.

실험 결과

프레임워크는 GPS, 스테퍼 컨트롤러, CNC, 솔더링 스테이션과 같은 대규모 애플리케이션 및 cjson, zlib, 암호 구현체와 같은 작은 라이브러리를 포함한 10개의 펌웨어 벤치마크를 사용하여 세 가지 임베디드 하드웨어 플랫폼(STM32F0, STM32F3, XMEGA)에서 평가되었다.

• 커버리지 비교:

  • vs. Gray-Box: PowerFuzz는 완전한 바이너리 가시성을 가진 최신 그레이박스 퍼저의 분기 커버리지 대비 13.5% 이내의 성능을 달착했다.
  • vs. Black-Box (Fuzz'EMup): PowerFuzz는 벤치마크 전반에 걸쳐 전자기파 방출을 사용하는 블랙박스 퍼저인 Fuzz'EMup보다 분기 커버리지 측면에서 최대 22% 더 높은 성능을 보였다.
  • vs. Random Testing: PowerFuzz는 무작위 테스트보다 훨씬 빠르게 높은 커버리지 고점에 도달했으며, 플랫폼 전반에서 20%에서 30%에 이르는 커버리지 우위를 보였다.

• 구조적 정확도:

  • angr를 통해 추출된 실제(ground-truth) CFG와 비교했을 때, 추론된 TCFG는 **97.66%의 노드 정밀도(precision)**와 **77.61%의 노드 재현율(recall)**을 보였다. 높은 정밀도는 편차 감지가 잘못된 분할을 거의 만들지 않음을 나타내며, 낮은 재현율은 노이즈로 인한 파편화를 피하기 위한 보수적인 설계에 기인한다.

• 아키텍처 간 적용 가능성:

  • PowerFuzz는 아키텍처 특화 튜닝 없이 32비트 ARM 및 8비트 AVR 아키텍처 모두에서 일관된 성능을 보여주었으며, 다양한 MCU 유형에 대해 안정적인 커버리지 비율을 달성했다.

의의 및 주장

본 논문은 PowerFuzz를 전통적인 인스트루멘테이션이 불가능한 독점적 또는 암호화된 펌웨어의 검증이라는 "근본적인 과제"를 해결하는 임베디드 시스템 보안의 중요한 진보로 규정한다. 바이너리 인스트루멘테이션을 대신하여 전력 소비를 활용함으로써, PowerFuzz는 완전한 블랙박스 환경에서도 커버리지 가이드 피드백 루프를 가능하게 한다.

저자들은 PowerFuzz가 무작위 테스트의 맹목적인 비효율성과 그레이박스 퍼징의 접근 불가능성 사이의 간극을 메운다고 주장한다. 결과는 물리적 사이드 채널 측정이 바이너리 분석으로부터 얻는 구조적 통찰력을 효과적으로 근사할 수 있음을 시사하며, 이를 통해 안전 필수 및 보안 민감 환경에 있는 광범적인 임베디드 장치에 대해 엄격한 자동화된 테스트를 가능하게 한다. 이 연구는 전통적으로 암호 공격에 사용되던 전력 트레이스가 소프트웨어 검증을 위한 강력한 메커니즘으로 재목적화될 수 있음을 확립한다.