⚡ electrical engineering

Mitigating Timing-Based Attacks in Real-Time Cyber-Physical Systems

Dit artikel stelt een op scheduling gebaseerd mitigatiekader voor dat real-time cyber-fysieke systemen beveiligt tegen timing-gebaseerde aanvallen door het introduceren van begrensde, gestructureerde timing-perturbaties om executiepatronen te verhullen, terwijl de real-time schedulability en de garanties voor controleprestaties strikt worden gewaarborgd.

Oorspronkelijke auteurs: Arkaprava Sain, Sunandan Adhikary, Soumyajit Dey

Gepubliceerd 2026-02-04

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Arkaprava Sain, Sunandan Adhikary, Soumyajit Dey

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een hooggespannen orkest voor waar elke muzikant (een computer-taak) zijn noot op exact hetzelfde moment moet spelen om de muziek (het fysieke systeem, zoals een auto of een elektriciteitsnet) veilig te houden. In deze "Real-Time Cyber-Physical Systems" is timing alles. Als een muzikant zelfs maar een fractie van een seconde te laat is, kan de hele uitvoering crashen, wat leidt tot een ramp.

Echter, dit strikte, voorspelbare ritme heeft een schaduwzijde. Omdat het schema zo rigide en voorspelbaar is, kan een sluipende luistervink (een aanvaller) het ritme afluisteren, precies uitrekenen wanneer de belangrijkste muzikanten (veiligheidskritische taken) spelen, en zich tijdens de kleine pauzes tussen de noten erin wurmen om de muziek te manipuleren. Dit wordt een Timing-Based Attack genoemd.

Het Probleem: Het Voorspelbare Ritme

Denk aan het schema van het systeem als een trein dienstregeling. De "Veiligheidskritische Trein" (de control-taak) vertrekt van het station om 10:00, 10:10, 10:20, enzovoort.

De Truc van de Aanvaller: Een kwaadwillende "onbetrouwbare" trein (een taak met een lagere prioriteit) weet precies wanneer de Veiligheidskritische Trein aankomt en vertrekt. De aanvaller wacht tot de Veiligheidskritische Trein zijn lading (data) heeft afgeleverd en springt er dan direct in om de lading te vervangen door iets nep voordat de volgende trein arriveert.
Het Venster: Er is een specifiek "Attack Window" direct nadat de Veiligheidskritische Trein is vertrokken. Als de slechte trein op tijd aanwezig kan zijn, kan hij het systeem saboteren.

De Oude Oplossingen (en waarom ze faalden)

Eerdere pogingen om dit te stoppen waren als het proberen te verbergen van de treinschema door:

Het schema te randomiseren: Treinen op willekeurige tijden laten vertrekken. Probleem: Dit brengt het systeem zelf in verwarring, wat vertragingen veroorzaakt die ertoe kunnen leiden dat de auto crasht of het elektriciteitsnet uitvalt.
De treinen te isoleren: De slechte treinen in een aparte rangeerplaats houden. Probleem: Dit verspilt ruimte en middelen, waardoor het systeem inefficiënt wordt.

De Nieuwe Oplossing: SecureRT (Het "Smart Delay" Framework)

De auteurs van dit artikel stellen een nieuw framework voor genaamd SecureRT. In plaats van willekeurige chaos of strikte isolatie, gebruiken ze een berekende, "slimme" vertraging.

Stel je voor dat de dirigent (de scheduler) een geheim plan heeft. Wanneer hij een aanval vermoedt, annuleert hij de trein niet; hij vertelt de Veiligheidskritische Trein simpelweg om een specifieke, vooraf berekende hoeveelheid tijd te wachten voordat hij vertrekt.

Zo werkt het in drie stappen:

1. De Veiligheidscheck (Komt de trein nog op tijd aan?)

Voordat er wijzigingen worden aangebracht, berekent het systeem de maximale veilige vertraging. Het vraagt: "Als we de trein 3 seconden laten wachten, bereikt hij dan nog steeds de bestemming vóór de deadline?"

Als het antwoord "ja" is, is de vertraging veilig.
Als het antwoord "nee" is, is de vertraging te lang en kan dit een crash veroorzaken.
Dit zorgt ervoor dat het systeem schedulable (veilig en op tijd) blijft.

2. De Performance Check (Blijft de muziek nog goed klinken?)

Zelfs als de trein op tijd aankomt, kan te lang wachten ervoor zorgen dat de muziek vals klinkt. Het systeem berekent hoeveel de "control performance" (de kwaliteit van de muziek) zal verslechteren als de trein wacht.

Ze stellen een limiet in: "De muziek mag slechts 5% slechter worden."
Ze vinden de maximale toelaatbare vertraging — de langste wachttijd die de muziek goed genoeg houdt.

3. De Slimme Shuffle (De Optimalisatie)

Nu lost het systeem een complexe puzzel op. Het kijkt naar het "Attack Window" en het schema van de "Slechte Treinen" (onbetrouwbare taken).

Het berekent een reeks vertragingen (bijv. 3 seconden wachten, dan 0 seconden wachten, dan 5 seconden wachten) die de aankomst van de Veiligheidskritische Trein net genoeg verschuift zodat de "Slechte Treinen" niet langer in het Attack Window passen.
Het is also't de vertrektijd van de trein zo verplaatsen dat de slechterik vast komt te zitten bij een rood licht op het moment dat de trein zou moeten vertrekken.

Hoe het in de praktie werkt

Het systeem draait een "detector" (als een bewaker) die kijkt naar tekenen van manipulatie.

Normale Modus: De treinen rijden op het standaard, snelle schema.
Aanval Gedetecteerd: Als de bewaker een verdacht patroon ziet (de "Slechte Trein" die probeert in te breken), schakelt het systeem onmiddellijk over naar de SecureRT-modus.
De Wissel: Het past de vooraf berekende "Slimme Vertragingen" toe op de Veiligheidskritische Trein. De trein vertrekt op net andere tijden dan gebruikelijk, waardoor de timing van de aanvaller wordt doorzien.
Het Resultaat: De aanvaller kan de timing niet langer voorspellen. De "Slechte Trein" mist het venster, de data blijft veilig en het systeem blijft zonder problemen draaien.

De Kernboodschap

Het paper laat zien dat je niet hoeft te kiezen tussen beveiliging en veiligheid. Door een "Smart Delay" strategie te gebruiken, kun je:

De aanvaller in verwarring brengen zodat hij niet kan raden wanneer hij moet toeslaan.
Het systeem veilig houden door te garanderen dat de vertragingen nooit de veiligheidslimieten overschrijden.
De prestaties van het systeem behouden door te zorgen dat de vertragingen de kwaliteit van de besturing niet ruïneren.

In hun experimenten met een gesimuleerd auto-controlesysteem toonden ze aan dat terwijl een standaard systeem wordt gehackt en crasht, en een "random delay" systeem wordt gehackt en slecht presteert, hun SecureRT systeem de aanval succesvol blokkeert terwijl de auto perfect blijft rijden.

Technische Samenvatting: Mitigatie van Timing-gebaseerde Aanvallen in Real-Time Cyber-Fysieke Systemen

Probleemstelling

Real-time Cyber-Fysieke Systemen (CPS), zoals die in de automotive, luchtvaart en industriële IoT-domeinen, vertrouwen op deterministische taakuitvoering om veiligheid en correctheid te waarborgen. Dit determinisme, vaak bereikt door Preemptive Fixed-Priority (PFP) scheduling, creëert onbedoeld timing side-channels. Aanvallers kunnen de voorspelbare aard van deze schema's exploiteren om de executiepatronen van hoog-prioritaire controle-taken te achterhalen.

Specifiek richt het artikel zich op Schedule-Based Attacks (SBAs). Bij deze aanvallen compromitteert een aanvaller een laag-prioritaire, onbetrouwbare taak om de aankomsttijden van een hoog-prioritaire "victim" controle-taak te voorspellen. Door het berekenen van het Attack Effective Window (AEW)—het tijdsinterval volgend op de executie van een victim-taak waarin de databuffers kwetsbaar zijn—kan de aanvaller False Data Injection (FDI) aanvallen uitvoeren. Deze aanvallen manipuleren de controle-inputs die in gedeelde I/O-buffers zijn opgeslagen, wat potentieel de closed-loop controleprestaties kan verslechteren of systeemfalen kan veroorzaken.

Bestaande verdedigingsmechanismen, zoals schema-randomisatie of temporele isolatie, houden vaak onvoldoende rekening met de kritieke implicaties van dergelijke wijzigingen op de controleprestaties en schedulability. Randomisatie kan het aantal context switches en deadline-misses verhogen, terwijl ruisinjectie (bijv. Laplace-distributie) de strikte timinggaranties kan schenden die vereist zijn voor hard real-time veiligheidskritische systemen.

Methodologie: Het SecureRT Framework

De auteurs stellen SecureRT voor, een framework dat timing-inferentie aanvallen mitigeert door begrensde, gestructureerde job-level vertragingen te introduceren voor victim controle-taken. De aanpak is ontworpen om de temporele overlap tussen de AEW van de victim-taak en de executievensters van onbetrouwbare taken te minimaliseren zonder de real-time garanties of de kwaliteit van de regeling te schenden.

Het framework werkt via drie opeenvolgende stappen:

1. Design-Time Analyse

Schedulability Analyse (WCRT): Het framework voert een conservatieve Worst-Case Response Time (WCRT) analyse uit om de piek job-level vertraging ( $\Delta^{peak}_v$ ) te bepalen. Dit is de maximale vertraging die kan worden toegepast op de job-releases van een victim-taak zonder dat de victim of lagere-prioriteitstaken hun deadlines missen. De analyse houdt rekening met "carry-in" interferentie van hoog-prioritaire taken en de jitter die wordt geïntroduceerd door vertraagde releases.
Control Performance Analyse: In het besef dat vertragingen de dynamica van de fysieke plant beïnvloeden, modelleren de auteurs de controle-taak als een delay-aware Linear Quadratic Regulator (LQR) systeem. Zij synthetiseren een delay-aware controller en berekenen de maximale toelaatbare vertraging ( $\Delta^{max}_i$ ). Dit is de grootste vertraging die de controlekosten ( $J$ ) onder een vooraf ingestelde drempelwaarde ( $J_{Th}$ ) houdt, vastgesteld door de systeemontwerper.
Optimalisatie Formulering: Een optimalisatieprobleem wordt geformuleerd om een optimale job-level delay sequentie ( $\Delta_i$ $Δ_{i}$ ) voor elke controle-taak te genereren. Het doel is om de totale temporele overlap tussen de AEWs van victim-taken en de executievensters van alle onbetrouwbare taken over een hyperperiode te minimaliseren.
- De overlapfunctie is niet-lineair en stuksgewijs. Om dit op te lossen, lineariseren de auteurs het probleem met behulp van Mixed-Integer Linear Programming (MILP). Zij introduceren hulpvariabelen (continu) en binaire beslissingsvariabelen (met gebruik van de Big-M methode) om de overlapberekening te transformeren naar lineaire restricties geschikt voor standaard solvers (bijv. Gurobi).

2. Runtime Executie (PFP-d Scheduler)

Het framework integreert een aangepaste scheduler, PFP-d (Preemptive Fixed Priority met delay), met een online anomalie-detector.

Anomalie Detectie: Elke control loop is uitgerust met een $\chi^2$ -gebaseerde residue detector die het verschil tussen gemeten en geschatte outputs monitort. Als de statistiek een drempelwaarde ($Th$) overschrijdt, wordt een aanval gemeld.
Mitigatie: Bij detectie van een aanval op een specifieke victim-taak schakelt de scheduler van standaard PFP naar PFP-d. Het haalt de vooraf berekende optimale delay sequentie op en past de bijbehorende vertraging toe op de release-tijd van de huidige en daaropvolgende job-instanties van de victim-taak.
Reset: De mitigatie blijft actief voor een vooraf bepaalde duur ( $T_{RES}$ ), waarna het systeem terugkeert naar de normale operatie.

3. Complexiteit en Overhead

Het runtime algoritme (Algoritme 1) werkt met een $O(1)$ complexiteit per tijdstap. Omdat de optimale delay sequenties offline worden berekend en opgeslagen, is de runtime overhead verwaarloosbaar, wat de aanpak geschikt maakt voor resource-beperkte embedded platformen.

Belangrijkste Bijdragen

Gezamenlijke Optimalisatie van Beveiliging en Controle: In tegen tegenstelling tot eerdere werken die zich uitsluitend richten op de obscuratie van het schema, houdt SecureRT expliciet rekening met de impact van scheduling-wijzigingen op de closed-loop controleprestaties en de schedulability.
Afgeleide Begrensde Vertragingen: Het artikel leidt strikte bovengrenzen af voor job-level vertragingen ( $\Delta^{peak}$ en $\Delta^{max}$ ) die zowel de systeem schedulability als de controle-stabiliteit garanderen.
Optimale Delay Synthese: Een nieuwe MILP-formulering wordt gepresenteerd om optimale, cyclische job-level delay sequenties te genereren die het aanvalsoppervlak (AEW overlap) minimaliseren terwijl ze voldoen aan de afgeleide grenzen.
SecureRT Framework: De integratie van een online $\chi^2$ detector met een aangepaste PFP-d scheduler biedt een praktisch, lichtgewicht verdedigingsmechanisme tegen posterieure SBAs.

Experimentele Resultaten

De auteurs hebben SecureRT geëvalueerd met behulp van een realistische automotive case study (Cruise Control, ESP, en Trajectory Tracking controllers) geïmplementeerd op een Raspberry Pi 4 met een gepatchte Linux-kernel (PREEMPT_RT) om hard real-time gedrag te garanderen.

Case Studies: Vier scenario's werden vergeleken:
1. Baseline (PFP, Geen Aanval): Het systeem werkt normaal.
2. Attack (PFP, Geen Vertraging): Een aanvaller voert succesvol een FDI uit, wat leidt tot significante afwijkingen in de plant-toestand en een gestage toename in de controlekosten.
3. Random Delays (State-of-the-art): Het toepassen van willekeurige vertragingen (Laplace-distributie) verminderde de voorspelbaarheid, maar slaagde er niet in om FDI consistent te voorkomen, wat leidde tot prestatieverlies en hogere kosten.
4. SecureRT (PFP-d): De optimale delay sequentie slaagde er succesvol in de overlap tussen de AEW van de victim en de executie van de aanvaller te minimaliseren. Het systeem behield een stabiele plant tracking, en de controlekosten bleven dicht bij de nominale waarde ondanks de lopende aanval.
Kwantitatieve Verbetering: In de automotive case study reduceerde de optimale delay sequentie de duur van de overlap beschikbaar voor FDI-aanvallen met 60% (van 45ms naar 18ms).
Algemene Schedulability: Uit uitgebreide synthetische experimenten over diverse utilizatiebereiken en het aantal taken (5, 10 en 20 taken) bleek dat SecureRT een hoge schedulability behoudt, vooral wanneer victim-taken een hoge prioriteit hebben en de systeemutilisatie laag tot gemiddeld is.

Betekenis en Claims

Het artikel claimt dat SecureRT een significante vooruitgang biedt ten opzichte van bestaande mitigatiestrategieën door de kloof tussen cybersecurity en control theory te overbruggen. De primaire betekenis ligt in het vermogen om real-time controle-workloads te beveiligen tegen timing-inferentie aanvallen zonder de deterministische garanties of de fysieke prestaties van het systeem in gevaar te brengen.

De auteurs benadrukken dat hun aanpak niet slechts een theoretische oefening is, maar een inzetbare oplossing voor resource-beperkte omgevingen. Door gebruik te maken van begrensde, gestructureerde vertragingen in plaats van onbegrensde randomisatie, zorgt SecureRT ervoor dat veiligheidskritische systemen binnen vooraf gedefinieerde prestatiegrenzen kunnen opereren terwijl het aanvalsoppervlak aanzienlijk wordt verkleind. De studie concludeert met de opmerking dat toekomstige uitbreidingen zich zullen richten op het toepassen van dit framework op multi-core systemen en dynamische-priority schedulers (zoals EDF).