💻 computer science

PowerFuzz: Power-Based Black-Box Firmware Fuzzing

PowerFuzz is een statistisch black-box firmware fuzzing framework dat gebruikmaakt van power side-channel metingen om control-flow grafieken te reconstrueren en testgeneratie te sturen, waarbij het een branch coverage bereikt die vergelijkbaar is met gray-box fuzzers terwijl het bestaande black-box benaderingen significant overtreft.

Oorspronkelijke auteurs: Dakshina Tharindu, Sahan Sanjaya, Philip Baptist, Prabhat Mishra

Gepubliceerd 2026-06-24

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Dakshina Tharindu, Sahan Sanjaya, Philip Baptist, Prabhat Mishra

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een gloednieuwe, vergrendelde zwarte doos hebt (een stuk computerfirmware) dat een apparaat aanstuurt, zoals een medisch implantaat of een slimme thermostaat. Je wilt de doos kraken om verborgen zwakheden te vinden, maar je kunt de doos niet openen, je hebt geen blauwdrukken (broncode) en je kunt zelfs niet zien wat er binnenin gebeurt terwijl het draait. Dit is het "Black Box"-probleem.

Normaal gesproken, om software effectief te testen, gebruiken experts een "Gray Box"-aanpak. Ze hebben een venster naar de code. Ze kunnen elke afslag die de software maakt zien, zoals een GPS die de route van een bestuurder volgt. Als de bestuurder een nieuwe weg inslaat, zegt de GPS: "Geweldig! We hebben een nieuw pad gevonden!" en de tester richt zich op dat gebied.

Ontmoet PowerFuzz: De "Power Detective"

De onderzoekers aan de University of Florida hebben een slimme truc bedacht genaamd PowerFuzz. In plaats van te proberen in de doos te kijken, luisteren ze naar hoeveel elektriciteit de doos verbruikt.

Dit is de kern van het idee: Elke keer dat de computer binnen de doos een beslissing neemt (zoals "als de temperatuur hoog is, zet de ventilator aan"), verbruikt deze een kleine, unieke hoeveelheid stroom. Het is alsof het hartritme van een persoon licht verandert afhankelijk van of diegene wandelt, rent of slaapt.

Hoe PowerFuzz werkt (De analogie)

Stel je voor dat je een doolhof probeert in kaart te brengen, maar je kunt de muren niet zien. Je hebt een vriend in het doolhof die niet tegen je kan praten, maar je kunt zijn voetstappen door de vloer horen.

Luisteren naar de voetstappen (Power Traces):
PowerFuzz stuurt een testbericht (een "dart") naar het apparaat. Terwijl het apparaat dit bericht verwerkt, legt PowerFuzz een grafiek vast van het stroomverbruik. Deze grafiek is de "voetafdruk" van de gedachten van het apparaat.
De "Sliding Window" Detective (De bocht vinden):
Het systeem vergelijkt de nieuwe stroomgrafiek met oude grafieken.
- Het Probleem: Soms volgt het apparaat hetzelfde pad, maar ziet de stroomgrafiek er iets anders uit vanwege kleine elektrische "ruis" (zoals een vriend die loopt op een krakende vloer).
- De Oplossing: PowerFuzz gebruikt een wiskundig hulpmiddel genaamd Dynamic Time Warping. Denk hierbij aan een flexibel liniaal die de grafieken uitrekt of inkrimpt om ze perfect op één lijn te krijgen, waarbij de kleine kraakjes worden genegeerd en de focus op het grote plaatje ligt.
- De "Growing Window": Zodra het een ruwe plek heeft gevonden waar de grafieken mogelijk verschillen, zoomt het in met een "growing window" om het exacte moment te pinpointen waarop het apparaat een andere afslag nam.
De Kaart Tekenen (De TCFG):
Elke keer dat PowerFuzz een nieuwe afslag vindt (een nieuwe vertakking in de code), tekent het een knoop op een kaart die een Trace-guided Control Flow Graph (TCFG) wordt genoemd.
- In het begin is de kaart slechts een enkele lijn.
- Naarmate het nieuwe paden vindt, vertakt de kaart zich als een boom.
- Cruciaal is dat deze kaart volledig wordt opgebouwd door naar elektriciteit te luisteren, zonder ooit de code te zien.
De Slimme Gids (Branch Selection):
Nu heeft PowerFuzz een kaart, stopt het met het willekeurig gooien van darten. Het kijkt naar de kaart en zegt: "Hé, we hebben die diepe, donkere tak onderaan de boom nog niet verkend. Laten we onze volgende darten daarop richten." Het geeft prioriteit aan de moeilijkst bereikbare paden, net als een slimme ontdekkingsreiziger.

De Resultaten: Hoe goed werkte het?

De onderzoekers hebben dit getest op echte hardware (zoals microcontrollers die in routers en medische apparaten worden gevonden) met behulp van tien verschillende softwareprogramma's. Ze vergeleken PowerFuzz met:

Random Testing: Darten in het donker.
Fuzz'EMup: De huidige beste "black box"-methode, die elektromagnetische golven (zoals een radio) gebruikt in plaats van stroom.
Gray-Box Fuzzing: De "gouden standaard" waarbij ze de code wel konden zien (gebruikt als benchmark voor het best mogelijke resultaat).

De Bevindingen:

De Competitie Verslaan: PowerFuzz vond aanzienlijk meer verborgen paden dan de willekeurige testers en de elektromagnetische methode (Fuzz'EMup). In sommige gevallen vond het 22% meer van de code dan de vorige beste black-box-methode.
Inhalen van de "God Mode": Hoewel PowerFuzz de code niet kon zien, wist het bijna net zoveel paden te vinden als de "Gray-Box"-methode die de code wel kon zien. Het zat binnen 13,5% van de perfecte score.
Universele Toepassing: Het werkte even goed op verschillende soorten computerchips (ARM en AVR), wat bewijst dat het een veelzijdig hulpmiddel is.

Samenvattend

PowerFuzz is als een detective die een mysterie oplost, niet door het dagboek van de verdachte te lezen (de code), maar door te luisteren naar het ritme van hun voetstappen (stroomverbruik). Door deze ritmes in kaart te brengen, bouwt het een mentale kaart van de logica van de software, waardoor het verborgen zwakheden veel sneller en effectiever kan opsporen dan wanneer men in het donker gokt. Het bewijst dat je niet in een zwarte doos hoeft te kijken om te begrijpen hoe het denkt; je hoeft alleen maar te luisteren naar hoe het van stroom wordt voorzien.

Technische Samenvatting: PowerFuzz

Probleemstelling

Embedded systemen vormen de ruggengraat van kritieke infrastructuur, maar hun firmware blijft aanzienlijk onderbelicht vergeleken met traditionele software vanwege de moeilijkheid om het uitvoeringsgedrag te observeren zonder directe toegang tot binaries of debug-infrastructuur. Moderne firmware is vaak propriëtair, versleuteld of geobfusceerd, en hardwarebeveiligingen (bijv. vergrendelde fuse-bits, secure boot) verhinderen extractie van de binary. Als gevolg hiervan zijn standaard coverage-guided fuzzing technieken — die vertrouwen op binaire instrumentatie om branch-coverage te monitoren — niet toepasbaar.

Bestaande black-box benaderingen missen effectieve feedbackloops. Random testen is inefficiënt voor state-afhankelijke firmware, en eerdere pogingen om gebruik te maken van side-channels (bijv. elektromagnetische emanaties) vereisen vaak dure, gespecialiseerde near-field probing apparatuur. De kernuitdaging is het reconstrueren van een coverage-guided feedbackloop voor een "volledig black-box" target waar de interne control flow opaak is, zonder de firmware te wijzigen of toegang te krijgen tot de binary.

Methodologie

Het paper introduceert PowerFuzz, een statistisch black-box fuzzing framework dat binaire instrumentatie vervangt door power side-channel metingen. Het framework werkt op het inzicht dat het stroomverbruik van een microcontroller (MCU) fijnmazige informatie codeert over de interne executie, variërend op meetbare wijze op basis van uitgevoerde instructies en branch-beslissingen.

Kerncomponenten

Power Trace Acquisitie:
- Het systeem legt synchroon het stroomverbruik van de MCU vast als een tijdreeks-signaal ( $P = \langle p_1, p_2, \dots, p_n \rangle$ ) telkens wanneer een nieuwe input naar de target wordt verzonden.
- Om meetruis te mitigeren, worden er $N=10$ traces per input vastgelegd en gemiddeld.
Similarity Analyse (Branch Identificatie):
- Om te bepalen of een nieuwe input een ander executiepad triggert, vergelijkt PowerFuzz de nieuwe trace met eerder vastgelegde traces met behulp van een twee-fasen algoritme:
  - Fase 1: Dynamic Time Warping (DTW) met Sliding Window: DTW lijnt de twee tijdreeks-sequenties uit om timing jitter op te vangen. Een sliding window analyse wordt toegepast op het resulterende offset-profiel om aanhoudende divergenties te detecteren (indicatief voor een branch transitie) terwijl transient ruis wordt gefilterd.
  - Fase 2: Pearson Correlatie met Growing Window: Zodra een grove divergentie-window is geïdentificeerd, wordt een Pearson correlatie analyse uitgevoerd. Een sliding window lokaliseert eerst de benaderende afwijking, gevolgd door een growing-window analyse die incrementeel uitbreidt vanaf het begin van de divergentie tot de correlatie onder een drempelwaarde zakt. Dit pinpoint de exacte sample index waar de executiepaden divergeren.
Trace-guided Control Flow Graph (TCFG) Constructie:
- PowerFuzz construeert dynamisch een hiërarchische boomstructuur genaamd de TCFG, die dient als een proxy voor de Control Flow Graph (CFG).
- Node Structuur: Elke node representeert een basic block en slaat op: (1) het power trace segment dat bij dat blok hoort, (2) de input die dat bereikte, en (3) left/right child pointers die de branch-taken en branch-not-taken paden representeren.
- Update Mechanisme: Wanneer een nieuwe trace wordt geanalyseerd, doorloopt het algoritme recursief de TCFG. Als de nieuwe trace divergeert binnen een bestaande node, wordt die node gesplitst: een nieuwe parent node slaat het gedeelde prefix op, terwijl de originele node en het nieuwe divergente pad respectievelijk de left en right children worden. Dit maakt het mogelijk dat de graaf incrementeel groeit zonder voorafgaande kennis van de firmware.
Branch Selectie en Mutatie:
- De TCFG stuurt de fuzzing engine (gebouwd op LibAFL) aan bij het selecteren van welke branches verkend moeten worden.
- Random Selectie: Wordt gebruikt in de vroege stadia wanneer de TCFG nog spaars is.
- Depth-Prioritized Selectie: Naarmate de TCFG groeit, geeft de fuzzer prioriteit aan nodes op grotere diepte, waarbij zich richt op geneste conditionele logica en complexe state-afhankelijke gedragingen die moeilijker te bereiken zijn.
- Inputs die resulteren in een TCFG update (nieuwe coverage) worden behouden in de seed corpus; anderen worden weggegooid.

Belangrijkste Bijdragen

Het paper claimt de volgende bijdragen:

Eerste Power-Based Black-Box Framework: Het presenteert het eerste framework dat power side-channel metingen gebruikt om coverage-guided fuzzing voor volledig black-box firmware mogelijk te maken, zonder interne zichtbaarheid te vereisen.
Vernieuwende Branch Identificatie: Het implementeert een methode die sliding-window analyse, growing-window full-trace correlatie en Dynamic Time Warping combineert om uitgevoerde branches te identificeren vanuit power traces.
Dynamische TCFG Generatie: Het maakt de runtime constructie van een trace-guided control flow graph mogelijk zonder binaire toegang, door gebruik te maken van geaccumuleerde power traces om structurele relaties te infereren.
Empirische Validatie: Het demonstreert via uitgebreide evaluatie dat PowerFuzz een branch coverage kan bereiken die vergelijkbaar is met gray-box fuzzers, terwijl het de state-of-the-art black-box alternatieven aanzienlijk overtreft.

Experimentele Resultaten

Het framework werd geëvalueerd op drie embedded hardware platforms (STM32F0, STM32F3, en XMEGA) met behulp van tien firmware benchmarks, waaronder grootschalige applicaties (GPS, Stepper Controller, CNC, Soldering Station) en kleinere libraries (cjson, zlib, crypto implementaties).

Coverage Vergelijking:
- vs. Gray-Box: PowerFuzz bereikte een branch coverage binnen 13.5% van state-of-the-art gray-box fuzzers (die volledige binaire zichtbaarheid hebben).
- vs. Black-Box (Fuzz'EMup): PowerFuzz presteerde aanzienlijk beter dan Fuzz'EMup (een black-box fuzzer die gebruik maakt van elektromagnetische emanaties) met tot wel 22% meer branch coverage over de benchmarks heen.
- vs. Random Testing: PowerFuzz bereikte consequent veel sneller hogere coverage plateaus dan random testing, met coverage voordelen variërend van 20% tot 30% over verschillende platforms.
Structurele Accuraatheid:
- Bij vergelijking met ground-truth CFGs geëxtraheerd via angr, vertoonden de geïnfereerde TCFGs een 97.66% node precisie en een 77.61% node recall. De hoge precisie geeft aan dat de divergentie detectie zelden foutieve splitsingen creëert, terwijl de lagere recall wordt toegeschreven aan het conservatieve ontwerp dat nodig is om noise-geïnduceerde fragmentatie te vermijden.
Cross-Architectuur Toepasbaarheid:
- PowerFuzz demonstreerde consistente prestaties over 32-bit ARM en 8-bit AVR architecturen zonder architectuur-specifieke tuning, en behaalde stabiele coverage rates over verschillende MCU types.

Betekenis en Claims

Het paper positioneert PowerFuzz als een cruciale vooruitgang voor de beveiliging van embedded systemen, waarbij het "fundamentele probleem" aanpakt van het verifiëren van propriëtaire of versleutelde firmware waar traditionele instrumentatie onmogelijk is. Door gebruik te maken van het stroomverbruik als vervanging voor binaire instrumentatie, maakt PowerFuzz een coverage-guided feedbackloop mogelijk in een volledig black-box setting.

De auteurs claimen dat PowerFuzz de kloof overbrugt tussen de blinde inefficiëntie van random testing en de ontoegankelijkheid van gray-box fuzzing. De resultaten suggereren dat fysieke side-channel metingen effectief de structurele inzichten kunnen benaderen die worden verkregen uit binaire analyse, waardoor rigoureuze geautomatiseerde testing haalbaar wordt voor een bredere klasse van embedded devices, inclusief die in veiligheidskritische en beveiligingsgevoelige omgevingen. Het werk stelt vast dat power traces, die traditioneel worden gebruikt voor cryptografische aanvallen, kunnen worden hergebruikt als een robuust mechanisme voor softwareverificatie.