Resumo Técnico: Mitigação de Ataques Baseados em Tempo em Sistemas Ciber-Físicos de Tempo Real

Declaração do Problema

Sistemas Ciber-Físicos (CPS) de tempo real, como aqueles nos domínios automotivo, aviônico e de IoT industrial, dependem da execução determinística de tarefas para garantir segurança e correção. Esse determinismo, frequentemente alcançado através do escalonamento de Prioridade Fixa Preemptiva (PFP), cria inadvertidamente canais laterais de tempo (timing side-channels). Adversários podem explorar a natureza previsível desses cronogramas para inferir os padrões de execução de tarefas de controle de alta prioridade ("vítimas").

Especificamente, o artigo aborda Ataques Baseados em Escalonamento (SBAs). Nesses ataques, um adversário compromete uma tarefa de baixa prioridade e não confiável para prever os tempos de chegada de uma tarefa de controle de alta prioridade (vítima). Ao calcular a Janela de Eficácia do Ataque (AEW) — o intervalo de tempo que segue a execução de uma tarefa vítima onde seus buffers de dados estão vulneráveis — o atacante pode lançar ataques de Injeção de Dados Falsos (FDI). Esses ataques manipulam entradas de controle armazenadas em buffers de E/S compartilhados, podendo degradar o desempenho do controle de malha fechada ou causar falhas no sistema.

Defesas existentes, como a randomização de escalonamento ou isolamento temporal, frequentemente falham ao não considerar as implicações críticas de tais modificações no desempenho do controle e na escalonabilidade. A randomização pode aumentar as trocas de contexto e as perdas de prazo (deadline misses), enquanto a injeção de ruído (ex: distribuição de Laplace) pode violar as garantias rigorosas de tempo exigidas por sistemas de tempo real crítico para a segurança.

Metodologia: O Framework SecureRT

Os autores propõem o SecureRT, um framework que mitiga ataques de inferência de tempo introduzindo atrasos estruturados e limitados ao nível de job para as tarefas de controle vítimas. A abordagem é projetada para minimizar a sobreposição temporal entre a AEW da vítima e a execução de tarefas não confiáveis sem violar as garantias de tempo real ou degradar a qualidade do controle.

O framework opera através de três etapas sequenciais:

1. Análise em Tempo de Projeto (Design-Time)

• Análise de Escalonabilidade (WCRT): O framework realiza uma análise conservadora de Tempo de Resposta de Pior Caso (WCRT) para determinar o atraso de pico ao nível de job ($\Delta^{peak}_v$). Este é o atraso máximo que pode ser aplicado às liberações de jobs de uma tarefa vítima sem causar a perda de prazos da própria vítima ou de tarefas de menor prioridade. A análise considera a interferência de "carry-in" de tarefas de maior prioridade e o jitter introduzido pelas liberações atrasadas.
• Análise de Desempenho de Controle: Reconhecendo que os atrasos afetam a dinâmica da planta física, os autores modelam a tarefa de controle como um sistema Regulador Quadrático Linear (LQR) sensível a atrasos. Eles sintetizam um controlador sensível ao atraso e computam o atraso máximo admissível ($\Delta^{max}_i$). Este é o maior atraso que mantém o custo de controle ($J$) abaixo de um limiar pré-definido ($J_{Th}$) estabelecido pelo projetista do sistema.
• Formulação de Otimização: Um problema de otimização é formulado para gerar uma sequência de atraso ótima ao nível de job ($\Delta_i$) para cada tarefa de controle. O objetivo é minimizar a sobreposição temporal total entre as AEWs das tarefas vítimas e as janelas de execução de todas as tarefas não confiáveis ao longo de um hiperperíodo.
  • A função de sobreposição é não linear e por partes. Para resolvê-la, os autores linearizam o problema usando Programação Linear de Inteiros Mistos (MILP). Eles introduzem variáveis contínuas auxiliares e variáveis binárias de decisão (usando o método Big-M) para transformar o cálculo da sobreposição em restrições lineares adequadas para solvers padrão (ex: Gurobi).

2. Execução em Tempo de Execução (Runtime) (Escalonador PFP-d)

O framework integra um escalonador customizado, PFP-d (Preemptive Fixed Priority with delay), com um detector de anomalias online.

• Detecção de Anomalia: Cada loop de controle é equipado com um detector de resíduo baseado em $\chi^2$ que monitora a diferença entre as saídas medidas e estimadas. Se a estatística exceder um limiar ($Th$), um ataque é sinalizado.
• Mitigação: Ao detectar um ataque em uma tarefa vítima específica, o escalonador muda do PFP padrão para o PFP-d. Ele recupera a sequência de atraso ótima pré-computada e aplica o atraso correspondente ao tempo de liberação da instância de job atual e das subsequentes da tarefa vítima.
• Reset: A mitigação permanece ativa por uma duração pré-definida ($T_{RES}$), após a qual o sistema retorna à operação nominal.

3. Complexidade e Overhead

O algoritmo de tempo de execução (Algoritmo 1) opera com complexidade $O(1)$ por passo de tempo. Como as sequências de atraso ótimas são computadas offline e armazenadas, o overhead de tempo de execução é desprezível, tornando a abordagem adequada para plataformas embarcadas com recursos limitados.

Principais Contribuições

1. Otimização Conjunta de Segurança e Controle: Diferente de trabalhos anteriores que focam apenas na ofuscação de escalonamento, o SecureRT considera explicitamente o impacto das modificações de escalonamento no desempenho do controle de malha fechada e na escalonabilidade.
2. Derivação de Atrasos Limitados: O artigo deriva limites estritos para atrasos ao nível de job ($\Delta^{peak}$ e $\Delta^{max}$) que garantem tanto a escalonabilidade do sistema quanto a estabilidade do controle.
3. Síntese de Atraso Ótimo: Uma nova formulação MILP é apresentada para gerar sequências de atraso cíclicas e ótimas ao nível de job que minimizam a superfície de ataque (sobreposição de AEW) enquanto aderem aos limites derivados.
4. Framework SecureRT: A integração de um detector $\chi^2$ online com um escalonador PFP-d customizado fornece um mecanismo de defesa prático e leve contra SBAs posteriores.

Resultados Experimentais

Os autores avaliaram o SecureRT utilizando um caso de estudo automotivo realista (Controle de Cruzeiro, ESP e controladores de Rastreamento de Trajetória) implementado em um Raspberry Pi 4 com um kernel Linux modificado (PREEMPT_RT) para garantir comportamento de tempo real rígido.

• Casos de Estudo: Quatro cenários foram comparados:
  1. Baseline (PFP, Sem Ataque): O sistema opera normalmente.
  2. Ataque (PFP, Sem Atraso): Um atacante realiza com sucesso o FDI, causando desvio significativo no estado da planta e um aumento constante no custo de controle.
  3. Atrasos Aleatórios (Estado da Arte): Aplicar atrasos aleatórios (distribuição de Laplace) reduziu a previsibilidade, mas falhou em prevenir consistentemente o FDI, levando à degradação do desempenho e aumento de custos.
  4. SecureRT (PFP-d): A sequência de atraso ótima conseguiu minimizar a sobreposição entre a AEW da vítima e a execução do atacante. O sistema manteve o rastreamento estável da planta, e o custo de controle permaneceu próximo ao valor nominal, apesar do ataque em curso.
• Melhoria Quantitativa: No caso de estudo automotivo, a sequência de atraso ótima reduziu a duração da sobreposição disponível para ataques FDI em 60% (de 45ms para 18ms).
• Escalonabilidade Geral: Experimentos sintéticos extensos através de vários intervalos de utilização e contagens de tarefas (5, 10 e 20 tarefas) demonstraram que o SecureRT mantém alta escalonabilidade, particularmente quando as tarefas vítimas possuem alta prioridade e a utilização do sistema é de baixa a moderada.

Significância e Alegações

O artigo afirma que o SecureRT oferece um avanço significativo sobre as estratégias de mitigação existentes ao unir a lacuna entre a cibersegurança e a teoria de controle. Sua principal significância reside na capacidade de proteger cargas de trabalho de controle de tempo real contra ataques de inferência de tempo sem comprometer as garantias determinísticas ou o desempenho físico do sistema.

Os autores enfatizam que sua abordagem não é meramente um exercício teórico, mas uma solução implantável para ambientes com recursos limitados. Ao utilizar atrasos estruturados e limitados, em vez de randomização ilimitada, o SecureRT garante que sistemas críticos para a segurança possam operar dentro de limites de desempenho predefinidos enquanto reduzem significamente a superfície de ataque. O trabalho conclui observando que extensões futuras visam aplicar este framework a sistemas multi-core e escalonadores de prioridade dinâmica (como o EDF).