Stateful Embedded Fuzzing with Peripheral-Accurate SystemC Virtual Prototypes

Resumo Técnico: Fuzzing Embebido com Estado usando Protótipos Virtuais SystemC Precisos em Periféricos

1. O Problema

A crescente complexidade do software embarcado tornou o teste manual impraticável, motivando o uso de técnicas automatizadas como o fuzzing. Embora os fuzzers guiados por cobertura (como o AFL++) tenham tido sucesso em software convencional, sua aplicação em contextos embarcados enfrenta desafios significativos:

• Falta de Realismo: Abordagens existentes que utilizam simuladores em modo de usuário (user-mode) sacrificam a precisão dos periféricos. Elas não modelam a causalidade dos periféricos (interrupções, atualizações de FIFO, lógica de registradores), o que leva a traços de execução irreais e a um alto número de falsos positivos (crashes que não ocorreriam no hardware real).
• Limitações de Escalabilidade: Abordagens que usam simuladores de sistema completo (full-system) geralmente exigem instrumentação manual do código-fonte do software alvo (PUT) ou modificações nos modelos de periféricos, limitando sua aplicabilidade a software de código aberto ou grandes sistemas complexos.

2. Metodologia

Os autores propõem um novo framework que integra o AFL++ a um Protótipo Virtual (VP) baseado em SystemC-TLM (Transaction-Level Modeling) com precisão de periféricos. A abordagem é "stateful" (com estado), mantendo a consistência interna dos dispositivos durante a execução.

Componentes Principais:

• Simulador (VP): Utiliza o SIM-A (um simulador funcional baseado em SystemC-TLM) e a biblioteca VCML para modelos de periféricos. Diferente de simuladores de ciclo exato, o SIM-A foca na correção lógica, maximizando a velocidade de execução.
• Mecanismo de Injeção (Injectors):
  • O framework introduz módulos chamados injectors que se conectam aos modelos de periféricos via sockets TLM e ao fuzzer via memória compartilhada.
  • Os injectors interceptam acessos a MMIO (Memory-Mapped Input/Output).
  • Eles injetam dados gerados pelo fuzzer diretamente nos modelos de periféricos virtuais, permitindo que os periféricos gerem efeitos colaterais naturais, como interrupções e atualizações de FIFO, sem modificar o código-fonte do firmware.
• Workflow de Execução:
  1. O AFL++ inicia o processo do VP.
  2. Um protocolo de handshake configura memórias compartilhadas para entrada de dados e cobertura de código.
  3. Detecção de Gatilho: Um componente de probe observa acessos a registradores específicos (configurados via JSON). Quando o firmware configura um periférico (ex: habilita interrupções), o injector correspondente é ativado para começar a enviar dados aleatórios periodicamente ou em resposta a solicitações.
  4. O VP executa o firmware, coleta a cobertura de código e relata erros ao fuzzer.

3. Principais Contribuições

• Fuzzing "Stateful" sem Modificação de Código: Diferente de trabalhos anteriores que exigem alterar o firmware ou os modelos de periféricos, esta solução é genérica e funciona com software de código fechado.
• Precisão de Periféricos: A injeção direta nos modelos SystemC permite que o sistema reaja realisticamente a dados malformados (ex: interrupções disparadas apenas quando as condições de hardware são atendidas), eliminando a necessidade de inferência simbólica complexa de valores de registradores.
• Arquitetura Modular: O uso de um injector dedicado por periférico e a configuração via arquivos JSON permitem fácil adaptação a diferentes protocolos de comunicação (UART, CAN, I2C) e modos de interação (polling vs. interrupção).

4. Resultados Experimentais

O framework foi avaliado em uma variedade de cargas de trabalho embarcadas, incluindo firmwares bare-metal (drone e robô) e aplicações do sistema operacional Zephyr (passthrough UART e consumidor CAN).

• Detecção de Bugs:
  • O sistema detectou com sucesso vulnerabilidades injetadas (leitura fora dos limites, acesso inválido à memória, divisão por zero).
  • Descoberta de Bugs Desconhecidos: O framework encontrou bugs reais não documentados em firmwares de drones, robôs e no driver CAN do Zephyr (ex: um driver que descartava incorretamente frames longos, causando travamento).
• Comparação com o Estado da Arte (Fuzzware e P2IM):
  • Falsos Positivos: O framework proposto eliminou completamente os falsos positivos. Em contraste, ferramentas stateless (sem estado) relataram centenas de crashes que eram artefatos da simulação imprecisa (ex: interrupções disparadas sem pré-condições de hardware).
  • Cobertura de Código: A cobertura alcançada foi comparável ou superior à das ferramentas concorrentes em cenários complexos (ex: 60% maior cobertura em testes UART onde as ferramentas concorrentes falharam em emular transferências de dados).
  • Desempenho: A simulação de sistema completo é aproximadamente 2 vezes mais lenta que a execução em modo de usuário. No entanto, os autores argumentam que a precisão e a redução de ruído (falsos positivos) justificam essa penalidade de velocidade para testes pré-silício.

5. Significado e Conclusão

Este trabalho preenche uma lacuna crítica entre o fuzzing automatizado e a simulação de sistema completo. Ao permitir o teste de firmwares embarcados em condições de hardware realistas sem necessidade de instrumentação de código, a abordagem oferece:

1. Maior Confiabilidade: A eliminação de falsos positivos economiza tempo de engenharia na triagem de bugs.
2. Validação Pré-Silício: Permite a descoberta de bugs de lógica e segurança em drivers e sistemas operacionais antes que o hardware físico esteja disponível.
3. Escalabilidade: A capacidade de testar software de código fechado e sistemas complexos sem modificações manuais.

Em suma, a proposta demonstra que a fidelidade na simulação de periféricos é essencial para o fuzzing embarcado eficaz, superando as limitações das abordagens puramente baseadas em análise de código ou simulação simplificada.