Replicating the Signature: Unsupervised Targeted Impersonation Attack on RF Fingerprinting

Resumo Técnico: Replicando a Assinatura: Ataque de Impersonação Direcionada Não Supervisionada em Fingerprinting de RF

Definição do Problema
O Fingerprinting de Radiofrequência (RFFP) baseado em Aprendizado Profundo (DL) emergiu como um método robusto para autenticação de dispositivos na camada física, aproveitando impedimentos de hardware únicos (ex: Desvio de Frequência de Portadora, desequilíbrio de I/Q, não linearidades do amplificador de potência) incorporados nos sinais transmitidos. No entanto, a robustez desses sistemas contra ataques de impersonação ativos permanece subexplorada. Os modelos de ataque existentes frequentemente dependem de suposições irreais, como acesso total ao classificador da vítima (White-Box), injeção direta de sinal contornando canais sem fio ou dependência de reprodução de sinais capturados que inevitavelmente imprimem as próprias distorções de hardware do atacante. Além disso, muitas abordagens anteriores comprometem a confiabilidade da comunicação (aumentando a Taxa de Erro de Bit) ou exigem conhecimento de sequências de carga útil (payload) específicas usadas para o fingerprinting, limitando sua aplicabilidade prática em cenários reais de "Sem Acesso" (No-Access), onde o atacante utiliza hardware independente e não possui conhecimento do modelo da vítima.

Metodologia
Os autores propõem um novo framework de impersonação não supervisionado projetado para operar sob um modelo de ameaça de "Sem Acesso", onde o atacante não possui nem o hardware do receptor da vítima nem seu modelo de classificação. O framework consiste em duas variantes principais:

1. Framework HWE (Estimativa de Hardware):

   • Estimativa de Impedimento Não Supervisionada: A inovação central é uma abordagem de aprendizado não supervisionado para estimar o vetor de impedimento de hardware ($\Theta$) do dispositivo alvo sem rótulos de verdade fundamental (ground-truth). Isso utiliza uma arquitetura Encoder-Decoder onde uma rede neural treinável (HWE) extrai o vetor de impedimento da fase de um sinal capturado, e uma função de modulação não treinável ($Mod$) reconstrói o sinal. O sistema é treinado para minimizar a perda de reconstrução entre o sinal capturado original e o sinal regenerado usando os impedimentos estimados e a sequência de bits demodulada.
   • Síntese de Sinal: Uma vez que os impedimentos do alvo ($\hat{\Theta}_T$) são estimados, o atacante usa uma função de modulação para incorporar esses impedimentos em uma sequência de bits de carga útil maliciosa controlável, sintetizando um sinal adversarial de alta fidelidade ($x_A[n]$) que mimetiza a assinatura de RF do dispositivo alvo.

2. HWE+ (Refinamento Baseado em Gradiente):

   • Para aumentar ainda mais as taxas de sucesso, o HWE+ introduz um estágio de refinamento iterativo. Como o atacante não tem acesso ao classificador da vítima ($CL_{SV}$), ele treina um classificador substituto local ($CL_{SA}$) em seu próprio hardware.
   • Usando o Gradiente Descendente Projetado (PGD), o atacante adiciona iterativamente pequenas perturbações limitadas ($\delta$) ao sinal sintetizado para maximizar a probabilidade de o classificador substituto identificar incorretamente o sinal como sendo o dispositivo alvo, garantindo que a perturbação permaneça dentro de um orçamento válido ($\epsilon$) para manter a confiabilidade da comunicação.

Principais Contribuições

• Geração de Sinal Impulsionada por Impedimentos: O artigo introduz o primeiro framework capaz de gerar sinais de impersonação com cargas úteis controláveis sob modelos de alvo e condições de sistema desconhecidos, estimando e aplicando explicitamente impedimentos de hardware sem conhecimento prévio do classificador da vítima.
• Robustez sob Mudança de Domínio (Domain Shift): O framework demonstra generalização através de diferentes domínios (receptores, canais, links com fio/sem fio) e robustez contra variações de representações de dados, abordando o desafio da adaptação de domínio em RFFP.
• Avaliação de Modelo de Ameaça Realista: Diferente de trabalhos anteriores que dependem de Acesso Total ou injeção direta, este trabalho valida o ataque sob um modelo de "Sem Acesso" realista utilizando transmissões Over-the-Air (OTA) tanto em cenários de Linha de Visada (LoS) quanto de Não Linha de Visada (NLoS).
• Lançamento de Dataset: Os autores liberam um dataset abrangente de Bluetooth Low Energy (BLE) RFFP coletado de 31 dispositivos IoT através de vários ambientes, receptores e canais para facilitar pesquisas futuras em generalização de domínio e ataques.

Resultados Experimentais
Experimentos extensivos foram conduzidos em um testbed de BLE envolvendo 31 dispositivos IoT Seeed Studio XIAO e transceptores Ettus USRP B210.

• Taxas de Sucesso de Ataque: Os frameworks propostos HWE e HWE+ alcançaram uma Taxa de Sucesso de Ataque Direcionado (TASR) superior a 97% consistentemente através dos modelos de Acesso Total, Acesso Limitado e Sem Acesso. Isso superou significativamente as linhas de base existentes (PGD, CDIA), que falharam ou alcançaram baixas taxas de sucesso sob o modelo Sem Acesso.
• Escalabilidade: O ataque permaneceu eficaz conforme o número de dispositivos registrados aumentava (até 31 dispositivos), embora a TASR tenha declinado naturalmente conforme a confusão de classes aumentava.
• Robustez a Representações: O ataque foi eficaz contra várias representações de características de entrada (RawIQ, Phase Derivative, DoLoS, CLPS, Mbed). Embora as características de Derivada de Fase (PD) tenham oferecido a maior robustez de defesa, o ataque proposto ainda manteve taxas de sucesso significativas.
• Desempenho OTA: Sob condições OTA, incluindo NLoS e distâncias variadas (1.5m a 7m), o ataque permaneceu altamente eficaz. A calibração das distorções induzidas por OTA melhorou a TASR em até 20%, aproximando o desempenho dos resultados de Injeção Direta.
• Generalização: O ataque transferiu-se com sucesso para arquiteturas de vítimas não vistas (Transformers, RNNs, vários CNNs) e sequências de treinamento não vistas (onde a vítima usou sequências internas ocultas para identificação), demonstrando alta transferibilidade.

Significância e Alegações
O artigo afirma revelar uma vulnerabilidade fundamental nos atuais sistemas de RFFP baseados em DL. Ao demonstrar que a estimativa precisa de impedimento de hardware pode ser alcançada via aprendizado não supervisionado e usada para sintetizar sinais adversariais fisicamente consistentes sem conhecimento do modelo da vítima, os autores argumentam que as defesas atuais de RFFP são insuficientes contra ataques de impersonação baseados em hardware realistas. O trabalho destaca a necessidade crítica de mecanismos de defesa mais robustos e resilientes que considerem a transferibilidade de assinaturas de hardware através de diferentes domínios e a viabilidade da replicação de impedimento não supervisionada. Os autores enfatizam que sua abordagem não depende de suposições irreais, tornando a ameaça identificada uma preocupação urgente para a implementação de RFFP em aplicações de segurança do mundo real.