硬件木馬威脅與識別技術(shù)綜述
相關(guān)鏈接： 中國安全網(wǎng) 中國質(zhì)量網(wǎng) 中國論文網(wǎng) 中國資訊網(wǎng)
周昱1，2，于宗光1，3
(1．中國電子科技集團公司第五十八研究所，江蘇無錫214072；2．中國電子科學研究院北京100041；3．西安電子科技大學微電子學院，陜西西安710071)
摘要：軟件木馬曾被認為是計算機系統(tǒng)的唯一安全威脅，計算機系統(tǒng)內(nèi)的硬件即集成電路
被普遍認為是安全可信的。但隨著硬件木馬這一針對集成電路及其應(yīng)用的新的安全威脅的出現(xiàn)，打破了硬件安全可信的傳統(tǒng)觀點。硬件木馬是集成電路在設(shè)計與制造過程中遭到人為惡意篡改而形成的影響電路功能、性能等參數(shù)的各種邏輯后門與漏洞。硬件木馬的攻擊模型有很多種，有的會改變電路的邏輯功能；有的會泄露電路內(nèi)部的機密信息；還有的既不改變電路的功能，也不泄露電路內(nèi)的機密信息，但能協(xié)助軟件木馬來攻擊整個系統(tǒng)。隨著集成電路設(shè)計的日益復雜，制造成本日趨高昂，集成電路產(chǎn)業(yè)正朝著全球合作的方向發(fā)展，集成電路在其產(chǎn)業(yè)鏈各環(huán)節(jié)受到硬件木馬攻擊的威脅將會越來越大，因此發(fā)展硬件木馬的識別技術(shù)來保證集成電路的安全性已迫在眉睫。文章主要分析硬件木馬造成的威脅，包括各種攻擊模型及其分類，介紹當前硬件木馬識別技術(shù)的最新研究進展，闡述未來該領(lǐng)域的研究熱點。
關(guān)鍵詞：硬件木馬；IP安全性驗證；旁路分析；邏輯測試；光學分析
中圖分類號：TP309文章編號：1671-1122( 2016) 01-0011-070引言
集成電路是所有信息化設(shè)備不可或缺的核心部件，不僅在民用領(lǐng)域有廣泛的應(yīng)用，在國防和國家安全領(lǐng)域更是起著舉足輕重的作用。隨著集成電路設(shè)計的日益復雜，制造成本日趨高昂，集成電路產(chǎn)業(yè)正朝著全球合作的趨勢發(fā)展。因此集成電路在研發(fā)過程中，不可避免地會涉及到第三方IP/設(shè)計服務(wù)、本土以外的晶圓制造以及封裝測試，在這些環(huán)節(jié)中，集成電路很可能受到反向分析，并被人為惡意修改，造成集成電路在功能、性能上可能存在潛在的漏洞（也被稱為硬件木馬）。美國國防部、美國參議院、美國半導體設(shè)備與材料學會等相關(guān)部門都曾發(fā)布白皮書或研究報告，表示對集成電路的安全性和可靠性的擔憂。“斯諾登棱鏡門伊朗震網(wǎng)”等熱點事件表明，硬件木馬可以作為一種武器來進行信息戰(zhàn)、網(wǎng)絡(luò)戰(zhàn)，甚至物理摧毀軍事裝備與關(guān)鍵設(shè)施，嚴重威脅國家安全。
1硬件木馬的攻擊機理和分類
1.1攻擊機理
硬件木馬的種類有很多。有些硬件木馬會改變電路的功能，進而影響電路的正常工作，在一些關(guān)鍵的應(yīng)用場合如空間衛(wèi)星、火箭、導彈、飛機以及核設(shè)施等，可能會造成災難性的后果。有些硬件木馬通過內(nèi)置后門，在數(shù)據(jù)傳輸?shù)倪^程中泄露機密信息。還有些硬件木馬本身不對電路的工作產(chǎn)生任何影響，也不泄露機密信息，但其為軟件木馬提供后門，協(xié)助軟件木馬對系統(tǒng)進行攻擊。
1)改變電路功能
圖1為硬件木馬改變電路功能的實例。在一個CPU內(nèi)核流水線架構(gòu)中，當硬件木馬中的計數(shù)器達到飽和狀態(tài)，即所有比特位全部為邏輯1時，該硬件木馬會將輸入的數(shù)據(jù)進行取反操作，數(shù)據(jù)由A變成A的相反數(shù)A*，從而改變了數(shù)據(jù)值，改變了CPU執(zhí)行指令進行數(shù)據(jù)運算的值，嚴重危害到使用該CPU的系統(tǒng)的安全性。例如，在火箭發(fā)射過程中，一旦存在類似的情形，很有可能造成發(fā)射失敗的嚴重后果。
2)泄露電路內(nèi)部機密信息
圖2為泄露電路內(nèi)部機密信息型的硬件木馬實例。在 一個CPU內(nèi)核流水線架構(gòu)中，內(nèi)部寄存器內(nèi)的機密信息不僅供譯碼和執(zhí)行器使用，還存在一條人為惡意添加的隱匿路徑將寄存器與輸出端口相連，當內(nèi)部的時序邏輯木馬達到一個觸發(fā)狀態(tài)時，輸出端口處的二選一多路選擇器會選擇將寄存器的信息輸出，從而造成電路內(nèi)部機密信息的泄露。當前很多民用的加解密芯片都采用類似的架構(gòu)，一旦內(nèi)部被植入此類的硬件木馬，很有可能造成芯片內(nèi)的密鑰信息被泄露。
3)協(xié)助軟件木馬控制系統(tǒng)
圖3是協(xié)助軟件木馬控制系統(tǒng)的示意圖。在一個CPU內(nèi)核中存在兩命指令執(zhí)行器，一個執(zhí)行正常指令，另一個執(zhí)行特殊指令，作為用戶只知道執(zhí)行正常指令的執(zhí)行器的存在。萬一攻擊者想要對系統(tǒng)進行控制攻擊，只需要遠程輸入特殊指令，則隱藏在CPU內(nèi)核中的硬件木馬會為執(zhí)行特殊指令的執(zhí)行器2打開路徑，這樣用戶便無法再對CPU進行任何操作，只有知道特殊指令的攻擊者才能夠控制操作系統(tǒng)。
4)物理摧毀
圖4是利用硬件木馬實現(xiàn)對集成電路物理性摧毀的實例。在集成電路的電源網(wǎng)絡(luò)中，電源VDD和接地VSS之間被植入開關(guān)晶體管，控制這個晶體管開關(guān)的控制信號來自一個計數(shù)器。當計數(shù)器沒有達到飽和狀態(tài)，即輸出為0時，此開關(guān)晶體管關(guān)閉；當計數(shù)器達到飽和狀態(tài)，即所有比特位全部為邏輯l時，該硬件木馬會將這個連接VDD與VSS的晶體管打開，從而造成電源與地的短路，進而燒毀整個電路的供電網(wǎng)絡(luò)，使得電路完全報廢。攻擊者可以通過巧妙設(shè)置該計數(shù)器的飽和時間點，使得該集成電路在考核、測試階段都不會觸發(fā)此硬件木馬，只有當電路裝備后，用于工作中時才會觸發(fā)，從而造成極大的危害。
1.2分類
硬件木馬的分類方式有很多：按照電路類型可以分為數(shù)字電路型硬件木馬、模擬電路型硬件木馬和數(shù)�；旌闲陀布抉R；按照邏輯類型可以分為時序邏輯型硬件木馬、組合邏輯型硬件木馬以及混合邏輯型硬件木馬；按照對電路的危害可以分為功能型硬件木馬和參數(shù)型硬件木馬。但上述分類方法都存在一定的局限性，無法將所有的硬件木馬類型都包含在內(nèi)。圖5提供了一個更高層次上根據(jù)不同屬性對硬件木馬的分類，這些屬性分別是植入階段、抽象層次、激活機理、危害性和木馬位置，通過這5個屬性來描述硬件木馬。通過基于對硬件木馬定義的這5個屬性的分類方法，能夠?qū)τ布抉R分類建立模型，使硬件木馬的類別與模型一一對應(yīng)，并進行相關(guān)的研究。
2硬件木馬的識別技術(shù)
硬件木馬識別、檢測理論與技術(shù)在國外已經(jīng)成為非常熱門的研究領(lǐng)域，且有較多的研究成果。對硬件木馬的檢測可以分為流片前檢測和流片后檢測兩個大類。流片前的檢測主要是在芯片進行制造之前對設(shè)計中使用到的不可控的第三方IP/設(shè)計服務(wù)進行安全性驗證。流片后的檢測目前可以分為四類，分別是破壞性檢測、旁路分析檢測、邏輯測試檢測以及光學分析檢測。圖6是對當前硬件木馬檢測技術(shù)的分類。
2.1 l P安全性驗證
當今的S o C芯片不僅規(guī)模大而且設(shè)計復雜度高，且集成了多種不同功能的l P。這些IP 一般都來自于不同的供應(yīng)商，很難保證這些IP安全可信且內(nèi)部不含有硬件木馬。IP中硬件木馬的植入可以通過特殊的標準單元或者內(nèi)部的CAD工具等多種方式實現(xiàn)。目前尚沒有一個完整、成熟的解決方案可以應(yīng)對IP的安全性驗證，針對IP的安全性驗證與測試方法還是通過功能測試與結(jié)構(gòu)測試完成。功能測試通過輸入各種功能測試向量來觀察IP的輸出是否正常，如果能夠獲得保證安全可信的l P黃金模型，則可以將IP的輸出結(jié)果與黃金模型的輸出進行比較，從而判斷是否有硬件木馬，但是黃金模型往往極難獲得。介紹了一種驗證方法：首先，通過功能測試向量將一些功能驗證覆蓋到的節(jié)點排除；其次，通過ATPG工具使電路到達一些功能上不可能到達的狀態(tài)，從而再繼續(xù)排除一部分電路節(jié)點，得到疑似問題節(jié)點；最后，通過激活疑似問題節(jié)點，將此電路與用戶根據(jù)規(guī)范設(shè)計的類似電路模型進行功能上的對比，判斷IP內(nèi)部是否含有硬件木馬。
2.2破壞性檢測
破壞性檢測是將待測芯片去外殼，然后使用掃描電鏡等設(shè)備對電路逐層進行拍照，然后與原始版圖作對比，從而判斷芯片中有無硬件木馬。此方法雖然最為直觀，但只適用于規(guī)模較小的電路。因為隨著電路規(guī)模的增大，其難度與耗費時間也會顯著增加，且針對一批芯片中只有少數(shù)幾顆芯片含有硬件木馬的情況，這種破壞性檢測方法有可能漏檢。因此，此方法更多是作為一種輔助手段，在用其他某些檢測方法確定待測芯片含有硬件木馬后，再通過此方法來確定待測芯片中的硬件木馬的形態(tài)與結(jié)構(gòu)，便于未來分析。
2.3旁路分析
旁路分析即利用芯片工作時的旁路信息（如電磁輻射、電流或者電路延時等信息）來對木馬進行檢測。其原理是電路中植入的硬件木馬會對芯片的一些旁路信號，如電流、頻率或路徑延時產(chǎn)生影響，因此通過觀察芯片的旁路信號并與原始芯片的旁路信息作比較，進而檢測出芯片中是否有硬件木馬的存在。對電路進行基于旁路分析的硬件木馬檢測的最大優(yōu)點是可以使硬件木馬在不被觸發(fā)的情形下被檢測出來。但是該方法也有明顯的缺點，即當待測電路的總體規(guī)模很大，電路內(nèi)部被植入硬件木馬規(guī)模很小時，一些旁路信息，如電流和路徑延時，其變化幅度極小�？紤]到測量過程中引入的噪聲，以及芯片制造過程中由于工藝漂移帶來的噪聲，這種極小的旁路信號變化將無法被實際測量出來，或者即使被測量出來，也難以確定是由于硬件木馬引起的，還是由于測量噪聲、工藝漂移噪聲引起的。圖7即為工藝漂移對電路的電流以及頻率的影響示意圖。
為了克服基于旁路分析的檢測技術(shù)中較大工藝漂移的影響，人們想了很多信號處理方法來過濾各種噪聲。提出了一種基于概率統(tǒng)計的Karhunen- Loeve展開方法將噪聲與木馬產(chǎn)生的瞬電流區(qū)分出來，如圖8所示。由于電路的最大工作頻率與平均瞬時態(tài)電流之間存在關(guān)系，提出了一種多參數(shù)檢測硬件木馬的方法，即通過平均動態(tài)電流與最大頻率之間的關(guān)系來判斷電路內(nèi)部是否含有硬件木馬，如圖9所示。先獲得不含有硬件木馬電路的頻率與動態(tài)電流曲線關(guān)系，并作為基準曲線；然后對待測芯片進行相同的測試，獲得頻率與動態(tài)電流曲線；再與基準曲線進行比較，判斷曲線之間是否存在超出閾值范圍的偏差。由于電路在工作時除了產(chǎn)生動態(tài)電流以外，還有靜態(tài)電流產(chǎn)生，且隨著工藝角的變小，靜態(tài)電流在總電流中所占的比重越來越大，當電路內(nèi)部的硬件木馬規(guī)模達到一定的比例后，硬件木馬即使不處于工作狀態(tài)，其產(chǎn)生的靜態(tài)電流也相當可觀。介紹了三種利用電路的靜態(tài)電流來檢測電路內(nèi)部是否含有硬件木馬的方法。由于在電路內(nèi)部植入硬件木馬后，電路的邏輯路徑會發(fā)生改變，因此有可能會使得某些路徑的邏輯延遲發(fā)生變化，介紹了兩種通過測量邏輯路徑的延時來判斷電路內(nèi)部有無硬件木馬的方法。
2.4邏輯測試
基于旁路分析的硬件木馬檢測技術(shù)的主要優(yōu)點是能夠檢測規(guī)模較大的硬件木馬電路，且測試向量比較容易產(chǎn)生。但其缺點也比較明顯，受工藝漂移的影響較大，并且對于電路規(guī)模較小的硬件木馬較難檢測出來。為了克服上述缺點，基于邏輯測試的硬件木馬檢測技術(shù)也被較多地進行研究�；谶壿嫓y試的檢測技術(shù)其主要優(yōu)點是不受工藝漂移的影響，并且能夠有效地檢測電路規(guī)模較小的硬件木馬。其主要缺點是不適于檢測較大規(guī)模電路的硬件木馬。
邏輯測試技術(shù)類似于電路的功能測試以及DFT測試，如圖10所示。通過在電路的輸入端施加各種測試向量，并觀察電路的輸出是否和預期的輸出一致，從而判斷電路內(nèi)部是否被植入硬件木馬。圖10中的硬件木馬的觸發(fā)輸入來自原始電路，且原始電路的輸出也連接到硬件木馬的有效載荷電路中，當該硬件木馬觸發(fā)時，該電路的輸出即與原始輸出有不同。
硬件木馬之所以難被檢測的一個重要原因就是隨著電路設(shè)計復雜度的提高，電路內(nèi)部的節(jié)點數(shù)量越來越多，由這些電路節(jié)點通過各種組合形成的可能的硬件木馬觸發(fā)開關(guān)將是一個天文數(shù)字，現(xiàn)實中根本無法通過窮舉法來測試所有可能，無法達到100%的測試覆蓋率，以致一些很難觸發(fā)的情況在驗證及測試環(huán)境中被遺漏，從而造成潛在的威脅。當前基于邏輯測試的硬件木馬檢測方法大都基于概率統(tǒng)計理論。介紹了一種基于概率統(tǒng)計的邏輯測試方法，通過產(chǎn)生特殊的測試向量來盡可能提高電路內(nèi)部節(jié)點的測試覆蓋率。該方法首先將電路內(nèi)部翻轉(zhuǎn)概率較低的電路節(jié)點找出，然后生成多組特殊的測試向量，從而使每一個翻轉(zhuǎn)概率極低的電路內(nèi)部節(jié)點翻轉(zhuǎn)多次，通過提高這些低翻轉(zhuǎn)概率節(jié)點翻轉(zhuǎn)的次數(shù)，觸發(fā)隱藏在電路內(nèi)部的硬件木馬。
前面已經(jīng)介紹過，邏輯測試無法達到100%覆蓋的原因是隨著電路規(guī)模的增大，電路內(nèi)部節(jié)點的數(shù)量呈指數(shù)級增長，實際情況下無法保證每個節(jié)點在0、1翻轉(zhuǎn)的條件都能覆蓋到。為了克服這種局限，介紹了一種在電路內(nèi)部插入虛擬掃描觸發(fā)器，從而控制電路節(jié)點翻轉(zhuǎn)的方法。該方法根據(jù)想要控制的節(jié)點變0或者變1的需求，人為地改變節(jié)點的0、1翻轉(zhuǎn)，從而觸發(fā)一些邏輯驗證或者測試覆蓋不到的地方，提高硬件木馬被觸發(fā)的概率。圖11為一種“虛擬D觸發(fā)器一門”電路結(jié)構(gòu)。當一個電路節(jié)點0的概率遠遠小于1的概率的時候，在此電路節(jié)點處添加虛擬D觸發(fā)器加與門的結(jié)構(gòu)，讓設(shè)計人員用類似掃描的方式，人為設(shè)置此電路節(jié)點的值為0，觸發(fā)某些低概率事件，使隱藏在低概率事件中的硬件木馬被檢測出來。同理，當一個電路節(jié)點1的概率遠遠小于0的概率的時候，則在此電路節(jié)點處添加虛擬D觸發(fā)器加或門的結(jié)構(gòu)，設(shè)置電路節(jié)點的值為1，觸發(fā)低概率事件，進而檢測出木馬。
提出了一種利用內(nèi)建自測試(Built-in SelfTest，BIST)的方法，通過對電路輸入經(jīng)過外部可編程密鑰產(chǎn)生的特殊測試向量，經(jīng)過電路內(nèi)部的自測試邏輯后輸出一組特殊向量，然后將這個向量與預測向量進行比較。如果輸出向量與預測向量不一致，則認為電路被修改。由于密鑰和正確的預測向量無法被人獲知，攻擊者難以對電路進行篡改。
基于旁路分析和邏輯測試的硬件木馬檢測技術(shù)是當前研究最廣泛的兩種技術(shù)，優(yōu)缺點對比如表1所示。
2.5光學分析
集成電路在工作的時候會產(chǎn)生光、熱和電磁等輻射，通過特殊的光學儀器如近紅外顯微鏡進行掃描后，對應(yīng)于不同的輻射信息，能形成層次不同的輻射分布圖。介紹了一種非破壞性的基于光學分析的硬件木馬識別方法�；诰w管在上電或者邏輯翻轉(zhuǎn)時會發(fā)光的這一原理，通過探測芯片工作時的光輻射圖來判斷電路內(nèi)部是否含有硬件木馬。介紹一種非破壞性基于近紅外輻射的光學分析方法。首先對可信的版圖進行仿真，得到模擬的近紅外輻射仿真圖。然后通過近紅外照相機從測試芯片的背面對芯片的一個區(qū)域進行拍照，得到圖12a），與圖12b)進行對比，可以看出相對于仿真圖，照片中多了_一些未知亮點。對一些可信芯片中同樣的區(qū)域進行拍照，如圖12c）所示，卻未見相同亮點，由此可以懷疑測試芯片內(nèi)部可能存在硬件木馬。
基于光學分析的硬件木馬檢測方法的優(yōu)點是不需要進行復雜的電測試和邏輯測試，且檢測結(jié)果更為直觀。但是對于面積較大的電路檢測非常耗費時間，且對于規(guī)模較小的硬件木馬，該方法需要較高的檢測分辨率。但該方法仍值得繼續(xù)深入研究。
3結(jié)束語
隨著集成電路設(shè)計的復雜度和成本越來越高，集成電路的全球化合作越來越緊密。由于全球化合作中存在很多不受控制的環(huán)節(jié)，因此集成電路在設(shè)計、制造以及封裝等各個環(huán)節(jié)中被植入硬件木馬的可能性也越來越高。與軟件木馬相比，硬件木馬更復雜、更隱蔽、破壞性更大、檢測難度更大。硬件木馬主要通過改變電路功能、泄露電路內(nèi)部機密信息、協(xié)助軟件木馬控制系統(tǒng)等途徑實施攻擊，目前主要識別和檢測硬件木馬的方法有l(wèi) P安全性驗證、破壞性檢測、旁路分析檢測、邏輯測試以及光學分析檢測等。
針對當前硬件木馬檢測技術(shù)研究的現(xiàn)狀，以及未來可能出現(xiàn)的新的影響集成電路安全的潛在威脅，未來在硬件木馬領(lǐng)域的研究熱點有以下幾個方面：1）完善當前硬件木馬檢測技術(shù)，解決當前存在的如檢測效率較低、檢測復雜度高，檢測指標多樣等問題，實現(xiàn)技術(shù)的實用化；2）探索固件型硬件木馬的檢測方法與技術(shù)，從軟硬件結(jié)合的角度來實現(xiàn)對硬件木馬的識別；3）探索新的硬件木馬攻擊模型，以及在芯片設(shè)計、制造、封裝和測試等各個IC產(chǎn)業(yè)鏈環(huán)節(jié)上可能存在的尚未發(fā)現(xiàn)的硬件木馬攻擊模型。
