《Microprocessors and Microsystems》：Mapping and detecting exploitable voltage glitches using clock traces and neural networks
编辑推荐：
电压故障注入（Voltage Fault Injection, VFI）是一种硬件级别的利用技术，通过向设备电源引入精确时序的扰动以诱导计算故障。这些故意注入的故障可绕过关键安全机制或泄露敏感信息。传统的硬件防护措施，包括电源滤波电路和电压监控器，往往依赖静态
电压故障注入（Voltage Fault Injection, VFI）是一种硬件级别的利用技术，通过向设备电源引入精确时序的扰动以诱导计算故障。这些故意注入的故障可绕过关键安全机制或泄露敏感信息。传统的硬件防护措施，包括电源滤波电路和电压监控器，往往依赖静态检测阈值，可能被能够产生过于短暂以致固定触发电路无法检测的扰动的先进毛刺工具所规避。本文提出了一种基于卷积神经网络（Convolutional Neural Network, CNN）的电压毛刺攻击自适应检测框架。该方法建立在以下原理之上：系统时钟信号（ governning processor timing）比受损的电源轨提供对毛刺诱导扰动更为敏感且持久的指示。研究人员进行了全面的VFI评估，针对在STM32F410微控制器上执行的AES-128加密例程，表征了广泛的毛刺参数范围。利用支持向量机（Support Vector Machine, SVM） delineate 毛刺参数空间中的可利用区域，从而避免依赖任意估计来界定可利用行为。得到的可利用参数范围在数据集中被标注为可利用与安全执行，进而用于训练CNN。所得模型为CNN分类器，能够准确检测可利用毛刺传播，达到98.6%的准确率。结果表明，该方法非常适用于自适应且弹性的硬件安全原语，并可有效缓解下一代毛刺攻击。
本文发表于《Microprocessors and Microsystems》，研究背景源于嵌入式系统硬件实现层面的可利用性问题。此类系统在设计时被要求在预定条件下可靠运行，但这种可预测性在遭遇对抗性应力时可能被破坏。1997年，Boneh、DeMillo和Lipton通过Bellcore攻击首次从密码学角度证明了这一点，表明RSA执行过程中的计算故障可能暴露私钥。随后，Biham和Shamir将故障分析领域系统化为差分故障分析（Differential Fault Analysis, DFA），这一强大技术被应用于DES等对称密码算法。随着现代算法的采用，其脆弱性得到确认，特别是Dusart等人（2003年）发表的成果表明高级加密标准（Advanced Encryption Standard, AES）实现仍然易受DFA攻击。这些工作确立了利用硬件故障能力所带来的严重威胁。
为表征这些脆弱性，研究人员在受控实验室环境中采用多种技术故意对目标系统施加应力或注入故障。在AES的具体背景下，注入故障通常被建模为算法状态矩阵中字节级别的随机或定向修改。文献中已探索的物理注入方法范围包括：时钟故障、电压故障注入（VFI）、电磁故障注入（Electromagnetic Fault Injection, EMFI）和激光故障注入。每种技术均旨在诱导可被利用于密码分析的故障，在此场景下即通过修改状态矩阵中的一个或多个字节来获取信息。
电压故障注入（VFI）已成为最易获取且最有效的物理攻击向量之一。其原理利用设备对稳定供电电压（V
CC）的固依赖性，寻找能在不触发系统复位的情况下诱导瞬态故障的扰动。精心构造的毛刺可诱导时序违规、错误逻辑评估或目标电路中的跳过操作。针对VFI的主要对策传统上为基于硬件的防护，采用片上电压监控器和带固定检测阈值的外部电源滤波器。然而，这些静态防御存在根本局限性。先进的毛刺工具可移除这些防护，或生成参数精心调谐以保持在阈值以下但仍能造成可利用故障的扰动。这归因于传统电压调节器和监控器依赖固定检测阈值，而先进毛刺注入器可通过生成过于短暂的扰动来规避响应。作为替代方案，这些细微的电压扰动往往在系统时钟波形中诱导出持久、可测量的畸变，这些畸变持续至稳定运行恢复为止。这一物理特征构成了更具适应性检测策略的基础。通过将特定毛刺参数与其对时钟的影响相关联，卷积神经网络（CNN）可在包含可利用和良性信号模式的标注数据集上进行训练，直接从波形形态学角度对异常进行分类。
近期，人工智能（Artificial Intelligence, AI）和机器学习（Machine Learning, ML）的进展正在革命性改变众多领域，包括硬件安全。AI驱动方法产生重大影响的其中一个关键领域是辅助故障注入攻击（Fault Injection Attacks, FIAs）和智能对策的开发。AI特别适合导航故障攻击固有的复杂多维搜索空间。进化算法在自动化嵌入密码系统中大型高维故障参数空间的搜索方面开创了强大能力。鉴于ML寻找关键故障参数的成熟能力，研究人员自然将这些技术扩展到对策的防御领域。
在相关对策研究方面，Shrivastwa等人的研究提出了一种基于AI驱动数字传感器的系统，用于检测故障注入攻击。该系统使用朴素贝叶斯分类器动态调整传感器阈值以检测EMFI和时钟毛刺等威胁，采用两阶段检测过程：第一阶段检测攻击发生，第二阶段分类攻击类型。在时钟信号分析方面扩展AI应用，Gambra等人证明了CNN可训练于直接利用设备时钟波形以区分正常运行和故障诱导扰动，将时钟信号视为正确行为的主要症状性输出。
本文在上述CNN基时钟监控方法基础上沿两个关键维度进行了显著扩展。第一，通过在不同AES加密方案（Fast AES，先前工作测试的为Tiny AES）和更广泛毛刺参数范围上评估检测性能，拓宽了对抗场景，确保了对多样攻击配置的鲁棒性。第二，通过引入基于实现故障建立准则的SVM，精化了先前的可利用性表征。除性能考量外，商业产品中的实际部署受开销和延迟要求约束，识别能够支持此类嵌入式ML解决方案的合适目标平台亦非易事。尽管该方面超出本文范围，但其仍为未来研究的重要方向，特别是作为嵌入式系统中补充安全层的轻量级设备端监控。
研究人员的具体贡献如下：首先，呈现了在STM32F410RB微控制器上Fast AES实现的新评估。每次执行记录加密输出和内部时钟信号，以证明该方法在更面积优化密码变体上的可移植性和有效性。其次，采用训练于故障注入裁决的SVM，准确且非任意地表征诱导故障的关键参数范围，提供了比标准毛刺功率近似更原理性的安全阈值。第三，开发了利用SVM定义标签判定时钟迹线是否指示可利用毛刺传播的二分类模型，提供了在灵敏度和假阳性规避之间具有更优权衡的直接故障检测工具，并伴随轻微准确率提升。
本研究所用关键技术方法包括以下方面。样本来源方面，故障注入活动基于在16 MHz时钟下的Cortex-M4 STM32F410RB开发板上运行的128位AES-128 ECB软件实现，使用商业Riscure Inspector FI站进行故障注入。为增强目标设备电压敏感性和实现可靠故障注入，研究人员移除了关键板上电源调节组件，包括去耦电容、内部电压调节器电容和复位引脚电容，将内部电压调节器（VCAP）引脚隔离，转化为专用的局部化电压扰动入口点。目标执行修改后的Fast AES加密算法，修改内容为一个通用引脚（TRIG）的触发信号，标记被攻击的第8轮AES轮的开始，为注入毛刺提供时序参考。
在参数空间表征方面，电压毛刺由三个参数定义：注入时序（相对于第8轮开始的延迟，范围0至10μs，步进0.2μs）、电压幅度（从标称1.3V到0V下至?1.3V，步进0.05V）和持续时间（0至160ns，步进4ns）。每个唯一参数组合映射到观察到的系统响应，分类为NORMAL执行、SUCCESS故障情况和RESET事件。共执行56,457次故障注入，其中85.78%为NORMAL执行，2.89%为SUCCESS情况，11.00%为RESET事件。
在SVM标签定义方面，为训练区分安全与可利用行为的分类器，采用数据驱动的标注方法。SVM用于分析电压-持续时间参数空间中的实验点，识别故障与正常执行区域之间的分离边界。为优先保障安全性，决策阈值选择使故障类别的召回率维持在1.0，即每个实验观察到的故障均被标注为可利用，即使以引入有限假阳性为代价，避免将可利用毛刺错误分类为安全的假阴性。
在CNN分类框架方面，采用CNN预测从SVM分析衍生的二元标签，将原始时钟迹线直接映射至指示扰动是否安全或可利用的安全裁决。输入迹线缩减为包含约5个时钟周期的聚焦时序窗口，对应每次注入毛刺的延迟，具有200个样本。通过穷举网格搜索识别最优网络配置，搜索空间包括卷积层数、滤波器数量、核大小和丢弃率等关键架构超参数。最优模型配置为：32个卷积滤波器、核大小5、池化大小2、1个卷积层、1个密度层含64个单元、丢弃率0.2、ReLU激活函数、学习率10
?3。训练100个周期，批次大小32，采用MSE损失函数。
研究结果部分，表征了系统对毛刺的响应分布。低毛刺电压和延长毛刺持续时间的组合经常导致系统复位，对应高毛刺功率（电压偏差与持续时间的乘积）；NORMAL行为主要发生在电压偏差接近0V处；SUCCESS裁决指示有效故障注入，集中于扰动足以破坏执行而不强制复位的中间区域。这些边界条件定义了故障最可能发生的操作区域，代表故障检测器寻求识别的特征性特征。最短诱导故障的毛刺持续时间为20ns，最小导致故障行为的电压偏差为?0.35V（绝对电压0.95V）。CNN分类器在10次独立运行中，平均测试准确率达到98.67%（标准差0.09%），精确率98.86%（标准差0.22%），召回率98.88%（标准差0.29%），F1分数98.87%（标准差0.08%）。误分类主要集中于SVM决策边界附近，表明误差发生在固有标签模糊区域而非随机分布于参数空间。
讨论与结论部分，研究人员总结了本工作的核心贡献。所提出的数据驱动方法通过分析设备内部时钟信号检测故障注入攻击，引入了两阶段框架：首先使用SVM在毛刺参数空间中定义保守决策边界，确保所有观察到的故障情况包含在可利用区域内；其次训练CNN从原始时钟迹线执行二元分类。主要创新在于避免了传统毛刺功率度量作为简化标量抽象的局限性——该假设认为相同集成能量的毛刺同等有效，而实际上系统响应关键依赖于扰动的精确形状和时序。通过实验数据与SVM基可利用区域界定，故障边界直接从观察到的设备行为导出，而非预定义标量阈值。该数据驱动公式避免了简化标量度量的依赖，通过端到端学习捕捉系统对注入故障响应的完整复杂性。CNN在独立运行中达到98.67%的平均准确率，训练行为稳定。未来工作包括轻量级CNN基片上监控器的实际部署，评估硬件开销、延迟和受限嵌入式平台或FPGA实现中的压缩技术；扩展框架至多扰动源（如EMFI和时钟毛刺）的基于异常检测，以及攻击者试图利用学习决策边界规避分类器同时仍诱导可利用故障的对抗场景。
