工业嵌入式设备取证分析的系统性固件提取技术

《Forensic Science International: Reports》：Systematic firmware extraction techniques for forensic analysis of industrial embedded devices

　　

摘要

嵌入式设备在许多关键领域的广泛普及使其成为攻击的主要目标，因此迫切需要一种以工业为重点的实用固件取证方法。该方法能够分析复杂的嵌入式系统，注重在需要时效性分析时的适应性和效率，面向广泛的技术受众。本文 1) 提出了一种以硬件为中心的嵌入式固件提取取证方法，2) 提供了一种通过工具分类学快速识别接口的方法，3) 为所提出的固件提取过程建立了可重复性标准。通过将数字取证与硬件逆向工程相结合，研究人员可以通过访问标准化的调试端口并直接与物理存储器芯片交互，高效提取并分析底层系统数据，以恢复取证证据。所述技术不仅涵盖非破坏性和破坏性方法，还强调了在记录提取过程以保持取证完整性方面的最佳实践。这些方法将使研究人员能够在不具备深厚硬件专业知识的情况下系统性地提取固件，为发现恶意活动和支持事件响应提供关键能力。

## 论文解读

### 研究背景、问题与意义

随着物联网（Internet of Things, IoT）在交通、制造、农业和医疗等关键领域的快速普及，嵌入式设备数量激增，其攻击面也随之扩大。截至2023年底，全球已有166亿台IoT设备，而网络犯罪成本预计到2025年将达到12万亿美元，其中很大一部分源于嵌入式设备中的漏洞。工业环境下的嵌入式设备（即工业物联网，Industrial Internet of Things, IIoT）面临独特的固件安全挑战：攻击者通过针对固件的攻击（如Stuxnet、Industroyer、Triton和Incontroller）可持久且隐蔽地破坏工业控制系统（Industrial Control Systems, ICS）。尽管已有语义学习或深度学习等防御方法，但这些方法均假设固件可供分析。然而，工业设备固件通常为闭源，且现有美国国家标准与技术研究院（National Institute of Standards and Technology, NIST）指南（如SP 800-86、SP 800-101 Rev. 1、SP 800-82 Rev. 3、NISTIR 8428）并未提供针对IIoT硬件的设备级固件提取工作流。此外，工业环境存在安全限制（禁止停机）、专有外壳、物理芯片加固、受监管的操作环境以及链式保管要求等特殊约束，而现有研究多针对消费级IoT设备，缺乏对工业约束、保管链要求和现代反取证对策的明确示例。因此，亟需一种系统化、可重复且符合取证标准的固件提取方法，以弥合数字取证与硬件逆向工程之间的差距，支持事件响应和恶意活动检测。本文发表在《Forensic Science International: Reports》上，提出了一套针对工业嵌入式设备的系统性固件提取方法论，填补了该领域实践资源的空白。

### 关键技术方法

研究人员采用以下关键技术方法：
1. **调试接口枚举与识别**：利用JTAGulator、JTAGenum、blueTag等JTAG枚举器识别联合测试行动组（Joint Test Action Group, JTAG）引脚映射，并通过逻辑分析仪（如Saleae Logic系列）和协议分析仪（如Beagle I2C/SPI协议分析仪）捕获并解码通用异步收发器（Universal Asynchronous Receiver-Transmitter, UART）、串行外设接口（Serial Peripheral Interface, SPI）、内部集成电路（Inter-Integrated Circuit, I2C）和串行线调试（Serial Wire Debug, SWD）信号。
2. **调试板桥接**：使用Bus Pirate、Tigard、Glasgow Interface Explorer等调试板建立被测设备（Device Under Test, DUT）与主控计算机之间的通信，并通过OpenOCD或UrJTAG等软件接口工具进行源级调试。
3. **直接芯片访问**：对闪存芯片（如小外形封装Small Outline Package, SOP或球栅阵列Ball Grid Array, BGA），通过焊接或拆除芯片后使用flashrom、i2c-tools等工具读取固件。
4. **非破坏性与破坏性提取**：优先采用非破坏性方法（如通过UART控制台、JTAG/SWD调试端口、SPI/I2C直接探测），当接口被锁定或加密时，最后采用电压/时钟故障注入、电磁故障注入（Electromagnetic Fault Injection, EMFI）、芯片开盖等破坏性方法。
样本队列来源：涵盖ARM、x86、MIPS、PowerPC架构的工业物联网生态系统中的典型设备（如网络路由器和IoT传感器），但因保密协议未公开具体制造商。

### 研究结果

**3. 关键组件识别与设备拆卸**
通过系统化拆卸过程，记录设备标识、外壳和印刷电路板（Printed Circuit Board, PCB）上的所有标记，识别微控制器、存储器芯片和闪存芯片等关键组件，并查阅数据手册。特别关注调试引脚、裸露焊盘以及射频/电磁干扰（Radio Frequency/Electromagnetic Interference, RF/EMI）屏蔽罩。非破坏性方法优先于破坏性方法（如BGA芯片移除）。

**4. 系统性接口描述与识别**
详细描述了UART、JTAG、SWD、SPI、I2C五种常见通信接口的物理特征、引脚配置和识别方法。例如：
- UART典型引脚为TX、RX、VCC、GND；通过万用表测量电压及逻辑分析仪观察信号变化可识别TX。
- JTAG为IEEE 1149.1标准，包含TCK、TMS、TDI、TDO及可选TRST；引脚常呈5针一排或2×10针布局，可通过JTAGulator暴力枚举。
- SWD为2线接口（SWDIO、SWCLK），常见于ARM架构。
- SPI采用4线（CIPO、COPI、SCK、CS），通过芯片数据手册识别引脚。
- I2C采用3线（SDA、SCL、GND），同样依赖数据手册。

**5. 固件提取工具分类学**
将硬件工具分为JTAG枚举器、逻辑与协议分析仪、调试板、替代/通用硬件（单板计算机如BeagleBone Black、Raspberry Pi、Arduino）及软件接口工具（OpenOCD、UrJTAG、flashrom、i2c-tools）五类，并比较其功能与适用协议。通过表1（原文Table 1）总结了各类工具的代表性产品、主要作用及常见接口。

**6. 固件提取方法**
给出了每种接口的详细提取步骤和命令行示例：
- **UART**：识别引脚后使用Tigard等调试板连接，通过串口控制台访问固件；特殊情况下可通过flash命令、网络传输或架构特定调试功能提取。
- **JTAG**：使用JTAGulator确定引脚，OpenOCD或UrJTAG连接，通过Telnet会话发送reset指令，然后读取闪存地址和内容。MIPS架构可通过EJTAG子系统扩展功能。
- **SWD**：通过Tigard连接SWD引脚，OpenOCD初始化调试访问端口（Debug Access Port, DAP）后，使用flash list和flash read_bank命令提取。
- **SPI**：直接连接或拆除芯片后，使用flashrom读取闪存。BGA芯片需移除并重新植球后使用专用读卡器。
- **I2C**：通过BeagleBone Black等单板计算机，使用i2cdetect定位外设地址，i2cdump提取数据。
此外，针对现代反取证机制（如读保护Readout Protection, RDP、代码读出保护Code Readout Protection, CRP、加密），讨论了实验室环境下的绕过方法（电压/时钟故障注入、EMFI、光/激光辅助探测）以及提取加密固件时保留易失性内存获取解密密钥的策略。最后，建立了可重复性标准：在两类硬件（企业级嵌入式设备和代表性工业设备）上验证方法，成功提取依赖于无物理防篡改机制。链式保管要求：记录设备标识、命令日志、哈希原始镜像、分离工作副本与密封参考副本，对破坏性操作记录所有参数。

### 讨论与结论总结

讨论部分指出，成功提取固件后，后续分析需验证文件完整性、评估文件结构、确认与设备架构一致性，并进行逆向工程（使用Ghidra、IDA Pro、radare2或Binary Ninja）。逆向工程可识别已知文件系统签名（如SquashFS）、分区边界、引导加载程序、内核映像等。未来方向包括集成机器学习二进制分析工具以加速漏洞检测。

**结论**（原文翻译）：
本研究引入了一种嵌入式系统固件提取的系统性方法论，提出了支持工业取证的辅助工具分类学，讨论了工业系统的接口识别规程，并展示了带有实际示例的可重复提取技术。此处概述的方法弥合了传统数字取证与复杂嵌入式系统（尤其是工业控制系统）带来的独特挑战之间的差距。通过将实践者知识整合为结构化、可重复的工作流，本研究使固件取证对于在现实约束下工作的研究人员而言更易实现。所提供的接口识别、工具使用和固件提取技术步骤使研究人员能够在不需深厚领域知识的情况下系统性地提取固件。随着嵌入式设备在制造、医疗和其他关键基础设施领域的持续普及，完善并传播这些技术对于开展能够跟上工业技术发展步伐的彻底调查至关重要。
此处提出的方法学和分类学是通过在工业物联网生态系统中常见的设备（如网络路由器和IoT传感器）上的应用而开发和完善的。这些设备涵盖ARM、x86、MIPS和PowerPC架构，通过UART、JTAG、SPI和SWD接口进行实践。这种覆盖范围支持工作流在各种嵌入式架构和接口上的泛化。在工业约束下应用此工作流反映了现实条件——专有外壳、运行连续性要求和受监管环境——这些条件将IIoT取证分析与消费设备分析区分开来。鉴于IIoT设备在工业基础设施和制造环境中的关键作用，这些提取技术对于发现恶意活动、支持事件响应、检测未经授权的修改以及在高级对手针对工业环境时维护系统完整性至关重要。