troyano de hardware

Una de las características físicas de este troyano es su tipo. Un troyano puede ser funcional o paramétrico. Un troyano es funcional si el atacante añade o elimina transistores o compuertas al diseño original del chip. El otro tipo de troyano, el troyano paramétrico, modifica el circuito original, por ejemplo, adelgazando los cables, debilitando los biestables o transistores, sometiendo el chip a radiación o utilizando haces de iones focalizados (FIB) para reducir su fiabilidad.

El tamaño de un troyano se define por su extensión física o por el número de componentes que lo conforman. Dado que un troyano puede estar compuesto por muchos componentes, el diseñador puede distribuir las partes de la lógica maliciosa en el chip. Esta lógica adicional puede ubicarse en el chip donde sea necesario para modificar, agregar o eliminar una función. Los componentes maliciosos pueden estar dispersos (distribución laxa) o constar de pocos componentes (distribución compacta), de modo que el área que ocupa la lógica maliciosa en el diseño del chip sea reducida.

En algunos casos, los adversarios con gran esfuerzo pueden regenerar el diseño, alterando así la ubicación de los componentes del circuito integrado. En raras ocasiones, se modifican las dimensiones del chip. Estos cambios constituyen alteraciones estructurales.

El troyano típico se basa en condiciones: se activa mediante sensores , estados lógicos internos, un patrón de entrada específico o el valor de un contador interno. Los troyanos basados ​​en condiciones pueden detectarse, hasta cierto punto, mediante el análisis del consumo energético cuando están inactivos. Esto se debe a las corrientes de fuga generadas por el circuito de activación o contador que activa el troyano.

Los troyanos de hardware pueden activarse de diferentes maneras. Un troyano puede activarse internamente, lo que significa que monitorea una o más señales dentro del circuito integrado . El circuito malicioso podría esperar una lógica de cuenta regresiva que un atacante agregó al chip, de modo que el troyano se active después de un lapso de tiempo específico. Lo opuesto es la activación externa. Puede haber lógica maliciosa dentro de un chip, que utilice una antena u otros sensores a los que el adversario puede acceder desde fuera del chip. Por ejemplo, un troyano podría estar dentro del sistema de control de un misil de crucero . El propietario del misil no sabe que el enemigo podrá apagar los cohetes por radio .

Un troyano que permanece siempre activo puede ser un cable modificado. Un chip modificado de esta manera produce errores o falla cada vez que el cable se usa intensamente. Los circuitos siempre activos son difíciles de detectar con el rastreo de potencia.

En este contexto, se distinguen los troyanos combinacionales y los troyanos secuenciales . Un troyano combinacional monitorea señales internas hasta que se cumple una condición específica. Un troyano secuencial también es un circuito basado en condiciones que se activa internamente, pero monitorea las señales internas y busca secuencias, no un estado o condición específicos como lo hacen los troyanos combinacionales.

Un ataque de alto impacto (HT) podría modificar la función del chip o alterar sus propiedades paramétricas (por ejemplo, provocando un retraso en el proceso). También se puede transmitir información confidencial al adversario (transmisión de información clave).

Un vector de amenaza relativamente nuevo para las redes y los puntos finales de red es un HT que se presenta como un dispositivo periférico físico diseñado para interactuar con el punto final de red mediante el protocolo de comunicación del dispositivo periférico aprobado. Por ejemplo, un teclado USB que oculta todos los ciclos de procesamiento maliciosos al punto final de red objetivo al que está conectado, comunicándose con este mediante canales USB no previstos. Una vez que los datos confidenciales se filtran desde el punto final de red objetivo al HT, este puede procesarlos y decidir qué hacer con ellos: almacenarlos en la memoria para su posterior recuperación física o, posiblemente, filtrarlos a internet mediante conexión inalámbrica o utilizando el punto final de red comprometido como punto de acceso. ^{[ 5 ] [ 6 ]}

Primero, se corta la capa de moldeo para revelar el circuito. Luego, el ingeniero escanea repetidamente la superficie mientras lija las capas del chip. Hay varias operaciones para escanear el circuito. Los métodos típicos de inspección visual son: microscopía óptica de barrido (SOM), microscopía electrónica de barrido (SEM), ^{[ 7 ]} análisis de circuitos de imágenes de picosegundos (PICA), imágenes de contraste de voltaje (VCI), alteración de voltaje inducida por luz (LIVA) o alteración de voltaje inducida por carga (CIVA). Para comparar el plano del chip, se debe comparar con la imagen del chip real. Esto todavía es bastante difícil de hacer. Para detectar hardware troyano que incluye claves (cripto) diferentes, se puede tomar una diferencia de imágenes para revelar la diferente estructura en el chip. El único troyano de hardware conocido que usa claves criptográficas únicas pero tiene la misma estructura es. ^{[ 8 ]} Esta propiedad mejora la indetectabilidad del troyano.

Este método de detección estimula los puertos de entrada de un chip y monitoriza la salida para detectar fallos de fabricación. Si los valores lógicos de la salida no coinciden con el patrón original, se podría detectar un defecto o un troyano.

Las técnicas de autodiagnóstico integrado (BIST) y diseño para pruebas (DFT) añaden circuitos (lógica) al chip para verificar que, tal como está construido, implementa su especificación funcional. Esta lógica adicional monitoriza los estímulos de entrada y las señales internas o los estados de memoria, generalmente mediante el cálculo de sumas de comprobación o la exposición de registros internos a través de una técnica de escaneo personalizada . Mientras que DFT suele coordinarse con algún mecanismo de prueba externo, los chips con BIST incorporan generadores de patrones de prueba personalizados. La funcionalidad BIST se utiliza a menudo para realizar verificaciones a velocidad nominal (alta velocidad) cuando no es posible usar cadenas de escaneo u otras capacidades DFT de baja velocidad. Ambos métodos se desarrollaron originalmente para detectar errores de fabricación, pero también tienen el potencial, a veces peligroso, de detectar algunos efectos de lógica maliciosa en el chip o de ser explotados por lógica maliciosa para inspeccionar de forma encubierta estados remotos dentro del chip.

Consideremos cómo DFT reconoce la lógica no intencionada. Al ser activado por las entradas de DFT, un chip original genera una firma familiar, pero un chip defectuoso o alterado muestra una firma inesperada. La firma puede consistir en cualquier número de salidas de datos del chip: una cadena de escaneo completa o un resultado de datos intermedio. En un contexto de detección de troyanos, la lógica de DFT puede considerarse un algoritmo de cifrado: usar la entrada de DFT como clave para firmar un mensaje derivado del comportamiento del diseño bajo prueba. En un contexto de prevención de intrusiones, las funciones BIST o DFT suelen estar deshabilitadas (mediante reconfiguración de hardware) fuera del entorno de fabricación, ya que su acceso al estado interno del chip puede exponer su funcionamiento a vigilancia encubierta o ataques subversivos.

Todo dispositivo eléctricamente activo emite diferentes señales, como campos magnéticos y eléctricos. Estas señales, causadas por la actividad eléctrica, pueden analizarse para obtener información sobre el estado y los datos que procesa el dispositivo. Se han desarrollado métodos avanzados para medir estos efectos secundarios, los cuales son muy sensibles ( ataque de canal lateral ). Por lo tanto, es posible detectar troyanos estrechamente acoplados mediante la medición de estas señales analógicas. Los valores medidos pueden utilizarse como una firma del dispositivo analizado. También es común evaluar un conjunto de valores medidos para evitar errores de medición u otras imprecisiones. ^{[ 9 ]}