这项黑科技的原理是,多数智能设备使用的商用陀螺仪采用音叉式陀螺仪,如果外源震动和陀螺仪共振频率匹配的话,传感器就会向设备传输错误的数据。阿里巴巴的研究人员利用声音或超声波攻击了这些设备,从而使无人机坠落、电动平衡车失去平衡、手机出现故障…… alibaba 阿里巴巴神秘声波设备(Source:arstechnica) alibaba1 阿里巴巴声波设备攻击大疆无人机(Source:arstechnica) alibaba2 阿里巴巴声波设备攻击机器人(Source:arstechnica) alibaba3 阿里巴巴声波设备攻击小米电动平衡车(Source:arstechnica

美帝早已做过研究

其实类似的研究早就有,美国密歇根大学(University of Michigan)就研究过利用声波攻击加速度传感器,并且成功入侵智能手机和智能可穿戴设备Fitbit手环。《电子工程专辑》也曾做过报道,点击阅读

研究人员在论文中所述,这项研究的贡献主要在于以下三方面:

• 第一,物理建模,主要针对MEMS加速度传感器的恶意声学干扰。

• 第二,电路缺陷研究,正是由于电路缺陷,所以MEMS加速度传感器和系统对于声学入侵攻击,才会存在安全漏洞。

• 第三,两种软件防御方法,减轻MEMS加速度传感器的安全风险。

密歇根大学的计算机科学和工程系的副教授 Kevin Fu 这么说:

“我们的研究颠覆了关于底层硬件的普遍假设。如果你站在计算机科学的角度,你不会发现这个安全问题。如果你站在材料科学的角度,你也不会发现这个安全问题。只有你同时站在计算机科学和材料科学的角度,你才会发现这些安全漏洞。”

加速度传感器

这项研究攻击方式是声波,攻击对象是加速度传感器。所以,我们简单介绍一下加速度传感器的相关知识和应用场景。 20170731-ultrasonic-1 (source:密歇根大学)

加速度传感器,是一种能够测量三维空间中物体速度变化的传感器。通常由质量块、阻尼器、弹性元件、敏感元件和适调电路等部分组成。根据传感器敏感元件的不同,常见的加速度传感器包括电容式、电感式、应变式、压阻式、压电式等。

加速度传感器广泛应用于汽车电子、航空航天、医疗电子、无人机、智能手机、智能硬件、物联网等工业和消费电子领域。它可以采集物体的加速度数据信息,发送给芯片和嵌入式系统进行分析和决策。它的用途包括飞机导航、游戏控制、手柄振动和摇晃、汽车制动启动检测、地震检测、工程测振、地质勘探、振动测试与分析、安全保卫等等。

攻击演示

为了演示和模仿这些攻击,揭示相关的安全漏洞,研究人员扮演了白帽黑客,进行了几个实验。

• 实验一:他们通过播放不同的恶意音乐文件,控制加速度传感器,让三星 Galaxy S5 手机的芯片输出信号拼出单词“WALNUT”。 20170731-ultrasonic-2 (source:密歇根大学)

• 实验二:他们利用价值5美元的扬声器,欺骗控制 Fitbit手环的加速度传感器,让实际上没有运动过一步的 Fitbit手环,形成虚假计数的假象。 20170731-ultrasonic-3 (source:密歇根大学)

• 实验三:他们通过智能手机的扬声器播放了一段“恶意病毒”音乐文件,控制安卓手机的加速度传感器,该加速度传感器是控制玩具车的应用程序所信任的。他们欺骗了该应用程序,从而能够远程控制一辆玩具汽车。 20170731-ultrasonic-8 (source:密歇根大学)

攻击原理

电容式MEMS加速度传感器,在加速过程中,通过对质量偏差的感知来测量加速度值。下图正是MEMS加速度传感器的原理图。 20170731-ultrasonic-4 (source:密歇根大学)

当遭受到加速力时,感知的质量会发生变化,从而引起电容变化,再转换成一个模拟电压信号。电压信号则可以代表感知到的加速度。

声学压力波,会对于其传播路径上的物体产生影响。在共振频率下,感知质量的弹性结构会受到声学干扰的影响,取代原有的质量感知,从而产生虚假的加速度信号。这一过程有点类似歌唱家在歌唱过程中,发出的声音震碎玻璃杯,这同样也是一种共振现象。

这种被欺骗后的加速度信号和声学干扰信号相关,如下图所示。这里有一点很重要,弹性结构的共振频率与其物理设计特征相关,而声学干扰的共振频率必须匹配弹性结构的共振频率,从而成功制造这种虚假的加速度。 20170731-ultrasonic-5 (source:密歇根大学)

所以,对于MEMS加速度传感器的声学攻击方案很简单:

在声学正弦信号上,对于希望传感器输出的信号进行振幅调制,但是必须要求声学信号的频率和MEMS传感器的共振频率一致。

下图展示了研究人员如何欺骗MEMS加速度传感器,输出信号带有类似字母"WALNUT"。 20170731-ultrasonic-6 (source:密歇根大学)

如果某个系统或者设备使用了这种具有安全漏洞的MEMS传感器,进行自动化的状态改变决策,那么攻击者很有可能利用这种漏洞发动攻击。

为了演示这个过程,正如我们前面提到的实验三,研究人员展示了利用一部三星Galaxy S5 智能手机,它正在运行一个控制玩具车的应用程序。这个应用程序对于玩具车的控制,基于智能手机MEMS加速度传感器的测量信号。在正常情况下,用户可以倾斜手机至不同的角度,从而控制汽车运动的方向。通过声学攻击,汽车可以在无需移动手机的情况下运动。 20170731-ultrasonic-9 (source:密歇根大学)

受影响的传感器型号

实验只测量了来自5个不同芯片制造商的20种不同MEMS加速度传感器的信号。但是,除了加速度传感器,其他的MEMS传感器,例如MEMS陀螺仪,也容易受到这种类型攻击。

研究人员所测试的具有安全隐患的传感器列表如下图所示,B代表输出偏置攻击,C代表输出控制攻击,被标注B和C的传感器型号就代表容易受到这种类型的攻击。 20170731-ultrasonic-7 (source:密歇根大学)

这些传感器并不是所有的配置条件下都会出现安全漏洞,但是至少有一种情况下会发生。实验考虑的声学干扰振幅在110 db的声压级别,低一点的振幅同样也可以对于各种传感器产生负面影响。

电路缺陷

研究人员称,这些系统中的缺陷来源于“模拟信号的数字化处理”。数字的“低通滤波器”筛选出最高的频率以及振幅,但是没有考虑到安全因素。

在这些情况下,他们无意的清除了声音信号,从而造成安全漏洞,因此更加方便团队人为地控制系统。

应对策略

如何具体的应对这种攻击,大家可以参考文章末尾参考资料中的研究论文。

简短的说,我们可以有各种各样的技术方案,以达到安全应用传感器的目的。但是,下面是两种普遍的应对策略:

  1. 部署MEMS传感器的时候,采用一种可以限制他们暴露于声学干扰的途径,例如在它们周围部署声学抑制泡棉。

  2. 利用数据处理算法来拒绝反常的加速度信号,特别是具有在MEMS传感器共振频率附近的频率成分的那些信号。

研究人员在论文中介绍了两种低成本的软件防御方案,可以最小化该安全漏洞,并且他们也提醒了制造商去应对这些问题。

参考资料

【1】https://spqr.eecs.umich.edu/walnut/

【2】Timothy Trippel, Ofir Weisse, Wenyuan Xu, Peter Honeyman, andKevin Fu, "WALNUT: Waging Doubt on the Integrity of MEMS Accelerometers with Acoustic Injection Attacks," https://spqr.eecs.umich.edu/papers/trippel-IEEE-oaklawn-walnut-2017.pdf

本文综合自kknews、technews报道

EETC wechat barcode


关注最前沿的电子设计资讯,请关注“电子工程专辑微信公众号”。