0 
0 A Ethernet, como todas as redes de comunicação, continua a ficar mais rápida com o passar dos anos. Nos últimos anos, surgiu um subconjunto de redes ethernet, chamado Time-Triggered Ethernet (TTE). As redes TTE são construídas com base no tempo de sinal preciso, usando caminhos redundantes e comutação cuidadosa para garantir que as informações cheguem exatamente quando necessário. Desde a sua introdução, o TTE encontrou um lar em sistemas de aeronaves essenciais para o voo, espaçonaves da NASA e turbinas eólicas geradoras de energia, para citar alguns.
As consequências para tais sistemas de uma rede TTE fora de sincronia seriam compreensivelmente catastróficas. Agora, os pesquisadores descreveram um ataque inédito, chamado PCspooF , que pode fazer exatamente isso. O grupo apresentará seu trabalho na conferência IEEE Symposium on Security and Privacy em maio de 2023.
O IEEE Spectrum conversou com Andrew Loveless e Baris Kasikci, dois dos pesquisadores que descobriram o ataque, sobre como o PCspooF funciona, o que isso significa para redes sensíveis ao tempo e algumas maneiras gerais pelas quais o ataque pode ser bloqueado. A conversa a seguir foi levemente editada para maior clareza.
Loveless e Kasikci em:
- A história do TTE
- Como funciona o PCspooF
- A validação do PCspooF usando uma missão simulada da NASA
- Como potencialmente impedir ataques de PCspooF
Para começar do início: a Ethernet acionada por tempo já existe há alguns anos; então, de onde veio e para que serve?
Andrew Loveless: A tecnologia TTE comercial usada na prática hoje evoluiu do projeto acadêmico “TT-Ethernet” realizado na TU Wien no início dos anos 2000 . O objetivo do projeto era pegar o conceito de comunicação “acionada por tempo” usado em protocolos baseados em barramento anteriores, como TTP/C, e aplicá-los à Ethernet comutada. Dessa forma, os usuários obtêm os benefícios dos dois mundos – o determinismo da comunicação acionada por tempo e as altas taxas de dados e ampla disponibilidade de Ethernet.
Até onde sabemos, o protocolo foi comercializado pela primeira vez pela TTTech e Honeywell por volta de 2008. A GE Fanuc também começou a desenvolver produtos TTE para o domínio da aviação nessa época.
É difícil identificar o primeiro uso de TTE para um sistema de missão crítica. Um dos primeiros parece ser da Sikorsky, que começou a trabalhar com a tecnologia TTE em 2008 e a usou no helicóptero S-97 RAIDER que voou pela primeira vez em 2015. A partir de 2009, também foram publicados artigos relatando que a NASA e a Lockheed Martin estavam usando o TTE para o Orion Crew Exploration Vehicle , que originalmente fazia parte do Programa Constellation e agora está sendo usado para o Artemis. A Vestas aparentemente começou a trabalhar com TTE para aplicações de controle de turbinas eólicas por volta de 2010 e desde então tem usado TTE em turbinas implantadas.
Hoje, o TTE é usado em uma variedade de sistemas e veículos de missão crítica e segurança crítica.
Como essas redes TTE diferem dos tipos de redes de “melhor esforço” com as quais as pessoas provavelmente estão mais familiarizadas?
Loveless: Para contextualizar, há uma pressão na indústria agora para que grandes sistemas embarcados e ciberfísicos adotem redes de criticidade mista. Isso significa que, em vez de usar redes e barramentos separados para dispositivos não críticos e críticos, há um esforço para ter uma rede que os dispositivos críticos e não críticos possam compartilhar. Essa abordagem tem muitos benefícios, incluindo menor tamanho, peso e potência – em geral, há menos cabos e switches – e menor tempo e custos de desenvolvimento, porque os engenheiros podem se concentrar em usar apenas uma tecnologia.
Time-Triggered Ethernet (TTE) é uma tecnologia de rede que faz parte dessa tendência. Alguns outros incluem Time Sensitive Networking , SpaceWire e SpaceFibre , RapidIO , AFDX, e mais. TTE tem várias classes de tráfego diferentes que são usadas na mesma rede. A classe de tráfego com maior criticidade e prioridade é “acionada por tempo”, o que significa que o tráfego é exatamente pré-agendado antes do tempo para ter propriedades de temporização específicas – por exemplo, para evitar contenção no switch e garantir uma certa latência de caixa e jitter – e é enviado simultaneamente por caminhos de rede redundantes. Dessa forma, o designer pode ter certeza de que suas mensagens chegarão ao destino com sucesso e no prazo. Portanto, a tecnologia TTE possui essa classe de tráfego acionada por tempo, que também é comumente chamada de TTE.
Além disso, a tecnologia TTE suporta uma classe de tráfego de “melhor esforço”, o que significa apenas que o tráfego segue as regras da Ethernet padrão. Portanto, aqui o tráfego não é redundante e não é programado a tempo para ter certas propriedades de temporização. O tráfego é chamado de melhor esforço porque a rede TTE não fornece nenhuma garantia para ele – ela simplesmente encaminha o tráfego de melhor esforço quando possível entre as mensagens TTE críticas. O tráfego de melhor esforço é usado principalmente para permitir que dispositivos COTS não críticos compartilhem a rede TTE com os sistemas críticos.
Você mencionou a pressão da indústria por redes de criticidade mista e os benefícios que elas trazem (em custo, tempo de desenvolvimento, consumo de energia e assim por diante). Parece que em um mundo ideal, as redes TTE não compartilhariam infraestrutura com tráfego de melhor esforço. É tão simples quanto isso não é prático de fazer na maioria dos casos?
Loveless: muitos dispositivos COTS não têm a capacidade de gerar tráfego acionado por tempo. Então, se alguém quiser incluir dispositivos COTS em seu sistema, eles geralmente precisam suportar Ethernet padrão (melhor esforço). Nesse caso, acho que o ideal é ter uma rede que forneça isolamento perfeito entre os fluxos de tráfego TT e BE e permita que todo o tráfego TT atenda aos seus requisitos de tempo. Em outras palavras, essa única rede dá a ilusão de que cada fluxo de tráfego TT está sendo transportado por um canal ponto-a-ponto privado do remetente para os receptores. Dessa forma, obtém-se todos os benefícios de segurança e proteção de ter redes completamente isoladas, tendo apenas o custo de uma única rede.
O que exatamente é o PCspooF e como isso afeta as redes TTE?
Loveless: PCspooF é um novo ataque em redes TTE. Ele permite que um único dispositivo Ethernet, como um dispositivo de melhor esforço, com uma pequena quantidade de circuitos maliciosos interrompa a sincronização da rede TTE por um curto período de tempo. Enquanto isso acontece, impede que os dispositivos TTE críticos possam se comunicar. [Como resultado], as mensagens enviadas são descartadas. A duração desse efeito após cada ataque bem-sucedido é de cerca de meio segundo a um segundo completo.
É importante ressaltar que o ataque permite que o invasor destrua a sincronização em todos os planos de rede TTE redundantes, mesmo que o invasor esteja conectado apenas a um dos planos. Além disso, o ataque pode ser repetido com sucesso em uma taxa alta (a cada 10 a 15 segundos).
Você mencionou que o PCspooF é um novo ataque. Também é verdade que é o primeiro ataque a explorar redes TTE?
Sem Amor: Sim. Até onde sabemos, o PCspooF é o primeiro ataque a comprometer qualquer uma das garantias da TTE.
Então, como o PCspooF funciona? Que vulnerabilidade ou falha ele está explorando?
Loveless: Existem duas vulnerabilidades principais que o PCspooF explora. A primeira é uma vulnerabilidade na própria Ethernet, que é que se um switch Ethernet sofrer uma redefinição repentina enquanto um quadro estiver sendo encaminhado, a frente desse quadro poderá ser cortada e o restante do quadro ainda será enviado. O PCspooF usa interferência eletromagnética para fazer com que isso aconteça nos switches TTE. O invasor armazena uma mensagem maliciosa dentro de um quadro benigno, envia o quadro e conduz EMI para o switch. O switch então retira o cabeçalho do quadro e revela o quadro malicioso. Esse mecanismo permite que o invasor envie um quadro malicioso que, de outra forma, não deveria ter permissão para enviar.
A segunda vulnerabilidade explorada pelo PCspooF está no protocolo de sincronização TTE, que foi padronizado em SAE AS6802 . Nesse protocolo, há uma etapa importante em que um número seleto de switches, chamados mestres de compressão, envia uma mensagem de sincronização especial chamada frame de controle de protocolo para os nós finais TTE, que eles usam para corrigir seus relógios. Se o conteúdo dessas mensagens for malicioso, isso fará com que os dispositivos TTE percam a sincronização. Isso é exatamente o que o PCspooF faz – ele usa o mecanismo de interferência eletromagnética acima para falsificar esse quadro de controle de protocolo específico (PCF) para fazer com que os dispositivos percam a sincronização. Daí o nome PCspooF.
Como você descobriu o PCspooF? Foi através de experimentação prática, trabalho teórico e verificação, ou algum outro método?
Loveless: Ao estudar o padrão SAE AS6802, determinamos que o quadro de controle de protocolo correto de um comutador poderia interromper temporariamente a sincronização. A partir daí, o principal desafio foi determinar como colocar esse quadro na rede — o que determinamos por meio de experimentos práticos e desenvolvendo trabalhos relacionados a ataques pacote a pacote.
Um exemplo que você dá de como o PCspooF pode levar a um resultado catastrófico é por meio de simulações que você executou com base na Missão de Redirecionamento de Asteroides da NASA (agora arquivada) , que teria como objetivo mover um asteroide para a órbita lunar para que os astronautas pudessem visitá-lo. Como o PCspooF afetou as simulações?
Baris Kasikci: Testamos nosso ataque no NASA Johnson Space Center em uma plataforma de teste com vários switches TTE reais e sistemas finais. Isso nos deu boas informações sobre como é difícil realizar o ataque e qual é o impacto na própria rede. No entanto, também queríamos determinar qual seria o impacto em um sistema real. Por exemplo, se alguém executasse este ataque durante uma missão espacial real, qual seria o dano?
Para isso, montamos uma simulação da NASA no testbed, onde uma cápsula representativa estava voando para o espaço para se acoplar a outra espaçonave. Executamos a missão várias vezes com sucesso para ter uma ideia do comportamento esperado. Em seguida, conectamos um pequeno dispositivo malicioso a um dos switches TTE para executar o ataque enquanto a missão estava em andamento. O que aconteceu é que, à medida que a missão avançava, o ataque PCspooF repetidamente causava várias quedas de mensagens e chegadas tardias de mensagens, o que fazia com que a espaçonave navegasse fora do curso. Então, em vez de subir e atracar com a outra espaçonave, a cápsula realmente entrou no ângulo errado e passou direto por ela. Assim, pudemos mostrar que o ataque tem um efeito significativo em um sistema “real” (o mais real possível) executando um hardware TTE real.
O ANVIL no NASA Johnson Space Center. NASA
Em seu artigo, você lista várias estratégias possíveis para impedir ataques de PCspooF. De um modo geral, como essas estratégias ajudariam?
Kasikci: Identificamos várias mitigações diferentes que são eficazes contra nosso ataque. Em geral, eles se encaixam em duas categorias básicas. A primeira categoria é impedir que um dispositivo conduza interferência eletromagnética em seu switch TTE. Então, uma maneira de alguém fazer isso seria usar cabos Ethernet de fibra em vez de cobre, já que a fibra não pode conduzir um sinal elétrico. Outra opção seria usar algum tipo de isolador óptico no cabo entre o dispositivo não confiável e o switch.
Outra opção é fazer com que, mesmo que o invasor injete interferência eletromagnética no switch e faça com que esse quadro de controle de protocolo (PCF) malicioso saia, o sistema não seja afetado por ele. Você pode fazer isso alterando a topologia de sua rede, para que os PCFs falsificados nunca sigam o mesmo caminho que os PCFs legítimos. Dessa forma, os dispositivos sempre podem dizer que os PCFs falsificados não são legítimos e descartá-los. Ambos são coisas que os designers podem fazer hoje para se proteger desse ataque.
FONTE: IEEE SPECTRUM