信息流在I2C和USB中的隔离.docVIP

信息流在I2C和USB中的隔离 概要 飞行控制，银行，医疗，以及其他（需要）高性能系统对于正确的操作有着严格的要求。而这个的基础就是非干涉的执行，在这当中特定的子系统不能够影响另外一个子系统。为致力于帮助保证该方针（的正确执行），最近在硬件级别当中出现了追踪信息流的工程。本文使、用了一中特殊的方法，被称为门级信息流跟踪（GLIFT），来提供一种方法论来测试在两种常见的总线协议，I2C和USB接口，当中的信息流。我们发现协议的确会引起意外的信息流并且提供基于时分多址（TMDA）的解决方案，经证明这可以将总线上的设备与这些信息流隔离开来。本文还讨论了由基于TDMA的解决方案引起的区和模拟时间的系统开销。、 1. 简介 如在飞行控制和银行系统中发现的高性能系统要求保证正确操作不然他们将面临灾难性的后果。确保这些系统按计划操作时一个非常困难和花费巨大的问题。有人曾估计过，这样的保险每行代码可以花费1万美元【1】并且要花费10年的时间【2】。 在这些系统中，一个共同属性是他们 常常需要保证的是不干涉【3】，其中的某些部分系统应该永远不会与其他部件干涉。例如，波音787飞机在用户和飞行控制网络之间的连接【4】。确保两个网络之间不出现意外的信息流对于飞机的正确操作时至关重要的。随着通过复杂协议实现交互复杂的系统级芯片的进一步发展，保证不干涉是一个很难的问题，因为信息可以流过从而很难来检测侧通道。近日，信息流跟踪（IFT）已经被引进通过监控信息是如何通过系统来帮助减轻这个问题。 IFT工程通过检测贯穿整个系统的数据的传播来看是否秘密信息泄露给未分类的子系统或者以确保重要子系统的完整性不被不受信任的子系统侵犯。一般两种类别的信息流：显式和隐式的。显式信息流由两个直接通信的子系统产生。例如，一个显式的信息流会在一条直接交换数据的总线上的主机和设备之间产生。隐式信息流在整个表现中泄露信息更加容易和普遍。典型的隐式信息流以时序的形式出现，其中信息可以从操作的等待时间中被提取。前期的研究表明侧通道的时序攻击可以用于从高速缓存延迟【5】和分支预测【6】中提取机密的加密密码。高速缓存时序攻击可以通过观察时间命中和错过的高速缓存处罚来获得密码。分支预测时序通道是也是用一个同样方式被利用，信息通过预测和没有预测的分支的延迟从而被泄露。另一个利用可以看出，在一个共同的总线中设备通过在总线上通信来隐式通信【7】。假设总线上有两个设备希望进行隐式通信。首先，当发送者发送1时会导致总线通信量过量而当发送0是没有通信量。接收者可以探测总线上的通信量来确定发送者是发送的0或1. 为了解释这些难以检测的时序通道，目前的方法缺乏，他们要么进行物理隔离，要么“时钟模糊化”【7,10】。物理隔离通过分离物理信任/非信任或分类/非分类子系统工作。这导致区域的成本超支，也使它基本不可能整合子系统。“时钟模糊化”通过显示在时序信息中产生人工错误的有“模糊化”的时钟的非信任子系统来试图避免物理隔离。这尝试降低从时序通道获取信息的能力，但在现实中只是降低了通道的带宽。 门级信息流跟踪（GLIFT）【11】提供了解决方法来监测硬件中的信息流。由于GLIFT以离散门为目标，一般已经足以应用在任何的数字硬件中。此外，它可以精确的监测出所有的显式信息流和时序通道，因为它监测每个位周期的变化。其结果是，它是非常有效证明信息流的常见总线协议，如集成电路互联协议（I2C）和通用串行总线（USB）。有方法来了解和防止这些信息流是必不可少的，因为系统中，如波音787飞机当中的，已经开始相互连接他们当中的高完整子系统和低完整子系统了。本文论述了GLIFT是如何用来分析和删除总线协议中的非预期信息流，以I2C和USB为例。 本文的主要贡献是： ?介绍了一种方法，它通过使用GLIFT来测试总线协议中的非预期信息流来与现有的设计流程实现匹配 ?将这种方法应用到两种常见的总线协议（I2C和USB）来分析他们的信息流 ?将改变引入到系统中，并讨论这些系统是如何显示强大的信息流隔离的。 本文的其余部分安排如下“在第二节中，我们将讨论硬件信息流追踪和GLIFT的背景。第三节介绍在总线协议中分析信息流的一般方法。第四节和第五节讨论分别应用到I2C和USB的方法。我们将会在第六节得出结论。 2. 硬件信息流追踪 因为检测硬件中的信息流导致整个系统性能最小系统开销，所以在硬件信息流追踪领域已经有很多工作了。本节讨论硬件信息流追踪的一些背景，我们将把重点放在GLIFT上因为我们将把该方法使用在I2C和USB的信息流测试中。 典型的硬件信息流追踪方案都倾向于以指令集架构（ISA）和微体系结构为目标。由Suh【8】等人提出的动态信息流追踪（DIFT）从非信任通道中标签信息并且