CN106815532A - 一种基于距离测度分布的硬件木马检测判别方法 - Google Patents

Abstract

本发明涉及一种基于距离测度分布的硬件木马检测判别方法，将母本芯片的侧信道电流信号样本数据进行特征提取，实现高维数据的压缩降维，再计算待测芯片样本与母本芯片样本类中心的距离测度矩阵，根据它们距离分布模式的相似性，来判别有无硬件木马电路的植入。该方法基于模式识别的距离测度分布的特点对样本进行检测，计算量小，检测速度快，可靠性高，可以实现硬件木马的快速检测分类；该方法使用的信号采集和检测平台等硬件设备，成本低廉，且算法简单易于实现，能够满足不同场合的实际要求。

Description

一种基于距离测度分布的硬件木马检测判别方法

技术领域

本发明涉及信息安全及硬件木马检测领域，涉及针对集成电路芯片中的硬件木马进行检测判别的方法，尤其是一种基于距离测度分布法的硬件木马检测判别方法。

背景技术

随着网络和信息技术的迅速发展，信息安全需求不断提高，信息安全日益受到人们的关注和重视。人们最早对信息安全的认识主要源于软件木马和病毒程序，随着防病毒工具和软件发展日趋成熟，软件木马的发展空间越来越有限，近年来，一些攻击者开始深入系统底层，研究操作系统层木马，更有甚者研究木马如何和系统核心硬件相结合，设计和开发更为隐蔽、难于发现的攻击方式，即硬件木马。硬件木马具有超强的破坏能力，其危害性已远远超过软件木马。

硬件木马位于系统核心层，具有很强的隐蔽性，对信息系统的破坏是致命的，而目前硬件木马的检测技术还很不完善，因此硬件木马相对于传统的软件木马更加危险。集成电路特别是安全芯片目前的主要危害来自硬件木马，一旦硬件木马激活或启动，可以破坏芯片原始电路，使其无法正常工作；可以篡改电路中的原始资料，损坏数据的完整性；还可以检测、获取并泄露用户私密信息。

硬件木马检测虽然已成为信息安全领域研究的热点问题，但由于人们对高维数据的处理还没有特别有效的方法，传统的数据分析方法在处理这些高维数据时，往往收效不大甚至失效，这也成为硬件木马检测的瓶颈问题。将现代计算机的高性能与人的高智能相结合是处理这些数据最有希望的选择，是当今处理高维数据最有效、最核心的技术与途径，其中机器学习已经被证明是行之有效的数据分析和处理方法。如何有效地从高维旁路数据中提取或选择出有用的特征信息或规律并将其分类识别已成为硬件木马检测方法研究的趋势所在。

发明内容

本发明的目的在于为解决检测硬件芯片中是否存在木马电路的问题，提出了一种基于距离测度分布的硬件木马检测方法，利用模式识别中的特征向量提取和距离测度分布对硬件芯片进行比较检测，该方法成本低廉、操作简单、可靠性高，能够满足不同场合的实际要求。

为了实现上述目的，本发明所采用的技术方案如下：

一种基于距离测度分布的硬件木马检测方法，通过特征提取方法，将高维数据进行压缩降维，计算待测芯片样本与木马芯片类中心的距离，以距离最邻近的那个类中心判别待测数据所属类别，从而检测待测芯片是否含有硬件木马。具体步骤如下：

(1)采集母本芯片和待测芯片的旁路信号

对N个标准的母本芯片和1块待测芯片，选择用同样测试环境下的L个测试向量，输入芯片使之正常运行，用示波器对芯片产生的侧信道电流信息进行采集，设定示波器采样深度为E，对应每个芯片可得到L组电流信号曲线，即可形成一个L×E阶的轨迹矩阵。标准电路芯片的轨迹矩阵可表示为：Bk＝{b(i，j)|i＝1，2，...，L；j＝1，2，...，E}(k＝1，2，...，N)}，待测芯片的轨迹矩阵可表示为：C＝{c(i，j)|i＝1，2，...，L；j＝1，2，...，E}。

(2)基于主成分分析的信息特征降维

(a)计算样本协方差矩阵。计算样本库样本数据集的协方差矩阵，以消除样本库样本数据集中不同维度数据间的相关性，得到的协方差矩阵为一个E×E阶的轨迹矩阵，记为SE×E。

(b)计算特征值并选取最高贡献率的主特征值；计算得到协方差矩阵SE×E的E个特征值及其对应的特征向量E×E阶的轨迹矩阵AE×E，在全部特征值中选取贡献率最高的K个，选取的贡献率为95％，使得前K个主特征值的贡献率超过特征值总和的95％，即满足公式：

(λ₁+λ₂+...+λ_k)/(λ₁+λ₂+...+λ_E)≥95％

其中，λ为特征值的贡献率，E为特征值总量；

(c)选取主特征特征向量；选取K个主要的特征值对应的特征向量，即从特征向量矩阵A_E×E中选取前k列，可构成一个E×K阶的矩阵，即为芯片样本库样本数据集的K维特征子空间，记为P；

(d)计算样本库样本主成分；对样本库样本数据集在特征向量子空间中进行投影，样本库样本主成分为Y，根据投影计算公式Y＝B×P(B为标准电路芯片的轨迹矩阵，P为选取的主特征向量)，将样本数据集映射到主特征空间；

(e)计算待测样本数据主成分；将待测芯片样本数据集同样投影到样本数据集特征向量子空间中，以保证特征选择的一致性；待测芯片样本主成分为T，根据投影计算公式T＝C×P(C为待测电路芯片的轨迹矩阵，P为选取的主特征向量)，将测试数据集映射到样本库主特征空间；

(3)计算母本芯片样本主成分和待测芯片样本主成分的距离测度；

根据母本芯片样本库样本数据的分类属性，计算母本芯片样本主成分的均值向量e作为计算距离测度的基准；再分别计算母本芯片样本主成分P1和待测芯片样本主成分P2与母本主成分均值向量e的距离测度，进行距离测度计算获得两个N*1的距离测度矩阵，母本芯片距离测度矩阵记为Z1，待测芯片距离测度矩阵记为Z2；

(4)木马检测

分别对Z₁和Z₂距离测度矩阵统计它们的距离分布情况，绘制出各自的距离分布曲线图，以显示母本芯片距离测度分布情况和待测芯片距离测度分布情况，并判别它们是否具有模式相似性，从而进行芯片的分类判别。如果两者的距离测度分布图可完全分辨，即说明待测芯片与母本芯片不具备模式相似性，不属于同一芯片类别，可判断待测芯片有木马；相反，如果两者距离测度分布图不完全可分，说明两者具有模式相似性，属于同一芯片类别，可判断待测芯片无木马。

本发明的优点和积极效果是：

本发明方法通过对母本芯片样本和待测芯片样本的旁路信号进行特征提取，计算得到母本芯片样本主成分的均值向量，再分别计算并获得母本芯片样本主成分与母本均值向量的距离矩阵和待测芯片样本主成分与均值向量的距离矩阵，最后利用不同距离测度算法绘制母本芯片与待测的距离分布的统计直方图，根据距离测度分布的可分辨性来判断待测芯片是否有木马电路。该方法基于模式识别的距离测度分布的特点对样本进行检测，计算量小，检测速度快，可靠性高，可以实现硬件木马的快速检测分类。方法仅使用的信号采集设备，检测平台等硬件设备，成本低廉，且算法简单易于实现，能够满足不同场合的实际要求。

附图说明

图1为本发明的硬件木马检测流程图。

图2为本发明的载体电路和木马电路结构原理图。

图3为本发明实施例中采用不同距离测度算法绘制出的母本芯片和三种木马芯片距离分布统计直方图，其中(a)为基于标准欧式距离分布的统计直方图；(b)为基于夹角余弦距离分布的统计直方图；(c)为基于马氏距离分布的统计直方图；(d)为基于切比雪夫距离分布的统计直方图。

具体实施方式

下面结合实施例，对本发明进一步说明；下述实施例是说明性的，不是限定性的，不能以下述实施例来限定本发明的保护范围。

参见图1，本发明基于距离测度分布的硬件木马检测方法，其基本思路是：根据母本芯片和待测芯片的旁路信号样本间的相似性，来确定待测芯片是否存在木马电路。为了解决样本数据过大，检测效率低下的问题，对母本芯片样本库先通过特征提取方法，将高维数据进行压缩降维，再计算待测芯片样本与标准芯片类中心的距离测度矩阵，并统计它们的距离分布情况，绘制距离分布曲线图，以观测母本芯片距离测度分布情况和待测芯片距离测度分布情况，是否具有模式相似性，从而进行芯片的分类判别。如果两者的距离测度分布图可完全分辨，即说明待测芯片与母本芯片不具备模式相似性，不属于同一芯片类别，可判断待测芯片有木马；相反，如果两者距离测度分布图不完全可分，说明两者具有模式相似性，属于同一芯片类别，可判断待测芯片无木马。

实施例1

一种基于距离测度分布的硬件木马检测方法，步骤如下：

(1)根据FPGA硬件平台资源，本发明基于ISCAS’89基准测试电路设计了载体电路和木马电路，选择最适合平台的s9234作为载体电路，并选择了最符合此载体电路面积配比的s27作为木马电路，电路结构的原理图如图2所示。Clk时钟作为外供的系统时钟，rst_n为系统提供复位。模块LFSR作为伪随机数发生器，用于为载体电路提供输入，同时为硬件木马电路提供输入，通过seed来为伪随机数发生器提供种子，设置其为8’b11111111。Load信号决定是否将种子载入到伪随机数发生器当中，设置其为1’b1，即默认为种子载入状态。模块s9234作为电路的载体电路部分，模块U作为电路的硬件木马部分，可以通过tro_en来控制该模块是否工作，模块U被实例化为U1-U4，方便通过控制tro_en_1-tro_en_4控制位来控制有效的硬件木马模块，从而进行木马面积的控制。可以根据需要搭配使用1-4块木马电路模块。

(2)考虑到FPGA芯片良好的可编程特性，方便进行不同结构、不同面积大小的硬件木马的植入实验，本发明采用的测试板为ALTERA公司的FPGA开发平台，选择了红色飓风二代(Cyclone II)Altera开发板，板上FPGA芯片型号为EP2C35F672C8，并加入了自主设计功能：

(a)在晶振与FPGA芯片的系统时钟端口之间添加开关。考虑FPGA芯片的功耗模型，用于对FPGA芯片内部静态功耗的测试；

(b)测试平台预留较多输入输出管脚。适用于基准测试电路等I/O数量较多的电路；

(c)测试平台上FPGA芯片靠近平台边缘为电磁辐射信息的侧信道分析工作的开展打下基础。有利于云台夹持的电磁探头更有效的采集FPGA内部的电磁辐射信息；

(d)测试平台上FPGA芯片的对地端预留出电流测试接口；

(e)测试平台上FPGA芯片的3.3V、1.5V供电端预留出电流测试接口。有利于以后对FPGA芯片具体的功耗模型进行分析测试；

(f)配置USB2.0模块。为以后的系统验证做准备。

(3)本发明使用基于FPGA的硬件木马检测系统，包括Tektronix公司的MSO4054混合信号示波器、锂电池或Keithley公司的系统数字源表2611A、Altera公司Cyclone系列的FPGA芯片EP1C12Q240C8和搭载芯片的电路板以及Tektronix公司的TCP0030电流探头。该电流探头提供高达120MHz带宽，上升时间小于2.92ns。可以选择5A和30A的电流测量范围。可以精确测量电流水平高达1mA，小于1％的DC增益误差；配合示波器进行交流耦合，可以有效去除直流偏置带来的影响。

(4)为增强实验效果对比，实验中的木马电路可在输入参数控制下进行木马面积调解，即同批次电路中可包含不同面积的木马电路。

对电路进行FPGA平台验证，在无木马时采集并存储母本芯片样本数据。并分别在加入一块木马(即启动面积为0.69％的木马)时、加入两块木马(即启动面积为1.523％的木马)时和加入四块木马(即启动面积为3.333％的木马)时采集并存储数据。

计算出母本芯片样本均值向量，然后分别计算母本标准芯片样本数据集和三种植入不同面积木马电路的木马芯片样本数据集相对于母本均值向量的距离测度矩阵，距离计算采用标准欧式距离测度法，最终得到的距离测度分布直方图统计结果如图3(a)所示。分三组对比显示了植入了不同面积的木马电路芯片与母本芯片的欧式距离测度分布情况。图中最下方对比显示了母本芯片与植入最大面积(3.333％)的木马芯片标准欧式距离分布情况，母本芯片样本数据集与母本均值向量的欧式距离分布统计结果如左侧灰色直方图所示，而植入了最大面积(3.333％)木马的待测芯片样本集与母本均值向量的标准欧式距离分布统计情况如黑色直方图所示。图中明显可见母本和待测芯片的距离分布在不同的区间里，其距离分布模式有明显差异，可完全分辨，即硬件木马可检测；同样如图中间部分对比了母本芯片与植入中等面积(1.523％)木马的木马芯片距离分布情况，母本芯片样本数据集与母本均值向量的欧式距离分布仍然用左侧灰色直方图显示，而植入了中等面积(1.5233％)木马的待测芯片样本集与母本均值向量的标准欧式距离分布统计情况如浅灰色直方图所示，可以看出母本和木马芯片的距离分布跨度相对减小了，但距离分布仍在不同的区间里，其距离分布模式有差异，分布模式仍可分辨，硬件木马可以检测；图中最上方对比检测了母本芯片与植入最小面积(0.690％)木马的木马芯片距离分布情况，图中可见其距离分布跨度进一步减小，导致母本和待测芯片统计后的标准欧式距离分布直方图有明显交叠，距离分布模式无法完全分辨，两者具有模型相似性，即硬件木马不可检测。

实施例2

一种基于距离测度分布的硬件木马检测方法，步骤如下：

采用与实施例1相同的芯片和检测平台，更改实施例1中的距离测度算法，采用夹角余弦距离测度法对实施例1中的母本芯片和三种木马芯片进行距离测度，最终得到的距离测度分布直方图统计结果如图3(b)所示。母本芯片和植入最大面积(3.333％)木马电路的木马待测芯片的距离分布在完全不同的区间里，其距离分布模式有明显差异，可完全分辨，即硬件木马可测；而母本芯片和植入中等面积(1.523％)木马电路的待测芯片夹角余弦距离分布直方图则有一定交叠，距离分布模式已无法完全分辨，两者具有一定的模型相似性，即硬件木马不可检测；图中最上方明显可见标准芯片和植入最小面积(0.690％)木马电路的待测芯片夹角余弦距离分布直方图交叠明显，其距离分布模式已完全不能分辨，两者具有明显的模型相似性，同样硬件木马不可检测。

实施例3

一种基于距离测度分布的硬件木马检测方法，步骤如下：

采用与实施例1相同的芯片和检测平台，更改实施例1中的距离测度算法，采用马氏距离测度法对实施例1中的母本芯片和三种木马芯片进行距离测度，最终得到的距离测度分布直方图统计结果如图3(c)所示。明显可见三组距离分布都存在差异，只是随着木马面积的增大，母本和木马芯片的距离分布跨度相对会减小，但距离分布仍在不同的区间里，其距离分布模式都有明显差异，均可完全分辨，不同面积的硬件木马芯片均可检测。

实施例4

一种基于距离测度分布的硬件木马检测方法，步骤如下：

采用与实施例1相同的芯片和检测平台，更改实施例1中的距离测度算法，采用切比雪夫距离测度法对实施例1中的母本芯片和三种木马芯片进行距离测度，最终得到的距离测度分布直方图统计结果如图3(d)所示。母本芯片和植入最大面积(3.333％)木马电路的木马待测芯片的切比雪夫距离分布在完全不同的区间里，其距离分布模式有明显差异，可完全分辨，即硬件木马可测；而标准芯片和植入中等面积(1.523％)木马电路的待测芯片切比雪夫距离分布直方图跨度很小，其距离分布模式尚可分辨，即硬件木马尚可检测；最后标准芯片和植入最小面积(0.690％)木马电路的待测芯片但两者具有一定的模型相似性，分布直方图有一定交叠，其距离分布模式不能完全分辨，两者具有明显的模型相似性，即硬件木马不可检测。

在上述实验过程中采用的距离测度法中，马氏距离效果最佳，使用马氏距离测度分布跨度最大，母本芯片和木马芯片区分明显，且该方法可检测出木马面积比为0.7％左右的硬件木马。其次是标准欧式距离测度法，可以检测出木马面积比为1％左右的硬件木马。基于切比雪夫距离分布情况和标准欧式距离类似，可以检测出木马面积比为1.5％左右的硬件木马。效果最不理想的是夹角余弦距离测度法，其仅能检测出木马面积为3％左右的硬件木马。

以上述依据本发明的理想实施案例为启示，通过上述的说明内容，相关工作人员完全可以在不偏离本项发明技术思想的范围内，进行多样的变更以及修改。本项发明的技术性范围并不局限于说明书上的内容，必须要根据权利要求范围来确定其技术性范围。

Claims (6)

1.一种基于距离测度分布的硬件木马检测判别方法，其特征在于，判别方法描述如下：以芯片电路的侧信道电流信号为原始信号，使用特征提取的方法对样本库数据进行压缩降维，再根据模式识别中的距离测度方法比较待测芯片与母本芯片的距离分布模式，从而判断待测芯片是否植入硬件木马。

2.根据权利要求1所述的基于距离测度分布的硬件木马检测判别方法，其特征在于：所述方法包括以下步骤：

(1)采集母本芯片和待测芯片的旁路信号；

(a)对N个标准的母本芯片和1块待测芯片，选择用同样测试环境下的L个测试向量，输入芯片使之正常运行，用示波器对芯片产生的侧信道电流信息进行采集；

(b)设定示波器采样深度为E，对应每个芯片可得到L组电流信号曲线，即可形成一个L×E阶的轨迹矩阵；标准电路芯片的轨迹矩阵可表示为：B_S＝{b(i，j)|i＝1，2，...，L，j＝1，2，...，E}(s＝1，2，...，N)}，待测芯片的轨迹矩阵可表示为：C＝{c(i，j)|i＝1，2，...，L；j＝1，2，...，E}；

(2)基于主成分分析的信息特征降维；

(a)计算样本协方差矩阵；计算样本库样本数据集的协方差矩阵，以消除样本库样本数据集中不同维度数据间的相关性，得到的协方差矩阵为一E×E阶的轨迹矩阵，记为S_E×E；

(b)计算特征值并选取最高贡献率的主特征值；计算得到协方差矩阵S_E×E的E个特征值及其对应的特征向量E×E阶的轨迹矩阵A_E×E，在全部特征值中选取贡献率最高的K个，选取的贡献率为95％，使得前K个主特征值的贡献率超过特征值总和的95％，即满足公式：

(λ₁+λ₂+...+λ_k)/(λ₁+λ₂+...+λ_E)≥95％(λ为特征值的贡献率，E为特征值总量)；

(c)选取主特征特征向量；选取K个主要的特征值对应的特征向量，即从特征向量矩阵A_E×E中选取前k列，可构成一个E×K阶的矩阵，即为芯片样本库样本数据集的K维特征子空间，记为P；

(d)计算样本库样本主成分；对样本库样本数据集在特征向量子空间中进行投影，样本库样本主成分为Y，根据投影计算公式Y＝B×P(B为标准电路芯片的轨迹矩阵，P为选取的主特征向量)，将样本数据集映射到主特征空间；

(e)计算待测样本数据主成分；将待测芯片样本数据集同样投影到样本数据集特征向量子空间中，以保证特征选择的一致性；待测芯片样本主成分为T，根据投影计算公式T＝C×P(C为待测电路芯片的轨迹矩阵，P为选取的主特征向量)，将测试数据集映射到样木库主特征空间；

(3)计算母本芯片样本主成分和待测芯片样本主成分的距离测度；

根据母本芯片样本库样本数据的分类属性，计算母本芯片样本主成分的均值向量e作为计算距离测度的基准；再分别计算母本芯片样本主成分P₁和待测芯片样本主成分P₂与母本主成分均值向量e的距离测度，进行距离测度计算获得两个N*1的距离测度矩阵，母本芯片距离测度矩阵记为Z₁，待测芯片距离测度矩阵记为Z₂；

(4)判断待测芯片是否植入硬件木马，进行木马检测；

分别统计Z₁和Z₂距离测度矩阵的距离分布情况，并绘制出距离分布曲线图，以显示母本芯片距离测度分布情况和待测芯片距离测度分布情况，并判别其是否具有模式相似性，从而进行芯片的分类判别；如果两者的距离测度分布图可完全分辨，即说明待测芯片与母本芯片不具备模式相似性，不属于同一芯片类别，则判断待测芯片有木马；相反，如果两者距离测度分布图不完全可分，说明两者具有模式相似性，属于同一芯片类别，则判断待测芯片无木马。

3.根据权利要求2所述的基于距离测度分布的硬件木马检测判别方法，其特征在于：所述步骤(1)中采集的是母本芯片和待测芯片的侧信道电流信号。

4.根据权利要求2所述的基于距离测度分布的硬件木马检测判别方法，其特征在于：所述步骤(2)中对样本库样木数据集采用主成分分析的方法进行特征提取。

5.根据权利要求2所述的基于距离测度分布的硬件木马检测判别方法，其特征在于：所述步骤(4)中要分别统计距离测度矩阵Z₁和Z₂的距离分布情况，并分别绘制Z₁和Z₂的距离分布曲线图，根据两个距离测度分布图的可分辨度来判断待测芯片与母本芯片是否具备模式相似性，从而判断待测芯片有无木马植入。

6.如权利要求1至5任一项所述的基于距离测度分布的硬件木马检测判别方法在硬件木马检测领域的应用。