?Part.1背   景

一、軟件定義的無(wú)線電（Software-Defined Radios，SDR）

物理層定義了如何處理信號(hào)來(lái)發(fā)送和接收數(shù)據(jù)。過(guò)去，給定的設(shè)備使用專用硬件實(shí)現(xiàn)固定的物理層。如今，由于與軟件的集成，無(wú)線電硬件通常更加靈活。其定義如下：

SDR是指部分或全部物理層功能是由軟件定義的無(wú)線電。

這意味著物理層的全部或部分是用軟件實(shí)現(xiàn)的。圖1比較了SDR和傳統(tǒng)無(wú)線電。SDR的出現(xiàn)對(duì)安全產(chǎn)生了巨大影響，使用SDR的攻擊者，能夠靈活且不用太多成本地訪問(wèn)無(wú)線電頻譜。SDR特別適用于生成流氓信號(hào)注入其他接收器，或者制作任何協(xié)議的數(shù)據(jù)包，包括專有協(xié)議。

圖1 SDR與傳統(tǒng)無(wú)線電比較

二、全數(shù)字無(wú)線電（Fully-Digital Radios）

傳統(tǒng)的無(wú)線電發(fā)射機(jī)由幾個(gè)模擬射頻組件組成，這些組件在無(wú)線電載波上調(diào)制基帶信號(hào)。這種類型的元件很難與系統(tǒng)的其它數(shù)字部分集成，并且能耗大。出于這個(gè)原因，許多研究工作都致力于將它們的數(shù)量減少到最小，從而實(shí)現(xiàn)全數(shù)字無(wú)線電，下面是其定義。

全數(shù)字無(wú)線電：用數(shù)字組件實(shí)現(xiàn)的無(wú)線電，大多沒有模擬模塊。

有許多策略可以實(shí)現(xiàn)這種無(wú)線電。一般來(lái)說(shuō)，它們基于一位編碼（One-Bit Coding）來(lái)產(chǎn)生無(wú)線電信號(hào)。

圖1比較了傳統(tǒng)和全數(shù)字無(wú)線電的工作原理。傳統(tǒng)無(wú)線電首先將基帶信號(hào)轉(zhuǎn)換到模擬物理域，然后將其與射頻載波混頻，最后用線性功率放大器放大。相比之下，全數(shù)字無(wú)線電首先使用帶通一位編碼產(chǎn)生調(diào)制方波載波，然后用開關(guān)放大器放大產(chǎn)生的二進(jìn)制信號(hào)。這種方式更加節(jié)能。一位編碼是可能的，因?yàn)榻飘a(chǎn)生的誤差被維持在目標(biāo)頻帶之外，這樣它能夠很容易被過(guò)濾掉。

三、射頻脈寬調(diào)制（Radio-Frequency Pulse-Width Modulation，RF-PWM）

圖2解釋了RF-PWM方波如何逼近無(wú)線電通信中使用的通用帶通信號(hào)。最上面的圖表示的是通用帶通信號(hào)的頻率為f0的正弦波，其幅度a(t)和相位θ(t)能夠瞬時(shí)變化。在頻域中，它占據(jù)從f0-B至f0+B，即2B帶寬，可以寫為：            

中間圖所示的RF-PWM信號(hào)是幅度為1或0的普通方波，其脈沖顯示寬度、頻率和相位的瞬時(shí)變化。

圖2 RF-PWM逼近通用帶通信號(hào)示例

很明顯，RF-PWM方波的基波分量與我們想要近似的通用帶通信號(hào)具有相同的形式。如果基頻比帶寬大的多，基帶分量和諧波就能很好地與基頻分離，并且可以忽略不計(jì)。圖3展示了一個(gè)使用帶通信號(hào)的實(shí)際例子，該信號(hào)具有三個(gè)正交子載波，每個(gè)子載波都經(jīng)過(guò)相位調(diào)制（3íPSK250R），在4KHz基頻附近清晰可見。在目標(biāo)頻帶內(nèi)，RF-PWM可以很好地近似原始正弦波，而方波的基帶和諧波就可以作為噪聲被忽略?？傊?，可以將RF-PWM定義如下：

RF-PWM：一種帶通一位編碼技術(shù)，將通用帶通信號(hào)表示為方波的基波分量，忽略作為帶外噪聲的其他分量。

圖3 帶通信號(hào)舉例

四、軟件控制的（電磁）輻射（Software-Controlled（Electromagnetic）Emission）

關(guān)于輻射安全的文獻(xiàn)已經(jīng)發(fā)現(xiàn)了非特權(quán)軟件可以控制各種輻射?？蓪⑵涓爬ㄈ缦鹿粼Z(yǔ)：電子設(shè)備的意外物理泄露。其具有兩種特性：

1.載波：物理泄露是由一個(gè)或多個(gè)載波組成，這些載波從設(shè)備傳播并可被接受者接收。

2.軟件調(diào)制：非特權(quán)軟件可以通過(guò)某種物理效應(yīng)調(diào)制載波。

Part.2Noise-SDR 方法

為了實(shí)現(xiàn)任意調(diào)制，Noise-SDK在傳統(tǒng)的基于泄露的發(fā)射機(jī)上增加了兩個(gè)抽象級(jí)別，其結(jié)構(gòu)如下：

1.軟件定義基帶（BB）：給定協(xié)議的通用基帶信號(hào)在軟件中生成。

2.軟件全數(shù)字中頻（IF）：使用RF-PWM將通用基帶信號(hào)嵌入方波的基波分量中，該步驟完全在軟件中執(zhí)行。

3.電磁RF泄露：使用一種特殊的軟件模式在電磁泄露上調(diào)制RF-PWM方波。

這種架構(gòu)解決了三個(gè)主要挑戰(zhàn)：

挑戰(zhàn)一及解決方案：通常，軟件不控制潛在泄漏源的頻率和相位。為了解決這個(gè)問(wèn)題，我們依賴于中頻階段。中頻FIF為我們選擇載波fc=Fleak+FIF提供了一定的自由度。此外，我們可以控制輸出信號(hào)的相位，從而實(shí)現(xiàn)頻率或相位調(diào)制。

挑戰(zhàn)二及解決方案：一般而言，軟件只能對(duì)泄露的方波進(jìn)行交叉調(diào)制。相反，我們希望產(chǎn)生一個(gè)經(jīng)過(guò)幅度、頻率和相位調(diào)制的任意正弦?guī)ㄐ盘?hào)。為了解決這個(gè)問(wèn)題，我們利用帶通一位編碼。具體來(lái)說(shuō)，我們使用RF-PWM，它將此類信號(hào)表示為方波的基波分量，忽略作為帶外噪聲的諧波。

挑戰(zhàn)三及解決方案：通常，軟件可用的定時(shí)器源比專用無(wú)線硬件可用的定時(shí)器源具有更低的精度和分辨率。此外，一位編碼技術(shù)通常需要過(guò)采樣和良好的時(shí)間分辨率。為了解決這個(gè)問(wèn)題，我們選擇使用RF-PWM。與其他技術(shù)相比，它采用我們想要產(chǎn)生的信號(hào)頻率的方波。這降低了對(duì)精度和分辨率的要求。

利用這種架構(gòu)，Noise-SDR可以實(shí)現(xiàn)任意調(diào)制。圖4顯示了幾個(gè)不完整的例子。它們包括模擬的和數(shù)字的協(xié)議、使用單個(gè)或多個(gè)副載波、振幅頻率或相位調(diào)制，甚至擴(kuò)頻。

圖4 Noise-SDR實(shí)現(xiàn)任意調(diào)制方法

Noise-SDR是一種不依賴于特定威脅模型的通用方法，但它有一些最低要求：

1.最小控制下的泄漏：目標(biāo)設(shè)備應(yīng)該有一個(gè)泄漏源，軟件可以用方波對(duì)其進(jìn)行交叉調(diào)制。

2.定時(shí)器源：軟件應(yīng)該能夠訪問(wèn)相對(duì)準(zhǔn)確的時(shí)間源。

3.軟件執(zhí)行：Noise-SDR要求在目標(biāo)上執(zhí)行代碼，但沒有任何特權(quán)、許可或?qū)θ魏瓮庠O(shè)的訪問(wèn)權(quán)。這種代碼通常被認(rèn)為無(wú)法傳輸無(wú)線電信號(hào)，但使用Noise-SDR可以建立高級(jí)無(wú)線電通信。

Part.3基于Fldigi工具的Noise-SDR實(shí)現(xiàn)

Fldigi是一款流行的SDR工具，支持多種非專業(yè)無(wú)線電協(xié)議，每種協(xié)議都針對(duì)不同的應(yīng)用進(jìn)行了優(yōu)化。作者將Fldigi與RF-PWM等集成在一起，形成了一款可以在ARMv7-A、ARMv8-A、x86-64和MIPS32上運(yùn)行的獨(dú)立工具。該工具基于對(duì)DRAM的密集內(nèi)存訪問(wèn)來(lái)調(diào)節(jié)DRAM時(shí)鐘的發(fā)射，并且不需要Linux、Windows和Android上的特權(quán)。使用這種模塊化架構(gòu)，添加其他的調(diào)制或協(xié)議非常簡(jiǎn)單。

支持的協(xié)議：Fldigi-Noise-SDR支持的可應(yīng)用于Android的協(xié)議有CW、RTTY、MFSK、PSK、THOR、Olivia等。還添加了一個(gè)簡(jiǎn)單的類似LoRa的CSS協(xié)議和一個(gè)真實(shí)的LoRa實(shí)現(xiàn)?？梢允褂脦追N不同的調(diào)制方案，包括開關(guān)鍵控（OOK）、二進(jìn)制頻移鍵控（BFSK）、M進(jìn)制頻移鍵控（MFSK）、偏移增量頻移鍵控（IFK+）、相移鍵控（PSK）、正交頻分復(fù)用（OFDM）等。

界面：為了簡(jiǎn)單起見，使用命令行界面與工具進(jìn)行交互。

RF-PWM：產(chǎn)生RF-PWM方波的算法如圖5所示。第一步是以傳統(tǒng)方式產(chǎn)生調(diào)制中頻正弦載波；第二步通過(guò)查看零點(diǎn)來(lái)識(shí)別正弦波的所有周期，它和RF-PWM方波的周期相對(duì)應(yīng)，也可以識(shí)別每個(gè)周期的幅度；第三步計(jì)算每個(gè)周期的脈沖寬度，只需對(duì)幅度值進(jìn)行預(yù)失真即可。

泄露：作者等人使用內(nèi)存訪問(wèn)的方式來(lái)調(diào)制DRAM時(shí)鐘（及其諧波）的輻射。為了產(chǎn)生RF-PWM方波，在一個(gè)脈沖Thigh,i期間重復(fù)進(jìn)行密集的存儲(chǔ)器訪問(wèn)，然后保持靜止，直到周期結(jié)束（時(shí)間以ns為單位測(cè)量）。在x86-64/AMD上，訪問(wèn)DRAM是一種行之有效的方法，即使在存在SSC的情況下也會(huì)產(chǎn)生強(qiáng)烈的泄露。由此，可以使用相似但不同的技術(shù)將這種方法擴(kuò)展到使用ARMv7-A和ARMv8-A處理器架構(gòu)的智能手機(jī)上。

圖5 產(chǎn)生RF-PWM方波算法

Part.4實(shí)驗(yàn)評(píng)估

利用特定設(shè)備上的特定泄漏源比較不同協(xié)議和調(diào)制技術(shù)的性能，這是有意義的。因?yàn)橥辉O(shè)備具有相同的屬性，如功率、時(shí)鐘穩(wěn)定性和可用帶寬。不同的泄漏源/裝置將具有不同的特性。因此，并非所有協(xié)議都適用于所有設(shè)備，同樣的調(diào)制方式在其他設(shè)備上的性能也不盡相同。Noise-SDR的優(yōu)勢(shì)之一是能夠靈活地選擇最合適的。

Part.5安全應(yīng)用

一、泄露

攻擊者入侵受害者設(shè)備，然后運(yùn)行Noise-SDR的代碼將敏感數(shù)據(jù)泄露給附近的接收器，接收器也被攻擊者控制。對(duì)攻擊者來(lái)說(shuō)，最壞的情況是受害者被隔離，也就是說(shuō)，與網(wǎng)絡(luò)斷開連接。

二、追蹤

類似與滲透設(shè)置，攻擊者運(yùn)行Noise-SDR的代碼來(lái)傳輸固定的信標(biāo)信號(hào)，該信號(hào)可用于識(shí)別和跟蹤受害者。同樣在這種情況下，攻擊者控制接收器。這種情況尤其適用于移動(dòng)和物聯(lián)網(wǎng)設(shè)備。

三、注入

攻擊者在一個(gè)受害者上使用Noise-SDR，將惡意信號(hào)注入另一個(gè)受害者接收器（在同一平臺(tái)或附近）。當(dāng)將真實(shí)發(fā)射器放置在靠近受害者接收器的位置是不切實(shí)際時(shí)，這是很有用的。利用受害者設(shè)備進(jìn)行傳輸要比使用無(wú)線電設(shè)備更便宜、更隱蔽。

圖6 Noise-SDR的安全應(yīng)用

參考鏈接：https://ieeexplore.ieee.org/document/9833767。

參考文獻(xiàn)

[1]G. Camurati and A. Francillon, "Noise-SDR: Arbitrary Modulation of Electromagnetic Noise from Unprivileged Software and Its Impact on Emission Security," 2022 IEEE Symposium on Security and Privacy (SP), 2022, pp. 1193-1210, doi: 10.1109/SP46214.2022.9833767.

[2]M. G. Kuhn and R. J. Anderson, “Soft Tempest: Hidden data transmission using electromagnetic emanations,” in Information Hiding, D. Aucsmith, Ed. Berlin, Heidelberg: Springer Berlin Heidelberg, 1998, pp. 124–142.

[3]R. Anderson and M. G. Kuhn, “Soft Tempest - an opportunity for NATO,” 1999.

[4]M. Guri, G. Kedma, A. Kachlon, and Y. Elovici, “AirHopper: Bridging the air-gap between isolated networks and mobile phones using radio frequencies,” in 9th International Conference on Malicious and Unwanted Software: The Americas MALWARE 2014, Fajardo, PR, USA, October 28-30, 2014. IEEE Computer Society, 2014, pp. 58–67.

[5]M. Guri, M. Monitz, and Y. Elovici, “Bridging the air gap between isolated networks and mobile phones in a practical cyber-attack,” ACM Trans. Intell. Syst. Technol., vol. 8, no. 4, May 2017.

[6]——, “USBee: Air-gap covert-channel via electromagnetic emission from USB,” in 14th Annual Conference on Privacy, Security and Trust, PST 2016, Auckland, New Zealand, December 12-14, 2016. IEEE, 2016, pp. 264–268.

[7]M. Guri, A. Kachlon, O. Hasson, G. Kedma, Y. Mirsky, and Y. Elovici, “GSMem: Data exfiltration from air-gapped computers over GSM frequencies,” in 24th USENIX Security Symposium, USENIX Security 15, Washington, D.C., USA, August 12-14, 2015, J. Jung and T. Holz, Eds. USENIX Association, 2015, pp. 849–864.

[8]Z. Zhan, Z. Zhang, and X. Koutsoukos, “Bitjabber: The world’s fastest electromagnetic covert channel,” in 2020 IEEE International Test Conference (ITC). IEEE, 2020.

[9]C. Shen, T. Liu, J. Huang, and R. Tan, “When LoRa meets EMR: Electromagnetic covert channels can be super resilient,” in 2021 2021 IEEE Symposium on Security and Privacy (SP). Los Alamitos, CA, USA: IEEE Computer Society, may 2021, pp. 529–542.

[10]M. Guri, “AIR-FI: Generating covert wi-fi signals from air-gapped computers,” CoRR, vol. abs/2012.06884, 2020.

[11]M. Guri, A. Daidakulov, and Y. Elovici, “MAGNETO: Covert channel between air-gapped systems and nearby smartphones via cpu-generated magnetic fields,” CoRR, vol. abs/1802.02317, 2018.

[12]M. Guri, B. Zadov, and Y. Elovici, “ODINI: Escaping sensitive data from faraday-caged, air-gapped computers via magnetic fields,” IEEE Trans. Inf. Forensics Secur., vol. 15, pp. 1190–1203, 2020.

[13]N. Matyunin, J. Szefer, S. Biedermann, and S. Katzenbeisser, “Covert channels using mobile device’s magnetic field sensors,” in 2016 21st Asia and South Pacific Design Automation Conference (ASP-DAC), 2016, pp. 525–532.

[14][13] M. Guri, B. Zadov, D. Bykhovsky, and Y. Elovici, “PowerHammer: Exfiltrating data from air-gapped computers through power lines,” IEEE Trans. Information Forensics and Security, vol. 15, pp. 1879–1890, 2020.

[15]Z. Shao, M. A. Islam, and S. Ren, “Your noise, my signal: Exploiting switching noise for stealthy data exfiltration from desktop computers,” Proc. ACM Meas. Anal. Comput. Syst., vol. 4, no. 1, pp. 07:1–07:39, 2020.

[16]V. Sepetnitsky, M. Guri, and Y. Elovici, “Exfiltration of information from air-gapped machines using monitor’s LED indicator,” in IEEE Joint Intelligence and Security Informatics Conference, JISIC 2014, The Hague, The Netherlands, 24-26 September, 2014. IEEE, 2014, pp. 264–267.

[17]J. Loughry and D. A. Umphress, “Information leakage from optical emanations,” ACM Trans. Inf. Syst. Secur., vol. 5, no. 3, pp. 262–289, 2002.

[18]M. Guri, B. Zadov, and Y. Elovici, “LED-it-GO: Leaking (A lot of) data from air-gapped computers via the (small) hard drive LED,” in Detection of Intrusions and Malware, and Vulnerability Assessment - 14th International Conference, DIMVA 2017, Bonn, Germany, July 6-7, 2017, Proceedings, ser. Lecture Notes in Computer Science, M. Polychronakis and M. Meier, Eds., vol. 10327. Springer, 2017, pp. 161–184.

[19]M. Guri, B. Zadov, A. Daidakulov, and Y. Elovici, “xLED: Covert data exfiltration from air-gapped networks via switch and router leds,” in 16th Annual Conference on Privacy, Security and Trust, PST 2018, Belfast, Northern Ireland, Uk, August 28-30, 2018, K. McLaughlin, A. A. Ghorbani, S. Sezer, R. Lu, L. Chen, R. H. Deng, P. Miller, S. Marsh, and J. R. C. Nurse, Eds. IEEE Computer Society, 2018, pp. 1–12.

[20] [19] M. Guri and D. Bykhovsky, “aIR-Jumper: Covert air-gap exfiltration/infiltration via security cameras & infrared (IR),” Comput. Secur., vol. 82, pp. 15–29, 2019.

[21] R. Hasan, N. Saxena, T. Halevi, S. Zawoad, and D. Rinehart, “Sensing- enabled channels for hard-to-detect command and control of mobile devices,” in 8th ACM Symposium on Information, Computer and Communications Security, ASIA CCS ’13, Hangzhou, China - May 08 - 10, 2013, K. Chen, Q. Xie, W. Qiu, N. Li, and W. Tzeng, Eds. ACM, 2013, pp. 469–480.

[22]V. Subramanian, A. S. Uluagac, H. Cam, and R. A. Beyah, “Examining the characteristics and implications of sensor side channels,” in Proceedings of IEEE International Conference on Communications, ICC 2013, Budapest, Hungary, June 9-13, 2013. IEEE, 2013, pp. 2205–2210.

[23]M. Guri, “AiR-ViBeR: Exfiltrating data from air-gapped computers via covert surface vibrations,” CoRR, vol. abs/2004.06195, 2020.

[24]M. Guri, Y. A. Solewicz, and Y. Elovici, “MOSQUITO: Covert ultrasonic transmissions between two air-gapped computers using speaker-to-speaker communication,” in IEEE Conference on Dependable and Secure Computing, DSC 2018, Kaohsiung, Taiwan, December 10-13, 2018. IEEE, 2018, pp. 1–8.

[25]M. Guri, Y. A. Solewicz, A. Daidakulov, and Y. Elovici, “Acoustic data exfiltration from speakerless air-gapped computers via covert hard-drive noise (‘DiskFiltration’),” in Computer Security - ESORICS 2017 - 22nd European Symposium on Research in Computer Security, Oslo, Norway, September 11-15, 2017, Proceedings, Part II, ser. Lecture Notes in Computer Science, S. N. Foley, D. Gollmann, and E. Snekkenes, Eds., vol. 10493. Springer, 2017, pp. 98–115.

[26]B. Carrara and C. Adams, “On acoustic covert channels between air-gapped systems,” in Foundations and Practice of Security - 7th International Symposium, FPS 2014, Montreal, QC, Canada, November 3-5, 2014. Revised Selected Papers, ser. Lecture Notes in Computer Science, F. Cuppens, J. Garc′?a-Alfaro, A. N. Zincir-Heywood, and P. W. L. Fong, Eds., vol. 8930. Springer, 2014, pp. 3–16.

[27]M. Guri, Y. A. Solewicz, A. Daidakulov, and Y. Elovici, “Fansmitter: Acoustic data exfiltration from (speakerless) air-gapped computers,” CoRR, vol. abs/1606.05915, 2016.

[28]M. Guri, “POWER-SUPPLaY: Leaking data from air-gapped systems by turning the power-supplies into speakers,” IACR Cryptol. ePrint Arch., vol. 2020, p. 516, 2020.

[29]M. Guri, M. Monitz, Y. Mirski, and Y. Elovici, “BitWhisper: Covert signaling channel between air-gapped computers using thermal manipulations,” in 2015 IEEE 28th Computer Security Foundations Symposium, 2015, pp. 276–289.

[30]F. Raab, “Radio frequency pulsewidth modulation,” IEEE Transactions on Communications, vol. 21, no. 8, pp. 958–966, August 1973.

[31]P. A. Nuyts, P. Reynaert, and W. Dehaene, Continuous-time digital front-ends for multistandard wireless transmission. Springer, 2014.

[32]S. Kulkarni, I. Kazi, D. Seebacher, P. Singerl, F. Dielacher, W. Dehaene, and P. Reynaert, “Multi-standard wideband OFDM RF-PWM transmitter in 40nm CMOS,” in ESSCIRC Conference 2015 - 41st European Solid-State Circuits Conference (ESSCIRC), 2015, pp. 88–91.

[33]J. S. Walling, H. Lakdawala, Y. Palaskas, A. Ravi, O. Degani, K. Soumyanath, and D. J. Allstot, “A Class-E PA with pulse-width and pulse-position modulation in 65 nm CMOS,” IEEE Journal of Solid-State Circuits, vol. 44, no. 6, pp. 1668–1678, 2009.

[34]M. Grozing, J. Digel, T. Veigel, R. Bieg, J. Zhang, S. Brandl, M. Schmidt, C. Haslach, D. Markert, and W. Templ, “A RF pulse-width and pulse-position modulator IC in 28 nm FDSOI CMOS,” 2018 IEEE Nordic Circuits and Systems Conference (NORCAS): NORCHIP and International Symposium of System-on-Chip (SoC), pp. 1–4, 2018.?