姜佩賀，王晨旭，郭 剛，位寅生

1.山東漁翁信息技術(shù)股份有限公司，山東 威海 264200

2.煙臺(tái)大學(xué) 光電信息科學(xué)技術(shù)學(xué)院，山東 煙臺(tái) 264005

3.哈爾濱工業(yè)大學(xué) 電子與信息工程學(xué)院，哈爾濱 150001

硬件木馬（Hardware Trojan Horse，HTH）是一種被惡意攻擊者植入在集成電路內(nèi)部的冗余電路[1-2]。該冗余電路一般處于潛伏狀態(tài)，只有在特定的條件下才能被觸發(fā)，觸發(fā)后將執(zhí)行某種惡意的功能，如關(guān)鍵信息泄漏、芯片意外失效等[3-5]。

近年來(lái)，隨著新一代信息技術(shù)的快速發(fā)展，F(xiàn)PGA在高性能計(jì)算、5G、人工智能、物聯(lián)網(wǎng)等領(lǐng)域的應(yīng)用愈加廣泛。阿里云、騰訊云、百度云等先后部署了基于FPGA的云加速服務(wù)器，微軟將FPGA用于加速必應(yīng)搜索，在密碼學(xué)領(lǐng)域，F(xiàn)PGA以協(xié)處理器的形式完成簽名驗(yàn)簽等密碼算法，保障信息安全的。

FPGA生命周期的多個(gè)階段可能被植入硬件木馬，從而對(duì)信息安全造成威脅。第一，目前主流FPGA廠商均來(lái)自于國(guó)外，且在FPGA器件開(kāi)發(fā)進(jìn)程中，廠商會(huì)使用第三方IP以縮短開(kāi)發(fā)周期，這為木馬的植入創(chuàng)造了條件；第二，目前集成電路設(shè)計(jì)和制造相分離，F(xiàn)PGA芯片在第三方公司的制造過(guò)程，可能被惡意植入硬件木馬；第三，在FPGA應(yīng)用開(kāi)發(fā)過(guò)程中，EDA軟件來(lái)自國(guó)外，其對(duì)RTL代碼的處理過(guò)程是黑盒的，攻擊者在此階段也可以植入木馬；第四，F(xiàn)PGA的配置文件保存在FPGA芯片外部，惡意攻擊者可以通過(guò)偷換或修改配置文件實(shí)現(xiàn)木馬的注入。FPGA應(yīng)用場(chǎng)景廣泛，如果在國(guó)防、金融、交通等關(guān)鍵場(chǎng)景使用的FPGA被植入了硬件木馬，將對(duì)國(guó)家安全造成巨大的威脅。因此，對(duì)FPGA中硬件木馬檢測(cè)技術(shù)的研究勢(shì)在必行。

硬件木馬檢測(cè)技術(shù)用于發(fā)現(xiàn)木馬的存在，近年來(lái)研究者針對(duì)硬件木馬檢測(cè)展開(kāi)了廣泛研究。目前主流的檢測(cè)技術(shù)主要有物理檢測(cè)[6-7]、邏輯測(cè)試[8]、內(nèi)建自測(cè)試[9]和側(cè)信道分析[10-12]等，其中基于側(cè)信道分析的檢測(cè)方法是近年來(lái)的研究主流。

基于環(huán)形振蕩器（Ring Oscillators，RO）的檢測(cè)方法[13-14]由Zhang等提出，該方法屬側(cè)信道分析中的一種，是在集成電路設(shè)計(jì)時(shí)，在芯片版圖的不同區(qū)域設(shè)計(jì)環(huán)形振蕩器，通過(guò)分析芯片中環(huán)形振蕩器的頻率輸出特性，判斷集成電路是否遭到惡意更改或木馬植入。在該方法提出后，F(xiàn)erraiuolo等[15]使用環(huán)形振蕩器和主成分分析法檢測(cè)ASIC中的硬件木馬；Kitsos等[16]分析了環(huán)形振蕩器級(jí)數(shù)與靈敏度的關(guān)系；在此基礎(chǔ)上，Pirpilidis等[17]提出了級(jí)數(shù)可配置的環(huán)形振蕩器結(jié)構(gòu)；趙毅強(qiáng)等[18]討論了工藝偏差對(duì)木馬檢測(cè)的影響，并提出校正方法；Alsaiari等[19]提出了基于可配置斷言（RAC）的檢測(cè)方法。

調(diào)研發(fā)現(xiàn)，基于RO木馬檢測(cè)方法的研究均是面向?qū)Ｓ眉呻娐稟SIC而展開(kāi)的，而隨著FPGA應(yīng)用領(lǐng)域的不斷擴(kuò)展，在FPGA中開(kāi)展硬件木馬的檢測(cè)更是不可或缺的，但由于EDA軟件對(duì)RTL代碼的處理流程是黑盒的，因此，如何通過(guò)添加約束在FPGA內(nèi)部準(zhǔn)確部署RO，以及如何植入木馬以分析該方法在FPGA中的木馬檢測(cè)效果都是需要深入研究的。

基于此，本研究在分析RO檢測(cè)方法原理的基礎(chǔ)上，設(shè)計(jì)基于RO的木馬檢測(cè)電路，在FPGA中精確布局RO位置，在Altera FPGA中通過(guò)增量編譯技術(shù)植入四種類型的典型木馬，使用歸一化差值進(jìn)行數(shù)據(jù)分析，最終實(shí)現(xiàn)木馬的檢測(cè)和定位。

1 環(huán)形振蕩器及硬件木馬檢測(cè)原理

環(huán)形振蕩器是由奇數(shù)個(gè)反相器首位相接而構(gòu)成的電路結(jié)構(gòu)，它可以利用門電路的傳輸延遲特性產(chǎn)生自激振蕩，圖1為由3個(gè)反相器構(gòu)成的環(huán)形振蕩器。

圖1 由三級(jí)反相器構(gòu)成的環(huán)形振蕩器Fig.1 Ring oscillator composed of three-stage inverter

在環(huán)形振蕩器中，假設(shè)一級(jí)門延遲為tpd，則由n級(jí)反相器級(jí)聯(lián)構(gòu)成RO的振蕩周期為T=2ntpd。在實(shí)際集成電路中，每一級(jí)的門延遲可以由公式（1）表示[20]：

式中，CL為等效負(fù)載電容，k′為跨導(dǎo)，W/L為晶體管寬長(zhǎng)比，VDSAT為飽和電壓，Vth為閾值電壓，Vdd為電源電壓。由公式（1）可知，門延遲tpd不僅與集成電路工藝有關(guān)而且與電源電壓有關(guān)。特別是深亞微米工藝下，Vdd已不再遠(yuǎn)遠(yuǎn)大于Vth+VDSAT/2，電源電壓對(duì)門延遲的影響更不容忽視。

基于環(huán)形振蕩器的硬件木馬檢測(cè)原理正是利用了電源電壓對(duì)門延遲的影響。在現(xiàn)代集成電路中，芯片內(nèi)部分布著極為密集的電源網(wǎng)絡(luò)，元器件的增減會(huì)影響其周圍的電源電壓。為實(shí)現(xiàn)硬件木馬的檢測(cè)，在集成電路設(shè)計(jì)過(guò)程中，需要在版圖不同的區(qū)域插入RO，如果在芯片制造時(shí)遭到了惡意木馬植入，則當(dāng)芯片工作時(shí)，木馬周圍RO的振蕩頻率會(huì)發(fā)生變化，木馬規(guī)模越大、距離RO越近，對(duì)振蕩頻率的影響越大。通過(guò)將此頻率與不含有硬件木馬的“黃金芯片”此頻率進(jìn)行數(shù)據(jù)分析，即可實(shí)現(xiàn)木馬的檢測(cè)與定位。

2 檢測(cè)系統(tǒng)設(shè)計(jì)

2.1 環(huán)形振蕩器的設(shè)計(jì)

傳統(tǒng)的環(huán)形振蕩器由奇數(shù)個(gè)反相器構(gòu)成，在本設(shè)計(jì)中，環(huán)形振蕩器采用基于與非門的結(jié)構(gòu)，原因有以下三點(diǎn)：一是相同級(jí)數(shù)的與非門RO比反相器RO的振蕩周期更長(zhǎng)；二是當(dāng)使用與非門構(gòu)成環(huán)形振蕩器時(shí)，與非門的一個(gè)輸入端需要直接連接到VDD，電源電壓變化對(duì)振蕩頻率的影響更大；三是可以通過(guò)增加受控端EN實(shí)現(xiàn)對(duì)振蕩器工作與否的控制。圖2為使用三級(jí)與非門構(gòu)成的環(huán)形振蕩器。

圖2 由三級(jí)與非門構(gòu)成的環(huán)形振蕩器Fig.2 Ring oscillator composed of three-stage NAND gate

RO網(wǎng)絡(luò)中RO的數(shù)量決定了檢測(cè)精度，數(shù)量越多，每個(gè)RO負(fù)責(zé)檢測(cè)的區(qū)域越小，檢測(cè)精度越高，但卻更加浪費(fèi)資源；在每個(gè)RO中，反相器（與非門）的級(jí)數(shù)也需要進(jìn)行權(quán)衡，若級(jí)數(shù)過(guò)少，振蕩頻率就會(huì)很高、功耗更大，并且測(cè)量高頻振蕩頻率難度更大、測(cè)量精度更差。若級(jí)數(shù)過(guò)多，雖然檢測(cè)精度會(huì)提高，但卻占用更多的硬件資源。綜合權(quán)衡后，本設(shè)計(jì)使用的環(huán)形振蕩器網(wǎng)絡(luò)包含6個(gè)RO，每個(gè)RO包含121級(jí)與非門。在其他應(yīng)用中，根據(jù)基礎(chǔ)功能電路規(guī)模，可以對(duì)該數(shù)量進(jìn)行調(diào)整。設(shè)計(jì)的RO網(wǎng)絡(luò)如圖3所示，網(wǎng)絡(luò)中的6個(gè)RO呈分布式布局，分別用于檢測(cè)自身附近區(qū)域的硬件木馬。

圖3 分布式環(huán)形振蕩器網(wǎng)絡(luò)示意圖Fig.3 Schematic diagram of distributed ring oscillator network

在基于RO的木馬檢測(cè)方法中，需要根據(jù)電路系統(tǒng)規(guī)模將RO插入到電路的指定位置?，F(xiàn)有研究[15，17，19]主要是針對(duì)ASCI展開(kāi)，ASIC的版圖完全由設(shè)計(jì)者自行規(guī)劃，可以很自由地規(guī)劃RO位置。但是在FPGA實(shí)現(xiàn)過(guò)程中，EDA軟件對(duì)RTL代碼的處理是黑盒的，為將RO約束在指定位置，可以在Quartus II中，將相應(yīng)的RO模塊設(shè)置為L(zhǎng)ogic-lock區(qū)，通過(guò)修改Logic-lock區(qū)的參數(shù)，以將其規(guī)劃在理想的位置。

2.2 檢測(cè)電路設(shè)計(jì)

設(shè)計(jì)的基于環(huán)形振蕩器的硬件木馬檢測(cè)電路結(jié)構(gòu)如圖4所示。這里假定芯片的基礎(chǔ)功能為5個(gè)并行的DES（Data Encryption Standard）加密算法，DES算法用于保證數(shù)據(jù)傳輸安全，在敏感數(shù)據(jù)保護(hù)領(lǐng)域應(yīng)用廣泛。DES算法的明文輸入由線性反饋移位寄存器LFSR提供，在對(duì)待測(cè)芯片和黃金芯片（已知不含木馬的電路）的每次檢測(cè)中，LFSR應(yīng)使用相同的種子，以保證基礎(chǔ)功能電路執(zhí)行相同的邏輯運(yùn)算。

圖4 基于環(huán)形振蕩器的硬件木馬檢測(cè)電路結(jié)構(gòu)Fig.4 Hardware Trojan detection circuit based on ring oscillator

檢測(cè)電路由鎖相環(huán)PLL、有限狀態(tài)機(jī)FSM、譯碼器、環(huán)形振蕩器網(wǎng)絡(luò)、多路選擇器、計(jì)數(shù)器和串口發(fā)送模塊組成。系統(tǒng)的輸入時(shí)鐘是50 MHz，為了更精確地檢測(cè)出RO的振蕩頻率，使用PLL將時(shí)鐘倍頻至400 MHz。環(huán)形振蕩器網(wǎng)絡(luò)是檢測(cè)模塊的核心，網(wǎng)絡(luò)中的每一個(gè)RO是分時(shí)輪詢工作的，具體流程如下：有限狀態(tài)機(jī)FSM包含6個(gè)狀態(tài)，分別用于輪詢每一個(gè)RO，在某一狀態(tài)下，譯碼器通過(guò)ENn信號(hào)使能該RO，多路選擇器將該RO產(chǎn)生的振蕩信號(hào)OSCn輸出到計(jì)數(shù)器。計(jì)數(shù)器對(duì)振蕩頻率進(jìn)行測(cè)量，為提高測(cè)量精度，計(jì)數(shù)器每一次測(cè)量n個(gè)RO振蕩周期內(nèi)的時(shí)鐘（400 MHz）周期數(shù)。在測(cè)量時(shí)鐘頻率一定的條件下，測(cè)量時(shí)間越長(zhǎng)，檢測(cè)精度越高，這里取n=2 047。最終，串口發(fā)送模塊將6個(gè)RO的輪詢數(shù)據(jù)打包發(fā)送至上位機(jī)。

3 硬件木馬與植入技術(shù)

3.1 四種典型硬件木馬設(shè)計(jì)

硬件木馬通常包含觸發(fā)電路和負(fù)載電路兩個(gè)部分，按照觸發(fā)電路和負(fù)載電路的工作情況可以將木馬電路分為全激活狀態(tài)、部分激活狀態(tài)和靜止?fàn)顟B(tài)三種狀態(tài)。（1）全激活狀態(tài)是指當(dāng)觸發(fā)條件滿足時(shí)，木馬被觸發(fā)，負(fù)載電路開(kāi)始工作；（2）部分激活狀態(tài)是指觸發(fā)條件沒(méi)有滿足，雖然硬件木馬處于未被觸發(fā)的狀態(tài)，但木馬電路內(nèi)部部分電路節(jié)點(diǎn)發(fā)生翻轉(zhuǎn)是不可避免的；（3）靜止?fàn)顟B(tài)是指經(jīng)設(shè)計(jì)者的精心設(shè)計(jì)，硬件木馬未被觸發(fā)，并且內(nèi)部的所有電路節(jié)點(diǎn)都完全不翻轉(zhuǎn)。全激活和部分激活狀態(tài)下木馬電路存在動(dòng)態(tài)功耗，而靜止?fàn)顟B(tài)不存在動(dòng)態(tài)功耗。但靜態(tài)功耗是三種狀態(tài)都不可避免的，并且隨著工藝尺寸的不斷下降，靜態(tài)功耗在總功耗中的占比日益增大。

硬件木馬本質(zhì)上為冗余電路，因此，本研究使用線性反饋移位寄存器和串行進(jìn)位加法器分別代表組合型和時(shí)序型木馬。根據(jù)電路類型以及功耗的來(lái)源，設(shè)計(jì)了四種類型的木馬，具體如表1所示。同時(shí)，為了方便對(duì)比，經(jīng)過(guò)優(yōu)化，4種電路占用的邏輯資源基本相同。

表1 四種典型的硬件木馬Table 1 Four typical hardware trojans

3.2 木馬的植入

為了測(cè)試木馬檢測(cè)效果，木馬植入技術(shù)也是需要進(jìn)行細(xì)致研究的。這里假設(shè)惡意攻擊者通過(guò)修改版圖實(shí)現(xiàn)硬件木馬的植入。即在木馬植入前后，除惡意冗余電路外，其他電路應(yīng)具有相同的布局布線結(jié)果，即版圖相同。這在ASIC設(shè)計(jì)中是很容易實(shí)現(xiàn)的[15，17，19]，但在FPGA木馬檢測(cè)的相關(guān)研究中并沒(méi)有類似的討論，在文獻(xiàn)[16]中也僅僅提到了在Xilinx FPGA中需要PlanAhead工具。

本研究提出了在Altera FPGA中使用Quartus II的增量編譯（Smart Compilatio）技術(shù)實(shí)現(xiàn)該要求的方法。該方法克服了綜合優(yōu)化等過(guò)程由EDA工具自動(dòng)完成所造成的困難。在增量編譯過(guò)程中，只有增量編譯前后的模塊具有相同的輸入輸出，編譯才不發(fā)生錯(cuò)誤。即在含有和不含有木馬的電路中，冗余電路模塊都要具有相同的輸入輸出。為滿足該要求，在含有木馬的電路中植入真實(shí)的木馬（以下簡(jiǎn)稱真木馬），而在不需要含有木馬的電路中，植入最簡(jiǎn)單的門電路（以下簡(jiǎn)稱假木馬），假木馬的目的僅僅是為了保證與真木馬有相同的輸入輸出，由于僅由幾個(gè)門構(gòu)成，對(duì)系統(tǒng)的影響可以忽略。

使用增量編譯技術(shù)實(shí)現(xiàn)木馬的植入方法有兩種，分別是“先預(yù)留再植入”和“先植入再移除”?！跋阮A(yù)留再植入”是指首先編譯含有假木馬的電路，這個(gè)過(guò)程相當(dāng)于是預(yù)留，然后再將假木馬換為真木馬，進(jìn)行第二次編譯；另一種方法是“先植入再移除”，是指第一次編譯含有真木馬的電路，然后將真木馬換為假木馬，再進(jìn)行第二次編譯。先植入再移除的方法更好地模擬了ASIC流程中硬件木馬的植入環(huán)境，硬件木馬被植入在原始版圖的空白部分。因此，本設(shè)計(jì)采用“先植入再移除”的方法植入硬件木馬。

植入硬件木馬前后的FPGA版圖如圖5和圖6所示。圖中顏色較深的藍(lán)色區(qū)域表示該邏輯資源已被占用，顏色較淺的區(qū)域表示未被占用。由圖可知，RO1～6被約束在版圖中的不同位置，并在RO3附近植入了硬件木馬。對(duì)比可以發(fā)現(xiàn)，植入木馬前后只是在木馬約束區(qū)域內(nèi)版圖有所不同，其余部分是完全相同的。因此，在后續(xù)實(shí)驗(yàn)中，若環(huán)形振蕩器振蕩頻率發(fā)生變化，則影響一定來(lái)源于硬件木馬的植入。

圖5 植入假木馬（無(wú)木馬）時(shí)FPGA版圖Fig.5 FPGA layout with fake Trojan horse（without Trojan horse）

圖6 植入真木馬時(shí)FPGA版圖Fig.6 FPGA layout with Trojan horse

4 實(shí)驗(yàn)結(jié)果與分析

針對(duì)四種典型的木馬電路，依次進(jìn)行四次實(shí)驗(yàn)。每次實(shí)驗(yàn)使用兩塊FPGA開(kāi)發(fā)板，其中一塊加載不含木馬的比特流，另一塊加載是含有木馬的比特流。程序加載后，不同RO的振蕩頻率將通過(guò)串口發(fā)送至上位機(jī)，采用多次測(cè)量求平均值的方式抵消噪聲和測(cè)量誤差，設(shè)定的平均次數(shù)為200次。

使用歸一化差值算法對(duì)平均后的數(shù)據(jù)進(jìn)行處理，具體算法如下：

其中，data1_ave和data2_ave分別表示含有木馬和不含木馬的數(shù)據(jù)采集矩陣，矩陣大小為1×6，矩陣中的6個(gè)元素分別為6個(gè)RO進(jìn)行200次平均后的振蕩頻率；mean為求矩陣均值函數(shù)；abs為取絕對(duì)值函數(shù)；ones（1，6）表示一個(gè)大小為1×6且元素為1的矩陣。

圖7（a）～（d）分別展示了不同類型木馬的數(shù)據(jù)分析結(jié)果，在四幅圖中，RO3處都存在明顯的尖峰，即采用所提出的方法，四種類型的木馬均被成功檢出。在圖7（c）和圖7（d）中，雖然RO3出存在尖峰，但尖峰值明顯小于圖7（a）和圖7（b）的結(jié)果，這是因?yàn)榈谝唤M實(shí)驗(yàn)和第二組實(shí)驗(yàn)中的硬件木馬既有動(dòng)態(tài)功耗又有靜態(tài)功耗，而第三組和第四組實(shí)驗(yàn)中的硬件木馬只有靜態(tài)功耗。這與前文的分析是一致的。

圖7 木馬檢測(cè)結(jié)果Fig.7 Detection results of Trojan horse

相關(guān)文獻(xiàn)大都針對(duì)ASIC展開(kāi)，并且在不同的文獻(xiàn)中，作者植入的木馬不盡相同，因而無(wú)法進(jìn)行橫向的對(duì)比，但本實(shí)驗(yàn)對(duì)僅具有靜態(tài)功耗的木馬電路3和木馬電路4能夠成功檢測(cè)，這在相關(guān)文章中是不多見(jiàn)的，這不僅說(shuō)明了所提出方法的有效性，更印證了其先進(jìn)性。

5 結(jié)束語(yǔ)

保障國(guó)家信息安全，建設(shè)安全自主可控的信息體系已成為國(guó)家戰(zhàn)略。本研究面向FPGA應(yīng)用，在基于環(huán)形振蕩器的硬件木馬檢測(cè)方法之上，通過(guò)在FPGA內(nèi)部部署RO，使用增量編譯技術(shù)實(shí)現(xiàn)了四種典型木馬的植入，使用歸一化差值算法發(fā)現(xiàn)并定位了木馬。檢測(cè)結(jié)果表明，基于環(huán)形振蕩器的硬件木馬檢測(cè)方法在FPGA中具有很好的木馬檢出效果。所提出的方法已經(jīng)在公司實(shí)際FPGA產(chǎn)品中使用，為及時(shí)發(fā)現(xiàn)木馬，保證信息安全提供了一種有效途徑。然而，木馬種類千變?nèi)f化，攻擊者的植入方式也越來(lái)越高明，只有進(jìn)一步提高國(guó)家綜合實(shí)力，打造具有自主知識(shí)產(chǎn)權(quán)的中國(guó)芯，才能從根本避免受到硬件木馬的侵害。