出生即隐私：利用 VERSA 保护感知数据免受恶意传感器侵害

在物联网/信息物理系统（IoT/CPS）中，保护感知数据的安全存在许多成熟技术，例如对通信端点进行认证、在传输前加密数据以及混淆流量模式。此类技术可保护感知数据免受外部攻击者侵害，但同时假设传感设备本身是安全的。与此同时，针对物联网的攻击在规模和频率上都在增长。这引出一个自然的问题：即便设备上的所有软件均被攻陷，如何保护感知数据？理想情况下，为实现这一点，感知数据必须从其产生之时起即受保护，即从物理量被转换为数字量并可供软件访问的那一刻起。我们将此性质称为 PfB：出生即隐私（Privacy-from-Birth）。本工作中，我们形式化了 PfB，并设计了验证远程传感授权（VERSA，Verified Remote Sensing Authorization）——一种可证明安全且经形式化验证的架构，保证只有预期且显式授权的软件的正确执行才能访问并操控传感接口，具体而言即通用输入输出（GPIO），它是物联网设备上模拟与数字世界之间的通常边界。该保证以最小的硬件支持获得，且即便所有设备软件被攻陷也成立。VERSA 确保恶意软件既无法访问 GPIO 映射内存上的感知数据，也无法获取其任何痕迹。VERSA 经形式化验证，其开源实现面向常用于传感的资源受限物联网边缘设备。实验结果表明，对此类设备，PfB 既可实现又负担得起。