זיהוי Trojan חומרה מובן במעבדים

# איתור אירוסי חומרה בעזרת אינטליגנציה גרפית הניתנת להסבר: מיסודות לטכניקות מתקדמות

## תוכן עניינים
- [הקדמה](#הקדמה)
- [אירוסי חומרה: איום הולך וגובר](#אירוסי-חומרה--איום-הולך-וגובר)
  - [הגדרת אירוסי חומרה](#הגדרת-אירוסי-חומרה)
  - [סוגי אירוסי חומרה](#סוגי-אירוסי-חומרה)
- [אתגרים באיתור אירוסי חומרה](#אתגרים-באיתור-אירוסי-חומרה)
- [עליית איתור אירוסי חומרה מבוסס גרף](#עליית-איתור-אירוסי-חומרה-מבוסס-גרף)
  - [מדוע גרפים לאבטחת חומרה?](#מדוע-גרפים-לאבטחת-חומרה)
  - [בינה מלאכותית ניתנת להסבר ורשתות נוירונים גרפיות](#בינה-מלאכותית-ניתנת-להסבר-ורשתות-נוירונים-גרפיות)
- [שיטות לאיתור](#שיטות-לאיתור)
  - [1. בניית גרף מקובצי נטיסטים של מעגלים](#1-בניית-גרף-מקובצי-נטיסטים-של-מעגלים)
  - [2. הנדסת מאפיינים](#2-הנדסת-מאפיינים)
  - [3. למידת מכונה ורשתות נוירונים גרפיות](#3-למידת-מכונה-ורשתות-נוירונים-גרפיות)
  - [4. תובנות והסברים ניתנים להסבר והמחשה](#4-תובנות-והסברים-ניתנים-להסבר-והמחשה)
- [איתור אירוסי חומרה בזמן אמת](#איתור-אירוסי-חומרה-בזמן-אמת)
- [דוגמאות קוד: ניתוח נטיסטים ואיתור חריגות](#דוגמאות-קוד-ניתוח-נטיסטים-ואיתור-חריגות)
  - [ניתוח נטיסטים של חומרה](#ניתוח-נטיסטים-של-חומרה)
  - [דוגמה לבניית גרף בעזרת NetworkX](#דוגמה-לבניית-גרף-בעזרת-networkx)
  - [איתור מבוסס למידת מכונה (Python)](#איתור-מבוסס-למידת-מכונה-python)
- [דוגמאות מהעולם האמיתי של התקפות אירוסי חומרה](#דוגמאות-מהעולם-האמת-של-התקפות-אירוסי-חומרה)
- [שיטות עבודה מיטביות לאיתור אירוסי חומרה בהגנת סייבר](#שיטות-עבודה-מיטביות-לאיתור-אירוסי-חומרה-בהגנת-סייבר)
- [סיכום](#סיכום)
- [מקורות](#מקורות)

---

## הקדמה

**אירוסי חומרה** הם שינויים מזיקים המוחדרים בחשאי אל תוך מעגלים משולבים (ICs) בשלבים שונים של תכנון וייצור חומרה. בניגוד לתוכנות זדוניות, איומים מבוססי חומרה אלו יכולים לשהות ללא פעילות במשך שנים לפני שהם מופעלים—מה שעלול לסכן את אבטחת המערכת, האמינות והסודיות.

עם תפוצתם של נכסי קניין רוחני (IP) מצד שלישי, שרשראות אספקת מוליכים למחצה גלובליות, והגדלת מורכבות השבבים, הסיכונים לאבטחת חומרה רלוונטיים מתמיד. נוף זה עורר עניין בטכניקות זיהוי מתקדמות, כולל **למידת מכונה מבוססת גרפים ניתנת להסבר** ואיתור חריגות בזמן ריצה, כדי להגן מפני איומים בלתי נראים אלו.

מדריך מעמיק זה חוקר זיהוי אירוסי חומרה, תוך העמקה מיסודות לקונספטים מתקדמים, דוגמאות קוד מעשיות ויישומים מהעולם האמיתי, כולם מרוכזים בסינרגיה בין טכניקות גרפיות ניתנות להסבר ואבטחת חומרה.

---

## אירוסי חומרה: איום הולך וגובר

### הגדרת אירוסי חומרה

**אירוס חומרה** הוא שינוי קטן, מתוכנן בכוונה ובזדון, למעגל משולב. לעיתים קרובות, השתלה זו היא מרומזת ונשארת לא פעילה במהלך הפעולה הרגילה, ומופעלת רק בתנאים נדירים ומסוימים (למשל, רצף קלט מסוים או מצב סביבתי מסוים).

**מאפיינים עיקריים:**
- **חמקני:** מוסתר ומטושטש במהלך בדיקות רגילות או שימוש.
- **זדוני:** מתוכנן להדליף נתונים סודיים, להפריע לפעולה, או ליצור דלתות אחוריות נסתרות עבור תוקפים.
- **תגובתי:** מופעל רק על ידי גירויים מסוימים, מה שהופך אותם לקשים לזיהוי באמצעות בדיקות רגילות.

> **דוגמה:** אירוס חומרה יכול להיות כמה שערי לוגיקה נוספים בלוגיקת הבקרה של מעבד. כאשר רצף מפתח סודי נשלח, הוא מפעיל דלת אחורית, המדליפה מידע קריפטוגרפי או מבטלת בדיקות אבטחה.

### סוגי אירוסי חומרה

בדרך כלל מסווגים את אירוסי החומרה לפי **מבנה** ו **פעולה** שלהם:

| קטגוריה                     | דוגמאות                                       | השפעה                                   |
|-----------------------------|------------------------------------------------|----------------------------------------|
| **אירוסים פונקציונליים**   | הזרקת תקלות, לוגיקת מניעת שיר (DoS)           | הורדת איכות מערכת, תקיעה               |
| **אירוסים פרמטריים**       | שינויים בעיכוב, החדרת נתיב דלפה               | כשלי תזמון, התקפות ערוץ לידידי         |
| **דליפת מידע**             | אוטובוסים תקשורתיות סמויות, הקלטות נתונים      | הפרות סודיות                           |
| **אירוסים פיזיים**         | חוטים נוספים, טרנזיסטורים סמויים              | פגיעה באמינות, חבלה                   |

---

## אתגרים באיתור אירוסי חומרה

- **סבירות הפעלה נמוכה:** האירוסים מתוכננים לפעול בתנאים נדירים, מה שמאפשר להם לחמוק מזיהוי במהלך תבניות בדיקה המשמשות בייצור וב QA.
- **ערפול תכנון:** שינויים זדוניים מעורבלים לעיתים קרובות בתוך עיצובים מורכבים גדולים, במיוחד ב IP ליבות וב SoCs (מערכת על שבב) בעלי קנה מידה גדול.
- **מפתחות זהב מוגבלים:** וידוא בדרך כלל דורש התייחסות ידועה-טובה ("שבב זהב"), שאולי לא תמיד קיימת, במיוחד כשיש מיקור חוץ של הייצור.
- **שרשרת אספקה מצד ג'** בתקופה המודרנית הרבה מהשבבים נעזרים ב IP מצד שלישי, מספקים חששות אמון בקשר לספקים זרים או לא מהימנים.
- **מורכבות עצומה:** עם מיליארדי טרנזיסטורים ועשרות אלפי קשרים ברשימות נטיסטים, בחינה ידנית מוערכת אינה אפשרית.

---

## עליית איתור אירוסי חומרה מבוסס גרף

### מדוע גרפים לאבטחת חומרה?

מכיוון שמעגלים דיגיטליים יכולים להתחבר כקשרים משולבים (שערים, מחסנים ארעיים, רשתות), הם **מיוצגים באופן טבעי כגרפים**.

**קשרים:** שערים, מחסנים ארעיים, רישומים  
**שוליים (קצוות):** חוטים/רשתות המחברות מרכיבים

![ייצוג גרף של מעגל](https://i.imgur.com/EhKJUu7.png)

השימוש בייצוג מבוסס גרף מאפשר:
- **ניתוח תבניות מתקדם:** זיהוי אנומליות מבניות באמצעות אלגוריתמים מבוססי גרף.
- **למידה תלוית קשר:** לכידת דפוסי הקשר ותלות של רכיבי לוגיקה.
- **יכולת להסבר:** המחשה של קשרים חשודים, אשכולות או חיבורים.

### בינה מלאכותית ניתנת להסבר ורשתות נוירונים גרפיות

**רשתות נוירונים גרפיות (GNNs)** מהפכניות באופן שבו ניתן לנתח נתונים מבניים (כמו מעגלים):
- מודלים את התלות המורכבת בין קשרים.
- לומדים מאפיינים המבדילים בין מבנים לגיטימיים למבנים מוכנסים בעורמה.

הוספת **יכולת להסבר**—שימוש בכלים כמו Grad-CAM, מנגנוני תשומת לב (attention mechanisms), או ערכי SHAP—מאפשרת לאנליסטים אנושיים להבין "מדוע" מודל חושד באזור מסוים במעגל, שזה חשוב ביותר לבניית אמון ולאפשר חקירות משפטיות יחסיות.

---

## שיטות לאיתור

### 1. בניית גרף מקובצי נטיסטים של מעגלים

עיצובים דיגיטליים מובעים באמצעות קבצי **נטיסטים** (Verilog, VHDL, או EDIF) המורכבים מרשימת רכיבי החומרה והקשרים ביניהם.

**צעדים:**
1. **נתח את הנטיסט:** חלץ רכיבים וחיבורים בחוטים.
2. **בנה את הגרף:** המפה שערים/מחסנים ארעיים כקשרים; חוטים כקצוות מונחים.
3. **הערך תכונות:** תייג קשרים עם סוג, fan-in, fan-out, ומיקום.

*דוגמה לתמצית נטיסט (Verilog):*
```verilog
and u1 (.A(a), .B(b), .Y(net1));
xor u2 (.A(net1), .B(c), .Y(out));

מתורגמת לגרף מונחה:

קשרים: u1 (AND), u2 (XOR)
קצה: פלט u1 (net1) מתחבר לקלט של u2

2. הנדסת מאפיינים

מאפיינים מבניים ותפקודיים נמשכים, כגון:

דרגת קשר (fan-in, fan-out)
התפלגות סוג לוגיקה
סטטיסטיקת אורך נתיב
מיקום/טופולוגיה במעגל
חוסר סדר סיגנלי, קצבי מעבר

תבניות חריגות או אשכולות לוגיקה לא רגילים עשויים להעיד על החדרת אירוס.

3. למידת מכונה ורשתות נוירונים גרפיות

למידה מסורתית: מאפיינים שנוצרים ידנית משמשים עם מודלים כמו יערות מקריים (Random Forests) או SVM.
רשתות נוירונים גרפיות: לומדות באופן אוטומטי מאפיינים מובחנים ממבנה הגרף.

# דוגמה: PyTorch Geometric לרשת נוירונים גרפית על גרפים של מעגלים
from torch_geometric.data import Data
import torch

# הנח שנוצרו כבר מאפייני קשר ומספרי קצוות
data = Data(x=torch.tensor(node_features, dtype=torch.float),
            edge_index=torch.tensor(edge_index, dtype=torch.long))
# ניתן כעת לאמן את מודל ה-GNN על נתונים אלו

4. תובנות והסברים ניתנים להסבר והמחשה

מודלים ניתנים להסבר יכולים להדגיש אזורים חשודים, כגון:

קשרים עם זרימת שליטה/נתונים חריגה.
קצוות או מארגני קשר אשר נדירים בעיצובים תמימים.
תת-גרפים עם לוגיקה לא טיפוסית.

כלים:

Netron להמחשת גרפים נוירונים וחומרה.
SHAP, LIME להסבר למידת מכונה.

איתור אירוסי חומרה בזמן אמת

איתור בזמן אמת הוא קריטי לניטור מערכות מקושרות ותפיסת אירוסים שמפעילים במהלך פעולה.

שיטה אחת (מקור):

ניטור אירועים מיקרוארכיטקטוניים (למשל, תחזיות סיכון שגויות, שמע שגוי של המחשב, ספירת הוראות).
שימוש באלגוריתמי זיהוי חריגות—כמו עצי חצי חלל—כדי לזהות פעילות חריגה הקשורה למפעילי אירוסים.

סקירה כללית לדוגמה:

איסוף נתוני מונה ביצועי חומרה בזמן אמת.
ללמוד "התנהגות נורמלית" מתוך פעולה נקיה.
שימוש בשיטות סטטיסטיות/למידת מכונה כדי לזיהוי חריגות.

דוגמאות קוד: ניתוח נטיסטים ואיתור חריגות

כך תוכל להתחיל ניתוח ממשי בעזרת כלים סטנדרטיים וסקריפטים ב Python.

ניתוח נטיסטים של חומרה

ננתח כעת נטיסט Verilog פשוט כדי לציין חיבורים.

# parse_netlist.py

import re

def parse_verilog_netlist(file_path):
    components = []
    connections = []
    with open(file_path) as f:
        for line in f:
            # קריאת הגדרות שערים
            m = re.match(r'(\w+)\s+(\w+)\s*\((.*)\);', line)
            if m:
                gate_type, instance, ports = m.groups()
                port_pairs = re.findall(r'\.(\w+)\((\w+)\)', ports)
                for port_name, net_name in port_pairs:
                    connections.append((instance, net_name, port_name))
                components.append((instance, gate_type))
    return components, connections

# שימוש לדוגמה:
components, connections = parse_verilog_netlist('sample_netlist.v')
print('רכיבים:', components)
print('חיבורים:', connections)

דוגמה לבניית גרף בעזרת NetworkX

import networkx as nx

def build_graph(components, connections):
    G = nx.DiGraph()
    for inst, gate in components:
        G.add_node(inst, type=gate)
    for inst, net, port in connections:
        # כאן ניתן לקשר בין מופעים לפי שם רשת משותף
        # פישוט: במקרים אמיתיים, נתח את החוטים/רשתות באופן מדויק יותר
        G.add_edge(inst, net, port=port)
    return G

# בנה וקרא כ-GraphML להמחשה
G = build_graph(components, connections)
nx.write_graphml(G, 'circuit.graphml')

איתור מבוסס למידת מכונה (Python)

נניח שנשלפו מאפיינים ברמת הקשרים (fan-in, fan-out, סוג), ניתן לאמן מסווג לסמן מועמדי איברים זדוניים.

from sklearn.ensemble import RandomForestClassifier
import numpy as np

# מאפיינים: [fan-in, fan-out, gate_type_encoded]
X = np.array([[2, 1, 0], [1, 2, 1], ...])
y = np.array([0, 1, ...])  # 0 = תמים, 1 = אירוס

clf = RandomForestClassifier(n_estimators=50)
clf.fit(X, y)

# נבא על קשרים חדשים במעגל
X_new = np.array([[1, 2, 1], ...])
y_pred = clf.predict(X_new)
print('קשרים חריגים:', np.where(y_pred == 1))

דוגמאות מהעולם האמיתי של התקפות אירוסי חומרה

2008 (לא מאומת, מצוטט רבות): קבלנים של הגנה גילו שבבים משובשים ששימשו במערכות צבאיות וכללו אירוסי חומרה שיכלו לשתק את השבב לפי פקודה.
**2012 (בחזרה לעכ

ודות RAID):** חוקרים הדגימו אירוס שרשרת אספקה שדלף מפתחות AES על ידי מניפולציה של חלקים מינימליים של מעגל.

2013 (הוכחת מושג): בכנס עליון לאבטחת חומרה, מדענים הראו כיצד שער לוגיקה פשוט נוסף במיקרו-מעבד מאפשר דלת אחורית להענקה נסתרת, חומק ממבחני QA סטנדרטיים.

שיטות עבודה מיטביות לאיתור אירוסי חומרה בהגנת סייבר

אמץ איתור רב-שכבתי, רב-שיטתי: שלב ניטור סטטי (בזמן תכנון) וניטור בזמן אמת להגנה מקיפה.
נצל אינטליגנציה גרפית ניתנת להסבר: העדף מכשירי זיהוי המספקים תוצאות ברורות, ניתנות להסבר לפעולה מהירה.
ודא IP מצד ג': מנתק ולנתח באופן דקדקני ליבות IP ממוכרים—במיוחד אלו מאיזורים בעלי סיכון בטחוני גבוה יותר.
שקיפות שרשרת אספקה: דרוש תעודת ובדיקת עקיבות ממפעלי קישים וכפילי IP.
אמן וודע מודלים על נתונים מגוונים: השתמש בבנקי אירוסי חומרה סינתטיים וממשיים להימנע מהתאמה יתרה ושלילי שווא.

סיכום

איתור אירוסי חומרה נמצא בנקודת המפגש בין תכנון חומרה, אבטחה ולמידת מכונה. ככל שגדל המורכבות של שבבים והתחכום של התקפות, יכולת הזיהוי המהירה, המדויקת והניתנת להסבר של שינויים זדוניים היא חיונית.

טכניקות גרפיות ניתנות להסבר מציעות דרך עוצמתית קדימה:

הן מנצלות את המבנה המקורי של מעגלים דיגיטליים.
הן מאפשרות לימוד עמוק ואוטומטי של תבניות חשודות.
הן מספקות שקיפות, המסייעת לאנליסטים להאמין—ולפעול—להתראות מונעות AI.

על ידי שילוב התקדמויות ברשתות נוירונים גרפיות, בינה מלאכותית ניתנת להסבר וניטור חזק בזמן אמת, אנשי אבטחה ומתכנני חומרה יכולים להישאר לפני יריבים ולוודא את האמינות של התשתיות הדיגיטליות הקריטיות ביותר שלנו.

מקורות

מאמר זה נועד כסקירה כוללת ומשאב לסטודנטים, מהנדסים ומומחי הגנת סייבר המתעניינים בנקודת המפגש בין אבטחת חומרה ולמידת מכונה ניתנת להסבר.

זיהוי Trojan חומרה מובן במעבדים

קח את קריירת הסייבר שלך לשלב הבא