WhisperFuzz：基于白盒模糊测试的处理器时序漏洞检测与定位技术研究

一、研究团队与发表信息
本研究由来自印度理工学院马德拉斯分校（Indian Institute of Technology Madras）的Pallavi Borkar、德州农工大学（Texas A&M University）的Chen Chen、德国达姆施塔特工业大学（Technische Universität Darmstadt）的Mohamadreza Rostami等学者合作完成，成果发表于第33届USENIX安全研讨会（33rd USENIX Security Symposium），会议于2024年8月14日至16日在美国费城举行。论文标题为《WhisperFuzz: White-box Fuzzing for Detecting and Locating Timing Vulnerabilities in Processors》。

二、学术背景与研究目标
科学领域：本研究属于硬件安全（Hardware Security）与微架构侧信道分析（Microarchitectural Side-Channel Analysis）交叉领域，聚焦处理器时序漏洞（Timing Vulnerabilities）的自动化检测与定位。

研究背景：
1. 问题紧迫性：现代处理器设计复杂度激增，时序漏洞（如Spectre、Meltdown等）可通过执行时间差异泄露敏感信息，且硬件漏洞难以通过后期补丁修复。
2. 现有技术局限：传统黑盒/灰盒模糊测试（Black-box/Grey-box Fuzzing）虽能发现漏洞，但无法定位根因（Root Cause），且缺乏量化时序行为覆盖率的指标。
3. 研究目标：开发首个结合白盒模糊测试（White-box Fuzzing）与静态分析的工具WhisperFuzz，实现时序漏洞的检测、定位及覆盖率评估，提升硬件设计阶段的安全性验证效率。

三、研究流程与方法
1. 微事件图（Micro-Event Graph, MEG）构建
- 对象：处理器设计的寄存器传输级（RTL, Register-Transfer Level）代码，针对每个模块独立生成MEG。
- 方法：通过静态分析提取模块内所有信号节点（如寄存器、线网）及其依赖关系，将时序行为建模为有向图。图中节点代表硬件元素，边标注触发条件（如Verilog代码行号）。
- 创新点：提出分层MEG策略，降低复杂处理器整体分析的复杂度。

2. 时序行为特征化
- 对象：RISC-V开源处理器（Boom、Rocket Core、CVA6）的模块级仿真轨迹（Simulation Traces）。
- 方法：
- 种子生成：基于覆盖率反馈的模糊器（如HypFuzz）生成指令序列种子。
- 操作数变异：专用变异算法（Operand Mutator）仅修改指令的立即数/内存地址，触发数据依赖性时序差异。
- 分层泄漏分析：自底向上逐层分析模块时序行为，优先检测低层级模块漏洞。

3. 漏洞定位与根因分析
- 方法：
- 诊断器（Diagnozer）：对比差异时序的仿真轨迹，定位首个分叉信号节点，通过广度优先搜索追溯至时序元件（如状态寄存器）。
- 覆盖率分析：将MEG路径转化为SystemVerilog断言（SVA Cover Properties），量化时序行为覆盖率。

4. 实验验证
- 对象：三大RISC-V处理器（Boom、Rocket Core、CVA6），共覆盖431个模块实例（如Boom的分支预测单元）。
- 工具链：Synopsys VCS仿真器、Chipyard开发环境。

四、主要研究结果
1. 新漏洞发现
- 12个新型时序漏洞：包括CVA6的divuw指令（除数为0时延迟增加54周期）、Boom的divuw+rem指令组合（最大差异101周期）等。
- 严重性评估：8个漏洞违反RISC-V ZKT扩展的“零延迟”要求，可被用于构建隐蔽信道（Covert Channel）。

2. 漏洞定位精度
- 自动化根因定位：例如，CVA6的divuw漏洞根因定位至serdiv模块的8个状态寄存器（如op_b_zero_q），耗时仅数秒。
- 跨处理器对比：同一类漏洞（如除法异常）在不同处理器中的RTL实现位置各异，验证了工具泛化能力。

3. 时序覆盖率指标
- 覆盖率数据：在CVA6、Rocket Core、Boom上分别达到39.57%、33.16%、20.20%的时序路径覆盖，为设计者提供量化安全信心。

五、结论与价值
科学价值：
1. 方法论创新：首次将白盒模糊测试与静态分析结合，解决时序漏洞定位难题。
2. 工具贡献：WhisperFuzz为开源处理器提供自动化安全验证框架，支持RTL级漏洞修复。

应用价值：
- 工业实践：可集成至芯片设计流程，提前发现如AMD ZenBleed类似的漏洞。
- 标准合规：助力RISC-V等开放架构满足时序安全规范（如ZKT扩展）。

六、研究亮点
1. 微事件图模型：突破传统FSM（有限状态机）的抽象限制，实现细粒度时序行为建模。
2. 分层分析策略：通过模块优先级排序，显著提升漏洞检测效率。
3. 跨平台验证：在复杂乱序执行（Out-of-Order）处理器（如Boom）中验证有效性。

其他价值：
- 公开了PoC代码（如触发divuw漏洞的指令序列），推动社区复现与研究。
- 为后续研究提供基准数据集（如Boom的431个模块层次结构）。

（注：专业术语如“模糊测试（Fuzzing）”“寄存器传输级（RTL）”等在首次出现时标注英文原词。）