VoltSchemer: Attacchi basati su Rumore di Tensione ai Caricatori Wireless - Analisi e Implicazioni

2.1 Standard di Ricarica Wireless Qi

Lo standard Qi del Wireless Power Consortium (WPC) utilizza l'induzione magnetica a campo vicino per il trasferimento di potenza. La sicurezza è applicata attraverso la comunicazione in-band, dove il caricatore e il dispositivo scambiano pacchetti di controllo modulando il segnale di alimentazione stesso. Le funzionalità di sicurezza critiche includono il Rilevamento di Oggetti Estranei (FOD) per prevenire il riscaldamento di oggetti metallici e i livelli di potenza negoziati per prevenire il sovraccarico.

2.2 Modello di Attacco e Ipotesi

L'obiettivo dell'attaccante è sovvertire il comportamento previsto del caricatore wireless. L'ipotesi fondamentale è che l'attaccante possa controllare o sostituire l'alimentatore (convertitore AC-DC) che alimenta il caricatore. Questa è una minaccia realistica in spazi pubblici (aeroporti, caffè) o tramite stazioni di ricarica compromesse/maligne. Non è richiesta alcuna modifica fisica al caricatore o al dispositivo.

3.1 Vettore di Iniezione del Rumore di Tensione

L'attaccante genera un segnale di rumore di tensione appositamente progettato $V_{noise}(t)$ e lo sovrappone alla tensione di alimentazione CC $V_{dc}$ utilizzando un circuito appositamente costruito. Questa alimentazione rumorosa $V_{supply}(t) = V_{dc} + V_{noise}(t)$ viene fornita al caricatore wireless. A causa delle interferenze elettromagnetiche (EMI) e delle limitazioni del rapporto di reiezione dell'alimentazione (PSRR) nel circuito del caricatore, questo rumore si propaga e modula la corrente nella bobina trasmittente.

3.2 Sfruttamento della Comunicazione In-Band

La comunicazione Qi si basa sulla modulazione di ampiezza del segnale di alimentazione. Modellando $V_{noise}(t)$, l'attaccante può imitare o sovrascrivere pacchetti di comunicazione legittimi. Il rumore iniettato crea frequenze laterali che interferiscono con il processo di demodulazione al ricevitore (telefono), consentendo l'iniezione di pacchetti Qi dannosi o l'interruzione di quelli legittimi.

3.3 Dettagli Tecnici e Modello Matematico

L'attacco può essere modellato come un problema di iniezione di segnale. La corrente della bobina trasmittente $I_{tx}(t)$ è una funzione dell'ingresso del circuito di pilotaggio, che viene corrotto dal rumore di alimentazione. Una rappresentazione semplificata: $I_{tx}(t) = f(V_{dc} + \alpha \cdot V_{noise}(t), C(t))$, dove $f$ è la funzione di trasferimento del caricatore, $\alpha$ è il coefficiente di accoppiamento che rappresenta la suscettibilità al rumore e $C(t)$ sono i segnali di controllo legittimi. L'attaccante progetta $V_{noise}(t)$ per ottenere un $I_{tx}(t)$ dannoso desiderato che corrisponde a messaggi Qi falsificati (ad esempio, "FOD superato", "aumenta potenza").

4.1 Iniezione di Comandi Vocali Inudibili

Il campo magnetico modulato può indurre piccole tensioni nel circuito audio interno di uno smartphone. Codificando comandi vocali nella gamma ultrasonica (>20 kHz), VoltSchemer può attivare gli assistenti vocali (Google Assistant, Siri) senza che l'utente ne sia consapevole, portando a compromissione del dispositivo, esfiltrazione di dati o controllo della casa intelligente.

4.2 Danneggiamento del Dispositivo tramite Sovraccarico/Surriscaldamento

Falsificando i pacchetti di comunicazione Qi, l'attaccante può istruire il caricatore a ignorare il segnale "Fine Trasferimento Potenza" del dispositivo o a erogare potenza oltre i limiti negoziati. Ciò può causare grave degrado della batteria, rigonfiamento o, in casi estremi, fuga termica e incendio.

4.3 Bypass del Rilevamento di Oggetti Estranei (FOD)

Questo è l'attacco più insidioso. Il FOD è una funzionalità di sicurezza critica che rileva la perdita di potenza parassita (ad esempio, su una moneta o una chiave) e si spegne. VoltSchemer può iniettare pacchetti che riportano falsamente un'elevata efficienza di trasferimento di potenza, ingannando il caricatore a operare a piena potenza con un oggetto estraneo presente, creando un grave pericolo di riscaldamento localizzato intenso.

5.1 Configurazione di Test e Dispositivi

Il team ha testato 9 caricatori Qi più venduti di marchi come Anker, Belkin e Samsung. La configurazione di attacco consisteva in un alimentatore programmabile per generare $V_{noise}(t)$, il caricatore target e vari dispositivi vittima (smartphone, telecomandi, unità USB).

5.2 Tassi di Successo e Metriche di Impatto

Tutti e 9 i caricatori erano suscettibili ad almeno un vettore di attacco. L'iniezione di comandi vocali ha avuto successo sui dispositivi posizionati sul caricatore. Gli attacchi di sovraccarico sono stati in grado di forzare cicli di ricarica continui. Il bypass del FOD è stato dimostrato con successo, riscaldando una chiave di casa a oltre 280°C (536°F) in pochi minuti—un chiaro rischio di innesco di incendio.

5.3 Grafici e Visualizzazione dei Dati

Figura 1: Aumento della Temperatura durante l'Attacco di Bypass del FOD. Un grafico a linee mostrerebbe il tempo sull'asse X e la temperatura (°C) sull'asse Y. La linea per un oggetto metallico (ad esempio, una chiave) mostrerebbe un aumento ripido, quasi lineare, dalla temperatura ambiente a oltre 280°C entro 3-5 minuti quando il FOD viene bypassato, mentre la linea per una sessione di ricarica legittima rimarrebbe piatta o mostrerebbe un lieve aumento.

Figura 2: Spettro del Rumore di Tensione per l'Iniezione di Comandi. Un grafico nel dominio della frequenza che mostra il segnale di rumore iniettato dall'attaccante $V_{noise}(f)$. Picchi sarebbero visibili nella banda ultrasonica (ad esempio, 20-24 kHz), corrispondenti al comando vocale modulato, insieme a componenti a bassa frequenza utilizzate per manipolare la temporizzazione dei pacchetti Qi.