การโจมตีควบคุมพิน (Pin control attack ) เป็นรูปแบบหนึ่งของการโจมตีระบบบนชิป (System-on-a-chip: SoC) ในระบบฝังตัวโดยผู้โจมตีจะมุ่งเป้าไป ที่การกำหนดค่าอินพุต/เอาต์พุต ( I/O configuration) ของระบบฝังตัว และปิดใช้งานฟังก์ชันอินพุต/เอาต์พุตของซอฟต์แวร์หรือระบบปฏิบัติการโดยไม่ถูกตรวจจับ การโจมตีนี้เป็นไปได้เนื่องจากขาดการป้องกันฮาร์ดแวร์สำหรับการกำหนดค่าพินและการกำหนดค่า มัลติเพล็กซ์พิน

เป้าหมายสำคัญที่สุดของการโจมตีแบบควบคุมพินคือตัวควบคุมลอจิกแบบโปรแกรมได้ (PLC) การโจมตีแบบควบคุมพินบน PLC มีความสำคัญเนื่องจาก I/O เป็นกลไกหลักที่ PLC ใช้ในการโต้ตอบและควบคุมโลกภายนอก I/O ของ PLC เช่นเดียวกับอุปกรณ์ฝังตัวอื่นๆ ถูกควบคุมด้วยวิธีการแบบใช้พิน การโจมตีแบบควบคุมพินเป็นการโจมตีที่ผู้โจมตีสามารถเปลี่ยนแปลงความสมบูรณ์และความพร้อมใช้งานของ I/O ของ PLC โดยการใช้ประโยชน์จากการดำเนินการควบคุมพินบางอย่างและการขาดการขัดจังหวะ ฮาร์ดแวร์ ที่เกี่ยวข้องกับการดำเนินการเหล่านั้น

ตัวอย่างแรกของการโจมตีประเภทนี้ถูกเปิดเผยครั้งแรกในงาน Black Hat Europe 2016 ^{[ 1 ]}การโจมตีควบคุมพินใช้การตั้งค่าการกำหนดค่าอุปกรณ์ต่อพ่วง I/O ของ PLC SoC เพื่อยุติอินเทอร์เฟซการสื่อสารโมดูล I/O จาก PLC ทางกายภาพ โดยการกำหนดเป้าหมายไปที่การกำหนดค่า I/O ของ PLC แทนที่จะเป็นรันไทม์ของ PLC หรือการเปลี่ยนแปลงโปรแกรมลอจิกผู้โจมตีสามารถหลีกเลี่ยงกลไกการตรวจจับทั่วไปที่มีอยู่ในระบบฝังตัวได้^{[ 2 ]}

การโจมตี PLC แบบคลาสสิกอาศัยการแก้ไขเฟิร์มแวร์ของอุปกรณ์ พารามิเตอร์การกำหนดค่า หรือการไหลของการทำงานของกระบวนการที่กำลังทำงาน การโจมตีแบบทั่วไปเหล่านี้จะทำให้เกิดการขัดจังหวะในโหมดการทำงานปกติของ PLC ซึ่งซอฟต์แวร์รักษาความปลอดภัย เช่นIDSจะตรวจจับได้และแจ้งเตือนผู้ปฏิบัติงาน การโจมตีแบบควบคุมพินมุ่งเป้าไปที่หน่วยความจำแบบไดนามิกของ PLC ซึ่งเป็นที่ที่อุปกรณ์จัดเก็บการกำหนดค่า I/O ^{[ 3 ] [ 4 ]}

นักวิจัยแนะนำรูปแบบการโจมตีอย่างน้อยสองแบบ ได้แก่ การโจมตีการกำหนดค่าพินและการโจมตีการมัลติเพล็กซ์พิน^{[ 5 ]}แม้ว่าเวกเตอร์การโจมตีทั้งสองนี้จะดำเนินการแตกต่างกัน แต่แนวคิดของพวกมันก็คล้ายคลึงกัน และทั้งสองแบบจะยุติการทำงานของ I/O จากการเข้าถึงซอฟต์แวร์โดยไม่มีการขัดจังหวะฮาร์ดแวร์ จึงทำให้ตรวจจับไม่ได้^{[ 6 ]}

PLC สามารถรับและส่งสัญญาณไฟฟ้าและอิเล็กทรอนิกส์ได้หลายประเภท อินพุตซึ่งโดยทั่วไปมาจากเซ็นเซอร์ และเอาต์พุตซึ่งสามารถใช้ควบคุมมอเตอร์ วาล์ว หรือรีเลย์ จะเชื่อมโยงกับพินอินพุตและเอาต์พุตบนวงจรรวมที่เรียกว่าระบบบนชิป (SoC) ตัวควบคุมพินของ SoC สามารถกำหนดค่าโหมดของพินได้ (เช่น ตั้งค่าให้ทำหน้าที่เป็นอินพุตหรือเอาต์พุต) ผู้เชี่ยวชาญค้นพบว่าผู้โจมตีที่บุกรุก PLC สามารถแก้ไขอินพุตและเอาต์พุตได้โดยไม่ถูกตรวจพบและโดยไม่แจ้งเตือนผู้ปฏิบัติงานที่ตรวจสอบกระบวนการผ่านอินเทอร์เฟซระหว่างมนุษย์กับเครื่องจักร (HMI) ^{[ 7 ]}

โดยทั่วไปแล้ว SoC แบบฝังตัวจะใช้พินหลายร้อยพินที่เชื่อมต่อกับวงจรไฟฟ้า พินบางส่วนมีวัตถุประสงค์ที่กำหนดไว้เพียงอย่างเดียว ตัวอย่างเช่น บางพินให้เฉพาะกระแสไฟฟ้าหรือสัญญาณนาฬิกา เท่านั้น เนื่องจากผู้ผลิตอุปกรณ์ต่างๆ ที่มีความต้องการ I/O ที่หลากหลายจะใช้ SoC เหล่านี้ ผู้ผลิต SoC จึงผลิต SoC ของตนให้ใช้พินทางกายภาพบางตัวสำหรับฟังก์ชันการทำงานที่แตกต่างกันหลายอย่าง ขึ้นอยู่กับแอปพลิเคชัน^{[ 8 ]}แนวคิดของการกำหนดฟังก์ชันการทำงานของพินใหม่เรียกว่า Pin Multiplexing และเป็นหนึ่งในข้อกำหนดที่จำเป็นของการออกแบบ SoC ^{[ 9 ]}เกี่ยวกับการทำงานร่วมกันของ Pin Multiplexing กับระบบปฏิบัติการ ผู้ผลิต SoC แนะนำให้มัลติเพล็กซ์พินเฉพาะในช่วงเริ่มต้นเท่านั้น เนื่องจากไม่มีการขัดจังหวะสำหรับการมัลติเพล็กซ์ อย่างไรก็ตาม ผู้ใช้ยังคงสามารถมัลติเพล็กซ์พินในระหว่างการทำงานได้ และไม่มีข้อจำกัดใดๆ ในเรื่องนี้

การออกแบบ Pin Multiplexing ในระดับฮาร์ดแวร์ในปัจจุบันทำให้เกิดคำถามด้านความปลอดภัย ตัวอย่างเช่น สมมติว่าแอปพลิเคชันหนึ่งใช้ตัวควบคุมอุปกรณ์ต่อพ่วงเฉพาะที่เชื่อมต่อกับพินที่มีการตั้งค่ามัลติเพล็กซ์เฉพาะ ในบางจุด แอปพลิเคชันอื่น (แอปพลิเคชันที่สอง) เปลี่ยนการตั้งค่ามัลติเพล็กซ์ของพินที่แอปพลิเคชันแรกใช้ เมื่อพินถูกมัลติเพล็กซ์ การเชื่อมต่อทางกายภาพกับตัวควบคุมอุปกรณ์ต่อพ่วงตัวแรกจะถูกตัดการเชื่อมต่อ อย่างไรก็ตาม เนื่องจากไม่มีการขัดจังหวะในระดับฮาร์ดแวร์ ระบบปฏิบัติการจะถือว่าตัวควบคุมอุปกรณ์ต่อพ่วงตัวแรกยังคงใช้งานได้ ดังนั้น ระบบปฏิบัติการจะดำเนินการเขียนและอ่านตามที่แอปพลิเคชันร้องขอต่อไปโดยไม่มีข้อผิดพลาด^{[ 6 ]}

แนวคิดของการเปลี่ยนแปลงฟังก์ชันการทำงานของพินที่เชื่อมต่อกับ I/O ในระหว่างการทำงานเรียกว่าการโจมตีแบบมัลติเพล็กซ์พิน^{[ 10 ]}

ทั้งการกำหนดค่าพินและการมัลติเพล็กซ์พินไม่ทำให้เกิดการแจ้งเตือนหรือการขัดจังหวะฮาร์ดแวร์ใดๆ^{[ 7 ]}ดังนั้น ในระหว่างการโจมตีแบบแอคทีฟ รันไทม์ PLC จะโต้ตอบกับหน่วยความจำ I/O เสมือน ในขณะที่ผู้โจมตีได้ยุติการเชื่อมต่อทางกายภาพของ I/O กับหน่วยความจำเสมือน สถานะที่ค่า I/O ในหน่วยความจำซอฟต์แวร์ไม่สะท้อนถึงหน่วยความจำ I/O ทางกายภาพเรียกว่าภาพลวงตาของหน่วยความจำ I/O ^{[ 11 ]}

• การโจมตี DMA
• การโจมตีแบบ Cold boot
• ลอจิกล็อกเกอร์
• ปัญหาด้านความปลอดภัยของ FireWire