實體隔離系統旨在保持靜默，移除網路連接埠、鎖定輸入，設備應該不會聽到任何聲音。但一項新的研究表明，當軟體控制權喪失時，這種機制就會失效，在沒有無線電模組和感測器的嵌入式設備情況下，仍然可以透過無線方式接收指令。

從熟悉的威脅模型出發

安全團隊會對這種設定感到熟悉，攻擊者首先透過惡意韌體更新或供應鏈問題等手段取得嵌入式裝置上的程式碼執行權限。該設備與網路實體隔離，其設計本身不包含任何無線介面。

過去的研究主要集中在從這類系統中取得數據，而這項工作則反其道而行之，旨在將資訊發送到設備中，從而無需電纜、感測器或實體接觸即可實現命令和控制。早期的氣隙滲透嘗試依賴麥克風、攝影機、LED或溫度感測器等組件。這些方法對距離、對準或數據速率都有嚴格的限制。作者著手測試嵌入式硬體本身是否可以充當接收器。

隱藏在眼前的組成單元

這裡涉及三個常見的硬體元件，它們共同構成了一個意想不到的無線電接收器。

1. 印刷電路板（PCB）是設備內部的實體電路板，它承載著晶片和傳輸電訊號的銅箔線路。在某些頻率下，這些線路會接收到來自周圍環境的無線電能量。
2. 通用輸入輸出接腳（GPIO）是微控制器上由軟體控制的連接點。軟體設定決定訊號如何進入晶片，從而影響無線電能量耦合到晶片的方式。
3. 類比數位轉換器（ADC）測量電壓變化並將其轉換為軟體可以讀取的數字。

當無線電能量耦合到連接到GPIO的PCB走線上時，晶片內部會出現微小的電壓變化。電路特性會將這種高頻能量轉換為較慢的頻率變化， ADC會捕捉這些變化，使軟體能夠偵測訊號中的模式。

尋找敏感路徑

研究人員建構了一種系統化的方法來尋找這些效應，他們循環切換設備的內部ADC連線和GPIO配置。對於每種配置，他們都將設備暴露於受控的無線電訊號中。

他們分別在發射器關閉和開啟的情況下採集了ADC樣本，透過比較這兩種情況，他們測量了每種配置對無線電能量的反應強度。這個過程涵蓋了每個裝置的數十條內部路徑以及每條路徑上的數十個GPIO設定，最終生成了一張能夠以可測量的方式顯示無線電能量洩漏到系統中的位置圖。

設備測試顯示穩定的無線電響應能力

在開發板上驗證了方法後，團隊將測試集擴展到14個裝置。這些設備包括12款市售產品和兩款客製化開發板，涵蓋硬體錢包、微控制器開發板和小型無人機平台。在300至 1000兆赫茲之間出現了可重複的無線電接收，可偵測的訊號功率低至約1毫瓦。

所有測試設備均表現出可測量的無線電靈敏度，有些設備只有幾條靈敏路徑，有些則有幾十條。多個平台的峰值信噪比超過 30 dB。研究人員對裸露的電路板進行了測試，以找出其作用機制。外殼在某些情況下降低了靈敏度，但並未完全消除靈敏度。結果表明，這種現象並非特定產品類型或供應商所獨有。

樣本和時間上的穩定性

攻擊要奏效，靈敏度必須是可預測的。我們使用相同的配置和訊號設定測試了同一型號電路板的多個副本。結果發現，幾種靈敏度模式在不同樣本中始終存在，這意味著攻擊者可以分析一個設備的特性，並將這些發現應用到同一型號的另一個設備上。

他們還測量了24小時內的穩定性，以評估該效應是否能在較短的測試窗口期後持續存在。大多數敏感頻率區域隨時間推移保持穩定，僅部分路徑出現輕微漂移。設備方向的變化會影響訊號強度，但仍能維持接收效果，這表示實體位置影響的是訊號品質而非可用性。

接地隔離實驗表明，訊號是透過空氣而非電纜傳輸的。在某些情況下，移除USB纜線會降低靈敏度；而在其他情況下，靈敏度則會提高。這證實了僅靠板級耦合即可支援訊號接收。

將敏感性轉化為數據

確定敏感路徑後，團隊測試了資料接收情況。他們採用了開關鍵控技術，即發射機將載波切換為1表示訊號，切換為0表示訊號。這種選擇與觀察到的行為相符，能夠區分訊號的存在與否。在理想同步條件下，當估計接收功率達到約10毫瓦時，幾條路徑的誤碼率低於 1%。其中一條路徑在接收功率約1毫瓦時，誤碼率維持在2%以下。

頻寬測試表明，即使在更高的速率下過渡變得模糊，高達每秒100千位元的符號速率仍然可分辨。在更長的測試中，研究人員以每秒1千位元的速率傳輸了約12,000位元的資料。在3公尺的距離上，接收過程中沒有出現任何錯誤。在20公尺的距離上，誤碼率達到了約6.2%。錯誤以突發形式出現，可以透過標準糾錯機制來修正。

同樣的裝置穿過混凝土牆也能正常運作，證明了非視距接收的可行性。

這些測量結果揭示了防禦狀況

本文包含有關緩解措施的實驗觀察。實驗室測試表明，金屬屏蔽層會阻擋訊號接收。塑膠外殼會降低訊號強度。與沒有接地層的電路板相比，具有連續接地層的客製化電路板在寬頻率範圍內靈敏度降低了20 dB以上。儘管如此，仍然存在殘餘敏感路徑，這表明接地可以降低輻射暴露。研究也提到頻譜監測和故意干擾是可能的應對措施，儘管這些方法會帶來操作上的後果。

資料來源：https://www.helpnetsecurity.com/2025/12/30/air-gapped-embedded-devices-wireless-infiltration/