Транзисторын цацруулсан гэрлээр байршлыг тогтоож, лазераар 2 бит эргүүлэв: Ledger баг Raspberry Pi RP2350-ийн Secure Boot-ийг эвджээ

Raspberry Pi сан шинэ үеийн RP2350 микроконтроллероо зах зээлд гаргахдаа аюулгүй байдалд нь маш их итгэлтэй байв. ARM Cortex-M33 цөм дээр суурилсан, TrustZone дэмжлэгтэй, криптограф түлхүүр хадгалах OTP (One-Time Programmable) санах ойтой, мөн техник хангамжийн түвшинд түгжигддэг дибаг системтэй тул тэд уг чипийн Secure Boot хамгаалалтыг эвдэж чадсан хүнд 10,000 ам.долларын шагнал хүртэл амлаад байсан юм.

Гэвч крипто түрийвч үйлдвэрлэгч Ledger компанийн кибер аюулгүй байдлын элит судалгааны баг болох Ledger Donjon саяхан уг чипийг шинжлэх ухааны уран зөгнөлт кинонд гардагтай адил ер бусын аргаар бүрэн буулган авснаа дэлгэлээ. Тэд микроконтроллерын их биеийг химийн аргаар хуулж, транзисторын ажиллах үедээ цацруулсан сулхан гэрлийг дурандаад, лазерын туяагаар ердөө хоёрхон битийг хүчээр эргүүлж дибаггерийг нь нээж чаджээ.

Транзисторууд "гэрэлтдэг": Photon Emission Microscopy гэж юу вэ?

Энгийн нөхцөлд программ хангамжийн түвшинд чипийн хамгаалалтын регистр хаана байрлаж байгааг мэдэх боломжгүй. Гэвч физикийн хуулиар бол CMOS транзисторууд логик төлөвөө өөрчлөх буюу 0-ээс 1, 1-ээс 0 рүү шилжих агшинд энергийн өчүүхэн алдагдал үүсэж, хэт улаан туяаны зурвасын маш сул фотон (hot-carrier luminescence) ялгаруулдаг.

Ledger Donjon баг чипийн арын хуванцар болон металл хэсгийг хүчил ашиглан хуулж (backside decapsulation), цэвэр цахиурын гадаргууг ил гаргасан байна. Үүний дараа тэд микроконтроллерыг цахилгаанд холбон, тусгай дифференциал фотон ялгаруулалтын микроскопоор (Differential Photon-Emission Microscopy буюу DPEM) ажиглалт хийжээ.

Тэд чипийг дибаг идэвхтэй болон бүрмөсөн идэвхгүй түгжигдсэн хоёр өөр горимд ачаалуулан зургийг нь хооронд нь харьцуулав. Үр дүнд нь гайхамшигтай зүйл болжээ: дибаг төлөв шалгагдах тэр агшинд яг ямар логик хаалганууд ажиллаж гэрэлтэж байгаа нь микроскопын дэлгэц дээр физик координатаараа цэг болон тодрон гарч ирсэн байна. Ингэж тэд RP2350-ийн TrustZone Secure World-ийг түгждэг DEBUGEN регистрийн физик байршлыг микроны нарийвчлалтай олж тогтоожээ.

Лазер пульсоор 2 битийг урвуулав (Laser Fault Injection)

Чип дээрх зорилтот регистрийн X, Y координат тодорхой болсон тул дараагийн алхам нь техник хангамжийн лазер халдлага (Laser Fault Injection - LFI) байв.

DEBUGEN регистр нь хоёр битийн төлөвөөр дибаг интерфэйсийг удирддаг: хэрэв тэдгээр битүүд түгжигдсэн байвал Serial Wire Debug (SWD) порт физик түвшинд таслагдаж, гаднаас нь код унших боломжгүй болдог. Гэвч Ledger-ийн инженерүүд чип ачааллаж, SWD дохио хүлээж авах тэр эгзэгтэй мөчид (precise clock timing) нөгөө тогтоосон координат дээрээ өндөр нарийвчлалтай хэт улаан лазерын богино импульс цохисон байна.

Лазерын гэрэл цахиур дотор фотогүйдэл (photocurrent) үүсгэж, тухайн регистрийн флип-флоп (flip-flop) хэлхээг хүчээр цэнэглэж, хоёр битийн утгыг урвуулжээ (bit flip).

Үр дүнд нь:

1. Үүрд хаагдсан гэгдэж байсан ARM Cortex-M33-ийн Secure World SWD дибаггер гэнэт онгойв.
2. Халдагчийн дибаггер төхөөрөмж чиптэй шууд холбогдож, CPU-ийн регистрүүд болон санах ой руу саадгүй хандах эрхтэй болов.
3. OTP санах ойд бичигдсэн нууц шифрлэлтийн түлхүүрүүд, флаш дахь бүх хамгаалагдсан өгөгдөл, тэр ч байтугай SRAM-д түр байрлаж байсан криптограф мэдээллүүдийг ямар ч саадгүй уншиж авчээ.

Хөгжүүлэгчдэд өгөх сургамж: "Программын төгс хамгаалалт физик хандалтын өмнө хүчин мөхөс"

Энэхүү халдлага нь зөвхөн Raspberry Pi-ийн хувьд биш, IoT, эмбэдэд систем, өөртөө крипто түлхүүр хадгалдаг төхөөрөмж хөгжүүлэгчдийн хувьд маш чухал дохио болж байна.

Хөгжүүлэгчид бид ихэвчлэн архитектурын хувьд Secure Boot, зөв гарын үсэг зурагдсан кодын шалгалт, санах ойн тусгаарлалт (TrustZone/MPU) хийсэн л бол системээ "нэвтрэшгүй" боллоо гэж тооцдог. Гэвч чип өөрөө биет байдлаар халдагчийн гарт очсон үед физик түвшний дараах хүчин зүйлүүд бүх логик түгжээг үгүйсгэж чадна:

• Гэрэл мэдрэгч ба металл бамбай (Metal Shielding): Хэрэв чип өөрөө гадаргуу дээрээ идэвхтэй металл сүлжээ (active shield) эсвэл гэрэл мэдрэгч фотодиодгүй бол лазер болон оптик халдлагад өртөх өндөр эрсдэлтэй. Төгс программ нь нүцгэн цахиурыг хамгаалж чадахгүй.
• Glitch Detection дутагдалтай байх: Төлөв солигдох үеийн хүчдэлийн хэлбэлзэл, гэнэтийн цахилгаан гүйдлийг илрүүлдэг glitch detector техник түвшинд суугаагүй бол логик битүүдийг гаднаас лазераар өөрчлөх боломж нээлттэй хэвээр үлддэг.
• Defence-in-Depth: Хэрэв төхөөрөмж чухал криптограф түлхүүр (жишээ нь, хэрэглэгчийн крипто түрийвч, байгууллагын үндсэн сертификат) хадгалдаг бол энгийн ерөнхий зориулалтын бичил контроллер бус, биет халдлагаас хамгаалагдсан зориулалтын Secure Element (EAL6+ түвшний чип) ашиглах ёстойг энэхүү судалгаа дахин нотоллоо.

Ledger Donjon-ийн энэхүү нээлт нь Raspberry Pi RP2350-ийн хувьд томоохон цохилт болсон төдийгүй цахиурын түвшний аюулгүй байдлыг зөвхөн кодоор шийдэж болдоггүйг баталсан онцлох үйл явдал боллоо.

Эх сурвалж: Ledger Donjon Security Research Blog (donjon.ledger.com)