Laser Fault Injection (LFI) ist die technisch anspruchsvollste Angriffsmethode im Werkzeugkasten der Hardware-Sicherheitsforschung. Dabei wird ein präzise fokussierter Infrarotlaser auf den freigelegten Silizium-Chip eines Bauteils gerichtet, um einen bestimmten Transistor während einer bestimmten Operation gezielt zu stören. Gelingt dies, lassen sich geheime Schlüssel selbst aus Chips extrahieren, die genau davor schützen sollen.
Several publicly documented cases demonstrate that this technique has been successfully applied to dedicated secure chips used in hardware wallets and authentication tokens to protect cryptographic secrets.
This article takes a closer look at some specific cases. It also explains why laser fault injection isn't a significant concern for most hardware wallet users.
Laser Fault Injection proves that certified secure elements can be broken under laboratory conditions. It also proves that doing so requires six distinct operational barriers that cannot be removed, compressed, or automated.
Was ist Laser Fault Injection?
Bevor wir uns konkrete Beispiele ansehen, klären wir, was Laser Fault Injection eigentlich ist und wie sie funktioniert.
Der photoelektrische Effekt
Halbleiter-Transistoren reagieren empfindlich auf Licht. Treffen Photonen aus einer Laserquelle auf einen Transistor im Silizium-Chip, entstehen Elektron-Loch-Paare – ein Effekt, der auf Halbleiterebene als photoelektrischer Effekt bezeichnet wird.
Eine kurzfristige Einspeisung von Ladungsträgern kann den Zustand eines Transistors verändern. Das bedeutet: Ein Transistor, der eigentlich ausgeschaltet bleiben sollte, kann kurzzeitig eingeschaltet werden – oder einer, der einen Wert halten sollte, kann diesen verlieren. Geschieht dies am richtigen Transistor, zur richtigen Zeit, während der passenden Instruktion, kann der Chip gezielt fehlgesteuert werden.
Transistoren moderner Sicherheitschips sind winzig (Nanometer-Bereich), daher muss der Laserstrahl auf wenige Mikrometer fokussiert werden, um gezielt eine bestimmte Funktionsregion zu treffen, ohne benachbarte Schutzmechanismen auszulösen. Auch das Timing muss auf Nanosekunden genau stimmen, und die Laserenergie muss so kalibriert sein, dass ein steuerbarer Fehler ausgelöst wird, ohne die Schaltung dauerhaft zu zerstören.
Was müssen Forschende vor dem Lasereinsatz tun?
Allein die physische Vorbereitung des Chips umfasst mehrere Schritte, von denen jeder scheitern kann:
Entfernen von Bauteilen: Der Chip muss vorsichtig von der Platine gelötet werden, ohne ihn zu beschädigen. Dafür sind Heißluft-Lötstationen und eine ruhige Hand nötig. Wird der Chip beim Entfernen beschädigt, ist er nicht mehr angreifbar.
Package decapping: Das Kunststoffgehäuse des Chips muss entfernt werden, um das Silizium freizulegen. Standard ist das chemische Öffnen mit rauchender Salpetersäure – hochkorrosiv, benötigt Abzugshaube und Chemikalien-Know-how. Alternativ kann das Gehäuse mechanisch gefräst werden, was das Die verkratzen kann. Beide Methoden verändern den Chip dauerhaft und lassen das Gehäuse verschwinden.
Montage: Das freigelegte Die wird auf einer speziell angefertigten Angriffsplatine montiert, die Stromversorgung, Masse und Kommunikation bereitstellt – und die Oberfläche für den Laser zugänglich hält. Das Board muss exakt zum Pinout und Strombedarf des Zielchips passen.
Die-Mapping: Bevor ein Fehler injiziert werden kann, muss die Zielregion auf dem Die identifiziert werden. Dafür braucht es Infrarotmikroskopie, um eine fotografische Karte der Oberfläche zu erstellen, kombiniert mit Wissen über die Lage bestimmter Funktionsblöcke wie Speicher, Authentifizierungslogik und AES-Engine. Gibt es kein veröffentlichtes Die-Foto, muss diese Zuordnung komplett von außen erfolgen.
Das Parameterraum-Problem
Selbst wenn der Chip vorbereitet und das Die kartiert ist, erfordert ein LFI-Angriff das Finden der richtigen Kombination aus drei unabhängigen Parametern:
Die Koordinaten des Laserpunktes auf dem Die (X- und Y-Position),
Das Timing des Pulses relativ zum Chip-Betrieb (in Nanosekunden)
Die Laserenergie (Pulsdauer und Leistung).
Jeder dieser Parameter hat einen großen Wertebereich. Um die richtige Kombination zu finden, die einen nutzbaren Fehler statt Absturz, Wirkungslosigkeit oder dauerhafte Zerstörung erzeugt, muss systematisch getestet werden.
Die in diesem Artikel dokumentierten Fälle erforderten jeweils wochenlange aktive Parametersuche, bevor eine erfolgreiche Fehlerinjektion gelang.
Wie sieht ein erfolgreicher LFI-Angriff aus – und was kostet ein Fehlschlag?
Ein erfolgreicher Angriff erzeugt eine der folgenden kontrollierten Fehlfunktionen:
Eine Sicherheitsprüfung liefert ein falsches Ergebnis,
Ein geschützter Speicherbereich wird zugänglich
Ein Authentifizierungsschritt wird umgangen.
Ein Fehlschlag führt zu einem von drei Ergebnissen:
Der Chip läuft normal weiter (keine Wirkung),
Der Chip stürzt ab und muss zurückgesetzt werden (Fortschritt verloren),
Der Chip wird dauerhaft zerstört, der Angriff muss an einem neuen Exemplar neu beginnen.
Die Zerstörung von Chips während eines Angriffs ist nicht ungewöhnlich. Im Ledger Donjon-Projekt zur ATECC-Serie wurde explizit ein erheblicher Chipverlust während der Parametertests dokumentiert. Jeder zerstörte Chip steht für einen gescheiterten Angriff ohne Ergebnis und erfordert entweder ein Ersatzbauteil aus demselben Gerät oder ein neues Zielgerät.
Der ATAES132A ist ein AES-basierter Secure Serial EEPROM von Microchip Technology – das erste Gerät ihrer CryptoAuthentication AES-Familie.
Das Datenblatt listet explizit folgende physische Sicherheitsfunktionen:
Manipulationsschutz für Spannung, Temperatur, Frequenz und Licht;
Eine aktive Metallschicht über der Schaltung; interne Speicherverschlüsselung;
Nicht näher beschriebene zusätzliche Gegenmaßnahmen.
Eine CC-Zertifizierung besitzt das Bauteil nicht. Die Sicherheitsversprechen beruhen auf dem proprietären Design laut Datenblatt und einer ROM-Firmware, die extern nicht einsehbar ist.
Forschung
Forschende des Fraunhofer AISEC – Bjoern Selmke, Endres Strieder, Johann Heyszl, Stefan Freud und Thomas Damm – veröffentlichten ihre Ergebnisse auf der FPS 2021 (Foundations and Practice of Security); das vollständige Paper erschien 2022 in Springers Lecture Notes in Computer Science.
Das Hauptziel des Projekts war es, eine klare Methode zur Prüfung der Sicherheit von Chips zu entwickeln, deren Inneres nicht einsehbar ist („Black-Box“-Laser-Fault-Injection). Der ATAES132A wurde als gutes Beispiel für Bauteile ausgewählt, die in realen Anwendungen Informationen schützen sollen.
Angriffsmethodik
Die Forschenden hatten keinen Zugang zum Quellcode, zu Designdokumenten oder Fotos des Chips. Sie begannen mit einer Photoemissionsanalyse – einer Methode, die das schwache Licht misst, das Transistoren beim Schalten aussenden.
Durch Aufnahmen des Chips während bestimmter Operationen konnten sie erkennen, welche Bereiche bei bestimmten Kommandos aktiv waren. So entstand eine Funktionskarte, ohne die Schaltung zu kennen.
Mit dieser Karte identifizierten sie Kandidatenregionen für die Fehlerinjektion – also Bereiche, die vermutlich sicherheitskritische Logik enthalten. Anschließend erfolgte die systematische Parametertests: Laserposition, Timing, Pulsdauer und Energie wurden in den Zielregionen variiert, während Authentifizierungskommandos an den Chip gesendet wurden.
Das Ziel war der Zugriffsmechanismus für Speicherzonen, der unautorisierte Lesezugriffe auf geschützte Nutzerzonen verhindert. Der Angriff sollte erreichen, dass diese Prüfung ein positives Ergebnis liefert, ohne dass der Angreifer eine gültige Authentifizierung vorweisen muss – so konnten die Inhalte einer geschützten Zone direkt ausgelesen werden.
Der Angriff war erfolgreich: Die Forschenden konnten den geheimen Schlüssel aus einer geschützten Nutzerzone via Laser Fault Injection extrahieren – ohne Kenntnis der Authentifizierungsdaten.
Fall 2: Microchip ATECC508A und ATECC608A
[ LASER FAULT INJECTION · Ledger Donjon · SSTIC 2020 / SSTIC 2021 · Black Hat USA 2020 ]
Der Microchip ATECC508A ist ein Secure Element, das in vielen IoT- und Embedded-Security-Anwendungen genutzt wird – darunter auch in der Coldcard Mk2 Bitcoin Hardware-Wallet.
Obwohl der Chip hohe Sicherheitsstandards wie FIPS 186-3 und FIPS-RNG erfüllt, ist er nicht CC-zertifiziert.
Der Angriff auf den ATECC508A im Jahr 2020
Das Ziel war der Authentifizierungsmechanismus für den Datenslot. Speichert die Coldcard Mk2 die Seed, wird sie in einem als geheim konfigurierten Slot abgelegt, der nur nach erfolgreicher Authentifizierung ausgelesen werden kann. Die Authentifizierung erfordert die Eingabe des richtigen PIN-Hashes. Die Idee: Selbst bei physischem Zugriff auf den Chip kann der Slot ohne PIN nicht ausgelesen werden.
Durch gezieltes Lasern auf eine exakt identifizierte Region des Chips im Moment der Zugriffsprüfung konnten die Forschenden erreichen, dass die Prüfung unabhängig von der Authentifizierung als erfolgreich galt.
Physische Vorbereitung: Der ATECC508A musste von der Wallet-Platine ausgelötet, das Chipgehäuse von der Rückseite abgefräst und das Die auf einer Angriffsplatine montiert werden. Ein Infrarotmikroskop diente zur Kartierung der Chipstruktur und zur Identifikation der Zielregion.
Equipment cost: Das von Ledger Donjon genutzte LFI-Setup kostet rund 200.000 US-Dollar – ohne die nötigen Fachkräfte für Entwicklung und Durchführung des Angriffs.
Das Angriffsvorgehen ist destruktiv: Das Chipgehäuse wird dauerhaft entfernt und das Bauteil kann nicht mehr eingesetzt werden.
6 Gründe, warum LFI-Angriffe nicht skalieren
Sechs Hürden verhindern, dass dieser Laborangriff praktisch eine Gefahr für Hardware-Wallet-Nutzer darstellt – unabhängig von Können oder Budget des Angreifers.
Barrier
What LFI requires
Why does it prevent mass attack
Physical access
Der Chip muss ausgelötet, decapped und in eine spezielle Angriffs-Vorrichtung eingesetzt werden. Das Gerät wird dauerhaft verändert.
Jedes Ziel muss einzeln bearbeitet werden. Ein Angriff ist nicht aus der Ferne möglich.
Chip decapping
Chemisches oder mechanisches Entfernen des Chipgehäuses, um das Silizium zu exponieren. Erfordert rauchende Salpetersäure oder Präzisionsfräsen.
Irreversibel. Das Gerät kann nicht unbemerkt wiederverwendet werden.
Beschränkt den Angriff auf Fälle, in denen ein Diebstahl bereits akzeptiert wird.
Capital equipment
Infrarot-Laserquelle, präziser XY-Tisch oder Mikroskop, Oszilloskop, Spezialplatine, Photoemissionsanalyse-Setup: mindestens 100.000–200.000 US-Dollar.
Die Investition lässt sich nicht auf viele Ziele verteilen wie bei Softwareangriffen. Jeder Chip benötigt individuelle Parametrierung.
Parameter search time
Die korrekte Fehlerstelle, das Timing, die Laserenergie und Pulsdauer müssen im großen Parameterraum aufwendig gesucht werden; Tage bis Wochen pro Chipfamilie.
Der Zeitaufwand pro Ziel ist hoch und kaum reduzierbar. Vorwissen hilft, aber jede Chipvariante erfordert neue Kalibrierung.
Specialized expertise
Tiefgehendes Wissen in Halbleiterphysik, Fehlerinjektion, Signalanalyse, Chip-Layout und Embedded-Systemen – eine seltene Kombination, nicht einfach zu beschaffen.
Nur wenige Personen weltweit verfügen über diese Fähigkeiten, sie sind der Forschungsszene bekannt und nicht im kriminellen Milieu verfügbar.
Uncertain return
Erfolg ist probabilistisch. Fehlerinjektion hat eine relevante Fehlerquote. Chips können zerstört werden, ohne dass Daten gewonnen werden.
Der erwartete Ertrag pro Versuch wird durch die Ausfallwahrscheinlichkeit gemindert. Für durchschnittliche Guthaben lohnt sich der Aufwand nicht.
Alle sechs Hürden wirken gemeinsam und potenzieren sich gegenseitig. Ein Angreifer muss sie alle gleichzeitig überwinden – das macht Hardware-Wallets deutlich sicherer.
Der eigentliche Zweck von LFI-Forschung
Forschung, die einen erfolgreichen Angriff dokumentiert, macht Chips auf zwei Arten sicherer: Erstens zwingt sie Hersteller, ihre Gegenmaßnahmen in neuen Chipgenerationen zu verbessern.
Zweitens definieren veröffentlichte Angriffsmethoden die Mindestanforderung, gegen die Chipdesigner sich schützen müssen – und zeigen, was ein gut ausgestatteter Angreifer leisten kann.
Fazit
Das solltest du als Hardware-Wallet-Nutzer mitnehmen:
Laser Fault Injection ist real und funktioniert – Forschende haben so tatsächlich Secure Chips geknackt. In der Praxis müsste aber zuerst dein Gerät physisch gestohlen werden.
Sobald der Angriff beginnt, wird dein Gerät sichtbar und dauerhaft zerstört – du würdest Manipulation sofort erkennen.
Allein die Ausrüstung kostet mindestens 100.000–200.000 US-Dollar. Das kann kein Gelegenheitsdieb leisten. Außerdem sind wochenlange Laborarbeiten pro Chip nötig. Ein Massenangriff ist unmöglich.
Der Angriff kann scheitern und den Chip zerstören, ohne dass Daten gewonnen werden – selbst für den Angreifer ist es ein Risiko.
Für normale Nutzer lohnt sich der Aufwand für Angreifer schlicht nicht. Die echten Gefahren sind Phishing, Malware und die Preisgabe der Seed-Phrase – nicht ein Laser-Labor.
Autoren: Bjoern Selmke, Endres Strieder, Johann Heyszl, Stefan Freud, Thomas Damm
Fragen Sie die KI, ob Tangem zu Ihren Bedürfnissen passt
Recherchieren Sie die Tangem Wallet mit KI, um herauszufinden, ob unsere Sicherheit und Benutzerfreundlichkeit zu Ihren individuellen Anwendungsfällen passen
Fragen Sie die KI, ob Tangem zu Ihren Bedürfnissen passt
Recherchieren Sie die Tangem Wallet mit KI, um herauszufinden, ob unsere Sicherheit und Benutzerfreundlichkeit zu Ihren individuellen Anwendungsfällen passen
Oder öffnen Sie es in
Noch unentschlossen?
Entdecken Sie die Grundlagen, vergleichen Sie die verschiedenen Optionen oder sparen Sie Geld, wenn Sie bereit sind, Tangem zu kaufen.
