Los Secure Elements están en todas partes. Se encuentran en tu smartphone, billeteras de hardware, pasaportes electrónicos, tarjetas de pago, llaves de autos y tarjetas SIM. Son microchips diminutos encargados de proteger los datos más sensibles que llevamos. La mayoría cuenta con certificaciones y niveles de garantía que sugieren una seguridad casi invulnerable. Sin embargo, la investigación sobre ataques por inyección de fallos revela una realidad más compleja.
Hablamos con Sergei Skorobogatov, exmiembro del Security Group de la Universidad de Cambridge (fundado por el fallecido Ross Anderson), quien ha dedicado años a explorar los límites físicos de estos chips. Dirige Cambridge Research and Engineering, especializada en recuperación de datos de circuitos dañados y análisis de semiconductores en busca de puertas traseras.
También entrevistamos a Shivam Bhasin, investigador en la Universidad Tecnológica de Nanyang en Singapur. Bhasin se especializa en seguridad de hardware e inyección de fallos: el arte de usar perturbaciones físicas precisas para hacer que los chips seguros se comporten de formas no previstas por sus diseñadores.
Qué hacen los Secure Elements
Antes de analizar cómo se vulneran, veamos qué buscan resistir los Secure Elements.
Un microcontrolador estándar, como el que se encuentra en un sensor IoT económico o una placa Arduino básica, almacena su firmware y datos en una memoria que puede ser leída con herramientas comunes. Si conectas una sonda de depuración, normalmente puedes extraer todo el contenido del chip.
Algunos microcontroladores ofrecen buena protección, mientras que otros, incluso con mejor seguridad de hardware, pueden tener puertas traseras en las interfaces de depuración. Los microcontroladores personalizados usados en automóviles pueden resistir muchos ataques debido a la falta de documentación, un diseño único y la ausencia de muestras en blanco. Por eso, el nivel de seguridad varía entre fabricantes y dispositivos.
Un Secure Element está diseñado desde cero para resistir tanto ataques lógicos (software malicioso y exploits de protocolos) como ataques físicos (sondeo, imágenes y manipulación).
Sus defensas incluyen buses de memoria cifrados, mallas activas que detectan intrusiones físicas, ejecución aleatoria en el tiempo para frustrar análisis de canal lateral, y sensores que borran datos sensibles si detectan voltajes, temperatura o exposición a luz anormales.
Esquemas de certificación como Common Criteria clasifican los chips Secure Element en una escala de EAL1 a EAL7 según la profundidad de su evaluación de seguridad.
Bhasin reconoce la solidez de esta base. Los Secure Elements, dice, "suelen desarrollarse por fabricantes con décadas de experiencia y pasan por rigurosas pruebas de penetración y procesos formales de certificación antes de su despliegue". Pero añade una advertencia: "Ningún sistema es completamente infalible".
Por qué no existe hardware perfectamente seguro
Skorobogatov es directo sobre los límites de la seguridad en hardware: "No es posible diseñar un dispositivo perfectamente seguro", afirma. "Cualquier chip tendrá inevitablemente fallos como consecuencia de haber sido diseñado por humanos que no pueden prever todos los posibles ataques. Incluso implementaciones específicas, como la memoria Flash, pueden introducir vulnerabilidades no anticipadas al momento del diseño".
Bhasin también enfatiza que la seguridad no depende de un solo mecanismo.
"Los chips modernos dependen de una cadena de confianza que inicia en el hardware y valida sistemáticamente cada componente, desde el bootloader seguro hasta la aplicación verificada", explica. Cada eslabón verifica al siguiente: el hardware verifica el bootloader, el bootloader verifica el sistema operativo o firmware, y el firmware verifica la aplicación. Si toda la cadena se mantiene, solo el código autorizado se ejecuta en el chip.
El problema, señala Bhasin, es que "cualquier manipulación de esta cadena puede comprometer todo el sistema, permitiendo la ejecución de aplicaciones no autorizadas o maliciosas".
Esto es la base de la inyección de fallos. Los atacantes solo necesitan encontrar un eslabón de la cadena y alterarlo en el momento adecuado. Si el bootloader omite la verificación de firmas, cargará cualquier firmware que reciba. Si un flag de seguridad pasa de bloqueado a desbloqueado, las protecciones del chip se desactivan.
Ejemplos históricos
En 2010, el investigador Christopher Tarnovsky logró vulnerar el Infineon SLE 66 CL PE, un chip certificado EAL4+ usado en módulos TPM y tarjetas de TV satelital, combinando decapsulado químico, microsondeo y edición de circuitos con haz iónico focalizado (FIB). El ataque de Tarnovsky requirió meses de trabajo y equipo especializado, pero demostró que las contramedidas físicas consideradas de última generación podían ser superadas de forma sistemática.
Más recientemente, se ha demostrado que incluso chips nuevos con protecciones más avanzadas pueden ser vulnerables a ataques no previstos durante su diseño. La memoria Flash, mencionada por Skorobogatov, ha sido un punto débil recurrente: sus características físicas pueden filtrar información sobre los datos almacenados, y sus mecanismos de escritura/borrado pueden manipularse de formas no contempladas por los diseñadores.
Problemas estructurales en la fabricación
También existe un problema estructural en el propio proceso de fabricación. La mayoría de los chips se envían con interfaces de prueba (puertos JTAG, cadenas de escaneo, modos de depuración propietarios) utilizadas para verificación y control de calidad tras la producción. Estas interfaces permiten acceso profundo al estado interno del chip. Se supone que deben desactivarse permanentemente tras la inicialización en fábrica, quemando fusibles OTP (one-time-programmable) o configurando bits de bloqueo.
En la práctica, representan una superficie de ataque latente. "Si un atacante encuentra la forma de habilitar estas funciones", señala Skorobogatov, "se podría restablecer el acceso total al dispositivo". Investigadores han demostrado esto en varias familias de chips, a veces usando un láser para cambiar el bit que controla el acceso a modo de prueba, "revirtiendo" así un fusible a nivel lógico.
Reconocimiento primero, láser después
Atacar un Secure Element requiere una metodología estructurada en etapas. Skorobogatov describe un proceso que inicia mucho antes de encender un láser o conectar una sonda.
Etapa 1: recopilación de información
El primer paso es el reconocimiento. Skorobogatov explica que la mayoría de los ataques empiezan con inteligencia de fuentes abiertas: hojas de datos, documentación de desarrolladores, patentes e incluso materiales de marketing. Todo lo que ayude a acotar la arquitectura. Los atacantes también estudian "dispositivos similares con documentación completa, o predecesores con vulnerabilidades conocidas", avanzando desde lo conocido hacia lo desconocido.
Los investigadores revisan hojas de datos públicas, patentes, documentación de desarrollo, artículos académicos y hasta materiales de marketing. Un folleto que mencione un núcleo de procesador o arquitectura de memoria puede reducir significativamente el campo de búsqueda.
Si un chip es una revisión nueva de una familia ya estudiada, el atacante puede comprender hasta el 80% de la arquitectura antes de manipular el dispositivo físico.
Etapa 2: ingeniería inversa
El proceso avanza hacia la ingeniería inversa en varios niveles: software de soporte, firmware interno, bootloaders y, finalmente, la lógica de silicio. El objetivo es construir un mapa operativo detallado del chip, identificando cómo fluye la información, dónde se almacenan las claves y qué rutinas gestionan la autenticación.
La ingeniería inversa a nivel software puede implicar volcar y desensamblar el firmware (si es accesible), analizar los protocolos de comunicación entre el chip y el dispositivo anfitrión, o estudiar SDKs o drivers públicos para inferir el funcionamiento interno.
En la ingeniería inversa a nivel hardware, los investigadores eliminan químicamente el encapsulado del chip para exponer el dado de silicio, luego lo fotografían capa por capa usando microscopía óptica o electrónica.
Herramientas de software especializadas pueden reconstruir las compuertas lógicas del chip a partir de estas imágenes, generando un esquema del circuito interno. Este proceso, llamado delayering, puede revelar la ubicación de memorias, coprocesadores criptográficos, generadores de números aleatorios y sensores de seguridad contra manipulación.
Etapa 3: ataques activos
Con el mapa del chip en mano, los investigadores pasan a la explotación activa. El conjunto de herramientas es amplio: análisis de consumo eléctrico, monitoreo de emisiones electromagnéticas y ópticas, inyección de fallos con láser, alteración de voltaje y manipulación de datos a nivel de protocolo. Skorobogatov señala que cada técnica tiene ventajas y desventajas, pero "en conjunto, permiten obtener resultados más rápidos y eficientes". El verdadero poder está en la combinación.
El análisis de consumo eléctrico monitorea en tiempo real el consumo del chip mientras realiza operaciones. Diferentes instrucciones y datos generan variaciones mínimas en el consumo, así que el análisis estadístico de múltiples trazas puede revelar claves secretas.
El análisis de emisiones electromagnéticas funciona de forma similar, pero capta el campo electromagnético en vez del consumo eléctrico.
El análisis de emisiones ópticas aprovecha que los transistores emiten pequeñas cantidades de luz infrarroja al cambiar de estado. Usando una cámara sensible al infrarrojo cercano, se puede observar qué partes del circuito están activas durante ciertas operaciones.
El glitching de voltaje consiste en interrumpir brevemente la alimentación del chip en un momento preciso durante la ejecución. Si se sincroniza bien, puede hacer que el procesador salte una instrucción, corrompa una comparación o evite un control de seguridad.
La manipulación de datos a nivel de protocolo apunta a la comunicación entre el chip y su anfitrión. Modificando comandos, repitiendo transacciones o inyectando datos malformados, los atacantes pueden provocar errores que filtren información o eviten protecciones.
Inyección de fallos con láser (LFI): la herramienta de precisión
Entre todas estas técnicas, la inyección de fallos con láser ocupa un nicho particular.
Lo que distingue a la inyección de fallos con láser, explica Skorobogatov, es su doble precisión: puede dirigirse "a un momento específico y también a una ubicación precisa dentro de la lógica o memoria del dispositivo". Mientras el glitching de voltaje afecta todo el chip, un haz láser enfocado puede atacar una sola compuerta o celda de memoria. Esto da al atacante dos dimensiones de control: cuándo ocurre la falla y dónde impacta en el chip.
Bhasin describe el grado de control que ofrece la LFI. "En un sistema bien caracterizado, un láser puede manipular bits específicos con gran precisión". Esta precisión a nivel de bit "permite al atacante modificar flags de seguridad que controlan el estado del sistema, desactivando protecciones".
Un flag de seguridad es un conjunto de bits de control que indica si el chip está bloqueado o desbloqueado, si el acceso de depuración está habilitado o no, y si el bootloader debe exigir verificación de firmas o saltarla.
Si se altera ese flag, toda la postura de seguridad del chip puede cambiar, corrompiendo el resultado de una operación criptográfica y filtrando información sobre la clave secreta. Si la falla se produce en el momento exacto durante una operación criptográfica, puede corromper los datos de salida y, al analizar estos errores, un atacante puede reconstruir y extraer matemáticamente la clave secreta.
Economía de vulnerar chips seguros
Si los Secure Elements pueden ser vulnerados, ¿por qué no ocurre todo el tiempo? La respuesta inmediata es el costo.
Vulnerar un Secure Element no es un proyecto de fin de semana. El dispositivo normalmente debe ser sometido a ingeniería inversa tanto a nivel de silicio como de firmware antes de que el atacante sepa dónde buscar un exploit. Skorobogatov lo resume así: "Este proceso puede tomar meses o incluso años para tener éxito".
Bhasin describe el costo como un espectro: “El equipo necesario para la inyección de fallos va desde herramientas DIY de unos pocos dólares hasta sistemas láser o de haz iónico de última generación que superan el millón de dólares”.
Un setup básico de glitching de voltaje puede montarse con una placa FPGA, un MOSFET y algo de soldadura creativa; costo total menor a US$ 1,000. Una estación profesional de inyección de fallos con láser cuesta entre US$ 150,000 y US$ 500,000. Un sistema de haz iónico focalizado para edición avanzada de circuitos puede superar el millón de dólares.
La experiencia lo confirma. Skorobogatov señala que chips certificados en EAL5 e incluso EAL6 han sido comprometidos, pero solo por "grandes equipos de expertos en empresas especializadas y laboratorios gubernamentales, con grandes recursos y esfuerzos enormes".
Motivaciones no económicas
Bhasin señala que "motivaciones no monetarias, como intereses de seguridad nacional, requisitos legales o forense criminal", también pueden justificar el uso de ataques costosos y sofisticados. Un laboratorio gubernamental que analiza un dispositivo incautado no hace un análisis de costo-beneficio comercial.
Un gran competidor con recursos puede adquirir el mismo equipo, contratar investigadores de igual nivel e invertir tiempo para vulnerar el Secure Element de un rival y debilitar la confianza en su producto.
Esta dinámica ya ocurre en la industria de billeteras de hardware. El laboratorio interno de seguridad de Ledger, Donjon, ha publicado investigaciones sobre ataques exitosos de inyección de fallos en dispositivos Trezor, presentados como divulgación responsable para mejorar la seguridad de todo el ecosistema.
¿Qué significa esto para guardar cripto en hardware?
Los ataques físicos a dispositivos de consumo individuales generalmente no son viables económicamente en la mayoría de los escenarios reales. Pero Skorobogatov advierte no caer en la complacencia. Tener un Secure Element en un dispositivo, dice, "no garantiza protección total contra cualquier ataque". Con suficiente tiempo y recursos, un atacante decidido siempre puede encontrar una forma de entrar.
La seguridad práctica de una billetera de hardware depende de toda la pila: el Secure Element, el firmware que corre en él, el protocolo de comunicación con la app, la integridad de la cadena de suministro y las decisiones del usuario.
Una capa de defensa poco valorada es cómo las billeteras bien diseñadas gestionan la derivación de claves. Muchos dispositivos criptográficos no almacenan claves cifradas directamente en el chip, sino un hash de la contraseña o PIN del usuario. La clave real se deriva de la entrada del usuario al firmar. Esto significa que incluso si el chip es comprometido físicamente, el atacante no obtiene la clave directamente.
Aun si el atacante logra acceso físico total al chip, dice Skorobogatov, el resultado no está garantizado. Si el usuario eligió una contraseña fuerte, solo queda la fuerza bruta (probar muchas contraseñas), y "eso podría tomar muchos años incluso en servidores muy potentes".
La visión general
La criptografía ofrece garantías matemáticas. Sin embargo, esas garantías existen en hardware físico que opera en el mundo real, donde los transistores pueden fallar, los fotones pueden cambiar bits y los modos de prueba pueden reactivarse.
Para los fabricantes de chips y dispositivos, esto significa que la seguridad es una disciplina de ingeniería continua: monitorear la investigación, actualizar modelos de amenazas y diseñar para resistir ataques emergentes y sofisticados.
Para el usuario final, aunque estos métodos se limiten a entornos de alto recurso, recuerdan la importancia de la custodia física.
Aunque un ataque por inyección de fallos requiere equipo especializado y gran experiencia, subraya que la seguridad en hardware consiste en hacer que el costo del ataque supere el valor de los activos protegidos.
