Ataques de inyección de fallos por láser (LFI) contra elementos seguros

La inyección de fallos por láser (LFI) es el ataque más técnicamente exigente en el arsenal de los investigadores de seguridad de hardware. Consiste en disparar un láser infrarrojo, enfocado con precisión, sobre el chip de silicio expuesto para provocar que un transistor específico falle en un momento concreto durante una operación determinada. Cuando funciona, puede extraer claves secretas de chips diseñados precisamente para evitar esa extracción.

Several publicly documented cases demonstrate that this technique has been successfully applied to dedicated secure chips used in hardware wallets and authentication tokens to protect cryptographic secrets.

This article takes a closer look at some specific cases. It also explains why laser fault injection isn't a significant concern for most hardware wallet users. 

Laser fault injection proves that certified secure elements can be broken under laboratory conditions. It also proves that doing so requires six distinct operational barriers that cannot be removed, compressed, or automated.

¿En qué consiste la inyección de fallos por láser?

Antes de ver ejemplos concretos, aclaremos qué es la inyección de fallos por láser y cómo funciona.

El efecto fotoeléctrico

Los transistores semiconductores son fotosensibles. Cuando los fotones de un láser inciden sobre un transistor en el chip de silicio, generan pares electrón-hueco, un fenómeno conocido como efecto fotoeléctrico a nivel de semiconductor.
 

Una inyección temporal de portadores de carga puede alterar el estado de un transistor. Esto significa que un transistor que debería permanecer apagado puede encenderse brevemente, o uno que debería mantener su valor puede cambiar. Si esto ocurre en el transistor correcto, en el momento adecuado y durante la instrucción precisa, puede provocar que el chip funcione de manera incorrecta pero controlada.

Los transistores en los chips de seguridad modernos se miden en nanómetros, por lo que el punto del láser debe enfocarse a unos pocos micrones para apuntar a una región funcional específica del chip sin activar contramedidas adyacentes. La sincronización también debe ser precisa a nivel de nanosegundos, y la energía del láser debe calibrarse para provocar un fallo controlable sin destruir permanentemente el circuito.
 

¿Qué deben hacer los investigadores antes de disparar el láser?

La preparación física del dispositivo por sí sola implica varios pasos, cada uno con riesgo de fallo:

1. Extracción de componentes: El chip debe ser desoldado de la placa de circuito del dispositivo sin dañarlo. Esto requiere herramientas de retrabajo por aire caliente y manos firmes. Un chip dañado durante la extracción no puede ser atacado.
    
2. Decapsulado del encapsulado: Es necesario retirar el encapsulado plástico del chip para exponer el silicio. El método estándar es el decapsulado químico con ácido nítrico fumante, una sustancia altamente corrosiva que requiere campana extractora y formación en manejo de químicos. La alternativa es el fresado mecánico con herramientas de precisión, con el riesgo de rayar el chip. Cualquier método altera permanentemente el chip, dejándolo sin encapsulado visible.
    
3. Montaje: El chip expuesto debe montarse en una placa de ataque personalizada que proporcione alimentación, tierra y comunicación al chip, dejando la superficie accesible al láser. La placa debe diseñarse específicamente para el pinout y los requisitos de energía del chip objetivo.
    
4. Mapeo del chip: Antes de poder inyectar cualquier fallo, el investigador debe identificar en qué parte del chip apuntar el láser. Esto requiere microscopía infrarroja para obtener un mapa fotográfico de la superficie, junto con conocimientos sobre la ubicación de bloques funcionales específicos, como la matriz de memoria, la lógica de autenticación y el motor AES. Si no existe una fotografía publicada del chip, este mapeo debe hacerse completamente desde el exterior.

El problema del espacio de parámetros

Incluso con el chip preparado y mapeado, un ataque de inyección de fallos por láser requiere encontrar la combinación correcta de tres parámetros independientes: 

1. Las coordenadas del punto del láser en el chip (posición X e Y), 
2. La sincronización del pulso en relación con la operación del chip (medida en nanosegundos)
3. La energía del láser (duración y potencia del pulso).

Cada uno de estos parámetros tiene un rango amplio de valores posibles. Para encontrar la combinación adecuada que provoque un fallo útil, y no un bloqueo, ningún efecto o daño permanente, es necesario explorar sistemáticamente.

Los casos documentados en este artículo requirieron semanas de búsqueda activa de parámetros antes de lograr una inyección de fallos exitosa.

¿Qué ocurre cuando un ataque LFI tiene éxito y cuánto cuesta fallar?

Una inyección de fallos exitosa produce cualquiera de las siguientes alteraciones controladas:

• Una verificación de seguridad arroja un resultado incorrecto, 
• Una región de memoria protegida se vuelve accesible
• Se omite un paso de autenticación. 

Un intento fallido produce uno de estos tres resultados: 

• El chip sigue funcionando normalmente (sin efecto), 
• El chip se bloquea y debe reiniciarse (perdiendo cualquier avance), 
• El chip queda permanentemente dañado y hay que comenzar de nuevo con otro ejemplar.

La destrucción permanente del chip durante un ataque no es inusual. En el trabajo de Ledger Donjon sobre la serie ATECC, los investigadores señalaron explícitamente una pérdida significativa de chips durante la exploración de parámetros. Cada chip destruido representa un intento fallido de ataque sin retorno y requiere un chip de reemplazo del mismo dispositivo o un nuevo dispositivo objetivo.
 

Caso 1: Microchip ATAES132A—Fraunhofer AISEC

[ LASER FAULT INJECTION  ·  FPS 2021 (Springer)  ·  Black-box full key extraction ]

El ATAES132A es la EEPROM serial segura basada en AES de Microchip Technology; el primer dispositivo de su familia CryptoAuthentication AES.

La hoja de datos lista explícitamente sus características de seguridad física: 

• Detectores de manipulación para voltaje, temperatura, frecuencia y luz; 
• Una malla metálica activa sobre el circuito; cifrado interno de memoria; 
• Contramedidas adicionales no especificadas.

No cuenta con certificación CC. Sus afirmaciones de seguridad se basan en el diseño propietario descrito en la hoja de datos y en un firmware ROM no accesible para revisión externa. 

Investigación

Investigadores de Fraunhofer AISEC: Bjoern Selmke, Endres Strieder, Johann Heyszl, Stefan Freud y Thomas Damm, publicaron sus hallazgos en FPS 2021 (Foundations and Practice of Security), con el artículo completo en la serie Lecture Notes in Computer Science de Springer en 2022.
 

El objetivo principal del proyecto fue crear un método claro para probar la seguridad de chips cuyo interior no se puede ver, conocido como inyección de fallos por láser en caja negra. El chip ATAES132A se eligió como buen ejemplo de dispositivos utilizados para proteger información en aplicaciones reales.

Metodología del ataque

Los investigadores no tenían acceso al código fuente, documentos de diseño ni fotografías del chip. Comenzaron usando análisis por fotoemisión, un método que captura la tenue luz emitida por los transistores al encenderse y apagarse.
 

Al tomar imágenes del chip durante operaciones específicas, pudieron ver qué áreas estaban activas durante ciertos comandos. Esto les permitió crear un mapa funcional sin necesidad de conocer el diseño del circuito.
 

Con este mapa, identificaron regiones candidatas para la inyección de fallos, es decir, áreas que probablemente contienen la lógica crítica de seguridad que querían alterar. Luego realizaron la búsqueda de parámetros: variando sistemáticamente la posición del láser, la sincronización, la duración y la energía del pulso en las regiones identificadas mientras enviaban comandos de autenticación al chip.
 

El objetivo era el mecanismo de control de acceso por zonas del chip, que impide lecturas no autorizadas de zonas de usuario protegidas. La intención del ataque era lograr que esta verificación devolviera un resultado positivo sin que el atacante proporcionara una credencial de autenticación válida, permitiendo leer directamente el contenido de una zona protegida.
 

El ataque tuvo éxito. Los investigadores demostraron la extracción completa de la clave secreta de una zona de usuario protegida mediante inyección de fallos por láser, sin conocimiento previo de la credencial de autenticación.
 

Caso 2: Microchip ATECC508A y ATECC608A

[ LASER FAULT INJECTION  ·  Ledger Donjon  ·  SSTIC 2020 / SSTIC 2021  ·  Black Hat USA 2020 ]

El Microchip ATECC508A es un chip de elemento seguro utilizado en una amplia gama de aplicaciones de seguridad IoT y embebidas, incluyendo la billetera de hardware Coldcard Mk2 para Bitcoin.

Aunque está diseñado para cumplir altos estándares de seguridad, incluyendo FIPS 186-3 y estándares de generador de números aleatorios FIPS, el ATECC508A no cuenta con certificación CC.

El ataque al ATECC508A en 2020

El objetivo era el mecanismo de autenticación de ranura de datos del ATECC508A. Cuando la Coldcard Mk2 almacena la semilla, se coloca en una ranura de datos configurada como secreta, solo legible tras autenticación. La autenticación requiere presentar el hash PIN correcto. La idea es que, incluso si un atacante tiene acceso físico al chip, no puede leer la ranura sin el PIN.

Al disparar el láser en una región identificada con precisión del chip en el momento en que se ejecutaba la verificación de acceso, los investigadores lograron que la verificación devolviera un resultado exitoso, independientemente de si se había realizado la autenticación.

Preparación física requerida: desoldar el ATECC508A de la PCB de la billetera, fresar el encapsulado plástico del chip desde la parte posterior y montarlo en una placa de ataque. Se utilizó un microscopio infrarrojo para mapear el diseño del chip e identificar la región objetivo.

Costo del equipo: El sistema de inyección de fallos por láser utilizado por Ledger Donjon cuesta aproximadamente US$ 200,000, sin incluir los técnicos especializados necesarios para operarlo y desarrollar el ataque. 

El proceso de ataque es destructivo; el encapsulado del chip se elimina permanentemente y no puede volver a usarse. 

6 razones por las que los ataques LFI no escalan

Seis barreras impiden que este ataque de laboratorio represente una amenaza práctica para los usuarios de billeteras de hardware, sin importar la habilidad o el presupuesto del atacante.

Las seis barreras deben funcionar juntas, multiplicando su efecto, no solo sumando. Esto significa que un atacante debe superar todas simultáneamente, lo que refuerza la seguridad.
 

El verdadero propósito de la investigación en LFI

Las investigaciones que documentan un ataque exitoso contra un chip en realidad lo hacen más seguro de dos maneras. Primero, obligan a los fabricantes a mejorar las contramedidas en futuras versiones del silicio.

Segundo, las metodologías de ataque publicadas definen el mínimo que un adversario bien financiado puede lograr y lo que los diseñadores de chips deben defender. 

Conclusiones

Esto es lo que debes saber como usuario de billetera de hardware:

• La inyección de fallos por láser es real y funciona. Los investigadores han logrado vulnerar chips seguros de esta manera. En la práctica, primero tendrían que robar físicamente tu dispositivo.
   
• Una vez que comienza el ataque, tu dispositivo queda destruido de forma visible y permanente. Sabrías que fue manipulado.
   
• El equipo cuesta al menos US$ 100,000–200,000. No es algo que pueda hacer un ladrón casual. Además, requiere semanas de trabajo especializado por chip. No es viable atacar a muchas personas a la vez.
   
• El ataque puede fallar y destruir el chip sin obtener nada, así que incluso para el atacante es una apuesta.
   

Si eres un usuario promedio, la economía simplemente no favorece al atacante. Tu verdadero riesgo es el phishing, el malware y la exposición de la frase semilla, no un laboratorio de láser popular.

Referencias

• Artículo completo (Springer): Breaking Black Box Crypto-Devices Using Laser Fault Injection | Springer Nature Link 

• Registro de publicaciones de Fraunhofer AISEC: Breaking Black Box Crypto-Devices Using Laser Fault Injection 

• Autores: Bjoern Selmke, Endres Strieder, Johann Heyszl, Stefan Freud, Thomas Damm