セキュアチップはどれほどハッキングが難しい？ハードウェアセキュリティ専門家が解説

セキュアエレメントは、あらゆる場所に存在します。スマートフォン、ハードウェアウォレット、電子パスポート、決済カード、車のキー、SIMカードなどに内蔵されており、私たちが持ち歩く最も機密性の高いデータを守る役割を担う小さなチップです。多くは高い認証や保証レベルを取得し、ほぼ無敵のように見えます。しかし、フォールトインジェクション攻撃に関する研究が進む中、その実態はより複雑であることが明らかになっています。


今回、長年にわたりこれらのチップの物理的限界を探ってきた元ケンブリッジ大学セキュリティグループ（創設者は故ロス・アンダーソン）のメンバー、Sergei Skorobogatov氏に話を伺いました。同氏は、損傷したICからのデータ復旧や半導体デバイスのバックドア解析を専門とするCambridge Research and Engineeringを運営しています。

また、シンガポール南洋理工大学を拠点にハードウェアセキュリティとフォールトインジェクション（物理的な攪乱を利用してセキュアチップを設計者の意図しない動作に導く技術）を専門とするShivam Bhasin氏にもインタビューしました。

セキュアエレメントの役割

まず、セキュアエレメントがどのような攻撃に耐えるよう設計されているのかを見ていきます。

一般的なマイコン（IoTセンサーやArduinoボードなどに使われるもの）は、ファームウェアやデータを市販ツールで簡単に読み出せるメモリに保存しています。デバッグプローブを接続すれば、チップの内容全体をダンプできる場合もあります。

マイコンによっては十分な保護機能を備えているものもありますが、ハードウェアセキュリティが強化された製品でもデバッグインターフェースにバックドアが存在することがあります。自動車向けのカスタムマイコンは、仕様書の非公開や独自設計、サンプル入手困難などから多くの攻撃に耐性があります。そのため、メーカーやデバイスごとにセキュリティレベルは異なります。
 

セキュアエレメントは、論理的な攻撃（悪意のあるソフトウェアやプロトコルの脆弱性）と物理的な攻撃（プロービング、イメージング、改ざん）の両方に耐えるよう、最初から設計されています。

主な防御機構としては、暗号化されたメモリバス、物理的侵入を検知するアクティブシールド、サイドチャネル解析を困難にするランダムな実行タイミング、異常な電圧・温度・光を検知して機密データを消去するセンサーなどが挙げられます。
 

また、Common Criteriaのような認証スキームでは、EAL1からEAL7までの評価保証レベルでセキュアエレメントのセキュリティ強度が格付けされます。

Bhasin氏は、こうした基盤の強さを認めつつ、「セキュアエレメントは、長年の専門知識を持つ大手ベンダーによって開発され、厳格なペネトレーションテストや正式な認証プロセスを経て導入されています」と述べています。ただし、「完全に無欠なシステムは存在しません」とも付け加えます。

完全なハードウェアセキュリティは存在しない理由

Skorobogatov氏は、ハードウェアセキュリティの限界について率直です。「完全に安全なデバイスを設計することは不可能です。どんなチップでも、人間が設計し、あらゆる攻撃手法を完全には把握できない以上、必ず何らかの欠陥が残ります。たとえばフラッシュメモリのような特定のハードウェア実装でも、設計時には予想できなかった脆弱性が生じることがあります。」

Bhasin氏も、セキュリティが単一の仕組みに依存しないことを強調します。

「現代のチップは、ハードウェアを起点とした信頼の連鎖で成り立っており、セキュアブートローダーからアプリケーションソフトウェアまで、すべての構成要素を段階的に検証します」と説明します。各リンクが上位の要素を検証する仕組みです。ハードウェアがブートローダーを検証し、ブートローダーがOSやファームウェアを検証、ファームウェアがアプリケーションを検証します。すべてのリンクが健全であれば、認証済みのコードだけが動作します。

ただしBhasin氏は「この連鎖のどこか一つでも操作されれば、システム全体が危険にさらされ、未承認や悪意あるアプリケーションが実行される可能性がある」と警告します。
 

これがフォールトインジェクションの本質です。攻撃者は連鎖の一部を見つけ、適切なタイミングで攪乱すればよいのです。たとえば、ブートローダーが署名検証をスキップすれば、どんなファームウェアでも読み込まれてしまいます。セキュリティフラグがロックからアンロックに切り替われば、チップの防御機能が無効化されます。

過去の事例

2010年、研究者Christopher Tarnovsky氏はInfineon SLE 66 CL PE（Trusted Platform Moduleや衛星TVカードに使われるEAL4+認証チップ）を、化学的デカプセル化、マイクロプロービング、集束イオンビーム（FIB）による回路編集の組み合わせで突破しました。この攻撃には数ヶ月と特殊な装置が必要でしたが、当時最先端とされた物理的対策も体系的に破れることを示しました。

近年では、より高度なシールドを備えた新型チップでも、設計段階で想定されなかった攻撃に脆弱な例が報告されています。Skorobogatov氏が言及したフラッシュメモリは、物理特性が保存データの情報漏洩につながったり、書き込み・消去機構が設計者の想定外の方法で操作されるなど、繰り返し弱点となっています。

製造工程に潜む構造的課題

製造プロセス自体にも構造的な問題があります。多くのチップには、出荷後の検証や品質保証のためのテストインターフェース（JTAGポート、スキャンチェーン、独自デバッグモードなど）が備わっています。これらはチップ内部の状態に深くアクセスでき、本来は工場初期化後にワンタイムプログラマブル（OTP）フューズを焼く、またはロックビットを設定することで恒久的に無効化されるべきものです。

しかし現実には、これらは潜在的な攻撃面となり得ます。Skorobogatov氏は「攻撃者がこれらの機能を有効化できれば、デバイスへのフルアクセスが復活してしまう」と指摘します。実際、複数のチップファミリーで、レーザーでテストモード用ビットを反転させることで論理的に“フューズを元に戻す”手法が実証されています。

偵察からレーザー攻撃までの流れ

セキュアエレメントへの攻撃は、段階を踏んだ体系的な手法が必要です。Skorobogatov氏は、攻撃はレーザーやプローブを使う前から始まっていると説明します。

ステージ1：情報収集

最初のステップは偵察です。Skorobogatov氏によれば、多くの攻撃はオープンソース情報（データシート、開発者向け資料、特許、マーケティング資料など）から始まります。アーキテクチャの手がかりとなるものは何でも使われます。また、「既知の脆弱性がある類似デバイスや前世代製品」を調査し、既知から未知へと範囲を絞り込んでいきます。

研究者は公開データシート、特許、開発者ドキュメント、論文、マーケティング資料まで徹底的に調べます。たとえば、ある製品概要に特定のプロセッサコアやメモリアーキテクチャの記載があれば、調査対象を大きく絞り込めます。

もしチップが既存ファミリーの新リビジョンなら、物理デバイスに触れる前にアーキテクチャの8割を把握できる場合もあります。
 

ステージ2：リバースエンジニアリング

次は複数レベルでのリバースエンジニアリングです。サポートソフトウェア、内部ファームウェア、ブートローダー、最終的にはシリコンロジックまで解析し、データの流れや鍵の保存場所、認証処理の仕組みなど、チップの動作マップを作成します。

ソフトウェアレベルでは、ファームウェアのダンプ・逆アセンブル（可能な場合）、チップとホスト間の通信プロトコル解析、SDKやドライバの公開ソースから内部動作を推測するなどの手法があります。

ハードウェアレベルでは、化学的にチップのパッケージを除去し、シリコンダイを露出させ、光学顕微鏡や電子顕微鏡で層ごとに撮影します。

専用ソフトで論理ゲートを再構築し、最終的に内部回路図を作成します（デレイヤリング）。これにより、メモリアレイ、暗号コプロセッサ、乱数生成器、タンパー検知センサーの位置などが明らかになります。

ステージ3：アクティブ攻撃

チップの構造マップができたら、いよいよアクティブな攻撃段階です。手法は多岐にわたり、電力解析、電磁・光学エミッション解析、レーザー故障注入、電圧グリッチ、プロトコルレベルのデータ改ざんなどがあります。Skorobogatov氏は「各手法には一長一短があるが、組み合わせることで効率よく結果を得られる」と述べています。

電力解析は、チップの動作中の消費電流をリアルタイムで監視し、命令やデータ値ごとの微妙な電流差から秘密鍵を統計的に推測します。

電磁エミッション解析は、電力消費ではなくチップが発する電磁場を測定します。

光学エミッション解析は、トランジスタがスイッチング時に発する微弱な赤外線を利用し、近赤外カメラで回路のどの部分が動作しているか観察します。

電圧グリッチは、処理中の絶妙なタイミングで電源電圧を一瞬だけ乱し、命令スキップや比較結果の破壊、セキュリティチェックのバイパスを狙う手法です。

プロトコルレベルのデータ改ざんは、チップとホスト間の通信コマンドを改変・リプレイ・不正データ注入することで、情報漏洩や保護機能の突破を狙います。

レーザー故障注入（LFI）：精密ツールの威力

これらの中でも、レーザー故障注入は特に精密な手法として知られています。

Skorobogatov氏によれば、レーザー故障注入の特徴は「特定のタイミングと、デバイス内部の特定箇所の両方をピンポイントで狙える」点です。電圧グリッチがチップ全体に作用するのに対し、レーザーは単一のゲートやメモリセルに集中照射できます。つまり、「いつ」故障を起こすか、「どこ」に作用させるか、2次元で制御できるのです。

Bhasin氏はLFIの制御精度について「よく特性評価されたシステムでは、レーザーで特定ビットを高精度に操作できます」と述べます。ビット単位の精密さは「システム状態を制御するセキュリティフラグを狙い撃ちし、保護機能を“オフ”にできる」ことを意味します。

セキュリティフラグとは、チップがロック状態かアンロック状態か、デバッグアクセスが有効か無効か、ブートローダーが署名検証を強制するかスキップするかなどを制御するビット群です。

このフラグに故障を与えると、チップ全体のセキュリティ状態が変化し、暗号処理の出力が破壊されて秘密鍵の情報が漏れる場合があります。暗号処理中の絶妙なタイミングで故障を与えることで、出力データを破壊し、そのエラー解析から秘密鍵を数学的に再構築・漏洩させることも可能です。

セキュアチップ突破の経済性

セキュアエレメントが破れるなら、なぜ常に破られていないのでしょうか？その理由の一つはコストです。

セキュアエレメントの突破は、週末のDIYでできるものではありません。シリコンとファームウェアの両面でリバースエンジニアリングし、攻撃ポイントを特定するまでに長期間を要します。Skorobogatov氏は「このプロセスには数ヶ月から数年かかることもある」と断言します。

Bhasin氏は「フォールトインジェクション用の装置は、数ドルのDIYツールから、100万ドルを超える最先端レーザーやイオンビームシステムまで幅広い」と指摘します。

たとえば、FPGAボードとMOSFET、はんだ付けだけで作れる簡易電圧グリッチ装置なら1000ドル以下で構築可能。一方、プロ用レーザー故障注入装置は15万～50万ドル、最先端の集束イオンビーム装置は100万ドル超となります。

実際、EAL5やEAL6認証チップでも「専門企業や政府機関の大規模な専門チームが、多大なコストと労力をかけて突破に成功した」事例があるとSkorobogatov氏は述べています。

経済以外の動機

Bhasin氏は「国家安全保障、法的要件、犯罪捜査など、金銭以外の動機でも高額かつ高度な攻撃手法が正当化される」と指摘します。たとえば政府機関が押収デバイスを解析する場合、商業的な費用対効果は問題になりません。

資金力のある大手競合他社も同様の装置を入手し、優秀な研究者を雇い、時間をかけてライバル製品のセキュアエレメントを突破し、信頼性を揺るがすことができます。

この構図はハードウェアウォレット業界でも見られます。Ledger社の社内セキュリティラボDonjonは、Trezorデバイスへのフォールトインジェクション攻撃成功例を複数回公表し、エコシステム全体のセキュリティ向上を目的とした責任ある開示と位置付けています。

ハードウェアウォレットで仮想通貨を保管する意味

個人ユーザーのデバイスに対する物理攻撃は、ほとんどの現実的な脅威モデルでは経済的に見合いません。しかしSkorobogatov氏は、だからといって油断すべきでないと警告します。「デバイスにセキュアエレメントが搭載されていても、あらゆる攻撃に対する完全な保証とはなりません」。十分な時間と資源があれば、どんなチップも突破される可能性があります。

ハードウェアウォレットの実用的なセキュリティは、セキュアエレメント、上で動作するファームウェア、チップとアプリ間の通信プロトコル、工場からユーザーまでのサプライチェーン、そしてユーザー自身の選択という全体の積み重ねで成り立っています。

見落とされがちな防御層として、鍵導出の設計があります。多くの暗号デバイスは、暗号鍵そのものをチップに直接保存せず、ユーザーのパスワードやPINのハッシュを保存し、署名時に入力から鍵を導出します。つまり、チップが物理的に完全に突破されても、攻撃者が鍵を即座に入手できるわけではありません。

仮にチップに完全アクセスされても、ユーザーが強力なパスワードを設定していれば、残るのは総当たり攻撃のみであり、「非常に強力なサーバーでも成功までに何年もかかる可能性がある」とSkorobogatov氏は述べています。

より広い視点で

暗号技術は数学的な保証を提供しますが、その保証は現実世界で動作する物理ハードウェア上に成り立っています。トランジスタの誤動作、光子によるビット反転、テストモードの再有効化など、現実の物理現象が介在します。

チップやデバイスメーカーにとって、セキュリティは継続的なエンジニアリング課題です。最新の研究動向を監視し、脅威モデルを更新し、新たな攻撃手法に耐える設計を続ける必要があります。

エンドユーザーにとっても、こうした攻撃手法が高資源環境に限られているとはいえ、「物理的な管理（セルフカストディ）」の重要性を再認識させるものです。

フォールトインジェクション攻撃には専門機材と高度な知識が必要ですが、ハードウェアセキュリティの本質は「攻撃コストを保護資産の価値より高くすること」にあるといえます。

参考文献

1. Sergei P. Skorobogatov M.Sc, Ph.D. Research Associate at University of Cambridge 
2. Shivam Bhasin - Google Scholar 
3. University of Cambridge Security Group
4. Ross Anderson obituary – The Register, 2024
5. Security community mourns the death of Ross Anderson – IAPP, 2024
6. Researcher Cracks Security of Widely Used Computer Chip (Infineon SLE 66 CL PE) – Dark Reading, 2010
7. Ex-Army man cracks popular security chip (Christopher Tarnovsky / Infineon hack) – The Register, 2010
8. Black Hat: Researcher claims hack of chip used to secure computers, smartcards – Computerworld, 2010
9. Common Criteria for Information Technology Security Evaluation, Part 5 – Common Criteria Portal (official standard)
10. Evaluation Assurance Level (EAL) explained – BSI, German Federal Office for Information Security
11. Fault Injection Attacks on Cryptographic Devices: Theory, Practice, and Countermeasures – IEEE, 2012
12. Side-Channel Attack – NIST CSRC Glossary
13. What is JTAG? – XJTAG
14. Why Every Chip Can Be Hacked With This Tool (Focused Ion Beam) – Semiconductor Engineering
15. Key-Derivation Function – NIST CSRC Glossary
16. Cryptographic Hash Function – NIST CSRC Glossary