セキュアエレメントへのレーザー故障注入（LFI）攻撃とは

レーザー故障注入（LFI）は、ハードウェアセキュリティ分野で最も高度な攻撃手法の一つです。これは、赤外線レーザーをチップのシリコンダイに正確に照射し、特定のトランジスタを特定のタイミングで誤動作させることで、通常は抽出できない秘密鍵を取り出すことを目的としています。

Several publicly documented cases demonstrate that this technique has been successfully applied to dedicated secure chips used in hardware wallets and authentication tokens to protect cryptographic secrets.

This article takes a closer look at some specific cases. It also explains why laser fault injection isn't a significant concern for most hardware wallet users. 

Laser fault injection proves that certified secure elements can be broken under laboratory conditions. It also proves that doing so requires six distinct operational barriers that cannot be removed, compressed, or automated.

レーザー故障注入の仕組み

具体的な事例を紹介する前に、レーザー故障注入とは何か、その仕組みを整理します。

光電効果

半導体トランジスタは光に反応します。レーザー光のフォトンがチップのシリコンダイ上のトランジスタに当たると、電子と正孔のペアが生成され、半導体レベルで「光電効果」と呼ばれる現象が発生します。
 

一時的に電荷キャリアが注入されることで、トランジスタの状態が変化します。つまり、本来オフであるべきトランジスタが一瞬オンになったり、値を保持すべきトランジスタが変化したりします。これが正しいトランジスタ、正しいタイミング、正しい命令実行中に起きると、チップが意図的に誤動作する可能性があります。

現代のセキュリティチップのトランジスタはナノメートル単位で設計されているため、レーザーのスポットは数ミクロンにまで絞り込み、隣接する防御機構を作動させずに狙った機能領域だけを攻撃する必要があります。タイミングもナノ秒単位で正確に合わせ、レーザーのエネルギーも回路を破壊せず制御可能な故障を起こすように調整しなければなりません。
 

レーザー照射前に必要な準備

攻撃対象デバイスの物理的な準備だけでも、複数の失敗リスクを伴う工程があります：

1. 部品の取り外し：チップを基板から破損させずに取り外す必要があります。ホットエアリワーク装置と熟練した手作業が求められ、取り外し時に損傷したチップは攻撃できません。
    
2. パッケージのデキャッピング：チップのプラスチックパッケージを除去し、シリコンダイを露出させます。一般的には発煙硝酸による化学的デキャッピング（薬品取扱い訓練とドラフトチャンバーが必須）か、精密工具による機械的ミリングを用います。どちらもチップを不可逆的に改変し、外観からパッケージがなくなります。
    
3. マウンティング：露出したダイを、電源・グランド・通信を確保しつつレーザー照射が可能な専用アタックボードに実装します。ボードは対象チップごとにピン配置や電源要件に合わせて設計が必要です。
    
4. ダイマッピング：どこにレーザーを照射するか特定するため、赤外線顕微鏡でダイ表面の写真を撮影し、メモリアレイや認証ロジック、AESエンジンなどの機能ブロックの位置情報を組み合わせてマッピングします。ダイ写真が公開されていない場合は、完全に外部から推定しなければなりません。

パラメータ空間の問題

チップの準備とマッピングが完了しても、LFI攻撃では3つの独立したパラメータの最適な組み合わせを見つける必要があります： 

1. レーザースポットのダイ上での座標（X・Y位置） 
2. チップ動作に対するパルスのタイミング（ナノ秒単位）
3. レーザーエネルギー（パルス幅と出力）

それぞれの値の範囲は非常に広く、有効な故障（クラッシュや無反応、恒久的な損傷ではなく）を引き起こす組み合わせを見つけるには、系統的な探索が必要です。

The cases documented in this article required weeks of active parameter search before a successful fault injection was achieved.

LFIが成功した場合と失敗した場合

成功した場合、以下のような制御された誤動作が発生します：

• セキュリティチェックが誤った結果を返す 
• 保護されたメモリ領域にアクセスできる
• 認証ステップがバイパスされる 

失敗した場合は以下のいずれかになります： 

• チップが通常通り動作（無効） 
• チップがクラッシュしリセットが必要（進捗は失われる） 
• チップが恒久的に破損し、新しい個体で最初からやり直し

攻撃中にチップが破壊されるのは珍しくありません。Ledger DonjonによるATECCシリーズの研究でも、パラメータ探索中に多くのチップが失われたことが明記されています。破壊されたチップは失敗した攻撃の証であり、同じデバイスから交換チップを用意するか、新たなターゲットデバイスを用意する必要があります。
 

ケース1：Microchip ATAES132A—Fraunhofer AISEC

[ レーザー故障注入 ・FPS 2021（Springer）・ブラックボックス完全キー抽出 ]

ATAES132AはMicrochip Technology社のAESベースのセキュアシリアルEEPROMで、CryptoAuthentication AESファミリーの最初の製品です。

データシートには以下の物理的セキュリティ機能が明記されています： 

• 電圧・温度・周波数・光に対するタンパ検出 
• 回路上のアクティブメタルシールド、内部メモリ暗号化 
• その他未公開の対策

CC認証は取得していません。セキュリティの根拠はデータシート記載の独自設計と、外部からアクセスできないROMファームウェアに依存しています。 

研究内容

Fraunhofer AISECのBjoern Selmke氏、Endres Strieder氏、Johann Heyszl氏、Stefan Freud氏、Thomas Damm氏らが、FPS 2021（Foundations and Practice of Security）で発表し、論文はSpringerのLecture Notes in Computer Scienceシリーズ（2022年）に掲載されました。
 

本プロジェクトの主な目的は、内部構造が不明なチップのセキュリティを評価する「ブラックボックス型レーザー故障注入」の手法を確立することでした。ATAES132Aは、実際の用途で情報保護に使われるデバイスの好例として選ばれました。

攻撃手法

研究者らは、チップのソースコードや設計図、内部写真へのアクセスがありませんでした。まず、トランジスタのスイッチング時に発生する微弱な光を捉える「光放出解析」を用い、特定の動作中に活性化する領域を可視化しました。
 

この画像から機能マップを作成し、回路レイアウトを知らなくても、どの領域がセキュリティクリティカルなロジックを含むか推定できました。
 

このマップをもとに、レーザー照射の候補領域を特定し、レーザー位置・タイミング・パルス幅・エネルギーを系統的に変化させつつ、認証コマンドをチップに送信して探索しました。
 

ターゲットはチップのゾーンアクセス制御機構で、認証なしに保護領域が読めないようになっています。攻撃の狙いは、認証資格なしでもチェックが通過し、保護ゾーンの内容が直接読めるようにすることでした。
 

攻撃は成功し、認証資格なしで保護領域から秘密鍵の完全抽出に成功しました。
 

ケース2：Microchip ATECC508A／ATECC608A

[ レーザー故障注入 ・Ledger Donjon ・SSTIC 2020／SSTIC 2021 ・Black Hat USA 2020 ]

Microchip ATECC508Aは、IoTや組込みセキュリティ用途で広く利用されているセキュアエレメントチップで、Coldcard Mk2 Bitcoinハードウェアウォレットにも採用されています。

FIPS 186-3やFIPS準拠の乱数生成器など、高いセキュリティ基準を満たす設計ですが、CC認証は取得していません。

ATECC508Aへの2020年の攻撃

ターゲットはATECC508Aのデータスロット認証機構でした。Coldcard Mk2では、シードは「認証済みのみ読み取り可能」なシークレットスロットに格納され、認証には正しいPINハッシュの提示が必要です。つまり、物理的にチップを入手してもPINなしではスロット内容は読めません。

アクセス条件チェックが実行される瞬間に、特定領域へ正確にレーザーを照射することで、認証の有無にかかわらずチェックを通過させることに成功しました。

物理的準備：ATECC508Aをウォレットの基板から取り外し、チップの裏側からパッケージをミリングで除去し、攻撃用ボードに実装。赤外線顕微鏡でチップレイアウトをマッピングし、ターゲット領域を特定しました。

設備コスト：Ledger Donjonが使用したLFI装置は約20万ドル（約2,000万円）で、操作や攻撃開発には高度な技術者も必要です。 

攻撃は破壊的で、一度パッケージを除去したチップは元に戻せません。 

レーザー故障攻撃が現実的脅威とならない6つの理由

この実験的な攻撃が、ハードウェアウォレット利用者にとって現実的な脅威とならない理由は6つあります。攻撃者のスキルや予算に関係なく、これらの障壁が存在します。

これら6つの障壁は単独ではなく、相乗的に機能します。すべてを同時に突破しなければならず、攻撃のハードルは極めて高くなります。
 

レーザー故障注入研究の真の意義

チップへの攻撃成功例が公開されることで、2つの点で安全性が高まります。第一に、チップメーカーが次世代シリコンで対策を強化するきっかけになります。

第二に、公開された攻撃手法が「十分な資金と技術を持つ攻撃者ができること」の下限を示し、チップ設計者が守るべき基準となります。 

まとめ

ハードウェアウォレット利用者が知っておくべきポイント：

• レーザー故障注入は現実に存在し、実際にセキュアチップが破られた事例もあります。ただし、実行にはまずデバイス本体の物理的な盗難が必要です。
   
• 攻撃が始まると、デバイスは目に見えて破壊され、元に戻せません。不正操作されたことは一目で分かります。
   
• 必要な設備コストは最低でも1,000万〜2,000万円。一般的な盗難犯が行えるレベルではなく、1チップごとに数週間の熟練したラボ作業が必要なため、大量攻撃は現実的ではありません。
   
• 攻撃は失敗し、チップだけが破壊されて何も得られないリスクも高く、攻撃者にとってもギャンブルです。
   

一般ユーザーの場合、攻撃者側のコスト計算が合いません。本当に警戒すべきは、フィッシングやマルウェア、シードフレーズの漏洩であり、レーザーラボによる攻撃は現実的な脅威ではありません。

参考文献

• 論文（Springer）：ブラックボックス型暗号デバイスのレーザー故障注入による解析 

• Fraunhofer AISEC 公開記録：ブラックボックス型暗号デバイスのレーザー故障注入による解析 

• 著者：Bjoern Selmke、Endres Strieder、Johann Heyszl、Stefan Freud、Thomas Damm