セキュアエレメントへのレーザー故障注入（LFI）攻撃とは

レーザー故障注入（LFI）は、ハードウェアセキュリティ分野で最も高度な攻撃手法の一つです。これは、チップのシリコンダイを露出させ、特定のトランジスタに赤外線レーザーを極めて正確なタイミングで照射し、意図的に誤動作させることで、通常は取得できない秘密鍵などの情報を抜き取ることができます。

この手法は、ハードウェアウォレットや認証トークンに使われる専用セキュアチップに対しても、実際に成功した事例がいくつか公開されています。

本記事では、具体的な事例を紹介しつつ、LFIが一般ユーザーにとって現実的な脅威ではない理由についても解説します。

レーザー故障注入は、認証されたセキュアエレメントであっても、実験室環境下では突破可能であることを示しています。しかし、この攻撃を成立させるには、6つの独立した障壁を同時に突破する必要があり、それらは省略・自動化できません。

レーザー故障注入の仕組み

具体例に入る前に、LFIがどのような仕組みなのかを簡単に説明します。

光電効果とは

半導体トランジスタは光に敏感です。レーザー光のフォトンがチップのシリコンダイ上のトランジスタに当たると、電子・正孔対が発生します。これが半導体レベルでの光電効果です。
 

一時的に電荷キャリアが注入されることで、トランジスタの状態が変化します。つまり、本来オフであるべきトランジスタが一瞬オンになったり、値を保持すべきトランジスタが変化したりします。これが適切な場所・タイミング・命令実行中に起きると、チップの動作を制御された形で誤作動させることができます。

最新のセキュリティチップでは、トランジスタのサイズはナノメートル単位です。そのため、レーザーのスポットは数ミクロンという極めて小さな範囲に正確に合わせる必要があります。さらに、タイミングもナノ秒単位で合わせ、レーザーのエネルギーも回路を破壊しない範囲で調整しなければなりません。
 

レーザー照射前に必要な準備

LFIを実行するには、物理的な準備だけでも複数の工程があり、それぞれ失敗のリスクがあります：

1. 部品の取り外し：攻撃対象のチップを基板から損傷なく取り外す必要があります。ホットエアリワーク装置と熟練した手先が求められます。取り外し時に破損したチップは攻撃できません。
    
2. パッケージの除去：チップのプラスチックパッケージを取り除き、シリコンダイを露出させます。標準的には発煙硝酸による化学的な方法（ドラフトチャンバーと薬品取扱訓練が必須）、または精密工具による機械的な削り出しが使われます。いずれもチップは元に戻せない状態になります。
    
3. マウント：露出させたダイを、電源・グランド・通信を供給しつつ、レーザー照射が可能な専用のアタックボードに実装します。ボードは対象チップのピン配置や電源仕様に合わせて設計が必要です。
    
4. ダイのマッピング：どこにレーザーを照射するか特定するため、赤外線顕微鏡でダイ表面を撮影し、メモリアレイや認証ロジック、AESエンジンなどの機能ブロックの位置を推定します。ダイ写真が公開されていない場合は、外部からの解析のみでマッピングする必要があります。

パラメータ空間の問題

チップの準備とマッピングが終わっても、LFI攻撃では3つの独立したパラメータの正しい組み合わせを見つけなければなりません：

1. ダイ上のレーザースポット座標（X・Y位置）
2. チップの動作タイミングに対するパルスのタイミング（ナノ秒単位）
3. レーザーのエネルギー（パルス幅・出力）

これらはそれぞれ広い範囲の値を持つため、有効な故障を引き起こす組み合わせを見つけるには、地道な探索が必要です。

本記事で紹介する事例でも、成功するまでに数週間にわたるパラメータ探索が必要でした。

LFIが成功した場合と失敗した場合の結果

LFIによる故障注入が成功すると、以下のような制御された誤動作が発生します：

• セキュリティチェックが誤った結果を返す
• 保護されたメモリ領域へのアクセスが可能になる
• 認証ステップがスキップされる

一方、失敗した場合は下記のいずれかになります：

• チップが通常通り動作する（効果なし）
• チップがクラッシュし、リセットが必要（進捗が失われる）
• チップが恒久的に破損し、攻撃を新しい個体でやり直す必要がある

攻撃中にチップが破壊されることは珍しくありません。Ledger DonjonがATECCシリーズで行った研究でも、パラメータ探索中のチップ損失が多く発生したと明記されています。破壊されたチップは攻撃失敗を意味し、同じデバイスから新たなチップを調達するか、別のターゲットデバイスが必要になります。
 

ケース1：Microchip ATAES132A — Fraunhofer AISEC

【レーザー故障注入 ・ FPS 2021（Springer）・ ブラックボックス完全鍵抽出】

ATAES132Aは、Microchip Technology社のAESベースのセキュアシリアルEEPROMで、CryptoAuthentication AESファミリーの最初の製品です。

データシートには、物理的なセキュリティ機能として以下が記載されています：

• 電圧・温度・周波数・光に対するタンパ検出機能
• 回路上のアクティブメタルシールド、内部メモリ暗号化
• その他未公開の対策

CC認証は取得していません。セキュリティの根拠は、データシートで説明されている独自設計と、外部から確認できないROMファームウェアに基づいています。

研究内容

Fraunhofer AISECのBjoern Selmke氏、Endres Strieder氏、Johann Heyszl氏、Stefan Freud氏、Thomas Damm氏は、FPS 2021（Foundations and Practice of Security）で成果を発表し、SpringerのLecture Notes in Computer Scienceシリーズに論文が掲載されました。
 

このプロジェクトの主な目的は、内部構造が見えないチップのセキュリティ検証手法（ブラックボックス型レーザー故障注入）の確立でした。ATAES132Aは、実際の用途で情報を安全に保管するデバイスの好例として選ばれました。

攻撃手法

研究者たちは、チップのソースコードや設計図、ダイ写真などには一切アクセスできませんでした。まず、トランジスタがオン・オフする際に発する微弱な光を捉える「光電子放出解析」を用い、特定の操作中に活性化する領域を可視化しました。
 

この画像から、回路レイアウトを知らなくても機能マップを作成でき、故障注入の候補領域（セキュリティクリティカルなロジックが存在する可能性が高い箇所）を特定しました。その後、レーザー位置・タイミング・パルス幅・エネルギーを系統的に変化させながら、チップに認証コマンドを送信してパラメータ探索を行いました。
 

ターゲットは、保護されたユーザーゾーンへの不正アクセスを防ぐ「ゾーンアクセス制御機構」でした。攻撃の狙いは、認証資格情報を持たない攻撃者でも、チェックが成功したと誤判定させ、保護ゾーンの内容を直接読み出せるようにすることです。
 

攻撃は成功し、研究者らは認証情報なしで保護ゾーンから秘密鍵を完全に抽出できることを実証しました。
 

ケース2：Microchip ATECC508A／ATECC608A

【レーザー故障注入 ・ Ledger Donjon ・ SSTIC 2020／2021 ・ Black Hat USA 2020】

Microchip ATECC508Aは、IoTや組み込みセキュリティ用途で広く使われているセキュアエレメントチップで、Coldcard Mk2 Bitcoinハードウェアウォレットにも採用されています。

FIPS 186-3やFIPS準拠の乱数生成器など高いセキュリティ基準を満たす設計ですが、CC認証は取得していません。

ATECC508Aへの2020年の攻撃

ターゲットは、ATECC508Aのデータスロット認証機構でした。Coldcard Mk2では、シードが認証済みでのみ読み出せる「シークレット」スロットに格納され、認証には正しいPINハッシュの提示が必要です。つまり、攻撃者が物理的にチップを入手しても、PINがなければ読み出せません。

しかし、認証チェック実行の瞬間に特定領域へレーザーを照射することで、認証の有無にかかわらずチェックが成功したと誤判定させることに成功しました。

物理的な準備：ATECC508Aをウォレットの基板から取り外し、チップ背面からパッケージを削り、アタックボードに実装。赤外線顕微鏡でチップのレイアウトをマッピングし、ターゲット領域を特定しました。

機材コスト：Ledger Donjonが使用したLFI装置は約20万ドル（約2,000万円）で、さらに攻撃開発や運用には熟練技術者が必要です。

この攻撃は破壊的であり、チップのパッケージは完全に除去され、元のデバイスとしては使用できなくなります。

レーザー故障攻撃が現実的でない6つの理由

この実験室レベルの攻撃が、一般のハードウェアウォレット利用者にとって現実的な脅威とならない理由は、以下の6つの障壁にあります。

これら6つの障壁は、単に足し算ではなく、掛け算的に攻撃難易度を高めます。すべてを同時に突破しなければならないため、現実的には非常に困難です。
 

レーザー故障注入研究の本当の意義

チップへの攻撃が成功した研究が公開されることで、実は2つの面で安全性が高まります。第一に、メーカーは新しいシリコンリビジョンで対策を強化せざるを得なくなります。

第二に、攻撃手法の公開は「十分な資金と技術を持つ攻撃者が到達可能な最低ライン」を明らかにし、チップ設計者が守るべき基準を示します。

まとめ

ハードウェアウォレット利用者が知っておくべきポイント：

• レーザー故障注入は現実に存在し、実験室レベルではセキュアチップも突破されています。ただし、実行にはまずデバイスの物理的な窃盗が前提です。
• 攻撃が始まると、デバイスは目に見えて破壊され、改ざんは明白です。
• 必要な機材は1,000万〜2,000万円以上、さらに1チップごとに数週間の熟練作業が必要で、一般的な窃盗犯が実行できるものではありません。多人数を同時に狙うこともできません。
• 攻撃が失敗してチップが破壊されるリスクも高く、攻撃者側にとってもギャンブルです。

一般ユーザーの場合、攻撃者にとって経済的に全く割に合いません。本当に気をつけるべきは、フィッシング、マルウェア、シードフレーズの漏洩です。レーザー装置を持つ研究所は現実の脅威ではありません。

参考文献

• 論文（Springer）：Breaking Black Box Crypto-Devices Using Laser Fault Injection | Springer Nature Link

• Fraunhofer AISEC 公開記録：Breaking Black Box Crypto-Devices Using Laser Fault Injection

• 著者：Bjoern Selmke、Endres Strieder、Johann Heyszl、Stefan Freud、Thomas Damm