보안 칩을 겨냥한 레이저 결함 주입(LFI) 공격

레이저 결함 주입(LFI)은 하드웨어 보안 연구에서 가장 기술적으로 까다로운 공격 방식이에요. 이 방법은 칩의 실리콘 다이에 적외선 레이저를 매우 정밀하게 쏘아 특정 순간, 특정 트랜지스터에 오작동을 일으키는 방식이에요. 성공하면, 이런 추출을 막도록 설계된 칩에서 비밀 키를 빼낼 수 있어요.

Several publicly documented cases demonstrate that this technique has been successfully applied to dedicated secure chips used in hardware wallets and authentication tokens to protect cryptographic secrets.

This article takes a closer look at some specific cases. It also explains why laser fault injection isn't a significant concern for most hardware wallet users. 

Laser fault injection proves that certified secure elements can be broken under laboratory conditions. It also proves that doing so requires six distinct operational barriers that cannot be removed, compressed, or automated.

레이저 결함 주입이란?

구체적인 사례를 보기 전에, 레이저 결함 주입이 무엇이고 어떻게 작동하는지 먼저 이해해 볼게요.

광전 효과

반도체 트랜지스터는 빛에 민감해요. 레이저 광자가 칩의 실리콘 다이에 있는 트랜지스터를 때리면, 전자-정공 쌍이 생성돼요. 이 현상을 반도체 수준에서의 광전 효과라고 해요.
 

일시적으로 전하 운반자가 주입되면 트랜지스터의 상태가 바뀔 수 있어요. 원래 꺼져 있어야 할 트랜지스터가 잠깐 켜지거나, 값을 유지해야 할 트랜지스터가 변할 수 있죠. 이 현상이 올바른 트랜지스터에서, 올바른 타이밍, 올바른 명령 실행 중에 발생하면, 칩이 의도적으로 오작동하게 만들 수 있어요.

최신 보안 칩의 트랜지스터는 나노미터 단위로 작아서, 레이저 스폿을 몇 마이크론 크기로 정확히 맞춰야 인접한 방어 장치를 건드리지 않고 원하는 영역만 겨냥할 수 있어요. 타이밍도 나노초 단위로 정확해야 하고, 레이저 에너지도 회로를 영구적으로 파괴하지 않으면서 제어 가능한 결함만 일으키도록 정밀하게 조정해야 해요.
 

레이저를 쏘기 전에 연구자가 해야 하는 일

장치의 물리적 준비만 해도 여러 단계를 거쳐야 하고, 각 단계마다 실패할 수 있어요:

1. Component removal: 칩을 기기 회로판에서 손상 없이 분리해야 해요. 이를 위해 열풍 리워크 장비와 숙련된 손이 필요해요. 분리 과정에서 손상된 칩은 공격이 불가능해요.
    
2. Package decapping: 칩의 플라스틱 패키지를 제거해 실리콘 다이를 노출해야 해요. 일반적으로는 진한 질산을 사용하는 화학적 디캡핑이 쓰이고, 이는 흄 후드와 화학물 취급 교육이 필요해요. 대안으로 정밀 공구로 기계적으로 갈아내는 방법도 있지만, 다이에 흠집이 날 위험이 있어요. 어떤 방법을 쓰든 칩은 영구적으로 외형이 바뀌어요.
    
3. Mounting: 노출된 다이를 칩에 전원, 접지, 통신을 제공하면서 레이저가 다이 표면에 접근할 수 있게 맞춤 공격 보드에 장착해야 해요. 보드는 대상 칩의 핀 배열과 전원 요구 사항에 맞게 설계돼야 해요.
    
4. Die mapping: 결함을 주입하기 전에, 연구자는 다이의 어느 위치에 레이저를 쏠지 찾아야 해요. 이를 위해 적외선 현미경으로 다이 표면을 촬영해 사진 지도를 만들고, 메모리 어레이, 인증 논리, AES 엔진 등 특정 기능 블록의 위치에 대한 지식이 필요해요. 다이 사진이 공개되지 않은 칩이라면 이 작업을 외부에서만 해야 해요.

파라미터 공간 문제

칩 준비와 다이 매핑이 끝나도, 레이저 결함 주입 공격은 세 가지 독립 변수를 올바르게 조합해야 해요: 

1. 다이 위 레이저 스폿의 좌표(X, Y 위치), 
2. 칩 동작 대비 펄스 타이밍(나노초 단위)
3. 레이저 에너지(펄스 지속 시간과 출력)

각 변수마다 가능한 값의 범위가 매우 넓어요. 원하는 결함(오작동)을 일으키는 조합을 찾으려면 체계적으로 탐색해야 해요. 그렇지 않으면 그냥 멈추거나 아무 효과도 없거나, 칩이 영구적으로 손상될 수 있어요.

이 글에서 다루는 사례들도 성공적인 결함 주입에 도달하기까지 몇 주에 걸쳐 파라미터 탐색이 필요했어요.

성공한 LFI와 실패의 대가

성공적인 결함 주입은 아래와 같은 통제된 오작동을 일으켜요:

• 보안 검사에서 잘못된 결과가 반환됨 
• 보호된 메모리 영역에 접근 가능해짐
• 인증 단계가 우회됨 

실패한 결함 주입은 세 가지 결과 중 하나를 보여요: 

• 칩이 정상적으로 계속 동작(아무 효과 없음) 
• 칩이 멈추거나 재설정 필요(진행 중인 모든 과정 소실) 
• 칩이 영구적으로 손상되어, 공격을 새 칩에서 다시 시작해야 함

공격 도중 칩이 영구적으로 파괴되는 일은 드물지 않아요. Ledger Donjon의 ATECC 시리즈 연구에서도, 파라미터 탐색 과정에서 상당수 칩이 손실되었다고 명시돼 있어요. 파괴된 칩 하나하나는 실패한 공격 시도이며, 다시 시도하려면 동일 기기의 예비 칩이나 새로운 타깃 기기가 필요해요.
 

사례 1: Microchip ATAES132A—Fraunhofer AISEC

[ LASER FAULT INJECTION  ·  FPS 2021 (Springer)  ·  Black-box full key extraction ]

ATAES132A는 Microchip Technology의 AES 기반 보안 직렬 EEPROM으로, CryptoAuthentication AES 패밀리의 첫 제품이에요.

데이터시트에는 물리적 보안 기능이 명확히 명시돼 있어요: 

• 전압, 온도, 주파수, 빛에 대한 변조 감지기 
• 회로를 덮는 활성 금속 실드, 내부 메모리 암호화 
• 기타 미공개 방어 장치

CC 인증은 받지 않았고, 보안 주장은 데이터시트에 설명된 독점 설계와 외부 검토가 불가능한 ROM 펌웨어에 근거해요. 

연구

Fraunhofer AISEC의 연구진(Bjoern Selmke, Endres Strieder, Johann Heyszl, Stefan Freud, Thomas Damm)은 FPS 2021(Foundations and Practice of Security)에서 연구 결과를 발표했고, 전체 논문은 2022년 Springer의 Lecture Notes in Computer Science에 실렸어요.
 

이 프로젝트의 주요 목표는 내부 구조를 알 수 없는 칩의 보안성을 검증하는 명확한 방법(블랙박스 레이저 결함 주입)을 만드는 것이었어요. ATAES132A 칩은 실제 환경에서 정보를 안전하게 지키는 기기의 대표 사례로 선정됐어요.

공격 방법론

연구진은 칩의 소스코드, 설계 문서, 다이 사진 등에 접근할 수 없었어요. 대신, 트랜지스터가 켜지고 꺼질 때 미세하게 방출되는 빛을 포착하는 포토에미션 분석을 활용했어요.
 

특정 동작 중 칩을 촬영해 어느 영역이 활성화되는지 확인했고, 회로 배선을 몰라도 기능 지도를 만들 수 있었어요.
 

이 지도를 바탕으로 결함 주입 후보 영역(보안 핵심 논리가 있을 법한 위치)을 선정한 뒤, 레이저 위치, 타이밍, 펄스 지속 시간, 에너지를 체계적으로 바꿔가며 인증 명령을 칩에 전송했어요.
 

공격 목표는 보호된 사용자 영역의 무단 읽기를 막는 칩의 영역 접근 제어였어요. 공격자는 올바른 인증 자격 없이도 이 검사가 통과되게 만들어 보호 영역의 내용을 직접 읽을 수 있게 하는 것이 목적이었죠.
 

공격은 성공했고, 연구진은 인증 자격을 몰라도 레이저 결함 주입만으로 보호 영역의 비밀 키를 완전히 추출해냈어요.
 

사례 2: Microchip ATECC508A 및 ATECC608A

[ LASER FAULT INJECTION  ·  Ledger Donjon  ·  SSTIC 2020 / SSTIC 2021  ·  Black Hat USA 2020 ]

Microchip ATECC508A는 다양한 IoT 및 임베디드 보안 기기, 그리고 Coldcard Mk2 비트코인 하드웨어 지갑에 사용되는 보안 칩이에요.

FIPS 186-3 및 FIPS 난수 생성기 등 높은 보안 기준을 충족하도록 설계됐지만, ATECC508A 역시 CC 인증은 받지 않았어요.

2020년 ATECC508A 공격

공격 목표는 ATECC508A의 데이터 슬롯 인증 메커니즘이었어요. Coldcard Mk2가 시드를 저장할 때, 해당 슬롯은 인증된 경우에만 읽을 수 있도록 비밀로 설정돼요. 인증을 위해서는 올바른 PIN 해시를 제시해야 하죠. 즉, 공격자가 칩을 물리적으로 손에 넣어도 PIN 없이는 슬롯을 읽을 수 없어요.

연구진은 접근 조건 검사가 실행되는 순간, 칩의 특정 영역에 레이저를 정확히 쏴서 인증 여부와 상관없이 검사가 성공하도록 만들었어요.

물리적 준비: ATECC508A를 지갑의 PCB에서 분리하고, 칩 패키지 뒷면을 밀링으로 제거한 뒤, 공격 보드에 장착했어요. 적외선 현미경으로 칩의 레이아웃을 매핑하고, 목표 영역을 찾았죠.

장비 비용: Ledger Donjon이 사용한 레이저 결함 주입 장비는 약 20만 달러에 달하며, 숙련된 기술자와 공격 개발 인건비는 별도예요. 

공격 과정은 파괴적이에요. 칩 패키지는 영구적으로 제거되고, 다시 사용할 수 없어요. 

레이저 결함 공격이 확산되지 않는 6가지 이유

이 실험실 공격이 실제 하드웨어 지갑 사용자에게 위협이 되지 않는 이유는 다음 6가지 장벽 때문이에요. 공격자의 실력이나 예산과 무관하게 모두 극복해야만 성공할 수 있어요.

이 6가지 장벽은 각각 따로 작동하는 것이 아니라, 서로 곱해져서 방어 효과가 훨씬 커져요. 즉, 공격자는 모두 동시에 극복해야 하므로 보안이 훨씬 강력해져요.
 

레이저 결함 주입 연구의 진짜 목적

칩 공격 성공을 문서화하는 연구는 오히려 칩을 더 안전하게 만들어요. 첫째, 칩 제조사가 이후 실리콘 버전에서 방어책을 강화하도록 유도해요.

둘째, 공격 방법이 공개되면 자원이 풍부한 공격자가 할 수 있는 일의 기준이 정해지고, 칩 설계자가 반드시 방어해야 할 수준이 명확해져요. 

결론

하드웨어 지갑 사용자가 꼭 알아야 할 점은 다음과 같아요:

• 레이저 결함 주입은 실제로 가능하고, 연구진이 보안 칩을 뚫은 사례도 있어요. 하지만 실제로는 먼저 기기를 물리적으로 훔쳐야만 시도할 수 있어요.
   
• 공격이 시작되면, 기기는 눈에 띄게 그리고 영구적으로 파괴돼요. 변조된 사실을 바로 알 수 있어요.
   
• 장비 비용만 최소 10만~20만 달러예요. 일반 도둑이 시도할 수 없고, 칩마다 몇 주씩 숙련된 실험실 작업이 필요해요. 여러 사용자를 한 번에 공격하는 건 불가능해요.
   
• 공격이 실패하면 칩만 파괴되고 아무것도 얻지 못할 수도 있어요. 공격자에게도 큰 도박이에요.
   

일반 사용자의 경우, 공격자가 시도할 경제적 동기가 없어요. 실제 위협은 레이저 연구실이 아니라 피싱, 악성코드, 시드 구문 노출이에요.

참고 자료

• 전체 논문(Springer): Breaking Black Box Crypto-Devices Using Laser Fault Injection | Springer Nature Link 

• Fraunhofer AISEC 발표 기록: Breaking Black Box Crypto-Devices Using Laser Fault Injection 

• 저자: Bjoern Selmke, Endres Strieder, Johann Heyszl, Stefan Freud, Thomas Damm