Secure Elements estão em toda parte. Eles estão dentro de smartphones, hardware wallets, e-passaportes, cartões de pagamento, chaves de carro e cartões SIM. São chips minúsculos responsáveis por proteger alguns dos dados mais sensíveis que carregamos. A maioria possui certificações e níveis de garantia que sugerem quase invulnerabilidade. No entanto, pesquisas crescentes sobre ataques de injeção de falhas mostram que a história é mais complexa.
Conversamos com Sergei Skorobogatov, ex-membro do Security Group da Universidade de Cambridge (fundado pelo falecido Ross Anderson), que há anos explora os limites físicos desses chips. Ele dirige a Cambridge Research and Engineering, especializada em recuperação de dados de circuitos integrados danificados e análise de dispositivos semicondutores em busca de backdoors.
Também entrevistamos Shivam Bhasin, pesquisador da Universidade Tecnológica de Nanyang, em Singapura. Bhasin é especialista em segurança de hardware e injeção de falhas — a arte de usar perturbações físicas precisas para fazer chips seguros se comportarem de maneiras não previstas pelos projetistas.
O que fazem os Secure Elements
Antes de entender como eles podem ser quebrados, é importante saber o que os Secure Elements foram projetados para resistir.
Um microcontrolador padrão, como os encontrados em sensores IoT baratos ou placas Arduino básicas, armazena firmware e dados em uma memória que pode ser lida com ferramentas comuns. Basta conectar uma sonda de depuração para, muitas vezes, extrair todo o conteúdo do chip.
Alguns microcontroladores oferecem boa proteção, enquanto outros com segurança de hardware aprimorada possuem backdoors nas interfaces de depuração. Microcontroladores personalizados usados em automóveis podem resistir a muitos ataques devido à falta de documentação, design exclusivo e ausência de amostras em branco. Por isso, o nível de segurança varia entre fabricantes e dispositivos.
Um Secure Element é projetado desde o início para resistir tanto a ataques lógicos (malware e exploração de protocolos) quanto a ataques físicos (probes, imagens e adulterações).
Suas defesas incluem barramentos de memória criptografados, malhas ativas que detectam intrusões físicas, temporização de execução aleatória para dificultar análise de canais laterais, e sensores que apagam dados sensíveis se o chip detectar voltagem, temperatura ou exposição à luz anormais.
Esquemas de certificação como o Common Criteria classificam chips de Secure Element em uma escala de EAL1 a EAL7 conforme a profundidade da avaliação de segurança.
Bhasin reconhece a força dessa base. Segundo ele, os Secure Elements "são normalmente desenvolvidos por fornecedores experientes, com décadas de experiência especializada, e passam por testes rigorosos de penetração e processos formais de certificação antes do lançamento." Mas faz uma ressalva: "Nenhum sistema é totalmente à prova de falhas."
Por que não existe hardware perfeitamente seguro
Skorobogatov é direto sobre os limites da segurança de hardware: "Não é possível projetar um dispositivo perfeitamente seguro", afirma. "Todo chip inevitavelmente terá falhas, pois é criado por humanos que não conseguem prever todos os tipos de ataque possíveis. Até mesmo implementações específicas de hardware, como Flash memory, podem introduzir vulnerabilidades não previstas no momento do projeto".
Bhasin também enfatiza que a segurança não depende de um único mecanismo.
"Chips modernos dependem de uma cadeia de confiança que começa no hardware e valida sistematicamente cada componente, do bootloader seguro ao software de aplicação verificado", explica. Cada elo da cadeia verifica o anterior. O hardware verifica o bootloader. O bootloader verifica o sistema operacional ou firmware. O firmware verifica o aplicativo. Se todos os elos funcionam, apenas código autorizado é executado no chip.
O problema, destaca Bhasin, é que "qualquer manipulação dessa cadeia pode comprometer todo o sistema, permitindo potencialmente a execução de aplicativos não autorizados ou maliciosos."
Essa é a base da injeção de falhas. O atacante só precisa encontrar um elo da cadeia e interrompê-lo no momento certo. Se o bootloader pular a verificação de assinatura, carregará qualquer firmware recebido. Se um flag de segurança for alterado de travado para destravado, as próprias proteções do chip deixam de atuar.
Exemplos históricos
Em 2010, o pesquisador Christopher Tarnovsky derrotou o Infineon SLE 66 CL PE, um chip certificado EAL4+ usado em Trusted Platform Modules e cartões de TV via satélite, combinando decapsulamento químico, microsondas e edição de circuito com focused-ion-beam (FIB). O ataque de Tarnovsky exigiu meses de trabalho e equipamentos especializados, mas provou que contramedidas físicas consideradas de última geração na época podiam ser sistematicamente vencidas.
Mais recentemente, pesquisadores mostraram que até chips novos, com blindagem mais avançada, podem ser vulneráveis a ataques não previstos no projeto. A Flash memory, citada por Skorobogatov, tem sido um ponto fraco recorrente: suas características físicas podem vazar informações sobre os dados armazenados, e seus mecanismos de gravação/apagamento podem ser manipulados de formas não antecipadas pelos projetistas.
Problemas estruturais na fabricação
Existe também uma questão estrutural no próprio processo de fabricação. A maioria dos chips sai de fábrica com interfaces de teste (portas JTAG, scan chains, modos de depuração proprietários) usadas para verificação pós-produção e controle de qualidade. Essas interfaces permitem acesso profundo ao estado interno do chip. Elas deveriam ser permanentemente desativadas após a inicialização de fábrica, queimando fusíveis OTP (one-time-programmable) ou definindo bits de bloqueio.
Na prática, representam uma superfície de ataque latente. "Se um invasor encontrar uma forma de reabilitar esses recursos", observa Skorobogatov, "o acesso total ao dispositivo pode ser restaurado." Pesquisadores já demonstraram isso em várias famílias de chips, às vezes usando laser para inverter o bit específico que controla o acesso ao modo de teste, efetivamente "desqueimando" o fusível no nível lógico.
Reconhecimento primeiro, laser depois
Atacar um Secure Element exige uma metodologia estruturada, dividida em etapas. Skorobogatov descreve um processo que normalmente começa muito antes de alguém ligar um laser ou conectar uma sonda.
Etapa 1: Coleta de informações
O primeiro passo é o reconhecimento. Skorobogatov explica que a maioria dos ataques começa com inteligência de fontes abertas: datasheets, documentação de desenvolvedor, registros de patentes e até materiais de marketing. Qualquer coisa que ajude a restringir a arquitetura. Atacantes também estudam "dispositivos similares com documentação completa ou antecessores com vulnerabilidades conhecidas", avançando do que já se sabe para o que ainda não se conhece.
Pesquisadores vasculham datasheets públicos, registros de patentes, documentação de desenvolvedor, artigos acadêmicos e até materiais de marketing. Um folheto de produto que menciona um núcleo de processador ou arquitetura de memória específica pode reduzir muito o universo de busca.
Se um chip for uma revisão mais recente de uma família já estudada, o atacante pode entender até 80% da arquitetura antes mesmo de analisar fisicamente o dispositivo.
Etapa 2: Engenharia reversa
O processo avança para a engenharia reversa em vários níveis: software de suporte, firmware interno, bootloaders e, por fim, a lógica do silício. O objetivo é construir um mapa operacional detalhado do chip, revelando como os dados circulam, onde as chaves são armazenadas e quais rotinas lidam com autenticação.
A engenharia reversa em nível de software pode envolver o dump e a desassemblagem do firmware (se acessível), análise dos protocolos de comunicação entre o chip e o dispositivo hospedeiro, ou o estudo de SDKs ou drivers públicos para inferir operações internas.
Na engenharia reversa de hardware, pesquisadores removem quimicamente o encapsulamento do chip para expor o silicon die, depois o imageiam camada por camada usando microscopia óptica ou eletrônica.
Ferramentas especializadas podem reconstruir as portas lógicas do chip a partir dessas imagens, produzindo um esquema do circuito interno. Esse processo, chamado de delayering, pode revelar locais de arrays de memória, coprocessadores criptográficos, geradores de números aleatórios e sensores de segurança contra adulteração.
Etapa 3: Ataques ativos
Com o mapa do chip em mãos, pesquisadores partem para a exploração ativa. O arsenal é amplo: análise de consumo de energia, monitoramento de emissões eletromagnéticas e ópticas, injeção de falhas por laser, glitching de voltagem e manipulação de dados em nível de protocolo. Skorobogatov observa que cada técnica tem seus próprios prós e contras, mas "juntas, entregam resultados mais rápidos e eficientes." O verdadeiro poder está na combinação.
A análise de consumo monitora o consumo elétrico do chip em tempo real durante operações. Instruções e dados diferentes geram pequenas variações no consumo, permitindo que uma análise estatística de várias medições revele chaves secretas.
A análise de emissão eletromagnética segue princípio semelhante, mas captura o campo eletromagnético irradiado pelo chip, em vez do consumo de energia.
A análise de emissão óptica explora o fato de que transistores emitem pequenas quantidades de luz infravermelha ao comutarem. Ao imagear a parte traseira do chip com uma câmera sensível ao infravermelho próximo, pesquisadores observam quais partes do circuito estão ativas em operações específicas.
O glitching de energia envolve interromper brevemente a voltagem de alimentação do chip em um momento cuidadosamente escolhido durante a execução. Se bem cronometrado, pode fazer o processador pular uma instrução, corromper um resultado de comparação ou burlar uma checagem de segurança.
A manipulação de dados em nível de protocolo mira a comunicação entre o chip e seu hospedeiro. Modificando comandos, repetindo transações ou injetando dados malformados, atacantes podem provocar estados de erro que vazam informações ou burlam proteções.
Injeção de falhas por laser (LFI): a ferramenta de precisão
Entre todas essas técnicas, a injeção de falhas por laser ocupa um nicho especial.
O diferencial da injeção de falhas por laser, segundo Skorobogatov, é sua dupla precisão: pode atingir "um momento específico e também um local exato na lógica ou memória do dispositivo." Enquanto o glitching de energia afeta o chip inteiro, um feixe de laser focado pode agir sobre um único gate ou célula de memória. Isso dá ao atacante dois graus de controle: quando a falha ocorre e onde ela atinge no chip.
Bhasin descreve o nível de controle que a LFI oferece. "Em um sistema bem caracterizado, um laser pode atingir e manipular bits específicos com alta precisão." A precisão em nível de bit "permite ao atacante mirar flags de segurança que controlam o estado do sistema, efetivamente 'desligando' proteções."
Um flag de segurança é um conjunto de bits de controle que indica se o chip está travado ou destravado, se o acesso de depuração está habilitado ou não, e se o bootloader deve exigir verificação de assinatura ou ignorá-la.
Se esse flag for afetado, toda a postura de segurança do chip pode mudar, corrompendo o resultado de uma operação criptográfica e vazando informações sobre a chave secreta. Se a falha for cronometrada durante uma operação criptográfica, pode corromper os dados de saída e, analisando esses erros, um atacante pode reconstruir e vazar matematicamente a chave secreta.
Economia de quebrar chips seguros
Se Secure Elements podem ser quebrados, por que isso não acontece o tempo todo? No curto prazo, a resposta é o custo.
Quebrar um Secure Element não é um projeto de fim de semana. O dispositivo geralmente precisa passar por engenharia reversa tanto no silício quanto no firmware antes que o atacante saiba onde buscar uma brecha. Skorobogatov é direto: "Esse processo pode levar meses ou até anos para ter sucesso."
Bhasin enxerga o custo como um espectro: “O equipamento necessário para injeção de falhas vai de ferramentas DIY que custam alguns dólares até sistemas de laser ou feixe de íons de última geração que superam um milhão de dólares”.
Um setup básico de glitching pode ser montado com uma placa FPGA, um MOSFET e solda criativa; custo total abaixo de US$ 1.000. Uma estação profissional de injeção de falhas a laser custa de US$ 150.000 a US$ 500.000. Um sistema de focused ion beam para edição e análise avançada pode passar de US$ 1 milhão.
O histórico confirma isso. Skorobogatov observa que chips certificados em EAL5 e até EAL6 já foram comprometidos, mas apenas por "grandes equipes de especialistas em empresas e laboratórios governamentais especializados, a um custo e esforço enormes".
Motivação além do dinheiro
Bhasin aponta que "motivações não monetárias, como interesses de segurança nacional, exigências legais ou perícia criminal", também podem justificar o uso de ataques sofisticados e caros. Um laboratório governamental analisando um dispositivo apreendido não está fazendo análise de custo-benefício comercial.
Um grande concorrente com recursos pode adquirir o mesmo equipamento, contratar pesquisadores de alto nível e investir tempo para quebrar o Secure Element de um rival e enfraquecer a confiança no produto concorrente.
Essa dinâmica já acontece no mercado de hardware wallets. O laboratório Donjon, da Ledger, publicou diversas pesquisas demonstrando ataques de injeção de falhas bem-sucedidos contra dispositivos Trezor, apresentando como divulgação responsável para melhorar a segurança do ecossistema.
O que isso significa para guardar cripto em hardware?
Ataques físicos a dispositivos de consumidores geralmente não são viáveis economicamente na maioria dos cenários reais. Mas Skorobogatov alerta para não deixar esse fato gerar complacência. Ter um Secure Element no dispositivo, segundo ele, "não garante proteção total contra todos os ataques." Com tempo e recursos suficientes, um atacante determinado sempre pode encontrar um caminho.
A segurança prática de uma hardware wallet depende de toda a cadeia: o Secure Element, o firmware que roda nele, o protocolo de comunicação entre o chip e o app, a integridade da cadeia de suprimentos da fábrica ao usuário final e as escolhas do próprio usuário.
Uma camada de defesa pouco valorizada está no modo como wallets bem projetadas lidam com a derivação de chaves. Muitos dispositivos criptográficos não armazenam as chaves de criptografia diretamente no chip. Em vez disso, guardam um hash da senha ou PIN do usuário. A chave real é derivada do input do usuário na hora da assinatura. Isso significa que, mesmo com comprometimento físico total do chip, o atacante não recebe as chaves imediatamente.
Mesmo que um atacante obtenha acesso físico total ao chip, Skorobogatov diz que o ganho não é garantido. Se o usuário escolheu uma senha forte, resta apenas o brute force (tentar várias senhas), e "isso pode levar muitos anos, mesmo em servidores muito potentes."
O panorama geral
A criptografia oferece garantias matemáticas. Mas essas garantias vivem em hardware físico, no mundo real, onde transistores podem falhar, fótons podem inverter bits e modos de teste podem ser reativados.
Para fabricantes de chips e dispositivos, isso significa que segurança é uma disciplina contínua de engenharia: monitorar pesquisas, atualizar modelos de ameaça e projetar para resiliência contra ataques emergentes e sofisticados.
Para o usuário final, mesmo que esses métodos estejam restritos a ambientes de alto recurso, eles servem como lembrete da importância da custódia física.
Embora um ataque de injeção de falhas exija equipamentos especializados e grande expertise, ele reforça que a segurança de hardware consiste em aumentar o custo do ataque além do valor dos ativos protegidos.
