A injeção de falhas a laser (LFI) é o ataque mais tecnicamente exigente no arsenal dos pesquisadores de segurança de hardware. Consiste em disparar um feixe de laser infravermelho altamente focado sobre o die de silício exposto de um chip para provocar o mau funcionamento de um transistor específico em um momento exato durante uma operação específica. Quando funciona, pode extrair chaves secretas de chips projetados para impedir tal extração.
Several publicly documented cases demonstrate that this technique has been successfully applied to dedicated secure chips used in hardware wallets and authentication tokens to protect cryptographic secrets.
This article takes a closer look at some specific cases. It also explains why laser fault injection isn't a significant concern for most hardware wallet users.
Laser fault injection proves that certified secure elements can be broken under laboratory conditions. It also proves that doing so requires six distinct operational barriers that cannot be removed, compressed, or automated.
Como funciona a injeção de falhas a laser
Antes de analisarmos exemplos específicos, vamos entender claramente o que é a injeção de falhas a laser e como ela funciona.
O efeito fotoelétrico
Transistores semicondutores são sensíveis à luz. Quando fótons de uma fonte de laser atingem um transistor no die de silício de um chip, eles geram pares de elétron-buraco, fenômeno chamado de efeito fotoelétrico no nível do semicondutor.
Uma injeção temporária de portadores de carga pode alterar o estado de um transistor. Isso significa que um transistor que deveria permanecer desligado pode ligar rapidamente, ou um que deveria manter seu valor pode ser alterado. Se isso ocorrer no transistor correto, no momento certo, durante a instrução exata, pode fazer o chip funcionar de forma incorreta, mas controlada.
Transistores em chips de segurança modernos têm dimensões em nanômetros, então o ponto do laser precisa ser focado em poucos micrômetros para atingir uma região funcional específica do chip sem acionar as contramedidas ao redor. O tempo também deve ser preciso em nível de nanossegundos, e a energia do laser precisa ser calibrada para causar uma falha controlável sem destruir permanentemente o circuito.
O que os pesquisadores precisam fazer antes de disparar o laser?
A preparação física do dispositivo envolve várias etapas, cada uma sujeita a falhas:
Remoção de componentes: O chip precisa ser dessoldado da placa de circuito do dispositivo sem ser danificado. Isso exige estação de retrabalho com ar quente e mãos firmes. Um chip danificado nessa etapa não pode ser atacado.
Decapagem do encapsulamento: É preciso remover o encapsulamento plástico do chip para expor o die de silício. O método padrão é a decapagem química com ácido nítrico fumegante, substância altamente corrosiva que exige capela de exaustão e treinamento em manuseio químico. A alternativa é o fresamento mecânico com ferramenta de precisão, que pode riscar o die. Qualquer abordagem altera o chip de forma permanente, deixando-o sem encapsulamento visível.
Montagem: O die exposto deve ser montado em uma placa de ataque personalizada que forneça alimentação, aterramento e comunicação ao chip, deixando a superfície acessível ao laser. A placa precisa ser desenhada especificamente para o pinout e requisitos de energia do chip alvo.
Mapeamento do die: Antes de injetar qualquer falha, o pesquisador precisa identificar onde mirar o laser no die. Isso exige microscopia infravermelha para gerar um mapa fotográfico da superfície, combinado com conhecimento sobre a localização de blocos funcionais, como matriz de memória, lógica de autenticação e motor AES. Para chips sem fotos publicadas do die, esse mapeamento é feito totalmente do lado de fora.
O problema do espaço de parâmetros
Mesmo com o chip preparado e o die mapeado, um ataque de injeção de falha a laser exige encontrar a combinação correta de três parâmetros independentes:
As coordenadas do ponto do laser sobre o die (posição X e Y),
O tempo do pulso em relação à operação do chip (medido em nanossegundos)
A energia do laser (duração e potência do pulso).
Cada um desses parâmetros possui uma ampla faixa de valores possíveis. Para encontrar a combinação certa que cause uma falha útil — em vez de travar, não ter efeito ou danificar permanentemente o chip — é preciso explorar sistematicamente o espaço de possibilidades.
Os casos documentados neste artigo exigiram semanas de busca ativa por parâmetros antes de uma injeção de falha bem-sucedida ser alcançada.
Como é um LFI bem-sucedido e quais os custos do fracasso
Uma injeção de falha bem-sucedida pode causar qualquer uma das seguintes falhas controladas:
Uma checagem de segurança retorna o resultado errado,
Uma região de memória protegida se torna acessível
Uma etapa de autenticação é pulada.
Uma injeção malsucedida resulta em um dos três cenários:
O chip continua funcionando normalmente (sem efeito),
O chip trava e precisa ser reiniciado (perdendo qualquer progresso),
O chip é danificado permanentemente, e o ataque precisa começar do zero em outro exemplar.
A destruição permanente do chip durante um ataque não é incomum. No trabalho do Ledger Donjon com a série ATECC, os pesquisadores destacaram a perda significativa de chips durante a exploração de parâmetros. Cada chip destruído representa uma tentativa de ataque fracassada, sem retorno, exigindo outro chip de reposição do mesmo dispositivo ou um novo dispositivo alvo.
O ATAES132A é um EEPROM serial seguro baseado em AES da Microchip Technology; o primeiro dispositivo da família CryptoAuthentication AES da empresa.
O datasheet lista explicitamente seus recursos de segurança física:
Detectores de violação para voltagem, temperatura, frequência e luz;
Blindagem metálica ativa sobre o circuito; criptografia da memória interna;
Contramedidas adicionais não especificadas.
Não possui certificação CC. Suas alegações de segurança se baseiam no design proprietário descrito no datasheet e em um firmware ROM inacessível para revisão externa.
Pesquisa
Pesquisadores do Fraunhofer AISEC: Bjoern Selmke, Endres Strieder, Johann Heyszl, Stefan Freud e Thomas Damm publicaram seus resultados no FPS 2021 (Foundations and Practice of Security), com o artigo completo na série Lecture Notes in Computer Science da Springer em 2022.
O objetivo principal do projeto era criar um método claro para testar a segurança de chips sem acesso interno, conhecido como injeção de falhas a laser em caixa-preta. O chip ATAES132A foi escolhido como bom exemplo de dispositivos usados para proteger informações em aplicações reais.
Metodologia do ataque
Os pesquisadores não tinham acesso ao código-fonte do chip, nem a documentos de design ou fotos do próprio chip. Eles começaram usando análise de fotoemissão, método que capta a luz fraca emitida pelos transistores ao ligar e desligar.
Ao tirar imagens do chip durante operações específicas, eles conseguiam identificar quais áreas estavam ativas durante certos comandos. Isso permitiu criar um mapa funcional sem precisar conhecer o layout do circuito.
Com esse mapa, identificaram regiões candidatas à injeção de falha, ou seja, áreas que provavelmente continham a lógica crítica de segurança que desejavam afetar. Em seguida, realizaram a busca pelos parâmetros: variando sistematicamente a posição do laser, o tempo, a duração e a energia do pulso nas regiões identificadas enquanto enviavam comandos de autenticação ao chip.
O alvo era o mecanismo de controle de acesso por zonas do chip, que impede leituras não autorizadas de zonas protegidas do usuário. O objetivo do ataque era fazer com que essa checagem retornasse um resultado positivo sem que o invasor fornecesse uma credencial de autenticação válida, permitindo a leitura direta do conteúdo de uma zona protegida.
O ataque foi bem-sucedido. Os pesquisadores demonstraram a extração completa da chave secreta de uma zona protegida do usuário via injeção de falhas a laser, sem conhecimento prévio da credencial de autenticação.
Caso 2: Microchip ATECC508A e ATECC608A
[ LASER FAULT INJECTION · Ledger Donjon · SSTIC 2020 / SSTIC 2021 · Black Hat USA 2020 ]
O Microchip ATECC508A é um chip de elemento seguro usado em uma ampla gama de aplicações de segurança IoT e embarcadas, incluindo a carteira de hardware Coldcard Mk2 Bitcoin.
Embora tenha sido projetado para atender a altos padrões de segurança, incluindo FIPS 186-3 e padrões de gerador de números aleatórios FIPS, o ATECC508A não possui certificação CC.
O ataque ao ATECC508A em 2020
O alvo era o mecanismo de autenticação do slot de dados do ATECC508A. Quando a Coldcard Mk2 armazena a seed, ela é colocada em um slot de dados configurado como secreto, acessível apenas após autenticação. A autenticação exige a apresentação do hash PIN correto. A ideia é que, mesmo que um invasor tenha acesso físico ao chip, não consiga ler o slot sem o PIN.
Ao disparar o laser em uma região precisamente identificada do chip no momento em que a checagem de condição de acesso estava sendo executada, os pesquisadores fizeram essa checagem retornar resultado positivo independentemente de a autenticação ter sido feita.
Preparação física necessária: dessoldar o ATECC508A da PCB da carteira, fresar o encapsulamento plástico do chip pela parte de trás e montá-lo em uma placa de ataque. Um microscópio infravermelho foi usado para mapear o layout do chip e identificar a região alvo.
Custo do equipamento: O setup de injeção de falha a laser utilizado pelo Ledger Donjon custa cerca de US$ 200.000, sem contar os técnicos especializados necessários para operar e desenvolver o ataque.
O processo de ataque é destrutivo: o encapsulamento do chip é removido permanentemente e ele não pode mais ser utilizado.
6 motivos pelos quais ataques a laser não escalam
Seis barreiras impedem que esse ataque de laboratório ameace, na prática, usuários de carteiras de hardware, independentemente da habilidade ou orçamento do invasor.
Barreira
O que o LFI exige
Por que impede ataques em massa
Acesso físico
O chip precisa ser dessoldado, decapado e montado em um jig de ataque personalizado. O dispositivo é alterado permanentemente.
Cada alvo exige manipulação individual. O ataque não pode ser feito remotamente.
Decapagem do chip
Remoção química ou mecânica do encapsulamento plástico do chip para expor o die de silício. Exige ácido nítrico fumegante ou equipamento de fresagem de precisão.
Irreversível. O dispositivo não pode ser reutilizado sem ser detectado.
Limita o ataque a cenários onde o roubo do dispositivo já é aceito.
Equipamento de capital
Fonte de laser infravermelho, mesa XY de precisão ou microscópio, osciloscópio, placa de ataque personalizada, setup de análise de fotoemissão: mínimo de US$ 100 mil a US$ 200 mil.
O custo de capital não pode ser diluído entre vários alvos, como ocorre com software e infraestrutura.
Cada chip também exige ajuste de parâmetros do zero.
Tempo de busca de parâmetros
Identificar a posição correta da falha, o tempo, a energia do laser e a duração do pulso exige exploração extensa de um grande espaço de parâmetros; dias a semanas por família de chip.
O custo de tempo por alvo é alto e dificilmente reduzido. Pesquisas anteriores ajudam, mas cada variante de chip exige nova calibração.
Especialização técnica
Conhecimento profundo de física de semicondutores, teoria de injeção de falhas, análise de sinais, análise de layout de chip e sistemas embarcados: combinação rara, difícil de contratar no mercado.
O número de pessoas capazes de executar esses ataques é pequeno, conhecido na comunidade de pesquisa e não disponível em escala criminosa.
Retorno incerto
O sucesso é probabilístico. A injeção de falhas tem taxa significativa de fracasso. Os chips podem ser destruídos permanentemente sem revelar os dados alvo.
O retorno esperado por tentativa de ataque é reduzido pela probabilidade de fracasso. Para valores médios, a conta não fecha.
As seis barreiras precisam atuar em conjunto, multiplicando seu efeito, e não apenas somando. Isso significa que o invasor precisa superar todas ao mesmo tempo, tornando a segurança muito mais robusta.
O verdadeiro propósito da pesquisa com LFI
Pesquisas que documentam ataques bem-sucedidos contra chips na verdade os tornam mais seguros de duas formas. Primeiro, forçam os fabricantes a aprimorar as contramedidas em revisões futuras do silício.
Segundo, as metodologias de ataque publicadas definem o limite mínimo do que um adversário bem financiado pode fazer e o que os projetistas de chips precisam defender.
Conclusões
O que você, usuário de carteira de hardware, deve levar deste artigo:
A injeção de falhas a laser é real e funciona. Pesquisadores já quebraram chips seguros assim. Na prática, seria preciso primeiro roubar fisicamente seu dispositivo.
Depois que o ataque começa, seu dispositivo é destruído de forma visível e permanente. Você saberia que ele foi violado.
O equipamento custa no mínimo US$ 100 mil a US$ 200 mil. Não é algo que um ladrão casual consiga fazer. Também exige semanas de trabalho de laboratório especializado por chip. Não escala para atacar muitas pessoas ao mesmo tempo.
O ataque pode falhar e destruir o chip sem nenhum resultado, então é um risco até para o invasor.
Se você é um usuário comum, a economia simplesmente não compensa para o atacante. As ameaças reais são phishing, malware e exposição da seed phrase, não um laboratório popular de lasers.
