Secure Element'ler her yerde. Akıllı telefonlarınızın, donanım cüzdanlarının, e-Pasaportların, ödeme kartlarının, araba anahtarlarının ve SIM kartların içinde bulunuyorlar. Bunlar, insanların taşıdığı en hassas verileri korumakla görevli küçük çiplerdir. Çoğu, neredeyse yenilmez olduklarını ima eden sertifikalar ve güvenlik seviyeleriyle gelir. Ancak, hata enjeksiyon saldırılarına dair artan araştırmalar daha karmaşık bir tablo ortaya koyuyor.
Bu çiplerin fiziksel sınırlarını yıllardır inceleyen, Cambridge Üniversitesi Güvenlik Grubu’nun eski üyesi Sergei Skorobogatov ile konuştuk (grup, merhum Ross Anderson tarafından kurulmuştur). Skorobogatov, hasar görmüş entegre devrelerden veri kurtarma ve yarı iletken cihazlarda arka kapı analizi konusunda uzmanlaşmış Cambridge Research and Engineering’in başında.
Ayrıca, Singapur’daki Nanyang Teknoloji Üniversitesi’nde çalışan araştırmacı Shivam Bhasin ile görüştük. Bhasin, donanım güvenliği ve hata enjeksiyonu konusunda uzman; yani güvenli çipleri, tasarımcılarının asla öngörmediği şekilde davranmaya zorlamak için fiziksel müdahaleler uygulama sanatı.
Secure Element’ler ne yapar?
Nasıl kırıldıklarına geçmeden önce, Secure Element’lerin neye karşı dirençli olacak şekilde tasarlandığına bakalım.
Ucuz bir IoT sensörü veya temel bir Arduino kartında bulunan standart bir mikrodenetleyici, yazılımını ve verilerini, piyasada kolayca bulunabilen araçlarla okunabilen bellekte saklar. Bir debug probu bağladığınızda, çoğu zaman çipin tüm içeriğini dışarı alabilirsiniz.
Bazı mikrodenetleyiciler iyi koruma sunarken, daha güvenli donanımlara sahip olanlarda bile debug arayüzlerinde arka kapılar olabilir. Otomotivde kullanılan özel mikrodenetleyiciler, belgelerin eksikliği, benzersiz tasarım ve boş örneklerin olmaması nedeniyle birçok saldırıya karşı dirençlidir. Sonuç olarak, güvenlik seviyesi üreticiye ve cihaza göre değişir.
Bir Secure Element, hem mantıksal saldırılara (kötü amaçlı yazılım ve protokol açıkları) hem de fiziksel saldırılara (probing, görüntüleme ve kurcalama) karşı dirençli olacak şekilde baştan tasarlanır.
Savunmaları arasında şifrelenmiş bellek yolları, fiziksel müdahaleyi algılayan aktif koruma ağları, yan kanal analizini zorlaştıran rastgele yürütme zamanlaması ve çip olağandışı voltaj, sıcaklık veya ışık algıladığında hassas verileri silen sensörler bulunur.
Common Criteria gibi sertifikasyon programları, Secure Element çiplerini EAL1'den EAL7'ye kadar güvenlik değerlendirme derinliğine göre sıralar.
Bhasin, bu temelin gücünü kabul ediyor. Secure Element’ler, diyor, “tipik olarak onlarca yıllık uzmanlığa sahip köklü üreticiler tarafından geliştirilir ve dağıtımdan önce sıkı sızma testleri ile resmi sertifikasyon süreçlerinden geçer.” Ancak şu uyarıyı da ekliyor: “Hiçbir sistem tamamen kusursuz değildir.”
Mükemmel güvenli donanım neden yok?
Skorobogatov, donanım güvenliğinin sınırları konusunda açık: “Mükemmel derecede güvenli bir cihaz tasarlamak mümkün değil,” diyor. “Her çip, insanlar tarafından tasarlandığı ve her olası saldırı türü tam olarak bilinmediği için kaçınılmaz olarak kusurlar taşır. Flash bellek gibi belirli donanım uygulamaları bile, tasarım sırasında öngörülmeyen açıklar barındırabilir.”
Bhasin de güvenliğin tek bir mekanizmaya dayanmadığını vurguluyor.
“Modern çipler, donanımı kök olarak alan ve güvenli önyükleyiciden doğrulanmış uygulama yazılımına kadar her bileşeni sistematik olarak doğrulayan bir güven zincirine dayanır,” diye açıklıyor. Zincirdeki her halka, bir üstteki bileşeni kontrol eder. Donanım önyükleyiciyi doğrular. Önyükleyici, işletim sistemini veya firmware’i doğrular. Firmware ise uygulamayı doğrular. Eğer zincirin tüm halkaları sağlam kalırsa, çipte yalnızca yetkili kod çalışır.
Bhasin’e göre sorun şu: “Bu zincirin herhangi bir şekilde manipüle edilmesi, tüm sistemi tehlikeye atabilir ve yetkisiz veya kötü amaçlı uygulamaların çalışmasına olanak tanıyabilir.”
İşte hata enjeksiyonunun temeli de budur. Saldırganlar, zincirdeki tek bir halkayı bulup onu doğru anda bozmak ister. Eğer önyükleyici imza kontrolünü atlar ise, kendisine verilen herhangi bir firmware’i yükler. Bir güvenlik bayrağı “kilitli”den “kilitsiz”e çevrilirse, çipin korumaları devre dışı kalır.
Tarihi örnekler
2010 yılında araştırmacı Christopher Tarnovsky, kimyasal açma, mikroprobing ve focused-ion-beam (FIB) devre düzenlemesini birleştirerek, Trusted Platform Module ve uydu TV kartlarında kullanılan EAL4+ sertifikalı Infineon SLE 66 CL PE çipini ünlü bir şekilde kırdı. Tarnovsky’nin saldırısı aylarca süren çalışma ve özel ekipman gerektiriyordu, ancak o dönemin en gelişmiş fiziksel önlemlerinin sistematik olarak aşılabileceğini gösterdi.
Daha yakın zamanda, araştırmacılar daha gelişmiş korumalı yeni çiplerin bile, tasarım sırasında öngörülmeyen saldırılara karşı savunmasız olabileceğini gösterdi. Skorobogatov’un özellikle vurguladığı flash bellek, tekrar eden bir zayıf nokta oldu: fiziksel özellikleri, sakladığı veriler hakkında bilgi sızdırabiliyor ve yazma/silme mekanizmaları, tasarımcıların hesaba katmadığı şekillerde manipüle edilebiliyor.
Fabrikada yapısal sorunlar
Bir de üretim sürecinin kendisine gömülü daha yapısal bir sorun var. Çoğu çip, üretim sonrası doğrulama ve kalite kontrol için kullanılan test arayüzleriyle (JTAG portları, tarama zincirleri, özel debug modları) birlikte gelir. Bu arayüzler, çipin iç durumuna derin erişim sağlar. Fabrika başlatmasından sonra, tek seferlik programlanabilir (OTP) sigortaların patlatılması veya kilit bitlerinin ayarlanması ile kalıcı olarak devre dışı bırakılması gerekir.
Pratikte ise bunlar gizli bir saldırı yüzeyi oluşturur. Skorobogatov, “Bir saldırgan bu özellikleri etkinleştirmenin bir yolunu bulursa, cihaza tam erişim yeniden sağlanabilir.” diyor. Araştırmacılar, bazen test modu erişimini kontrol eden belirli biti bir lazerle değiştirerek, mantıksal düzeyde bir sigortayı ‘geri açmayı’ başardıklarını birçok çip ailesinde gösterdi.
Önce keşif, sonra lazer
Bir Secure Element’e saldırmak, aşamalı ve yapılandırılmış bir yöntem gerektirir. Skorobogatov, genellikle kimsenin bir lazeri çalıştırmasından veya bir prob bağlamasından çok önce başlayan bir süreci anlatıyor.
Aşama 1: Bilgi toplama
İlk adım keşif. Skorobogatov, çoğu saldırının açık kaynak istihbaratıyla başladığını söylüyor: veri sayfaları, geliştirici dökümanları, patent başvuruları ve hatta pazarlama materyalleri. Mimariyi daraltan her şey. Saldırganlar ayrıca “tam belgeli benzer cihazları veya bilinen açıkları olan öncülleri” inceler, bilinenlerden bilinmeyenlere doğru ilerlerler.
Araştırmacılar, herkese açık veri sayfalarını, patent başvurularını, geliştirici dokümanlarını, akademik makaleleri ve hatta pazarlama materyallerini tarar. Bir ürün özetinde belirli bir işlemci çekirdeği veya bellek mimarisinden bahsedilmesi, arama alanını ciddi şekilde daraltabilir.
Bir çip, daha önce incelenmiş bir ailenin yeni bir revizyonuysa, saldırgan fiziksel cihaza dokunmadan önce mimarinin %80’ini zaten anlayabilir.
Aşama 2: Tersine mühendislik
Süreç, birden fazla düzeyde tersine mühendisliğe taşınır: destek yazılımı, dahili firmware, önyükleyiciler ve nihayetinde silikon mantığın kendisi. Amaç, çipin nasıl çalıştığını, verinin nasıl aktığını, anahtarların nerede saklandığını ve kimlik doğrulamanın hangi rutinlerle yapıldığını gösteren ayrıntılı bir operasyon haritası çıkarmaktır.
Yazılım düzeyinde tersine mühendislik, firmware’in (erişilebiliyorsa) dışarı çıkarılması ve ayrıştırılması, çip ile ana cihaz arasındaki iletişim protokollerinin analiz edilmesi veya çipin iç işleyişini anlamak için herkese açık SDK ya da sürücü kodunun incelenmesini içerebilir.
Donanım düzeyinde ise araştırmacılar, çipin paketini kimyasal olarak çıkarıp silikon yongasını ortaya çıkarır, ardından bunu katman katman optik veya elektron mikroskobu ile görüntülerler.
Özel yazılım araçları, bu görüntülerden çipin mantık kapılarını yeniden inşa edebilir ve sonunda çipin iç devre şemasını oluşturur. Bazen “katman sökme” (delayering) olarak adlandırılan bu süreç, bellek dizilerinin, kriptografik yardımcı işlemcilerin, rastgele sayı üreteçlerinin ve kurcalamayı algılayan güvenlik sensörlerinin yerini ortaya çıkarabilir.
Aşama 3: Aktif saldırılar
Artık çipin haritası eldeyken, araştırmacılar aktif istismara geçer. Araç seti geniştir: güç analizi, elektromanyetik ve optik emisyon izleme, lazer hata enjeksiyonu, voltaj dalgalanması (glitching) ve protokol düzeyinde veri manipülasyonu. Skorobogatov, her tekniğin kendi avantajları olduğunu, ancak “hepsi bir arada kullanıldığında daha hızlı ve verimli sonuç verdiğini” belirtiyor. Asıl güç, bu tekniklerin kombinasyonundadır.
Güç analizi, çip belirli işlemleri gerçekleştirirken elektrik tüketimini gerçek zamanlı izler. Farklı komutlar ve veri değerleri, hafifçe farklı akım çekişlerine yol açar; bu yüzden birçok güç izinin istatistiksel analiziyle gizli anahtarlar ortaya çıkarılabilir.
Elektromanyetik emisyon analizi de benzer bir prensiple çalışır, ancak çipin güç tüketimi yerine yaydığı elektromanyetik alanı yakalar.
Optik emisyon analizi ise, transistörlerin anahtarlama sırasında çok az miktarda kızılötesi ışık yaymasından faydalanır. Çipin arka yüzü hassas bir yakın kızılötesi kamera ile görüntülenerek, belirli işlemler sırasında devrenin hangi bölümlerinin aktif olduğu gözlemlenebilir.
Güç dalgalanması (power glitching), yürütme sırasında dikkatlice seçilmiş bir anda çipin besleme voltajının kısa süreliğine bozulmasını içerir. Doğru zamanlanırsa, işlemcinin bir komutu atlamasına, karşılaştırma sonucunun bozulmasına veya bir güvenlik kontrolünün atlanmasına yol açabilir.
Protokol düzeyinde veri manipülasyonu ise, çip ile ana cihaz arasındaki iletişimi hedefler. Komutların değiştirilmesi, işlemlerin tekrar oynatılması veya hatalı veri enjekte edilmesiyle, saldırganlar bazen bilgi sızmasına veya korumaların aşılmasına neden olabilecek hata durumlarını tetikleyebilir.
Lazer Hata Enjeksiyonu (LFI): hassasiyetin zirvesi
Tüm bu teknikler arasında, lazer hata enjeksiyonu özel bir yere sahip.
Skorobogatov’un açıkladığı gibi, lazer hata enjeksiyonunu ayıran şey çift hassasiyetidir: “Belirli bir zamanda ve cihazın mantığında ya da belleğinde tam olarak belirlenmiş bir konuma” hedeflenebilir. Güç dalgalanması tüm çipi birden etkilerken, odaklanmış bir lazer ışını tek bir kapıya veya bellek hücresine yöneltilebilir. Bu, saldırgana iki boyutta kontrol sağlar: hatanın ne zaman oluşacağı ve çipin neresine ineceği.
Bhasin, LFI’nın sunduğu kontrol derecesini şöyle anlatıyor: “İyi karakterize edilmiş bir sistemde, bir lazer belirli bitleri yüksek doğrulukla hedefleyip manipüle edebilir.” Lazerin bit düzeyindeki hassasiyeti, “bir saldırganın sistemin durumunu kontrol eden güvenlik bayraklarını hedefleyip korumaları ‘kapatmasına’ olanak tanır.”
Güvenlik bayrağı, çipin kilitli veya kilitsiz olup olmadığını, debug erişiminin açık mı kapalı mı olduğunu, önyükleyicinin imza kontrolünü zorunlu kılıp kılmadığını belirten kontrol bitlerinden oluşur.
Bu bayrak bozulursa, çipin tüm güvenlik duruşu değişebilir; kriptografik bir işlemin çıktısı bozulur ve gizli anahtara dair bilgiler sızabilir. Hata, kriptografik işlem sırasında tam zamanında uygulanırsa, çıktı verisi bozulur ve bu hataları analiz eden saldırgan, matematiksel olarak gizli anahtarı yeniden oluşturup sızdırabilir.
Güvenli çipleri kırmanın ekonomisi
Secure Element’ler kırılabiliyorsa, neden sürekli kırılmıyorlar? Kısa vadede yanıt maliyet.
Bir Secure Element’i kırmak hafta sonu yapılacak bir iş değildir. Saldırganın, bir açığın nerede olduğunu anlamadan önce cihazı hem silikon hem de firmware düzeyinde tersine mühendislikten geçirmesi gerekir. Skorobogatov, süreci net bir şekilde özetliyor: “Bu süreç başarılı olmak için aylar hatta yıllar sürebilir.”
Bhasin, maliyet yelpazesini şöyle özetliyor: “Hata enjeksiyonu için gereken ekipman, birkaç dolarlık DIY araçlardan, bir milyon doları aşan son teknoloji lazer veya iyon demeti sistemlerine kadar uzanıyor.”
Basit bir voltaj dalgalanma düzeneği, bir FPGA kartı, bir MOSFET ve biraz yaratıcı lehimleme ile kurulabilir; toplam maliyet 1000 doların altında. Profesyonel bir lazer hata enjeksiyon istasyonu ise 150.000 ila 500.000 dolar arasında. En gelişmiş devre düzenleme ve analiz için kullanılan odaklanmış iyon demeti sistemi ise 1 milyon doları aşabilir.
Geçmiş örnekler de bunu doğruluyor. Skorobogatov, EAL5 ve hatta EAL6 sertifikalı çiplerin bile “uzmanlardan oluşan büyük ekipler ve devlet laboratuvarlarında, büyük maliyet ve çaba ile” başarıyla kırıldığını belirtiyor.
Ekonomik olmayan motivasyonlar
Bhasin, “ulusal güvenlik çıkarları, yasal gereklilikler veya adli incelemeler gibi parasal olmayan motivasyonların da pahalı ve sofistike saldırı yöntemlerinin kullanılmasını haklı çıkarabileceğini” vurguluyor. Ele geçirilen bir cihazı analiz eden bir devlet laboratuvarı, ticari anlamda bir maliyet-fayda analizi yapmaz.
Yeterli kaynağa sahip büyük bir rakip, aynı ekipmanı temin edebilir, aynı kalitede araştırmacıları işe alabilir ve bir rakibin Secure Element’ini kırmak ve ürüne olan güveni sarsmak için zaman harcayabilir.
Bu dinamik, donanım cüzdanı sektöründe zaten yaşanıyor. Ledger’ın kendi güvenlik laboratuvarı Donjon, Trezor cihazları üzerinde başarılı hata enjeksiyon saldırılarını gösteren ve ekosistem genelinde güvenliği artırmayı amaçlayan çok sayıda araştırma yayımladı.
Kriptoyu donanımda saklamak için bu ne anlama geliyor?
Bireysel tüketici cihazlarına yönelik fiziksel saldırılar, çoğu gerçek dünya tehdit modeli için ekonomik olarak mantıklı değildir. Ancak Skorobogatov, bunun rehavete yol açmaması gerektiği konusunda uyarıyor. Bir cihazda Secure Element bulunması, “her türlü saldırıya karşı tam koruma sağlar” anlamına gelmez. Yeterli zaman ve kaynakla, kararlı bir saldırgan her zaman bir yol bulabilir.
Bir donanım cüzdanının pratik güvenliği, tüm yığına bağlıdır: Secure Element, üzerinde çalışan firmware, çip ile eşlikçi uygulama arasındaki iletişim protokolü, fabrikadan son kullanıcıya kadar tedarik zinciri bütünlüğü ve kullanıcının yaptığı tercihler.
Az bilinen bir savunma katmanı ise, iyi tasarlanmış cüzdanların anahtar türetimini nasıl yönettiğidir. Birçok kriptografik cihaz, ham şifreleme anahtarlarını doğrudan çipte saklamaz. Bunun yerine, kullanıcının şifresinin veya PIN’inin bir hash’ini saklar. Gerçek kriptografik anahtar, imzalama sırasında kullanıcının girişiyle türetilir. Bu da, çip tamamen ele geçirilse bile saldırgana anahtarların doğrudan verilmediği anlamına gelir.
Saldırgan çipe tam fiziksel erişim sağlasa bile, Skorobogatov’a göre sonuç garanti değildir. Kullanıcı güçlü bir şifre seçmişse, geriye yalnızca kaba kuvvet (çok sayıda şifre denemek) kalır ve “bu, çok güçlü sunucularda bile yıllar sürebilir.”
Daha geniş açı
Kriptografi, matematiksel garantiler sunar. Ancak bu garantiler, transistörlerin hata verebildiği, fotonların bitleri değiştirebildiği ve test modlarının yeniden etkinleştirilebildiği gerçek dünyada çalışan fiziksel donanımda yaşar.
Çip ve cihaz üreticileri için bu, güvenliğin sürekli bir mühendislik disiplini olduğu anlamına gelir: araştırma ortamını izlemek, tehdit modellerini güncellemek ve yeni ve sofistike saldırı vektörlerine karşı dayanıklılık tasarlamak.
Son kullanıcı için ise, bu yöntemler yüksek kaynak gerektiren ortamlara özgü olsa da, fiziksel saklamanın önemini hatırlatır.
Bir hata enjeksiyon saldırısı özel ekipman ve ciddi uzmanlık gerektirse de, donanım güvenliğinin, bir saldırının maliyetini korunan varlığın değerinin üzerine çıkarmakla ilgili olduğunu gösterir.
Tangem'in ihtiyaçlarınıza uygun olup olmadığını yapay zekâya sorun
Güvenliğimizin ve kullanım kolaylığımızın benzersiz kullanım senaryolarınıza uygun olup olmadığını öğrenmek için Tangem cüzdanını yapay zekâ ile araştırın
Tangem'in ihtiyaçlarınıza uygun olup olmadığını yapay zekâya sorun
Güvenliğimizin ve kullanım kolaylığımızın benzersiz kullanım senaryolarınıza uygun olup olmadığını öğrenmek için Tangem cüzdanını yapay zekâ ile araştırın
Or open it in
Still deciding?
Explore the basics, compare your options, or save when you’re ready to get Tangem.
