攻破安全芯片有多难？硬件安全专家深度解析

安全元件无处不在。它们存在于你的智能手机、硬件钱包、电子护照、支付卡、车钥匙和 SIM 卡中。这些微小芯片负责保护人们携带的最敏感数据。大多数安全芯片都拥有各种认证和安全级别，看似近乎坚不可摧。然而，越来越多关于故障注入攻击的研究揭示了更复杂的现实。


我们采访了前剑桥大学安全小组成员（由已故 Ross Anderson创立）Sergei Skorobogatov，他多年专注于芯片物理极限的攻防测试。目前他运营 Cambridge Research and Engineering，专注于受损集成电路的数据恢复以及半导体后门分析。

我们还采访了新加坡南洋理工大学的研究员 Shivam Bhasin。他专注于硬件安全与故障注入——通过精准的物理扰动，让安全芯片表现出设计者未曾预料的行为。

安全元件的作用

在讨论芯片如何被攻破前，先了解安全元件本应抵御哪些攻击。

普通的微控制器，比如廉价 IoT 传感器或基础 Arduino 板上的那种，固件和数据都存储在可被常规工具读取的存储器里。只要连接调试探针，通常就能完整导出芯片内容。

有些微控制器防护较好，但也有硬件安全更强的型号却在调试接口中隐藏后门。汽车用的定制微控制器由于缺乏文档、独特设计和无空白样品，能抵御许多攻击。因此，不同厂商和设备的安全水平差异很大。
 

安全元件自底层设计起，就要同时抵御逻辑攻击（恶意软件与协议漏洞）和物理攻击（探针、成像、篡改）。

其防护措施包括加密内存总线、主动屏蔽网格（检测物理入侵）、随机化执行时序（防止侧信道分析），以及在检测到异常电压、温度或光照时自动抹除敏感数据的传感器。
 

像Common Criteria这样的认证体系，会根据安全评估深度，将安全元件芯片分为EAL1 到 EAL7等级。

Bhasin 认可这种基础的强度。他表示，安全元件“通常由拥有数十年专业经验的知名厂商开发，并在投产前经历严格的渗透测试和正式认证流程。”但他也补充：“没有任何系统是绝对万无一失的。”

为什么不存在绝对安全的硬件

Skorobogatov 对硬件安全的极限直言不讳：“不可能设计出绝对安全的设备。”他说，“任何芯片都不可避免地存在缺陷，因为它们是人类基于对所有可能攻击并不完全了解的前提下设计的。即便是像Flash 存储器这样的具体硬件实现，也可能引入设计时未预料到的漏洞。”

Bhasin 也强调，安全性从不依赖单一机制。

“现代芯片依赖一条信任链，从硬件为根，逐步验证每个组件，从安全启动加载器到已验证的应用软件。”他解释道。信任链的每一环都验证上一环：硬件验证启动加载器，加载器验证操作系统或固件，固件再验证应用程序。只要每一环都牢靠，芯片上就只能运行授权代码。

Bhasin 指出问题在于，“只要这条链的任何环节被操控，整个系统就可能被攻破，允许未授权或恶意应用运行。”
 

这正是故障注入攻击的基础。攻击者只需找到链条中的某一环节，在恰当时机破坏它。如果启动加载器跳过签名校验，就会加载任何固件。如果安全标志位从锁定变为解锁，芯片的自我防护就会失效。

历史案例

2010 年，研究员 Christopher Tarnovsky 通过化学去封装、微探针和聚焦离子束（FIB）电路编辑，攻破了Infineon SLE 66 CL PE——一款用于可信平台模块和卫星电视卡的 EAL4+ 认证芯片。Tarnovsky 的攻击耗时数月、需要专业设备，但证明了当时被认为最先进的物理防护措施也可以被系统性破解。

近年来，研究人员发现，即使是采用更先进屏蔽的新一代芯片，也可能遭遇设计阶段未预料到的攻击。Skorobogatov 特别提到的 Flash 存储器，就是反复被利用的薄弱点：其物理特性可能泄露存储数据的信息，写入/擦除机制也能被攻击者以设计者未曾考虑的方式操控。

制造环节的结构性隐患

制造过程中还存在更深层的结构性隐患。大多数芯片出厂时都带有测试接口（JTAG 端口、扫描链、专有调试模式），用于产后验证和质量检测。这些接口能深入访问芯片内部状态。理论上，工厂初始化后应通过烧断一次性可编程（OTP）熔丝或设置锁定位，永久禁用这些接口。

但实际上，这些接口构成了潜在攻击面。Skorobogatov 指出：“如果攻击者能重新启用这些功能，就能恢复对设备的完全访问权限。”研究人员已经在多个芯片家族上验证了这一点，有时甚至用激光翻转控制测试模式访问的特定位，从逻辑上“解吹”熔丝。

先侦查，后激光

攻破安全元件需要分阶段、系统化的方法。Skorobogatov 描述的流程，往往在有人点亮激光或连接探针之前就已展开。

第一阶段：信息收集

第一步是情报侦查。Skorobogatov 解释，大多数攻击从开源情报开始：数据手册、开发文档、专利申请，甚至市场宣传材料。任何能缩小架构范围的信息都很有价值。攻击者还会研究“有完整文档的类似设备，或已知漏洞的前代产品”，从已知推测未知。

研究者会梳理公开的数据手册、专利、开发文档、学术论文，甚至市场宣传资料。一份产品简介若提及具体处理器核心或存储架构，就能大幅缩小排查范围。

如果芯片是某个已研究家族的新版本，攻击者在实际操作前就可能已经掌握 80% 的架构信息。
 

第二阶段：逆向工程

接下来进入多层次逆向工程：支持软件、内部固件、启动加载器，最终到硅逻辑本身。目标是绘制芯片的详细运行图，明确数据流向、密钥存储位置以及身份验证流程。

软件层逆向可能包括转储并反汇编固件（如果能访问）、分析芯片与主机间的通信协议，或研究公开的 SDK、驱动代码来推测芯片内部运作。

硬件层逆向则需化学去除芯片封装，暴露硅片，再用光学或电子显微镜逐层成像。

专业软件工具可据此重建芯片的逻辑门电路，最终绘制出内部电路图。这个过程（有时称为 delayering）能揭示存储阵列、加密协处理器、随机数发生器和防篡改传感器的位置。

第三阶段：主动攻击

掌握芯片结构后，研究者会转向主动利用。工具箱很丰富：功耗分析、电磁和光学辐射监测、激光故障注入、电压毛刺、协议层数据操控。Skorobogatov 指出，每种技术各有利弊，但“结合使用能更快更高效地取得成果”。真正的威力在于多手段组合。

功耗分析是在芯片执行操作时实时监控其电流消耗。不同指令和数据会导致微小电流差异，统计分析大量功耗曲线就能推算密钥。

电磁辐射分析原理类似，但捕捉的是芯片辐射的电磁场而非功耗。

光学辐射分析则利用晶体管切换时会发出微弱红外光。用高灵敏近红外相机从芯片背面成像，可观察特定操作期间哪些电路在工作。

电压毛刺是在芯片运行的关键时刻短暂扰动供电电压。如果时机把握得当，可让处理器跳过指令、破坏比较结果或绕过安全校验。

协议层数据操控则针对芯片与主机的通信。通过修改指令、重放交易或注入异常数据，攻击者有时能触发错误状态，泄露信息或绕过防护。

激光故障注入（LFI）：精准利器

在所有这些技术中，激光故障注入有其独特定位。

Skorobogatov 解释，激光故障注入的独特之处在于“双重精准”：既能锁定“某一特定时间”，也能瞄准“芯片逻辑或存储的精确位置”。功耗毛刺影响整个芯片，而聚焦激光束可精确作用于单个门电路或存储单元。攻击者因此能双向控制：故障发生的时间和落点。

Bhasin 描述了 LFI 的控制力：“在充分研究的系统中，激光能以极高精度操控特定位。”激光的比特级精准“允许攻击者直接干预控制系统状态的安全标志位，实质上‘关闭’防护机制”。

安全标志位是一组控制芯片锁定/解锁、调试访问开关、启动加载器是否强制签名校验等状态的比特。

如果攻击到该标志位，芯片整体安全状态就会改变，甚至可能破坏加密操作的输出，进而泄露密钥信息。如果在加密操作的关键时刻精确注入故障，输出数据就会被破坏，攻击者通过分析这些错误结果，能用数学方法重建并窃取密钥。

攻破安全芯片的经济学

既然安全元件可以被攻破，为什么现实中并非频繁发生？短期内，答案是成本。

攻破安全元件绝不是周末 DIY 项目。通常需要先对芯片的硅层和固件层进行逆向工程，攻击者才能找到突破口。Skorobogatov 直言不讳：“整个过程可能需要数月甚至数年才能成功。”

Bhasin 将成本分布描述为一个光谱：“故障注入所需设备从几美元的 DIY 工具，到价值百万美元的顶级激光或离子束系统。”

基础的电压毛刺装置只需 FPGA 板、MOSFET 和一些焊接，总成本不到 1000 美元。专业激光故障注入台要 15 万到 50 万美元。用于最高级电路编辑和分析的聚焦离子束系统则超过百万美元。

历史战绩也印证了这一点。Skorobogatov 指出，EAL5 甚至 EAL6 认证的芯片都曾被攻破，但都是“由专业公司和政府实验室的大型专家团队，投入巨大成本和精力”才实现的。

非经济动机

Bhasin 指出，“非金钱动机，如国家安全、法律需求或刑事取证”，也可能让人不惜投入高昂成本和复杂手段。政府实验室分析查获设备时，并不会像商业场景那样权衡成本收益。

资源充足的大型竞争对手同样可以购置同类设备、雇佣高水平研究员，投入时间攻破对手的安全元件，从而削弱其产品信誉。

这种动态在硬件钱包行业已然上演。Ledger 的内部安全实验室 Donjon 已多次发布研究，展示了针对Trezor 设备的故障注入攻击，并以负责任披露为名推动整个生态安全提升。

这对硬件持币意味着什么？

针对普通用户设备的物理攻击，在绝大多数真实威胁场景下并不具备经济可行性。但 Skorobogatov 警告，不应因此掉以轻心。设备内置安全元件，“并不能完全保障免受任何攻击”。只要有足够的时间和资源，坚定的攻击者总能找到突破口。

硬件钱包的实际安全性取决于全栈：安全元件本身、其运行的固件、芯片与配套 App 的通信协议、从工厂到用户的供应链完整性，以及用户自身的操作习惯。

一个常被忽视的防线在于钱包的密钥派生机制设计。许多加密设备并不直接在芯片上存放明文密钥，而是保存用户密码或 PIN 的哈希值。真实密钥只有在签名时由用户输入动态派生。即便芯片被完全攻破，攻击者也无法直接获得密钥。

即使攻击者完全掌控芯片，Skorobogatov 也表示，最终收获并非板上钉钉。如果用户设置了强密码，剩下的只有暴力破解（反复尝试密码），而“即便在极强算力服务器上，这也可能需要多年才能成功。”

更大的图景

密码学提供的是数学保障。但这些保障依赖于现实世界的物理硬件——晶体管可能出错、光子能翻转比特、测试模式也可能被重新激活。

对于芯片和设备厂商而言，安全是一项持续的工程学科：密切关注研究动态，更新威胁模型，设计能够抵御新型复杂攻击的方案。

对于终端用户而言，尽管这些攻击手段主要存在于高资源环境中，但它们提醒我们，实体自我保管始终至关重要。

虽然故障注入攻击需要专业设备和高超技术，但它本质上提醒我们，硬件安全的目标，是让攻击成本远高于所保护资产的价值。

参考资料

1. Sergei P. Skorobogatov M.Sc, Ph.D. 剑桥大学研究员 
2. Shivam Bhasin - Google Scholar 
3. 剑桥大学安全小组
4. Ross Anderson 讣告 – The Register, 2024
5. 安全社区悼念 Ross Anderson – IAPP, 2024
6. 研究员攻破广泛应用的安全芯片（Infineon SLE 66 CL PE）– Dark Reading, 2010
7. 前军人攻破流行安全芯片（Christopher Tarnovsky / Infineon 攻击）– The Register, 2010
8. Black Hat：研究员称攻破用于保护电脑和智能卡的芯片 – Computerworld, 2010
9. 信息技术安全评估通用标准，第五部分 – Common Criteria Portal（官方标准）
10. 安全评估等级（EAL）释义 – 德国联邦信息安全局 BSI
11. 加密设备故障注入攻击：理论、实践与对策 – IEEE, 2012
12. 侧信道攻击 – NIST CSRC 术语表
13. 什么是 JTAG？– XJTAG
14. 为什么每个芯片都能被这种工具攻破（聚焦离子束）– Semiconductor Engineering
15. 密钥派生函数 – NIST CSRC 术语表
16. 加密哈希函数 – NIST CSRC 术语表