激光故障注入（LFI）攻击安全元件全解析

激光故障注入（LFI）是硬件安全研究领域中技术门槛最高的攻击方式。其原理是在芯片裸露的硅片上，用精确聚焦的红外激光照射特定晶体管，在某一操作的特定时刻诱发异常。当操作成功时，即便芯片本身具备防护机制，也可能被提取出密钥。

已有多起公开案例表明，该技术已被成功应用于硬件钱包和身份认证令牌所用的专用安全芯片，破解其加密机密。

本文将深入剖析部分典型案例，并解释为何 LFI 对大多数硬件钱包用户来说并非主要威胁。 

激光故障注入证明，获得认证的安全元件在实验室条件下也可能被攻破。但这需要跨越六重操作壁垒，每一道都无法被省略、合并或自动化。

LFI 攻击的基本流程

在分析具体案例前，先明确什么是激光故障注入，以及其工作原理。

光电效应

半导体晶体管对光极为敏感。当激光源发射的光子击中芯片硅片上的晶体管时，会产生电子-空穴对，这就是半导体层面的光电效应。
 

短暂注入的载流子会改变晶体管的状态。也就是说，原本应保持关闭的晶体管可能会被短暂开启，或本应保持数值的晶体管也可能发生变化。如果这种变化恰好发生在正确的晶体管、正确的时机和指令下，就能让芯片以受控方式产生异常行为。

现代安全芯片中的晶体管尺寸以纳米计，因此激光光斑需聚焦到几微米，才能精准作用于目标功能区，避免触发周边防护机制。激光的时序精度需达到纳秒级，能量也要精准调节，既能引发可控故障，又不会永久损坏电路。
 

激光发射前的准备工作

仅仅是物理准备，就包含多道易于失败的工序：

1. 元件拆卸：芯片需从电路板上拆焊下来且不能损坏。这需要热风返修设备和极高的手工操作能力。拆卸中损坏的芯片无法继续攻击。
    
2. 封装去除：必须移除芯片的塑料封装以暴露硅片。常用方法是用发烟硝酸进行化学腐蚀（需通风柜和化学品操作培训），或用精密机械铣削（有刮伤硅片的风险）。无论哪种方式，芯片封装都会被永久破坏，外观无法恢复。
    
3. 芯片安装：裸露的硅片需安装在专用攻击板上，为芯片提供电源、地和通信，同时保证激光能照射到硅面。该攻击板需针对目标芯片的引脚和供电定制设计。
    
4. 硅片映射：在注入故障前，研究人员需确定激光照射的具体位置。一般通过红外显微镜拍摄硅片表面，并结合对存储阵列、认证逻辑、AES 引擎等功能区的了解，绘制功能分布图。若芯片无公开硅片照片，则需完全依赖外部观测完成映射。

参数空间难题

即便芯片已准备好、功能区已定位，LFI 攻击仍需同时找到三项独立参数的最佳组合： 

1. 激光光斑在硅片上的坐标（X、Y 位置） 
2. 激光脉冲与芯片操作的时序（以纳秒计）
3. 激光能量（脉冲时长和功率）

每项参数的取值范围都极广。要找到能引发有效故障（而非死机、无效或芯片永久损坏）的组合，必须系统性地反复试验。

本文所述案例，研究团队都经历了数周的参数搜索，才最终实现有效故障注入。

LFI 成功与失败的结果

一次成功的故障注入，可能带来如下受控异常：

• 安全校验返回错误结果 
• 受保护的存储区域变为可访问
• 认证步骤被绕过 

失败的注入则会出现以下三种情况之一： 

• 芯片继续正常运行（无效） 
• 芯片死机，需重置（进度丢失） 
• 芯片永久损坏，攻击需更换新样本重新开始

在攻击过程中芯片被永久损毁并不罕见。例如 Ledger Donjon 团队在 ATECC 系列实验中，明确记录了大量芯片在参数探索阶段报废。每损坏一颗芯片都意味着一次失败的攻击尝试，需用同型号新芯片或新设备替换。
 

案例一：Microchip ATAES132A—Fraunhofer AISEC

[ LASER FAULT INJECTION  ·  FPS 2021 (Springer)  ·  黑盒密钥全提取 ]

ATAES132A 是 Microchip Technology 推出的 AES 安全串行 EEPROM，是其 CryptoAuthentication AES 系列的首款产品。

其数据手册明确列出了物理安全特性： 

• 电压、温度、频率、光照篡改检测 
• 电路上方有主动金属屏蔽，内部存储加密 
• 还有未公开的额外防护措施

该芯片未获得 CC 认证，安全性主要依赖于数据手册描述的专有设计，以及外部无法访问的 ROM 固件。 

研究过程

Fraunhofer AISEC 的 Bjoern Selmke、Endres Strieder、Johann Heyszl、Stefan Freud、Thomas Damm 等研究员，将成果发表在 FPS 2021（Foundations and Practice of Security），完整论文收录于 2022 年 Springer《Lecture Notes in Computer Science》。
 

项目目标是建立一套“黑盒”LFI 测试方法，用于评估无法拆解的芯片安全性。ATAES132A 被选为现实应用中保护信息的典型案例。

攻击方法

研究团队无法获取芯片源码、设计文档或硅片照片。他们首先采用光致发射分析法，通过捕捉晶体管开关时发出的微弱光线，间接观察芯片在特定操作下的活跃区域。
 

通过分析这些照片，团队无需了解电路布局，即可绘制功能分布图。
 

随后，研究员根据功能图确定潜在注入区域（即可能包含安全关键逻辑的区域），并在发送认证指令的同时，系统性地调整激光位置、时序、脉冲时长与能量，逐步搜索最佳参数。
 

攻击目标是芯片的区域访问控制机制，其作用是阻止未授权读取受保护用户区。攻击意图是让该校验在未提供有效认证凭证的情况下返回通过，从而直接读取受保护区域内容。
 

最终，团队成功演示了通过 LFI 技术，在无需认证凭证的前提下，从受保护用户区完整提取出密钥。
 

案例二：Microchip ATECC508A 与 ATECC608A

[ LASER FAULT INJECTION  ·  Ledger Donjon  ·  SSTIC 2020 / SSTIC 2021  ·  Black Hat USA 2020 ]

Microchip ATECC508A 是广泛应用于物联网和嵌入式安全场景的安全元件芯片，包括 Coldcard Mk2 比特币硬件钱包。

虽然该芯片设计满足 FIPS 186-3 及 FIPS 随机数标准，但未获得 CC 认证。

2020 年 ATECC508A 攻击

研究目标是 ATECC508A 的数据槽认证机制。当 Coldcard Mk2 存储助记词时，会将其放入配置为“密文”的数据槽，仅在认证通过后可读取。认证需输入正确的 PIN 哈希。即使攻击者获得芯片物理访问权限，若无 PIN 也无法读取数据槽。

研究员在访问条件校验执行瞬间，精准对芯片特定区域发射激光，导致校验无论是否认证都返回成功。

物理准备： 需将 ATECC508A 从钱包主板拆焊、用机械方式从背面铣去芯片塑封，再安装到攻击板上。通过红外显微镜映射芯片布局，定位目标区域。

设备成本： Ledger Donjon 使用的 LFI 攻击平台约需 20 万美元（不含技术人员工资和开发成本）。 

攻击过程具有破坏性：芯片封装被永久去除，无法恢复使用。 

LFI 攻击难以规模化的六大原因

六重壁垒共同阻止了实验室攻击对硬件钱包用户构成实际威胁，无论攻击者技术或资金如何。

六大壁垒需同时存在，相互叠加，极大提升了攻击难度。攻击者必须全部突破，才能成功，大幅提升了硬件钱包的安全性。
 

LFI 研究的真正意义

公开披露芯片被攻破的研究，实际上有助于提升安全：一方面，促使芯片厂商在后续版本中加强防护措施；

另一方面，公开的攻击方法为芯片设计者划定了“对手能力下限”，明确防护目标。 

结论

作为硬件钱包用户，你应关注以下要点：

• LFI 攻击真实存在且有效，研究人员确实攻破过安全芯片。但在现实中，攻击前必须先物理盗取你的设备。
   
• 一旦攻击开始，你的设备会被明显且永久性破坏，你会一眼发现被动过手脚。
   
• 设备和技术成本最低 10–20 万美元，不是普通窃贼能做到的。每颗芯片需数周实验室操作，无法批量攻击。
   
• 攻击失败还可能直接损毁芯片，攻击者也可能一无所获，风险极高。
   

对普通用户而言，LFI 攻击的经济账根本不成立。你真正需要防范的，是钓鱼、恶意软件和助记词泄露，而不是某个热门激光实验室。

参考资料

• 完整论文（Springer）：Breaking Black Box Crypto-Devices Using Laser Fault Injection | Springer Nature Link 

• Fraunhofer AISEC 发表记录：Breaking Black Box Crypto-Devices Using Laser Fault Injection 

• 作者：Bjoern Selmke、Endres Strieder、Johann Heyszl、Stefan Freud、Thomas Damm