RP2350のSecureデバッグをレーザー攻撃で復元
मूल शीर्षक: Photon-Emission-Guided Laser Fault Injection Enables RP2350 Secure Debug
यह क्यों महत्वपूर्ण है
OTPと多重冗長ロックを持つマイクロコントローラでも光子放射誘導型レーザー攻撃が通用することが示され、組み込みセキュリティ設計の前提が問い直される。
Ledger Donjonの研究者が、光子放射顕微鏡とレーザー障害注入を組み合わせ、Raspberry Pi RP2350 A4チップの永久無効化されたSecureデバッグアクセスを復元。約2億5000万円相当の機材と物理アクセスが必要。OTPメモリから秘密情報の取得にも成功した。
Ledger Donjonのセキュリティ研究チームは、Raspberry Piのデュアルコアマイクロコントローラ「RP2350 A4」リビジョンに対し、光子放射顕微鏡（Photon-Emission Microscopy）とレーザー障害注入（Laser Fault Injection）を組み合わせた攻撃手法を開発・実証した。
RP2350はArm Cortex-M33またはRISC-V Hazard3コアをブート時に選択できる構成で、TrustZoneによるSecure／Non-secureの実行状態分離、Secure Boot、ワンタイムプログラマブルメモリ（OTP）への恒久的なデバッグ無効化設定など複数のハードウェアセキュリティ機能を備える。
今回の攻撃の手順は以下の通り。まず差分光子放射顕微鏡によりデバッグ有効化レジスタの物理的位置を特定。次に2か所の近接した座標にレーザーパルスを照射し、Secure世界のMem-APを有効化する2ビットをフリップさせた。さらにレスキューリセット後のSWDアクセスを活用し、ファームウェアのランタイムロックが適用される前にOTPメモリのSecureページから秘密情報を読み出すことに成功した。
OTPのロックビットは三重冗長で多数決方式を採用し、LOCK_SおよびLOCK_NSの永続値はOTPリセット時にソフトロックを初期化する。ファームウェアはこのロックを強化できるが緩和はできない。リセットによりランタイムロックが消えるため、ファームウェアが適用する前のタイミングで読み出しが可能となった。
攻撃には物理アクセス、破壊的な前処理、そして約25万ドル（約3700万円）相当の実験室機材が必要であり、現実的な脅威モデルは高く限定的とされている。なお本攻撃はRaspberry Piが主催するRP2350 Hacking Challengeの枠組みで実施された。