RP2350のセキュアデバッグをレーザー攻撃で復元
原題: Photon-Emission-Guided Laser Fault Injection Enables RP2350 Secure Debug
なぜ重要か
IoTデバイスや組み込みセキュリティの設計者にとって、OTPベースの永続的ロックがハードウェア攻撃で突破される可能性を示した点は重要な設計上の検討事項となる。
Ledger Donjonの研究チームは2026年9月18日、Raspberry PiのマイクロコントローラRP2350 A4リビジョンに対し、光子放射顕微鏡とレーザー・フォルト・インジェクションを組み合わせた手法で、永続的に無効化されたSecureデバッグアクセスを復元することに成功したと発表した。攻撃には物理的アクセスと約25万ドル相当の実験機器が必要だった。
Ledger Donjonの研究チームは、Raspberry PiのデュアルコアマイクロコントローラRP2350 A4に対する高度なハードウェアセキュリティ攻撃の詳細を公開した。
RP2350はArm Cortex-M33またはRISC-V Hazard3コアを搭載し、TrustZoneによるSecure/Non-secure実行分離、Secureブート、そして一度だけ書き込み可能なOTP（One-Time Programmable）メモリに格納された永続的なデバッグ無効化設定などのセキュリティ機能を備える。今回テストしたA4リビジョンは、2024年8月から12月にかけて実施された最初のハッキングチャレンジで発見された問題への対策が施されたものだ。
攻撃の手順は次の通り。まず差分光子放射顕微鏡（Differential Photon-Emission Microscopy）を用いて、デバッグ機能の有効化を制御するレジスタの物理的な位置を特定した。次に、特定した2か所の近接した位置へレーザーパルスを照射するレーザー・フォルト・インジェクションを実施。CRIT1.DEBUG_DISABLEフラグによって永続的に無効化されていた両コアのMem-APへのSecureデバッグアクセスを復元することに成功した。
さらに、復元したデバッグアクセスとレスキューリセットを組み合わせることで、OTPメモリから秘密情報を読み出した。レスキューリセットはファームウェアがランタイムロックを適用する前にチップを停止させるため、対象ページがSecure読み取り可能な状態のまま維持された。
Raspberry Piはこのような研究を奨励するためにハッキングチャレンジを継続的に主催している。今回の攻撃には物理的な分解作業、デバイスの破壊的な準備、そして約25万ドル相当の高価な実験設備が必要であり、一般的な攻撃者が容易に再現できるものではない。