RP2350 보안 디버그, 레이저 공격으로 뚫렸다
원제: Photon-Emission-Guided Laser Fault Injection Enables RP2350 Secure Debug
왜 중요한가
임베디드 보안의 최후 방어선으로 여겨지던 OTP 기반 영구 잠금이 물리 공격에 뚫릴 수 있음을 보여준 사례로, IoT·하드웨어 지갑 설계에 직접적인 시사점을 준다.
Ledger의 보안 연구팀 Donjon이 2026년 9월 18일, Raspberry Pi의 마이크로컨트롤러 RP2350 A4 리비전에 대해 광자 방출 현미경과 레이저 결함 주입을 결합한 공격으로 영구 비활성화된 Secure 디버그를 복원하고 OTP 메모리에서 비밀값을 추출하는 데 성공했다고 공개했다. 공격에는 약 25만 달러 상당의 실험 장비와 물리적 접근이 필요하다.
Ledger Donjon 팀은 Raspberry Pi가 2024년 8월부터 진행해온 RP2350 해킹 챌린지의 최신 리비전인 A4 칩을 대상으로 공격을 성공시켰다.
공격의 핵심은 두 단계다. 먼저 차동 광자 방출 현미경(Differential Photon-Emission Microscopy)으로 디버그 기능 활성화 레지스터의 위치를 특정했다. 이 기술은 칩 동작 중 방출되는 미세한 광자를 분석해 목표 회로를 좁혀주는 역할을 한다. 다음으로 해당 위치 인근 두 지점에 레이저 펄스를 조사해, 영구 비활성화(CRIT1.DEBUG_DISABLE) 설정에도 불구하고 두 비트를 원하는 값으로 변경하는 데 성공했다.
SWD(Serial Wire Debug) 인터페이스를 통해 Secure 디버그 접근권을 회복한 뒤, 팀은 구조 리셋(rescue reset)을 수행했다. 이 리셋은 펌웨어가 런타임 잠금을 적용하기 전에 칩을 정지시키기 때문에, 해당 OTP 페이지가 Secure 읽기 가능 상태로 유지됐다. 결과적으로 OTP 메모리에 저장된 비밀값을 추출할 수 있었다.
RP2350의 OTP는 128바이트 페이지 단위로 구성되며, 각 페이지는 하드 잠금 행과 소프트 잠금으로 이중 보호된다. 보안 관련 필드는 8개 OTP 행에 걸쳐 3-of-8 다수결 인코딩을 사용하고, 잠금 비트도 삼중 중복 방식을 채택하고 있다.
연구팀은 이 공격이 물리적 접근, 파괴적 전처리, 그리고 약 25만 달러의 실험 장비를 필요로 한다고 명시했다. 현실적인 공격 난이도는 높지만, 고부가가치 타깃에 대한 정교한 물리 공격 가능성은 실증됐다.