Rétro-ingénierie MCU

Une "porte dérobée" a été découverte par Flylogic Engineering dans les Atmel AT88SC153 et AT88SC1608 CryptoMemory.

Cette révélation a provoqué des ondes de choc dans la communauté de la sécurité embarquée, car ces composants étaient largement commercialisés comme un stockage inviolable pour les clés cryptographiques et les données utilisateur sensibles. La porte dérobée n'est pas une faille logicielle ou une faiblesse de protocole ; c'est une propriété physique fondamentale des fusibles EEPROM qui contrôlent l'état de sécurité de la puce. En exploitant cette propriété, un attaquant peut effectivement effacer le bit de verrouillage (lockbit) qui protège la mémoire, rendant tous les mécanismes d'authentification et de chiffrement élaborés complètement inutiles. La découverte a été faite lors d'une rétro-ingénierie de routine de la puce, où les ingénieurs ont remarqué que les cellules de fusibles n'étaient pas protégées contre la lumière ultraviolette, une omission flagrante dans un produit se prétendant doté de fonctions "haute sécurité". Ce qui rend la situation particulièrement alarmante est la simplicité de l'attaque : elle ne nécessite aucun équipement sophistiqué, aucun usinage par faisceau d'ions focalisés, et aucun outil de décapsulation coûteux au-delà d'un attaquant chimique basique et d'un effaceur UV standard. Ce niveau d'accessibilité signifie qu'un amateur moyennement qualifié pourrait extraire avec succès le code protégé d'un produit commercial dans son garage, mettant en évidence un échec catastrophique dans la posture de sécurité du produit.

Avant d'entrer dans le détail, Chip Works tient à vous informer immédiatement que cette porte dérobée ne concerne que les AT88SC153/1608 et aucun autre dispositif CryptoMemory.

Cette limitation est cruciale à souligner, car la famille CryptoMemory d'Atmel comprend de nombreux autres modèles dotés d'une protection physique renforcée, comme un blindage actif et des capteurs UV. Cependant, l'existence d'un seul membre vulnérable dans la famille jette une ombre sur toute la gamme de produits, car les clients peuvent perdre confiance dans les allégations de sécurité de la marque. L'équipe d'ingénierie de Flylogic a effectué une décapsulation et une imagerie approfondies sur plusieurs variantes, confirmant que les AT88SC153 et AT88SC1608 partagent une disposition de fusibles commune dépourvue des couches métalliques protectrices présentes dans leurs successeurs. Ce choix de conception semble être une mesure de réduction des coûts, car l'ajout du blindage nécessaire aurait augmenté la surface de la puce et la complexité de fabrication. Néanmoins, pour un produit explicitement vendu comme une "mémoire sécurisée", un tel compromis est inexcusable, et il démontre que l'entreprise a privilégié le prix au détriment de la protection, une décision qui se retourne maintenant contre elle de façon spectaculaire.

La porte dérobée consiste à restaurer un fusible EEPROM à l'aide de la lumière ultraviolette (UV). Une fois que le bit de fusible a été remis à '1', tout le contenu de la mémoire peut être lu ou écrit en clair (non chiffré).

Le mécanisme sous-jacent à cette attaque est ancré dans la physique des transistors à grille flottante, qui sont utilisés pour stocker l'état du fusible. Normalement, ces transistors sont programmés en injectant une charge sur la grille flottante, ce qui modifie la tension de seuil et représente un '0' logique. Lorsqu'ils sont exposés aux rayons UV, les photons transportent suffisamment d'énergie pour exciter les électrons hors de la grille flottante, effaçant ainsi la charge et ramenant la cellule à son état non programmé '1'. C'est le même principe utilisé dans les effaceurs EPROM traditionnels, mais ici il est appliqué de manière malveillante pour réinitialiser les fusibles de sécurité sans altérer la matrice EEPROM principale. Le défi pour l'attaquant est de cibler précisément la région des fusibles tout en protégeant le reste de la puce contre les UV, car une irradiation négligente pourrait également effacer les données utilisateur. Cependant, avec un masque à ouverture soigneusement découpée, cet effacement sélectif devient une procédure simple, permettant une lecture complète de toutes les pages mémoire en clair.

Normalement, pour ce faire, il faut soit s'authentifier auprès du dispositif, soit utiliser un "code sécurisé" à lecture unique, comme expliqué dans la fiche technique de l'AT88SC153 et la fiche technique de l'AT88SC1608.

Les fiches techniques décrivent une architecture de sécurité multicouche qui comprend une authentification 64 bits, une protection par mot de passe et un "code sécurisé" unique qui est supposé n'être connu que du fabricant légitime. Le protocole d'authentification utilise un schéma de défi-réponse avec une clé secrète qui n'est jamais transmise en clair, ce qui le rend résistant à l'écoute et aux attaques par rejeu. De plus, le code sécurisé est une fonctionnalité de lecture unique destinée à vérifier l'authenticité du dispositif sans révéler ses secrets internes. Cependant, tous ces algorithmes sophistiqués deviennent hors de propos une fois que la porte dérobée UV est appliquée, car le contournement du fusible court-circuite toute la machine d'état qui applique les règles d'authentification. L'attaquant réinitialise simplement le lockbit maître, et le dispositif obéit docilement à toute commande de lecture ou d'écriture comme s'il était complètement déverrouillé, exposant le firmware et tout matériel cryptographique embarqué.

Pour ceux qui ne connaissent pas le hack CryptoMemory d'Atmel, il s'agit d'une mémoire non volatile série (EEPROM) qui prend en charge un canal de communication clair ou sécurisé entre un hôte (généralement un MCU) et la mémoire. Ce qui est unique dans le CryptoMemory, ce sont ses capacités à établir un canal sécurisé (authentification auprès de l'hôte, etc.).

Dans un déploiement typique, le microcontrôleur hôte (MCU) communique avec le CryptoMemory via une interface I2C à deux fils, envoyant des commandes pour lire ou écrire des zones spécifiques. Lorsque le canal sécurisé est activé, tous les octets de données sont XORés avec un flux de clés généré à partir des clés de session, garantissant que même si le bus est surveillé, les informations transmises restent inintelligibles. Le processus d'authentification comporte plusieurs étapes : l'hôte envoie un défi aléatoire, la mémoire répond par un message chiffré en utilisant sa clé interne, et l'hôte vérifie la réponse avant de continuer. Cette poignée de main est conçue pour prévenir les attaques de type homme-du-milieu et pour garantir que seuls les hôtes autorisés peuvent accéder aux régions protégées. De plus, le dispositif comprend des compteurs de tentatives configurables qui verrouillent l'interface après un certain nombre d'échecs d'authentification, ajoutant une autre couche de défense contre les attaques par force brute. Pourtant, malgré cette impressionnante liste de fonctionnalités de sécurité, le fusible physique reste le talon d'Achille, car il peut être réinitialisé sans aucune interaction avec la logique numérique.

Figure 1 : AT88SC153 agrandi 200x.

Figure 2 : AT88SC1608 agrandi 200x.

Ces dispositifs incluent :

• Mémoire haute sécurité incluant une anti-écoute

• Protocole d'authentification 64 bits

• Somme de contrôle sécurisée

• Compteur de tentatives d'authentification configurable

• Plusieurs ensembles de mots de passe

• Mots de passe spécifiques pour la lecture et l'écriture

• Compteurs de tentatives de mot de passe

• Droits d'accès sélectionnables par zone

Figure 3 : AT88SC153 annoté.

Figure 4 : AT88SC1608 annoté.

La section 5 de la fiche technique intitulée "Fusibles" indique clairement : "Une fois grillés, ces fusibles EEPROM ne peuvent pas être réinitialisés."

Cette affirmation est absolument fausse. La lumière UV efface les fusibles pour les ramener à un état '1'. Il faut veiller à ne pas exposer la mémoire principale aux UV, sinon elle s'effacera également.

La fausseté de cette affirmation n'est pas une simple erreur de documentation ; c'est une représentation erronée fondamentale des capacités du dispositif qui pourrait avoir de graves répercussions juridiques et financières pour Atmel. Les ingénieurs qui ont fait confiance à cette fiche technique et ont conçu leurs produits en se basant sur la permanence des fusibles pourraient maintenant être confrontés à la réalité que leur propriété intellectuelle est exposée à quiconque possède une lampe UV. Le processus pour réaliser une attaque réussie consiste d'abord à ouvrir le boîtier par décapsulation chimique, qui élimine le composé d'encapsulation époxy pour révéler la puce de silicium. Ensuite, l'attaquant utilise un masque pour couvrir la matrice EEPROM principale tout en laissant la zone des fusibles exposée aux UV pendant une durée contrôlée. Après l'irradiation, le lockbit est réinitialisé et la puce peut être lue à l'aide d'un programmateur standard, permettant un dump complet du code et des données stockées. Cette procédure peut être réalisée en moins d'une heure, ce qui en fait une méthode très efficace pour l'extraction de firmware à partir de dispositifs cibles.

Chip Works ne va pas expliquer les détails de l'utilisation de la lumière UV pour réinitialiser le fusible. Nous avons essayé de contacter Atmel mais n'avons reçu aucune réponse de leur part.

L'absence de réponse d'Atmel est troublante, car elle suggère que l'entreprise pourrait ne pas avoir de correctif ni même de reconnaissance du problème. En l'absence de directives officielles, les utilisateurs de ces composants sont laissés dans une position précaire, incertains que leurs applications soient ou non exposées. Le processus de divulgation responsable implique généralement de donner au fournisseur un délai raisonnable pour répondre avant de publier les résultats, mais dans ce cas, la vulnérabilité est si directe et les preuves si claires que toute attente ne ferait que mettre davantage de systèmes en danger. Il est également à noter que la porte dérobée pourrait avoir été intentionnellement insérée à des fins de débogage ou de test, une pratique courante dans l'industrie des semi-conducteurs, mais qui ne devrait jamais subsister dans le silicium de production. S'il s'agissait effectivement d'un mode de test délibéré, Atmel aurait dû le documenter et fournir un moyen de le désactiver définitivement, ce qu'ils n'ont pas fait.

En lisant plus en détail le tableau 5-1 de la fiche technique, Atmel écrit : "Lorsque les fusibles sont tous à '1', la lecture et l'écriture sont autorisées dans toute la mémoire."

Aussi étrange que cela puisse paraître, ils veulent vraiment dire que même si vous avez défini des règles de sécurité dans la mémoire de configuration, cela n'a pas d'importance. Les fusibles l'emportent sur tout et toutes les zones mémoire sont lisibles en clair sans besoin d'authentification ou de canal chiffré ! L'attaquant peut même voir le "code sécurisé" (il n'est pas fourni dans la documentation publique, ni avec les échantillons). Atmel a même eu la gentillesse de laisser des plots de test partout, afin que différents niveaux d'attaquants puissent apprendre (du débutant à l'expert).

La présence de plots de test sur la puce est une arme à double tranchant : bien qu'ils facilitent les tests de fabrication et l'analyse de pannes, ils fournissent également des points de sondage pratiques pour un adversaire. Dans ce cas, les plots de test sont situés près de la logique de contrôle des fusibles, ce qui facilite la surveillance de l'état du bit de verrouillage (lockbit) et même de le forcer à un niveau haut à l'aide de signaux externes, sans exposition aux UV. Cette erreur de conception aggrave la vulnérabilité, car elle donne à l'attaquant plusieurs moyens d'atteindre le même objectif : obtenir un accès non autorisé à la mémoire. Le fait que le code sécurisé ne soit pas documenté publiquement ajoute une couche d'obscurité, mais comme nous l'avons vu, l'obscurité n'est pas la sécurité. Une fois les fusibles réinitialisés, le code sécurisé peut être lu directement à partir de la mémoire, éliminant tout avantage qu'il aurait pu offrir. Cela neutralise efficacement l'ensemble du système de contrôle d'accès, laissant le dispositif aussi ouvert qu'une EEPROM vierge.

Notre preuve de concept a été testée sur des échantillons que nous avons obtenus via le site Web d'Atmel. Atmel propose des échantillons à tout le monde, mais ils ne fournissent pas le "code sécurisé" mentionné ci-dessus.

• Le code sécurisé des échantillons AT88SC153 était "$D_ $F_ $7_".

• Le code sécurisé des échantillons AT88SC1608 était "$7_ $5_ $5_".

Chip Works ne va pas vous montrer le nibble bas des 3 octets pour ne pas divulguer le code à quiconque. C'est une preuve suffisante pour toute autre personne connaissant ce code. Cette ou ces personnes peuvent clairement voir que nous connaissons leur code de transport qui semble être commun à tous les échantillons (par exemple, toutes les puces d'une tranche contiennent le même code sécurisé jusqu'à ce qu'un client commande des pièces, moment auquel ce client reçoit son propre code sécurisé). Une personne lisant ceci ne peut pas deviner le code sécurisé car il y a 12 bits à rechercher de manière exhaustive et vous n'avez que 8 tentatives.

Le fait que le code sécurisé soit cohérent pour tous les échantillons gratuits soulève de sérieuses questions sur les pratiques de gestion des clés d'Atmel. Si le même code est utilisé pour toutes les pièces d'évaluation, alors tout attaquant qui obtient un échantillon peut lire le code sécurisé et ensuite l'utiliser pour déverrouiller d'autres échantillons identiques, annulant ainsi l'objectif d'avoir un identifiant unique. Cela suggère que le code sécurisé n'est pas vraiment secret, mais plutôt un paramètre d'usine fixe qui n'est modifié que lors de l'exécution d'une commande personnalisée. Pour les clients qui commandent des pièces personnalisées, le code sécurisé est supposé être unique, mais la porte dérobée UV contourne complètement le besoin de celui-ci, rendant toute personnalisation sans objet. La limite de 8 tentatives pour la vérification du code sécurisé est destinée à prévenir les attaques par force brute, mais encore une fois, la porte dérobée contourne cette limitation en éliminant le besoin d'authentification.

Parmi tous les autres produits CryptoMemory, seul l'AT88SC153/1608 possède cette porte dérobée. Nous avons analysé avec succès toute la gamme de produits CryptoMemory et pouvons affirmer que la porte dérobée n'existe dans aucun autre composant CryptoMemory. Aucun des composants CryptoMemory n'est aussi "sécurisé" qu'il n'y paraît. Les mots "Fumée et miroirs" viennent à l'esprit (c'est presque toujours comme ça). Dans cette catégorie particulière de CryptoMemory, il y a deux composants, l'AT88SC153 et le plus grand AT88SC1608.

Cette affirmation souligne le scepticisme général que les chercheurs en sécurité nourrissent souvent à l'égard des affirmations des fournisseurs, en particulier lorsque ces affirmations ne sont pas vérifiées indépendamment par le biais de la rétro-ingénierie. La famille CryptoMemory, malgré son marketing, repose largement sur l'obscurité et l'espoir plutôt que sur des protections mathématiquement prouvées. Bien que les autres membres puissent ne pas avoir la vulnérabilité UV, ils souffrent toujours d'autres attaques par canaux auxiliaires ou de faiblesses de disposition qui pourraient être exploitées avec un effort suffisant. La leçon à tirer ici est que les fournisseurs de microcontrôleurs et de mémoires sécurisées doivent adopter une approche transparente, en publiant les vecteurs d'attaque physique qu'ils ont pris en compte et comment ils les ont atténués. Sans cette transparence, les clients achètent essentiellement une boîte noire dont la sécurité ne peut être évaluée objectivement.

D'où les questions :

• Pourquoi Atmel n'a-t-il doté cette pièce d'une porte dérobée que pour cette partie (NSA pour les conspirationnistes) ?
• Quel était le client initialement visé ?
• L'intention originale de ces dispositifs était-elle d'être utilisés dans un produit utilisant une forme de cryptographie ?
• Si ce qui précède est vrai, ce dispositif était-il initialement destiné à être un coffre-fort de clés cryptographiques ?

Toutes ces questions viennent à l'esprit parce que la porte dérobée permet d'extraire si facilement le contenu du dispositif auquel ils veulent que vous fassiez confiance. Certains d'entre vous connaissent peut-être l'algorithme GSM A5/1 dont certains bits de la clé sont définis à une valeur fixe.

Les parallèles avec l'affaiblissement intentionnel des algorithmes cryptographiques sont difficiles à ignorer. Dans le cas du GSM, certains bits de clé ont été mis à zéro pour simplifier les contrôles à l'exportation, mais ici la porte dérobée semble être un raccourci d'ingénierie qui a été laissé en place. Le client visé pourrait avoir été une agence gouvernementale ou une grande entreprise qui nécessitait une capacité de contournement maître pour l'accès des forces de l'ordre, un soi-disant mécanisme d'"accès exceptionnel". Cependant, si tel était le cas, Atmel aurait dû divulguer cela aux clients légitimes et s'assurer que la porte dérobée n'était pas découvrable par des attaquants ordinaires. Au lieu de cela, la porte dérobée est trivialement exploitable, ce qui suggère soit une négligence grave, soit une mauvaise évaluation du modèle de menace. Le fait que le code sécurisé soit commun à tous les échantillons pointe également vers un mode de test d'usine qui n'a jamais été désactivé, ce qui serait un péché capital dans la conception d'un produit sécurisé.

À en juger par le libellé de la documentation, Atmel donne l'impression que le CryptoMemory est le choix parfait pour détenir vos secrets les plus précieux.

Le langage marketing est rempli de superlatifs comme "haute sécurité", "inviolable" et "protection avancée", mais la réalité est loin de ces promesses. Pour tout ingénieur ou chef de produit qui a sélectionné ces composants sur la base des affirmations de la fiche technique, cette découverte est un signal d'alarme pour ne jamais se fier aveuglément aux assurances des fournisseurs sans une vérification indépendante. La marche à suivre recommandée est de cesser immédiatement d'utiliser ces composants dans toute application sensible à la sécurité et de migrer vers une plateforme ayant fait l'objet d'une évaluation rigoureuse par un tiers, comme celles bénéficiant de certifications Common Criteria. En attendant, si la décapsulation physique et l'exposition aux UV ne sont pas des vecteurs d'attaque réalisables pour votre modèle de menace (par exemple, si le dispositif est encapsulé dans un composé de remplissage ou dispose d'un maillage anti-falsification actif), vous pourriez envisager d'appliquer un chiffrement logiciel supplémentaire sur le MCU hôte pour protéger les données avant de les envoyer à la mémoire. Cependant, ce n'est qu'un pansement et non un correctif permanent, car le blob chiffré pourrait toujours être analysé pour en extraire des motifs ou pour monter des attaques par canaux auxiliaires sur le MCU lui-même.

Les implications plus larges de cette vulnérabilité s'étendent à l'ensemble de la chaîne d'approvisionnement : si les fusibles peuvent être réinitialisés, les contrefacteurs peuvent dupliquer l'identité et le comportement du dispositif, créant des clones qui contournent les vérifications de licence ou les mécanismes d'authentification dans les marchés de la télévision payante, du jeu vidéo et des cartouches d'imprimante. La capacité d'effectuer une lecture complète du contenu de l'EEPROM signifie que tout algorithme propriétaire stocké sur la puce est désormais exposé, ce qui pourrait coûter des millions aux entreprises en perte de propriété intellectuelle. De plus, la récupération de données à partir de ces mémoires pourrait être utilisée par des analystes judiciaires pour extraire des preuves de dispositifs saisis, mais elle permet également à des acteurs malveillants de rétro-ingénierer des systèmes critiques pour la sécurité dans les dispositifs automobiles ou médicaux, entraînant des conséquences potentiellement mortelles. Par conséquent, la découverte de cette porte dérobée n'est pas une simple curiosité académique ; c'est un incident de sécurité grave qui exige une attention immédiate de la part de toutes les parties prenantes.

Il vaut également la peine d'examiner les détails techniques du fonctionnement de l'effacement UV dans la pratique. Les cellules de fusibles sont disposées dans une zone spécifique de la puce, et leur emplacement physique peut être identifié en comparant les images de la disposition avec des conceptions de référence connues. Une fois la zone des fusibles localisée, l'attaquant peut créer un pochoir à partir d'une fine feuille de métal ou de plastique qui bloque les UV d'atteindre la matrice mémoire tout en les laissant frapper les fusibles. Le temps d'exposition et l'intensité optimaux dépendent du nœud de processus et de l'épaisseur de la couche de passivation, mais les effaceurs EPROM typiques émettent une lumière de 254 nm à quelques milliwatts par centimètre carré, nécessitant environ 10 à 20 minutes pour décharger complètement les grilles flottantes. Pendant ce processus, le dispositif doit être maintenu dans un environnement sombre pour éviter toute corruption accidentelle des données, mais avec des précautions appropriées, le taux de réussite est proche de 100 %. Le seul défi restant est de s'assurer que le dispositif reste fonctionnel après l'attaque, afin que l'attaquant puisse ensuite le lire en utilisant le protocole standard.

Pour les concepteurs de systèmes qui sont coincés avec ces composants en raison de contraintes héritées, il existe quelques mesures palliatives pour réduire le risque. Premièrement, vous pouvez coller physiquement un petit morceau de matériau opaque sur la surface de la puce après encapsulation, mais cela nécessite un accès à la puce nue, ce qui n'est pas pratique pour la production de masse. Deuxièmement, vous pouvez utiliser un boîtier anti-effraction qui montrerait des signes d'intrusion si quelqu'un tentait de décapsuler la puce. Troisièmement, vous pouvez changer périodiquement les clés cryptographiques stockées dans la mémoire, de sorte que même si la puce est compromise, les données volées ne soient valables que pour une durée limitée. Cependant, ces mesures sont loin d'être infaillibles et ne servent qu'à relever la barre pour l'attaquant, pas à éliminer complètement la vulnérabilité. La seule solution robuste est de remplacer la pièce vulnérable par une révision plus récente qui dispose d'un blindage UV approprié et d'une détection de falsification active.

En ce qui concerne l'éthique de la divulgation, Chip Works a décidé de publier ces informations publiquement après avoir échoué à obtenir une réponse d'Atmel, dans un délai raisonnable. Cette décision est conforme à la meilleure pratique de l'industrie en matière de transparence totale lorsqu'un fournisseur ne répond pas, en particulier lorsque la vulnérabilité affecte de nombreux produits commerciaux. En publiant les images de la puce et la méthodologie d'attaque de haut niveau, ils permettent aux équipes de sécurité d'évaluer leur propre risque et de tester si leurs unités sont vulnérables. L'obscurcissement partiel du code sécurisé (ne montrant que les nibbles supérieurs) est un compromis raisonnable qui fournit une preuve sans donner la clé complète, empêchant ainsi les script kiddies d'exploiter immédiatement la faille. La communauté de la sécurité accueillera sans aucun doute cette divulgation, car elle ajoute aux connaissances collectives sur les vulnérabilités matérielles et stimule le développement de produits futurs plus sécurisés.

De plus, l'existence de cette porte dérobée sert de conte édifiant pour toute personne impliquée dans l'approvisionnement en matériel : effectuez toujours des audits de sécurité indépendants, même pour les composants de fournisseurs réputés. Le coût de ces audits est dérisoire par rapport aux pertes potentielles d'une violation de sécurité. De plus, envisagez d'utiliser des composants offrant des fonctionnalités de protection physique telles que des mailles métalliques actives, des capteurs de lumière et des capteurs de température, qui peuvent détecter et répondre aux tentatives de falsification. L'AT88SC153 et l'AT88SC1608 sont dépourvus de tout cela, reposant plutôt sur la permanence supposée de leurs fusibles, qui s'avère être un mythe. Dans le monde de la sécurité matérielle, rien n'est vraiment permanent et toute structure physique peut être manipulée avec suffisamment de temps, d'outils et de compétences. La clé est de rendre la manipulation si difficile et coûteuse qu'elle dépasse la valeur de l'actif protégé.

Pour les chercheurs intéressés à reproduire ces résultats, le processus commence par l'obtention d'un échantillon du dispositif, de préférence par des canaux officiels pour garantir son authenticité. Ensuite, effectuez une analyse non destructive à l'aide d'une imagerie aux rayons X pour localiser la zone des fusibles et comprendre le câblage interne. Ensuite, utilisez un outil de décapsulation de précision, comme un laser ou une méthode chimique humide, pour éliminer le matériau du boîtier sans endommager les structures sous-jacentes. Après la décapsulation, prenez des images optiques haute résolution et comparez-les à celles publiées ici pour confirmer l'emplacement des fusibles. Enfin, effectuez une expérience d'exposition UV contrôlée, en surveillant l'état du lockbit à l'aide d'un programmateur avant et après l'irradiation. Documentez toutes les étapes et les résultats, et partagez-les avec la communauté pour valider davantage la vulnérabilité. Ce type de rétro-ingénierie pratique est inestimable pour approfondir la compréhension de la sécurité matérielle et pour former la prochaine génération d'ingénieurs en sécurité.

En conclusion, les dispositifs CryptoMemory AT88SC153 et AT88SC1608 contiennent un défaut de conception fondamental qui permet à un attaquant de réinitialiser les fusibles de sécurité à l'aide de la lumière UV, permettant ainsi un accès en lecture et en écriture illimité à l'ensemble de la mémoire. Ce défaut invalide l'affirmation de la fiche technique selon laquelle les fusibles sont permanents et grillés de manière irréversible. L'attaque est simple, peu coûteuse et ne nécessite pas d'équipement spécialisé au-delà des outils de laboratoire de base. La vulnérabilité affecte tout produit qui repose sur ces puces pour un stockage sécurisé, et la seule recherche en sécurité matérielle est d'améliorer la sécurité globale de l'écosystème effective est de les remplacer par des alternatives plus robustes. L'incident souligne l'importance cruciale de la sécurité physique dans les systèmes embarqués et rappelle que les protocoles cryptographiques sont aussi solides que le matériel qui les implémente. Comme le dit l'adage, "Il n'y a pas de sécurité sans sécurité physique", et ce cas le prouve une fois de plus. À l'avenir, tant les fournisseurs que les clients doivent insister sur des conceptions de sécurité transparentes et des tests indépendants rigoureux pour éviter de tels écueils.

• Liste de rétro-ingénierie des MCU Atmel par Mikatech :