Reverse Engineering von MCU

Zusammenfassung

In letzter Zeit besteht ein erhebliches Interesse an der Widerstandsfähigkeit gegen unbefugten Zugriff, die kostengünstige eingebettete Sicherheitsgeräte wie kontaktbehaftete und kontaktlose Smartcards bieten können. Diese Geräte werden in großem Umfang in Verbraucher- und Finanzsystemen eingesetzt, was ihre physische und kryptographische Sicherheit zu einem kritischen Forschungsthema macht. Es ist bekannt, dass hochklassige Halbleiteranalyselabore Reverse Engineering von Hardware und Firmware von Smartcards mit professionellen Testgeräten durchführen können. Die Einrichtung und der Betrieb eines modernen Halbleiterlabors erfordern jedoch Investitionen in Millionenhöhe, was solche Möglichkeiten für die meisten Einzelangreifer und kleinen Gruppen unzugänglich macht. In diesem Artikel beschreiben wir eine vielfältige Reihe praktischer Sicherheitsangriffe, die von Gegnern mit begrenzten finanziellen Mitteln und grundlegender technischer Infrastruktur erfolgreich durchgeführt werden können. Die drei Hauptkategorien von Angriffen stützen sich auf spezielle, aber erschwingliche Ausrüstung: differentielle Fehleranalyse durch Signal-Glitching, permanente Überschreibung des Chip-Speichers und Wiederherstellung kryptographischer Schlüssel unter Ausnutzung von Speicherresteffekten. Es gibt auch eine Klasse von ausnutzbaren Angriffen, die auf herkömmlichen Protokolldesignfehlern basieren, und diese Methoden können möglicherweise überhaupt keine spezielle Ausrüstung oder Laborinstrumente erfordern. Wir beschreiben systematisch das Funktionsprinzip, die Durchführungsprozedur und praktische Anwendungsbeispiele für jeden Angriffsvektor. Einige der vorgeschlagenen Angriffe bieten eine erhebliche Leistungsverbesserung gegenüber zuvor etablierten State-of-the-Art-Methoden in der Embedded-Sicherheitsforschung. Andere Angriffsfälle dienen als wertvolle Warnungen für Hardware-Entwickler, Protokollingenieure und Sicherheitsbewerter. Insgesamt zeigen alle in diesem Artikel vorgestellten Angriffsszenarien und experimentellen Ergebnisse überzeugend, dass die Entwicklung manipulationssicherer Hardware, die Implementierung sicherer Firmware-Logik und die effektive Bereitstellung dieser Geräte in realen Systemen weitaus komplexer und schwieriger ist, als allgemein in der Praxis angenommen wird.

1 Einleitung

Eine wachsende Zahl großflächiger kritischer digitaler Systeme stützt sich in hohem Maße auf die Manipulationssicherheit von Smartcards und spezialisierten sicheren Prozessoren. Diese Systeme umfassen viele Industriebereiche, darunter Pay-TV-Abonnementnetze, globale GSM-Mobilfunknetze, Prepaid-Gas- und Stromzähler sowie E-Wallet-Plattformen auf kontaktlosen Smartcards für Einzelhandelszahlungen. Jedes dieser Systeme ist auf eingebettete Sicherheitshardware angewiesen, um kryptographische Schlüssel zu isolieren, Firmware-Manipulationen zu verhindern und unbefugten Zugriff auf interne vertrauliche Daten zu sperren. Diese weitreichende Abhängigkeit macht die Robustheit der Manipulationsschutzmechanismen zu einem grundlegenden Problem für das gesamte Ökosystem der eingebetteten Sicherheit.

Es ist wichtig klarzustellen, dass Hardware-Manipulationssicherheit niemals eine absolute, fehlerfreie Eigenschaft ist. Ein gut finanzierter Gegner mit vollständigem Zugang zu professionellen Halbleitertest- und Sondierungsgeräten kann geheime Schlüsselmaterialien aus einem Smartcard-Chip durch direkte physikalische Beobachtung von Transistorstrukturen und präzise elektrische Manipulation von On-Chip-Komponenten extrahieren. Die Sicherheitsgemeinschaft ist sich weitgehend einig: Bei unbegrenzter Zeit und ausreichenden finanziellen Mitteln kann jedes manipulationssichere eingebettete Gerät in Chipgröße durch zerstörende physikalische Analyse vollständig geöffnet und reverse-engineered werden. In der früheren akademischen Literatur wurde auch eine kleine Anzahl kostengünstiger technischer Methoden für Angriffe auf bestimmte kommerzielle manipulationssichere Geräte und eingebettete Sicherheitsprozessoren dokumentiert [2].

Daraus folgt, dass der effektive Manipulationsschutz, den ein kommerzielles Sicherheitsprodukt bietet, anhand zweier Schlüsselkennzahlen gemessen werden kann: dem gesamten Zeitaufwand und den finanziellen Kosten, die die eingebauten Schutzmechanismen des Geräts einem potenziellen Angreifer auferlegen. Die genaue Bewertung dieser beiden Kosten ist eine entscheidende Aufgabe für die Sicherheitsrisikobewertung und Produktzertifizierung. Leider hat dieses spezifische Bewertungsproblem in der akademischen Sicherheitsforschung, bei Branchenbewertern und Entwicklungsingenieuren weit weniger Beachtung gefunden, als es seine praktische Bedeutung verdient. Die relativ kurze Liste der am Ende dieses Artikels zitierten Referenzen ist ein direkter Beweis für diese Lücke in der vorhandenen Literatur.

Zur Standardisierung der Angreiferklassifikation und zur Leitlinie für das Design von Systemen, die teilweise auf Hardware-Manipulationsschutz angewiesen sind, übernehmen wir die klassische Taxonomie von Gegnern, die ursprünglich von der Embedded-Sicherheitsforschungsgruppe von IBM vorgeschlagen wurde [1]. Dieses Klassifikationssystem unterteilt potenzielle Angreifer in drei separate Kategorien basierend auf ihren Kenntnissen, ihrer Ausrüstung und ihrem Finanzierungsniveau.

Klasse I (intelligente Außenstehende): Diese Gegner verfügen oft über hohe Intelligenz und starke Selbstlernfähigkeiten im Bereich der eingebetteten Elektronik. Ihnen fehlt jedoch das umfassende interne Wissen über die Design-Details des Zielsystems. Sie haben nur Zugang zu handelsüblicher Mittelklasse-Ausrüstung, die für Einzelpersonen erschwinglich ist. Ihre Angriffsstrategie konzentriert sich in der Regel auf die Ausnutzung vorhandener interner Schwächen in der System-Entsperrlogik, anstatt neue Hardware von Grund auf zu entwickeln und zu bauen, um ausnutzbare Schwachstellen zu schaffen. Die meisten Hobby-Hacker und unabhängigen Sicherheitsforscher fallen in diese Kategorie.

Klasse II (informierte Insider): Diese Personen haben eine formale technische Ausbildung und mehrjährige Berufserfahrung im Bereich eingebettete Hardware oder Kryptographie. Sie verfügen über ein tiefgehendes, teilweises Verständnis kritischer Segmente des Zielsystems und haben potenziell physischen und logischen Zugang zu den meisten Funktionsmodulen des Geräts. Sie können komplexe spezialisierte Werkzeuge und hochpräzise Messgeräte für Hardware-Analyse, Datenbus-Überwachung und kryptographisches Reverse Engineering einsetzen. Professionelle Industriehacker und leitende Embedded-Systemingenieure mit böswilliger Absicht sind typische Gegner der Klasse II.

Klasse III (finanzierte Organisationen): Diese Akteure können interdisziplinäre Teams von Spezialisten mit komplementären Fähigkeiten zusammenstellen, die Hardware-Analyse, Kryptoanalyse, Firmware-Reverse-Engineering und Protokoll-Hacking abdecken. Ihre Operationen werden von erheblichen und kontinuierlichen finanziellen Ressourcen unterstützt, die langfristige Forschung und Werkzeugentwicklung ermöglichen. Sie sind in der Lage, tiefergehende Strukturanalysen komplexer Sicherheitssysteme durchzuführen, hochspezialisierte, ausgefeilte Angriffsmethoden zu entwickeln und modernste Halbleiteranalysegeräte einzusetzen, die auf dem Markt verfügbar sind. Sie rekrutieren häufig informierte Insider der Klasse II als Schlüsselmitglieder ihrer spezialisierten Angriffsteams, um die Ausnutzung von Schwachstellen zu beschleunigen.

In diesem Artikel präsentieren, formalisieren und erweitern wir eine Reihe kostengünstiger Angriffsmethoden, die Massen-Smartcards und kommerzielle manipulationssichere eingebettete Geräte für Angreifer der Klasse II und in vielen vereinfachten Szenarien sogar für budgetbeschränkte Angreifer der Klasse I angreifbar machen können. Alle vorgeschlagenen Methoden vermeiden die teure Halbleiterlabor-Infrastruktur, die für traditionelle physikalische Angriffe erforderlich ist, was sie für gewöhnliche Gegner praktisch zugänglich macht.

2 Differentielle Fehleranalyse

In einer bahnbrechenden Veröffentlichung [5] stellten Biham und Shamir den klassischen Angriff der differentiellen Fehleranalyse auf den Blockchiffre DES vor. Ihr ursprünglicher Angriff benötigte 200 fehlerhafte Chiffretexte, die jeweils absichtliche Ein-Bit-Datenfehler enthielten, die durch kontrollierte Umgebungseinwirkungen auf den kryptographischen Prozessor verursacht wurden. Das zugrundeliegende Fehlermodell wurde zuerst von Boneh und seinen Kollegen in [11] vorgeschlagen, und die praktischen Auswirkungen dieses Fehlermodells wurden in späteren Studien [16, 10] weiter bestätigt und erweitert. Dieses theoretische Modell geht davon aus, dass die Einwirkung von niederenergetischer ionisierender Strahlung oder eines gleichwertigen elektrischen Impulses auf den eingebetteten kryptographischen Prozessor isolierte Ein-Bit-Fehler in den Arbeitsdaten induzieren kann, insbesondere im geheimen Schlüsselmaterial, das während der aufeinanderfolgenden Runden der Blockchiffre-Verschlüsselung verarbeitet wird.

Spätere Untersuchungen [6] zeigten, dass diese traditionelle, datenorientierte Fehleranalysemethode erweitert werden kann, um proprietäre Blockchiffre-Algorithmen zu reverse-engineeren, deren interne Rundenstruktur und S-Box-Anordnung dem Angreifer völlig unbekannt sind. In all diesen frühen Studien bleibt die entscheidende Beobachtung unverändert: Zufällige Bitfehler, die in den letzten Verschlüsselungsrunden auftreten, enthüllen kritische Informationen über den geheimen Verschlüsselungsschlüssel oder die zugrundeliegende Algorithmusstruktur. Diese Informationsleckage bildet die mathematische Grundlage aller Angriffe der differentiellen Fehleranalyse.

Weitere verfeinerte Forschungsergebnisse wurden in [7] vorgestellt, wo die Position der Fehlereinbringung für Angriffe auf symmetrische Chiffren optimiert wurde. Die Studie bewies, dass, wenn die präzise Fehlereinbringung auf die letzten ein oder zwei Runden des Zielalgorithmus beschränkt wird, die Gesamtzahl der benötigten fehlerhaften Chiffretextmuster drastisch reduziert werden kann. Die frühere Arbeit von Boneh [11] erweiterte das Fehlermodell auch auf asymmetrische Kryptosysteme und bewies, dass Public-Key-Verschlüsselungs- und Signaturschemata gleichermaßen anfällig für Fehlereinbringung sind. Besonders bemerkenswert ist, dass der RSA-Modul unter Verwendung einer kleinen Anzahl absichtlich fehlerhafter digitaler Signaturen, die vom Zielgerät erzeugt wurden, vollständig faktorisiert werden kann.

Trotz dieser vielversprechenden theoretischen Ergebnisse hatten alle oben genannten vorgeschlagenen Angriffe eine gemeinsame kritische praktische Einschränkung: Keine frühere Studie hatte erfolgreich die praktische Durchführbarkeit ihres idealisierten Modells zufälliger Ein-Bit-Fehler demonstriert. Diese Einschränkung schränkte ihre Anwendbarkeit in realen Umgebungen auf kommerziellen Sicherheitsprozessoren ernsthaft ein. In den meisten massenproduzierten Sicherheitsprozessoren von Smartcards wird das geheime Schlüsselmaterial permanent im On-Chip-EEPROM zusammen mit mehreren Kilobyte ausführbarem Code des Betriebssystems und kryptographischen Bibliotheken gespeichert. Eine so dichte Speicheranordnung bedeutet, dass ein zufällig induzierter Ein-Bit-Fehler mit weitaus höherer Wahrscheinlichkeit einen vollständigen Prozessorabsturz verursacht, die ausführbare Firmware beschädigt oder zu völlig uninformativem Müllausgang führt, als die spezifischen fehlerhaften Chiffretexte zu erzeugen, die für die traditionelle differentielle Fehleranalyse erforderlich sind. Dies machte frühe akademische Fehlerangriffe weitgehend theoretisch und nicht praktisch für das tatsächliche Hacken von Smartcards.

In diesem Abschnitt des Artikels stellen wir ein anderes, physikalisch realistisches Fehlermodell vor, das erheblich leistungsfähigere und zuverlässigere kryptographische Angriffe ermöglicht als das traditionelle Modell strahlungsinduzierter Datenfehler. In den folgenden Abschnitten werden wir zusätzliche Fehlertypen behandeln, die von budgetbeschränkten Angreifern der Klasse I mit selbstgebauten oder kostengünstigen kommerziellen Werkzeugen leicht induziert werden können. Wir werden beweisen, dass diese alternativen Fehlervektoren ebenfalls hoch durchführbare, im Feld einsetzbare Angriffe auf kommerzielle manipulationssichere Geräte ermöglichen. Die meisten vorgeschlagenen Angriffe können weiter an Szenarien angepasst werden, in denen der verwendete Verschlüsselungsalgorithmus ursprünglich unbekannt ist oder der Angreifer über unvollständige technische Dokumentation des Zielsystems verfügt. Alle diese Angriffsmethoden entsprechen idealerweise der operationellen Definition von Aktionen, die ein ressourcenbeschränkter Gegner der Klasse I ohne industrielle Laborausrüstung durchführen kann.

2.1 Realistischer differentieller Angriff

In unserer früheren, industrieorientierten Studie [2] haben wir einen praktischen Fehlerangriff dokumentiert, der bereits von Hobby-Hackern weithin übernommen wurde, um Pay-TV-Smartcards zu knacken. Das Grundprinzip dieses Angriffs besteht darin, einen kontrollierten elektrischen Glitch — ein schmales, hochgeschwindigkeits-Transientensignal — entweder auf den Takteingangspin oder die Stromversorgungsleitung des Ziel-Mikrocontroller-Chips einzuspeisen. Die häufigste Implementierung umfasst die Modifikation des Standard-Referenztaktsignals von 5 MHz, das der Smartcard zugeführt wird, durch Einfügen eines oder mehrerer kurzer Impulse mit 20 MHz während bestimmter Programmausführungsphasen.

Aufgrund interner Hardware-Variationen innerhalb des Chips verursacht dieser Taktglitch eine selektive Signalverzerrung. Verschiedene interne Logikpfade haben einzigartige Gate-Verzögerungswerte, und die On-Chip-Komponenten weisen unterschiedliche RC-Zeitkonstantenparameter auf. Infolgedessen verzerrt der injizierte Transient nur eine Untermenge der internen Logiksignale, ohne den gesamten Chipbetrieb zu stören. Durch präzise Abstimmung der Zeitverschiebung und Impulsdauer des eingefügten Glitch kann der Angreifer die CPU des Geräts dazu bringen, eine Reihe unbeabsichtigter, falscher Maschinenbefehle auszuführen, die von der ursprünglichen Firmware-Logik abweichen.

Die genaue Menge der falsch ausgeführten Befehle variiert zwischen einzelnen Chips desselben Modells aufgrund von Fertigungstoleranzen und geringfügigen Siliziumdefekten. Diese nutzbaren Glitch-Parameter können jedoch durch systematische vollständige Suche mit einfachen Schaltungen zuverlässig identifiziert werden, die vollständig zu Hause aus Komponenten für weniger als hundert US-Dollar zusammengebaut werden können. Diese niedrige Einstiegshürde macht den Angriff für jeden qualifizierten Elektronikbastler zugänglich.

Wir erheben keinen Anspruch auf die ursprüngliche Erfindung dieser Glitching-Technik. Sie tauchte erstmals in der Gemeinschaft der Pay-TV-Hacker auf und wurde in Untergrundkreisen mindestens ein Jahr vor unserer formellen akademischen Dokumentation aktiv genutzt. In der in unserer früheren Arbeit [2] beschriebenen Basisimplementierung zielt der Angriff auf eine einfache Firmware-Schleife ab, die dazu bestimmt ist, ein festes Speichersegment an den seriellen Port des Geräts zu übertragen.

Die ursprüngliche Schleifenlogik auf Assembler-Ebene hat die folgende Struktur:

1 b = answer_address

2 a = answer_length

3 if (a == 0) goto 8

4 transmit(*b)

5 b = b + 1

6 a = a - 1

7 goto 3

8 ...

Das Ziel des Hackers ist es, den spezifischen Glitch-Zeitpunkt zu finden, der es dem Programmzähler ermöglicht, normal zu inkrementieren, aber entweder den bedingten Sprungbefehl in Zeile 3 oder die Dekrement-Operation des Schleifenzählers in Zeile 6 in einen unbeabsichtigten Opcode ändert. Durch wiederholtes Einbringen dieses kalibrierten Glitch während der Schleifenausführung kann der Angreifer die Speicherzugriffsbeschränkungen umgehen und den gesamten Inhalt des geschützten internen Speichers des Chips über die serielle Schnittstelle auslesen.

Wenn dieser Glitching-Angriff auf Befehlsebene auf die Ausführung eines kryptographischen Algorithmus angewendet wird, anstatt auf einfachen Kontrollfluss-Code, zeigt er eine noch höhere Effizienz zur Schlüsselextraktion. Die wichtigste Erkenntnis aus dieser Studie ist klar: Fehlerangriffe, die auf der Verzerrung der CPU-Befehlsausführung basieren, sind erheblich einfacher zu implementieren und liefern informativere Leckagen als traditionelle Angriffe, die nur Datenbits verzerren. Dies ist ein entscheidender Vorteil unseres realistischen differentiellen Angriffs gegenüber früheren theoretischen Arbeiten.

2.2 Angriff auf RSA

Eine Variante des Instruction-Glitching-Angriffs von Lenstra bietet eine äußerst effektive Methode, um RSA-Implementierungen auf kommerziellen Smartcards zu knacken. Die meisten eingebetteten RSA-Beschleuniger berechnen die Signatur S für eine Nachricht M mit dem zusammengesetzten Modul n = pq unter Verwendung des chinesischen Restsatzes (CRT). Das Gerät berechnet zunächst die Zwischenwerte der Signatur modulo der zwei Primfaktoren p und q getrennt und kombiniert dann die beiden Ergebnisse, um die endgültige gültige Signatur für den zusammengesetzten Modul zu erzeugen.

Wenn ein präziser elektrischer Glitch während eines der beiden Primzahl-Modul-Berechnungsschritte eingefügt wird, kann der Angreifer den RSA-Modul n sofort faktorisieren, ohne aufwändige mathematische Berechnungen. Sei e der öffentliche Verschlüsselungsexponent des RSA-Schemas. Wenn die erzeugte Signatur S = M^d (mod pq) mathematisch korrekt modulo der Primzahl p ist, aber einen Einzelfehler modulo der Primzahl q aufweist, dann kann der Primfaktor p direkt unter Verwendung der Funktion des größten gemeinsamen Teilers berechnet werden: p = gcd(n, S^e − M) (1).

Diese Schwachstelle macht CRT-basierte RSA-Implementierungen zu einem idealen Ziel für kostengünstige Glitching-Angriffe. Die Smartcard verbringt den Großteil ihrer kryptographischen Verarbeitungszeit mit der Berechnung von Signaturwerten modulo p und q. Fast jeder zufällige Glitch, der die Ausgabe eines dieser Berechnungsschritte verzerrt, erzeugt die fehlerhafte Signatur, die zur Faktorisierung des Moduls benötigt wird. Der Angreifer muss nicht präzise auf bestimmte Befehle im Algorithmuscode abzielen, was die Komplexität der Glitch-Parameterkalibrierung erheblich reduziert.

Am kritischsten ist, dass dieser Angriff nur ein fehlerhaftes Signaturmuster benötigt, um die Modulfaktorisierung abzuschließen. Dies ermöglicht eine vollständige Online-Exploitation in Echtzeit in lebenden Transaktionsumgebungen. Ein bösartiger Einzelhandels-POS-Terminal, der von kriminellen Organisationen betrieben wird, kann den erforderlichen Glitch während einer normalen Kundentransaktion einbringen, den RSA-Modul der Bank in Millisekunden faktorisieren, eine mathematisch korrekte gültige Signatur berechnen und legitime Transaktionsdaten an das Backend der Bank übermitteln, ohne eine erkennbare Abweichung zu verursachen.

Infolgedessen können kriminelle Gruppen heimlich die geheimen RSA-Schlüssel der Bank extrahieren, ohne dass im Transaktionsprotokoll des Kunden oder des Bank-Backend-Systems ein anormales Verhalten erkannt wird. Die praktische Bedrohung wird durch die Bereitstellungsstrategie des neuen EMV-E-Wallet-Standards verstärkt. Die ausstellenden Banken unterhalten nur 10.000 eindeutige geheime RSA-Schlüsselpaare für ihren gesamten Kundenstamm [14]. Sobald ein Schlüsselsatz mit diesem Glitching-Angriff kompromittiert ist, können Kriminelle geklonte Smartcards für einen erheblichen Teil der Nutzerbasis der Bank fälschen, was zu massivem Finanzbetrug führt.

2.3 Angriff auf DES

Wenn ein Angreifer die Möglichkeit hat, selektiv Fehler in bestimmten einzelnen CPU-Befehlen zu verursachen, ergeben sich mehrere einfache und effektive Angriffspfade auf den Blockchiffre DES. Die intuitivste Methode zielt auf die Schlüsselmischungsstufe in den letzten beiden DES-Runden ab. Der Angreifer kann eine der 8-Bit-Daten-XOR-Operationen deaktivieren, die die Rundenrundenschlüssel mit den S-Box-Eingangsdaten verknüpft, indem er den entsprechenden Opcode durch Glitching verzerrt.

Durch Wiederholen dieses gezielten Glitch, um nacheinander jede Byte-Schlüssel-XOR-Operation zu deaktivieren, erhält der Angreifer eine Reihe unterschiedlicher fehlerhafter Chiffretextausgaben. Jede fehlerhafte Ausgabe weicht normalerweise vom legitimen Chiffretext in den Ausgabewerten von zwei S-Boxen ab, in seltenen Fällen auch von drei S-Boxen. Die Anwendung klassischer Methoden der differentiellen Kryptoanalyse auf diese fehlerhaften Muster ermöglicht es dem Angreifer, etwa fünf Bit Informationen über den geheimen Schlüssel für jede deaktivierte Byte-Schlüsseloperation zu extrahieren.

In der Praxis liefern sechs durch Glitching der letzten DES-Runden erzeugte fehlerhafte Chiffretexte etwa 30 Bit des 56-Bit-Hauptschlüssels. Die verbleibenden unbekannten Schlüsselbits können durch vollständige Suche mit minimalem Rechenaufwand auf moderner Verbraucherhardware wiederhergestellt werden. Dies reduziert die Rechenkomplexität der DES-Schlüsselwiederherstellung auf eine triviale Aufgabe für budgetbeschränkte Angreifer.

Eine noch schnellere Variante dieses Angriffs zielt auf die Schleifenkontrolllogik der DES-Rundenfunktion ab. Der Angreifer verzerrt die Schleifeniterationsvariable oder den bedingten Sprungbefehl zum Rundenende durch Glitching, wodurch der Algorithmus nach nur einer oder zwei Verschlüsselungsrunden anstelle der standardmäßigen sechzehn beendet wird. Bei deaktivierter vollständiger Rundenstruktur kann der geheime Schlüssel durch visuelle Analyse der verkürzten Verschlüsselungsausgabe direkt identifiziert werden. Die praktische Leistung dieses vereinfachten Angriffs hängt etwas von der spezifischen Firmware-Implementierung der DES-Schleifenstruktur ab.

Insgesamt erfordert die vollständige Wiederherstellung des DES-Schlüssels durch Instruction-Glitching nur zwischen einem und zehn fehlerhaften Chiffretextmustern, was eine enorme Verbesserung gegenüber den 200 Mustern darstellt, die für die traditionelle datenbasierte differentielle Fehleranalyse erforderlich sind. Dies wirft eine kritische praktische Frage auf: Wie durchführbar ist es für einen budgetbeschränkten Angreifer, präzise auf bestimmte einzelne Befehle in der eingebetteten Firmware abzuzielen?

In fast allen kommerziellen Smartcards lädt der Hersteller eine Reihe fester kryptographischer und Kommunikations-Subroutinen in den unveränderlichen On-Chip-ROM-Speicher vor. Obwohl die Anbieter diesen ROM-Code oft als leichtgewichtiges eingebettetes Betriebssystem bewerben, funktioniert er praktisch als Bibliothek fester Funktionen und als Entwicklungswerkzeug für Anwendungsprogrammierer. Diese eingebauten Subroutinen enthalten fast immer eine standardisierte Implementierung des DES-Algorithmus oder eine proprietäre Alternative wie das Telepass-Verschlüsselungsschema.

Ein Angreifer der Klasse I kann das offizielle Smartcard-Entwicklungskit des Herstellers für einen einmaligen Preis von nur wenigen tausend US-Dollar erwerben. Dieses Kit enthält die vollständige technische Dokumentation der ROM-Bibliothek, vollständige Firmware-Debug-Schnittstellen und physische Kartenmuster zum Testen von Parametern. Mit diesen Informationen kann der Angreifer einzelne DES-Befehle präzise lokalisieren und für eine hochzuverlässige Glitch-Einbringung anvisieren.

Bei völlig unbekannten oder undokumentierten Firmware-Implementierungen muss der Angreifer begrenzte experimentelle Tests durchführen, um die Befehlszeitfenster des Geräts abzubilden. Dieser Kalibrierungsschritt ist bereits für jedes neue Kartenmodell erforderlich, um die zulässigen Spannungs- und Zeitparameter des Glitch zu bestimmen. Der gesamte Suchraum für nutzbare Glitch-Konfigurationen ist jedoch relativ klein.

Nach der Analyse einer kleinen Anzahl verbreiteter DES-Firmware-Implementierungen wird es für Angreifer leicht, Muster in den Ausgabedaten zu erkennen, die durch das Deaktivieren einzelner Befehle in den letzten beiden Runden erzeugt werden. Tatsächlich lecken viele Befehle, die nichts mit der Schlüsselmischung in der Rundenfunktion zu tun haben, bei Deaktivierung durch Glitching fast genauso viel Schlüsselinformationen wie die offiziellen XOR-Operationen der Rundenschlüssel. Dies vereinfacht die Angriffe auf unbekannte Implementierungen für unerfahrene Gegner weiter.

2.4 Reverse Engineering unbekannter Blockchiffren

Angreifer können Takt- und Stromversorgungs-Glitches nutzen, um die effektive Anzahl der Runden in einer unbekannten proprietären Blockchiffre systematisch zu reduzieren. Einfache statistische Korrelationstests können die Beziehung zwischen Eingangs-Klartextbits und Ausgangs-Chiffretextbits verfolgen. Ein plötzlicher starker statistischer Zusammenhang zeigt an, dass die Anzahl der Verschlüsselungsrunden durch Befehlsverzerrung erfolgreich reduziert wurde.

Dieser Angriff zur Rundenreduktion bleibt selbst dann praktikabel, wenn der Angreifer über keinerlei Vorwissen über die Implementierungsdetails des Algorithmus verfügt. Diese Fähigkeit eröffnet eine leistungsstarke Anwendungsmöglichkeit: Angreifer können Reverse Engineering von geheim gehaltenen, unveröffentlichten Blockchiffren wie Skipjack durchführen, ohne teure Halbleiter-Freisetzungs- und Elektronenmikroskopie-Ausrüstung einsetzen zu müssen.

Biham und Shamir haben dieses Szenario des Reverse Engineering bereits in ihrer traditionellen Modellierung zufälliger Ein-Bit-Datenfehler untersucht [6, 7]. Ihre Methodik identifiziert fehlerhafte Chiffretexte mit geringem Hamming-Abstand zu legitimen Ausgaben, was Fehlern entspricht, die auf die letzten Verschlüsselungsrunden beschränkt sind. Durch Analyse dieser Muster können Angreifer den Chiffretext in linke und rechte Datenhälften aufteilen und die Bitausbreitung durch die Runden-Transformationen verfolgen.

Für S-Box-basierte Chiffren wie DES enthüllt diese Analyse schnell die innere Feistel-Struktur. Die Sammlung von 500 fehlerhaften Chiffretexten ermöglicht die Wiederherstellung der groben strukturellen Anordnung des Algorithmus, während etwa 10.000 Muster die vollständige Wiederherstellung aller S-Box-Tabelleneinträge ermöglichen. Dieser Prozess erfordert einen erheblichen Zeitaufwand für die Datensammlung und die rechnerische Verarbeitung.

Unsere Instruction-Glitching-Technik übertrifft diese traditionelle Methode für das Reverse Engineering unbekannter Chiffren. Angreifer können systematisch auf den letzten Befehl, dann auf den vorletzten usw. abzielen und sich Schritt für Schritt rückwärts durch die Rundenfunktion arbeiten. Dieser geordnete Ansatz liefert eine strukturierte Leckage, die die Strukturanalyse vereinfacht, und benötigt dabei etwa die gleiche Anzahl von Chiffretextmustern wie die Datenfehlermethode von Biham und Shamir.

Um die praktische Anwendbarkeit zu demonstrieren, analysieren wir die geheime Blockchiffre Red Pike als praktische Fallstudie. Red Pike wurde vom britischen GCHQ für die Verschlüsselung von Regierungsdaten mit der Einstufung "Restricted" entwickelt. Das britische Gesundheitsministerium plante, Red Pike für die Verschlüsselung vertraulicher Patientenakten in nationalen Gesundheitssystemen einzusetzen.

Die British Medical Association sprach sich gegen diese Bereitstellung aus und argumentierte, dass die medizinische Verschlüsselung offene, von Experten begutachtete Algorithmen verwenden sollte, die öffentlichen kryptoanalytischen Angriffen mindestens zwei Jahre lang standgehalten haben. Die bevorzugten Kandidaten waren 3DES, Blowfish, SAFER K-128 und WAKE, die alle umfangreiche Sicherheitsüberprüfungen durchlaufen hatten.

Um der BMA die kryptographische Robustheit von Red Pike zu demonstrieren, beauftragte die britische Regierung eine unabhängige Sicherheitsüberprüfung durch vier akademische Kryptographen [18]. Der veröffentlichte Übersichtsartikel enthält begrenzte beschreibende Hinweise auf die innere Struktur des Algorithmus, ohne den vollständigen Quellcode oder die Spezifikation offenzulegen.

In dem offiziellen Bericht heißt es, dass Red Pike dieselben grundlegenden primitiven Operationen wie der Blockchiffre RC5 verwendet (S. 4). Seine Rundenfunktion ist auf drei einfache arithmetische Operationen beschränkt: Ganzzahl-Addition, bitweises exklusives ODER und zirkuläre Linksverschiebung. Der Algorithmus enthält keine statischen Substitutionstabellen, hat eine minimale Schlüsselexpansion und kann in nur fünf Zeilen Hochsprachencode implementiert werden (S. 4).

Zusätzliche veröffentlichte Hinweise zeigen, dass sich der kryptographische Einfluss jedes Schlüsselbits während der Verschlüsselung schnell über den Datenzustand ausbreitet (S. 10). Die vollständige Red-Pike-Verschlüsselungsoperation erfordert etwa hundert atomare arithmetische Befehle (S. 19). Diese Hinweise ermöglichen es uns, die Komplexität des Glitching-Angriffs durch direkten Vergleich mit dem gut dokumentierten RC5-Algorithmus [19] abzuschätzen.

Das Deaktivieren der finalen RC5-Schlüsseladditionsoperation durch Glitching-Verzerrung erzeugt ein charakteristisches Ausgabemuster. Die rechte Datenhälfte wird zu (B XOR A) shl A transformiert, wobei A und B die linke bzw. rechte Hälfte des Feistel-Zustands darstellen. Diese eindeutige Ausgabesignatur zeigt sofort, dass die Chiffre eine ausgewogene Feistel-Struktur ohne finale Permutationsschicht verwendet.

Das Deaktivieren des nachfolgenden Rotationsbefehls enthüllt die 32-Bit-Verschiebungsbreite und verbirgt die datenabhängigen Verschiebeparameter. Die Verzerrung der nächsten XOR-Operation ergibt transparente Ausgangsänderungen, die die bitweise Mischfunktion bestätigen. Das Deaktivieren der Schlüsseladdition der vorletzten Runde legt die mathematische Struktur des berühmten datenabhängigen Verschiebemechanismus in RC5 vollständig offen.

Nach Beobachtung dieser mustergeprägten Ausgaben kann der Angreifer die grundlegende Struktur der Rundenfunktion des Algorithmus genau ableiten:

A = ((A XOR B) shl B) op key

B = ((B XOR A) shl A) op key

Das vollständige Reverse Engineering der komplexen RC5-Schlüsselexpansion erfordert eine separate schrittweise Befehlsverfolgung mit zusätzlichem Glitching. Wenn der Angreifer jedoch korrekt annimmt, dass die unbekannte Operation "op" eine Ganzzahl-Addition ist, können alle Bits der Rundenrundenschlüssel direkt durch Rückwärtsgehen durch die verkürzten Verschlüsselungsrunden wiederhergestellt werden.

Diese Analyse führt zu einer kritischen Sicherheitserkenntnis: Abgesehen von der komplexen Schlüsselexpansion ist RC5 einer der schlechtesten Algorithmuskandidaten für eingebettete Anwendungen mit geheimer Hardware. Geräte, die RC5 implementieren, sind sehr anfällig für kostengünstige Instruction-Glitching-Angriffe von Gegnern der Klasse I. Wenn Red Pike diese einfache Rundenstruktur mit vereinfachter Schlüsselexpansion teilt, wäre es noch anfälliger für unsere vorgeschlagenen kostengünstigen Fehlerangriffe.

Es ist wichtig anzumerken, dass die britische Regierung beabsichtigt, Red Pike letztendlich als Open-Source-Software zu veröffentlichen, daher ist diese Analyse keine direkte Kritik am grundlegenden kryptographischen Design des Algorithmus. Sie unterstreicht lediglich die spezifischen Schwachstellen, die bei geschlossenen Hardware-Implementierungen einfacher, leichtgewichtiger Blockchiffren auftreten.

Unsere Ergebnisse geben klare Empfehlungen für Entwickler sicherer Hardware. Proprietäre, geheime Algorithmen, die in manipulationssicheren Chips implementiert sind, sollten eine erhöhte strukturelle Komplexität aufweisen, um die Angriffskosten zu erhöhen. Große benutzerdefinierte S-Box-Tabellen, die in einem dedizierten EEPROM (physisch getrennt vom Programmspeicher) gespeichert sind, sind eine wirksame Gegenmaßnahme, die die für erfolgreiche Glitching-Angriffe erforderliche Hardware-Komplexität erhöht.

Weitere sinnvolle Schutzmaßnahmen umfassen eine Erkennungslogik für Befehlsausführungsfehler, mehrfache Verschlüsselung mit Schwellenwert-Überprüfung durch Abstimmung und eine komplexe Schlüsselexpansion, die sicherstellt, dass die Leckage von Teilrundenschlüsseln nicht zur Wiederherstellung des vollständigen Hauptgeheimschlüssels ausgenutzt werden kann.

3 Chip-Überschreibungsangriffe

Wenn ein Angreifer über die vollständige Dokumentation der Firmware und des Hardware-Layouts des Zielgeräts verfügt, gibt es mehrere kostengünstige Methoden, um geheime kryptographische Schlüssel durch Beeinflussung bestimmter Hardware-Komponenten zu extrahieren. Diese Methoden umfassen das Manipulieren eingebauter Schmelzsicherungsbits, das Verändern von Zuständen einzelner Logikgatter und das Überschreiben kritischer Daten, die in nichtflüchtigen Speicherbereichen gespeichert sind. Frühere Forschungen von Bovenlander dokumentierten einen klassischen Angriff auf Smartcards mit zwei präzisen Mikronadeln, um eine permanent durchgebrannte Sicherheits-Sicherung auf dem Chip kurzzuschließen [12].

Diese Sicherung wird während des abschließenden Testzyklus im Werk absichtlich durchgebrannt, um die Debug-Schnittstellen und den Rücklesezugriff auf den Chip-Speicher dauerhaft zu deaktivieren. Durch das elektrische Kurzschließen der Sicherung mit Mikronadeln reaktiviert der Angreifer die gesperrten werkseitigen Testfunktionen. Diese wiederhergestellten Testfunktionen ermöglichen das vollständige Auslesen des geschützten Programm- und Datenspeicherinhalts des Chips ohne jegliche kryptographische Einschränkungen.

Selbst wenn das Kurzschließen der Sicherung durch zusätzliche Hardwaresperren blockiert wird, können einzelne Speicherzellen weiterhin mit kostengünstigen physikalischen Methoden beeinflusst und modifiziert werden. Alle Angriffe in dieser Kategorie können mit einem bescheidenen Budget durchgeführt werden, das einzelnen Angreifern der Klasse I zur Verfügung steht, ohne dass Halbleiter-Produktionsanlagen im Millionen-Dollar-Bereich erforderlich sind.

3.1 ROM-Überschreibungsangriffe

Der unveränderliche Masken-ROM-Speicher, der üblicherweise für Betriebssysteme und kryptographische Bibliotheken von Smartcards verwendet wird, ist nicht vollständig immun gegen physikalische Modifikation. Einzelne, einzelne Bits in ROM-Zellen können selektiv mit einem standardmäßigen Lasermikroskop für das Schneiden umgeschaltet werden, einem Gerät, das in universitären Laboren weit verbreitet ist.

Für gut dokumentierte Algorithmen wie die Standard-DES-Implementierung können Angreifer bestimmte kritische Bits im ROM-Code identifizieren. Das Umschalten dieser sorgfältig ausgewählten einzelnen Bits ermöglicht eine triviale Extraktion des geheimen Schlüssels mit minimaler nachfolgender Berechnung. Die genauen Bitpositionen variieren je nach Implementierung verschiedener Hersteller, aber universelle anfällige Bitmuster existieren in den meisten massenproduzierten DES-ROM-Codes.

Ein häufiges Exploit-Beispiel ist die Änderung eines bedingten Sprungbefehls in einen unbedingten Sprungbefehl. Diese einfache Bitänderung umgeht die Rundeniterationslogik und zwingt DES dazu, die Verschlüsselung nach nur einer oder zwei Runden zu beenden, wodurch der Schlüssel während der Ausführung direkt im Speicher sichtbar wird. Angreifer können auch schrittweise die Schlüsselmisch-XOR-Befehle deaktivieren, indem sie einzelne Bits des Opcodes im ROM-Programm umschalten.

Wenn der Angreifer nur unvollständige Dokumentation der Zielfirmware hat, bieten ROM-Überschreibungsangriffe immer noch leistungsstarke Exploit-Pfade. Die festen DES-S-Box-Tabellen, die im ROM gespeichert sind, können leicht anhand ihrer bekannten statistischen Bitverteilungsmuster identifiziert werden. Die selektive Überschreibung weniger S-Box-Bits verwandelt die nichtlineare DES-Substitutionsfunktion in eine einfache lineare Transformation über GF(2).

Sobald die Verschlüsselungsfunktion durch ROM-Modifikation linearisiert wurde, kann der vollständige 56-Bit-DES-Hauptschlüssel mit nur einem einzigen bekannten Klartext-Chiffretext-Paar mathematisch extrahiert werden. Dies macht mehrere Fehlermuster oder komplexe Kryptoanalyse-Algorithmen überflüssig.

3.2 EEPROM-Modifikationsangriffe

Viele moderne Smartcards speichern Anwendungs-Firmware und kryptographische Algorithmen in wiederbeschreibbarem EEPROM anstelle von festem Masken-ROM. Dieses flexible Speicherschema ermöglicht Firmware-Updates im Feld, bringt jedoch zusätzliche physikalische Angriffsflächen mit sich. Angreifer können zwei dünn geschärfte Mikronadeln verwenden, um jedes einzelne Bit im EEPROM-Array zwangsweise zu setzen oder zurückzusetzen [17].

Diese Mikronadel-Bitmanipulation kann alle zuvor beschriebenen ROM-Überschreibungsangriffe auf Geräten mit wiederbeschreibbarem Speicher nachbilden. Der einzigartige Vorteil des Zielens auf EEPROM ist die bidirektionale Bitsteuerung: Angreifer können sowohl Bits von 0 auf 1 setzen als auch Bits von 1 auf 0 zurücksetzen, was viel flexiblere Exploit-Strategien ermöglicht als die unidirektionale ROM-Bitumstellung.

Die praktische Exploitation nutzt die ungerade Paritätsregel, die von allen offiziellen DES-Implementierungen angewendet wird. Jedes 8-Bit-Byte des DES-Schlüssels erfordert eine ungerade Parität als Integritätsprüfmechanismus. Entsprechende Sicherheitsgeräte lehnen jeden geladenen Schlüssel ab, der Bytes mit gerader Parität enthält, und geben eine explizite Paritätsfehlermeldung an die Host-Schnittstelle zurück.

Banken-Sicherheitsmodule wie die VISA-PIN-Hardware wenden diese Paritätsregel strikt an, um unbefugte Schlüsselmanipulationen zu verhindern. Angenommen, der Angreifer kennt die feste Speicheradresse des Ziel-DES-Schlüssels im EEPROM, kann jedoch den geschützten Speicherbereich nicht mit standardmäßigen Softwarebefehlen direkt lesen. Dieses Szenario ist äußerst verbreitet, da Entwickler von Smartcard-Firmware geheime Schlüssel oft an festen EEPROM-Adressen für einfachen Zugriff während der Laufzeit platzieren.

Der Angreifer kann einen einfachen Bit-Rate-Angriff mit Mikronadeln durchführen. Zuerst setzt der Angreifer das erste Bit des Ziel-Schlüsselbytes mit einer Mikronadel zwangsweise auf den logischen Zustand 1. Dann initiiert der Angreifer eine Verschlüsselungsoperation mit dem modifizierten Schlüssel und beobachtet die Antwort des Geräts.

Wenn die Verschlüsselungsoperation erfolgreich ohne Fehler abgeschlossen wird, war der ursprüngliche native Bitwert bereits 1. Wenn das Gerät eine Paritätsfehlermeldung zurückgibt, war der ursprüngliche native Bitwert 0. Der Angreifer wiederholt diesen Vorgang sequenziell für jedes Bit in allen acht Schlüsselbytes, um den geheimen DES-Hauptschlüssel vollständig wiederherzustellen.

Dieser Angriff funktioniert selbst dann, wenn der Angreifer das proprietäre Schlüsselredundanzprotokoll des Geräts nicht vollständig versteht. Wenn die Bitmodifikation einen unerwarteten Fehlerzustand verursacht, der nichts mit der Parität zu tun hat, setzt der Angreifer das Bit einfach auf den ursprünglichen Zustand zurück und fährt mit der nächsten Position fort. Dieser selbstkorrigierende Prozess stellt sicher, dass während der Schlüsselwiederherstellung keine dauerhafte Beschädigung des Zielgeräts auftritt.

Die für diesen Angriff benötigte Ausrüstung ist weit verbreitet. Mikronadel-Stände sind Standardausrüstung in universitären Elektrotechnik-Fakultäten, während Lasermikroskope zum Schneiden häufig in zellbiologischen Laboren für die Gewebeprobenverarbeitung zu finden sind. Bachelor-Studenten erhalten oft außerhalb der regulären Arbeitszeiten unbeaufsichtigten Zugang zu diesen Geräten für akademische Projekte. Externe Angreifer der Klasse I können überholte Versionen dieser Werkzeuge auf dem Sekundärmarkt zu Gesamtkosten von nicht mehr als einigen tausend US-Dollar erwerben.

3.3 Gatter-Zerstörungsangriffe

Bei einer informellen Sitzung des Fast Software Encryption Workshops 1997 präsentierten Eli Biham und Adi Shamir einen innovativen physikalischen Angriff, der auf hardwareimplementierte Blockchiffren abzielt. Ihre Methode verwendet einen präzisen Laserschneider, um ein einzelnes logisches Gatter in der Hardwareschaltung des kryptographischen Prozessors dauerhaft zu zerstören.

Ihre Demonstration konzentrierte sich auf hardwarebeschleunigte DES-Implementierungen, die einer allgemeinen iterativen Struktur folgen. Die meisten Hardware-DES-Kerne enthalten kombinatorische Logik für eine Verschlüsselungsrunde zusammen mit einem dedizierten Zustandsregister. Dieses Register speichert die Ausgabe der Runde k und speist sie als Eingangsdatenzustand für Runde k+1 zurück, um den iterativen Prozess abzuschließen.

Biham und Shamir bewiesen, dass die Zerstörung des Rückkopplungspfads des niedrigstwertigen Bits (LSB) dieses Zustandsregisters dazu führt, dass das LSB aller Ausgaben der Rundenfunktion dauerhaft auf dem logischen Zustand 0 bleibt. Dieser Ein-Bit-Hardwarefehler erzeugt eine anhaltende Verzerrung in allen nachfolgenden Verschlüsselungsausgaben.

Durch statistischen Vergleich der unteren sechs Bits der linken und rechten Datenhälften in mehreren fehlerhaften Chiffretexten kann der Angreifer mehrere einzelne Bits der geheimen Rundenrundenschlüssel wiederherstellen. Die Sammlung von etwa zehn Chiffretexten von einem physisch beschädigten Chip liefert ausreichende Daten für die differentielle Kryptoanalyse, um den Großteil des Rundenrundenschlüsselmaterials abzuleiten.

Nach der Wiederherstellung des Großteils der Rundenrundenschlüssel können die verbleibenden unbekannten Bits des 56-Bit-Hauptschlüssels durch triviale vollständige Suche auf Verbraucherhardware gefunden werden. Dieser Angriff war die erste bewiesene Methode, um Hardware-Implementierungen von DES zu knacken, wenn der Eingangs-Klartext dem Angreifer völlig unbekannt ist.

Diese Unabhängigkeit vom Klartext macht den Angriff besonders gefährlich für reale Smartcard-Anwendungen. Die meisten Zahlungs-Smartcards verwenden interne Transaktionsstatusdaten als Klartext für die Verschlüsselung, was bedeutet, dass die Eingangswerte während des normalen Betriebs niemals externen Parteien offenbart werden.

Wir schlagen eine einfache, kostengünstige Hardware-Gegenmaßnahme vor, um diesen Gatter-Zerstörungsangriff zu blockieren. Ein Chip, der durch selektive Gatterbeschädigung modifiziert wurde, verliert die mathematische Eigenschaft, dass Verschlüsselung und Entschlüsselung inverse Operationen sind. Entwickler können eine leichtgewichtige Selbstprüfung zur Laufzeit hinzufügen, die diese inverse Beziehung beim Hochfahren des Geräts automatisch überprüft.

Die Selbstprüfung führt eine einfache Verifikationssequenz durch: Sie generiert einen zufälligen Klartextblock, verschlüsselt ihn mit einem temporären Testschlüssel, entschlüsselt den resultierenden Chiffretext und vergleicht die entschlüsselte Ausgabe mit dem ursprünglichen Klartext. Eine Abweichung zeigt einen dauerhaften Hardwareeingriff an, und das Gerät kann alle geheimen Schlüsselmaterialien dauerhaft sperren, um eine weitere Exploitation zu verhindern. Einer unserer Industriekunden hat diesen Selbstprüfmechanismus bereits in einem neuen Sicherheitschip implementiert, der sich in Entwicklung befindet.

4 Angriffe auf Rest-Speicher

In einem grundlegenden Artikel der USENIX-Konferenz [15] dokumentierte Gutman umfassend die physikalischen Mechanismen des Rest-Speichers – ein Phänomen, bei dem sowohl statisches RAM (SRAM) als auch dynamisches RAM (DRAM) zuvor gespeicherte Datenwerte über einen erheblichen Zeitraum nach dem Ausschalten der Stromversorgung beibehalten. Dieser Effekt der längerfristigen Datenspeicherung wirft kritische Sicherheitsfragen für Ingenieure auf, die sichere Schlüsselspeichersysteme entwerfen.

Der verantwortungsbewusste Sicherheitsingenieur muss analysieren, wie sich die Rest-Speicher-Eigenschaften unter realen Bedingungen auf den Schutz kryptographischer Schlüssel auswirken, die in eingebetteter Sicherheitshardware gespeichert sind. Wir haben eine praktische Fallstudie durchgeführt, die auf veraltete Banken-Sicherheitsmodule abzielte, die weltweit in Geldautomaten-Netzen eingesetzt werden, um dieses Risiko in aktiven Finanzsystemen zu quantifizieren.

Die meisten internationalen Banken übernehmen ein standardisiertes PIN-Verwaltungssystem, das ursprünglich von IBM entwickelt und später von VISA für die Sicherheit von Geldautomaten-Transaktionen verfeinert wurde [4]. Dieses System regelt, wie persönliche Identifikationsnummern (PINs) von Kunden in speziellen Hardware-Sicherheitsmodulen (HSM) generiert, gespeichert und überprüft werden.

Der Benutzer-PIN wird mathematisch aus der Hauptkontonummer unter Verwendung eines standardisierten kryptographischen Prozesses abgeleitet. Zunächst wird die Kontonummer mit einem dedizierten 64-Bit-DES-PIN-Schlüssel verschlüsselt. Die binäre Chiffretextausgabe wird dann in eine Ziffernfolge dezimalisiert. Zu diesem Zwischenergebnis wird ein fester Dezimalversatz ohne Übertrag addiert, um den endgültigen Benutzer-PIN zu erzeugen. Der Versatzparameter ermöglicht es Banken, Kunden zu erlauben, ihre eigenen einprägsamen PIN-Werte zu wählen, ohne die zugrundeliegende kryptographische Ableitungslogik zu ändern.

Das offizielle standardisierte Berechnungsbeispiel aus der VISA-Sicherheitsspezifikation [4] lautet wie folgt:

Kontonummer: 8807012345691715

PIN-Schlüssel: FEFEFEFEFEFEFEFE

DES-Ergebnis: A2CE126C69AEC82D

Dezimalisierungsergebnis: 0224126269042823

Natürlicher PIN: 0224

Versatz: 6565

Benutzer-PIN: 6789

Das Bank-HSM führt alle PIN-Ableitungs-, Verifikations- und Schlüsselverwaltungsoperationen in physisch manipulationssicherer, vertrauenswürdiger Hardware durch. Diese Hardware-Isolation gewährleistet eine Zwei-Personen-Kontrollrichtlinie, die vorschreibt, dass kein Bankmitarbeiter zu irgendeinem Zeitpunkt der Transaktionsverarbeitung vollen Zugriff auf den Klartext-PIN eines Kunden erhalten kann [20].

Um diese Richtlinie durchzusetzen, schränkt das HSM die Befehlsautorisierung basierend auf Schlüsselbesitzklassen ein. Beispielsweise führt das Gerät den PIN-Verifikationsbefehl nur aus, wenn der bereitgestellte PIN-Wert mit einem eindeutigen Schlüssel verschlüsselt ist, der ausschließlich dem anfragenden Geldautomaten-Terminal oder der Bankfiliale zugewiesen ist. Diese Zugriffskontrolle verhindert, dass das HSM als kryptographisches Orakel für vollständige PIN-Rate-Angriffe auf Kunden-PINs missbraucht wird.

Alle internen Schlüssel im HSM werden nach separaten Funktionsgruppen klassifiziert. Jeder Arbeitsschlüssel wird mit 3DES unter Verwendung eines von zwölf Paaren von DES-Hauptschlüsseln verschlüsselt, die im SRAM-Bereich mit niedrigen Adressen im HSM gespeichert sind. Kommunikationsschlüssel mit Geldautomaten werden unter den Hauptpaaren 14 und 15 verschlüsselt, während zwischenbankliche Abrechnungsschlüssel die Paare 6 und 7 zur Isolation verwenden.

Die verschlüsselten Werte langfristiger Schlüssel wie des kritischen PIN-Ableitungsschlüssels sind direkt in den Binärcode der HSM-Anwendungs-Firmware eingebettet. Diese verschlüsselten Schlüsselblöcke sind für alle Bankprogrammierer, die Zugriff auf den Firmware-Quellcode haben, vollständig sichtbar, was bedeutet, dass die einzige Schicht, die die zugrundeliegenden Klartext-Hauptschlüssel schützt, die physische Manipulationssicherheit des HSM ist.

Der physische Manipulationsschutz wird durch interne Deckelschalter realisiert. Das Öffnen des Metallgehäuses des HSM aktiviert die Schalter, die sofort die Stromversorgung des SRAM-Schlüsselspeicherbereichs unterbrechen, um alle Klartext-Hauptschlüssel sofort zu löschen. Das Gerät erfordert einen Batteriewechsel alle paar Jahre während der planmäßigen Wartung, und vertrauenswürdiges Bankpersonal lädt die Teile der Hauptschlüssel nach jedem Wartungsvorgang neu.

Wir haben ein veraltetes HSM-Gerät, das Ende der 1980er Jahre hergestellt wurde, für unser Rest-Speicher-Experiment beschafft und getestet. Nach vollständiger Abschaltung des Geräts über einen längeren Zeitraum und anschließender Wiederherstellung der Stromversorgung stellten wir fest, dass die im SRAM gespeicherten Hauptschlüsselwerte fast vollständig intakt geblieben waren.

Nur 5% bis 10% der Schlüsselbits wiesen aufgrund des Rest-Speicher-Zerfalls während der stromlosen Periode zufällige Beschädigungen auf. Es ist uns aufgrund von Vertraulichkeitsvereinbarungen, die vor der Studie unterzeichnet wurden, untersagt, die genauen korrekten Hauptschlüsselwerte, die teilweise gelesenen Restwerte, den Namen der betroffenen Bank und den Gerätehersteller offenzulegen.

Diese moderate Bitfehlerrate aufgrund von Rest-Speicher ist an sich schon alarmierend. Die Kombination dieses Rest-Speicher-Effekts mit der eingebauten ungeraden DES-Paritätsprüfung erzeugt jedoch eine äußerst gefährliche Schwachstelle, die die Komplexität der Schlüsselwiederherstellungsangriffe drastisch reduziert.

Wenn ein wiederhergestellter DES-Doppelschlüssel aufgrund von Rest-SRAM etwa fünf beschädigte Bits enthält, könnte ein naiver Sicherheitsanalytiker annehmen, dass die Komplexität der vollständigen Suche gleich der kombinatorischen Kosten für die Korrektur von 10 fehlerhaften Bits im 112-Bit-Schlüsselraum ist. Dies würde (112 choose 10) DES-Operationen erfordern, was auf den ersten Blick rechenintensiv erscheint.

Jede Schlüsselkandidaten-Rate erfordert zwei Berechnungsschritte: erstens die Entschlüsselung des öffentlich bekannten verschlüsselten PIN-Schlüsselblocks mit dem Kandidaten-Doppel-DES-Schlüssel. Zweitens, für Kandidaten mit zulässiger ungerader Parität, die Verschlüsselung einer Testkontonummer, um zu überprüfen, ob die dezimalisierte Ausgabe mit dem Ziel-PIN übereinstimmt. Die gesamte theoretische Last nähert sich 3 × (112 choose 10) DES-Operationen, was etwa 2^50 Rechenkomplexität entspricht.

Eine direkte hardwarebeschleunigte vollständige Suche nach dem offengelegten PIN-Schlüssel wäre immer noch billiger als die Durchführung dieses komplexen theoretischen Suchablaufs. Die Paritätsredundanz auf Byte-Ebene von DES reduziert jedoch die tatsächliche Angriffskomplexität um mehrere Größenordnungen, indem sie unzulässige Schlüsselkandidaten gezielt verwirft.

Wenn kein Schlüsselbyte zwei gleichzeitige Bitfehler aufweist (das häufigste Szenario), benötigt der Angreifer nur sieben Schätzungen pro beobachtetem Byte mit gerader Parität, um eine zulässige Parität wiederherzustellen. Für einen standardmäßigen 10-Byte-Doppel-DES-Schlüssel sinkt die Gesamtkomplexität auf 3 × 7^10 ≈ 2^30 Operationen, was für moderne Verbraucherrechengeräte trivial ist.

Selbst im schlechtesten Fall, wenn ein Schlüsselbyte zwei Bitfehler enthält, steigt die gesamte Suchkomplexität nur auf etwa 2^38 DES-Operationen. Diese Last ist für einen zielstrebigen Angreifer der Klasse I mit kostengünstigen GPU-Passwortknack-Setups, die auf dem Verbrauchermarkt erhältlich sind, vollständig durchführbar.

Die DES-Paritätsprüfung hat eine gut dokumentierte Geschichte der Schaffung von Sicherheitslücken, anstatt den Schutz zu verbessern. In einem historischen Vorfall wurde der DES-Code mit erzwungener Parität in eine verschlüsselte Telnet-Anwendung integriert. Sitzungsschlüssel, die aus dem Diffie-Hellman-Schlüsselaustausch abgeleitet werden, werden zufällig generiert, sodass nur 1 von 256 generierten Schlüsseln die ungerade DES-Paritätsanforderung erfüllte.

Alle anderen Schlüsselaustauschversuche schlugen beim Laden fehl, und da die Firmware die Rückgabecodes der Funktionen nicht überprüfte, wurde die verschlüsselte Sitzung mit nicht initialisiertem Müllschlüsselmaterial fortgesetzt, was eine katastrophale Sicherheitsbedrohung darstellte [8]. In einem anderen Bankvorfall führte ein Missverständnis dazu, dass mehrere Institute ASCII-Passwörter mit erzwungener ungerader Parität als ihre operativen PIN-Schlüssel verwendeten.

ASCII-Zeichen haben immer eine Null im höchstwertigen Bit, während die DES-Paritätsprüfung nur das niedrigstwertige Bit jedes Bytes überprüft. Diese Diskrepanz reduziert die effektive Entropie von aus Passwörtern abgeleiteten Schlüsseln unter das theoretische Limit von 2^48 und schwächt zusätzlich den Schutz gegen Wörterbuchangriffe [13]. Diese historischen Beispiele beweisen, dass die Schlüsselparitätsredundanz bei schlechter Integration in reale Systeme konsequent unvorhergesehene Angriffsflächen schafft.

5 Protokollfehler

Fehler im Design kryptographischer Protokolle sind ein weitaus häufigerer Angriffsvektor, als die meisten Sicherheitsexperten zugeben [3]. Viele Protokollschwachstellen erfordern keine teure Laborausrüstung für die Ausnutzung, und einige können mit nur einfachen Softwaremodifikationen oder passiver Signalüberwachung ausgenutzt werden.

Ein klassisches Beispiel zielt auf kommerzielle Satelliten-Pay-TV-Decoder ab, die eine Zwei-Chip-Hardware-Architektur verwenden. Ein spezialisierter kryptographischer Coprozessor verarbeitet die rechenintensive Entschlüsselung von ausgestrahlten Videostreams, während der Haupt-Mikrocontroller die gesamte Kommunikation zwischen dem Coprozessor und der Abonnenten-Smartcard, die die Schlüssel enthält, steuert.

Wenn ein Kunde die Zahlung für das Abonnement einstellt, sendet der Betreiber eine gezielte Steuernachricht über die Luft, die dazu bestimmt ist, die Smartcard des Kunden dauerhaft zu deaktivieren und die zukünftige Videoentschlüsselung zu sperren. Der berühmte "Kentucky Fried Chip"-Hack nutzte diese einfache Protokolllogik aus, indem er den Haupt-Mikrocontroller des Geräts durch einen modifizierten Drittanbieter-Block ersetzte.

Der modifizierte Mikrocontroller enthielt eine benutzerdefinierte Firmware, die die Nachricht zur Abonnementkündigung identifiziert und verwirft, bevor sie die Smartcard erreicht. Dieser triviale Hardware-Austausch umgeht das fernsteuerbare Zugangskontrollsystem des Betreibers vollständig, ohne dass dem Angreifer wiederkehrende Kosten entstehen [3].

Ein weiterer gut dokumentierter Protokollfehler-Angriff zielt auf den sicheren eingebetteten Mikrocontroller Dallas Semiconductor DS5002FP ab, wie in unserer früheren Studie [2] detailliert beschrieben. Dieses Gerät verwendet externen verschlüsselten Speicher, um die externe Firmware und Datenspeicherung zu schützen. Ein kritischer Protokollfehler in der Speicherauthentifizierungslogik ermöglicht es Angreifern, die Verschlüsselungsgrenze vollständig zu umgehen und den gesamten Inhalt des externen Speichers im Klartext zu lesen, ohne dass eine physikalische Manipulation des Geräts erforderlich ist.

Die schwerwiegendsten Protokollangriffe erfordern keinerlei spezielle Ausrüstung und stützen sich ausschließlich auf fehlerhafte Transaktionslogik und Zugriffskontrollücken. Wir haben eine solche ausrüstungsfreie Schwachstelle entdeckt, die aus einer Modifikation der benutzerdefinierten Software resultierte, die auf einem Bestand an Hardware-Sicherheitsmodulen einer großen Bank eingesetzt wurde.

Die Bank initiierte ein Upgrade des Kernbankensystems, das eine Änderung des Zahlenformats aller Kundenkontonummern in der Transaktionsdatenbank erforderte. Da der standardmäßige Kunden-PIN kryptographisch direkt aus der Kontonummer abgeleitet wird, hätte diese Formatänderung automatisch den standardmäßigen PIN-Standardwert für jeden Benutzer geändert.

Um Kundenunzufriedenheit und Supportkosten im Zusammenhang mit einem massiven PIN-Reset zu vermeiden, suchte die Bank nach einer Möglichkeit, die bestehenden Kunden-PINs nach der Migration der Kontonummern beizubehalten. Das Sicherheitsteam plante, angepasste Dezimalversatzwerte für jedes Konto zu berechnen, sodass der endgültige Benutzer-PIN vor und nach der Datenbankmigration identisch blieb.

Die werkseitige HSM-Firmware der Bank enthielt standardmäßig keinen Transaktionsbefehl zur Berechnung dieser Migrationsversätze. Dieses beabsichtigte Weglassen war eine Sicherheitsfunktion, die dazu diente, PIN-Ableitungsmanipulationen durch willkürliche Neuzuweisung von Kontonummern zu verhindern.

Die Bank wandte sich an den Gerätehersteller mit der Bitte um einen benutzerdefinierten Firmware-Patch, der die erforderliche Versatzberechnungstransaktion implementierte. Der Hersteller stellte eine modifizierte Binärdatei mit einer klaren schriftlichen Warnung zur Verfügung: Der benutzerdefinierte Befehl war äußerst gefährlich für den allgemeinen Gebrauch und sollte nur einmal während der Batch-Migration ausgeführt und dann dauerhaft aus der HSM-Firmware entfernt werden.

Der Hersteller dokumentierte die spezifischen Sicherheitsrisiken, die der benutzerdefinierte Befehl mit sich brachte, nicht explizit, sodass das Ingenieurteam der Bank über das volle Ausmaß der Schwachstelle im Unklaren blieb. Aufgrund ungeplanter interner Personalrotationen und Verzögerungen im Projektzeitplan wurde die Migration der Kontonummern auf unbestimmte Zeit verschoben.

Infolgedessen blieb der gefährliche benutzerdefinierte Firmware-Patch dauerhaft auf allen produktiven HSM-Blöcken der Bank installiert, ohne dass ein geplantes Löschdatum festgelegt war. Dies hinterließ eine kritische Protokoll-Backdoor, die für jeden Insider mit grundlegenden Zugriffsrechten auf HSM-Befehle offen war.

Etwa zwölf Monate nach der Bereitstellung des Patches entdeckte ein Programmierer auf niedriger Ebene in der Bank die kritische Schwachstelle in der Syntax der benutzerdefinierten Transaktion. Der undokumentierte Befehl hatte die folgende funktionale Struktur: Für eine gegebene Quellkontonummer X und einen vorhandenen Versatz Y berechne den neuen Versatz Z, der den ursprünglichen PIN-Wert für die Zielkontonummer beibehält.

Ein böswilliger Programmierer konnte die Kontonummer eines beliebigen Kunden und dessen aktuellen Klartext-Versatz (die meisten standardmäßig null) als Parameter X und Y eingeben. Dann gab er seine eigene Kontonummer als Zielwert Z ein. Das HSM gab den erforderlichen Versatz zurück, um den PIN des Ziels sofort auf sein Konto zu kopieren.

Durch diese einfache Protokollausnutzung konnte der Insider trivial den Klartext-PIN eines beliebigen Kundenkontos in der Bankdatenbank berechnen und extrahieren, ohne dass Hardware-Manipulation, kryptographisches Knacken oder erhöhte Systemprivilegien erforderlich waren.

Zum Glück für die Bank und ihre Kunden meldete der ethische Programmierer die Protokollschwachstelle verantwortungsvoll der Informationssicherheitsabteilung der Bank, anstatt sie für finanziellen Gewinn oder Datendiebstahl zu nutzen. Dieser Vorfall dient als machtvolles Beispiel für die Gefahren undokumentierter Firmware-Modifikationen in vertrauenswürdiger Sicherheitshardware.

6 Schlussfolgerungen

In diesem Artikel haben wir den Stand der Technik der differentiellen Fehleranalyse für eingebettete Sicherheitsgeräte erheblich vorangebracht. Unser befehlsorientiertes Fehlermodell reduziert die Anzahl der fehlerhaften Chiffretexte, die für die vollständige Wiederherstellung des DES-Schlüssels erforderlich sind, von traditionell 200 Mustern auf nur ein bis zehn, was die Hürde für budgetbeschränkte Angreifer drastisch senkt.

Wir haben gezeigt, dass CRT-basierte RSA-Implementierungen mit nur einer einzigen fehlerhaften Signatur, die durch Glitching-Angriffe in Echtzeit erzeugt wurde, vollständig geknackt werden können, was eine unsichtbare Modulfaktorisierung vor Ort während gewöhnlicher Einzelhandelstransaktionen ermöglicht. Dies stellt unmittelbare Bedrohungen für die globale Sicherheit von EMV-Zahlungskarten dar.

Unsere Technik ermöglicht auch ein effizientes Reverse Engineering von völlig unbekannten proprietären Blockchiffren. Für kompakte Software-Algorithmen wie RC5 übertrifft unsere Instruction-Glitching-Methode die klassische datenbasierte Fehleranalyse von Biham und Shamir sowohl in der Geschwindigkeit als auch in der Implementierungseinfachheit.

Im Gegensatz zu vielen früheren akademischen Studien zu Fehlerangriffen, die sich auf idealisierte theoretische Fehlermodelle stützen, verwenden alle in dieser Arbeit vorgestellten Methoden physikalisch realistische, experimentell bestätigte Fehlermechanismen. Jeder beschriebene Angriff wurde erfolgreich unter Laborbedingungen implementiert und ist direkt auf kommerziell eingesetzte manipulationssichere Geräte im Feld anwendbar.

Der grundlegende konzeptionelle Durchbruch unserer Forschung ist die Verlagerung der Fehlereinbringung von der Verzerrung von Laufzeit-Datenbits auf die Verzerrung des CPU-Befehlsausführungsflusses. Dieser einfache Paradigmenwechsel erzeugt eine zuverlässigere Leckage, eine breitere Angriffsabdeckung und niedrigere Implementierungskosten für alle eingebetteten Fehlerangriffe.

Wir haben auch bestätigt, dass gewöhnliche kostengünstige Laborausrüstung, die Universitätsstudenten und einzelnen Bastlern zur Verfügung steht, für physikalische Angriffe auf die Chipoberfläche genutzt werden kann. Mikronadeln und Laserschneider, die für nur wenige tausend Dollar erhältlich sind, ermöglichen die Schlüsselextraktion aus Geräten, die als kryptographisch sicher und physisch manipulationssicher beworben werden.

Unsere Forschung bestätigt, dass kryptographische Schlüsselredundanzmechanismen wie die obligatorische ungerade Paritätsregel für DES-Schlüssel die Auswirkungen physikalischer Speicherschwachstellen drastisch verstärken. Dies untermauert eine wichtige Erkenntnis aus früheren Untersuchungen zur eingebetteten Sicherheit [9]: Das Design von Schlüsselredundanz erfordert eine viel sorgfältigere Sicherheitsanalyse, als sie von Algorithmusentwicklern historisch erhalten hat.

Ein eindrucksvolles reales Beispiel ist die gefährliche Wechselwirkung zwischen den DES-Byte-Paritätsregeln und den Rest-SRAM-Effekten in veralteten Bank-HSMs. Diese Kombination ermöglicht es wenig qualifizierten Angreifern, vollständige Hauptschlüsselsätze aus außer Betrieb genommenen oder entsorgten Sicherheitsmodulen mit minimalem Rechenaufwand wiederherzustellen.

Basierend auf dieser Erkenntnis empfehlen wir eine strenge Betriebsrichtlinie: Alle ausgemusterten manipulationssicheren Sicherheitsmodule, die dauerhafte Schlüsselspeicher enthalten, müssen einer vollständigen physikalischen Zerstörung unterzogen werden, einschließlich des Zerkleinerns der SRAM-Chips, um Schlüsselwiederherstellungsangriffe nach der Außerbetriebnahme zu verhindern.

Schließlich klassifiziert unsere Arbeit Angriffe in zwei sich ergänzende Klassen: physikalische Hardware-Exploits und rein protokollbasierte Schwachstellen. Viele kritische Sicherheitsverletzungen umgehen komplexe physische Manipulationsschutzmechanismen, indem sie subtile Fehler in der Logik von Kommunikations- und Transaktionsprotokollen ausnutzen.

Insgesamt beweisen alle experimentellen Ergebnisse und Fallstudien in diesem Artikel zwei grundlegende Wahrheiten für die Gemeinschaft der eingebetteten Sicherheit. Erstens ist die Entwicklung wirklich robuster manipulationssicherer Hardwaregeräte exponentiell komplexer, als das allgemeine Verständnis der Branche vermuten lässt. Zweitens stellt die Programmierung sicherer Firmware und die korrekte Bereitstellung dieser Geräte in komplexen verteilten Systemen eine gleichermaßen anspruchsvolle technische Herausforderung dar.