Reverse Engineering von MCU

Zusammenfassung

Eingebettete Mikrocontroller sind zum grundlegenden Rechenkern moderner elektronischer Systeme geworden und decken Unterhaltungselektronik, industrielle Steuerung, Finanzzahlungen, militärische Ausrüstung und medizinische Instrumente ab. Das in der Mikrocontroller-Firmware eingebettete geistige Eigentum (IP), einschließlich proprietärer Steueralgorithmen, Geschäftslogik und verschlüsselter Datenverarbeitungsroutinen, stellt das zentrale kommerzielle und technische Vermögen der Geräteentwickler dar. Dieses Papier führt eine umfassende Sicherheitsbewertung der in modernen Mainstream-Mikrocontrollern eingesetzten Kopierschutzmechanismen durch. Es zeigt systematisch, dass handelsübliche Allzweck-Mikrocontroller über grundlegende Hardware- und Firmware-Sicherheitsvorkehrungen gegen unbefugtes Firmware-Auslesen, Code-Klonen und IP-Manipulationen verfügen. Die Studie erstellt eine hierarchische, bedrohungsbasierte Taxonomie von Mikrocontroller-Angriffsmethoden, die nicht-invasive, kostengünstig invasive und hochwertige Reverse-Engineering-Exploits abdeckt. Darüber hinaus fasst dieses Papier praktische, kosteneffiziente Abwehrtechnologien zusammen, die sowohl für Allzweck- als auch für Sicherheits-Mikrocontroller geeignet sind, und bietet umsetzbare Richtlinien für Embedded-Entwickler zur Verbesserung des Firmware-Kopierschutzes. Diese erweiterte Version ergänzt die zugrundeliegenden physikalischen Halbleiterprinzipien, detaillierte Ableitungen der Angriffsmechanismen und industrielle Anwendungsfälle, um die Tiefe und Praktikabilität der ursprünglichen Forschung zu bereichern.

1. Einleitung

Eingebettete Mikrocontroller sind in heutigen elektronischen Ökosystemen allgegenwärtig und dienen als Gehirn unzähliger intelligenter Geräte in verschiedenen Anwendungsebenen. Bastler nutzen kostengünstige Einstiegs-Mikrocontroller für den Bau von DIY-Interaktionsgeräten, Robotikprototypen und kleinen Sensorknoten für Bildungs- und Freizeitzwecke. Kleine und mittlere Unternehmen setzen Mittelklasse-Mikrocontroller in industriellen Messinstrumenten, automatisierten Steuermodulen, Umweltüberwachungsterminals und Unterhaltungselektronik ein, um kundenspezifische Geschäftslogik zu implementieren. Hochzuverlässige Szenarien wie militärische Avionik, staatliche Sicherheitsterminals, Bankzahlungsterminals und klinische medizinische Diagnosegeräte sind auf dedizierte sicherheitsverstärkte Mikrocontroller und Smartcard-Verarbeitungskerne angewiesen, um klassifizierte und datenschutzsensible Daten zu verarbeiten.

Jeder Mikrocontroller führt eine feste Befehlssequenz aus, die in seinem nichtflüchtigen Programmspeicher gespeichert ist und als vom Entwickler entwickelter Firmware-Algorithmus definiert wird. Die meiste eingebettete Firmware wird letztendlich in native Assemblerbefehle übersetzt, selbst wenn der Quellcode während der Entwicklung in C, C++ oder Rust geschrieben wurde. Dieser Kompilierungsprozess übersetzt menschenlesbare Logik in maschinenausführbare Opcodes, die auf die spezifische Befehlssatzarchitektur (ISA) des Mikrocontrollers zugeschnitten sind. Eine kleine Anzahl von Nischen-Low-End-Plattformen verwendet interpretierte BASIC- oder Java-Virtual-Machine-Ausführungsmodelle, doch diese Architekturen haben aufgrund von Leistungs- und Speicher-Overhead-Einschränkungen nur eine geringe Verbreitung in industriellen und sicherheitskritischen Anwendungen.

Für Firmware-Entwickler und Originalgerätehersteller (OEMs) ist der Schutz des geistigen Eigentums eine zentrale betriebliche Anforderung. Entwickler möchten verhindern, dass unbefugte Dritte ihre proprietäre Firmware lesen, kopieren, reverse-engineeren und weiterverbreiten, um die Produktionsstückzahl von Endgeräten zu kontrollieren, Markenpiraterie zu vermeiden und technische Wettbewerbsvorteile zu wahren. Um dieser Anforderung gerecht zu werden, integrieren Halbleiterhersteller dedizierte Hardwaresperrmechanismen und firmwarebasierte Kopierschutzfunktionen in ihre Mikrocontroller-Produkte.

Wenn diese Schutzfunktionen während der Geräteprogrammierung aktiviert werden, schränken sie externe Programmier- und Debug-Schnittstellen ein, die das vollständige Programm- und Benutzerdaten-Dumping aus dem Chip verhindern. Diese Anti-Cloning-Funktion wird in der eingebetteten Halbleiterindustrie allgemein als Kopierschutz oder Code-Sperre bezeichnet. Vor der Auslieferung in Endprodukten müssen alle Mikrocontroller einen einmaligen oder wiederholten Programmiervorgang durchlaufen, um kompilierte Firmware-Binärdateien in ihre nichtflüchtigen Speicherarrays zu schreiben.

Der Programmier-Workflow, die Hardware-Anforderungen und die Konfigurationsmethoden für den Schutz variieren erheblich zwischen Herstellern, Produktfamilien und Speichertypen. Für Forschungs-, Test- und Prototypenvalidierungszwecke stellen Hersteller vollständig reprogrammierbare Mikrocontroller-Varianten zur Verfügung, die wiederholtes Löschen und Schreiben der Firmware unterstützen. Für die kommerzielle Kleinserienproduktion sind einmal programmierbare (OTP) Mikrocontroller die bevorzugte Option, da sie Löschrisiken überflüssig machen und niedrigere Stück- und Programmierkosten als reprogrammierbare Pendants aufweisen.

Für die Großserienfertigung von mehreren tausend Stück bieten werkseitig maskenprogrammierte Nur-Lese-Speicher (Mask ROM) Mikrocontroller die niedrigsten Stückkosten. Diese Lösung erfordert jedoch eine Mindestbestellmenge von 1.000 Stück und eine feste Firmware-Solidierung während der Wafer-Fertigung, was nach der Produktion keine Programmänderungen oder Fehlerbehebungen zulässt. Nach Abschluss der Firmware-Entwicklung, Kompilierung und Funktionsüberprüfung muss das Binärabbild über spezielle Programmierhardware auf den Ziel-Mikrocontroller übertragen werden.

Diese Programmierhardware, bekannt als Geräteprogrammierer oder Programmiereinheit, unterscheidet sich stark in Komplexität und Kosten. Die meisten Einstiegs-Allzweck-Mikrocontroller unterstützen einfache kostengünstige Programmiergeräte, die aus einem Gleichstromnetzteil, diskreten Transistoren, Strombegrenzungswiderständen und einem standardmäßigen RS232-Seriell- oder Paralleldruckanschluss bestehen. Diese DIY-Programmierer sind aufgrund ihres einfachen Schaltungsdesigns und der Open-Source-Firmware für Bastler und kleine Entwickler leicht zugänglich.

Im Gegensatz dazu schreiben einige wenige Hochsicherheits-Mikrocontroller-Familien die Verwendung herstellerexklusiver verschlüsselter Programmiergeräte mit geschlossenen Kommunikationsprotokollen vor. Diese proprietären Programmierer verfügen über Identitätsauthentifizierungsmechanismen und können nicht von Drittanbietern nachgebaut werden, was solche Mikrocontroller aufgrund von Beschaffungshürden und hohen Kosten in der offenen Embedded-Community unbeliebt macht.

Für den langfristigen stabilen Betrieb, insbesondere bei OTP-Mikrocontrollern, die nach dem Schreiben nicht neu programmiert werden können, werden industrietaugliche zertifizierte Programmiergeräte dringend empfohlen. Diese Geräte bieten präzise Spannungsregelung, Schutz gegen elektrostatische Entladung (ESD), standardisierte Zeitsteuerung und nachvollziehbare Programmierprotokolle, die vollständig den offiziellen Spezifikationen der meisten Halbleiteranbieter entsprechen. Ingenieure können vollständige Parameterhandbücher, Verdrahtungspläne und Kompatibilitätslisten zertifizierter Programmiergeräte von den offiziellen Websites der Mikrocontroller-Hersteller beziehen.

Trotz des weit verbreiteten Einsatzes integrierter Kopierschutzmechanismen weisen die meisten handelsüblichen Mikrocontroller inhärente Sicherheitsschwächen in ihren Sperrmechanismen auf. Viele Schutzschaltungen sind mit vereinfachter Logik ausgelegt, um Chipfläche und Produktionskosten zu reduzieren, was sie anfällig für physikalische Störungen, Software-Exploits und kostengünstige invasive Manipulationen macht. Dieses Papier klassifiziert zunächst Mikrocontroller nach Sicherheitsstufe und Speichertyp, analysiert dann systematisch gängige Angriffsvektoren und schlägt schließlich hierarchische Verteidigungsstrategien vor, die den verschiedenen Anwendungskostenbudgets entsprechen.

2. Klassifikation und Kernmerkmale moderner Mikrocontroller

Um die Kopierschutzleistung und Verwundbarkeitsgrade genau zu bewerten, können alle eingebetteten Mikrocontroller basierend auf der Hardware-Sicherheitsarchitektur in zwei verschiedene Kategorien eingeteilt werden: Allzweck-Mikrocontroller und dedizierte Sicherheits-Mikrocontroller. Diese Klassifikation ist grundlegend für die anschließende Angriffsanalyse und Verteidigungsauslegung, da die beiden Kategorien völlig unterschiedliche Sicherheitsgrenzendesigns und Bedrohungsresistenzfähigkeiten aufweisen.

Sicherheits-Mikrocontroller sind speziell für hochriskante Anwendungsszenarien entwickelt, darunter militärische Steuerungssysteme, Finanztransaktionsterminals, klinische medizinische Geräte und kontaktlose Smartcard-Brieftaschen. Sie sind die zentralen Verarbeitungseinheiten vertrauenswürdiger Ausführungsumgebungen (TEEs) in sicherheitskritischen Geräten. Im Gegensatz zu gewöhnlichen Chips unterstützen sie mehrere isolierte Betriebsprivilegierungsstufen und hierarchische Speicherzugriffsberechtigungen, um domänenübergreifende Datenlecks zu verhindern.

Ein wesentliches Merkmal von Sicherheits-Mikrocontrollern ist die Ende-zu-Ende-Verschlüsselung, die den gesamten Chip abdeckt. Dazu gehören nicht nur verschlüsselte externe Kommunikationsschnittstellen, um das Abhören von Off-Chip-Datenübertragungen zu verhindern, sondern auch eine On-Chip-Busverschlüsselung, die alle Adress- und Datensignale zwischen CPU-Kern, Speicher und Peripheriemodulen verschlüsselt. Zusätzliche Hardware-Mechanismen wie Signal-Masking, Taktjitter-Verschleierung und On-Chip-Sensoren gegen Manipulationen werden integriert, um Seitenkanalanalysen entgegenzuwirken.

Effektive Angriffe auf Sicherheits-Mikrocontroller erfordern hochpräzise Halbleitertestgeräte, professionelle Kryptoanalyse-Kenntnisse und fortgeschrittene Chip-Reverse-Engineering-Fähigkeiten. Die Angriffskosten und die technische Hürde sind extrem hoch, daher ist die Sicherheitsleistung dieser Chips nicht der Schwerpunkt dieses Papiers und wird in separaten Folgestudien behandelt.

Allzweck-Mikrocontroller dominieren den Mainstream-Embedded-Markt und decken Unterhaltungselektronik, industrielle Automatisierung und Automobil-Niedrigleistungs-Hilfsmodule ab. Fast alle Allzweck-Mikrocontroller integrieren grundlegende integrierte Kopierschutzsperren, um das externe Firmware-Dumping nach der Programmierung zu unterbinden. Embedded-Entwickler müssen jedoch erkennen, dass die meisten dieser nativen Schutzmechanismen strukturell schwach sind und mit kostengünstigen Angriffsmethoden umgangen werden können.

Die sinnvollste sekundäre Klassifizierung von Allzweck-Mikrocontrollern basiert auf dem physikalischen Typ ihres Programmspeichers, da das Speicherprinzip direkt die Robustheit des Kopierschutzes und die Angriffsschwierigkeit bestimmt. Verschiedene Speichertechnologien weisen unterschiedliche Ladungserhaltungseigenschaften, Zugriffszeitparameter und Löschmechanismen auf, die die Ursache für differenzierte Verwundbarkeitsleistungen darstellen. Die folgende Tabelle fasst die technischen Kernparameter, Programmiereigenschaften und Kostenattribute von sieben gängigen Programmspeichertypen für eingebettete Mikrocontroller zusammen.

Basierend auf der obigen Speicherklassifizierung können die Angriffsschwierigkeit und die Schutzwirksamkeit jedes Mikrocontroller-Typs quantitativ analysiert werden. Masken-ROM-Mikrocontroller integrieren die Firmware während der Wafer-Fertigung mit hardwareseitiger Zugriffssperre durch den Anbieter. Einige Masken-ROM-Chips behalten jedoch versteckte werkseitige Testmonitorprogramme für die Speicherüberprüfung nach der Produktion bei, die als Hintertüren zur Umgehung von Zugriffsbeschränkungen ausgenutzt werden können. Die zuverlässigste Firmware-Extraktionsmethode für Masken-ROM ist die Chip-Dekapsulation und optische Speicherauslesung.

Um die optische Leseresistenz zu verbessern, stellen einige Hersteller ROM-Zellen mit Transistoren mit differenzierten Schwellenspannungen her, anstelle der herkömmlichen binären Speichermethode mit Vorhandensein/Abwesenheit von Transistoren. Diese schwellenwertbasierte Speicherung kann nicht durch Oberflächenbeobachtung entschlüsselt werden und erfordert Mikrosondierung oder selektives chemisches Ätzen, um die gespeicherten Daten zu extrahieren.

OTP-ROM-Mikrocontroller ermöglichen es Entwicklern, während der ersten Programmierung Kopierschutzsicherungen zu aktivieren. Selbst bei aktiviertem Schutz bleiben sowohl invasive als auch nicht-invasive Angriffe durchführbar. Zu den gängigen kostengünstigen invasiven Methoden gehören gezielte UV-Bestrahlung von Schutzsicherungen, Laserschneiden von Sperrsignalleitungen und manuelle Wiederherstellung von Sicherungen auf Sondierstationen. Nicht-invasive Angriffe wenden abnormale elektrische Signale an, um den Zustandsautomaten des On-Chip-Schutzes zu täuschen und Sperrflags zu deaktivieren.

UV-EPROM-Mikrocontroller haben eine identische interne Schaltungsarchitektur wie OTP-Geräte und unterscheiden sich nur durch ihre Keramikgehäuse mit transparenten Quarzfenstern für die UV-Löschung. Daher sind ihre Kopierschutzschwachstellen und Angriffsmethoden vollständig mit OTP-Pendants konsistent. EEPROM-basierte Mikrocontroller weisen eine höhere Resistenz gegen invasive Angriffe auf, da ihre Daten über Floating-Gate-Ladungsakkumulation gespeichert werden, die physikalisch schwieriger zu manipulieren ist als transistor-basierte Logikzellen.

Dennoch sind EEPROM-Chips immer noch anfällig für Bus-Mikrosondierung durch erfahrene Angreifer. Noch kritischer ist, dass EEPROM-Speicherzellen hochgradig empfindlich auf Steuersignal-Timing und Spannungspegel reagieren, was nicht-invasive Glitch-Angriffe äußerst effektiv macht. Angreifer können selektiv Sicherungssperren löschen oder Zustandsfehler induzieren, um die Schutzlogik leicht zu umgehen.

Flash-EPROM-Mikrocontroller dominieren derzeit den Embedded-Markt, mit Verwundbarkeitsgraden, die fast identisch mit EEPROM-Geräten sind. Die Schutzstärke variiert geringfügig zwischen Herstelleriterationen, aber fast alle kommerziellen Flash-Mikrocontroller haben öffentlich bekannte nicht-invasive Bypass-Methoden. FRAM-Mikrocontroller verwenden ferroelektrische Polarisationsspeicherung mit inhärenter Anti-Glitch- und Anti-Ladungsstörungsfähigkeit und bieten die beste native Sicherheit unter den gewöhnlichen Speichertypen, obwohl Mikrosondierungsangriffe weiterhin wirksam sind.

SRAM-basierte Mikrocontroller speichern Firmware in flüchtigem Speicher, der bei Stromunterbrechung alle Daten verliert. Diese Eigenschaft macht sie hochgradig resistent gegen invasive Manipulationen, da jeder Chip-Dekapsulationsvorgang die Stromversorgung unterbricht und die Firmware sofort löscht. Allerdings erzeugen Hardware- und Firmware-Fehler in einigen SRAM-Sicherheitschips ausnutzbare nicht-invasive Angriffsflächen, wie die öffentlich dokumentierte Schwachstelle des Dallas Semiconductor DS5002FP-Bus-verschlüsselten Mikrocontrollers.

3. Allgemeine Taxonomie der Mikrocontroller-Angriffstechnologien

Eine Vielzahl kritischer digitaler Systeme ist auf die Manipulationsresistenz eingebetteter Verarbeitungsgeräte angewiesen. Dieses Ökosystem umfasst Pay-TV-Zugangsterminals, GSM-Mobilfunk-Basisbandmodule, Prepaid-Gas- und Stromzähler sowie Smartcard-E-Wallet-Chips. Die kommerzielle Rentabilität und Datensicherheit dieser Systeme hängen grundlegend davon ab, dass Gegner keine eingebetteten Schlüssel und proprietäre Firmware aus dem internen Speicher extrahieren können.

Es ist wichtig klarzustellen, dass die Manipulationsresistenz von Chips niemals absolut ist. Jeder Gegner, der mit professionellen Halbleitertestinstrumenten ausgestattet ist, kann vertrauliches Schlüsselmaterial und Firmware-Daten durch direkte Beobachtung und Manipulation der On-Chip-Schaltungskomponenten extrahieren. Die Embedded-Sicherheitsindustrie hat einen universellen Konsens erreicht: Bei ausreichendem Kapitaleinsatz, Zeitressourcen und technischem Fachwissen kann jedes manipulationsresistente Gerät im Chip-Maßstab letztendlich durchdrungen und entschlüsselt werden.

Daher wird das praktische Sicherheitsniveau eines Mikrocontrollers nicht durch absolute Unknackbarkeit definiert, sondern durch den Zeitaufwand, die finanziellen Investitionen und die technische Hürde, die seine eingebauten Schutzmechanismen Angreifern auferlegen. Die Bewertung dieser drei Kernkennzahlen ist für die Embedded-Sicherheitstechnik unerlässlich, doch dieses Thema hat in der akademischen Forschung, bei Sicherheitsbewertern und Industrieingenieuren lange Zeit nicht die gebührende Beachtung gefunden.

Alle existierenden Angriffe auf den Kopierschutz von Mikrocontrollern können basierend auf physikalischer Wirkung, Ausrüstungskosten und technischem Prinzip in vier standardisierte Bedrohungsklassen eingeteilt werden. Diese vierdimensionale Taxonomie wurde erstmals von Anderson und Kuhn in der klassischen Embedded-Sicherheitsforschung vorgeschlagen und bleibt bis heute der maßgeblichste Klassifikationsrahmen.

Erstens gehören Mikrosondierungstechniken zu invasiven Hardware-Angriffen, die direkten physischen Zugang zur nackten Siliziumchipoberfläche erfordern. Angreifer verwenden Präzisionspositioniergeräte und nanoskalige Sondennadeln, um On-Chip-Metallverbindungen zu kontaktieren und so die Echtzeitbeobachtung von Signalübertragungen, gezielte Logikmanipulation und Störung des normalen Schaltungsbetriebs zu ermöglichen.

Zweitens nutzen Softwareangriffe die standardmäßigen externen Kommunikations- und Debug-Schnittstellen des Mikrocontrollers. Sie nutzen logische Schwachstellen in Anwendungsprotokollen, Implementierungsfehler kryptographischer Algorithmen, Firmware-Zustandsautomatenfehler und Zugriffskontrolllogiklücken aus, um den Schutz ohne physische Chipmodifikation zu umgehen.

Drittens sind Abhörtechniken passive Seitenkanalangriffe, die während des normalen Chipbetriebs analoge physikalische Eigenschaften mit hoher Zeitauflösung überwachen. Überwachte Signale umfassen Stromversorgungsschwankungen, Spannungstransienten an Schnittstellenpins und elektromagnetische Abstrahlung, die vom On-Chip-Logikschalten ausgeht und implizite Informationen über ausgeführte Befehle und geheime Schlüsselbits preisgibt.

Viertens wenden Fehlererzeugungstechniken aktiv abnormale externe Umgebungsbedingungen an, um absichtliche Prozessorfehlfunktionen zu induzieren. Diese künstlich injizierten Fehler brechen den normalen Ausführungsfluss der Firmware, entsperren eingeschränkte Zugriffsmodi und legen geschützte Speicherbereiche frei, die unter Standardbetriebsbedingungen nicht zugänglich sind.

Alle auf Mikrosondierung basierenden Exploit-Methoden werden als invasive Angriffe klassifiziert. Sie erfordern einen kontinuierlichen Betrieb von mehreren Stunden bis Wochen in einer dedizierten elektrostatisch geschützten Laborumgebung. Der Dekapsulationsprozess zerstört das ursprüngliche Kunststoffgehäuse des Chips dauerhaft, sodass das Gerät nach dem Angriff nicht mehr kommerziell nutzbar ist. Die anderen drei Angriffskategorien werden als nicht-invasive Angriffe definiert, die das Chip-Gehäuse intakt lassen und keine dauerhaften physikalischen Schäden am Gerät verursachen.

Die für nicht-invasive Angriffe verwendeten Testgeräte können leicht als gewöhnliche kommerzielle Smartcard-Lesegeräte oder Allzweck-Mikrocontroller-Programmiergeräte getarnt werden, was ihre Erkennung in Feldbereitstellungsszenarien erschwert. Nicht-invasive Angriffe stellen zwei einzigartige schwerwiegende Bedrohungen für sicherheitskritische Anwendungen dar, die invasive Methoden nicht haben.

Erstens kann der Endbenutzer des kompromittierten Mikrocontrollers nicht wahrnehmen, dass vertrauliche Schlüssel oder Firmware gestohlen wurden, da das Gerät nach nicht-invasiver Ausnutzung weiterhin normale Funktionsleistung beibehält. Dienstanbieter und Systemadministratoren werden die kompromittierten Berechtigungsnachweise nicht widerrufen, bevor böswilliger Missbrauch erfolgt, was zu latenten langfristigen Sicherheitsrisiken führt.

Zweitens zeichnen sich nicht-invasive Angriffsaufbauten durch hervorragende Skalierbarkeit aus. Die Kernhardware und -firmware der Angriffsausrüstung können zu extrem niedrigen Grenzkosten repliziert, modifiziert und aufgerüstet werden, was einem einzelnen Angreifer die großflächige Batch-Knackung zahlreicher identischer Mikrocontroller-Geräte ermöglicht.

Die technische Entwicklungslogik von Mikrocontroller-Angriffen folgt einem festen industriellen Muster. Die Entwicklung hochpräziser nicht-invasiver Seitenkanalangriffe erfordert detaillierte Vorkenntnisse der Zielprozessorarchitektur, des Speicherlayouts und der Firmware-Ausführungslogik. Im Gegensatz dazu haben invasive Mikrosondierungsangriffe niedrige anfängliche Wissensanforderungen und verwenden universelle technische Prozesse, die auf fast alle Halbleiterprodukte desselben Technologieknotens anwendbar sind.

Aus diesem Grund beginnen die meisten Angriffsketten mit invasivem Reverse Engineering, um die interne Struktur und Schutzlogik des Chips zu entschlüsseln. Die aus der invasiven Analyse gewonnenen technischen Daten werden dann zur Entwicklung kostengünstiger, schneller, skalierbarer nicht-invasiver Angriffswerkzeuge für die Masseneinsetzung verwendet. Diese zweistufige Angriffsevolution ist der Hauptgrund, warum Kopierschutzsysteme für handelsübliche Mikrocontroller in großflächigen Anti-Piraterie-Szenarien versagen.

3.1 Nicht-invasive Angriffe auf Mikrocontroller

Nicht-invasive Angriffe sind die am weitesten verbreiteten und praktisch bedrohlichsten Exploit-Methoden für gewöhnliche Mikrocontroller, aufgrund ihrer geringen Kosten, Wiederverwendbarkeit und Unauffälligkeit. Seit 1996 hat der Autor systematische experimentelle Forschungen zu nicht-invasiven Kopierschutz-Bypass-Methoden an Hunderten von gängigen Mikrocontroller-Modellen weltweiter Anbieter durchgeführt. Der PIC16F84-Mikrocontroller war der erste Testkandidat, der erfolgreich mit selbst entwickelter Glitch-Angriffsausrüstung entschlüsselt wurde und den Beginn der langjährigen Forschung auf diesem Gebiet markierte.

Die benutzerdefinierte nicht-invasive Angriffsplattform des Autors basiert auf einem IBM-PC-Host mit veraltetem MS-DOS- oder Windows 95/98-Betriebssystem, wobei die gesamte Steuerlogik in C++ programmiert ist. Diese dedizierte Programmierhardware ist darauf ausgelegt, ultraschnelle, breit einstellbare Versorgungsspannungen und Programmierimpulse zu erzeugen, was die Kernhardwarevoraussetzung für Stromglitch- und Taktglitch-Angriffe darstellt.

Das Signalgenerierungsmodul der Plattform gibt 32 konfigurierbare digitale Logikkanäle mit einstellbaren High/Low-Pegeln aus, wobei einige Kanäle den Open-Drain-Ausgangsmodus für flexible Lastanpassung unterstützen. Gleichzeitig verfügt die Plattform über 16 hochohmige Signaleingangskanäle, um Echtzeit-Antwortsignale des Ziel-Mikrocontrollers während der Angriffsinjektion zu erfassen. Diese Kanalkonfiguration deckt die Pin-Definitionen und Kommunikationsschnittstellen von über 95 % der 8-Bit- und 16-Bit-Mikrocontroller ab.

Die Hardwarebasis der Plattform umfasst eine austauschbare Sockelträgerplatine mit dedizierten Stiftfassungen für alle getesteten Mikrocontroller-Gehäuse. Für spezielle Pin-Anordnungsvarianten werden Hilfsadapter-Sockel verwendet, um eine zuverlässige elektrische Verbindung ohne physikalische Modifikation des Zielchips zu gewährleisten.

Die häufigsten nicht-invasiven Angriffsvektoren konzentrieren sich auf die Manipulation der beiden Kernbetriebsparameter von Mikrocontrollern: Versorgungsspannung und Eingangstaktsignale. Unterspannungsinjektion senkt die Kernbetriebsspannung unter den im Datenblatt angegebenen Mindestschwellwert, während Überspannungsstress die Spannung über das maximale Sicherheitslimit anhebt. Beide Methoden können dedizierte Hardwareschutzschaltungen deaktivieren oder die CPU-Pipeline zwingen, falsche, spezifikationswidrige Befehle auszuführen.

Viele sicherheitsverstärkte Mikrocontroller integrieren eingebaute Spannungserkennungssensoren zur Überwachung statischer Betriebsspannungspegel. Fast alle diese Sensoren weisen jedoch inhärente Ansprechverzögerungsfehler auf und können nanosekunden-schnelle Spannungstransienten nicht erkennen. Schnelle transiente Stromimpulse können den On-Chip-Schutzzustandsautomaten vorübergehend zurücksetzen, ohne die geschützte Firmware und die in nichtflüchtigem Speicher gespeicherten Schlüsseldaten zu löschen oder zu beschädigen.

Präzise Strom- und Takttransienten können auch den Befehlsdekodierungs- und Ausführungsprozess einzelner CPU-Opcodes stören. Jeder Transistor und jede Metallverbindung auf dem Chip bildet ein inhärentes RC-Verzögerungsnetzwerk mit fester Signalausbreitungslatenz. Die maximale stabile Taktfrequenz des Mikrocontrollers wird durch den längsten RC-Verzögerungspfad unter allen internen Logikelementen bestimmt.

Ebenso hat jedes CMOS-Flipflop ein ultrakurzes Abtastzeitfenster von nur wenigen Pikosekunden, um Eingangsspannungspegel zu übernehmen und Ausgangszustände zu aktualisieren. Dieses Fenster ist für einen einzelnen Chip bei einer bestimmten Spannung und Temperatur festgelegt, selbst innerhalb des im offiziellen Datenblatt angegebenen Standard-Setup/Hold-Zeitbereichs.

Durch Injektion eines Taktglitch (eines Impulses, der weit kürzer als der Standardtaktzyklus ist) oder eines Stromglitch (einer schnellen transienten Spannungsspitze/-einbruch) können Angreifer das Schaltverhalten ausgewählter Transistoren gezielt stören. Durch systematische Parametervariation von Glitch-Amplitude, -Breite und -Injektionszeitpunkt kann die CPU gezwungen werden, undefinierte ungültige Befehle auszuführen, die nicht im offiziellen Mikrocode-Befehlssatz enthalten sind.

Obwohl die genaue Zuordnung zwischen Glitch-Parametern und falschen Befehlen theoretisch nicht vorhersagbar ist, kann ein automatisierter Durchlauftest mit der benutzerdefinierten Programmierplattform schnell effektive Glitch-Konfigurationen für bestimmte Mikrocontroller-Modelle lokalisieren. Diese Brute-Force-Suchmethode ist einfach zu implementieren und für handelsübliche Chips mit festen Prozessparametern hocheffizient.

Die Stromanalyse, auch bekannt als Simple Power Analysis (SPA) und Differential Power Analysis (DPA), ist eine weitere ausgereifte nicht-invasive Bedrohung. Ein hochpräziser 10-15Ω-Messwiderstand wird in Reihe mit dem Stromversorgungskreis des Mikrocontrollers geschaltet, um dynamische Stromschwankungen in messbare Spannungssignale umzuwandeln.

Ein Analog-Digital-Wandler (ADC) mit mindestens 12-Bit-Quantisierungsauflösung wird zur Abtastung des Spannungssignals verwendet, wobei die Abtastfrequenz auf ein ganzzahliges Vielfaches des Betriebstakts des Chips eingestellt wird, um eine synchrone Datenerfassung zu erreichen. Dieser synchrone Abtastmodus eliminiert Phasenrauschen und verbessert die Genauigkeit der Seitenkanalsignalextraktion.

Die Adress- und Datenbustreiber von Mikrocontrollern bestehen typischerweise aus 8 bis 12 parallelen Invertereinheiten pro Signalleitung, die große parasitäre On-Chip-Kapazitäten treiben. Jeder Logikpegelübergang der Busleitungen verursacht einen transienten Kurzschlussstrom im Leistungsbereich, der einen messbaren Stromverbrauchspeak erzeugt.

Das Umschalten einer einzelnen Busleitung zwischen logisch 0 und 1 erzeugt eine Stromänderung von 0,5-1 mA zum Taktflankenzeitpunkt, die von einem 12-Bit-ADC klar unterschieden werden kann. SRAM-Schreiboperationen erzeugen die deutlichsten Stromsignaturen aufgrund der gleichzeitigen Ladung und Entladung mehrerer Speicherzellenkondensatoren.

Durch Mittelung der Stromverläufe von Hunderten von wiederholten identischen Transaktionen können Angreifer schwache Seitenkanalsignale extrahieren, die nicht direkt über den externen Bus übertragen werden. Zustandsänderungen des Übertragsflags während arithmetischer Operationen sind das wertvollste Ziel, da die meisten kryptographischen Schlüsselplanungsalgorithmen Bitverschiebungsoperationen verwenden, die einzelne Schlüsselbits durch Übertragsflag-Leckage preisgeben.

Selbst wenn Zustandsbitänderungen nicht direkt gemessen werden können, verändern sie die Ausführungssequenz des Befehlssequenzers und des Mikrocodes, was zu unterscheidbaren Stromverbrauchsmustern führt. Verschiedene CPU-Befehle aktivieren den Decoder, die arithmetisch-logische Einheit (ALU) und das Registerfile mit unterschiedlicher Aktivitätsintensität, sodass Angreifer den vollständigen Firmware-Ausführungsfluss und die kryptographische Algorithmuslogik aus Stromverläufen rekonstruieren können.

Datenremanenz ist eine physikalische nicht-invasive Schwachstelle, die flüchtige Speichergeräte betrifft. Statische RAM-Zellen können gespeicherte Daten für eine kurze Zeit nach Stromunterbrechung aufgrund von Restladungsakkumulation behalten. Wenn eine SRAM-Zelle über einen langen Laufzeitraum einen festen Schlüsselwert hält, bildet die Ladungsverteilung einen stabilen latenten Zustand, der beim nächsten Einschalten wiederhergestellt werden kann.

Niedrigtemperatur-Einfrieren verlängert die Datenremanenzzeit weiter. Das Abkühlen des Mikrocontrollers auf -20°C ermöglicht es dem SRAM, vollständige Daten für mehrere Minuten zu behalten, während ultra-niedrige Temperaturen unter -50°C die Datenretention auf mehrere Stunden verlängern können. Diese Methode ermöglicht es Angreifern, sensible Laufzeitschlüssel aus flüchtigem Speicher zu extrahieren, ohne den Chip zu modifizieren.

Die folgende Tabelle listet alle vom Autor verifizierten Mikrocontroller-Modelle auf, die für nicht-invasive Angriffe anfällig sind, einschließlich ihrer Kernspeichermerkmale, effektiven Angriffsmethoden und technischen Anmerkungen. In Klammern gesetzte Modelle wurden nicht physisch getestet, aber aufgrund der Familienarchitektur-Konsistenz werden identische Schwachstellen angenommen.

Es ist kritisch zu beachten, dass die Aufnahme in die Schwachstellentabelle nur die inhärente Anfälligkeit für nicht-invasive Angriffe für die aufgeführten Mikrocontroller-Revisionen anzeigt. Aktualisierte Chip-Steppings und überarbeitete Firmware-Masken des Anbieters können diese Lücken schließen, daher müssen Entwickler die spezifische Chip-Revision vor der Produkteinführung überprüfen. Einige Modelle haben mehrere alternative nicht-invasive Angriffsmethoden mit Erfolgsraten zwischen 15 % und 100 %. Im Internet kursierende Methoden mit geringer Erfolgsquote bergen Risiken, den Zielchip oder die Angriffsprogrammierhardware dauerhaft zu beschädigen.

3.2 Invasive Angriffe auf Mikrocontroller

WARNUNG: Die nachfolgend beschriebenen Inhalte invasiver Angriffe dienen ausschließlich der akademischen Forschung und Sicherheitsbewertung. Der Autor übernimmt keine rechtliche oder technische Verantwortung für die unbefugte Nutzung dieser Methoden zum Knacken urheberrechtlich geschützter Mikrocontroller-Firmware. Leser, die versuchen, diese Experimente zu wiederholen, handeln auf eigenes Risiko und müssen die lokalen Gesetze zum Schutz geistigen Eigentums und zur Halbleitersicherheit beachten.

Ein weit verbreiteter Irrglaube in der Embedded-Industrie besagt, dass invasive Angriffe Hunderttausende von Dollar an Laborausrüstung und professionelles Doktoranden-Fachwissen erfordern, was sie für Angreifer mit geringem Budget unzugänglich macht. Dieser Mythos führt viele Entwickler dazu, sich ausschließlich auf nicht-invasiven Schutz zu verlassen und die invasive Bedrohungsbewertung zu vernachlässigen, was zu schwerwiegenden IP-Leckagerisiken führt.

In Wirklichkeit können viele praktische invasive Angriffe mit kostengünstiger, leicht beschaffbarer Ausrüstung und grundlegenden Chemiekenntnissen durchgeführt werden. Obwohl invasive Methoden die Chip-Dekapsulation und physikalische Schaltungsmanipulation umfassen, können die Gesamtkosten unter 3.000 $ kontrolliert werden, weit weniger als die meisten Entwickler erwarten. Dieser Abschnitt entkräftet den Hochkosten-Mythos anhand zweier typischer praktischer Angriffsfälle auf kommerzielle PIC-Mikrocontroller.

Die Kernvoraussetzung für alle invasiven Angriffe ist die Chip-Dekapsulation, bei der das Kunststoff- oder Epoxidharzgehäuse entfernt wird, um den nackten Siliziumchip freizulegen. Es gibt zwei gängige Dekapsulations-Workflows: vollständige Gehäuseauflösung und teilweise Entfernung des Kunststoffs über der Chipoberfläche.

Die vollständige Auflösung taucht den gesamten Chip in ätzende Säure, um das gesamte Gehäusematerial zu entfernen, was eine professionelle Bondstation erfordert, um den nackten Chip auf einen Träger aufzubonden. Diese Methode hat eine hohe technische Hürde und ist für preisbewusste Angreifer nicht geeignet. Die teilweise Entfernung ist die optimale Wahl für kostensensible Forschung, da sie nur den Siliziumchip freilegt, während die ursprünglichen Drahtbonds und das Gehäuse erhalten bleiben.

Rauchende konzentrierte Salpetersäure (über 98 % Reinheit) ist das Standardreagenz für die teilweise Dekapsulation. Sie löst das Epoxidharz schnell auf, ohne die Aluminium-Bonddrähte und den Siliziumchip anzugreifen. Die chemische Reaktion muss in einer Abzugshaube mit geringer Luftfeuchtigkeit durchgeführt werden, da Wasserdampf elektrochemische Korrosion der freiliegenden Metallverbindungen auf der Chipoberfläche induzieren kann.

Nach der Epoxidharzauflösung werden Säurerückstände durch Acetonspülung entfernt. Ein Ultraschallreinigungsbad wird dann verwendet, um mikroskopische chemische Rückstände auf der Chipoberfläche zu beseitigen. Abschließend wird der Chip mit entionisiertem Wasser und Isopropanol gespült, neutralisiert und getrocknet. Wenn kein Ultraschallbad verfügbar ist, kann der Spülschritt entfallen; leichte Oberflächenkontamination beeinträchtigt nachfolgende UV-Bestrahlungs- und Sondierungsvorgänge nicht.

Ein kostengünstiges Ultraschallbad kann mit einem Signalgenerator, einer Ferritantennenspule und einem Edelstahlbehälter selbst gebaut werden, sodass keine kommerzielle Laborausrüstung erforderlich ist. Nach der Dekapsulation behält der Chip seine volle elektrische Funktionalität, was nachfolgende Manipulationen der Schutzsicherungen und Speicherauslesevorgänge ermöglicht.

3.2.1 Kostengünstiger invasiver Angriff auf PIC12C508A

Der Microchip PIC12C508A ist ein 8-poliger ultra-kostengünstiger OTP-Mikrocontroller, der in Verbraucherspielzeugen und einfachen Steuergeräten weit verbreitet ist. Sein Kopierschutzmechanismus kann mit einem grundlegenden UV-Bestrahlungs-invasiven Angriff mit Gesamtausrüstungskosten unter 200 $ vollständig umgangen werden.

Nach der teilweisen Dekapsulation des PIC12C508A-Chips besteht der nächste Schritt darin, die On-Chip-Sicherheitsschutzsicherungen zu lokalisieren. Mit einem optischen Mikroskop mit 100-facher Vergrößerung können Angreifer leicht die metallische Signalleitung verfolgen, die vom Programmier-Spannungs-Pin (VPP) ausgeht, um den kompakten Sicherungsarray-Bereich am Chiprand zu lokalisieren.

Wenn kein Mikroskop verfügbar ist, kann eine Brute-Force-UV-Scan-Methode angewendet werden: Bestrahlen Sie verschiedene Bereiche des Chips nacheinander mit Ultraviolettlicht und testen Sie den Leseschutzstatus des Chips nach jeder Belichtung. Sobald der Sicherungsbereich lokalisiert ist, wird undurchsichtiges schwarzes Papier verwendet, um den gesamten Chip mit Ausnahme des Sicherungsbereichs abzudecken, um ein versehentliches Löschen von Programmspeicherzellen zu verhindern.

Eine kontinuierliche UV-Bestrahlung für 5 bis 10 Minuten setzt die durchgebrannten OTP-Sicherungssicherungen in den unprogrammierten Zustand zurück. Nach diesem Vorgang kann jedes handelsübliche Programmiergerät den vollständigen ursprünglichen Programmspeicher und die Benutzerdaten aus dem Chip ohne Einschränkung auslesen.

Eine präzisere Variante dieses Angriffs verwendet ein Mikroskop und eine scharfe Wolfram-Sondennadel anstelle eines Laserschneiders. Durch Verfolgen der Signalleitungen, die mit dem Sicherungsschutzarray verbunden sind, können Angreifer die dedizierte Sperrsteuerleitung identifizieren. Aufgrund eines historischen Designfehlers im PIC12C508A-Layout ist diese Sperrleitung von anderen dichten Verbindungen isoliert.

Das schonende Kratzen der Passivierungsschicht über der Leitung mit einer Sondennadel, bis der interne Aluminiumdraht durchtrennt ist, deaktiviert die Kopierschutzlogik dauerhaft. Diese Methode vermeidet teure Laserätzgeräte und erreicht denselben Schutz-Bypass-Effekt durch manuelle mechanische Operation.

3.2.2 Mikrosondierungsangriff auf PIC16F874

Der Microchip PIC16F874 ist ein Mittelklasse-Flash-Mikrocontroller mit abgeschirmten EEPROM-basierten Sicherheitssicherungen, die nicht mit herkömmlicher UV-Bestrahlung entsperrt werden können. Dieses Modell erfordert grundlegende Mikrosondierungstechnologie, um geschützte Firmware-Daten zu extrahieren, und stellt einen invasiven Angriffsfall mittlerer Schwierigkeit dar.

Der Chip-Dekapsulationsprozess für den PIC16F874 ist identisch mit dem PIC12C508A-Workflow mit rauchender Salpetersäure. Nach der Freilegung des nackten Chips beobachtet der Angreifer das Chip-Layout unter einem optischen Mikroskop mit 100-200-facher Vergrößerung, um die parallelen Datenbusleitungen zu identifizieren, die das Flash-Speicherarray mit dem CPU-Kern und den Peripheriemodulen verbinden.

Eine kritische Designschwachstelle des PIC16F874 besteht darin, dass sein Kopierschutzmechanismus nur den Benutzermodus-Speicherzugriff einschränkt, während der Programmiermodus-Buszugriff vollständig entsperrt bleibt. Durch Positionieren einer Präzisionssondennadel auf den freiliegenden obersten Aluminium-Datenbusleitungen können Angreifer Echtzeit-Datensignale während Speicherlesevorgängen erfassen.

Durch wiederholtes Auslösen des Programmiermodus-Lesebefehls des Chips und schrittweises Verschieben der Sondennadel über verschiedene Busleitungen können die vollständigen 14-Bit-Programmspeicher- und 8-Bit-Benutzerdatenspeicherinhalte rekonstruiert werden. Diese Methode erfordert nur ein einfaches Mikroskop und eine manuelle Sondennadel mit Gesamtausrüstungskosten unter 1.500 $.

3.2.3 Fortgeschrittenes invasives Reverse Engineering und FIB-Technologie

Hochwertige invasive Angriffe umfassen vollständiges Chip-Reverse-Engineering und Focused-Ion-Beam (FIB)-Bearbeitung, die auf Sicherheits-Mikrocontroller und komplexe programmierbare Logikbausteine abzielen. Der erste Schritt des vollständigen Reverse Engineerings ist die Erstellung einer vollständigen Chip-Layout-Karte.

Ein mit CCD ausgestattetes optisches Mikroskop nimmt hochauflösende Fotos der gesamten Chipoberfläche auf, die zu meterlangen Panoramamosaikbildern zusammengesetzt werden. Ingenieure identifizieren Kernfunktionsmodule wie ROM, RAM, EEPROM, ALU, Befehlsdecoder und GPIO-Treiber, indem sie die Metallverbindungs-Konnektivität und Modulgrenzmerkmale verfolgen.

Die oberste Aluminium-Metallschicht blockiert die optische Beobachtung der darunterliegenden Schaltkreisschichten. Bei nicht-planarisierten Chips können tiefere Strukturen aus Oberflächenhöhenvariationen abgeleitet werden. Um klare Bilder tiefer Metall- und Polysiliziumschichten zu erhalten, wird der Chip kurz in verdünnter Flusssäure (HF) in einem Ultraschallbad getaucht, um die obere Oxid-Passivierung und Metallschichten abzutragen.

HF ist ein hochgradig korrosives Gefahrstoffreagenz, das strenge persönliche Schutzausrüstung und Abzugshaubenbetrieb erfordert. Nach dem Schichtabtrag ermöglicht eine sekundäre Panoramafotografie die vollständige mehrschichtige Schaltungsansicht für die Logikfunktionsrekonstruktion.

Focused-Ion-Beam (FIB)-Arbeitsstationen sind fortschrittliche Halbleiter-Bearbeitungswerkzeuge, die auf Vakuumkammerplattformen ähnlich Rasterelektronenmikroskopen (SEM) aufbauen. Eine Flüssigmetall-Gallium-Ionenquelle beschleunigt 30-kV-Ionenstrahlen, die auf einen 5-10 nm großen Spot fokussiert werden, und ermöglicht sowohl hochauflösende Bildgebung als auch präzises Materialätzen.

FIB-Systeme können Chipoberflächen mit 5 nm Auflösung über Sekundärteilchendetektion abbilden. Durch Erhöhung des Strahlstroms kann gezielt Halbleitermaterial im Nanometerbereich entfernt werden. Gasgestütztes Ätzen mit Ioddampf verbessert Ätzgeschwindigkeit und -tiefe und ermöglicht die Erstellung hochaspektverhältnismäßiger vertikaler Löcher, um tiefe vergrabene Metallschichten zu erreichen, ohne benachbarte Schaltungen zu beschädigen.

Platin-basiertes metallorganisches Gas kann durch den Ionenstrahl zersetzt werden, um leitfähige Platinschichten abzuscheiden und neue Sondierkontakte auf der Chipoberfläche zu erzeugen. Isolator-Abscheidungsgas kann dielektrische Isolationsschichten für gezielte Schaltungsmodifikationen aufbauen. Moderne kommerzielle FIB-Arbeitsstationen kosten weniger als 500.000 $, und die Bearbeitungszeit kann weltweit für 200–500 $ pro Stunde gemietet werden, was diese Technologie für professionelle Angreifer zugänglich macht.

Rückseitenzugriffs-FIB-Technologie poliert den Chip von der Siliziumsubstratseite auf eine Dicke von mehreren zehn Mikrometern. Infrarot-Navigation und Laserinterferometer-Positionierung ermöglichen eine präzise Transistorlokalisierung und Substratdurchkontaktierung. Obwohl diese neue Technik noch nicht von kommerziellen Piraten weit verbreitet eingesetzt wird, wird sie in zukünftigen Chip-Angriffen zum Mainstream werden und muss von Sicherheitschip-Designern berücksichtigt werden.

4. Bedrohungsklassifikation und hierarchische Abwehrtechnologien

Basierend auf den in den obigen Experimenten verifizierten Angriffsmethoden können alle auf Mikrocontroller abzielenden Exploits gemäß Implementierungskosten, technischer Hürde und Zerstörungsumfang in vier Bedrohungsstufen eingeteilt werden, was eine Grundlage für gezielte Verteidigungsauslegung bietet.

Stufe 1: Kostengünstige nicht-invasive Angriffe. Dies ist die höchste Bedrohungsstufe, die nur einen benutzerdefinierten oder kommerziellen glitchfähigen Programmierer erfordert. Die Ausrüstungskosten liegen unter 500 $, die technische Hürde ist niedrig und die Angriffsskalierbarkeit maximal. Alle in der Schwachstellentabelle aufgeführten Mikrocontroller fallen in diese Bedrohungsspanne, und solche Angriffe können von einzelnen Hobby-Angreifern durchgeführt werden.

Stufe 2: Grundlegende kostengünstige invasive Angriffe. Die Ausrüstung umfasst grundlegende chemische Reagenzien, optisches Mikroskop und manuelle Sondierwerkzeuge, mit Gesamtkosten zwischen 100 und 3.000 $. Die technische Hürde entspricht Grundkenntnissen in Chemie und eingebetteter Technik. Angreifer können OTP- und Flash-Chips durch UV-Löschung und einfaches Leitungsschneiden entsperren, was eine ernsthafte Bedrohung für Produkte des unteren und mittleren Preissegments darstellt.

Stufe 3: Präzisions-Mikrosondierungsangriffe. Erfordert professionelle Mikrosondierungsarbeitsstationen und Halbleiter-Fachwissen, die Gesamtangriffsausrüstungskosten liegen zwischen 10.000 und 100.000 $. Diese Bedrohung zielt nur auf hochwertige kommerzielle Geräte ab, da die Angriffszeit- und Arbeitskosten den Gewinn gewöhnlicher Low-End-Produkte übersteigen. Mikrocontroller, die Stufe-1- und Stufe-2-Angriffen widerstehen, sind für die meisten industriellen Anwendungen ausreichend.

Stufe 4: Vollständiges Reverse Engineering & FIB-Bearbeitung. Die höchste Bedrohungsstufe, erfordert FIB-Arbeitsstationen, SEM und professionelle VLSI-Designkenntnisse, mit Gesamtinvestitionen über 500.000 $. Dieser Angriff wird nur für militärische und hochwertige Finanzchip-Entschlüsselungen eingesetzt. Chips, die den ersten drei Bedrohungsstufen widerstehen, gelten für die meisten zivilen Szenarien als ausreichend sicher.

Die aktuelle Embedded-Industrie steht vor einem herausfordernden Sicherheitsdilemma: Fast alle handelsüblichen Allzweck-Mikrocontroller sind anfällig für Stufe-1- oder Stufe-2-Angriffe. Die direkte Migration zu Sicherheits-Mikrocontrollern kann diese Bedrohungen beseitigen, bringt jedoch drei entscheidende Nachteile mit sich: extrem hohe Stückkosten, inkompatible Pin-Definitionen und Befehlssätze mit gewöhnlichen Chips sowie eingeschränkte Lieferkanäle.

Die meisten kleinen und mittleren Unternehmen können es sich nicht leisten, ausgereifte Produkthardware und -firmware für die Sicherheits-Mikrocontroller-Migration neu zu entwickeln. Selbst wenn Sicherheitschips übernommen werden, können Angreifer, die nur auf Teilalgorithmuslogik abzielen, immer noch wichtige Code-Segmente durch Low-Level-invasive Methoden extrahieren, was keinen umfassenden IP-Schutz erreicht.

Um dieses Dilemma zu lösen, fasst dieses Papier vier praktische, kosteneffiziente Verteidigungsstrategien zusammen, die mit gewöhnlichen Mikrocontroller-Plattformen kompatibel sind, ohne dass ein vollständiger Chip-Austausch oder eine großflächige Hardware-Neugestaltung erforderlich ist.

Erste Strategie: Programmierbare Logikbausteine (PLD) Hardware-Härtung. Ergänzen Sie den Haupt-Mikrocontroller durch CPLD- oder EPLD-Bausteine in der Produktschaltung. PLDs haben von Natur aus eine höhere Anti-Angriffsleistung als MCUs, mit vergrabenen Logikarrays, die schwer zu reverse-engineeren sind. Selbst wenn die Haupt-MCU-Firmware geknackt wird, bleibt die im PLD solidifizierte Kernauthentifizierungslogik vertraulich, was die Gesamtangriffszeit erheblich erhöht.

Zweite Strategie: Undokumentierte Analog-Speicherbitschutz. Nutzen Sie die analogen Ladungsspeichereigenschaften von OTP-, EEPROM- und Flash-Speicherzellen. Programmieren Sie bestimmte Speicherzellen auf mittlere Ladungszustände nahe der Sense-Amplifier-Schwelle. Aufgrund von Schaltungsrauschstörungen geben diese Zellen beim normalen Lesen zufällige 0/1-Werte aus.

Die Firmware verwendet diese zufälligen Bits während der Laufzeit als dynamische Authentifizierungsschlüssel. Angreifer können den Zwischenladungszustand beim Klonen nicht reproduzieren, daher wird die kopierte Firmware die dynamische Authentifizierungsprüfung nicht bestehen. Diese analoge physikalische Eigenschaft schafft eine hardware-native, nicht klonbare Funktion (PUF) ohne zusätzliche Kosten.

Dritte Strategie: Dauerhafte Zerstörung der Programmierschnittstelle. Deaktivieren Sie nach Abschluss der Massenprogrammierung die externe Programmierschnittstelle des Chips dauerhaft über mechanische oder elektrische Mittel. Mechanische Methoden umfassen das Durchtrennen des VPP-Programmierpins und des Bonddrahts mit einem Präzisionsschneider. Elektrische Methoden legen eine momentane Überspannung an, um die interne Programmierschnittstellensicherung durchzubrennen.

Diese Methode blockiert vollständig nicht-invasive Programmiermodus-Leseangriffe, bietet jedoch keine Abwehr gegen invasive Chip-Ebenen-Sondierungsangriffe. Sie ist geeignet für kostengünstige Massenprodukte ohne Firmware-Aktualisierungsanforderungen nach der Auslieferung.

Vierte Strategie: Verschleierung der Programmsteuerlogik. Reverse-engineeren Sie einen Teil der Programmiersteuerlogik des Chips oder verwenden Sie Mikrosondierung, um das Zustandsautomaten-Timing zu modifizieren. Verschleiern Sie die Triggerbedingungen für den Programmiermodus, sodass standardmäßige kommerzielle Programmiergeräte nicht in den lesefähigen Programmierzustand gelangen können. Diese Methode erhöht die technische Hürde für nicht-invasive und grundlegende invasive Angriffe effektiv.

5. Weitere Forschungsrichtungen

Zukünftige Forschung zum eingebetteten Kopierschutz sollte sich auf die Sicherheitsbewertung von programmierbaren Logikarrays (PLA) und Field-Programmable Gate Arrays (FPGA) konzentrieren. Ähnlich wie Mikrocontroller integrieren PLDs eingebaute Anti-Cloning-Sicherheitsbits, doch ihre Anfälligkeit für Glitch-, Sondierungs- und chemische Angriffe wurde im Vergleich zu MCUs nicht systematisch überprüft.

FPGA-Geräte weisen aufgrund des externen Konfigurations-Bitstream-Ladens inhärente Sicherheitsdefekte auf; unverschlüsselte Bitstreams können leicht kopiert und geklont werden. Viele Industriesysteme verwenden PLDs zusammen mit FPGAs, um Konfigurationspiraterie zu verhindern, wodurch die Anti-Angriffsleistung von EEPROM-basierten PLDs ein kritisches Forschungsthema für den industriellen IP-Schutz darstellt.

Eine weitere wichtige Forschungsrichtung ist die quantitative Bewertung von physikalischen nicht klonbaren Funktionen (PUF) auf gewöhnlichen Mikrocontrollern. Der in diesem Papier vorgeschlagene analoge Speicherbitschutz ist eine erste PUF-Implementierung; zukünftige Forschung kann Stabilität und Zufälligkeit optimieren, um standardisierte kostengünstige PUF-Lösungen für die Masseneinführung zu schaffen.

Darüber hinaus muss die Verteidigungswirkung von On-Chip-Spannungs-/Temperatursensoren gegen transiente Glitch-Angriffe weiter quantitativ getestet werden. Die Optimierung der Sensoransprechverzögerung zur Blockierung von nanosekunden-schnellen Störungen wird den bedrohlichsten nicht-invasiven Angriffsvektor der Stufe 1 für gewöhnliche Mikrocontroller effektiv eliminieren.