Обратная разработка MCU

Аннотация

Встраиваемые микроконтроллеры стали фундаментальным вычислительным ядром современных электронных систем, охватывая потребительскую электронику, промышленное управление, финансовые платежи, военное оборудование и медицинские приборы. Интеллектуальная собственность (IP), заключённая в прошивке микроконтроллера, включая проприетарные алгоритмы управления, бизнес-логику и процедуры обработки зашифрованных данных, составляет основное коммерческое и техническое достояние разработчиков устройств. В данной работе проводится комплексная оценка безопасности механизмов защиты от копирования, развёрнутых в массовых современных микроконтроллерах. Систематически демонстрируется, что микроконтроллеры общего назначения не обладают фундаментальными аппаратными и программными средствами защиты от несанкционированного чтения прошивки, клонирования кода и вмешательства в IP. Исследование устанавливает иерархическую таксономию угроз для методологий атак на микроконтроллеры, охватывающую неинвазивные, недорогие инвазивные и высокотехнологичные пути эксплуатации при обратной разработке. Кроме того, в статье обобщаются и анализируются практические, экономически эффективные защитные технологии, адаптированные как для микроконтроллеров общего назначения, так и для защищённых, предоставляя разработчикам встраиваемых систем практические рекомендации по усилению защиты прошивки от копирования. Данная расширенная версия дополнена физическими принципами работы полупроводников, детальным выводом механизмов атак и примерами промышленного применения для обогащения глубины и практической ценности исходного исследования.

1. Введение

Встраиваемые микроконтроллеры повсеместно распространены в современных электронных экосистемах, выполняя функции мозга бесчисленных интеллектуальных устройств на разных уровнях приложений. Любители используют недорогие микроконтроллеры начального уровня для создания DIY-интерактивных устройств, робототехнических прототипов и небольших сенсорных узлов в образовательных и развлекательных целях. Малые и средние предприятия применяют микроконтроллеры среднего диапазона в промышленных измерительных приборах, автоматизированных модулях управления, терминалах экологического мониторинга и бытовой технике для реализации специализированной бизнес-логики. Сценарии с высокой надёжностью, включая военную авионику, правительственные терминалы безопасности, банковские платёжные терминалы и клинические медицинские диагностические устройства, полагаются на специализированные защищённые микроконтроллеры и вычислительные ядра смарт-карт для обработки секретных и конфиденциальных данных.

Каждый микроконтроллер выполняет фиксированную последовательность инструкций, хранящуюся в его энергонезависимой памяти программ, которая определяется как алгоритм прошивки, разработанный инженерами. Большая часть встраиваемой прошивки в конечном итоге компилируется в родные ассемблерные инструкции, даже если исходный код высокого уровня написан на C, C++ или Rust на этапе разработки. Этот процесс компиляции преобразует читаемую человеком логику в машинно-исполняемые коды операций, адаптированные к конкретной системе команд (ISA) микроконтроллера. Небольшое число нишевых платформ начального уровня принимают интерпретируемые модели выполнения BASIC или Java, однако эти архитектуры имеют ограниченное проникновение в промышленные и критически важные для безопасности приложения из-за накладных расходов по производительности и памяти.

Для разработчиков прошивок и производителей оригинального оборудования (OEM) защита интеллектуальной собственности является ключевым операционным требованием. Разработчики стремятся предотвратить несанкционированное чтение, копирование, обратную разработку и распространение своей проприетарной прошивки, чтобы контролировать объём производства конечных устройств, избегать рыночного пиратства и сохранять технические конкурентные преимущества. Для удовлетворения этого спроса производители полупроводников интегрируют в свои микроконтроллеры специализированные аппаратные механизмы блокировки и функции защиты от копирования на уровне прошивки.

При активации во время программирования устройства эти функции защиты ограничивают внешние программаторы и интерфейсы отладки от выгрузки полной памяти программ и пользовательских данных, хранящихся внутри микросхемы. Эта функция защиты от клонирования в индустрии встраиваемых полупроводников повсеместно называется защитой от копирования или блокировкой кода. Перед развёртыванием в конечных продуктах все микроконтроллеры должны пройти одно- или многократный процесс программирования для записи скомпилированных двоичных файлов прошивки в их энергонезависимые массивы памяти.

Рабочий процесс программирования, требования к оборудованию и методы настройки защиты значительно различаются в зависимости от производителя, семейства продуктов и типа памяти. Для целей исследований, тестирования и проверки прототипов производители предоставляют полностью перепрограммируемые варианты микроконтроллеров, поддерживающие многократное стирание и запись прошивки. Для мелкосерийного коммерческого производства однократно программируемые (OTP) микроконтроллеры являются предпочтительным вариантом, поскольку они исключают риски перестирания и имеют более низкую стоимость за единицу и программирование по сравнению с перепрограммируемыми аналогами.

Для крупносерийного массового производства, превышающего тысячи единиц, микроконтроллеры с заводской маскированной постоянной памятью (Mask ROM) предлагают самую низкую стоимость за единицу. Однако это решение требует минимального заказа в 1000 штук и фиксирует прошивку на этапе изготовления пластин, не оставляя возможности для модификации программы после производства или исправления ошибок. После завершения разработки кода прошивки, компиляции и функциональной верификации двоичный образ должен быть загружен в целевой микроконтроллер с помощью специализированного оборудования для программирования.

Это программирующее оборудование, известное как программатор устройств или программирующий блок, сильно различается по сложности и стоимости. Большинство микроконтроллеров общего назначения начального уровня поддерживают простые недорогие программаторы, состоящие из адаптера питания постоянного тока, дискретных транзисторов, токоограничивающих резисторов и стандартного разъёма RS232 или параллельного порта. Эти DIY-программаторы широко доступны для любителей и мелких разработчиков благодаря простой схемотехнике и открытому программному обеспечению.

Напротив, небольшое число микроконтроллерных семейств с высокой степенью защиты требуют использования эксклюзивных зашифрованных программаторов производителя с закрытыми протоколами связи. Эти проприетарные программаторы оснащены механизмами аутентификации и не могут быть воспроизведены сторонним оборудованием, что делает такие микроконтроллеры непопулярными в открытом сообществе встраиваемых систем из-за барьеров в закупках и высоких затрат.

Для долгосрочной стабильной работы, особенно для OTP-микроконтроллеров, которые нельзя перепрограммировать после записи, настоятельно рекомендуются программаторы промышленного класса с сертификацией. Эти устройства обеспечивают точную регулировку напряжения, защиту от электростатического разряда (ESD), стандартизированное управление синхронизацией и регистрируемые журналы программирования, полностью соответствующие официальным спецификациям большинства производителей полупроводников. Инженеры могут получить полные руководства по параметрам, схемы подключения и списки совместимости сертифицированных программаторов с официальных веб-сайтов производителей микроконтроллеров.

Несмотря на широкое распространение встроенной защиты от копирования, большинство микроконтроллеров общего назначения демонстрируют внутренние слабости в своих механизмах блокировки. Многие цепи защиты спроектированы с упрощённой логикой для уменьшения площади кристалла и стоимости производства, что делает их уязвимыми для физических воздействий, программной эксплуатации и недорогого инвазивного вмешательства. В данной работе сначала классифицируются микроконтроллеры по уровню безопасности и типу памяти, затем систематически анализируются основные векторы атак, и наконец, предлагаются иерархические стратегии защиты, соответствующие различным бюджетам стоимости приложений.

2. Классификация и ключевые характеристики современных микроконтроллеров

Для точной оценки производительности защиты от копирования и уровней уязвимости все встраиваемые микроконтроллеры можно разделить на две отдельные категории на основе архитектуры аппаратной безопасности: микроконтроллеры общего назначения и специализированные защищённые микроконтроллеры. Эта классификация является основополагающей для последующего анализа атак и проектирования защиты, поскольку две категории используют совершенно разные конструкции границ безопасности и возможности сопротивления угрозам.

Защищённые микроконтроллеры предназначены для сценариев с высоким уровнем риска, включая военные системы управления, терминалы финансовых транзакций, клиническое медицинское оборудование и бесконтактные электронные кошельки на смарт-картах. Они являются основными процессорными блоками доверенных сред выполнения (TEE) в критически важных устройствах. В отличие от обычных микросхем, они поддерживают несколько изолированных привилегированных режимов работы и иерархические уровни доступа к памяти для предотвращения утечки данных между доменами.

Ключевой передовой функцией защищённых микроконтроллеров является сквозная защита шифрованием, охватывающая всю микросхему. Это включает не только зашифрованные внешние интерфейсы связи для предотвращения прослушивания передачи данных вне кристалла, но и шифрование внутрисхемной шины, которое скремблирует все сигналы адреса и данных, передаваемые между ядром ЦПУ, памятью и периферийными модулями. Дополнительные аппаратные механизмы, такие как маскировка сигналов, запутывание дрожания тактового сигнала и встроенные датчики защиты от взлома, интегрированы для противодействия анализу побочных каналов.

Запуск эффективных атак против защищённых микроконтроллеров требует сверхточного полупроводникового испытательного оборудования, профессиональных знаний в области криптоанализа и передовых навыков обратной разработки микросхем. Стоимость атаки и технический порог чрезвычайно высоки, поэтому производительность безопасности этих микросхем не является фокусом данной работы и будет рассмотрена отдельно в последующих специализированных исследованиях.

Микроконтроллеры общего назначения доминируют на массовом встраиваемом рынке, охватывая потребительскую электронику, промышленную автоматизацию и автомобильные вспомогательные модули с низким энергопотреблением. Почти все микроконтроллеры общего назначения интегрируют базовую встроенную защиту от копирования, чтобы запретить выгрузку прошивки после программирования. Однако разработчики встраиваемых систем должны признать, что большинство этих нативных механизмов защиты структурно слабы и могут быть обойдены недорогими методами атак.

Наиболее разумной вторичной классификацией микроконтроллеров общего назначения является классификация по физическому типу их памяти программ, поскольку принцип хранения данных напрямую определяет надёжность защиты от копирования и сложность атак. Различные технологии памяти имеют различные характеристики удержания заряда, параметры доступа и механизмы стирания, что является коренной причиной дифференцированной уязвимости. В следующей таблице обобщены ключевые технические параметры, характеристики программирования и стоимостные атрибуты семи основных типов памяти программ для встраиваемых микроконтроллеров.

Тип памяти программ	Метод программирования	Возможность обновления программы	Время доступа к памяти (макс. частота ядра)	Скорость программирования / время стирания	Стоимость микроконтроллера / программатора	Врождённая стойкость к копированию
Mask ROM (ROM)	Заводское программирование маской (мин. заказ 1000 шт.)	Нет обновления после производства	10 нс (100 МГц)	2-4 недели изготовления / Н/Д	Низкая / Не требуется	Высокая (доступен вариант с защитой от оптического чтения)
Однократно программируемая ROM (OTP ROM)	Запись внешним программатором	Нет обновления после программирования	100 нс (10 МГц)	50 слов/сек / Н/Д	Средняя / Средняя	Низкая (уязвима для УФ- и глитч-атак)
УФ-стираемая EPROM (UV EPROM)	Программатор / внутрисхемное программирование (ICP)	До 100 циклов стирания-записи	100 нс (10 МГц)	50 слов/сек / 10-30 мин УФ-стирания	Высокая / Средняя	Низкая (идентичная структура OTP)
Электрически стираемая EPROM (EEPROM)	Программатор / ICP	До 10 000 циклов	200 нс (5 МГц)	100 слов/сек / 10 мс электрическое стирание	Высокая / Низкая	Средняя (устойчива к простым инвазивным атакам)
Flash-стираемая EPROM (Flash EPROM)	Программатор / ICP	До 100 000 циклов	100 нс (10 МГц)	500 слов/сек / 5 мс стирание блока	Высокая / Низкая	Низкая-Средняя (широко эксплуатируется через глитчи)
Сегнетоэлектрическая RAM (FRAM)	Программатор / ICP	До 10¹² сверхвысоких циклов	200 нс (5 МГц)	2 Мбайт/сек / Стирание не требуется	Высокая / Низкая	Высокая (уникальный сегнетоэлектрический механизм хранения)
Статическая RAM (SRAM)	Чисто внутрисхемное программирование	Неограниченная перезапись	20 нс (50 МГц)	20 Мбайт/сек / Стирание не требуется	Высокая / Низкая	Средняя-Высокая (энергозависимая память противостоит инвазивным атакам)

На основе приведённой выше классификации памяти можно количественно проанализировать сложность атак и эффективность защиты каждого типа микроконтроллеров. Микроконтроллеры с Mask ROM встраивают прошивку на этапе производства пластин, при этом запрет доступа на аппаратном уровне устанавливается производителем. Однако некоторые микросхемы Mask ROM сохраняют скрытые заводские тестовые мониторные программы для послепроизводственной верификации памяти, которые могут быть использованы в качестве бэкдоров для обхода ограничений доступа. Наиболее надёжным методом извлечения прошивки для Mask ROM является декапсуляция микросхемы и оптическое считывание памяти.

Для повышения устойчивости к оптическому считыванию некоторые производители изготавливают ячейки ROM с использованием транзисторов с дифференцированными пороговыми напряжениями вместо традиционного бинарного метода хранения по принципу наличия/отсутствия транзистора. Такое хранение на основе пороговых значений не может быть декодировано путём поверхностного оптического наблюдения, требуя микрозондирования или выборочного химического травления для извлечения хранимых данных.

Микроконтроллеры с OTP ROM позволяют разработчикам активировать предохранители защиты кода во время начального программирования. Даже при активированной защите возможны как инвазивные, так и неинвазивные атаки. Распространённые недорогие инвазивные методы включают целенаправленное УФ-облучение предохранителей защиты, лазерную резку линий сигналов блокировки и ручное восстановление предохранителей на зондовых станциях. Неинвазивные атаки используют подачу аномальных электрических сигналов для обмана внутрисхемного конечного автомата защиты с целью сброса флагов блокировки.

Микроконтроллеры с UV EPROM имеют идентичную внутреннюю схемотехнику с OTP-устройствами, отличаясь только керамическими корпусами с прозрачными кварцевыми окнами для ультрафиолетового стирания. Таким образом, их уязвимости защиты от копирования и методы атак полностью совпадают с OTP-аналогами. Микроконтроллеры на основе EEPROM демонстрируют более высокую устойчивость к инвазивным атакам, поскольку их данные хранятся в виде накопления заряда на плавающем затворе, что сложнее физически манипулировать по сравнению с логическими ячейками на основе транзисторов.

Тем не менее, микросхемы EEPROM всё ещё подвержены микрозондированию шин квалифицированными злоумышленниками. Более критично то, что ячейки памяти EEPROM обладают чрезвычайно чувствительными характеристиками реакции на синхронизацию управляющих сигналов и уровни напряжения, что делает неинвазивные глитч-атаки чрезвычайно эффективными. Злоумышленники могут избирательно стирать предохранители защиты или вызывать ошибки конечного автомата для простого обхода логики защиты.

Микроконтроллеры с Flash EPROM доминируют на современном встраиваемом рынке, а уровни уязвимости почти идентичны устройствам EEPROM. Стойкость защиты незначительно варьируется в зависимости от итераций производителей, но почти для всех коммерческих Flash-микроконтроллеров существуют публично раскрытые неинвазивные методы обхода. Микроконтроллеры FRAM используют сегнетоэлектрическое поляризационное хранение, обладая врождённой устойчивостью к глитчам и возмущениям заряда, обеспечивая наилучшую нативную безопасность среди обычных типов памяти, хотя микрозондирование остаётся эффективным.

Микроконтроллеры на основе SRAM хранят прошивку в энергозависимой памяти, которая теряет все данные при отключении питания. Эта характеристика делает их высокоустойчивыми к инвазивным вмешательствам, поскольку любая операция декапсуляции микросхемы прервёт питание и мгновенно сотрёт прошивку. Однако аппаратные и программные ошибки в некоторых защищённых SRAM-микросхемах создают эксплуатируемые неинвазивные поверхности атак, такие как публично задокументированная уязвимость микроконтроллера Dallas Semiconductor DS5002FP с шифрованием шины.

3. Общая таксономия технологий атак на микроконтроллеры

Широкий спектр критических цифровых систем полагается на устойчивость к взлому встраиваемых процессорных устройств. Эта экосистема включает терминалы условного доступа платного телевидения, базовые модули сотовой связи GSM, предоплатные счётчики газа и электроэнергии, а также микросхемы электронных кошельков на смарт-картах. Коммерческая прибыльность и безопасность данных этих систем фундаментально зависят от невозможности злоумышленников извлечь встроенные ключи и проприетарную прошивку из внутренней памяти.

Крайне важно пояснить, что устойчивость микросхем к взлому никогда не является абсолютной. Любой злоумышленник, оснащённый профессиональным полупроводниковым испытательным оборудованием, может извлечь конфиденциальный ключевой материал и данные прошивки путём прямого наблюдения и манипулирования внутрисхемными компонентами. В индустрии встраиваемой безопасности достигнут универсальный консенсус: при достаточных капитальных вложениях, временных ресурсах и технической экспертизе любое устройство на кристалле, устойчивое к взлому, может быть в конечном счёте вскрыто и декодировано.

Таким образом, практический уровень безопасности микроконтроллера определяется не абсолютной невзламываемостью, а временными затратами, финансовыми инвестициями и техническим порогом, которые его встроенные защитные механизмы налагают на злоумышленников. Оценка этих трёх ключевых метрик штрафов является обязательной для инженерии встраиваемой безопасности, однако эта тема долгое время получала недостаточное внимание со стороны академических исследователей, оценщиков безопасности и промышленных инженеров-разработчиков.

Все существующие атаки, направленные на защиту от копирования микроконтроллеров, могут быть разделены на четыре стандартизированных класса угроз на основе физического воздействия, стоимости оборудования и технического принципа. Эта четырёхмерная таксономия была впервые предложена Андерсоном и Куном в классических исследованиях встраиваемой безопасности и остаётся наиболее авторитетной системой классификации на сегодняшний день.

Во-первых, методы микрозондирования относятся к инвазивным аппаратным атакам, требующим прямого физического доступа к обнажённой поверхности кремниевого кристалла. Злоумышленники используют прецизионное позиционирующее оборудование и нанозонды для контакта с внутрисхемными металлическими межсоединениями, что позволяет осуществлять наблюдение за передачей сигналов в реальном времени, намеренное манипулирование логикой и вмешательство в нормальную работу интегральной схемы.

Во-вторых, программные атаки используют стандартные внешние интерфейсы связи и отладки микроконтроллера. Они эксплуатируют логические уязвимости в прикладных протоколах, дефекты реализации криптографических алгоритмов, ошибки конечных автоматов прошивки и бреши в логике контроля доступа для обхода защиты без какого-либо физического изменения микросхемы.

В-третьих, методы прослушивания представляют собой пассивные атаки по побочным каналам, которые с высоким временным разрешением отслеживают аналоговые физические характеристики во время нормальной работы микросхемы. Отслеживаемые сигналы включают колебания тока питания, переходные напряжения на выводах интерфейса и электромагнитное излучение, испускаемое при переключении внутрисхемной логики, которые раскрывают неявную информацию о выполняемых инструкциях и битах секретных ключей.

В-четвёртых, методы генерации ошибок активно применяют аномальные внешние условия окружающей среды для намеренного вызова сбоев процессора. Эти искусственно внедрённые ошибки нарушают нормальный поток выполнения прошивки, разблокируют ограниченные режимы доступа и открывают защищённые области памяти, недоступные в стандартных рабочих условиях.

Все методы эксплуатации на основе микрозондирования классифицируются как инвазивные атаки. Они требуют непрерывной работы в течение нескольких часов или недель в специализированной экранированной лабораторной среде. Процесс декапсуляции навсегда разрушает оригинальный пластиковый корпус микросхемы, делая устройство непригодным для коммерческого использования после атаки. Остальные три категории атак определяются как неинвазивные, которые оставляют корпус микросхемы нетронутым и не вызывают постоянного физического повреждения устройства.

Испытательное оборудование, используемое для неинвазивных атак, может быть легко замаскировано под обычные считыватели смарт-карт или программаторы микроконтроллеров общего назначения, что затрудняет их обнаружение в сценариях полевого развёртывания. Неинвазивные атаки представляют две уникальные серьёзные угрозы для критически важных приложений, которых нет у инвазивных методов.

Во-первых, конечный пользователь скомпрометированного микроконтроллера не может воспринять, что конфиденциальные ключи или прошивка были украдены, поскольку устройство сохраняет нормальную функциональную производительность после неинвазивной эксплуатации. Поставщики услуг и системные администраторы не отзовут скомпрометированные учётные данные до того, как произойдёт злонамеренное использование, что приводит к скрытым долгосрочным рискам безопасности.

Во-вторых, неинвазивные атаки обладают превосходной масштабируемостью. Основное аппаратное и программное обеспечение атакующего оборудования может быть воспроизведено, модифицировано и модернизировано с чрезвычайно низкими предельными затратами, что позволяет одному злоумышленнику проводить массовое взламывание множества идентичных микроконтроллеров.

Логика технического развития атак на микроконтроллеры следует фиксированному промышленному шаблону. Разработка высокоточных неинвазивных атак по побочным каналам требует глубоких предварительных знаний об архитектуре целевого процессора, компоновке памяти и логике выполнения прошивки. Напротив, инвазивные атаки микрозондирования имеют низкие начальные требования к знаниям и применяют универсальные технические процессы, применимые почти ко всем полупроводниковым продуктам одного технологического узла.

По этой причине большинство цепочек атак начинаются с инвазивной обратной разработки для декодирования внутренней структуры и логики защиты микросхемы. Технические данные, полученные в ходе инвазивного анализа, затем используются для разработки недорогих, быстрых и масштабируемых неинвазивных инструментов атак для массового развёртывания. Такая двухэтапная эволюция атак является основной причиной, по которой системы защиты массовых микроконтроллеров не справляются с крупномасштабными задачами защиты от пиратства.

3.1 Неинвазивные атаки на микроконтроллеры

Неинвазивные атаки являются наиболее распространёнными и практически угрожающими методами эксплуатации для микроконтроллеров общего назначения из-за их низкой стоимости, повторяемости и необнаруживаемости. С 1996 года автор проводит систематические экспериментальные исследования неинвазивных методов обхода защиты от копирования на сотнях массовых моделей микроконтроллеров от мировых производителей. Микроконтроллер PIC16F84 стал первым тестовым объектом, успешно дешифрованным с помощью самодельного оборудования для глитч-атак, что положило начало долгосрочным исследованиям в этой области.

Специализированная неинвазивная атакующая платформа автора построена на базе хост-ПК IBM, работающего под управлением MS-DOS или Windows 95/98, при этом вся управляющая логика написана на C++. Это специализированное программирующее оборудование спроектировано для генерации сверхбыстрых, широкорегулируемых напряжений питания и программирующих импульсов, что является ключевым аппаратным условием для проведения атак с помощью глитчей питания и тактового сигнала.

Модуль генерации сигналов платформы выводит 32 настраиваемых цифровых логических канала с регулируемыми уровнями высокого/низкого порога, а некоторые каналы поддерживают режим выхода с открытым стоком для гибкого согласования нагрузки. В то же время платформа имеет 16 высокоомных входных каналов для захвата сигналов ответа от целевого микроконтроллера во время внедрения атаки. Такая конфигурация каналов достаточна для охвата определений выводов и интерфейсов связи более 95% 8- и 16-битных встраиваемых микроконтроллеров.

Аппаратная база платформы включает сменную плату-адаптер с гнездовыми разъёмами для всех тестируемых корпусов микроконтроллеров. Для специальных вариантов расположения выводов используются вспомогательные переходные адаптеры для обеспечения надёжного электрического контакта без физической модификации целевой микросхемы.

Наиболее распространённые неинвазивные векторы атак фокусируются на манипулировании двумя ключевыми рабочими параметрами микроконтроллеров: напряжением питания и входными тактовыми сигналами. Внедрение пониженного напряжения снижает рабочее напряжение ядра ниже минимального порога, указанного в техническом описании, в то время как повышенное напряжение поднимает напряжение выше максимального безопасного предела. Оба метода могут отключить специализированные аппаратные цепи защиты или заставить конвейер ЦПУ выполнять неправильные инструкции, выходящие за пределы спецификации.

Многие защищённые микроконтроллеры интегрируют встроенные датчики обнаружения напряжения для мониторинга статического рабочего напряжения. Однако почти все эти датчики имеют внутренние дефекты задержки отклика и не могут обнаружить наносекундные переходные глитчи напряжения. Быстрые переходные импульсы питания могут временно сбросить внутрисхемный конечный автомат защиты без стирания или повреждения защищённой прошивки и ключевых данных, хранящихся в энергонезависимой памяти.

Точные переходные процессы питания и тактового сигнала также могут вмешиваться в процесс декодирования и выполнения отдельных кодов операций ЦПУ. Каждый транзистор и металлическое межсоединение на кристалле образуют собственную RC-цепь задержки с фиксированной задержкой распространения сигнала. Максимальная стабильная тактовая частота микроконтроллера определяется самым длинным путём RC-задержки среди всех внутренних логических элементов.

Аналогично, каждый CMOS-триггер имеет сверхузкое окно выборки всего в несколько пикосекунд для фиксации входных уровней напряжения и обновления выходных состояний. Это окно фиксировано для отдельной микросхемы при конкретном напряжении и температуре, даже в пределах стандартного времени установки/удержания, указанного в официальном техническом описании.

Путём внедрения тактового глитча (импульса, значительно короче стандартного тактового цикла) или глитча питания (быстрого переходного скачка/провала напряжения) злоумышленники могут избирательно нарушать переключение отдельных транзисторов. С помощью систематического перебора параметров глитча по амплитуде, ширине и времени внедрения ЦПУ можно заставить выполнять неопределённые недействительные инструкции, не входящие в официальный набор микрокода.

Хотя точное соответствие между параметрами глитча и неправильными инструкциями невозможно предсказать теоретически заранее, автоматизированное тестирование перебором с помощью специализированной программирующей платформы может быстро найти эффективные конфигурации глитча для конкретных моделей микроконтроллеров. Этот метод полного перебора прост в реализации и высокоэффективен для массовых микросхем с фиксированными технологическими параметрами.

Анализ мощности, также известный как простой анализ мощности (SPA) и дифференциальный анализ мощности (DPA), является ещё одной зрелой неинвазивной угрозой. В цепь питания микроконтроллера последовательно включается высокоточный резистор сопротивлением 10-15 Ом для преобразования динамических колебаний тока в измеримые сигналы напряжения.

Для дискретизации сигнала напряжения используется аналого-цифровой преобразователь (АЦП) с разрешением не менее 12 бит, при этом частота дискретизации устанавливается кратной рабочей частоте микросхемы для достижения синхронного сбора данных. Такой синхронный режим дискретизации устраняет фазовый шум и повышает точность извлечения сигналов побочных каналов.

Драйверы шин адреса и данных встраиваемых микроконтроллеров обычно состоят из 8-12 параллельных инвертирующих блоков на одну линию сигнала, управляющих большими внутрисхемными ёмкостными нагрузками. Каждый переключение логического уровня линий шины вызывает кратковременный ток короткого замыкания в домене питания, создавая измеримый пик потребления мощности.

Переключение одной линии шины между логическими 0 и 1 вызывает изменение тока на 0,5-1 мА в момент фронта тактового сигнала, что может быть чётко различимо 12-битным АЦП. Операции записи в SRAM создают наиболее заметные сигнатуры мощности из-за одновременной зарядки и разрядки конденсаторов множества ячеек памяти.

Путём усреднения трасс питания сотен повторяющихся идентичных операций злоумышленники могут извлекать слабые сигналы побочных каналов, которые не передаются напрямую через внешнюю шину. Изменения состояния флага переноса во время арифметических операций являются наиболее ценной целью, поскольку большинство алгоритмов развёртывания криптографических ключей используют операции сдвига битов, раскрывающие отдельные биты ключа через утечку флага переноса.

Даже если изменения битов состояния не могут быть измерены напрямую, они изменяют последовательность выполнения последователя инструкций и поток микрокода, приводя к различимым шаблонам потребления мощности. Разные инструкции ЦПУ активируют декодер, арифметико-логическое устройство (АЛУ) и регистровый файл с различной интенсивностью активности, позволяя злоумышленникам реконструировать полный поток выполнения прошивки и логику криптографического алгоритма по трассам мощности.

Остаточные данные являются физической неинвазивной уязвимостью, затрагивающей энергозависимые устройства памяти. Ячейки статической RAM могут сохранять хранимые данные в течение короткого времени после отключения питания из-за остаточного накопления заряда. Если ячейка SRAM в течение длительного времени выполнения хранит фиксированное значение ключа, распределение заряда образует стабильное латентное состояние, которое может быть восстановлено при следующем включении питания.

Низкотемпературная заморозка дополнительно увеличивает время остаточного хранения данных. Охлаждение микроконтроллера до -20°C позволяет SRAM сохранять полные данные в течение нескольких минут, а сверхнизкие температуры ниже -50°C могут продлить хранение данных до нескольких часов. Этот метод позволяет злоумышленникам извлекать конфиденциальные ключи времени выполнения из энергозависимой памяти без какого-либо изменения микросхемы.

В следующей таблице перечислены все модели микроконтроллеров, проверенные автором на уязвимость к неинвазивным атакам, включая их ключевые характеристики памяти, эффективные методы атак и технические примечания. Модели, отмеченные в квадратных скобках, не были физически протестированы, но, как предполагается, имеют идентичные уязвимости на основе согласованности архитектуры семейства.

Производитель и модель микроконтроллера	Ключевые аппаратные особенности	Эффективный неинвазивный метод атаки	Технические комментарии
Motorola HC05 SeriesMC68HC05B6/B8/B16, (B32/X4), X16/X32	Mask ROM, Data EEPROM, общий бит безопасности EEPROM	Глитч питания / глитч тактового сигнала	Встроенная защита от случайного стирания памяти данных включена по умолчанию
Motorola HC11 SeriesMC68HC11A8/E9, (E20), L6, (KA2/KA4/KG2/KG4)	Mask ROM, Data EEPROM, независимый бит безопасности EEPROM	Глитч питания	Загрузчик автоматически стирает память данных при активации блокировки безопасности
Microchip PIC16C84	Program EEPROM, Data EEPROM, бит безопасности EEPROM	Перенапряжение питания / широкодиапазонный глитч питания	Команда стирания микросхемы очищает биты защиты кода вместе с памятью программ/данных
Microchip PIC16F83/F84, HCS512	Flash-память программ, Data EEPROM, бит безопасности EEPROM	Точный глитч питания	Та же уязвимость стирания микросхемы, что и у платформы PIC16C84
Microchip PIC16F84A/F627/F628, (F870-F872), F873-F877	Высокоплотная Flash, Data EEPROM, улучшенные биты безопасности	Глитч питания с контролем времени	Улучшенная нативная защита всё ещё уязвима для оптимизированных по параметрам глитчей
Atmel 8051 SeriesAT89C51/C52/C55/C1051/C2051, (C4051)	Flash-память программ, многоуровневые биты блокировки	Синхронизированный глитч питания	Команда массового стирания сбрасывает все биты блокировки вместе с очисткой памяти программ
Atmel AVR SeriesAT90S1200/2313/2323, (2343), 8515	Flash-память программ, независимая Data EEPROM, биты безопасности	Глитч со смещением тактовой частоты	Асинхронное возмущение тактового сигнала обходит аппаратный конечный автомат защиты AVR
NEC 78K/0S Series(uPD78F9026/F9046), uPD78F9116, (F9136)	Flash-память программ, отсутствует встроенный интерфейс чтения памяти	Последовательность импульсных глитчей питания	Режим массового стирания полностью очищает защищённые блоки памяти программ
Texas Instruments MSP430 SeriesF110/F112/F1101/F1121, F122/F123, F133/F135, F147-F149, F412/F413	Основная Flash + Data Flash, парольная блокировка доступа	Глитч тактового сигнала со сдвигом фазы	Глобальное стирание сбрасывает пароль вместе со всеми областями программ и данных

Важно отметить, что включение в таблицу уязвимостей указывает лишь на врождённую подверженность неинвазивным атакам для перечисленных ревизий микроконтроллеров. Обновлённые шаги кристаллов и исправленные маски прошивки от производителей могут устранить эти лазейки, поэтому разработчики должны проверять конкретную ревизию микросхемы перед развёртыванием продукта. Некоторые модели имеют множество альтернативных неинвазивных методов атак с вероятностью успеха от 15% до 100%. Методы с низкой вероятностью успеха, циркулирующие в сети, несут риски постоянного повреждения целевой микросхемы или оборудования программатора.

3.2 Инвазивные атаки на микроконтроллеры

ПРЕДУПРЕЖДЕНИЕ: Описанное ниже содержание инвазивных атак предназначено исключительно для академических исследований и оценки безопасности. Автор не несёт никакой юридической или технической ответственности за любое несанкционированное использование этих методов для взлома защищённых авторским правом прошивок микроконтроллеров. Читатели, пытающиеся воспроизвести эти эксперименты, делают это исключительно на свой страх и риск и должны соблюдать местные законы об интеллектуальной собственности и безопасности полупроводников.

Широко распространённое заблуждение в индустрии встраиваемых систем утверждает, что инвазивные атаки требуют оборудования стоимостью в сотни тысяч долларов и профессиональных знаний уровня докторской степени, что делает их недоступными для малобюджетных злоумышленников. Этот миф приводит многих разработчиков к тому, что они полагаются исключительно на неинвазивную защиту и игнорируют оценку инвазивных угроз, что приводит к серьёзным рискам утечки IP.

В действительности многие практические инвазивные атаки могут быть реализованы с использованием недорогого, легкодоступного оборудования и базовых знаний химии. Хотя инвазивные методы включают декапсуляцию микросхемы и физическое манипулирование цепями, их общая стоимость может быть ограничена $3,000, что значительно ниже ожиданий большинства разработчиков. В этом разделе разрушается миф о высокой стоимости на примере двух типичных практических атак на коммерческие PIC-микроконтроллеры.

Основным предварительным условием всех инвазивных атак является декапсуляция микросхемы, то есть удаление пластикового или эпоксидного корпуса для обнажения кремниевого кристалла. Существуют два основных подхода к декапсуляции: полное растворение корпуса и частичное удаление пластика над поверхностью кристалла.

Полное растворение погружает всю микросхему в агрессивную кислоту для удаления всего материала корпуса, что требует профессионального станка для переприпайки оголённого кристалла на тестовый носитель. Этот метод имеет высокий технический порог и не подходит для малобюджетных злоумышленников. Частичное удаление пластика является оптимальным выбором для чувствительных к стоимости исследований, так как оно обнажает кремниевый кристалл, сохраняя при этом исходные проволочные выводы и основание корпуса.

Дымящая концентрированная азотная кислота (чистота выше 98%) является стандартным реагентом для частичной декапсуляции. Она быстро растворяет эпоксидный компаунд, не разъедая алюминиевые проволочные выводы и кремниевый кристалл. Химическая реакция должна проводиться в вытяжном шкафу с низкой влажностью, так как водяной пар вызывает электрохимическую коррозию обнажённых металлических межсоединений на поверхности кристалла.

После растворения эпоксидной смолы остатки кислоты удаляются промывкой ацетоном. Затем используется ультразвуковая ванна для удаления микроскопических химических остатков с поверхности кристалла. Наконец, микросхема промывается деионизированной водой и изопропанолом для нейтрализации и сушки. Если ультразвуковая ванна недоступна, этап промывки можно пропустить; незначительное загрязнение поверхности не влияет на последующие операции УФ-облучения и зондирования.

Недорогую ультразвуковую ванну можно собрать самостоятельно из генератора сигналов, ферритовой антенной катушки и ёмкости из нержавеющей стали, что исключает необходимость в коммерческом лабораторном оборудовании. После декапсуляции микросхема сохраняет полную электрическую функциональность, что позволяет выполнять последующие операции по манипуляции предохранителями защиты и считыванию памяти.

3.2.1 Недорогая инвазивная атака на PIC12C508A

Микроконтроллер Microchip PIC12C508A представляет собой 8-выводной сверхдешёвый OTP-микроконтроллер, широко используемый в потребительских игрушках и простых устройствах управления. Его механизм защиты от копирования может быть полностью обойдён с помощью базовой инвазивной атаки УФ-облучением с общими затратами на оборудование ниже $200.

После завершения частичной декапсуляции микросхемы PIC12C508A следующим шагом является поиск внутрикристальных предохранителей защиты. С помощью оптического микроскопа с 100-кратным увеличением злоумышленники могут легко проследить металлическую линию сигнала, идущую от вывода напряжения программирования (VPP), чтобы найти компактную область массива предохранителей на краю кристалла.

Если микроскоп недоступен, можно применить метод грубого УФ-сканирования: последовательно облучать разные области кристалла ультрафиолетовым светом и проверять статус защиты от чтения после каждого облучения. После того как область предохранителей найдена, используется непрозрачная чёрная бумага для покрытия всего кристалла, кроме области предохранителей, чтобы предотвратить случайное стирание ячеек памяти программ.

Непрерывное УФ-облучение в течение 5-10 минут сбрасывает перегоревшие OTP-предохранители в незапрограммированное состояние. После этой операции любой обычный программатор может без ограничений считывать полную оригинальную память программ и пользовательские данные из микросхемы.

Более точный вариант этой атаки использует микроскоп и острую вольфрамовую зондовую иглу вместо лазерного резака. Прослеживая линии сигналов, подключённых к массиву предохранителей защиты, злоумышленники могут идентифицировать выделенную линию управления блокировкой. Из-за исторического дефекта компоновки PIC12C508A эта линия блокировки изолирована от других плотных межсоединений.

Аккуратное соскабливание пассивирующего слоя над линией зондовой иглой до тех пор, пока внутренний алюминиевый провод не будет перерезан, навсегда отключает логику защиты от копирования. Этот метод позволяет избежать необходимости в дорогостоящем лазерном оборудовании и достигает того же эффекта обхода защиты с помощью ручной механической операции.

3.2.2 Микрозондирование атаки на PIC16F874

Микроконтроллер Microchip PIC16F874 представляет собой среднеуровневый Flash-микроконтроллер с экранированными предохранителями безопасности на основе EEPROM, которые не могут быть разблокированы обычным УФ-облучением. Эта модель требует базовой технологии микрозондирования для извлечения защищённых данных прошивки, представляя собой случай атаки средней сложности.

Процесс декапсуляции микросхемы PIC16F874 идентичен описанному для PIC12C508A с использованием дымящей азотной кислоты. После обнажения кристалла злоумышленник изучает компоновку микросхемы под оптическим микроскопом с 100-200-кратным увеличением для идентификации параллельных линий шины данных, соединяющих массив Flash-памяти с ядром ЦПУ и периферийными модулями.

Критической конструктивной уязвимостью PIC16F874 является то, что его механизм защиты от копирования ограничивает доступ к памяти только в пользовательском режиме, оставляя доступ к шине в режиме программирования полностью разблокированным. Путём размещения прецизионной зондовой иглы на обнажённых линиях шины данных верхнего металлического слоя злоумышленники могут захватывать сигналы данных в реальном времени во время операций чтения памяти.

Путём многократной подачи команды чтения в режиме программирования и последовательного перемещения зондовой иглы по различным линиям шины можно полностью реконструировать 14-битную память программ и 8-битную память пользовательских данных. Этот метод требует только базового микроскопа и ручной зондовой иглы, а общие затраты на оборудование составляют менее $1,500.

3.2.3 Продвинутая инвазивная обратная разработка и технология FIB

Высокотехнологичные инвазивные атаки включают полную обратную разработку микросхем и редактирование с использованием сфокусированного ионного пучка (FIB), нацеленные на защищённые микроконтроллеры и сложные программируемые логические устройства. Первым шагом полной обратной разработки является построение полной карты компоновки микросхемы.

Оптический микроскоп с ПЗС-камерой делает высокоразрешающие фотографии всей поверхности кристалла, которые затем сшиваются в панорамные мозаичные изображения метрового масштаба. Инженеры идентифицируют ключевые функциональные блоки, включая ROM, RAM, EEPROM, АЛУ, декодер инструкций и драйверы GPIO, отслеживая связность металлических межсоединений и граничные особенности блоков.

Верхний алюминиевый металлический слой блокирует оптическое наблюдение нижележащих слоёв схемы. Для непланаризованных микросхем структуры нижних слоёв могут быть выведены из вариаций высоты поверхности. Для получения чётких изображений глубоких металлических и поликремниевых слоёв микросхема кратковременно погружается в разбавленную плавиковую кислоту (HF) в ультразвуковой ванне для удаления верхнего оксидного пассивирующего и металлического слоёв.

HF является высокоагрессивным опасным реагентом, требующим строгих средств индивидуальной защиты и работы в вытяжном шкафу. После удаления слоёв вторичная панорамная фотография раскрывает полную многослойную схему для реконструкции логических функций.

Установки сфокусированного ионного пучка (FIB) являются передовыми инструментами редактирования полупроводников, построенными на вакуумных камерах, аналогичных сканирующим электронным микроскопам (SEM). Источник ионов жидкого металлического галлия ускоряет пучки ионов с энергией 30 кВ до пятна диаметром 5-10 нм, обеспечивая двойные функции высокоразрешающей визуализации и прецизионного травления материалов.

Системы FIB могут визуализировать поверхность микросхем с разрешением 5 нм с помощью детектирования вторичных частиц. Увеличение тока пучка позволяет точно удалять материал кристалла с нанометровым масштабом. Травление с газовой помощью с использованием паров йода повышает скорость и глубину травления, позволяя создавать вертикальные отверстия с высоким аспектным отношением для доступа к глубоко залегающим металлическим слоям без повреждения соседних цепей.

Платиновый металлоорганический газ может быть разложен ионным пучком для осаждения проводящих платиновых дорожек, создавая новые контактные площадки на поверхности кристалла. Газ-осадитель изолятора может создавать диэлектрические изолирующие слои для целенаправленной модификации цепей. Современные коммерческие FIB-установки стоят менее $500,000, а время обработки может быть арендовано по всему миру по цене $200-$500 в час, что делает эту технологию доступной для профессиональных злоумышленников.

Технология FIB с доступом с обратной стороны полирует микросхему со стороны кремниевой подложки до толщины в десятки микрометров. Инфракрасная навигация и лазерная интерферометрическая локация обеспечивают точное позиционирование транзисторов и контакт через подложку. Хотя эта новая техника ещё не широко используется коммерческими пиратами, она станет основным направлением будущих атак на микросхемы и должна учитываться разработчиками защищённых микросхем.

4. Классификация угроз и иерархические технологии защиты

Основываясь на методах атак, подтверждённых в вышеуказанных экспериментах, все атаки, направленные на микроконтроллеры, могут быть разделены на четыре уровня угроз в зависимости от стоимости реализации, технического порога и масштаба разрушительного воздействия, что служит основой для целенаправленного проектирования защиты.

Уровень 1: Недорогие неинвазивные атаки. Это самый высокий уровень угрозы, требующий только специализированного программатора с поддержкой глитчей. Стоимость оборудования ниже $500, технический порог низкий, а масштабируемость атак максимальна. Все микроконтроллеры, перечисленные в таблице уязвимостей, попадают в эту категорию, и такие атаки могут быть выполнены отдельными злоумышленниками-любителями.

Уровень 2: Базовые недорогие инвазивные атаки. Оборудование включает базовые химические реагенты, оптический микроскоп и ручные зондовые инструменты, общая стоимость от $100 до $3,000. Технический порог эквивалентен знаниям химии на уровне средней школы и базовым знаниям встраиваемых систем. Злоумышленники могут разблокировать OTP- и Flash-микросхемы с помощью УФ-стирания и простой резки линий, представляя серьёзную угрозу для продуктов низкого и среднего ценового сегмента.

Уровень 3: Прецизионное микрозондирование. Требует профессиональных зондовых станций и знаний в области полупроводников, общая стоимость оборудования от $10,000 до $100,000. Эта угроза направлена только на коммерческие устройства с высокой стоимостью, так как время атаки и трудозатраты превышают прибыль от обычных продуктов начального уровня. Микроконтроллеры, устойчивые к атакам уровней 1 и 2, достаточны для большинства промышленных приложений.

Уровень 4: Полная обратная разработка и FIB-редактирование. Самый высокий уровень угрозы, требующий FIB-установок, SEM и профессиональных знаний в области проектирования сверхбольших интегральных схем (VLSI), общие инвестиции превышают $500,000. Эта атака используется только для дешифровки военных и высокоценных финансовых микросхем. Микросхемы, устойчивые к первым трём уровням угроз, считаются достаточно безопасными для большинства гражданских сценариев.

Современная индустрия встраиваемых систем сталкивается с трудной дилеммой безопасности: почти все микроконтроллеры общего назначения уязвимы для атак уровней 1 или 2. Прямой переход на защищённые микроконтроллеры может устранить эти угрозы, но это влечёт за собой три критических недостатка: чрезвычайно высокую стоимость за единицу, несовместимость с обычными микросхемами по расположению выводов и системе команд, а также ограниченные каналы поставок.

Большинство малых и средних предприятий не могут позволить себе полную переработку аппаратного обеспечения и прошивки существующих продуктов для перехода на защищённые микроконтроллеры. Даже при использовании защищённых микросхем злоумышленники, нацеленные только на части алгоритмов, всё равно могут извлекать ключевые сегменты кода с помощью низкоуровневых инвазивных методов, не достигая комплексной защиты IP.

Для решения этой дилеммы в данной работе обобщены четыре практические, экономически эффективные стратегии защиты, совместимые с платформами микроконтроллеров общего назначения, не требующие полной замены микросхем или масштабной переработки аппаратного обеспечения.

Первая стратегия: Аппаратное упрочнение с помощью программируемых логических устройств (PLD). Дополните основной микроконтроллер CPLD или EPLD в схеме продукта. PLD обладают врождённо более высокой устойчивостью к атакам, чем MCU, с встроенными логическими матрицами, которые сложно подвергнуть обратной разработке. Даже если основная прошивка MCU взломана, основная логика аутентификации, зафиксированная в PLD, остаётся конфиденциальной, что значительно увеличивает общие временные затраты на атаку.

Вторая стратегия: Защита с использованием недокументированных аналоговых битов памяти. Используйте аналоговые характеристики накопления заряда ячеек OTP, EEPROM и Flash. Программируйте определённые ячейки памяти в промежуточные состояния заряда вблизи порога считывающего усилителя. Из-за помех в цепи эти ячейки при нормальном чтении выдают случайные значения 0/1.

Прошивка использует эти случайные биты в качестве динамических ключей аутентификации во время выполнения. Злоумышленники не могут воспроизвести промежуточное состояние заряда при клонировании, поэтому скопированная прошивка не пройдёт динамическую проверку аутентификации. Эта аналоговая физическая особенность создаёт аппаратную неклонируемую функцию (PUF) без дополнительных затрат.

Третья стратегия: Постоянное разрушение интерфейса программирования. После завершения массового программирования навсегда отключите внешний интерфейс программирования микросхемы механическими или электрическими методами. Механические методы включают перерезание вывода VPP и проволочного вывода с помощью прецизионного резака. Электрические методы используют мгновенное перенапряжение для пережигания внутреннего предохранителя интерфейса программирования.

Этот метод полностью блокирует неинвазивные атаки чтения в режиме программирования, хотя не обеспечивает защиты от инвазивных атак на уровне кристалла. Он подходит для недорогих массовых продуктов, не требующих обновления прошивки после поставки.

Четвёртая стратегия: Запутывание логики управления режимом программирования. Проведите обратную разработку части управляющей логики программирования микросхемы или используйте микрозондирование для изменения временных параметров конечного автомата. Запутайте условия входа в режим программирования, чтобы стандартные коммерческие программаторы не могли войти в состояние программирования с включённым чтением. Этот метод эффективно повышает технический порог для неинвазивных и базовых инвазивных атак.

5. Направления дальнейших исследований

Будущие исследования защиты от копирования во встраиваемых системах должны сосредоточиться на оценке безопасности программируемых логических матриц (PLA) и программируемых пользователем вентильных матриц (FPGA). Аналогично микроконтроллерам, PLD интегрируют встроенные биты защиты от клонирования, однако их уязвимость к глитчам, зондированию и химическим атакам не была систематически проверена по сравнению с MCU.

FPGA-устройства имеют внутренние дефекты безопасности из-за внешней загрузки конфигурационного потока; незашифрованные потоки битов могут быть легко скопированы и клонированы. Многие промышленные системы используют PLD вместе с FPGA для предотвращения пиратства конфигураций, поэтому устойчивость к атакам PLD на основе EEPROM является критической темой исследований для защиты промышленной IP.

Ещё одним ключевым направлением исследований является количественная оценка физически неклонируемых функций (PUF) на обычных микроконтроллерах. Предложенная в данной работе защита с использованием аналоговых битов памяти является начальной реализацией PUF; будущие исследования могут оптимизировать стабильность и случайность для формирования стандартизированных недорогих PUF-решений для массового развёртывания.

Кроме того, защитный эффект внутрикристальных датчиков напряжения/температуры против переходных глитч-атак требует дальнейшего количественного тестирования. Оптимизация задержки отклика датчиков для блокировки наносекундных возмущений позволит эффективно устранить наиболее угрожающий неинвазивный вектор атак уровня 1 для микроконтроллеров общего назначения.