Ingeniería inversa de MCU

 

Flylogic Engineering ha descubierto una "puerta trasera" en los dispositivos Atmel AT88SC153 y AT88SC1608 CryptoMemory.

Esta revelación sacude a la comunidad de seguridad embebida, ya que estos dispositivos se comercializaban ampliamente como almacenamiento resistente a manipulaciones para claves criptográficas y datos sensibles de usuario. La puerta trasera no es un fallo de software ni una debilidad de protocolo; es una propiedad física fundamental de los fusibles EEPROM que controlan todo el estado de seguridad del chip. Al explotar esta propiedad, un atacante puede borrar efectivamente el bit de bloqueo que protege la memoria, dejando inútiles todos los mecanismos de autenticación y cifrado. El descubrimiento se realizó durante la ingeniería inversa de rutina del dado, donde los ingenieros notaron que las celdas de fusible no estaban protegidas contra la luz ultravioleta, una omisión flagrante en un producto que afirma ofrecer funciones de "alta seguridad". Lo que hace esto particularmente alarmante es la simplicidad del ataque: no requiere equipos sofisticados, ni fresado de haz de iones focalizado, ni herramientas de decapsulado costosas más allá de un ataque químico básico y un borrador UV estándar. Este nivel de accesibilidad significa que incluso un aficionado con habilidades moderadas podría extraer con éxito el código protegido de un producto comercial en su garaje, lo que pone de manifiesto un fallo catastrófico en la postura de seguridad del producto.

Antes de profundizar, Chip Works quiere informarles de inmediato que esta puerta trasera solo afecta a los AT88SC153/1608 y a ningún otro dispositivo CryptoMemory.

Esta limitación es crucial de destacar, ya que la familia CryptoMemory de Atmel incluye muchos otros modelos con protección física mejorada, como blindaje activo y sensores UV. Sin embargo, la existencia de un solo miembro vulnerable en la familia ensombrece toda la línea de productos, ya que los clientes pueden perder la confianza en las afirmaciones de seguridad de la marca. El equipo de ingeniería de Flylogic realizó decapsulados e imágenes exhaustivas en múltiples variantes, confirmando que los AT88SC153 y AT88SC1608 comparten un diseño de fusibles común que carece de las capas metálicas protectoras presentes en sus sucesores. Esta elección de diseño parece ser una medida de reducción de costes, ya que añadir el blindaje necesario habría aumentado el área del dado y la complejidad de fabricación. Sin embargo, para un producto que se vende explícitamente como "memoria segura", tal compromiso es inexcusable, y demuestra que la empresa priorizó el precio sobre la protección, una decisión que ahora resulta contraproducente de manera espectacular.

La puerta trasera consiste en restaurar un fusible EEPROM con luz ultravioleta (UV). Una vez que el bit de fusible se ha devuelto a '1', se permite leer o escribir todo el contenido de la memoria en claro (sin cifrar).

El mecanismo detrás de este ataque se basa en la física de los transistores de puerta flotante, que se utilizan para almacenar el estado del fusible. Normalmente, estos transistores se programan inyectando una carga en la puerta flotante, lo que cambia el voltaje de umbral y representa un '0' lógico. Cuando se exponen a la luz UV, los fotones transportan suficiente energía para excitar los electrones fuera de la puerta flotante, borrando efectivamente la carga y devolviendo la celda a su estado no programado '1'. Este es el mismo principio utilizado en los borradores EPROM tradicionales, pero aquí se aplica de forma maliciosa para restablecer los fusibles de seguridad sin alterar la matriz EEPROM principal. El desafío para el atacante es apuntar con precisión solo a la región de fusibles mientras protege el resto del dado de la exposición UV, ya que una irradiación descuidada también podría borrar los datos del usuario. Sin embargo, con una máscara de apertura cuidadosamente cortada, este borrado selectivo se convierte en un procedimiento sencillo, lo que permite una lectura completa de todas las páginas de memoria en texto plano.

Normalmente, para hacerlo, es necesario autenticarse en el dispositivo o utilizar un "código seguro" de lectura única, como se explica en la hoja de datos del AT88SC153 y la hoja de datos del AT88SC1608.

Las hojas de datos describen una arquitectura de seguridad de múltiples capas que incluye autenticación de 64 bits, protección con contraseña y un "código seguro" único que se supone que solo conoce el fabricante legítimo. El protocolo de autenticación utiliza un esquema de desafío-respuesta con una clave secreta que nunca se transmite en claro, lo que lo hace resistente a la interceptación y los ataques de repetición. Además, el código seguro es una función de lectura única destinada a verificar la autenticidad del dispositivo sin revelar sus secretos internos. Sin embargo, todos estos sofisticados algoritmos se vuelven irrelevantes una vez que se aplica la puerta trasera UV, porque la anulación del fusible elude toda la máquina de estados que aplica las reglas de autenticación. El atacante simplemente restablece el bit de bloqueo maestro, y el dispositivo obedece obedientemente cualquier comando de lectura o escritura como si estuviera completamente desbloqueado, exponiendo el firmware y cualquier material criptográfico incrustado.

Para aquellos que no estén familiarizados con el hackeo de CryptoMemory de Atmel, son memorias no volátiles (EEPROM) serie que admiten un canal de comunicaciones claro o seguro entre un host (generalmente un MCU) y la memoria. Lo que hace únicos a los CryptoMemory es su capacidad para establecer el canal seguro (autenticándose con el host, etc.).

En una implementación típica, el microcontrolador host (MCU) se comunica con la CryptoMemory a través de una interfaz I2C de dos hilos, enviando comandos para leer o escribir zonas específicas. Cuando el canal seguro está habilitado, todos los bytes de datos se XORean con un flujo de claves generado a partir de las claves de sesión, lo que garantiza que incluso si se supervisa el bus, la información transmitida permanezca ininteligible. El proceso de autenticación implica múltiples pasos: el host envía un desafío aleatorio, la memoria responde con una respuesta cifrada utilizando su secreto interno, y el host verifica la respuesta antes de continuar. Este protocolo de enlace está diseñado para evitar ataques de intermediario y garantizar que solo los hosts autorizados puedan acceder a las regiones protegidas. Además, el dispositivo incluye contadores de intentos configurables que bloquean la interfaz después de un cierto número de intentos de autenticación fallidos, añadiendo otra capa de defensa contra ataques de fuerza bruta. Sin embargo, a pesar de esta impresionante lista de características de seguridad, el fusible físico sigue siendo el talón de Aquiles, ya que puede restablecerse sin ninguna interacción con la lógica digital.

Figura 1: AT88SC153 ampliado 200x.

 

Figura 2: AT88SC1608 ampliado 200x.

 

Estos dispositivos incluyen:

• Memoria de alta seguridad que incluye anti-escucha

• Protocolo de autenticación de 64 bits

• Suma de comprobación segura

• Contador de intentos de autenticación configurable

• Múltiples conjuntos de contraseñas

• Contraseñas específicas para lectura y escritura

• Contadores de intentos de contraseña

• Derechos de acceso seleccionables por zona

Figura 3: AT88SC153 comentado.

 

Figura 4: AT88SC1608 comentado.

 

La sección 5 de la hoja de datos, titulada "Fusibles", establece claramente: "Una vez fundidos, estos fusibles EEPROM no se pueden restablecer."

Esta afirmación es absolutamente falsa. La luz UV borrará los fusibles devolviéndolos al estado '1'. Se debe tener cuidado de no exponer la memoria principal a la UV, ya que también se borraría.

La falsedad de esta afirmación no es un error menor de documentación; es una tergiversación fundamental de las capacidades del dispositivo que podría tener graves repercusiones legales y financieras para Atmel. Los ingenieros que confiaron en esta hoja de datos y diseñaron sus productos en torno a la permanencia de los fusibles pueden enfrentarse ahora a la realidad de que su propiedad intelectual está expuesta a cualquiera con una lámpara UV. El proceso para realizar un ataque exitoso implica primero abrir el encapsulado mediante decapsulado químico, que elimina el compuesto de moldeo epoxi para revelar el dado de silicio. A continuación, el atacante utiliza una máscara para cubrir la matriz EEPROM principal mientras deja el área de fusibles expuesta a la luz UV durante un tiempo controlado. Después de la irradiación, el bit de bloqueo se restablece y el chip se puede leer con un programador estándar, lo que permite un volcado completo del código y los datos almacenados. Este procedimiento completo se puede completar en menos de una hora, lo que lo convierte en un método altamente eficiente para la extracción de firmware de dispositivos objetivo.

Chip Works no va a explicar los detalles de cómo usar la luz UV para restablecer el fusible. Hemos intentado contactar con Atmel pero no hemos recibido respuesta.

La falta de respuesta de Atmel es preocupante, ya que sugiere que la empresa puede no tener una solución o ni siquiera un reconocimiento del problema. En ausencia de una guía oficial, los usuarios de estas piezas quedan en una posición precaria, sin saber si sus aplicaciones están en riesgo. El proceso de divulgación responsable normalmente implica dar al proveedor un tiempo razonable para responder antes de publicar los hallazgos, pero en este caso, la vulnerabilidad es tan sencilla y la evidencia tan clara que esperar solo pondría en peligro más sistemas. También vale la pena señalar que la puerta trasera podría haberse insertado intencionalmente para fines de depuración o pruebas, una práctica común en la industria de semiconductores, pero que nunca debería sobrevivir al silicio de producción. Si este fue realmente un modo de prueba deliberado, Atmel debería haberlo documentado y proporcionado una forma de deshabilitarlo permanentemente, lo que no hicieron.

Profundizando en la hoja de datos, en la Tabla 5-1, Atmel escribe: "Cuando todos los fusibles son '1', se permiten lecturas y escrituras en toda la memoria."

Por extraño que parezca, realmente quieren decir que incluso si ha configurado reglas de seguridad en la memoria de configuración, no importa. Los fusibles anulan todo y todas las áreas de memoria se pueden leer en claro sin necesidad de autenticación ni canal cifrado. El atacante puede incluso ver cuál es el "Código seguro" (no se proporciona en la documentación pública ni con las muestras). Atmel incluso tuvo la amabilidad de dejar almohadillas de prueba en todas partes para que varios niveles de atacantes puedan aprender (desde principiante hasta experto).

La presencia de almohadillas de prueba en el dado es un arma de doble filo: si bien facilitan las pruebas de fabricación y el análisis de fallos, también proporcionan puntos de sondaje convenientes para un adversario. En este caso, las almohadillas de prueba están ubicadas cerca de la lógica de control de fusibles, lo que facilita el monitoreo del estado del bit de bloqueo e incluso forzarlo a nivel alto mediante señales externas sin exposición UV. Este descuido de diseño agrava la vulnerabilidad, ya que le da al atacante múltiples vías para lograr el mismo objetivo: obtener acceso no autorizado a la memoria. El hecho de que el código seguro no esté documentado públicamente añade una capa de oscuridad, pero como hemos visto, la oscuridad no es seguridad. Una vez que se restablecen los fusibles, el código seguro se puede leer directamente de la memoria, eliminando cualquier ventaja que pudiera haber proporcionado. Esto neutraliza efectivamente todo el esquema de control de acceso, dejando el dispositivo tan abierto como una EEPROM en blanco.

Nuestra prueba de concepto se realizó en muestras que adquirimos a través del sitio web de Atmel. Atmel ofrece muestras a cualquier persona, pero no proporcionan el "Código seguro" como se mencionó anteriormente.

• El código seguro de las muestras AT88SC153 era "$D_ $F_ $7_".

• El código seguro de las muestras AT88SC1608 era "$7_ $5_ $5_".

Chip Works no va a mostrar el nibble bajo de los 3 bytes para asegurarnos de no dar el código a nadie. Esto es prueba suficiente para quien conozca este código. Esa persona(s) puede ver claramente que conocemos su código de transporte, que parece ser común a todas las muestras (por ejemplo, todos los dados de una oblea contienen el mismo código seguro hasta que un cliente solicita piezas, momento en el que ese cliente recibe su propio código seguro). Una persona que lea esto no puede adivinar el código seguro porque hay 12 bits que buscar exhaustivamente y solo tiene 8 intentos.

El hecho de que el código seguro sea coherente en todas las muestras gratuitas plantea serias dudas sobre las prácticas de gestión de claves de Atmel. Si se usa el mismo código para todas las piezas de evaluación, cualquier atacante que obtenga una muestra puede leer el código seguro y luego usarlo para desbloquear otras muestras idénticas, frustrando el propósito de tener un identificador único. Esto sugiere que el código seguro no es realmente secreto, sino un valor predeterminado de fábrica que solo se cambia durante el cumplimiento de pedidos personalizados. Para los clientes que solicitan piezas personalizadas, el código seguro es supuestamente único, pero la puerta trasera UV evita por completo la necesidad de él, haciendo que cualquier personalización sea discutible. El límite de 8 intentos para la verificación del código seguro está destinado a prevenir ataques de fuerza bruta, pero nuevamente, la puerta trasera elude esta limitación al eliminar por completo la necesidad de autenticación.

De todos los demás productos CryptoMemory, solo el AT88SC153/1608 tiene esta puerta trasera. Hemos analizado con éxito toda la línea de productos CryptoMemory y podemos afirmar que la puerta trasera no existe en ninguna otra pieza CryptoMemory. Ninguna de las piezas CryptoMemory es tan "segura" como parece. Las palabras "Humo y espejos" vienen a la mente (casi siempre es así). En esta categoría particular de CryptoMemory, hay dos piezas, el AT88SC153 y el AT88SC1608 más grande.

Esta declaración subraya el escepticismo general que los investigadores de seguridad suelen tener hacia las afirmaciones de los proveedores, especialmente cuando esas afirmaciones no se verifican de forma independiente mediante ingeniería inversa. La familia CryptoMemory, a pesar de su marketing, depende en gran medida de la oscuridad y la esperanza, más que de protecciones matemáticamente probadas. Si bien los otros miembros pueden no tener la vulnerabilidad UV, aún sufren de otros posibles ataques de canal lateral o debilidades de diseño que podrían explotarse con suficiente esfuerzo. La lección para la industria aquí es que los proveedores de microcontroladores y memorias seguras deben adoptar un enfoque transparente, publicando los vectores de ataque físico que han considerado y cómo los han mitigado. Sin esa transparencia, los clientes esencialmente están comprando una caja negra cuya seguridad no se puede evaluar objetivamente.

Así que surgen las preguntas:

• ¿Por qué Atmel solo ha puesto una puerta trasera en esta pieza (¿NSA para los conspiradores?)?
• ¿Quién se suponía que era el cliente original?
• ¿La intención original de estos dispositivos era usarlos en un producto que utilizara algún tipo de criptografía?
• Si lo anterior era cierto, ¿estaba este dispositivo destinado originalmente a ser una bóveda de claves criptográficas?

Todas estas preguntas vienen a la mente porque la puerta trasera facilita enormemente la extracción del contenido del dispositivo en el que se supone que debemos confiar. Algunos de ustedes pueden estar familiarizados con el algoritmo GSM A5/1 que tiene ciertos bits de la clave establecidos en un valor fijo.

Los paralelismos con el debilitamiento intencional de los algoritmos criptográficos son difíciles de ignorar. En el caso del GSM, ciertos bits de clave se ponían a cero para simplificar los controles de exportación, pero aquí la puerta trasera parece ser un atajo de ingeniería que se dejó en su lugar. El cliente previsto podría haber sido una agencia gubernamental o una gran corporación que requiriera una capacidad de anulación maestra para el acceso de las fuerzas del orden, el llamado mecanismo de "acceso excepcional". Sin embargo, si ese fuera el caso, Atmel debería haberlo revelado a los clientes legítimos y haber asegurado que la puerta trasera no fuera descubierta por atacantes comunes. En cambio, la puerta trasera es trivialmente explotable, lo que sugiere o bien negligencia grave o un error de cálculo del modelo de amenaza. El hecho de que el código seguro sea común en las muestras también apunta a un posible modo de prueba de fábrica que nunca se desactivó, lo que sería un pecado capital en el diseño de productos seguros.

A juzgar por la redacción de la documentación, Atmel da la apariencia de que CryptoMemory es la elección perfecta para guardar sus secretos más valiosos.

El lenguaje de marketing está lleno de superlativos como "alta seguridad", "resistente a manipulaciones" y "protección avanzada", pero la realidad está lejos de esas promesas. Para cualquier ingeniero o gerente de producto que seleccionó estas piezas basándose en las afirmaciones de la hoja de datos, este descubrimiento es una llamada de atención para no confiar ciegamente en las garantías del proveedor sin una verificación independiente. El curso de acción recomendado es cesar inmediatamente el uso de estos dispositivos en cualquier aplicación sensible a la seguridad y migrar a una plataforma que haya pasado por una rigurosa evaluación de terceros, como aquellas con certificaciones Common Criteria. Mientras tanto, si el decapsulado físico y la exposición UV no son vectores de ataque factibles para su modelo de amenaza (por ejemplo, si el dispositivo está incrustado en un compuesto de encapsulado o tiene una malla anti-manipulación activa), aún puede considerar aplicar cifrado adicional a nivel de software en el MCU host para proteger los datos antes de enviarlos a la memoria. Sin embargo, esto es solo un parche y no una solución permanente, ya que el blob cifrado aún podría analizarse para recuperar patrones o montar ataques de canal lateral en el propio MCU.

Las implicaciones más amplias de esta vulnerabilidad se extienden a toda la cadena de suministro: si los fusibles se pueden restablecer, entonces los falsificadores pueden duplicar la identidad y el comportamiento del dispositivo, creando clones que eluden las comprobaciones de licencia o los mecanismos de autenticación en los mercados de televisión de pago, juegos y cartuchos de impresora. La capacidad de realizar una lectura completa del contenido de la EEPROM significa que cualquier algoritmo propietario almacenado en el chip queda expuesto, lo que podría costar a las empresas millones en pérdida de propiedad intelectual. Además, la recuperación de datos de estas memorias podría ser utilizada por analistas forenses para extraer pruebas de dispositivos incautados, pero también permite a los actores malintencionados realizar ingeniería inversa de sistemas críticos para la seguridad en dispositivos automotrices o médicos, con consecuencias potencialmente mortales. Por lo tanto, el descubrimiento de esta puerta trasera no es solo una curiosidad académica; es un incidente de seguridad grave que exige atención inmediata de todas las partes interesadas.

También vale la pena examinar los detalles técnicos de cómo funciona el borrado UV en la práctica. Las celdas de fusible están dispuestas en un área específica del dado, y su ubicación física se puede identificar comparando las imágenes del diseño con diseños de referencia conocidos. Una vez localizada el área de fusibles, el atacante puede crear una plantilla a partir de una lámina delgada de metal o plástico que bloquee la UV de llegar a la matriz de memoria mientras permite que llegue a los fusibles. El tiempo de exposición y la intensidad óptimos dependen del nodo de proceso y del grosor de la capa de pasivación, pero los borradores EPROM típicos emiten luz de 254 nm a unos pocos milivatios por centímetro cuadrado, lo que requiere entre 10 y 20 minutos para descargar completamente las puertas flotantes. Durante este proceso, el dispositivo debe mantenerse en un entorno oscuro para evitar la corrupción accidental de datos, pero con las precauciones adecuadas, la tasa de éxito es casi del 100%. El único desafío restante es asegurarse de que el dispositivo siga siendo funcional después del ataque, para que el atacante pueda leerlo usando el protocolo estándar.

Para los diseñadores de sistemas que están atascados con estas piezas debido a restricciones heredadas, existen algunas medidas paliativas que pueden reducir el riesgo. Primero, puede pegar físicamente un pequeño trozo de material opaco sobre la superficie del dado después del encapsulado, pero esto requiere acceso al dado desnudo, lo que no es práctico para la producción en masa. En segundo lugar, puede utilizar un recinto a prueba de manipulaciones que mostraría signos de intrusión si alguien intentara decapsular el chip. En tercer lugar, puede cambiar periódicamente las claves criptográficas almacenadas en la memoria, de modo que incluso si el chip se ve comprometido, los datos robados solo sean válidos por un tiempo limitado. Sin embargo, estas medidas están lejos de ser infalibles y solo sirven para elevar el listón para el atacante, no para eliminar la vulnerabilidad por completo. La única solución robusta es reemplazar la pieza vulnerable con una revisión más nueva que tenga un blindaje UV adecuado y detección de manipulaciones activa.

En términos de ética de divulgación, Chip Works decidió publicar esta información públicamente después de no obtener respuesta de Atmel, siguiendo un plazo responsable. Esta decisión se alinea con la mejor práctica de la industria de transparencia total cuando un proveedor no responde, especialmente cuando la vulnerabilidad afecta a numerosos productos comerciales. Al publicar las imágenes del dado y la metodología de ataque de alto nivel, permiten que los equipos de seguridad evalúen su propio riesgo y prueben si sus unidades son susceptibles. La ofuscación parcial del código seguro (mostrando solo los nibbles superiores) es un compromiso razonable que proporciona una prueba sin entregar la clave completa, evitando así que los script kiddies exploten inmediatamente la falla. La comunidad de seguridad sin duda acogerá con satisfacción esta divulgación, ya que contribuye al conocimiento colectivo de las vulnerabilidades de hardware e impulsa el desarrollo de productos futuros más seguros.

Además, la existencia de esta puerta trasera sirve como una advertencia para todos los involucrados en la adquisición de hardware: siempre realice auditorías de seguridad independientes, incluso para componentes de proveedores de renombre. El costo de tales auditorías es insignificante en comparación con las pérdidas potenciales de una violación de seguridad. Además, considere usar componentes que ofrezcan características de protección física como malla metálica activa, sensores de luz y sensores de temperatura, que pueden detectar y responder a los intentos de manipulación. Los AT88SC153 y AT88SC1608 carecen de todo esto, confiando en cambio en la supuesta permanencia de sus fusibles, que ahora sabemos que es un mito. En el mundo de la seguridad de hardware, nada es verdaderamente permanente, y cada estructura física puede ser manipulada con suficiente tiempo, herramientas y habilidad. La clave es hacer que la manipulación sea tan difícil y costosa que supere el valor del activo protegido.

Para los investigadores interesados en replicar estos hallazgos, el proceso comienza con la obtención de una muestra del dispositivo, preferiblemente a través de canales oficiales para garantizar la autenticidad. Luego, realice un análisis no destructivo mediante imágenes de rayos X para localizar el área de fusibles y comprender el enlace interno. A continuación, use una herramienta de decapsulado de precisión, como un láser o un método químico húmedo, para eliminar el material del encapsulado sin dañar las estructuras subyacentes. Después del decapsulado, tome imágenes ópticas de alta resolución y compárelas con las publicadas aquí para confirmar la ubicación de los fusibles. Finalmente, realice un experimento de exposición UV controlado, monitoreando el estado del bit de bloqueo con un programador antes y después de la irradiación. Documente todos los pasos y resultados, y compártalos con la comunidad para validar aún más la vulnerabilidad. Este tipo de ingeniería inversa práctica es invaluable para desarrollar una comprensión más profunda de la seguridad del hardware y para formar a la próxima generación de ingenieros de seguridad.

En conclusión, los dispositivos CryptoMemory AT88SC153 y AT88SC1608 contienen un fallo de diseño fundamental que permite a un atacante restablecer los fusibles de seguridad mediante luz UV, lo que permite un acceso de lectura y escritura sin restricciones a toda la memoria. Este fallo invalida la afirmación de la hoja de datos de que los fusibles son permanentes y se funden de forma irreversible. El ataque es simple, de bajo costo y no requiere equipos especializados más allá de herramientas básicas de laboratorio. La vulnerabilidad afecta a cualquier producto que dependa de estos chips para el almacenamiento seguro, y la única seguridad de hardware investigación es mejorar la seguridad general seguridad mitigación efectiva es reemplazarlos por alternativas más robustas. El incidente subraya la importancia crítica de la seguridad física en los sistemas embebidos y nos recuerda que los protocolos criptográficos son tan fuertes como el hardware que los implementa. Como dice el refrán, "No hay seguridad sin seguridad física", y este caso demuestra una vez más ese adagio. En el futuro, tanto los proveedores como los clientes deben insistir en diseños de seguridad transparentes y pruebas independientes rigurosas para evitar tales trampas en el futuro.

 

• Lista de ingeniería inversa de MCU Atmel de Mikatech: