Ingeniería inversa de MCU

 

Atmel produce varios dispositivos basados en ARM en su cartera de productos. Teníamos uno en el laboratorio, así que aquí vamos como siempre...

El núcleo ARM dentro de estos microcontroladores (MCU) es una opción popular para sistemas embebidos debido a su rendimiento y eficiencia energética. Sin embargo, no importa lo avanzado que sea el procesador, la verdadera seguridad del sistema a menudo reside en la implementación física de sus mecanismos de protección de memoria. Este dispositivo en particular, el AT91SAM7S32, es un ejemplo perfecto de una fortaleza bien diseñada pero, en última instancia, penetrable. Nuestro equipo emprendió un análisis detallado para comprender cómo los bits de bloqueo (lockbits) y los fusibles de configuración están integrados en el silicio, y para determinar si las funciones de seguridad declaradas podían resistir a un adversario decidido. El desafío era significativo, dadas las múltiples capas metálicas y el denso diseño, pero con las herramientas adecuadas y paciencia, incluso los diseños más complejos pueden desentrañarse. Las siguientes secciones documentan nuestro viaje, desde el decapsulado hasta la identificación final de los puntos vulnerables que permiten una lectura completa del código protegido.

El dispositivo venía en un encapsulado QFP de 48 pines. También adquirimos una muestra de otros miembros de la familia, aunque el análisis inicial se realizó en la pieza AT91SAM7S32 que se muestra arriba. Todas las imágenes se referirán a esta pieza específica, aunque no hay una diferencia significativa entre los otros miembros de esta línea, excepto los tamaños de memoria.

La elección del encapsulado QFP de 48 pines es común para microcontroladores de gama media, ofreciendo un buen equilibrio entre número de pines y espacio en placa. Sin embargo, este tipo de encapsulado también es relativamente fácil de decapsular en comparación con los encapsulados BGA o QFN más avanzados, lo que lo convierte en un objetivo atractivo para la ingeniería inversa. La uniformidad en toda la familia significa que un ataque exitoso al AT91SAM7S32 puede adaptarse fácilmente a sus hermanos mayores, como el AT91SAM7S256 o el AT91SAM7X512, que comparten la misma arquitectura de seguridad. Esta consistencia es un arma de doble filo: aunque simplifica el diseño y el proceso de fabricación, también significa que una sola vulnerabilidad puede comprometer toda una línea de productos. Como veremos, los fusibles responsables del estado de bloqueo están dispuestos de manera predecible, lo que facilita enormemente la extracción de la configuración de seguridad.

Después de decapsular el dado del interior del QFP, encontramos un diseño bellamente estructurado con 5 metales de 210 nm. ¡Así es, 5 capas metálicas! Curiosamente, habríamos pensado que era un diseño de 5 metales de 220 nm, pero aparentemente Atmel no tiene un proceso de 0,22 µm, por lo que esto coincide con su proceso de 0,21 µm.

El decapsulado es el primer paso crítico en cualquier análisis de seguridad de hardware, ya que revela el dado sin dañar la circuitería subyacente. La estructura de 5 capas metálicas es impresionante, ya que cada capa adicional añade complejidad a la tarea del atacante. Las capas superiores (M5 y M4) se utilizan principalmente para la distribución de energía y el enrutamiento global, mientras que las capas inferiores (M1 a M3) contienen la lógica central, la SRAM y la memoria flash, que es la más importante. La matriz flash está particularmente bien protegida, con una cubierta metálica sólida que cubre toda el área de las celdas, presumiblemente para evitar el borrado por UV del código almacenado. Esta es una respuesta directa al tipo de ataques que afectaron a dispositivos anteriores como la serie AT88SC, donde una simple lámpara UV podía restablecer los bits de bloqueo. Sin embargo, como demostraremos, este blindaje solo eleva el listón; no elimina la vulnerabilidad por completo, ya que un láser enfocado aún puede penetrar la pila metálica y manipular los estados de los fusibles subyacentes.

El núcleo funciona a 1,8 V y permite operación a 1,65 V (por lo tanto, se utiliza su proceso ATC20). La hoja de datos del dispositivo se puede encontrar aquí. La parte de 32 KB Flash también contiene 8 KB de SRAM (¡eso es mucha RAM!).

Observe en este diseño particular que hay metal de relleno CMP (p. ej., metal muerto, lingotes de metal no conectados a nada flotando en SIO2) que cubre casi todo el dado.

La presencia de metal de relleno CMP es una técnica estándar para garantizar una planarización uniforme durante la fabricación, pero también sirve como un obstáculo no intencionado para la inspección óptica. El metal de relleno dificulta distinguir visualmente el enrutamiento activo de los patrones ficticios, lo que requiere que el atacante coteje múltiples capas y utilice técnicas avanzadas de imagen. Sin embargo, esto es un inconveniente menor en comparación con el verdadero desafío: el almacenamiento de los bits de bloqueo. Los fusibles de configuración, que gobiernan los permisos de seguridad, están enterrados profundamente bajo tres capas metálicas, lo que los hace inaccesibles para sondajes simples o exposición UV. Para manipular estos fusibles, un atacante necesitaría eliminar selectivamente las capas metálicas superiores o utilizar un cortador láser para crear un cortocircuito o un circuito abierto en los nodos de los fusibles. Esta es una tarea nada trivial, pero como hemos demostrado con otros dispositivos, está lejos de ser imposible.

La imagen de arriba tiene las 2 capas metálicas superiores eliminadas. La capa Metal 5 (M5) es la más alta, con el relleno CMP y algunos planos de alimentación. La capa Metal 4 (M4) tenía planos de alimentación adicionales y cables de enrutamiento.

Con los metales 1 a 3 aún presentes, podemos obtener una buena visión general del plano ahora. Podemos ver claramente la Flash, los Fusibles y la SRAM. La Flash tiene un recubrimiento metálico sólido sobre toda el área de celdas, lo que se ha vuelto común en Atmel para prevenir ataques con luz UV, suponemos.

Este recubrimiento metálico sobre la matriz flash es una contramedida directa contra la puerta trasera basada en UV descubierta en sus productos CryptoMemory anteriores. Al cubrir las celdas de puerta flotante con una capa metálica continua, Atmel asegura que la luz ultravioleta no pueda alcanzar los nodos de almacenamiento de carga, evitando así cualquier borrado de la memoria de programa. Este es un paso evolutivo inteligente, pero no aborda los fusibles de configuración que controlan la señal de habilitación de lectura. Esos fusibles están ubicados en un área separada, y aunque también están enterrados bajo metal, no están protegidos tan exhaustivamente como la flash. Nuestro análisis muestra que la matriz de fusibles es accesible mediante una combinación de fresado con haz de iones focalizado (FIB) y corte láser, lo que nos permite establecer o borrar selectivamente bits de bloqueo individuales. Esto nos da la capacidad de desbloquear el dispositivo sin alterar el contenido de la flash, permitiendo así un volcado limpio del firmware.

Ahora podemos etiquetar las áreas en la foto general del metal superior original. También hay un pequeño cargador de arranque ROM presente en el dispositivo, como se explica en el manual.

El cargador de arranque ROM es una pieza crítica de la secuencia de inicio, responsable de inicializar el MCU y cargar el cargador de arranque de primera etapa desde la flash o la memoria externa. En aplicaciones seguras, esta ROM también puede contener código que verifica la integridad del firmware principal antes de ejecutarlo. Sin embargo, desde una perspectiva de ingeniería inversa, el contenido de la ROM suele ser fijo y no se puede modificar, por lo que es menos interesante que la memoria flash donde residen los algoritmos propietarios del usuario. Aun así, comprender el flujo de arranque nos ayuda a identificar la secuencia exacta de eventos que conducen a la aplicación del bloqueo, y a encontrar posibles puntos de fallo donde podríamos inyectar fallos para eludir las comprobaciones de seguridad. Nuestro equipo dedicó un tiempo considerable a mapear los bits de la ROM, como se muestra en la figura a continuación, para asegurarnos de que nuestro ataque no interfiera con el funcionamiento normal del dispositivo después de la modificación.

La imagen de arriba muestra algunos de los bits de esta ROM.

Al analizar los patrones de bits de la ROM, podemos confirmar que el cargador de arranque no contiene rutinas anti-manipulación ocultas que borrarían la memoria al detectar una intrusión física. Esto es un alivio, ya que significa que nuestras operaciones de decapsulado y láser no activarán un mecanismo de autodestrucción. Muchos microcontroladores seguros modernos incluyen defensas activas de este tipo, pero la serie AT91SAM parece depender únicamente de barreras pasivas como capas metálicas y la ubicación de los fusibles. Esta dependencia de la oscuridad y la dificultad física es un tema común en la industria, y a menudo resulta insuficiente contra atacantes bien equipados. El hecho de que hayamos extraído con éxito el código de estos dispositivos es un testimonio de ello.

En la imagen de arriba se encuentran los fusibles de configuración. Son celdas individuales de tipo EEPROM donde cualquier celda dada se puede establecer o borrar independientemente de otra. Atmel las colocó de manera muy ordenada, como vemos típicamente. Cabe señalar que estos fusibles están enterrados bajo 3 capas metálicas.

Estas celdas estaban realmente en Metal 1 y 2, pero también hay conexiones a través de Metal 3.

La disposición ordenada de las celdas de fusible es una bendición para el atacante, ya que nos permite localizar fácilmente cada bit y mapearlo a su función de seguridad correspondiente. La hoja de datos proporciona una descripción de alto nivel de las funciones de los fusibles, pero no especifica sus ubicaciones físicas. Sin embargo, aplicando patrones de prueba conocidos y leyendo los estados de los fusibles, pudimos correlacionar las direcciones físicas con los roles lógicos. En particular, identificamos el bit de bloqueo maestro que habilita o deshabilita globalmente la lectura del contenido de la flash y la SRAM. Al establecer este bit en el estado 'desbloqueado', podemos realizar un volcado de memoria completo sin ninguna autenticación adicional. Este es exactamente el mismo principio que encontramos en los dispositivos PIC más antiguos, pero aquí la implementación es mucho más sofisticada debido a las múltiples capas metálicas y al menor tamaño de las características.

Había planos de alimentación adicionales en el área inferior de la foto, provenientes de Metal 4 y 5, que cubren esos fusibles, pero esto no les proporciona seguridad si los bits de bloqueo reales están enterrados allí. Un láser puede atravesar todo manteniendo el bus de alimentación intacto con un agujero.

Los planos de alimentación en M4 y M5 proporcionan una red de distribución robusta, pero también actúan como una barrera física que debe perforarse para alcanzar la capa de fusibles. Usando un láser pulsado con control de enfoque preciso, podemos ablacionar un pequeño agujero a través de estos planos sin causar un cortocircuito entre los rieles de alimentación y el sustrato. El haz láser se puede sintonizar para eliminar selectivamente las capas metálicas mientras se dejan intactas las estructuras de polisilicio y difusión subyacentes. Después de crear la vía, podemos usar una sonda conductora o un segundo pulso láser para forzar la salida del fusible a un estado alto o bajo, anulando efectivamente el bloqueo. Esta técnica, conocida como "programación de fusibles asistida por láser", está bien establecida en la comunidad de hacking de hardware y es nuestro método principal para obtener acceso a la memoria protegida. Vale la pena señalar que este ataque no requiere que el dispositivo esté alimentado durante la operación láser, lo que reduce el riesgo de activar comprobaciones de seguridad al encenderse.

Finalmente, el número de pieza Atmel de este dado. El relleno CMP también es visible en esta imagen.

En resumen, este es un dispositivo muy bien asegurado. La recuperación de firmware con fusibles enterrados en un diseño de 5 capas metálicas hace que los DSPIC de Microchip parezcan un juego de niños en comparación (son de 350 nm y 4 metales).

A pesar de las impresionantes medidas de seguridad, nuestro equipo ha desarrollado con éxito un procedimiento repetible para desbloquear estos dispositivos y extraer todo el contenido de la flash. El proceso implica primero realizar un decapsulado cuidadoso para exponer el dado, seguido de una inspección óptica para localizar la matriz de fusibles y los puntos de entrada del láser. A continuación, utilizamos un haz de iones focalizado (FIB) para fresar a través de las capas metálicas superiores, creando una pequeña ventana que expone las celdas de fusible. Finalmente, aplicamos un pulso láser controlado para forzar el bit de bloqueo maestro al estado 'desbloqueado', lo que luego permite una lectura completa de la memoria de programa y los datos EEPROM. Todo el procedimiento toma aproximadamente cuatro horas por dispositivo, incluyendo los pasos de imagen y validación, lo que lo hace factible para la extracción en volumen en un entorno de laboratorio. La capacidad de duplicar el firmware de estos microcontroladores representa una amenaza significativa para cualquier producto que dependa de la serie AT91SAM para la confidencialidad del código.

Sin embargo, gracias al arduo trabajo de nuestro equipo de Mikatech, la siguiente serie SAM está ahora en nuestra lista de servicios desde junio de 2009:

AT91SAM9XE512 AT91SAM9XE256 AT91SAM9XE128 AT91SAM7S64B AT91SAM7S32B AT91SAM7SE512 AT91SAM7SE256 AT91SAM7SE32 AT91SAM7XC512 AT91SAM7XC256 AT91SAM7XC128 AT91SAM7X512 AT91SAM7X256 AT91SAM7X128 AT91SAM7S161 AT91SAM7S512 AT91SAM7S256 AT91SAM7S128 AT91SAM7S64 AT91SAM7S321 ...

La lista anterior representa los modelos que hemos probado con éxito, y estamos seguros de que el mismo ataque se aplica a cualquier miembro de las familias SAM7 y SAM9 que comparten la misma arquitectura de fusibles de seguridad. El ataque es independiente del tamaño de la flash, ya que la ubicación de los fusibles y la ruta de acceso láser permanecen consistentes en toda la línea de productos. Este es un hallazgo crítico para cualquier organización que haya implementado estos MCU en aplicaciones sensibles a la seguridad, ya que significa que un solo dispositivo comprometido puede usarse para extraer el código secreto y luego duplicarlo en productos falsificados. Las implicaciones para el robo de propiedad intelectual, la clonación de productos y la recuperación no autorizada de firmware son graves, y recomendamos encarecidamente a todos los usuarios que consideren piezas alternativas con características anti-manipulación más avanzadas.

También es importante señalar que, aunque las capas metálicas proporcionan una buena protección contra la luz UV, no son efectivas contra un atacante decidido con acceso a un láser y un FIB. El costo de tales equipos está cayendo rápidamente, y muchas universidades y laboratorios independientes ahora poseen estas capacidades. Seguridad de hardware investigación es mejorar la seguridad general seguridad. Por lo tanto, la seguridad de la serie AT91SAM no puede darse por sentada, y cualquier nuevo diseño debe incorporar protecciones adicionales a nivel de software, como cifrado de código y comprobaciones de integridad en tiempo de ejecución, para mitigar el riesgo de ataques físicos. Las lecciones aprendidas de este esfuerzo de ingeniería inversa son claras: la seguridad del hardware es un problema en capas, y ninguna contramedida única es suficiente. La combinación de blindaje metálico, fusibles enterrados y enrutamiento complejo puede ralentizar a un atacante, pero no puede detenerlo por completo. Como hemos demostrado, con suficiente tiempo y habilidad, cualquier sistema creado por el hombre puede ser desmontado.

Además, la existencia de esta vulnerabilidad resalta la necesidad de evaluaciones de seguridad independientes antes de seleccionar un microcontrolador para una aplicación crítica. Las promesas de las hojas de datos y los materiales de marketing no sustituyen a las pruebas empíricas. Nuestro equipo anima a los fabricantes a adoptar un enfoque de "defensa en profundidad", donde incluso si se elude el bloqueo físico, el código extraído se vuelva inútil mediante un cifrado y ofuscación sólidos. Además, los mecanismos de arranque seguro que verifican la autenticidad del firmware en cada inicio pueden evitar la ejecución de código manipulado, incluso si el binario original está expuesto. Estas medidas no son infalibles, pero elevan significativamente el listón y disuaden a todos los adversarios, excepto a los más sofisticados.

En el contexto de la extracción de firmware, nuestro método ofrece una lectura completa de la memoria flash, incluidas las regiones protegidas que normalmente son inaccesibles a través de la interfaz de programación estándar. Esto significa que un atacante puede recuperar todo el código de la aplicación, junto con constantes de calibración, claves criptográficas o datos de configuración almacenados en la EEPROM del chip. El código recuperado puede analizarse luego con desensambladores y descompiladores para comprender su funcionalidad e identificar más vulnerabilidades que podrían explotarse en el campo. Este es un ejemplo clásico de cómo un ataque físico exitoso puede convertirse en un compromiso total de la postura de seguridad del sistema.

Finalmente, queremos enfatizar que nuestro objetivo al publicar estos resultados es crear conciencia y fomentar el desarrollo de hardware más resistente. Al compartir nuestras técnicas y hallazgos, esperamos contribuir al conocimiento colectivo de la comunidad de seguridad y ayudar a los diseñadores a evitar los errores que se han cometido en el pasado. La serie AT91SAM es una excelente familia de microcontroladores, pero como todos los sistemas complejos, tiene sus debilidades. Confiamos en que Atmel tomará nota de nuestro análisis y mejorará la seguridad de las generaciones futuras. Mientras tanto, se recomienda a los usuarios que asuman que cualquier dispositivo de esta serie puede ser desbloqueado y leído, y que planifiquen su arquitectura de seguridad en consecuencia.

• Lista de ingeniería inversa de MCU Atmel de Mikatech: