Secure Debug под лазером: разбор физической атаки на RP2350

🔍 Что именно атакуют в RP2350

RP2350 — двухъядерный микроконтроллер Raspberry Pi. При загрузке он выбирает ядра Arm Cortex-M33 или RISC-V Hazard3.

В чипе есть защищённая загрузка. Она проверяет подпись прошивки по отпечаткам открытых ключей. Эти отпечатки лежат в OTP-памяти.

В чипе также работает Armv8-M TrustZone. Он делит выполнение кода на защищённое и обычное состояния. Отдельные настройки позволяют навсегда отключить отладку.

Это важное различие. Лазер не превращает атаку в удалённую. Злоумышленнику нужен сам чип и доступ к его кристаллу.

Что сделать сейчас: внесите отладку и защищённую загрузку RP2350 в модель угроз устройства. Отдельно отметьте риск физического доступа.

🛡️ Как устроена базовая защита

RP2350 хранит неизменяемые настройки безопасности в OTP-памяти. OTP означает однократно программируемую память. Каждый бит в ней меняется только из нуля в единицу.

Обратное переключение невозможно. Поэтому записанные настройки остаются на чипе навсегда. В этой же памяти хранятся отпечатки открытых ключей загрузки.

Механизм безопасной загрузки сверяет подпись прошивки с этими отпечатками. Такой контроль не даёт запустить неподписанный код в штатном сценарии.

TrustZone добавляет разделение режимов исполнения. Отладка может работать с ограничениями или быть отключена постоянной настройкой.

В RP2350 также есть детекторы сбоев. Они ищут нарушения таймингов из-за манипуляций с тактовой частотой или питанием схемы.

Что сделать сейчас: проверьте, какие настройки OTP записывает производственная прошивка. Зафиксируйте состояние отладки в документации на каждую партию.

⚠️ Почему лазерная атака вообще возможна

Лазер может локально менять состояние элементов на кристалле. Такой приём относят к физическим атакам с внесением ошибок.

Атакующий не воздействует на всю микросхему сразу. Он ищет конкретную область и выбирает короткий момент для воздействия.

В описанном эксперименте сначала применяют дифференциальную микроскопию фотонной эмиссии. Она показывает, когда на чипе активируется нужный регистр.

Регистр — небольшая область схемы, которая хранит состояние или управляет операцией. В данном случае он отвечает за включение режима отладки.

После поиска регистра лазер воздействует на две соседние точки. Импульс меняет два бита. Это возвращает доступ отладчика к защищённой области.

Публиковать координаты, режимы импульса и порядок настройки установки опасно. Такие сведения превращают обзор в инструкцию по обходу защиты.

Что сделать сейчас: оценивайте лазерный сценарий как лабораторную угрозу. Не переносите его вероятность на обычные удалённые атаки.

🔬 Как проходит лабораторная демонстрация

Эксперимент начинается с физического доступа к устройству. Корпус чипа вскрывают и получают доступ к кристаллу.

Затем исследователи наблюдают активность схемы через микроскопию фотонной эмиссии. Метод помогает связать момент работы регистра с наблюдаемым излучением.

После этого отладчик работает через интерфейс SWD. SWD — аппаратный интерфейс отладки микроконтроллера.

Исследователи ловят нужный момент и применяют лазерный импульс. Он точечно переписывает два бита в регистре.

Затем выполняется сброс. Он приостанавливает работу чипа до того, как прошивка активирует динамическую блокировку.

В результате страница памяти остаётся доступной для чтения из защищённого режима. Это показывает восстановление доступа к Secure Debug.

Для такой работы требуется лабораторное оборудование стоимостью примерно 250 000 долларов. Нужны также вскрытие корпуса и точное воздействие на кристалл.

Что сделать сейчас: отделите в отчётах подтверждённые действия от предположений. Записывайте отдельно доступ к отладке, чтение памяти и возможное выполнение кода.

📋 Что меняется после сброса

Ключевой момент атаки связан с динамической блокировкой. Прошивка должна активировать её во время запуска.

Сброс останавливает чип раньше этой операции. Поэтому защищённая страница памяти остаётся доступной из Secure Debug.

Здесь проявляется разница между постоянной и динамической защитой. Настройка в OTP сохраняется навсегда. Но рабочее состояние отладки может зависеть от последовательности запуска.

Лазер не стирает OTP-память. Он меняет состояние регистра в подходящий момент. Поэтому нельзя описывать результат как перепрограммирование постоянных настроек.

Два изменённых бита дают ограниченный, но важный эффект. Они восстанавливают доступ отладчика к зоне, которую штатно блокирует чип.

Из этого не следует, что атакующий получает полный контроль над любым устройством. Итог зависит от содержимого памяти и от того, какие секреты там находятся.

Что сделать сейчас: проверьте, что динамические блокировки включаются как можно раньше. Уменьшите окно между сбросом и активацией защиты.

📊 Что подтверждает эксперимент, а что нет

Подтверждён первый результат: исследователи находят регистр отладки на RP2350 ревизии A4.

Подтверждён второй результат: лазер меняет два соседних бита. После этого возвращается доступ к Secure Debug.

Подтверждён третий результат: сброс оставляет страницу памяти доступной для чтения из защищённого режима.

Эксперимент не равен удалённому взлому. Он требует вскрытия чипа, специальной оптики и точного позиционирования.

Он также не доказывает обход безопасной загрузки. В описании нет результата, который отменяет проверку подписи прошивки.

Не подтверждено и универсальное извлечение ключей. Доступ к странице памяти сам по себе не означает доступ ко всем данным.

Для этой работы не указан идентификатор CVE. Поэтому корректнее говорить о лабораторной демонстрации физической атаки.

Что сделать сейчас: не добавляйте к этому случаю CVE без официального подтверждения. В карточке риска укажите конкретную ревизию A4 и границы демонстрации.

⚙️ Почему важна ревизия A4

Raspberry Pi приглашает исследователей проверять защиту RP2350 в рамках RP2350 Hacking Challenges.

Первый конкурс проходит с августа по декабрь 2024 года. Тогда проверяют самую первую версию чипа.

После найденных проблем разработчики выпускают обновлённую ревизию A4. Именно её проверяют в описанном эксперименте.

Это важная деталь для оценки риска. Результат для одной ревизии нельзя автоматически переносить на другую.

Ревизия влияет на расположение схем, поведение регистров и работу защитных механизмов. Даже небольшие изменения могут закрыть конкретный путь воздействия.

При этом сам факт проверки A4 показывает необходимость анализа новых партий. Обновление микросхемы не заменяет проверку всей цепочки защиты.

Что сделать сейчас: свяжите инвентаризацию устройств с ревизией кристалла. Не смешивайте результаты испытаний первой версии и A4.

💣 Сравнение с другими физическими воздействиями

Лазерная атака действует на небольшой участок кристалла. Она требует вскрытия корпуса и точного выбора момента.

Электромагнитное воздействие также может вносить ошибки в работу схемы. Оно связано с локальным влиянием поля и нарушением отдельных операций.

Манипуляции питанием или тактовой частотой воздействуют на временные параметры. RP2350 содержит детекторы сбоев для таких нарушений.

Эти методы отличаются точностью, стоимостью и условиями доступа. Лазерный сценарий выглядит наиболее лабораторным из перечисленных.

Ни один из этих вариантов не становится сетевой атакой. Злоумышленник сначала получает устройство и доступ к его аппаратной части.

Защита должна учитывать не только программный код. Важны корпус, плата, интерфейсы отладки и процесс обращения с устройством.

Что сделать сейчас: составьте матрицу физических воздействий. Для каждого сценария укажите нужный доступ, оборудование и наблюдаемый результат.

🔐 Как снизить риск для устройства

Первый уровень защиты — контроль доступа к платам и микросхемам. Ограничьте хранение образцов и производственных устройств.

Второй уровень — отключение отладочных интерфейсов в производственной конфигурации. Проверьте это не только в прошивке, но и на готовом устройстве.

Третий уровень — защищённое хранение секретов. Не оставляйте ключи и другие критичные данные в доступной странице памяти без необходимости.

При срабатывании тампера устройство может стирать ключи. Тампер — это механизм, который фиксирует вскрытие или другое нарушение целостности.

Полезны также проверка целостности загрузки и контроль состояния защиты после сброса. Эти проверки должны работать до запуска основной логики.

Для чувствительных устройств рассматривают экранирование и анализ партий. Такие меры не делают атаку невозможной, но повышают её стоимость и заметность.

• зафиксируйте состояние OTP и Secure Debug;
• проверьте отсутствие рабочих отладочных интерфейсов;
• разделите ключи, прошивку и доступную память;
• добавьте реакцию на вскрытие корпуса;
• проверяйте ревизию чипа при приёмке партии;
• храните результаты испытаний для каждой аппаратной версии.

Что сделать сейчас: проведите проверку готового устройства после производства. Смотрите не только на исходный проект, но и на фактические настройки платы.

🚀 Что этот случай меняет в оценке угроз

Secure Debug нельзя считать абсолютной защитой от физического доступа. Аппаратное противодействие всегда зависит от реализации схемы.

При этом лазерная атака не отменяет пользу безопасной загрузки. Она показывает другой класс риска — точечное воздействие на внутреннее состояние чипа.

Для большинства устройств такой сценарий остаётся маловероятным. Стоимость оборудования достигает примерно 250 000 долларов.

Риск растёт для устройств с высокой ценностью ключей и долгим сроком службы. В таких системах даже редкая физическая атака может иметь серьёзные последствия.

Оценка должна учитывать стоимость устройства, доступ к образцам и ценность данных. Нельзя использовать только перечень программных уязвимостей.

Полезно разделять угрозы по результату. Одни атаки возвращают отладку. Другие читают память. Третьи пытаются повлиять на запуск кода.

Такой подход помогает избежать паники и недооценки. Лазерная атака требует редких условий, но её результат важен для разработчиков защищённой электроники.

Что сделать сейчас: обновите модель угроз устройства. Добавьте отдельный пункт для физического доступа, вскрытия корпуса и атак с внесением ошибок.

📚 Читайте также

• Криптография глазами злоумышленника: как перехватывают ваш HTTPS
• Локальный файрвол для кодинг-агентов: защита действий в CI/CD
• Обратный прокси против фишинга: фильтрация входящего трафика
• Открытые сервисы умного дома: аудит портов и защита от взлома
• Песочница для ИИ-агента: как вовремя заметить опасные действия

📖 Термины

Fingerprinting · Proof-of-Concept (PoC) · Интернет вещей (IoT) · Криптография

🔗 Источники

• A Laser Reopens RP2350's Secure Debug — Tundrabit(2026-09-27 ✓)
• Laser Fault Injection on a Budget: RP2350 Edition — Courk's Blog(2026-09-27 ✓)
• Laser Your Way Into Debug Mode On The RP2350 — Hackaday(2026-09-27 ✓)
• Photon-emission-guided laser fault injection enables Secure debug on RP2350 — Ledger Donjon(2026-09-27 ✓)
• Security through Transparency: Tales from the RP2350 Hacking Challenge — USENIX WOOT'25(2026-09-27 ✓)
• [Перевод] Взлом режима Secure Debug на RP2350 с помощью лазера и фотонной эмиссии(2026-09-27 ✓)