Wie sicher sind „sichere“ (eingebettete) Prozessoren?

Mit Glitching-Angriffen dringen Hacker in geschützte Prozessoren ein, indem sie die Ausführung von Maschinenbefehlen unterbrechen beziehungsweise überspringen. TrustZone-M ist eine Sicherheitserweiterung für eingebettete Prozessoren, die eine sichere Umgebung zur Ausführung sicherheitskritischer Programme sowie zur sicheren Speicherung sensitiver Daten bietet. Solche Prozessoren haben viele Anwendungen in Industrie 4.0, Internet of Things (IoT) oder Automotive. Dieser Angriff erlaubt beispielsweise dem Angreifenden sensitive Informationen der Nutzenden wie zum Beispiel kryptographische Schüssel zu stehlen oder diese zu ersetzen und somit potenziell auf Nutzergeräte oder Fahrzeuge zuzugreifen oder diese zu steuern.

Das Ziel der Glitching-Angriffe ist es, gezielt die Berechnungen des Prozessors zu manipulieren. Die Angriffe können unterschiedlich realisiert werden, beispielsweise mittels Laserstrahlbeschuss, gezielter Änderung des Prozessortaktes oder der Spannungszufuhr des Prozessors. Das Forschungsteam um Professor Ahmad-Reza Sadeghi hat sich aus Kostengründen und Gründen der Genauigkeit für Letzteres entschieden. Dabei wird die Stromzufuhr des Chips gezielt gestört, um Fehler in den Berechnungsausführungen des Chips zu verursachen, die zu einem gezielten Fehlverhalten führen, wie beispielweise unautorisierten Zugang zu sensiblen Daten erlauben. Einige Hersteller wie etwa NXP haben bereits Gegenmaßnahmen in entsprechende Prozessoren eingebaut.

Genau hier hakte das Forschungsteam nach. Sein Ziel war vor allem, jene Absicherungen gegen Glitching-Angriffe zu umgehen und auf geschützte Speicherbereiche entsprechender Prozessoren zuzugreifen. Insgesamt konnten im Praxistest mehrere Chips mit TrustZone-M kompromittiert werden (STM 32L5 und Atmel SAML11) sowie Chips mit zusätzlichen, weitreichenden Gegenmaßnahmen gegen Glitching (LPC55S69 und RT6600 von NXP).

Das Forschungsteam musste dabei mehrere Herausforderungen überwinden. Insbesondere musste der einfache Glitching-Angriff zu einem sogenannten Mehrfach-Glitching-Angriff erweitert werden, da das einfache Glitching die Schutzmechanismen, wie die von z.B. NXPs Chips, nicht überwinden kann. Während es für einfache Spannungs-Glitching-Angriffe bereits kommerzielle Werkzeuge gibt, ist dies für koordinierte, mehrfache Spannungs-Glitching-Angriffe nicht der Fall. Das Team entwickelte daher einen neuartigen Multi-Glitcher.

Um koordinierte Multi-Glitching-Angriffe durchzuführen, wurde der Multi-Glitcher auf einer handelsüblichen Entwicklungsplattform implementiert. So ist es möglich, mit nur einem synchronisierenden „Trigger Signal“ mehrere koordinierte und parametrisierte Glitches auszuführen sowie die dafür notwendigen Parameter in kurzer Zeit zu finden. Der Angriff inklusive Parametersuche dauerte im Durchschnitt einen halben Tag, bis auf den sicheren Speicherbereich zugegriffen werden konnte. Neben dem Angriff wird das Forschungsteam auch mögliche Software- sowie Hardware-basierte Gegenmaßnahmen vorstellen.