RP2350: автор обошёл Secure Boot одним лазерным сбоем на бюджетной установке

В августе 2024 года Raspberry Pi представила микроконтроллер RP2350 с новыми функциями безопасности, включая Secure Boot (защищённую загрузку). Через пару дней, на DEFCON 2024, запустили RP2350 Hacking Challenge, задание на взлом этих функций. Автор статьи (в доступном тексте имя не указано), опубликованной 14 января 2025 года, пишет, что после работы и разработки полностью самодельной «платформы лазерного внесения сбоев» (Laser Fault Injection Platform) он прошёл это задание и отправил результаты в Raspberry Pi. В статье он обещает рассказать об устройстве платформы, выложить производственные файлы и исходный код, а также объяснить, как один вызванный лазером сбой обходит Secure Boot у RP2350.

Цель задания: мишенью служит плата Pico 2 с RP2350, настроенная по инструкции из GitHub-репозитория испытания. Настройка записывает «секретные» данные в одну из областей OTP (однократно программируемой памяти), включает Secure Boot и закрывает чип по максимуму (отключает отладку SWD, включает детекторы сбоев) и прошивает подписанную прошивку, которая ещё сильнее ограничивает доступ к области с секретом. Нужно извлечь секрет, возможно, обойдя Secure Boot.

Защита RP2350 опирается на Boot ROM и «сопроцессор избыточности» (RCP). Согласно даташиту, который цитирует автор, он даёт аппаратную защиту от атак с внесением сбоев и атак возвратно-ориентированного программирования: генерирует и проверяет канарейки стека на основе случайного значения на каждую загрузку, проверяет порядок выполнения шагов, проверяет булевы значения и целые числа в избыточном виде и останавливает процессор при обнаружении паники. У RCP каждого ядра есть 64-битное зерно (seed). Кроме того, чип обнаруживает попытки внесения сбоев детекторами, реагирующими на напряжение и электромагнитные воздействия; в испытании они выставлены на максимальную чувствительность.

Почему лазер. Автор не стал искать логические ошибки в Boot ROM, поскольку его проверили до начала испытания, и сразу выбрал аппаратную атаку. По комментариям в сети, детекторы сбоев неплохо справлялись с обычными сбоями по напряжению, поэтому автор решил использовать лазер, предполагая, что луч, сфокусированный вдали от схем детекторов, внесёт сбои, не вызвав их срабатывания. Опыт с «классическими» сбоями по напряжению у автора был, с лазерными, нет, так что испытание стало поводом собрать дешёвую платформу. Он отмечает, что лазерные установки традиционно дороги, но за последние месяцы появились недорогие: «Laser Fault Injection for The Masses» (переделка гравировального оборудования) и «RayV-Lite» от NetSPI, представленная на Blackhat 2024. Автор находит у своей платформы сходства и отличия с RayV-Lite.

Подготовка образца. Принцип: сфокусированный луч направляют на кремниевый кристалл, транзисторы чувствительны к фотоэлектрическому эффекту, и точно подгаданный по времени сбой может обойти защиту. Главный минус по сравнению со сбоями по напряжению или тактовой частоте, кристалл нужно обнажить, при этом чип должен продолжать работать. Автор выбрал доступ с обратной стороны кристалла: он возможен дешёвым механическим инструментом, тогда как для лицевой стороны нужна химия вроде концентрированной азотной кислоты, а верх кристалла, судя по снимкам из сети, закрыт металлическим слоем, что, вероятно, мешало бы внесению сбоев. RP2350 отпаивают от Pico 2 феном, затем дешёвым (€30) гравёром вроде дремеля убирают материал вокруг земляной площадки, снимают её, соскребают слой, похожий на серебряную теплопроводящую пасту, и открывают тыльную сторону кристалла.

Платы. Подготовленный чип припаивают на самодельную основную плату-носитель: в ней отверстие, открывающее кристалл, небольшой LDO-стабилизатор для питания ядра и разъём FFC, на который выведены питание и сигналы (UART, SWD, USB, QSPI, управление). Оценка стоимости комплектующих (BOM) при малых тиражах, менее €10. Плата ввода-вывода соединяется с ней кабелем FFC и выводит сигналы на USB, на контакты для платы с FPGA (на ней потом реализуют логику атаки) и на тестовые точки SWD. На ней стоят две QSPI-флеш-памяти, и FPGA выбирает «активную», ту, что подключена к линии CS RP2350; её можно менять между запросами RP2350 к внешней памяти. По словам автора, это принципиально для атаки. Стоимость комплектующих этой платы, менее €15.

Ремонт заземления. Снятие земляной площадки уничтожает единственное заземление микросхемы. У RP2350 есть вывод PGND внутреннего DC/DC, но, по словам автора, низкоомного соединения с землёй внутри, похоже, нет. Автор нашёл на кристалле крупинки открытой меди (или золота) и «отверстия» от оборванных проволочных выводов и восстановил заземление токопроводящим эпоксидным клеем (MG CHEMICALS 9410) между этими участками и специально расположенными медными площадками на плате-носителе. В августе 2025 года автор добавил, что описанный здесь метод слишком сложен, а более простой есть в отдельной статье по DEFCON 33 Showcase. Видимая часть текста обрывается на описании клея; сама лазерная установка, тайминг сбоя, цель в Boot ROM и результаты в неё не вошли. Автор предупреждает: платформа использует мощный инфракрасный лазер, он может быть опасен.

Ключевые факты

• Автор статьи (14 января 2025) заявляет, что прошёл RP2350 Hacking Challenge, запущенное на DEFCON 2024, и отправил результаты в Raspberry Pi; по его словам, обойти Secure Boot у RP2350 можно одним вызванным лазером сбоем.
• Лазер выбран потому, что детекторы сбоев RP2350 (в испытании на максимальной чувствительности) по отзывам в сети хорошо противостоят обычным сбоям по напряжению; идея, светить вдали от схем детекторов.
• Кристалл обнажают с обратной стороны: чип отпаивают феном, убирают материал вокруг земляной площадки гравёром за €30 и счищают слой пасты; уничтоженное заземление восстанавливают токопроводящим эпоксидным клеем.
• Две самодельные платы: плата-носитель (оценка комплектующих менее €10) и плата ввода-вывода с FPGA-управляемым выбором из двух QSPI-флеш (менее €15).
• Автор обещает выложить производственные файлы и исходный код; платформа использует мощный инфракрасный лазер, который может быть опасен.

Почему это важно

RP2350 позиционируется как микроконтроллер с продуманной защитой: сопроцессор избыточности в Boot ROM плюс детекторы сбоев. Автор заявляет, что одного лазерного сбоя достаточно для обхода Secure Boot, и показывает, что для такой атаки не нужно дорогое лабораторное оборудование: комплектующие двух плат стоят по его оценке менее €10 и менее €15, а гравёр, €30. Это вписывается в тренд появления недорогих лазерных платформ (проект на базе гравировального оборудования и RayV-Lite от NetSPI).

Кому это важно

Специалистам по аппаратной безопасности и тем, кто проектирует устройства на RP2350 с Secure Boot, а также исследователям, которые хотят воспроизвести лазерные атаки без дорогой лаборатории. Всем, кто следит за RP2350 Hacking Challenge и ответом Raspberry Pi.

Как это применить

Автор обещает выложить производственные файлы плат и исходный код, чтобы результат можно было повторить; в тексте есть интерактивные 3D-модели и файлы плат. Для воспроизведения нужны навыки пайки (отпаять чип феном, собрать платы вручную), FPGA-плата для логики атаки и внимательность с лазером. Автор предупреждает, что инфракрасный мощный лазер опасен. Позже он отметил, что описанный способ восстановления заземления слишком сложен и что есть более простой метод в отдельной статье.

Можно ли доверять

Это рассказ самого автора о собственной работе; независимого подтверждения в доступном тексте нет. Видимая часть статьи обрывается на ремонте заземления: в ней нет ни настройки лазера, ни тайминга сбоя, ни точной цели атаки в Boot ROM, ни результатов, ни числа попыток и доли успеха. Нет и ответа Raspberry Pi, и данных о том, извлечён ли секрет и признано ли испытание официально пройденным. Тезис об одном сбое пока опирается на заявление автора.

Риски и подводные камни

Главное ограничение метода, кристалл нужно физически обнажить, и чип после этого должен работать; это разрушает упаковку и требует аккуратной подготовки. Автор признаёт, что из-за бюджета в нескольких местах пошли на компромиссы, что дало ряд ограничений платформы. Мощный инфракрасный лазер опасен. Метод ремонта заземления автор сам назвал переусложнённым. Выводы о защите RP2350 в целом по видимой части сделать нельзя.

«Сопроцессор избыточности (RCP) используется в bootrom RP2350 для аппаратной защиты от атак с внесением сбоев и атак возвратно-ориентированного программирования.»

— Даташит RP2350, цитата из статьи автора