光子放出顕微鏡により、Raspberry Piマイクロコントローラ上のデバッグ機能を有効にするレジスタが特定された。近接する2箇所へのレーザーパルスが、デバッグが永久に無効化されていたにもかかわらず、チップのセキュアワールドへのデバッガアクセスを回復した。レスキューリセット後にそのアクセスを使用して、ワンタイムプログラマブルメモリから秘密を回復した。リセットはファームウェアが実行時ロックを適用する前にチップを停止させたため、ページはセキュア読み取り可能なままだった。この攻撃には物理的アクセス、破壊的な準備、および約250,000ドルの実験装置が必要である。

RP2350はRaspberry Piのデュアルコアマイクロコントローラである。各プロセッサソケットは起動時にArm Cortex-M33またはRISC-V Hazard3コアを選択できる。そのハードウェアセキュリティ機能には、セキュアブート、Armv8-M TrustZone、永続的なデバッグ無効設定、グリッチ検出器が含まれる。Raspberry PiはRP2350ハッキングチャレンジを通じて研究者にこれらの保護を評価するよう招待した。最初のチャレンジは2024年8月から12月にかけてオリジナルチップに対して実施された。いくつかの発見が対処された後、Raspberry PiはA4リビジョンをリリースした—これが私たちがテストしたバージョンである。

永続的なセキュリティ設定とブート公開鍵のフィンガープリントはワンタイムプログラマブル（OTP）メモリに保存される。各ビットは0から1に一度だけ反転でき、元に戻ることはない。OTPは2つの永続ロック行で保護された128バイトページに編成されている。OTPリセット時に、永続的なLOCK_SとLOCK_NSの値がページごとの実行時ロックを初期化する。ファームウェアはこのロックを強化できるが、緩めることはできない。実行時の変更はそのリセット後には存続しない。

外部デバッガはArmのSerial Wire Debug（SWD）インターフェースを介して通信する。セキュアデバッグとは、セキュア属性を持つMem-APアクセスを指す。永続的なCRIT1.DEBUG_DISABLEフラグがこのパスを閉じる。設定されると、両方のコアのMem-APのイネーブル信号をゼロに駆動し、バスアクセスを防ぐ。SW-DPとRP-APはまだ応答するが、どちらのコアMem-APもシステムバスにアクセスできない。しかし、メモリマップドDEBUGENレジスタにより、セキュアソフトウェアは各コアのMem-APとセキュアアクセスを再び有効にできる。データシートには、DEBUG_DISABLEは「このレジスタのすべてのビットを設定することで完全に上書きできる」と記載されている。

主要エンティティ：企業：Raspberry Pi、Arm、Ledger Donjon

FAQ：RP2350のセキュアデバッグバイパスとは何ですか？

これは、永続的なデバッグ無効設定を上書きするレジスタを標的にすることで、RP2350のセキュアワールドへのデバッグアクセスを回復するレーザー故障注入攻撃です。

FAQ質問：RP2350のセキュアデバッグバイパスとは何ですか？

FAQ回答：これは、永続的なデバッグ無効設定を上書きするレジスタを標的にすることで、RP2350のセキュアワールドへのデバッグアクセスを回復するレーザー故障注入攻撃です。