[논문 리뷰] The Unpatchable Silicon: A Full Break of the Bitstream Encryption of Xilinx 7-Series FPGAs

Maik Ender, Amir Moradi외 1명|arXiv (Cornell University)|2021. 05. 28.

Physical Unclonable Functions (PUFs) and Hardware Security인용 수 39

한 줄 요약

본 논문은 FPGA를 복호화 오라클로 활용하고 CBC 가변성을 통해 진짜 암호화된 비트스트림을 위조하는 방식을 통해 Xilinx 7-Series FPGA의 비트스트림 암호화를 완전히 파괴하고(일부 Virtex-6는 부분적으로 파괴), 두 가지 저비용 공격을 제시한다.

ABSTRACT

The security of FPGAs is a crucial topic, as any vulnerability within the hardware can have severe consequences, if they are used in a secure design. Since FPGA designs are encoded in a bitstream, securing the bitstream is of the utmost importance. Adversaries have many motivations to recover and manipulate the bitstream, including design cloning, IP theft, manipulation of the design, or design subversions e.g., through hardware Trojans. Given that FPGAs are often part of cyber-physical systems e.g., in aviation, medical, or industrial devices, this can even lead to physical harm. Consequently, vendors have introduced bitstream encryption, offering authenticity and confidentiality. Even though attacks against bitstream encryption have been proposed in the past, e.g., side-channel analysis and probing, these attacks require sophisticated equipment and considerable technical expertise. In this paper, we introduce novel low-cost attacks against the Xilinx 7-Series (and Virtex-6) bitstream encryption, resulting in the total loss of authenticity and confidentiality. We exploit a design flaw which piecewise leaks the decrypted bitstream. In the attack, the FPGA is used as a decryption oracle, while only access to a configuration interface is needed. The attack does not require any sophisticated tools and, depending on the target system, can potentially be launched remotely. In addition to the attacks, we discuss several countermeasures.

연구 동기 및 목표

• FPGA 비트스트림을 안전하고 임무에 중요한 배치에서 보호하는 것의 중요성을 강조한다.
• Xilinx 7-Series 비트스트림의 진정성 및 기밀성을 완전하게 손상시키는 실용적 공격을 시연한다.
• 공격이 제한된 장비로도, 또는 잠재적으로 원격 접속으로도 수행될 수 있음을 보여준다.
• 이러한 취약점에 대한 의미를 분석하고 완화책을 논의한다.

제안 방법

• 적대적 모델과 JTAG/SelectMAP 인터페이스 및 암호화된 비트스트림에 대한 가정된 접근 권한을 설명한다.
• AES-256 CBC 모드의 CBC 가변성을 이용해 복호화된 비트스트림 내용을 변경한다.
• FPGA의 MultiBoot(WBSTAR) 메커니즘을 사용해 복호화된 비트스트림 데이터를 워드 단위로 읽어낸다.
• 읽기 경로를 통해 FPGA가 복호화된 데이터를 누설하게 하는 악성 비트스트림을 구성한다.
• HMAC과 CBC 체인을 조작해 합법적인 암호화 비트스트림을 위조할 수 있도록 하는 두 번째 공격을 시연한다.

실험 결과

연구 질문

• RQ1 Xilinx 7-Series 비트스트림 암호화를 완전히 해제해 복호화된 비트스트림을 완전히 공개할 수 있는가?
• RQ2 공격자가 FPGA를 복호화 오라클로 사용해 순차적인 워드 단위 읽기를 통해 전체 비트스트림을 복구할 수 있는가?
• RQ3 CBC 가변성을 이용해 HMAC를 조작하여 합법적인 암호화 비트스트림을 위조할 수 있는가?
• RQ4 이러한 공격에 대해 비트스트림의 진정성 및 기밀성을 유지하기 위한 실행 가능한 대책은 무엇인가?

주요 결과

• 이 공격은 Xilinx 7-Series의 비트스트림 진정성과 기밀성을 완전하게 손실시키고 Virtex-6 장치에 대해 부분적 손실을 초래한다.
• 설명된 접근법을 사용하면 완전한 Kintex-7 XC7K160T 비트스트림을 3시간 42분 만에 복호화할 수 있다.
• 공격자는 CBC 가변성을 통해 HMAC를 조작해 합법적인 암호화 비트스트림을 위조할 수 있다.
• FPGA가 복호화 오라클로 효과적으로 사용될 수 있으며 표준 구성 인터페이스(JTAG/SelectMAP)를 통해 접근 가능하므로 원격 또는 반원격으로 악용될 가능성이 있다.
• 패치는 실리콘 변경 없이는 불가능하다고 언급되며 대책이 논의된다.