Tweet
Tweet

Slide 1

Slide 1 text

"Actual" Security in Microcontroller Ruby!? Ryo Kajiwara/ 梶原 龍 (sylph01) 2024/12/07 @ KeebWorld Conference 2024 1

Slide 2

Slide 2 text

だれ / なに 2

Slide 3

Slide 3 text

3

Slide 4

Slide 4 text

4

Slide 5

Slide 5 text

RubyKaigi followup でこんなこと言っ てましたね？ 5

Slide 6

Slide 6 text

今日の話 RP2350 のセキュアブートで遊んでみた データシートを読んでみた キーボードへのインパクトは？ PicoRuby へのインパクトは？ 6

Slide 7

Slide 7 text

注意 いつもの「暗号には気をつけよう」に加えて チップに対して不可逆な操作を行います One-Time Programmable Memory (OTP) への書き込みは名前の通 り不可逆です セキュアブートはこの領域に鍵のフィンガープリントを書き込 むことで行います 鍵のバックアップをし損ねるとそのRP2350 は文鎮です 7

Slide 8

Slide 8 text

RP2350 Raspberry Pi Pico 2 世代の石。 ARM Cortex-M33 Dual-core, 150MHz 520KB on-chip SRAM up from 260KB! ARM TrustZone 搭載 「$5 で買えるTEE 」 8KB のOTP を持つ 8

Slide 9

Slide 9 text

セキュアブート Boot Signing 秘密鍵を使って署名したファームウェアを書き込み、公開鍵を 使って（※詳細後述）署名を検証 通常セキュアブートといえばこっち RP2350 においてはRISC-V コアを完全に無効化する Encrypted Boot 暗号化したバイナリを書き込み、OTP に書き込んだ鍵を使って 復号、プログラムを実行する AES を使っているので共通鍵暗号 9

Slide 10

Slide 10 text

10

Slide 11

Slide 11 text

実際にやってみる Raspberry Pi Foundation が主催している "RP2350 Hacking Challenge" (https:/ /github.com/raspberrypi/rp2350_hacking_challenge) というレポジ トリにOTP への書き込みとBoot Signing のサンプルがあるのでそれを試し てみる。 11

Slide 12

Slide 12 text

OTP への書き込み ~/projects/rp2350_hacking_challenge$ ./write_otp_secret.sh picotool otp set -e 0xc08 0xc0ff ROW 0x0c08 OLD_VALUE=0x000000 picotool otp set -e 0xc09 0xffee ROW 0x0c09 OLD_VALUE=0x000000 ... 12

Slide 13

Slide 13 text

もう1 回やると ~/projects/rp2350_hacking_challenge$ ./write_otp_secret.sh picotool otp set -e 0xc08 0xc0ff ROW 0x0c08 OLD_VALUE=0x22c0ff ERROR: Cannot modify OTP ECC row(s) 13

Slide 14

Slide 14 text

OTP からの読み出し ~/projects/rp2350_hacking_challenge$ ./read_otp_secret.sh VALUE 0x22c0ff VALUE 0x14ffee ... 14

Slide 15

Slide 15 text

何をしている picotool otp set -e 0xc08 0xc0ff アドレス 0x0c08 に 0xc0ff という値を書き込む。 picotool otp get -e 0xc08 | grep VALUE アドレス 0x0c08 から値を読み出し、出力のうち VALUE と書かれた行 を取り出す。これは otp get が一部のアドレスに対して説明を付与す ることがあるため。 15

Slide 16

Slide 16 text

何をしている 0xc0ff を書いたのに VALUE 0x22c0ff が出てくるのはなんで？ →OTP はECC で保護されている領域で、以下のように構成される: 23:22 がBit Repair by Polarity (BRP) フラグ 21:16 がModified Hamming ECC 15:0 がデータ本体 OTP をデータの物理的な破壊によって変更するのはかなり困難。 https:/ /datasheets.raspberrypi.com/rp2350/rp2350-datasheet.pdf 13.6. Error Correction Code (ECC) 16

Slide 17

Slide 17 text

enable_secureboot.sh やっていることは picotool otp load otp.json で、 otp.json には boot_flags1 : {"key_valid":1} bootkey0 : 公開鍵のフィンガープリント crit1 : {"secure_boot_enable":1} が含まれる。これは CMakeLists.txt 中の pico_set_otp_key_output_file(target_name /path/to/otp.json) で作るよう指示される。 https:/ /datasheets.raspberrypi.com/rp2350/rp2350-datasheet.pdf 5.10.1. Secure Boot 17

Slide 18

Slide 18 text

CMakeLists.txt で指定する内容 pico_set_binary_type : no_flash でSRAM から実行 pico_sign_binary : 指定した鍵ファイルで署名することを指示 pico_hash_binary : バイナリのハッシュを取ることを指示 pico_package_uf2_output : SRAM 上で実行されるパッケージ化バ イナリを作る pico_set_otp_key_output_file : otp.json の位置を設定 pico_add_extra_outputs : これを呼ぶことで sign と hash が実 行される 18

Slide 19

Slide 19 text

実際はどうやって実行されてる？ CMakeLists.txt で上記のフラグを有効にしていると、 pico- sdk/tools/CMakeLists.txt 内 picotool_postprocess_binary にて picotool seal を呼ぶことでバイナリの署名をとっている。 Encrypted Boot の際の暗号化も同 picotool_postprocess_binary 内。 https:/ /github.com/raspberrypi/pico-sdk/blob/efe2103f9b28458a1615ff096054479743ade236/tools/CMakeLists.txt#L424 19

Slide 20

Slide 20 text

lock_chip.sh もっと強力にチップを保護する。以下のフラグを書き込む: デバッグの無効化 他のブートキーを無効化 Glitch Detector を有効化し最も強い感度で利用 fault injection からの保護を行う 20

Slide 21

Slide 21 text

バイナリを書いてみた 普通にUSB マスストレージに署名された .uf2 を落とすだけ。 違う鍵で署名された .uf2 を落とすと 再起動すらしなかった secure_version はUSB すら無効化さ れているので /dev/ttyACM0 すら出て こない 21

Slide 22

Slide 22 text

22

Slide 23

Slide 23 text

データシートを読んでみる Chapter 10. Security Chapter 13. OTP あたりが関係するところ。 Chapter 13 にはOTP ハードウェアの詳細やシステム利用部分のレイアウ トなどが記述してある。 以下、セキュリティ機能(Chapter 10) に関するかなりhigh-level な overview 。 23

Slide 24

Slide 24 text

10.1.1 Secure Boot 署名とはsecp256k1 で暗号化されたSHA256 ハッシュ 以下の手順で検証される: バイナリを読み込むときにimage code とdata からSHA256 を計算 image に含まれる公開鍵を使って署名からハッシュを復号 最初の手順で得たハッシュと復号で得たハッシュを照合 得た公開鍵とOTP 中の公開鍵フィンガープリントを照合 他にバージョン番号のダウングレード防止もついている。 24

Slide 25

Slide 25 text

10.1.2 Encrypted Boot ペイロードのバイナリに対して署名を付与する その後署名まで含めてencryption key で暗号化する バイナリに復号のためのコードを付与する 復号コードまで含めた署名を改めて計算し付与する 復号化のためのコードはbootrom ではなくイメージに含まれる。電力解 析攻撃の対策が理由とされている（その対策として共通鍵暗号部分のみ アップグレードができるようにしている） 。 25

Slide 26

Slide 26 text

10.1.3 Isolating Trusted and Untrusted Software セキュアブートで起動した後はSecure モードとNon-Secure モードのソフ トウェアを区別でき、ハードウェアへのアクセスやOTP へのアクセスを 制限できるようになる。 26

Slide 27

Slide 27 text

27

Slide 28

Slide 28 text

キーボードにとって何が嬉しいの？ ファームウェアの悪意のある書き換えから身を守ることができる、とい うことは: 不在の間にキーマップを勝手に書き換えられることから身を守るこ とができる ネットワークにつながる板だった場合にキーストロークの悪意のあ るモニタリングと送信から身を守ることができる キーボードがネットワークにつながる？→PicoRuby はWiFi 対応 したのでできてしまうんですね… 28

Slide 29

Slide 29 text

ぶっちゃけプログラマブルな自作キー ボードって高いコンプライアンス要件 にとっては悪夢では 外部から制限付きとはいえ計算機を持ち込んでいるに等しい。WiFi に繋 がるキーボードなんてもってのほか。 ファームウェアが信用できない場合は信用できない計算機を持ち込んで いることになる。動かしているファームウェアに確証が持てることはそ の点で嬉しい（本当に？） 。 29

Slide 30

Slide 30 text

OTP の存在がかなり嬉しい デバイスに恒久的な初期設定値を焼くことができる 身近なところだとデバイスの識別子とか セキュアモードからしか読めないOTP 領域を設定できるので 鍵を安全に保管することができる 30

Slide 31

Slide 31 text

PicoRuby で使える？ Boot Signing/Encrypted Boot 自体はビルド手順にちょっと手を加え ることでできそう もっともセキュアブートによる保護を得られるのは .uf2 の部分だ け PRK Firmware の keymap.rb も抱き込んでしまえば保護が得ら れるが現在はそうなっていない 抱き込んじゃうとPRK Firmware の最大の利点であるレイアウト 変更の容易性が失われる… 31

Slide 32

Slide 32 text

PicoRuby で使える？ RP2350 固有の機能をPicoRuby から使うにはPicoRuby 側に手を入れ る必要がある OTP の値を読む Secure モードに閉じ込めておきたい Secure モードとNon-Secure モードの区別？Ruby に対してど うやって見せる？ RP2350 には乱数生成器(TRNG) がついているのでそれもほしい SHA256 のアクセラレータも使える？ 32

Slide 33

Slide 33 text

33

Slide 34

Slide 34 text

Pico 2 W ｸﾙｰｰｰｰ!!! ※日本での発売は技適認証待ち 34

Slide 35

Slide 35 text

まとめ RP2350 のセキュアブートやOTP を使ってみたよ 暗号鍵とかを安全に保管できるよ PicoRuby に来るにはもうちょっとやることがあるよ 然るべきときに話す機会がやってくるかも 35