Ein 128-Bit-Schlüssel galt im RP2350 als sicher verwahrt, geschützt durch Secure Boot und eine Einmal-Speicherzelle, die niemand mehr überschreiben kann. Das Sicherheitslabor Ledger Donjon las ihn trotzdem aus, mit gezielten Laserpulsen auf die Rückseite des abgeschliffenen Chips. Der Fall zeigt, warum ein Hardware-Schlüssel gegen einen Angreifer mit Laborzugang keine absolute Sicherheit bietet.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Der RP2350 steckt im Raspberry Pi Pico 2 und in unzähligen Bastel- und Industrieboards, und sein Sicherheitskonzept galt als vorbildlich offen: Raspberry Pi setzte sogar ein Kopfgeld auf das Auslesen eines geheimen Schlüssels aus. Genau diesen Schlüssel zog das Team von Ledger Donjon jetzt aus einem gesperrten Chip, ein Jahr nachdem die erste Angriffswelle den Secure Boot bereits durchbrochen hatte.
Das Wichtigste in Kürze
- Ledger Donjon kombinierte Photonen-Emissionsanalyse und Laser-Fehlerinjektion und öffnete so den dauerhaft gesperrten Secure-Debug des RP2350.
- Über einen erzwungenen Reset umging das Team die Sperren im Einmal-Speicher und las einen 128-Bit-Schlüssel aus OTP-Page 48 aus.
- Kein Einzelfehler war schuld: Mehrere für sich korrekte Schutzmechanismen ergaben erst in ihrem Zusammenspiel die Lücke.
- Für vernetzte Geräte heißt das: Ein Geheimnis im Chip hält physischen Angreifern nur begrenzt stand, und der Cyber Resilience Act verlangt ein realistisches Bedrohungsmodell.
Wie kam der Laser an den geheimen Schlüssel?
Der Schutz des RP2350 beruht auf einem Einmal-Speicher, dem OTP: Jedes Bit lässt sich dort genau einmal von 0 auf 1 setzen und nie zurück, was Konfiguration und Boot-Schlüssel dauerhaft festschreibt. Ledger Donjon suchte zunächst mit einem Infrarot-Mikroskop die Transistoren, die das Debug-Register steuern, und maß dabei das schwache Leuchten schaltender Halbleiter. An den lokalisierten Stellen setzte das Team kurze Laserpulse auf die abgeschliffene Rückseite des Chips und kippte so die Bits, die den Debug-Zugang öffnen.
Der Zugang zum Debugger allein reichte nicht, denn eine Laufzeitverriegelung schützte das Geheimnis weiterhin. Das Team nutzte eine Reset-Funktion des Debug-Ports, die selbst bei abgeschaltetem Debugging erreichbar bleibt, und versetzte den Chip in einen nachgiebigeren Sperrzustand, bevor die Firmware die strengen Sperren erneut setzen konnte. Anschließend las Ledger Donjon einen vollständigen 128-Bit-Schlüssel aus OTP-Page 48 aus.[1]
Warum ist das kein Einzelfall?
Der RP2350 ist kein Nachzügler, sondern ein moderner Sicherheits-Mikrocontroller mit Arm-TrustZone, Secure Boot und eigenen Glitch-Detektoren gegen genau solche Manipulationen. Schon 2024 rief Raspberry Pi zu einem offenen Hacking-Wettbewerb auf und lobte ein Kopfgeld auf das Auslesen eines OTP-Geheimnisses aus. Am Ende durchbrachen fünf verschiedene Angriffe den Secure Boot, über Spannungs-, elektromagnetische und Laser-Fehlerinjektion.[2] Ein invasiver Angriff des Labors IOActive griff sogar die Antifuse-Zellen des OTP-Speichers direkt an.[3]
Teuer wirkt der Einstieg nur auf den ersten Blick. Ledger Donjon beziffert den eigenen Laboraufbau auf rund 217.000 Euro, doch schon im Wettbewerb gelang vergleichbaren Laser-Angriffen der Durchbruch mit selbstgebauter, weit günstigerer Technik.[2] Der Aufwand für einen physischen Angreifer sinkt, während die Methoden genauer werden.
Ein Schlüssel im Chip ist kein Tresor, sondern eine Hürde mit einem Preisschild. Entscheidend ist die ehrliche Frage, was ein Angreifer für dieses eine Geheimnis aufzubringen bereit ist.
— Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet das für deutsche Entwickler?
Für Hersteller vernetzter Geräte verschiebt der Angriff die Messlatte. Ein einzelnes Geheimnis, das auf jedem Gerät identisch im Chip liegt, wird zum Totalschaden, sobald ein Angreifer den Schlüssel aus einem einzigen Exemplar zieht. Der Cyber Resilience Act der EU verlangt seit seinem Inkrafttreten ein belastbares Bedrohungsmodell für vernetzte Produkte, und dazu gehört die nüchterne Einschätzung, ob physischer Zugriff im eigenen Einsatzszenario überhaupt Teil der Gefahr ist.
Handlungsbedarf entsteht vor allem bei den Schlüsseln selbst. Ein geräteübergreifendes Geheimnis gehört durch gerätespezifische Schlüssel ersetzt, damit ein einziges geknacktes Exemplar nicht die ganze Flotte aufschließt. Sensible Berechnungen laufen sicherer in gehärteten Umgebungen, etwa mit verschlüsseltem Arbeitsspeicher in der Cloud, wie ihn IONOS anbietet. Und die Abwehr endet nicht am Silizium, denn dieselbe Logik hinter dem Angriff, eine dokumentierte Sperre auszuhebeln, steckt auch in softwareseitigen Lücken wie zuletzt in Ciscos Zugangskontrolle ISE.
Produktverantwortliche sollten das Versprechen Secure Boot deshalb nicht als Garantie verbuchen, sondern als Hürde, deren Höhe vom Wert des Geheimnisses und vom Budget des Angreifers abhängt.
So lief der Angriff
Quellen
[1] Ledger Donjon: „Photon-Emission-Guided Laser Fault Injection Enables RP2350 Secure Debug“
[2] Raspberry Pi: „Security through transparency: RP2350 Hacking Challenge results are in“
[3] IOActive: „Novel Invasive Attack on One-Time-Programmable Antifuse Memory“
Mehr Newshunger?
- Cisco Secure Email Gateway: Eine präparierte E-Mail genügt für Root-Rechte
- GitLab-Lücke CVE-2026-85706: Eine Anfrage liest jede Datei vom Server
- WordPress 7.1.1 schließt elf Sicherheitslücken, zwei davon fand Anthropic
- Windows-Notfallupdate KB5129195: Microsoft repariert seinen eigenen Patchday
- Ein Passwort für alles? Warum diese Gewohnheit zum Sicherheitsrisiko wird
