Introducción a los Ataques de Inyección de Fallos Electromagnéticos (EMFI)

# Una Introducción para Principiantes a los Ataques de Inyección de Fallos: Desmitificando la Inyección de Fallos Electromagnética (EMFI)

**Tabla de Contenidos**

- [Introducción a los Ataques de Inyección de Fallos](#introducción-a-los-ataques-de-inyección-de-fallos)
- [¿Qué es la Inyección de Fallos Electromagnética (EMFI)?](#qué-es-la-inyección-de-fallos-electromagnética-emfi)
- [Cómo Funciona EMFI: De la Teoría a la Práctica](#cómo-funciona-emfi-de-la-teoría-a-la-práctica)
  - [Comprendiendo la Interferencia Electromagnética](#comprendiendo-la-interferencia-electromagnética)
  - [Impacto de EMFI en Circuitos Integrados (ICs)](#impacto-de-emfi-en-circuitos-integrados-ics)
- [Un Setup Compacto de EMFI: Componentes y Ensamblaje](#un-setup-compacto-de-emfi-componentes-y-ensamblaje)
  - [Equipo Requerido](#equipo-requerido)
  - [Diagrama del Setup Típico](#diagrama-del-setup-típico)
  - [Consideraciones de Seguridad](#consideraciones-de-seguridad)
- [EMFI en Acción: Escenarios de Ataque del Mundo Real](#emfi-en-acción-escenarios-de-ataque-del-mundo-real)
  - [Estudio de Caso 1: Extracción de Claves Criptográficas](#estudio-de-caso-1-extracción-de-claves-criptográficas)
  - [Estudio de Caso 2: Ataques de Fallos en Microcontroladores Seguros](#estudio-de-caso-2-ataques-de-fallos-en-microcontroladores-seguros)
  - [Estudio de Caso 3: EMFI en Sistema en un Chip (SoC) Empotrado](#estudio-de-caso-3-emfi-en-sistema-en-un-chip-soc-empaquetado)
- [Detectando Vulnerabilidades Usando EMFI](#detectando-vulnerabilidades-usando-emfi)
  - [Escaneo para Respuesta de Fallos](#escaneo-para-respuesta-de-fallos)
  - [Automatización de Tests de Inyección de Fallos con Python y Bash](#automatización-de-tests-de-inyección-de-fallos-con-python-y-bash)
- [Mitigación de Ataques de Inyección de Fallos: Medidas Defensivas](#mitigación-de-ataques-de-inyección-de-fallos-medidas-defensivas)
- [Expandir tu Conocimiento: Recursos y Comunidad](#expandir-tu-conocimiento-recursos-y-comunidad)
- [Conclusión](#conclusión)
- [Referencias](#referencias)

---

## Introducción a los Ataques de Inyección de Fallos

Los Ataques de Inyección de Fallos son una clase de ataques de hardware donde un adversario **induce errores intencionalmente (fallos) en el funcionamiento de un dispositivo**, con el objetivo de eludir verificaciones de seguridad, extraer datos sensibles, o generalmente socavar la confianza en un sistema. Esta técnica es especialmente relevante con la proliferación de aplicaciones seguras ejecutándose en sistemas embebidos, desde tarjetas inteligentes hasta dispositivos IoT.

Las inyecciones de fallos pueden realizarse mediante varios métodos:
- Glitching de Voltaje/Reloj
- Inyección de Fallos por Láser
- **Inyección de Fallos Electromagnética (EMFI)**
- Manipulación de Temperatura/Ambiente

Entre estos, **EMFI** se destaca como una técnica flexible y sin contacto, que aprovecha pulsos cortos de energía electromagnética (EM) para interrumpir regiones específicas del silicio, provocando fallos transitorios. Este post se centra en EMFI tal como se usa en la investigación de ciberseguridad y en ataques prácticos.

---

## ¿Qué es la Inyección de Fallos Electromagnética (EMFI)?

La **Inyección de Fallos Electromagnética (EMFI)** es una técnica avanzada en la que una ráfaga controlada de energía electromagnética se dirige a una parte específica de un circuito integrado (IC) o microcontrolador. La intención es **perturbar el funcionamiento correcto del dispositivo** induciendo fallos, como cambios de bits, violaciones de tiempo o saltos de instrucciones.

### Características Clave:

- **No invasivo**: No hay necesidad de abrir el paquete o contactar físicamente el silicio interno.
- **Preciso**: Puede dirigirse a unidades funcionales específicas dentro de un chip (por ejemplo, núcleo de CPU, E/S).
- **Repetible**: Configuraciones adecuadas pueden permitir inyecciones de fallos consistentes y reproducibles.
- **Poderoso**: Especialmente potente contra chips con características de seguridad como arranque seguro, motores criptográficos o resistencia a manipulaciones.

### Visión General del Concepto

![Diagrama del Principio de EMFI](https://i.imgur.com/LB3vYoG.png)
*Figura: Principio de la Inyección de Fallos Electromagnética (simplificado)*

La técnica EMFI típicamente:
- Utiliza una **sonda basada en bobina** (casera o comercial) para concentrar campos EM.
- Emplea un **generador de pulsos EM** para generar pulsos de alta tensión a escala de nanosegundos.
- Se sincroniza con el reloj del sistema para maximizar la probabilidad de causar fallos significativos durante fases de computación sensibles.

**Fuente:** [arXiv:2509.18341v1](https://arxiv.org/html/2509.18341v1), [Blog de Ledger sobre EMFI Compacto](https://www.ledger.com/blog/compact-em)

---

## Cómo Funciona EMFI: De la Teoría a la Práctica

### Comprendiendo la Interferencia Electromagnética

La **Interferencia Electromagnética (EMI)** ocurre cuando un campo electromagnético externo perturba el funcionamiento normal de los circuitos electrónicos. En el contexto de inyección de fallos, el ataque es enfocado, intencional y altamente controlado.

**Física detrás de EMFI:**
- Las ecuaciones de Maxwell dictan cómo los campos EM se propagan e interactúan con los materiales.
- Los transitorios rápidos y de alta energía inducen corrientes no deseadas en los circuitos víctimas.
- En sistemas digitales, estos pueden causar aumentos de voltaje (o corriente) en puertas críticas o celdas de memoria en momentos precisos, causando fallos.

### Impacto de EMFI en Circuitos Integrados (ICs)

Cuando un pulso EM cuidadosamente diseñado es disparado a un dispositivo, varios efectos de ataque son posibles:
- **Violaciones de Tiempo:** Los datos no se capturan correctamente, o las secuencias de control se desordenan.
- **Salto de Instrucciones:** La CPU omite inadvertidamente instrucciones.
- **Cambios de Bits:** Bits en memoria o registros cambian debido a corrientes inducidas.
- **Evitación de Seguridad:** Las verificaciones de seguridad o las bifurcaciones condicionales pueden ser subvertidas.

**Ejemplo:**  
Un microcontrolador está ejecutando un código que verifica si una contraseña es correcta. Un ataque EMFI podría cambiar el resultado de esta verificación, eludiendo la autenticación y otorgando acceso no autorizado.

---

## Un Setup Compacto de EMFI: Componentes y Ensamblaje

Antes de lanzar un ataque, entendamos cómo se ve un setup típico de EMFI en un laboratorio de seguridad.

### Equipo Requerido

1. **Generador de Pulsos** — Genera pulsos rápidos y precisos de alta tensión (a menudo hasta varios cientos de voltios, con anchos tan pequeños como unos pocos nanosegundos).
2. **Sonda de Inyección EM** — Típicamente una pequeña bobina (sonda de bucle) posicionada justo encima del chip objetivo.
3. **Osciloscopio/Analizador de Lógica** — Monitorea la respuesta del sistema y ayuda con la calibración de tiempo.
4. **Equipo de Disparo y Sincronización** — Asegura que el fallo sea inyectado en el momento preciso.
5. **Dispositivo Objetivo** — El sistema embebido, microcontrolador o SoC a ser probado.
6. **Sistema de Posicionamiento** — Micro-posicionador XYZ para una alineación precisa de la sonda.
7. **Blindaje y Equipamiento de Seguridad** — Previniendo interferencia colateral y lesiones.

**Nota:** Algunas configuraciones avanzadas usan etapas motorizadas, retrasos controlables por computadora, e incluso aprendizaje automático para automatizar el proceso.

### Diagrama del Setup Típico

```plaintext
+---------------------+    Cable Coaxial     +-----------------------+
| Generador de Pulsos |--------------------->| Sonda EM (bucle/bobina)|
+---------------------+                      +-----------------------+
                                                        |
                                                        V
                                                 +-----------+
                                                 |  Dispositivo|
                                                 |   Objetivo  |
                                                 +-----------+
                                                        |
                                                        v
      +---------+     Disparo/Sinc.      +-------------+   USB/Serial  +-----------+
      | PC Host |<---------------------->| Osciloscopio|-------------->| PC Host   |
      +---------+                      +-------------+                +-----------+
    (Control, Tiempo)               (Monitoreo de Respuesta)

Consideraciones de Seguridad

Alta Tensión: Los generadores de pulsos pueden entregar voltajes peligrosos; manejar con extremo cuidado.
Campos EM: Se requiere blindaje para localizar el ataque y minimizar la emisión.
Daño al Dispositivo: Pulsos de alta energía repetidos pueden dañar permanentemente los ICs objetivos.

EMFI en Acción: Escenarios de Ataque del Mundo Real

Estudio de Caso 1: Extracción de Claves Criptográficas

Muchos dispositivos dependen de claves criptográficas almacenadas internamente (por ejemplo, claves AES, RSA). Al perturbar la ejecución durante el cálculo criptográfico (como la multiplicación en RSA), los atacantes pueden inducir fallos que resultan en salidas defectuosas de las cuales las claves secretas pueden ser recuperadas matemáticamente.

Ejemplo

Objetivo: Tarjeta inteligente que ejecuta cálculo de firma RSA.
Proceso: Aplicar EMFI durante el cálculo de la clave privada para afectar selectivamente puntos cruciales.
Resultado: Usar múltiples salidas defectuosas y el criptograma original para reconstruir claves utilizando una técnica conocida como Análisis de Fallos Diferenciales.

Flujo de Análisis de Fallos Diferenciales

flowchart TD
    A[El dispositivo ejecuta algoritmo criptográfico] --> B[EMFI induce fallo en el cálculo]
    B --> C[Salida capturada (cifrado/firma defectuosa)]
    C --> D[El atacante usa ecuaciones conocidas y múltiples salidas defectuosas]
    D --> E[Recuperación de la clave vía técnicas algebraicas]

Estudio de Caso 2: Ataques de Fallos en Microcontroladores Seguros

Los microcontroladores modernos utilizados en tarjetas de pago, TPMs o tokens de autenticación incluyen características de seguridad—pero EMFI puede eludirlas, exponiendo sus secretos.

Ejemplo: Saltar Verificaciones de Autenticación

Supongamos un segmento de código objetivo realiza una verificación de contraseña:

if (input_hash == stored_hash) {
    grant_access();
}

Un pulso EMFI, bien sincronizado durante la comparación, puede corromper el flujo de control o los registros de la CPU, evitando la condicional y forzando que el acceso sea otorgado erróneamente.

Demostración: Visualización de Manipulación de Flujo de Control

Ciclo	Operación	Estado del Registro	Efecto EMFI	Salida
T1	Cargar input_hash	input_hash en R1	-	-
T2	Comparar input_hash y stored	R1, R2	Pulso EM	Resultado de comparación defectuoso
T3	Bifurcación si igual	Comprobación	Saltado	¡Acceso concedido!

Estudio de Caso 3: EMFI en Sistema en un Chip (SoC) Empaquetado

Con SoCs (por ejemplo, ARM Cortex-M, A53), EMFI abre una amplia superficie de ataque:

ROM de arranque
Enclave(s) seguro(s)
Descifrado de código en el vuelo
Autenticación de datos en tiempo de ejecución

Ejemplo: Ataque en Arranque Seguro

Un SoC puede verificar la integridad del firmware al arrancar. Un atacante sincroniza un pulso EMFI a la rutina de verificación CRC, causando que omita o calcule incorrectamente la verificación. El dispositivo entonces se inicia con un firmware modificado (malicioso) por el atacante.

Referencia del Mundo Real:
En un Seminario de Creach Labs, los investigadores demostraron cómo los SoCs que ejecutan Entornos de Ejecución Confiables podrían ser comprometidos con EMFI.

Detectando Vulnerabilidades Usando EMFI

Los investigadores de seguridad a menudo utilizan EMFI para caracterizar vulnerabilidades en nuevos dispositivos. El proceso implica la investigación sistemática, inyección de fallos y observación de las respuestas del dispositivo.

Escaneo para Respuesta de Fallos

Proceso Paso a Paso:

Identificar Código Sensible: ¿Dónde dirigirse (por ejemplo, comparación de contraseñas, rutinas criptográficas)?
Sincronizar Pulso: Usar GPIO, salida serial o líneas de depuración para asegurar un tiempo preciso.
Variar Parámetros: Explorar ancho del pulso, amplitud, desplazamiento en tiempo y posición de la sonda.
Recoger Salidas: Almacenar respuestas del dispositivo, criptogramas defectuosos o registros de depuración para análisis.
Clasificar Fallos: Usar guiones para analizar salidas y clasificar por tipo de fallo—instrucciones omitidas, cambios de bits, reinicio total del dispositivo, etc.

Ejemplo de Script de Escaneo (Bash + Python):

Suponga que su dispositivo emite información de diagnóstico vía UART y desea automatizar la clasificación de fallos.

Bash: Lanzando un escaneo de fallos, capturando registros seriales para cada inyección:

for delay in $(seq 0 100 5000); do
    echo "Inyectando con retraso de $delay ns"
    ./trigger_pulsegen --delay $delay --width 10 --voltage 200
    cat /dev/ttyUSB0 > log_${delay}.txt &
    sleep 0.5
    pkill -f "cat /dev/ttyUSB0"
done

Python: Analizando registros en busca de patrones de fallos (por ejemplo, buscando 'FALLO DETECTADO'):

import glob

for logfile in glob.glob("log_*.txt"):
    with open(logfile) as f:
        content = f.read()
        if "FALLO DETECTADO" in content:
            print(f"{logfile}: Fallo observado")
        elif "REINICIO" in content:
            print(f"{logfile}: Reinicio del dispositivo detectado")
        else:
            print(f"{logfile}: Sin fallo")

Automatización de Tests de Inyección de Fallos con Python y Bash

La investigación a mayor escala implica integrar todo el equipamiento con automatización de software:

Automatización del posicionamiento de la sonda (vía motores)
Control programático de los parámetros del pulso
Recolección de datos en tiempo real y procesamiento
Targeting adaptativo basado en resultados observados

Ejemplo Simple de Automatización con Python:

Suponga que tiene una API para su generador de pulsos y osciloscopio:

import pulsegen
import oscilloscope

# Conectar dispositivos
pulse = pulsegen.connect("COM4")
scope = oscilloscope.connect("USB0::0x1AB1::0x0588::DS1ET141904883")

delays = range(1000, 5000, 200)  # en ns

for d in delays:
    pulse.setup(delay=d, width=10, voltage=250)  # configurar parámetros de inyección
    pulse.fire()   # ¡inyectar!
    trace = scope.capture()
    # Guardar, analizar, o visualizar la traza capturada:
    filename = f"trace_{d}ns.csv"
    with open(filename, "w") as f:
        f.write(trace)

Nota: La automatización en la vida real puede involucrar bibliotecas complejas, manejo de errores e integración con posicionadores de sondas.

Mitigación de Ataques de Inyección de Fallos: Medidas Defensivas

A medida que EMFI madura, también lo hacen las contramedidas: los fabricantes de hardware ahora diseñan con resistencia a fallos:

Sensores: Detectores a bordo para campos EM fuertes o anomalías de voltaje.
Cálculo Redundante: La lógica crítica es duplicada, y los resultados se comparan (Redundancia Modular Dual, DMR).
Retrasos Aleatorios/Ofuscación: Añade ruido a la puntualidad de ejecución, haciendo más difícil el targeting preciso.
Blindaje Físico: Añade barreras conductoras, absorbedoras de EM sobre áreas IC sensitivas.
Sensado de Software: El software monitorea estados imposibles (por ejemplo, salto imposible en lógica).

Ejemplo de Software: Ejecución Tríptica para Verificación:

// Pseudocódigo
result1 = calc_hash(input);
result2 = calc_hash(input);
result3 = calc_hash(input);

if ((result1 == result2) && (result2 == result3))
    use(result1);
else
    trigger_alert();

Expandir tu Conocimiento: Recursos y Comunidad

Si estás ansioso por ir más allá de lo básico, los siguientes recursos y comunidades son invaluables:

Artículos de Investigación:
- arXiv:2509.18341v1
Seminarios y Talleres:
- Seminario de EMFI de Creach Labs
Herramientas de Código Abierto:
- ChipWhisperer
Blogs y Tutoriales:
- Blog de Ledger - Setup Compacto de Inyección de Fallos Electromagnética
Conferencias:
- CHES (Criptografía de Hardware y Sistemas Embebidos)
- COSADE (Análisis de Canales Laterales Constructivos y Diseño Seguro)
- RECON, Hardwear.io

Conclusión

La Inyección de Fallos Electromagnética (EMFI) es una herramienta fascinante—aunque formidable—en el campo de la investigación de seguridad de hardware. Lo que comenzó como una curiosidad académica exótica, ahora forma un riesgo crítico que cualquier diseñador de microcontroladores seguros o chips debe considerar. Incluso con equipamiento y scripting básicos, los atacantes (y los investigadores) pueden montar intrusiones de hardware precisas, repetibles y altamente disruptivas.

Como has visto:

EMFI puede eludir, degradar, o extraer secretos criptográficos.
Un setup práctico está al alcance de muchos laboratorios y profesionales.
Las vulnerabilidades del mundo real en SoC de arranque seguro, tarjetas inteligentes y elementos seguros demuestran la gravedad de EMFI.
La investigación defensiva y el diseño de chips seguros deben adaptar continuamente.

Para principiantes y veteranos por igual, EMFI representa tanto una amenaza a gestionar—como un diagnóstico poderoso para preparar a prueba de futuro nuestro mundo digital.

Referencias

¿Encontraste útil esta guía extensa? Si es así, compártela con tu equipo de seguridad o colegas de ingeniería de hardware! Para técnicas o ejemplos más avanzados, consulte los recursos anteriores y las últimas actas de conferencias en seguridad de hardware y embebidos.

[Para comentarios, correcciones, o contribuciones, vea el preprint original de ArXiv y la comunidad de investigación abierta de seguridad.]