Se você já ouviu “esse chip é seguro” e aceitou a frase sem perguntar “seguro contra o quê, e contra quem”, vale parar um segundo. Segurança de hardware não é uma propriedade binária — é uma equação de tempo, custo e conhecimento necessário pra alguém quebrar aquele dispositivo especificamente. E antes de discutir contramedida, vale entender contra que tipo de ataque você está de fato se defendendo, porque “ataque físico” não é uma categoria única — são três, com custos e riscos bem diferentes entre si.
O que caracteriza um ataque físico
Diferente de um ataque de software ou de rede, um ataque físico exige acesso físico ou próximo ao dispositivo — o atacante mede tensão, corrente, tempo de operação ou até emissão eletromagnética pra extrair segredos como chave criptográfica ou detalhes de design. O ataque geralmente acontece em duas fases: uma fase de interação, onde o atacante usa equipamento especializado pra coletar dados do dispositivo, e uma fase de exploração, onde ele analisa esses dados pra revelar informação sensível.
Isso parece abstrato até você olhar pras três categorias concretas em que esse tipo de ataque se divide.
Invasivo: quando o atacante abre o chip
Ataques invasivos exigem acesso direto aos componentes internos do dispositivo, geralmente desmontando o encapsulamento pra expor o circuito integrado nu. As técnicas típicas incluem:
- Decapsulação, removendo o encapsulamento do chip pra expor o silício.
- Engenharia reversa, usando microscópios ópticos e câmeras de alta resolução pra capturar imagens de cada camada do chip e reconstruir o layout.
- Microprobing, usando estações de prova em escala submicrométrica pra acessar barramentos internos e monitorar ou injetar sinais de teste diretamente no circuito.
O objetivo típico é extrair chave secreta, modificar o chip, ou reconfigurá-lo pra criar uma versão clonada. O custo é alto — equipamento de microprobing e engenharia reversa não é barato nem trivial de operar — e o processo costuma ser irreversível: uma vez decapsulado, o chip não volta ao estado original, e o próprio processo pode danificar permanentemente o que está sendo atacado.
Semi-invasivo: acesso à superfície, sem contato direto
Ataques semi-invasivos combinam elementos dos outros dois: o encapsulamento ainda é removido, mas o atacante não estabelece contato elétrico direto com os sinais internos. As técnicas típicas:
- Técnicas de imagem, usando câmeras e sensores ópticos pra mapear o layout do chip e identificar regiões ativas sem precisar de contato físico com o barramento.
- Fault injection óptico ou térmico, injetando falhas via laser, aquecimento localizado ou outros métodos de alteração física pra mudar o estado de memória sem contato elétrico direto.
O risco de dano é menor que no invasivo puro, mas o investimento em equipamento especializado (laser de precisão, por exemplo) ainda é significativo. A aplicação típica é modificar o comportamento do chip sem precisar de contatos elétricos precisos — que é justamente o que torna microprobing caro e difícil.
Não invasivo: o mais barato, o mais difícil de detectar
Ataques não invasivos coletam informação sem causar dano físico ao dispositivo, mantendo sua integridade estrutural intacta. Isso inclui:
- Side-channel analysis, medindo consumo de energia, emissão eletromagnética ou variação térmica pra deduzir operações internas — tema que já cubro em profundidade em outros três artigos aqui no blog (cache attacks, power analysis, e timing/scan chain).
- Brute force organizado, explorando padrões previsíveis de endereçamento de memória pra buscar senhas ou chaves de forma sistemática.
- Glitches, induzindo variações rápidas em sinal de alimentação ou clock pra provocar erros temporários no processamento do chip.
O custo é geralmente o mais baixo dos três, o que já deveria ser motivo de atenção: esses métodos podem ser executados sem deixar sinal óbvio de violação, o que torna a detecção bem mais difícil do que nos outros dois casos. Um chip que sofreu decapsulação mostra evidência física óbvia. Um chip que sofreu glitch attack ou side-channel analysis, não.
Por que alguém investe nisso — a motivação quase sempre é dinheiro
Vale ser direto aqui: motivação exótica de “hacker curioso” existe, mas não é o que move a maior parte do investimento real em ataque físico. As três motivações que de fato justificam o custo de equipamento e tempo especializado são:
- Roubo de serviço ou dinheiro direto — ataques contra smartcards, set-top boxes ou consoles de jogos com o objetivo de fraude direta (desbloquear serviço pago, clonar cartão, etc).
- Pirataria de propriedade intelectual — clonar circuitos integrados e revender produtos ilegais, aproveitando o design de terceiros sem pagar pelo desenvolvimento.
- Vantagem competitiva desleal — inserir atualizações maliciosas ou hardware comprometido pra sabotar concorrentes ou ganhar vantagem de mercado.
Essa lista importa na hora de decidir onde investir em defesa. Se seu produto é um dispositivo de consumo de baixo custo, o modelo de ameaça mais provável é roubo de serviço ou clonagem — não espionagem industrial sofisticada. Se seu produto é um ASIC proprietário caro de desenvolver, IP piracy pesa muito mais na equação. Não faz sentido gastar orçamento de segurança nível militar pra proteger contra um adversário que nunca vai aparecer, assim como não faz sentido ignorar clonagem só porque “ninguém vai se dar ao trabalho” — geralmente alguém se dá, se o retorno financeiro compensar o custo do ataque.
Esse é justamente o ponto que retomo no artigo sobre contramedidas físicas concretas (bus scrambling, glue logic, sensor mesh) — porque entender a categoria e a motivação do ataque é o que define qual defesa faz sentido pagar, e qual é over-engineering pro seu caso.
