Retrofit or Redesign? Hardware-Validated Constant-Time Defense and Cost Analysis for the M-Step Side-Channel on TrustZone-M

Imagine que você é o guardião de um cofre secreto, e a única maneira de abri-lo é resolvendo um enigma matemático complexo. No mundo da segurança digital, esse enigma é frequentemente uma "inversão modular", um cálculo usado para trancar e destrancar mensagens. Durante anos, especialistas acreditaram que, se você tornasse o tempo que leva para resolver o enigma o mesmo todas as vezes, ninguém conseguiria roubar o segredo. Isso é chamado de segurança de "tempo constante". A ideia era que, se um ladrão não pudesse distinguir se você estava pensando muito ou apenas tentando a sorte com base em quanto tempo a porta levou para abrir, você estaria seguro.

Mas existe um truque sorrateiro chamado "ataque de passo único" (single-stepping attack). Imagine que um ladrão não apenas espera a porta abrir; eles possuem um cronômetro mágico que permite congelar o tempo após cada único passo do processo de resolução do seu enigma. Eles podem observar exatamente qual caminho você toma através do labirinto. Se o seu labirinto possui atalhos secretos que você só utiliza quando conhece a resposta, o ladrão vê você pegar o atalho e aprende o seu segredo. Este artigo explora uma escolha de alto risco para engenheiros de segurança: quando uma vulnerabilidade é encontrada, você deve tentar remendar o labirinto antigo e vazoso para que ele pareça uniforme (um "retrofit") ou deve derrubá-lo e construir um novo labirinto que não possua atalhos por design (um "redesign")? A resposta não é apenas sobre qual é mais rápido; é sobre qual deles realmente impede o ladrão de ver seus segredos.

---

O Grande Remendo do Labirinto: Retrofit vs. Redesign

Neste estudo, os pesquisadores Arash Razban e sua equipe enfrentaram uma brecha de segurança do mundo real (conhecida como CVE-2025-54764) encontrada em uma biblioteca popular usada para proteger dados em pequenos computadores embarcados, como aqueles em cartões inteligentes ou dispositivos médicos. A falha estava nas rotinas de "GCD binário" e "inversão modular" — basicamente, os motores matemáticos que lidam com chaves secretas. Um hacker usando uma técnica chamada "M-Step" poderia congelar o computador após cada instrução individual e observar o caminho que a matemática percorreu para roubar a chave secreta.

Os pesquisadores montaram uma batalha direta em hardware de silício real (um chip Cortex-M33) para ver qual estratégia de defesa funcionava melhor: O Retrofit ou O Redesign.

O Retrofit (O Trabalho de Remendo):
A equipe tentou consertar as rotinas matemáticas antigas e vazosas. Eles pegaram o código original, que possuía atalhos dependentes de segredos (como um labirinto com portas ocultas), e o forçaram a percorrer o mesmo caminho todas as vezes. Eles fizeram isso fazendo o código executar cada passo possível, mesmo aqueles de que não precisava, e usando truques "sem desvio" (branchless) para esconder qual caminho foi realmente tomado. Era como forçar um corredor a fazer uma corrida por todos os cômodos de uma casa, independentemente de onde seja a saída, para que um observador não possa dizer de qual cômodo ele realmente saiu.

O Redesign (A Nova Construção):
A alternativa era jogar fora a matemática antiga inteiramente e substituí-la por um algoritmo novo (chamado safegcd) que foi construído do zero para não possuir atalhos. Este novo labirinto possui um caminho fixo que parece exatamente o mesmo, não importa qual seja o segredo.

Os Resultados Chocantes: Velocidade e Vazamentos Sorrateiros

Os pesquisadores mediram duas coisas: quanto custava (em tempo e energia) executar essas defesas, e se elas realmente paravam o ladrão.

1. O Custo do Remendo
Os resultados foram impressionantes. O "Redesign" foi incrivelmente eficiente. No entanto, o "Retrofit" foi um desastre em termos de velocidade.

• Para a rotina GCD, o retrofit foi 192 vezes mais lento que o redesign.
• Para a inversão modular, o retrofit foi 532 vezes mais lento.

Para colocar isso em perspectiva, no hardware que testaram, a rotina redesenhada levou milissegundos para rodar. A rotina retrofitada? Levou segundos. Especificamente, o GCD retrofitado levou cerca de 4,5 segundos por chamada, e a inversão modular levou impressionantes 25 segundos. Para um dispositivo que precisa desbloquear uma porta ou assinar uma mensagem instantaneamente, esperar 25 segundos é praticamente inútil. O redesign não foi apenas melhor; foi a única opção que tornou o dispositivo utilizável.

2. O Vazamento "Fantasma"
É aqui que a história fica realmente interessante. Os pesquisadores pensaram que o Retrofit fora um sucesso. Quando mediram o tempo total para executar, o Retrofit parecia perfeito. O tempo variava menos de 2% entre diferentes segredos, o que é geralmente considerado "seguro".

Mas então, eles usaram uma ferramenta superprecisa para verificar as instruções exatas que o computador executou, passo a passo. Eles encontraram um "vazamento fantasma".

• No Retrofit, havia um pequeno loop oculto ao final do processo matemático. Para a maioria das entradas, ele rodava um número fixo de vezes. Mas para um segredo específico, ele rodou uma vez a mais.
• Esse passo extra adicionou apenas algumas dezenas de ciclos de clock ao tempo total. Como o tempo total era enorme (bilhões de ciclos), essa pequena diferença era completamente invisível para testes de tempo padrão. Era como um ladrão notar um único piscar de olhos extra em um filme de 25 segundos.
• O atacante M-Step, que observa cada passo, teria visto esse piscar de olhos extra e saberia exatamente qual era o segredo.
• Os pesquisadores tiveram que voltar para consertar esse pequeno loop, substituindo-o por uma sequência fixa, para realmente fechar a porta.

O Veredito: Construa Novo, Não Remende

O artigo conclui com uma mensagem clara para engenheiros de segurança: Não tente remendar esses tipos específicos de rotinas matemáticas.

1. Redesign é Rei: A abordagem de "tempo constante por design" (o Redesign) é vastamente superior. É aproximadamente duas ordens de magnitude (100 vezes) mais rápida do que tentar remendar o código antigo.
2. Testes de Tempo Mentem: Você não pode confiar em testes de tempo padrão para dizer se um remendo é seguro. Um remendo pode parecer perfeito em um cronômetro, mas ainda ter um vazamento minúsculo e explorável que apenas um atacante de "passo único" pode ver.
3. Verifique os Passos, Não o Relógio: Para ter certeza de que uma defesa funciona, você deve verificar a sequência exata de instruções (o caminho percorrido), não apenas o tempo total que levou.

Os pesquisadores descobriram que, mesmo após corrigir o vazamento fantasma, uma pequena quantidade de variação de tempo permanecia (cerca de 2%). No entanto, eles provaram que isso não era um vazamento de segredo; era apenas o próprio hardware se comportando de forma ligeiramente diferente dependendo dos números que estava processando, um "piso de hardware" que nem o melhor software pode eliminar. Mas, crucialmente, o caminho que o computador percorreu era agora idêntico todas as vezes, o que significa que o ladrão não podia mais aprender o segredo observando os passos.

Em resumo: quando se trata desses segredos matemáticos críticos, não tente remendar a casa velha. Derrube-a e construa uma nova que foi projetada para ser segura desde o início. É mais rápido, mais seguro e você não deixará passar as pequenas rachaduras que um remendo deixa para trás.