4、Flash读取攻击原理：通过调试接口、固件提取、芯片解密等方式读取Flash内容，获取模型权重与架构
TinyML设备的核心资产——训练好的神经网络权重、模型架构、量化参数以及推理逻辑——通常以二进制形式存储在芯片内部的Flash存储器中。攻击者一旦通过物理或逻辑手段读取Flash内容，即可完整还原模型，实现模型窃取、逆向分析甚至恶意篡改。本章将系统剖析Flash读取攻击的三大主要路径：调试接口利用、固件提取与芯片解密，并给出对应的检测与防御思路。
4.1 核心原理：Flash存储结构与读取机制
要理解Flash读取攻击，首先需要明确TinyML设备中Flash的存储布局。以典型的ARM Cortex-M系列微控制器为例，Flash通常从地址0x08000000开始映射，内部按扇区（Sector）或页（Page）组织，容量从几十KB到数MB不等。模型权重、偏置、量化缩放因子、激活函数查找表以及网络结构描述（如TFLite FlatBuffer格式）均以二进制形式连续存放。芯片厂商（如ST、NXP、Nordic）在Flash控制器中内置了读保护（RDP）机制，但不同等级的保护强度差异显著。
Flash读取的本质是：攻击者通过某种方式获得对Flash存储阵列的访问权，并将原始字节流导出。根据访问途径的不同，可分为三类：调试接口攻击（利用芯片调试端口）、固件提取攻击（利用软件或协议漏洞）、芯片解密攻击（物理侵入式）。这三类攻击的难度、成本、成功率以及对设备的破坏程度各不相同，需要分别评估。
4.2 攻击路径一：调试接口攻击
4.2.1 原理与利用方式
绝大多数MCU和SoC在量产时保留了调试接口（JTAG、SWD、SWIM、ISP等），用于固件烧录和调试。若产品未正确配置调试端口保护，攻击者只需使用ST-Link、J-Link、OpenOCD等工具连接目标板上的调试引脚（TCK、TMS、TDI、TDO或SWDIO、SWCLK），即可通过调试协议读取整个Flash内容。更严重的是，部分芯片在RDP Level 0（无保护）状态下，允许通过调试接口直接修改Flash，实现恶意固件注入。
攻击流程通常如下：
- 物理接触：拆开设备外壳，定位PCB上的调试接口排针或测试点（TP）。
- 连接调试器：使用逻辑分析仪或万用表确认引脚定义，连接调试器。
- 读取Flash：执行
read_memory命令，将Flash地址空间（如0x08000000~0x0803FFFF）完整导出为HEX或BIN文件。 - 解析模型：使用binwalk、strings、自定义解析脚本从固件中提取模型权重和架构。
4.2.2 检测与防护
| 防护措施 | 实现方式 | 有效性 | 局限性 |
|---|---|---|---|
| RDP Level 1 | 设置读保护，禁止调试接口访问Flash | 高（防软件读取） | 可通过物理攻击降级 |
| RDP Level 2 | 永久禁用调试接口（一次性熔丝） | 极高 | 无法再调试，需提前充分验证 |
| 调试引脚复用 | 将JTAG/SWD引脚配置为GPIO | 中 | 攻击者可尝试电平触发恢复 |
| 访问密码 | 设置调试解锁密码 | 低 | 密码可能被暴力破解或侧信道获取 |
4.3 攻击路径二：固件提取攻击
4.3.1 原理与利用方式
固件提取攻击不依赖物理调试接口，而是利用芯片Bootloader、通信协议或系统漏洞获取Flash内容。常见场景包括：
- Bootloader漏洞：部分芯片的ROM Bootloader支持通过UART、USB、CAN等接口读取Flash（如STM32的System Bootloader）。若未禁用或未设置保护，攻击者只需拉高BOOT引脚并发送特定命令即可导出固件。
- OTA机制滥用：TinyML设备常通过BLE或Wi-Fi进行OTA升级。若固件更新包未加密或签名验证不严格，攻击者可截获或伪造升级包，提取其中的模型数据。
- UART控制台泄露：开发阶段遗留的UART调试接口可能提供文件系统访问或内存转储功能。
- 侧信道辅助提取：通过分析功耗或电磁辐射，结合已知明文攻击，逐步恢复Flash内容。
4.3.2 实战场景：从OTA固件包中提取模型
某智能音箱TinyML唤醒词检测模块使用nRF52840芯片，固件通过BLE OTA更新。攻击者截获OTA包后发现：
# 固件包结构分析
$ binwalk firmware.bin
DECIMAL HEXADECIMAL DESCRIPTION
0 0x0 Nordic nRF52 OTA Update
1024 0x400 LZ4 compressed data
4096 0x1000 TFLite FlatBuffer (model.tflite)
攻击者使用dd命令提取偏移0x1000处的数据，得到完整的TFLite模型文件，进而使用Netron可视化模型架构，提取全部权重。整个过程无需接触硬件，仅通过无线抓包即可完成。
防御对策：
- OTA固件必须使用AES-128/256加密，密钥存储在芯片安全区（如nRF52的UICR或Secure Key Storage）。
- 固件签名验证（如ECDSA）确保固件完整性，防止篡改。
- 生产固件中禁用UART调试输出，或将其重定向到加密日志。
4.4 攻击路径三：芯片解密攻击
4.4.1 原理与利用方式
当芯片启用了高等级读保护（如RDP Level 1或2）时，逻辑层面的攻击失效，攻击者转向物理侵入式攻击。芯片解密的核心思路是绕过或破坏Flash存储单元的保护机制，直接读取电荷状态。主要技术包括：
| 技术手段 | 原理 | 成本 | 成功率 | 风险 |
|---|---|---|---|---|
| 化学腐蚀开盖 | 使用发烟硝酸去除芯片封装，暴露裸片 | 低（数百元） | 中 | 可能损伤芯片 |
| FIB（聚焦离子束） | 利用离子束切割钝化层，探针直接接触存储阵列 | 极高（数十万元） | 高 | 设备昂贵，需专业实验室 |
| 激光扫描 | 激光照射存储单元，通过反射光判断电荷状态 | 高 | 中高 | 需精确对准 |
| 电压对比度分析 | SEM观察浮栅晶体管电压差异 | 高 | 中 | 需破坏钝化层 |
4.4.2 案例拆解：RDP Level 1芯片的降级攻击
某工业传感器采用STM32L4系列MCU，启用了RDP Level 1。攻击者首先尝试通过调试接口读取，发现Flash被锁定。随后采用以下步骤：
- 开盖：使用发烟硝酸去除封装，露出裸片。
- 定位Flash阵列：通过显微镜和芯片布局图找到Flash存储区域。
- FIB切割：使用FIB在Flash控制逻辑与存储阵列之间切断保护信号线。
- 直接读取：通过微探针台连接位线，逐字节读取存储单元状态。
整个过程耗时约3天，成本约5万元人民币，成功获取了完整的模型权重。此案例表明，RDP Level 1并不能抵御物理攻击，对于高价值模型，必须采用更高级别的防护。
4.5 常见误区与总结复盘
4.5.1 常见误区
- 误区一：启用了RDP就万事大吉：RDP Level 1可防软件读取，但无法防物理攻击；RDP Level 2虽永久禁用调试，但可能影响售后维护。
- 误区二：固件加密=模型安全：加密密钥若存储在Flash同一区域，攻击者可通过解密芯片获取密钥，再解密固件。
- 误区三：模型混淆足以保护：混淆仅增加逆向难度，无法阻止专业攻击者通过统计分析和模式识别还原权重。
- 误区四：忽略供应链风险：代工厂或烧录环节可能泄露固件，需在合同和流程上约束。
4.5.2 总结复盘
Flash读取攻击是TinyML模型保护中最直接的威胁路径。防御应遵循纵深防御原则：
- 芯片层面：启用RDP Level 2（若允许），或使用带硬件加密引擎的芯片（如NXP i.MX RT系列）。
- 固件层面：模型权重加密存储，运行时解密到RAM；使用安全启动验证固件完整性。
- 架构层面：将模型拆分为多个片段，分别存储在不同区域，增加提取难度。
- 业务层面：定期更新模型，使窃取的权重快速失效。
最后，建议开发者在产品设计阶段就进行威胁建模，明确模型价值与攻击者动机，选择匹配的防护等级。对于高价值模型，可考虑使用专用安全芯片（如ATECC608A）存储密钥，或采用硬件信任根（Root of Trust）方案。