4、电磁辐射分析：电磁辐射产生机理、近场与远场测量、电磁攻击与防护

各位，咱们今天聊电磁辐射分析。说实话，这个主题在侧信道攻击里属于「硬骨头」——你摸不着它，但它确实存在。我在做EMV芯片卡测试时，就吃过不少电磁辐射的亏。今天我把这些经验掰开揉碎了讲给你听。

4.1 电磁辐射产生机理

先问个问题：为什么芯片在工作时会往外辐射电磁波？

说白了，任何电流变化都会产生电磁场。芯片内部有成千上万个晶体管，它们在时钟边沿同时翻转。这一瞬间，电流从0变到1，或者从1变到0。这种快速变化，就是电磁辐射的源头。

我打个比方。你想想看，一个开关电源在工作时，你能听到「滋滋」声。那就是电磁辐射在作怪。芯片内部也一样，只不过频率更高，你听不见而已。

具体到EMV芯片卡，辐射主要来自三个地方：

• 时钟信号线：时钟是周期性的，辐射最强。我在项目中测过，时钟线的辐射强度能比其他信号线高10dB以上。
• 数据总线：数据在总线上传输时，0和1的变化会产生辐射。尤其是加密运算时，数据变化模式跟密钥直接相关。
• 电源网络：芯片内部电源分配网络（PDN）上的电流波动，也会向外辐射。嗯，这里要注意，电源辐射往往是低频的，容易被忽略。

4.2 近场与远场测量

做电磁测量，首先要搞清楚你在近场还是远场。这两个区域，测量方法完全不同。

我记得刚入行时，拿着近场探头去测一个远场信号，结果数据完全不对。后来才明白，近场和远场的分界线是 λ/2π（λ是波长）。对于EMV芯片卡的工作频率（通常3-5MHz），近场范围大概在几厘米到十几厘米。

4.2.1 近场测量

近场测量，说白了就是贴着芯片测。我们用的工具是近场探头，有磁场探头和电场探头两种。

• 磁场探头：环形结构，对磁场敏感。我习惯用它来测芯片上方的辐射，因为磁场分量在近场占主导。
• 电场探头：棒状结构，对电场敏感。适合测引脚和走线附近的辐射。

实际操作时，我会把探头固定在三维位移台上，然后逐点扫描芯片表面。扫描步长一般设0.5mm，太粗了会漏掉细节，太细了时间成本太高。

4.2.2 远场测量

远场测量，测的是芯片整体辐射。这时候探头离芯片至少几十厘米远。远场测量通常用天线，比如对数周期天线或喇叭天线。

远场测量的目的是看芯片是否符合电磁兼容（EMC）标准。但在侧信道攻击中，远场用得少。为什么？因为远场信号太弱，而且混入了环境噪声。你想想看，周围手机、WiFi、蓝牙都在辐射，你很难提取出芯片的微弱信号。

测量类型	探头类型	测量距离	主要用途
近场	磁场/电场探头	0.5-10mm	侧信道攻击、芯片调试
远场	天线	> λ/2π	EMC认证、干扰排查

4.3 电磁攻击

电磁攻击，就是利用电磁辐射来窃取密钥。攻击者把探头放在芯片附近，采集辐射信号，然后通过信号处理提取出密钥信息。

我参与过一个项目，客户怀疑他们的EMV卡被电磁攻击了。我们复现了攻击场景，发现确实能在10cm外采集到AES加密的辐射信号。经过简单滤波和相关性分析，密钥就被还原出来了。

电磁攻击的典型流程是这样的：

1. 定位：用近场探头扫描芯片，找到辐射最强的区域。通常是时钟线和数据总线附近。
2. 采集：固定探头位置，触发加密运算，采集辐射波形。采样率至少是芯片时钟频率的10倍。
3. 预处理：滤波去噪、对齐波形、去除直流分量。这一步很关键，我见过有人因为没做对齐，后续分析全白费。
4. 分析：用差分电磁分析（DEMA）或相关性电磁分析（CEMA）提取密钥。

4.4 电磁防护

有攻就有防。电磁防护的思路，说白了就是让辐射信号变得难以提取。

我总结了几种常用方法：

• 屏蔽：在芯片上方加金属屏蔽罩。这招最直接，但会增加成本和厚度。EMV卡通常用铜箔或导电胶带做简易屏蔽。
• 时钟随机化：让时钟频率随机抖动。这样辐射信号的时序就不固定了，攻击者很难对齐波形。我建议抖动幅度至少是时钟周期的5%。
• 电源滤波：在电源引脚加去耦电容，抑制高频辐射。电容值选100nF和10μF并联，覆盖不同频段。
• 双轨逻辑：用互补信号线传输数据。这样无论数据是0还是1，电流变化都一样。嗯，这招效果很好，但面积和功耗会翻倍。

4.5 知识体系总览

下面这张图，是我梳理的本章知识结构。你可以把它当作一个快速索引。

这张图把本章四个核心模块串起来了。从产生机理出发，到测量方法，再到攻击和防护。你想想看，如果不理解辐射怎么产生的，后面的测量和防护都是空中楼阁。

好了，电磁辐射分析就讲到这里。记住一句话：辐射无处不在，但只有懂它的人才能用好它。

---

公众号:蓝海资料掘金营，微信deep3321