Реверсирането и хакването на външни самошифровъчни устройства отдавна ми е хоби. В миналото съм работил с модели като Zalman VE-400, Zalman ZM-SHE500, Zalman ZM-VE500. Напоследък колега ми донесе още един екземпляр: Patriot (Aigo) SK8671, който е с типичен дизайн - LCD индикатор и клавиатура за въвеждане на ПИН-код. Ето какво се получи...

1. Въведение
2. Аппаратна архитектура
– 2.1. Основна платка
– 2.2. Платка на LCD индикатора
– 2.3. Платка на клавиатурата
– 2.4. Наблюдаваме проводниците
3. Последователност от стъпки за атака
– 3.1. Изтегляме дъмп на SPI флаш паметта
– 3.2. Слушаме комуникации

1. Въведение

Калъф

Опаковка

Достъпът до данните, съхранени на диска и уж шифровани, става след въвеждане на ПИН-кода. Няколко уточнения относно това устройство:

• За смяна на ПИН-кода е необходимо да се натисне F1 преди отключване;
• ПИН-кодът трябва да съдържа от 6 до 9 цифри;
• След 15 неверни опита, дискът се изтрива.

2. Аппаратна архитектура

Първо разглобяваме устройството, за да разберем от какви компоненти се състои. Най-трудоемката част е отварянето на корпуса: множество микроскопични винтчета и пластмаса. След отваряне на корпуса виждаме следното (обърнете внимание на припоения от мен петконтактен конектор):

2.1. Основна платка

Основната платка е доста проста:

Най-забележителните й части (вижте отгоре надолу):

• разъем за LCD индикатор (CN1);
• сирена (SP1);
• Pm25LD010 (спецификация) SPI флаш памет (U2);
• контролер Jmicron JMS539 (спецификация) за USB-SATA (U1);
• разъем USB 3 (J1).

SPI флаш паметта съхранява фърмуера за JMS539 и някои настройки.

2.2. Платка на LCD индикатора

На платката на LCD няма нищо забележително.

Всъщност:

• LCD индикатор с неизвестен произход (вероятно с китайски набор шрифтове); с последователно управление;
• лентов конектор за клавиатурната платка.

2.3. Клавиатурна платка

При прегледа на клавиатурната платка, ситуацията става по-интересна.

Тук, от задната страна, виждаме лентов конектор, както и Cypress CY8C21434 – микроконтролер PSoC 1 (нататък ще го наричаме просто PSoC)

CY8C21434 използва набор от инструкции M8C (вж. документацията). На [страницата на продукта]((http://www.cypress.com/part/cy8c21434-24ltxi) се посочва, че той поддържа технологията CapSense (решение от Cypress, за капацитивни клавиатури). Тук е видимо запоеното от мен петконтактно съединение - това е стандартният подход за свързване на външен програмист чрез ISSP интерфейс.

2.4. Нека разгледаме проводниците

Нека уточним какво с какво е свързано. За това е достатъчно да прослушаме проводниците с мултиметър:

Обяснения към тази схема, нарисувана на коляно:

• PSoC е описан в техническата спецификация;
• следващото съединение, това отдясно – ISSP интерфейс, който по неволя съответства на информацията, която се съдържа в интернет;
• най-дясното съединение – това е терминал за лентовия свързващ елемент с клавиатурната платка;
• черният правоъгълник – чертеж на съединението CN1, предназначено за свързване на основната платка с ЖК платката. P11, P13 и P4 – са свързани към пиновете PSoC 11, 13 и 4 на ЖК платката.

3. Последователност от стъпки за атака

Сега, когато знаем от какви компоненти се състои този носител, трябва да: 1) се уверим, че основната функционалност на криптиране наистина е налична; 2) да разберем как се генерират/съхраняват ключовете за криптиране; 3) да намерим къде точно се проверява ПИН кодът.

За това изпълних следните стъпки:

• снял дамп на данни от SPI флаш памет;
• опитах се да взема дамп на данни от PSoC флаш памет;
• проверих, че обменът на данни между Cypress PSoC и JMS539 наистина съдържа натиснатите клавиши;
• убедих се, че при смяна на паролата, в SPI флаш паметта нищо не се презаписва;
• бях твърде мързелив, за да реверсирам 8051 фърмуера на JMS539.

3.1. Вземане на дамп на данни от SPI флаш памет

Тази процедура е много проста:

• свържете сонди към пиновете на флаш паметта: CLK, MOSI, MISO и (по желание) EN;
• „подслушвам“ комуникации с анализатор, използвайки логически анализатор (аз използвах Saleae Logic Pro 16);
• декодирайте SPI протокола и експортирайте резултатите в CSV;
• използвайте decode_spi.rb, за да обработите резултатите и получите дамп.

Обърнете внимание, че този подход в случая с контролера JMS539 работи особено добре, тъй като този контролер при инициализация зарежда цялата фърмуер от флаш паметта.

$ decode_spi.rb boot_spi1.csv dump
0.039776 : WRITE DISABLE
0.039777 : JEDEC READ ID
0.039784 : ID 0x7f 0x9d 0x21
---------------------
0.039788 : READ @ 0x0
0x12,0x42,0x00,0xd3,0x22,0x00,
[...]
$ ls --size --block-size=1 dump
49152 dump
$ sha1sum dump
3d9db0dde7b4aadd2b7705a46b5d04e1a1f3b125 dump

След като изтеглих дъмпа от SPI-флешката, стигнах до заключението, че нейната единствена задача е да съхранява фърмуера за управлението на JMicron, който е интегриран в микроконтролера 8051. За съжаление, изтеглянето на дъмпа от SPI-флешката се оказа безполезно:

• при промяна на ПИН кода дъмпът на флешката остава същият;
• след етапа на инициализация устройството не се свързва с SPI-флешката.

3.2. Изследваме комуникациите

Това е един от начините да разберем кой чип отговаря за проверката на комуникациите за интересуващите ни времеви интервали/съдържание. Както вече знаем, контролерът USB-SATA е свързан с ЖК Cypress PSoC чрез разъема CN1 и две ленти. Затова свързваме зондите към трите съответни пина:

• P4, общ вход/изход;
• P11, I2C SCL;
• P13, I2C SDA.

След това стартираме логическия анализатор Saleae и въвеждаме на клавиатурата: “123456~”. В резултат виждаме следната диаграма.

На нея можем да видим три канала за обмен на данни:

• на канала P4 няколко кратки изблици;
• на P11 и P13 – почти непрекъснат обмен на данни.

Увеличавайки първия изблик на канала P4 (синия правоъгълник от предишната схема), виждаме следното:

Тук виждаме, че на P4 почти 70 мс еднообразен сигнал, който, както в началото ми се стори, играе ролята на синхросигнал. Въпреки това, след като отделих известно време да проверя предположението си, открих, че това не е синхросигнал, а аудиопоток, който се извежда на пищалката при натискане на клавишите. Следователно, сам по себе си, този участък от сигнала не съдържа полезна информация за нас. Въпреки това, може да се използва като индикатор — за да знаем момента, когато PSoC регистрира натиска на клавиша.

Въпреки това, последният аудиопоток на канала P4 малко се различава от другите: това е звук за "неверен ПИНкод"!

Връщайки се към диаграмата на натисканията на клавишите, при увеличаване на диаграмата на последния аудиопоток (вижте отново синьото правоъгълник), получаваме:

Тук виждаме еднообразни сигнали на P11. Така че изглежда, че това е синхросигнал. А P13 – данни. Обърнете внимание как шаблонът се променя след приключване на звуковия сигнал. Би било интересно да видим какво се случва тук.

Протоколите, които работят с два проводника, обикновено са SPI или I2C, и в техническата спецификация на Cypress се посочва, че тези контакти отговарят на I2C, което, както виждаме, е вярно и за нашия случай:

Чипсетът USB-SATA постоянно опрашва PSoC, за да прочете състоянието на ключа, което по подразбиране е '0'. След това, при натискане на ключа '1', то се променя на '1'. Окончателната предавателна информация, веднага след натискане на '~', се отличава, ако е въведен неправилен PIN код. Въпреки това, в момента не съм проверявал какво точно се предава там. Но подозирам, че едва ли е ключ за криптиране. Както и да е, вижте следващия раздел, за да разберете как свалих дампа на вътрешния фърмуер на PSoC.

Източник: habr.com