Väliste isekodeerivate seadmete tagasipööramine ja häkkimine on minu pikaajaline hobi. Varem olen katsetanud selliste mudelitega nagu Zalman VE-400, Zalman ZM-SHE500, Zalman ZM-VE500. Hiljuti tõi kolleeg mulle veel ühe näidise: Patriot (Aigo) SK8671, mis on loodud tüüpilises disainis – LCD-indikaator ja klaviatuur PIN-koodi sisestamiseks. Siit saate teada, mis välja tuli…

1. Sissejuhatus
2. Riistvaraarhitektuur
– 2.1. Emaplaat
– 2.2. LCD-indikaatori plaat
– 2.3. Klaviatuuriplaat
– 2.4. Vaata kaableid
3. Rünnakute järjestus
– 3.1. SPI-mälupulga andme dump'imine
– 3.2. Kommunikatsioonide nuhkimine

1. Sissejuhatus

Korpus

Pakend

Juhtimine salvestatud kettal olevate andmete juurde, mis väidetavalt on krüpteeritud, toimub pärast PIN-koodi sisestamist. Siin on mõned sisendkommentaarid selle seadme kohta:

PIN-koodi muutmiseks tuleb enne avamist vajutada F1;
PIN-koodis peab olema 6 kuni 9 numbrit;
Pärast 15 vale katset kustutatakse ketas.

2. Riistvaraarhitektuur

Esmaltame seadme tükkideks, et mõista, millistest komponentidest see koosneb. Kõige igavam tegevus on korpuse avamine: palju mikroskoopilisi kruvi ja plastikut. Korpuse avamisel näeme järgmist (pöörake tähelepanu minu jootetud viie kontaktiga pistikule):

2.1. Peamine plaat

Peamine plaat on üsna lihtne:

Selle kõige tähelepanuväärsemad osad (vt ülevalt alla):

LCD-indikaatori pistik (CN1);
kõlar (SP1);
Pm25LD010 (spetsifikatsioon) SPI-mäChip (U2);
Jmicron JMS539 kontroller (spetsifikatsioon) USB-SATA jaoks (U1);
USB 3 pistik (J1).

SPI-mäChip hoiab JMS539 jaoks vajaliku tarkvara ja teatud seadeid.

2.2. LCD-indikaatori plaat

LCD-plaadil pole midagi tähelepanuväärset.

Lihtsalt:

Tundmatu päritoluga LCD-indikaator (tõenäoliselt Hiina fondikomplektiga); järjestikuse juhtimisega;
lint-ühendus klaviatuuriplaadile.

2.3. Klaviatuuriplaat

Klaviatuuriplaati uurides muutuvad asjad huvitavamaks.

Siin, plaadi tagaküljel, näeme lint-ühendust, samuti Cypress CY8C21434 – PSoC 1 mikrokontrollerit (edaspidi nimetame seda lihtsalt PSoC-iks).

CY8C21434 kasutab M8C käskude komplekti (vt. dokumentatsiooni). [toote lehel]((http://www.cypress.com/part/cy8c21434-24ltxi) on sätestatud, et see toetab tehnoloogiat CapSense (lahendus Cypress'i poolt, mõeldud puutetundlike klaviatuuride jaoks). Siin on näha, et olen keevitanud viie kontaktiga pistiku – see on tavaline lähenemine välise programmeerija ühendamiseks ISSP-liidese kaudu.

2.4. Vaatame kaableid

Selgitame välja, mis millega seondub. Selleks piisab, kui mõõta kaableid multimeetriga:

Selgitused selle joonistatud skeemi kohta:

PSoC on kirjas tehnilises spetsifikatsioonis;
järgmine pistik, see, mis on paremal – ISSP-liides, mis juhuslikult vastab sellele, mis selle kohta Internetis kirjutatud on;
äärmine paremal olev pistik – on klaviatuuriplati lintühenduse terminal;
must ristkülik – joonis pistikust CN1, mis on ette nähtud põhiplati ühenduseks LCD-plaatidega. P11, P13 ja P4 – on ühendatud PSoC jalgadega 11, 13 ja 4, LCD-plaatidel.

3. Rünnakute järjestus

Nüüd, kui teame, millistest komponentidest see mälu koosneb, peame: 1) veenduma, et krüpteerimise põhifunktsionaalsus on tõeliselt olemas; 2) teada saama, kuidas krüpteerimise võtmed genereeritakse/salvestatakse; 3) leidma, kus täpselt kontrollitakse PIN-koodi.

Selleks läbisin järgmised sammud:

võttis SPI-puhversette andmed;
üritas võtta PSoC-puhversette andmeid;
veendus, et andmevahetus Cypress PSoC ja JMS539 vahel sisaldab tegelikult vajutatud klahve;
veendus, et parooli muutmisel SPI-puhversette midagi ümber ei kirjutata;
olles liiga laisk, et JMS539 8051-firmware'it tagasi pöörata.

3.1. Võtame SPI-puhversette andmed

See protseduur on väga lihtne:

ühenda sondid mälukiibi jalgadele: CLK, MOSI, MISO ja (valikuline) EN;
"nuusuta" suhtlust nuhikulogiga, kasutades loogikaanalüsaatorit (kasutasin Saleae Logic Pro 16);
SPI-protokolli dekodeerimiseks ja tulemuste eksportimiseks CSV-formaadis;
kasutada decode_spi.rb, et tulemusi parseerida ja dump saada.

Pange tähele, et selline lähenemine töötab JMS539 kontrolleri puhul eriti hästi, kuna see kontroller laadib alglaadimise faasis kogu firmware'i mälukiibilt.

$ decode_spi.rb boot_spi1.csv dump
0.039776 : WRITE DISABLE
0.039777 : JEDEC READ ID
0.039784 : ID 0x7f 0x9d 0x21
---------------------
0.039788 : READ @ 0x0
0x12,0x42,0x00,0xd3,0x22,0x00,
[...]
$ ls --size --block-size=1 dump
49152 dump
$ sha1sum dump
3d9db0dde7b4aadd2b7705a46b5d04e1a1f3b125 dump

SPI-mälust pildistades jõudsin järeldusele, et selle ainus ülesanne on salvestada JMicroni juhtimisseadme join. See on integreeritud 8051-mikrokontrollerisse. Kahjuks osutus SPI-mälu dumpi tegemine kasutuks:

PIN-koodi muutes jääb mälu dump samaks;
pärast initsialiseerimise etappi ei pöördu seade SPI-mälu poole.

3.2. Uurime side teid

See on üks viis teada saada, milline chip vastutab side kontrollimise eest, huvitavate ajakava/konkreetse sisu jaoks. Nagu me juba teame, on USB-SATA kontroller ühendatud Cypress PSoC LCD-ga, läbi CN1 pesani ja kahe ribaga. Seega ühendame sondid kolme vastava jala külge:

P4, üldine I/O;
P11, I2C SCL;
P13, I2C SDA.

Seejärel käivitame Saleae loogikanalüsaatori ja sisestame klaviatuurile: "123456~". Tulemuseks näeme järgmist diagrammi.

Sellest diagrammist saame näha kolme andmevahetuse kanalit:

kanalis P4 on mitu lühikest plahvatust;
kanalitel P11 ja P13 on peaaegu katkematu andmevahetus.

Suurendades kanali P4 (eelmise joonise sinine ristkülik) esimest plahvatust, näeme järgmist:

Siit on näha, et P4-l on peaaegu 70 ms ühtlast signaali, mis esialgu näis olevat sünkroonsignaal. Kuid veetes veidi aega oma oletuse kontrollimisel, avastasin, et see ei ole sünkroonsignaal, vaid helivoog, millel on klahvide tõstmisel hääl klakiga. Seega ei sisalda see signaali osa iseenesest meie jaoks kasulikku teavet. Siiski saab seda kasutada indikaatorina – et teada, millal PSoC registreerib klahvi vajutamise.

Kuid P4 kanali viimane helivoog erineb teiste omast veidi: see on heli „vale PIN-koodi” jaoks!

Tagasi klahvivajutuste diagrammi juurde, suurendades viimase helivoog diagrammi (vaata jälle sinist ristkülikut), saame:

Siit näeme P11-l ühtlasi signaale. Nii et tundub, et see on sünkroonsignaal. Ja P13 – andmed. Pange tähele, kuidas muster muutub pärast helisignaali lõppu. Oleks huvitav näha, mis siin toimub.

Kaksijuhtmelised protokollid on tavaliselt SPI või I2C, ning Cypressi tehnilises spetsifikatsioonis üteldakse, et need kontaktid vastavad I2C-le, mis, nagu näeme, kehtib ka meie puhul:

USB-SATA kiibistik küsib pidevalt PSoC-i, et lugeda nupu seisundit, mis vaikimisi on "0". Siis, kui nuppu vajutada, muutub see "1"-ks. Lõplik edastus, kohe pärast klahvi "~" vajutamist, erineb, kui sisestatud on vale PIN-kood. Siiski pole ma hetkel kontrollinud, mis seal tegelikult edastatakse. Kuid kahtlen, et see on krüpteerimisvõti. Sellegipoolest, vaata järgmist lõiku, et mõista, kuidas ma sain PSoC-i sisemise püsivara.

Allikas: habr.com