Aigo enkrüpteeritud välistingimustes olevate mäluseadmete tagasivaatamine ja häkkimine on olnud minu pikaajaline hobi. Varem olen uurinud selliseid mudeleid nagu Zalman VE-400, Zalman ZM-SHE500, Zalman ZM-VE500. Hiljuti tõi kolleeg mulle veel ühe eksponaadi: Patriot (Aigo) SK8671, mis on ehitatud tüüpilise kujunduse järgi – LCD-ekraan ja PIN-koodi sisestamiseks klaviatuur. Selline tulemus sai…

1. Sissejuhatus
2. Riistvaraarhitektuur
– 2.1. Emaplaat
– 2.2. LCD-ekraani plaat
– 2.3. Klaviatuuriplaat
– 2.4. Vaatame kaableid
3. Rünnaku sammude järjestus
– 3.1. Kausime SPI-mäludump'i
– 3.2. Nuusime sidekanaleid

1. Sissejuhatus

Korpus

Pakend

Pääs salvestatud andmetele, mis on väidetavalt krüpteeritud, toimub pärast PIN-koodi sisestamist. Mõned sissejuhatavad märkused selle seadme kohta:

PIN-koodi muutmiseks tuleb enne avamist vajutada F1;
PIN-kood peab sisaldama 6 kuni 9 numbrit;
Pärast 15 vale katset kustutatakse ketas.

2. Riistvaraarhitektuur

Esiteks avame seadme osadeks, et mõista, millistest komponentidest see koosneb. Kõige tüütum tegevus on korpuse avamine: palju mikroskoopilisi kruvi ja plastikut. Korpuse avades näeme järgmist (pange tähele minu poolt jootetud viiekontaktilist pesa):

2.1. Emaplaat

Emaplaat on üsna lihtne:

Selle silmapaistvamad osad (vt ülalt alla):

LCD-ekraani pesa (CN1);
kõlar (SP1);
Pm25LD010 (spetsifikatsioon) SPI-mälu (U2);
Jmicron JMS539 (spetsifikatsioon) USB-SATA jaoks (U1);
USB 3 pesa (J1).

SPI-mälu salvestab JMS539 jaoks tarkvara ja mõned seaded.

2.2. LCD-ekraani plaat

LCD-plaadil ei ole midagi tähelepanuväärset.

Lihtsalt:

Tundmatu päritolu LCD-ekraan (tõenäoliselt Hiina fondikomplektiga); järjestikune juhtimine;
lintühendus klaviatuuriplaadile.

2.3. Klaviatuuriplaat

Klaviatuuriplaadi vaatamisel muutub olukord huvitavamaks.

Siin, tagaküljel, näeme lintühendust ja Cypress CY8C21434 – PSoC 1 mikrokontrolerit (edaspidi nimetame seda lihtsalt PSoC-iks)

CY8C21434 kasutab M8C käsu komplekti (vt. dokumentatsioon). [Tootearuandes]( (http://www.cypress.com/part/cy8c21434-24ltxi) on märgitud, et see toetab tehnoloogiat CapSense (Cypress'i lahendus puutetundlike klaviatuuride jaoks). Siin on nähtav minu joodetud viie kontaktiga pistik – see on standardne lähenemine välise programmeerija ühendamiseks ISSP-liidese kaudu.

2.4. Vaata kaableid

Selgitame, mida siin kokku on ühendatud. Selleks on piisav, kui mõõta kaablite kontinentsiooniga multimeeteriga:

Selgitused sellele joonistatud skeemile:

PSoC on kirjeldatud tehnilises spetsifikatsioonis;
järgmine pistik, mis on paremal – ISSP-liidese, mis mingil moel vastab sellele, mis sellest Internetis on kirjutatud;
kõige parempoolne pistik – see on klemm lintühendajale klaviatuuriplaadiga;
must ristkülik – CN1 pistiku joonis, mis on mõeldud põhjaplaadi ühendamiseks LCD-plaat. P11, P13 ja P4 – on ühendatud PSoC-i jalgadele 11, 13 ja 4, LCD-plaat.

3. Rünnaku sammude järjestus

Nüüd, kui teame, millistest komponentidest see mäluseade koosneb, peame: 1) veenduma, et baasfunktsionaalsus krüpteerimise jaoks on tõeliselt olemas; 2) välja selgitama, kuidas genereeritakse/salvestatakse krüpteerimisvõtmed; 3) leidma, kus täpselt kontrollitakse PIN-koodi.

Selleks tegin järgmised sammud:

võtsin SPI-mälukiibi andmeid dump'ida;
üritasin PSoC-mälukiibi andmeid dump'ida;
veendusin, et andmevahetus Cypress PSoC-i ja JMS539 vahel sisaldab tõeliselt vajutatud klahve;
veendusin, et parooli muutmise korral SPI-mälukiibi andmeid ei kirjutata ümber;
olin liiga laisk, et ümber pöörata JMS539 8051 püsivara.

3.1. SPI-mälukiibi andmete dumping

See protseduur on väga lihtne:

ühendage sondid mälukiibi jalgadele: CLK, MOSI, MISO ja (valikuline) EN;
"nuusutades" suhtlemist snifferiga, kasutades loogikaanalüsaatorit (kasutasin Saleae Logic Pro 16);
dekodeerida SPI-protokolli ja eksportida tulemusi CSV formaati;
kasutada decode_spi.rb, et analüüsida tulemusi ja saada dump.

Pange tähele, et see lähenemine JMS539 kontrolleri puhul töötab eriliselt hästi, kuna see kontroller laadib algatamise etapis kogu püsivara mälukiibist.

$ decode_spi.rb boot_spi1.csv dump
0.039776 : WRITE DISABLE
0.039777 : JEDEC READ ID
0.039784 : ID 0x7f 0x9d 0x21
---------------------
0.039788 : READ @ 0x0
0x12,0x42,0x00,0xd3,0x22,0x00,
[...]
$ ls --size --block-size=1 dump
49152 dump
$ sha1sum dump
3d9db0dde7b4aadd2b7705a46b5d04e1a1f3b125 dump

SPI-flash'ilt märkides jõudsin järeldusele, et selle ainus ülesanne on salvestada JMicroni juhtimisseadme püsivara, mis on integreeritud 8051 mikrokontrollerisse. Kahjuks osutus SPI-flashi väljajõudmine kasutu:

PIN-koodi muutmisel jääb flash'i dump samaks;
seadme SPI-flash'i juurde ei pöörduta algatustsükli jooksul.

3.2. Uurime kommunikatsioone

See on üks viise, kuidas leida, milline kiip vastutab, et kontrollida kommunikatsioone, huvitavaid aegu/sisu. Nagu juba teame, on USB-SATA kontroller ühendatud LCD Cypress PSoC-iga, läbi CN1 pesade ja kahe ribaga. Seetõttu ühendame sondid kolme vastava jalaga:

P4, üldine sisse/t välja;
P11, I2C SCL;
P13, I2C SDA.

Seejärel käivitan loogilise analüsaatori Saleae ja sisestan klaviatuuril: "123456~". Tulemuseks on järgmine diagramm.

Sellelt võime näha kolme andmevahetuse kanalit:

kanalil P4 mitu lühikest piiksumist;
P11 ja P13 – peaaegu pidev andmevahetus.

Suurendades esimest piiksumist kanalil P4 (sinine ristkülik eelmisel joonisel), näeme järgmist:

Siit näeme, et P4-l on peaaegu 70ms ühtlane signaal, mis tundus mulle algul sünkroone signalina. Kuid pärast mõningast aega oma oletuse kontrollimisel avastasin, et see ei ole sünkroone signaal, vaid helivoog, mis antakse välja häälitsi, kui klahve vajutatakse. Seega ei sisalda see signaali osa meie jaoks kasulikku informatsiooni. Siiski saab seda kasutada indikaatorina – et teada hetke, mil PSoC registreerib klahvi vajutamist.

Kuid P4 kanali viimane helivoog erineb natuke teistest: see on heli «vale PIN-kood» jaoks!

Tagasi klahvide vajutamise diagrammi juurde, kui suurendame viimase helivooga diagrammi (vt uuesti sinine ristkülik), saame:

Siin näeme ühtlaseid signaale P11-l. Tundub, et see ongi sünkroone signaal. Ja P13 – andmed. Pange tähele, kuidas mustri muutub pärast helisignaali lõppu. Oleks huvitav näha, mis siin toimub.

Protokollid, mis töötavad kahe juhtmega, on tavaliselt SPI või I2C, ja Cypressi tehnilises spetsifikatsioonis öeldakse, et need kontaktid vastavad I2C-le, mis nagu näeme kehtib ka meie puhul:

USB-SATA chipset constantly polls the PSoC to read the state of the key, which is by default "0". Then, when the key "1" is pressed, it changes to "1". The final transmission, just after pressing “~”, differs if an incorrect PIN code is entered. However, at this point, I haven't checked what is actually transmitted there. But I suspect it's unlikely to be the encryption key. Anyway, see the next section to understand how I extracted the firmware dump from the PSoC.

Allikas: habr.com