היפוך ופריצה של כוננים חיצוניים להצפנה עצמית הם התחביב הישן שלי. בעבר הייתה לי הזדמנות להתאמן עם דגמים כמו זלמן VE-400, זלמן ZM-SHE500, זלמן ZM-VE500. רק לאחרונה הביא לי עמית תערוכה נוספת: Patriot (Aigo) SK8671, הבנויה לפי עיצוב טיפוסי - מחוון LCD ומקלדת להזנת קוד PIN. זה מה שיצא מזה…

1. מבוא
2. ארכיטקטורת חומרה
– 2.1. לוח ראשי
– 2.2. לוח חיווי LCD
– 2.3. לוח מקלדת
– 2.4. מסתכל על החוטים
3. רצף שלבי התקפה
– 3.1. הוצאת dump נתונים מכונן הבזק מסוג SPI
– 3.2. מרחרח תקשורת

1. מבוא

דיור

אריזה

הגישה לנתונים המאוחסנים בדיסק, המוצפנים כביכול, מתבצעת לאחר הזנת קוד ה-PIN. כמה הערות מבוא על מכשיר זה:

• כדי לשנות את קוד ה-PIN, עליך ללחוץ על F1 לפני ביטול הנעילה;
• קוד ה-PIN חייב להכיל בין 6 ל-9 ספרות;
• לאחר 15 ניסיונות שגויים, הדיסק נמחק.

2. ארכיטקטורת חומרה

ראשית, אנו מנתחים את המכשיר לחלקים כדי להבין מאילו רכיבים הוא מורכב. המשימה הכי מייגעת היא פתיחת התיק: הרבה ברגים ופלסטיק מיקרוסקופיים. לאחר פתיחת המארז, אנו רואים את הדברים הבאים (שימו לב למחבר חמישה פינים שהלחמתי):

2.1. לוח ראשי

הלוח הראשי די פשוט:

החלקים הבולטים שלו (ראה מלמעלה למטה):

• מחבר עבור מחוון LCD (CN1);
• טוויטר (SP1);
• Pm25LD010 (מפרט) כונן הבזק SPI (U2);
• בקר Jmicron JMS539 (מפרט) עבור USB-SATA (U1);
• מחבר USB 3 (J1).

כונן הבזק SPI מאחסן את הקושחה עבור JMS539 והגדרות מסוימות.

2.2. לוח חיווי LCD

אין שום דבר יוצא דופן על לוח ה-LCD.

רק:

• מחוון LCD ממקור לא ידוע (כנראה עם סט גופן סיני); עם שליטה ברצף;
• מחבר סרט ללוח מקלדת.

2.3. לוח מקלדת

כאשר בוחנים את לוח המקלדת, הדברים מקבלים תפנית מעניינת יותר.

כאן, בצד האחורי, אנו רואים מחבר סרט, כמו גם Cypress CY8C21434 מיקרו-בקר PSoC 1 (להלן פשוט נקרא לזה PSoC)

CY8C21434 משתמש בערכת ההוראות M8C (ראה תיעוד). ב[דף המוצר]((http://www.cypress.com/part/cy8c21434-24ltxi) מצוין שהוא תומך בטכנולוגיה CapSense (פתרון מבית Cypress, למקלדות קיבוליות). כאן ניתן לראות את מחבר חמישה פינים שהלחמתי - זוהי גישה סטנדרטית לחיבור מתכנת חיצוני דרך ממשק ISSP.

2.4. מסתכל על החוטים

בואו נבין מה קשור כאן. כדי לעשות זאת, פשוט בדוק את החוטים עם מודד:

הסברים לתרשים זה שצויר על הברך:

• ה-PSoC מתואר במפרט הטכני;
• המחבר הבא, זה שמימין, הוא ממשק ISSP, שמתאים, לפי רצון הגורל, למה שכתוב עליו באינטרנט;
• המחבר הימני ביותר הוא המסוף עבור מחבר הסרט ללוח המקלדת;
• המלבן השחור הוא ציור של מחבר CN1, שנועד לחבר את הלוח הראשי ללוח ה-LCD. P11, P13 ו-P4 מחוברים לפיני PSoC 11, 13 ו-4, בלוח ה-LCD.

3. רצף שלבי התקפה

כעת, כאשר אנו יודעים מאילו רכיבים מורכב הכונן הזה, עלינו: 1) לוודא שפונקציונליות ההצפנה הבסיסית אכן קיימת; 2) גלה כיצד מפתחות הצפנה נוצרים/נשמרים; 3) מצא היכן בדיוק ייבדק קוד ה-PIN.

לשם כך עשיתי את השלבים הבאים:

• לקח dump נתונים מכונן הבזק של SPI;
• ניסה לזרוק נתונים מכונן הבזק PSoC;
• אימת שהתקשורת בין Cypress PSoC ל-JMS539 מכילה למעשה הקשות;
• וידאתי שכאשר משנים את הסיסמה, שום דבר לא מוחלף בכונן ההבזק של SPI;
• התעצל מכדי להפוך את הקושחה 8051 מ-JMS539.

3.1. הוצאת dump נתונים מכונן הבזק מסוג SPI

הליך זה פשוט מאוד:

• חבר בדיקות לרגלי כונן הבזק: CLK, MOSI, MISO ו-EN (אופציונלי);
• תקשורת "רחרח" עם מרחרח באמצעות מנתח לוגי (השתמשתי Saleae Logic Pro 16);
• פענוח פרוטוקול SPI וייצוא תוצאות ל-CSV;
• לנצל decode_spi.rbכדי לנתח את התוצאות ולקבל dump.

שימו לב שגישה זו עובדת טוב במיוחד במקרה של בקר JMS539, מכיוון שבקר זה טוען את כל הקושחה מכונן ההבזק בשלב האתחול.

$ decode_spi.rb boot_spi1.csv dump
0.039776 : WRITE DISABLE
0.039777 : JEDEC READ ID
0.039784 : ID 0x7f 0x9d 0x21
---------------------
0.039788 : READ @ 0x0
0x12,0x42,0x00,0xd3,0x22,0x00,
[...]
$ ls --size --block-size=1 dump
49152 dump
$ sha1sum dump
3d9db0dde7b4aadd2b7705a46b5d04e1a1f3b125 dump

לאחר שלקחתי dump מכונן הבזק של SPI, הגעתי למסקנה שהמשימה היחידה שלו היא לאחסן את הקושחה עבור התקן הבקרה JMicron, המובנה במיקרו-בקר 8051. לרוע המזל, זריקה של כונן ההבזק של SPI התבררה כחסרת תועלת:

• כאשר קוד ה-PIN משתנה, dump כונן ההבזק נשאר זהה;
• לאחר שלב האתחול, המכשיר אינו ניגש לכונן הבזק של SPI.

3.2. מרחרח תקשורת

זוהי אחת הדרכים למצוא איזה שבב אחראי לבדיקת התקשורת לזמן/התוכן של העניין. כפי שאנו כבר יודעים, בקר ה-USB-SATA מחובר ל-Cypress PSoC LCD באמצעות מחבר CN1 ושני סרטים. לכן, אנו מחברים את הגשושיות לשלוש הרגליים המתאימות:

• P4, קלט/פלט כללי;
• P11, I2C SCL;
• P13, I2C SDA.

לאחר מכן אנו מפעילים את מנתח ההיגיון של Saleae ונזין במקלדת: "123456~". כתוצאה מכך, אנו רואים את התרשים הבא.

עליו אנו יכולים לראות שלושה ערוצי חילופי נתונים:

• יש כמה פרצים קצרים בערוץ P4;
• ב-P11 ו-P13 - חילופי נתונים כמעט רציפים.

בהתקרבות על השפיץ הראשון בערוץ P4 (מלבן כחול באיור הקודם), אנו רואים את הדברים הבאים:

כאן אתה יכול לראות שב-P4 יש כמעט 70ms של אות מונוטוני, שבהתחלה נראה לי ממלא את התפקיד של אות שעון. עם זאת, לאחר שביליתי זמן מה בבדיקת הניחוש שלי, גיליתי שזה לא אות שעון, אלא זרם שמע שמופק לטוויטר בעת לחיצה על המקשים. לכן, חלק זה של האות עצמו אינו מכיל מידע שימושי עבורנו. עם זאת, זה יכול לשמש כאינדיקטור כדי לדעת מתי ה-PSoC רושם לחיצה על מקש.

עם זאת, זרם האודיו האחרון של P4 שונה במקצת: זה האודיו של "הקוד ה-PIN הלא חוקי"!

נחזור לגרף הקשה, תוך התקרבות לגרף זרם השמע האחרון (ראה שוב את המלבן הכחול), נקבל:

כאן אנו רואים אותות מונוטוניים ב-P11. אז זה נראה כאילו זה אות השעון. ו-P13 זה נתונים. שימו לב כיצד הדפוס משתנה לאחר סיום הצפצוף. יהיה מעניין לראות מה יקרה כאן.

פרוטוקולים שעובדים עם שני חוטים הם בדרך כלל SPI או I2C, והמפרט הטכני על Cypress קובע שהפינים הללו תואמים ל-I2C, מה שאנו רואים נכון במקרה שלנו:

ערכת השבבים USB-SATA סוקרת כל הזמן את ה-PSoC כדי לקרוא את מצב המפתח, שהוא כברירת מחדל "0". לאחר מכן, כאשר אתה לוחץ על מקש "1", הוא משתנה ל"1". השידור הסופי מיד לאחר לחיצה על "~" שונה אם הוזן קוד PIN שגוי. עם זאת, כרגע לא בדקתי מה בעצם מועבר שם. אבל אני חושד שלא סביר שזה יהיה מפתח הצפנה. בכל מקרה, עיין בסעיף הבא כדי להבין כיצד הסרתי את הקושחה הפנימית של PSoC.

מקור: www.habr.com