외부 자체 암호화 드라이브를 리버싱하고 해킹하는 것이 나의 오랜 취미입니다. 예전에 잘만 VE-400, 잘만 ZM-SHE500, 잘만 ZM-VE500 등의 모델을 가지고 실습할 기회가 있었습니다. 최근에 동료가 또 다른 전시회를 가져왔습니다. Patriot(Aigo) SK8671은 일반적인 디자인(LCD 표시기와 PIN 코드 입력용 키보드)에 따라 제작되었습니다. 그게 나온건데...

1. 소개
2. 하드웨어 아키텍처
– 2.1. 메인보드
– 2.2. LCD 표시판
– 2.3. 키보드 보드
– 2.4. 전선을 살펴보면
3. 공격 단계의 순서
– 3.1. SPI 플래시 드라이브에서 데이터 덤프 가져오기
– 3.2. 스니핑 통신

1. 소개

Корпус

포장

암호화된 것으로 추정되는 디스크에 저장된 데이터에 대한 액세스는 PIN 코드를 입력한 후에 수행됩니다. 이 장치에 대한 몇 가지 소개 참고 사항:

• PIN 코드를 변경하려면 잠금을 해제하기 전에 F1을 눌러야 합니다.
• PIN 코드는 6~9자리여야 합니다.
• 15회 잘못된 시도 후에 디스크가 지워집니다.

2. 하드웨어 아키텍처

먼저 장치를 여러 부분으로 나누어 장치가 어떤 구성 요소로 구성되어 있는지 이해합니다. 가장 지루한 작업은 케이스를 여는 것입니다. 미세한 나사와 플라스틱이 많이 있습니다. 케이스를 열면 다음과 같은 내용이 보입니다(납땜한 XNUMX핀 커넥터에 주의하세요).

2.1. 메인보드

메인보드는 매우 간단합니다.

가장 주목할만한 부분(위에서 아래로 참조):

• LCD 표시기용 커넥터(CN1);
• 트위터(SP1);
• Pm25LD010 (사양) SPI 플래시 드라이브(U2);
• Jmicron JMS539 컨트롤러(사양) USB-SATA(U1)의 경우;
• USB 3 커넥터(J1).

SPI 플래시 드라이브는 JMS539용 펌웨어 및 일부 설정을 저장합니다.

2.2. LCD 표시판

LCD 보드에는 눈에 띄는 것이 없습니다.

오직:

• 출처를 알 수 없는 LCD 표시기(중국어 글꼴 세트일 가능성이 있음) 순차 제어;
• 키보드 보드용 리본 커넥터.

2.3. 키보드 보드

키보드 보드를 살펴보면 상황이 더욱 흥미로워집니다.

여기 뒷면에는 리본 커넥터와 Cypress CY8C21434 마이크로 컨트롤러 PSoC 1(이하 간단히 PSoC라고 부르겠습니다)이 있습니다.

CY8C21434는 M8C 명령어 세트를 사용합니다(참조: 문서). [제품 페이지]( (http://www.cypress.com/part/cy8c21434-24ltxi) 해당 기술을 지원한다고 표시되어 있습니다. 캡센스 (정전식 키보드용 Cypress의 솔루션) 여기에서 제가 납땜한 XNUMX핀 커넥터를 볼 수 있습니다. 이는 ISSP 인터페이스를 통해 외부 프로그래머를 연결하기 위한 표준 접근 방식입니다.

2.4. 전선을 살펴보면

여기에 무엇이 연결되어 있는지 알아 봅시다. 이렇게 하려면 멀티미터로 전선을 테스트하면 됩니다.

무릎에 그려진 이 그림에 대한 설명은 다음과 같습니다.

• PSoC는 기술 사양에 설명되어 있습니다.
• 다음 커넥터(오른쪽에 있는 커넥터)는 ISSP 인터페이스로, 운명에 따라 인터넷에 기록된 내용과 일치합니다.
• 가장 오른쪽 커넥터는 키보드 보드에 대한 리본 커넥터용 터미널입니다.
• 검은색 직사각형은 메인보드와 LCD보드를 연결하도록 설계된 CN1 커넥터 그림입니다. P11, P13, P4는 LCD 보드의 PSoC 핀 11, 13, 4에 연결됩니다.

3. 공격 단계의 순서

이제 이 드라이브가 어떤 구성 요소로 구성되어 있는지 알았으므로 다음을 수행해야 합니다. 1) 기본 암호화 기능이 실제로 존재하는지 확인합니다. 2) 암호화 키가 생성/저장되는 방법을 알아보세요. 3) PIN 코드를 정확히 확인할 위치를 찾으십시오.

이를 위해 다음 단계를 수행했습니다.

• SPI 플래시 드라이브에서 데이터 덤프를 가져왔습니다.
• PSoC 플래시 드라이브에서 데이터를 덤프하려고 했습니다.
• Cypress PSoC와 JMS539 간의 통신에 실제로 누른 키가 포함되어 있는지 확인했습니다.
• 비밀번호를 변경할 때 SPI 플래시 드라이브에 아무 것도 덮어쓰지 않도록 확인했습니다.
• JMS8051에서 539 펌웨어를 되돌리기에는 너무 게으르다.

3.1. SPI 플래시 드라이브에서 데이터 덤프 가져오기

이 절차는 매우 간단합니다.

• 플래시 드라이브의 다리에 프로브를 연결하십시오: CLK, MOSI, MISO 및 (선택 사항) EN;
• 로직 분석기를 사용하여 스니퍼와의 "스니핑" 통신(저는 세일애 로직 프로 16);
• SPI 프로토콜을 디코딩하고 결과를 CSV로 내보냅니다.
• 이용하다 decode_spi.rb결과를 구문 분석하고 덤프를 얻습니다.

이 접근 방식은 JMS539 컨트롤러의 경우 특히 효과적입니다. 이 컨트롤러는 초기화 단계에서 플래시 드라이브의 모든 펌웨어를 로드하기 때문입니다.

$ decode_spi.rb boot_spi1.csv dump
0.039776 : WRITE DISABLE
0.039777 : JEDEC READ ID
0.039784 : ID 0x7f 0x9d 0x21
---------------------
0.039788 : READ @ 0x0
0x12,0x42,0x00,0xd3,0x22,0x00,
[...]
$ ls --size --block-size=1 dump
49152 dump
$ sha1sum dump
3d9db0dde7b4aadd2b7705a46b5d04e1a1f3b125 dump

SPI 플래시 드라이브에서 덤프를 가져온 후 유일한 작업은 8051 마이크로 컨트롤러에 내장된 JMicron 제어 장치용 펌웨어를 저장하는 것이라는 결론에 도달했습니다. 불행하게도 SPI 플래시 드라이브를 덤프하는 것은 쓸모가 없는 것으로 판명되었습니다.

• PIN 코드가 변경되면 플래시 드라이브 덤프는 동일하게 유지됩니다.
• 초기화 단계 후에는 장치가 SPI 플래시 드라이브에 액세스하지 않습니다.

3.2. 스니핑 통신

이는 관심 있는 시간/내용에 대한 통신 확인을 담당하는 칩을 찾는 한 가지 방법입니다. 이미 알고 있듯이 USB-SATA 컨트롤러는 커넥터 CN1과 두 개의 리본을 통해 Cypress PSoC LCD에 연결됩니다. 따라서 프로브를 해당하는 세 개의 다리에 연결합니다.

• P4, 일반 입력/출력;
• P11, I2C SCL;
• P13, I2C SDA.

그런 다음 Saleae 로직 분석기를 시작하고 키보드로 "123456~"을 입력합니다. 결과적으로 다음 다이어그램이 표시됩니다.

여기에는 세 가지 데이터 교환 채널이 있습니다.

• 채널 P4에 여러 개의 짧은 버스트가 있습니다.
• P11 및 P13 - 거의 지속적인 데이터 교환.

채널 P4의 첫 번째 스파이크(이전 그림의 파란색 직사각형)를 확대하면 다음을 볼 수 있습니다.

여기에서 P4에는 거의 70ms의 단조로운 신호가 있다는 것을 알 수 있는데, 처음에는 이것이 클럭 신호 역할을 하는 것처럼 보였습니다. 그러나 시간을 들여 추측한 결과 이것이 클럭 신호가 아니라 키를 눌렀을 때 트위터로 출력되는 오디오 스트림이라는 것을 발견했습니다. 따라서 신호의 이 섹션 자체에는 유용한 정보가 포함되어 있지 않습니다. 그러나 이는 PSoC가 키 누름을 등록하는 시기를 알기 위한 표시기로 사용될 수 있습니다.

그러나 최신 P4 오디오 스트림은 약간 다릅니다. "잘못된 PIN"에 대한 오디오입니다!

키 입력 그래프로 돌아가서 마지막 오디오 스트림 그래프를 확대하면(파란색 직사각형 참조) 다음과 같은 결과를 얻습니다.

여기서는 P11에서 단조로운 신호를 볼 수 있습니다. 그래서 이것이 클럭 신호인 것 같습니다. 그리고 P13은 데이터입니다. 신호음이 끝난 후 패턴이 어떻게 바뀌는지 확인하세요. 여기서 무슨 일이 일어나는지 보는 것은 흥미로울 것입니다.

두 개의 전선으로 작동하는 프로토콜은 일반적으로 SPI 또는 I2C이며 Cypress의 기술 사양에는 이러한 핀이 I2C에 해당한다고 명시되어 있으며 우리의 경우에는 해당 사항이 적용됩니다.

USB-SATA 칩셋은 PSoC를 지속적으로 폴링하여 키 상태를 읽습니다. 기본적으로 "0"입니다. 그런 다음 "1" 키를 누르면 "1"로 변경됩니다. 잘못된 PIN 코드를 입력하면 “~”를 누른 직후의 최종 전송이 달라집니다. 그러나 현재 그곳에서 실제로 무엇이 전송되고 있는지 확인하지 않았습니다. 그러나 나는 이것이 암호화 키가 아닐 것이라고 생각합니다. 어쨌든 PSoC 내부 펌웨어를 제거한 방법을 이해하려면 다음 섹션을 참조하세요.

출처 : habr.com