बाहरी स्व-एन्क्रिप्टिंग ड्राइव को उलटना और हैक करना मेरा पुराना शौक है। अतीत में, मैं Zalman VE-400, Zalman ZM-SHE500, Zalman ZM-VE500 जैसे मॉडलों के साथ अभ्यास करता था। अभी हाल ही में, एक सहकर्मी ने मुझे एक और प्रदर्शनी: पैट्रियट (Aigo) SK8671 लाया, जो एक विशिष्ट डिज़ाइन के अनुसार बनाया गया है - एक एलसीडी इंडिकेटर और एक पिन कोड दर्ज करने के लिए एक कीबोर्ड। यहाँ है क्या यह आया ...

1. परिचय
2. हार्डवेयर वास्तुकला
- 2.1। मुख्य बोर्ड
- 2.2। एलसीडी बोर्ड
- 2.3। कीबोर्ड बोर्ड
- 2.4। हम तारों को देखते हैं
3. हमले के चरणों का क्रम
- 3.1। SPI फ्लैश ड्राइव का डेटा डंप निकालें
- 3.2। सूँघने की क्रिया

1. परिचय

आवास

पैकिंग

डिस्क पर संग्रहीत डेटा तक पहुंच, जिसे माना जाता है कि एन्क्रिप्ट किया गया है, पिन कोड दर्ज करने के बाद किया जाता है। इस उपकरण पर कुछ परिचयात्मक नोट:

• पिनकोड को बदलने के लिए, अनलॉक करने से पहले एफ 1 दबाएं;
• पिनकोड 6 से 9 अंकों के बीच होना चाहिए;
• 15 गलत प्रयासों के बाद, डिस्क साफ हो गई है।

2. हार्डवेयर वास्तुकला

सबसे पहले, हम डिवाइस को भागों में तैयार करते हैं ताकि यह समझ सकें कि इसमें क्या घटक हैं। सबसे थकाऊ कार्य मामला खोल रहा है: बहुत सारे सूक्ष्म कोग और प्लास्टिक। मामले को खोलने के बाद, हम निम्नलिखित देखते हैं (मेरे द्वारा हल किए गए पांच-पिन कनेक्टर पर ध्यान दें):

2.1। मुख्य बोर्ड

मुख्य बोर्ड बहुत सरल है:

इसके सबसे उल्लेखनीय हिस्से (ऊपर से नीचे देखें):

• एलसीडी कनेक्टर (CN1);
• ट्वीटर (SP1);
• Pm25LD010 ( विनिर्देशन ) SPI फ्लैश ड्राइव (U2);
• USB-SATA (U1) के लिए Jmicron JMS539 नियंत्रक ( विनिर्देशन );
• यूएसबी 3 कनेक्टर (जे 1)।

SPI फ्लैश ड्राइव JMS539 और कुछ सेटिंग्स के लिए फर्मवेयर स्टोर करता है।

2.2। एलसीडी बोर्ड

एलसीडी बोर्ड पर कुछ भी उल्लेखनीय नहीं है।

केवल:

• अज्ञात के एलसीडी सूचक (शायद एक चीनी फ़ॉन्ट सेट के साथ); अनुक्रमिक नियंत्रण के साथ;
• कीबोर्ड बोर्ड के लिए रिबन कनेक्टर।

2.3। कीबोर्ड बोर्ड

जब आप कीबोर्ड बोर्ड को देखते हैं, तो चीजें अधिक दिलचस्प मोड़ पर ले जाती हैं।

यहां, पीछे की तरफ, हम रिबन कनेक्टर, साथ ही सरू CY8C21434 - माइक्रोकंट्रोलर PSoC 1 (बाद में बस PSoC के रूप में संदर्भित) देखें।

CY8C21434 M8C निर्देश सेट ( प्रलेखन देखें) का उपयोग करता है। उत्पाद पृष्ठ पर, यह इंगित किया गया है कि यह कैपिसिस तकनीक (सरू से कैपेसिटिव कीबोर्ड के लिए एक समाधान) का समर्थन करता है। यहां मैं मेरे द्वारा सोल्डर किए गए पांच-पिन कनेक्टर को देख सकता हूं - यह ISSP इंटरफ़ेस के माध्यम से एक बाहरी प्रोग्रामर को जोड़ने के लिए एक मानक दृष्टिकोण है।

2.4। हम तारों को देखते हैं

आइए जानें कि इससे क्या जुड़ा है। ऐसा करने के लिए, एक मल्टीमीटर के साथ तारों को रिंग करना पर्याप्त है:

इस घुटने से बने आरेख के लिए स्पष्टीकरण:

• PSoC तकनीकी विनिर्देश में वर्णित है;
• अगले कनेक्टर में, दाईं ओर एक ISSP इंटरफ़ेस है, जो भाग्य की इच्छा से, इंटरनेट पर इसके बारे में लिखे गए से मेल खाता है;
• सबसे सही कनेक्टर एक कीबोर्ड बोर्ड के साथ एक रिबन कनेक्टर के लिए एक टर्मिनल है;
• ब्लैक आयत CN1 कनेक्टर की एक ड्राइंग है, जिसे मुख्य बोर्ड को एलसीडी बोर्ड से जोड़ने के लिए डिज़ाइन किया गया है। पी 11, पी 13 और पी 4 - एलसीडी बोर्ड पर पीएसओसी के पैर 11, 13 और 4 से जुड़े हैं।

3. हमले के चरणों का क्रम

अब जब हम जानते हैं कि इस ड्राइव में कौन से घटक हैं, तो हमें इसकी आवश्यकता है: 1) सुनिश्चित करें कि मूल एन्क्रिप्शन कार्यक्षमता वास्तव में मौजूद है; 2) पता करें कि एन्क्रिप्शन कुंजी कैसे उत्पन्न / संग्रहीत की जाती है; 3) पता लगाएं कि वास्तव में पिनकोड की जाँच कहाँ की गई है।

ऐसा करने के लिए, मैंने निम्नलिखित कदम उठाए हैं:

• एक SPI फ्लैश ड्राइव का डेटा डंप हटा दिया;
• मैंने PSoC फ्लैश ड्राइव के डेटा डंप को हटाने की कोशिश की;
• यह सुनिश्चित किया कि सरू पीएसओसी और जेएमएस 539 के बीच डेटा एक्सचेंज में वास्तव में दबाए गए चाबियाँ हैं;
• सुनिश्चित करें कि पासवर्ड बदलते समय, SPI फ्लैश ड्राइव में कुछ भी ओवरराइट नहीं किया गया है;
• JMS539 से 8051 फर्मवेयर को उलटने के लिए बहुत आलसी था।

3.1। SPI फ्लैश ड्राइव का डेटा डंप निकालें

यह प्रक्रिया बहुत सरल है:

• प्रोब को फ्लैश ड्राइव के पैरों से कनेक्ट करें: सीएलके, एमओएसआई, एमआईएसओ और (वैकल्पिक रूप से) एन;
• "स्निफ़" संचार एक तर्क विश्लेषक का उपयोग करके एक स्निफ़र का उपयोग करके (मैंने साले लॉजिक प्रो 16 का उपयोग किया);
• एसपीआई प्रोटोकॉल को डीकोड करें और सीएसवी को परिणाम निर्यात करें;
• परिणामों को पार्स करने और डंप प्राप्त करने के लिए decode_spi.rb का उपयोग करें।

कृपया ध्यान दें कि JMS539 नियंत्रक के मामले में यह दृष्टिकोण विशेष रूप से अच्छी तरह से काम करता है, क्योंकि यह नियंत्रक प्रारंभिक चरण के दौरान यूएसबी फ्लैश ड्राइव से पूरे फर्मवेयर को लोड करता है।

$ decode_spi.rb boot_spi1.csv dump 0.039776 : WRITE DISABLE 0.039777 : JEDEC READ ID 0.039784 : ID 0x7f 0x9d 0x21 --------------------- 0.039788 : READ @ 0x0 0x12,0x42,0x00,0xd3,0x22,0x00, [...] $ ls --size --block-size=1 dump 49152 dump $ sha1sum dump 3d9db0dde7b4aadd2b7705a46b5d04e1a1f3b125 dump 

SPI फ्लैश ड्राइव से डंप को हटाने के बाद, मैं इस निष्कर्ष पर पहुंचा कि इसका एकमात्र कार्य JMicron कंट्रोल यूनिट के लिए फर्मवेयर को स्टोर करना है, जिसे 8051 माइक्रोकंट्रोलर में बनाया गया है। दुर्भाग्य से, SPI फ्लैश ड्राइव को डंप करना बेकार हो गया:

• पिन कोड बदलते समय, फ्लैश ड्राइव डंप समान रहता है;
• प्रारंभिक चरण के बाद, डिवाइस SPI फ्लैश ड्राइव तक नहीं पहुंचता है।

3.2। सूँघने की क्रिया

यह पता लगाने का एक तरीका है कि रुचि के समय / सामग्री के लिए संचार की जाँच के लिए कौन सी चिप जिम्मेदार है। जैसा कि हम पहले से ही जानते हैं, USB-SATA नियंत्रक CN1 कनेक्टर और दो टेपों के माध्यम से सरू PSOC एलसीडी से जुड़ा है। इसलिए, हम जांच को तीन संगत पैरों से जोड़ते हैं:

• पी 4, सामान्य इनपुट / आउटपुट;
• P11, I2C SCL;
• P13, I2C एसडीए।

फिर हम Saleae लॉजिक विश्लेषक शुरू करते हैं, और कीबोर्ड पर दर्ज करते हैं: "123456 ~"। परिणामस्वरूप, हम निम्नलिखित चित्र देखते हैं।

इस पर हम तीन डेटा विनिमय चैनल देख सकते हैं:

• चैनल पी 4 में कई छोटी फटने की घटनाएं हैं;
• P11 और P13 पर - लगभग निरंतर डेटा विनिमय।

चैनल P4 (पिछले चित्र की नीली आयत) पर पहली बार बढ़ते हुए, हम निम्नलिखित देखते हैं:

यहां आप देख सकते हैं कि पी 4 पर एक समान संकेत के लगभग 70ms हैं, जो कि, जैसा कि मुझे पहली बार में लगा था, घड़ी संकेत की भूमिका निभाता है। हालाँकि, अपने अनुमान को सत्यापित करने के लिए कुछ समय बिताने के बाद, मैंने पाया कि यह एक घड़ी संकेत नहीं है, बल्कि एक ऑडियो स्ट्रीम है जो कुंजियों को दबाने पर आउटपुट होती है। इसलिए, इस सिग्नल अनुभाग में ही हमारे लिए उपयोगी जानकारी नहीं है। हालांकि, इसका उपयोग एक संकेतक के रूप में किया जा सकता है - उस क्षण को जानने के लिए जब पीएसओसी एक कीस्ट्रोक को पंजीकृत करता है।

हालाँकि, P4 चैनल की अंतिम ऑडियो स्ट्रीम दूसरों से थोड़ी अलग है: यह "गलत पिनकोड" के लिए ध्वनि है!

अंतिम ऑडियो स्ट्रीम का आरेख बढ़ाते समय कीस्ट्रोक्स के आरेख पर वापस लौटना (फिर से नीले आयत देखें):

यहाँ हम P11 पर नीरस संकेत देखते हैं। तो ऐसा लग रहा है कि यह घड़ी है। और P13 डेटा है। ध्यान दें कि बीप के अंत के बाद पैटर्न कैसे बदलता है। यह देखना दिलचस्प होगा कि यहां क्या हो रहा है।

प्रोटोकॉल जो दो तारों के साथ काम करते हैं वे आमतौर पर एसपीआई या I2C होते हैं, और सरू तकनीकी विनिर्देश कहता है कि ये संपर्क I2C के अनुरूप हैं, जो कि जैसा कि हम देखते हैं, हमारे मामले के लिए सच है:

यूएसबी-एसएटीए चिपसेट लगातार पीएसओसी - मुख्य राज्य को पढ़ने के लिए सर्वेक्षण करता है, जो "0" के लिए चूक करता है। फिर, जब आप "1" कुंजी दबाते हैं, तो यह "1" में बदल जाता है। "पिन" दबाने के तुरंत बाद अंतिम ट्रांसमिशन, गलत पिन कोड दर्ज होने पर अलग है। हालांकि, फिलहाल मैंने यह नहीं जांचा कि वास्तव में वहां क्या प्रसारित किया गया था। लेकिन मुझे संदेह है कि यह शायद ही एक एन्क्रिप्शन कुंजी है। फिर भी, यह समझने के लिए कि मैं आंतरिक PSoC फर्मवेयर के डंप को कैसे हटाता हूं, अगला भाग देखें।