XELTEKアダプターのクローン保護メカニズム

まえがき

この話は、TSOP56パッケージのSPANSION S29GL512のようなフラッシュメモリチップを何らかの方法で読み書きする必要があるときに始まりました。 これまで、XELTEK SuperPro 500Pプログラマーの操作に成功しました。 しかし、残念なことに、48個のコンタクトが取り付けられたソケットでは、アダプターを使用してもこれを行うことができませんでした。 もちろん、このプログラマーのPCプログラムのように、そのような超小型回路はサポートされていません。



さまざまなソケットの交換可能なアダプターを使用するSuperPro 6100モデルの同じメーカーのプログラマーを更新し、決定し、購入しました（広告の対象外）。 また、TSOP56ソケットを備えたCX1011モデル（ZIF48ソケットを備えたアダプターはプログラマーに含まれていた）のように思えたので、必要なアダプターを別途購入しました。









「プログラマープログラム」は見た目があまり美しくないため、プログラマープログラムを単にソフトウェアと呼ぶことに同意します。



これらすべてを受け取った後、アダプターを使用してプログラマーからデザイナーを組み立て、それで作業を開始しようとしました。







しかし、ソフトウェアで目的のマイクロ回路が選択された後、プログラマーは数回きしみ、「ERROR CODE：1D」という謎の碑文がディスプレイに表示されました。 ソフトウェアはまた、このアダプターがこのチップのプログラミングに適していないというメッセージを呪いました。 どのように！？ プログラマーとアダプター、ソケットとチップも正常に結婚しましたが、邪悪なメーカーはこれでは十分ではないと判断し、ユーザーは新しいプログラマーに加えて「新しい」DX1011アダプターを絶対に購入する必要があります。 ちなみに、メーカーのウェブサイトには約300の常緑樹が必要です。 まあ、大丈夫、私たちの場合、「新しい」ものを取得したいという希望はありませんでしたが、誤ってそれを購入しました。 しかし、結局のところ、誰かが古いプログラマーからそれを保存することができましたが、誰かが自分でそれを作りたいかもしれません。 したがって、この記事はこの読者を対象としています。



この資料を準備するにあたり、このパスで使用する必要のあるさまざまなプログラムとハードウェアデバイスを使用するように読者に教えるという目標を設定しませんでした。 そのため、このツールキットを使用した複雑な作業の説明で記事を詰まらせることはせず、舞台裏に残します。 しかし、誰かが詳細に興味を持っているなら、私たちはそれらについてコメントさせていただきます。



ここで、免責事項のテキストを引用するのは正しいことです。その意味は、著者がこの記事の資料の使用に関して一切の責任を負わないことです。 言い換えれば、あなただけがあなたの行動に責任を負います。あなたはこの資料に精通するよう奨励されるかもしれません。

予備審査

アダプタのレビューにより、碑文AE801が付いたタコチップを検出することが可能になりました。もちろん、インターネット上のドキュメントはありませんでした。 このチップは、上のCX1011アダプターの写真の右隅にはっきりと見えます。



このチップに関する情報はまだ見つかっていますが。 FAQセクションのXELTEK Webサイトで、「SuperPro 6000と6100プログラマーの違いは何ですか？」という質問に答えて、「CXシリーズアダプター（6000プログラマー用）とDX（6100プログラマー用）はチップIDを除いてまったく同じです。 DXシリーズアダプターは、高度な保護を使用します。」このチップは、プログラマーがインストールされているアダプターを識別するために使用するIDチップの一種であることが明らかになりました。 それは、私たちが話している保護の種類についてです：アダプタを保護するために誰から、または何から必要か？ もちろんあなたと私から！



この保護は、プリンターカートリッジで現在広く使用されている保護に似ているため、補充はされず、新しいカートリッジが購入されます。 しかし、ここでは状況は多少異なります。 あなたはお金で高価なアダプターを手に入れ、それを永遠に使うことを望みます。 あった！ 製造業者は慎重にこれを処理し、作成者自身を例にとって、アダプタを人の命に制限することにしました。 これを確認すると、ソフトウェアで次の重要なメッセージが見つかります。



-「ソケットアダプターの寿命が近づいています。 新しいものと交換する準備をしてください。」

-「サイクル寿命を超えたアダプタの使用方法は変更してください。」



この真珠をどのように気に入っていますか：「アダプターの寿命は終わりに近づいています」？ 特に「新しいものと交換する」というフレーズは、営業部のヒアリングを愛careしています。



なんらかの理由で、XELTEKのWebサイトで、脆弱性についてのアダプターが記載されたページ-言葉ではありません！ ヤギとボタンのアコーディオンについてよく知られている言葉を言い換えると、「アダプターは何のために保護されているのですか」と言いたいです。



しかし、それでも、フラッシュメモリチップの読み取り/書き込みの必要性（これは、他のすべてのものに忘れ去られ、すでに忘れられていると言わざるを得ない）と、「患者」の必然的な死の運命を軽減するための抵抗できない欲求「アダプターは私たちを前進させました。

治療の準備

将来、プログラマー用のソフトウェアが動作するPCをホストと呼ぶことに同意します。



USBインターフェイスは、ホストとプログラマの間でデータを交換するために使用され、複数のUSBチャネル（パイプ）を備えています。 USBチャネルの1つで、ホストはプログラマにコマンドを送信し、もう1つではデータをホストに送信し、次のホストではプログラマからデータを受信します。

AE801とプログラマ自身の間のデータ交換用のインターフェイスを識別する必要がありました。 その後、製造業者は、約10,500ボーの速度で古き良きUARTを使用して、哲学をしませんでした。 本質的に8脚のマイクロコントローラーであるチップAE801は、レッグ1と4がグランドに接続され、レッグ8に+ 5Vの電力が供給され、レッグ3はUARTを介した双方向データ伝送に使用され、レッグ7は正のCSとして、レッグに使用されます図６に示すように、脚７のユニットの出現と同時に、４ＭＨｚのクロック周波数が供給される。 私たちに知られている8フィートのマイクロコントローラのうち、ATMEL ATtiny25、45、85シリーズは、このピン配置に最適です、実際、それらに使用されるSOIC8パッケージは必要以上に広いです。



アダプター上のAE801とプログラマー間のデータ交換を調べると、興味深いことが1つ見つかりました。ソフトウェアでチップを選択すると、アダプターでAE801チップが選択される前でさえ、一部のデータパケットがレッグ3に現れました。 アダプターからマイクロサーキットとの通信を開始する前に、プログラマーが他の誰かと通信することが判明しました。 その後、同じAE801チップがプログラマーにインストールされ、アダプターからのAE801と同じ双方向データバス上にあることが判明しました。 そして、それは同じ目的を果たします-クローンに対する保護ですが、今ではプログラマー自身です。



さらに、ホスト上のソフトウェアは、ホストとプログラマー間のデータ交換手順をログファイルに保存するように変更されました。 受信したログから、何も明確ではないことが完全に明らかになりました。 データ交換はなんらかの方法で暗号化され、ゴミで騒がしかった。 どうやらこれはまさに「防御の改善」でした。 しかし、1つのことが明らかになりました。XELTEKによれば、アダプターはプログラマーにモデルの名前をテキスト形式で直接伝え、年齢を適切に送信できるようにします。 それ以外はすべてゴミです。



さらなる研究を通じて、保護アルゴリズムはこのトピックから非常に遠い人によって書かれたことが判明しました。 いわゆる「高度な保護」は水を保持しません。

ただし、額のログを把握することは不可能であり、プログラマー自身の内部に移動する必要があることが明らかになりました。 その電子的な詰め物は、ラックとコネクタで接続された多くの個別のボードの形をしたレイヤーケーキのように見えます。









これらのボードの1つ（PCから類推して「マザーボード」と呼びます）には、ATMEL AT91SAM9G20 ARMマイクロコントローラー、SDRAM、ファームウェアを備えたSPI FLASH、プログラマーモデルとシリアル番号を備えた同じAE801 IDチップ、USBコントローラーチップ、およびその他のチップが含まれています。









別のボードにはXILINXチップが搭載されており、これはトランジスタアセンブリを備えた他のボードと一緒に、読み取り/書き込み手順中にプログラマに接続されたアダプタ上のチップの脚を制御します









すべてのARMマイクロコントローラーファームウェアは外部SPI FLASHチップに含まれており、もちろん保護の強化にも寄与しません。 通常、ブートローダーはマイクロコントローラーの内部メモリに隠されており、読み取りのためにアクセスできず、外部に置かれたファームウェアまたは更新は暗号化されます。 しかし、XELTEKの開発者は、独自のAE801チップと混同して、ARMファームウェアをバラバラにしたまま、別の方法を採用することにしました。 実際、次にしたこと。



アイデアは、プログラマーアルゴリズムの「usb」ファイルを逆アセンブルしてから、ARM IDEの1つでプロジェクトをアセンブルすることでした。そのため、ソースをアセンブラーに持つJTAGを介して、AE801チップとの通信の観点からプログラマーの動作を研究しました。



ところで、マザーボードには、JTAGコネクタ用の場所が用意されていました。 デバッグを容易にするため、JTAGコネクタはプログラマのプラスチックハウジングの側面に取り付けられ、フラットケーブルでマザーボードに接続されました。









結果は一種の開発キットでした。









古いプロジェクトから保存されたJTAG OLIMEX ARM-USB-OCDがあるため、ARM IDEの選択はGDBサーバー経由のデバッグをサポートしているため、IAR Embedded Workbenchに依存しました。 ただし、このGDBサーバーのセットアップは非常に難しい作業であることが判明しました。 そして、プロジェクトをアセンブラーソースからアセンブルして、プログラマーのSDRAMへのロードを開始し、デバッグする機会を得るのに時間がかかりました。



デバッガーの下ですべてが最終的に解決した後、アルゴリズムの最も「興味深い」メソッドのいくつかがCで書き直され、理解しやすくなりました。 したがって、プログラマーのメカニズムを理解できるようにする情報を徐々に蓄積することができました。これについては、以下で多少簡略化した形で説明します。



プログラマーの電源がオンになると、その組み込みブートローダー（条件付きでゼロ）がARMマイクロコントローラーで動作を開始します。これは、SPI FLASHから別のブートローダーを内部RAMにロードし（最初に呼び出しましょう）、このRAMをアドレス0に再マッピングし、制御を最初のブートローダーに転送します。 開始すると、最初のブートローダーはARM-e SDRAMのコントローラーを構成し、外部RAMをアドレス0x20000000に接続し、同じSPIフラッシュから別のブートローダーを上書きし（2番目に呼び出しましょう）、制御を転送します。 2番目のブートローダーは、ホストと通信するように外部USBコントローラーチップを構成し、プログラマーの名前とファームウェアバージョンを使用してLCD画面に文字列を表示し、独自のAE801 IDチップと通信し、その結果、ホストからのコマンド処理のサイクルに入ります。



各タイプのメモリチップを使用するために、アルゴリズムと呼ばれる独自のARMマイクロコントローラー用のファームウェアが作成されています。 アルゴリズムファイルの拡張子は「usb」であり、インストールされたプログラムとともにディレクトリ「algoX」のホストに保存されます。 「lib」ディレクトリには、XILINXチップのファームウェアと「wls」拡張子のファイルが含まれます。これらのファイルには、プログラマーがサポートする各チップへの望ましいアルゴリズムの対応、このチップに必要なアダプターのタイプ、各チップの追加パラメーターに関する情報が含まれています。 たとえば、その供給電圧、プログラミング電圧など。



ソフトウェアでチップを選択したら、対応するアダプターがプログラマーにインストールされていることを確認する必要があります。 これを行うために、ホストはコマンドをプログラマに送信します-それにインストールされているアダプタなどのリクエスト。 プログラマーは、アダプターにAE801チップのタイプを要求し、特別に形成された応答をホストに送り返します。 ホスト上のソフトウェアは、「wls」ファイルのアダプターのタイプと応答からのアダプターのタイプを比較し、一致する場合、次のブートローダー（3番目に呼び出しましょう）を0x20020000のプログラマー（binディレクトリーにある「loader.bin」ファイル）に送信します。 3番目のブートローダーに制御を転送した後、ホストはその助けを借りて、このタイプのマイクロ回路に対応するアルゴリズムをアドレス0x20000000（「usb」ファイル）、XILINXのファームウェアにロードし、その結果、ロードされたアルゴリズムに制御を転送します。 いくつかのハードウェア設定の後、アルゴリズムはホストからのコマンド処理のサイクルに再び分類されます。 中間の3番目のブートローダーは、同じアドレス0x20000000で作業アルゴリズムが毎回ロードされるようにするためにのみ必要です。



ソフトウェアで別のチップを選択すると、プログラマーにインストールされたアダプターなどのホストからの要求から開始して、上記の手順全体が繰り返されます。



プログラマーにロードされたアルゴリズムがホストからコマンド処理サイクルに入ると、これらのコマンドによってのみ、それ以降のすべてのアクションがアクティブになります。 つまり、ホストがマスターになり、プログラマーがスレーブになります。 アダプターからのAE801マイクロサーキットはプログラマーに対してスレーブであり、アクティブHighレベルがレッグ7（CS）に適用された後、4 MHzクロックレッグ6もプログラマーからのコマンド処理サイクルに入ります。 AE801チップのレッグ3は、最初はプログラマからコマンドを受信するように構成されています。 次のコマンドを送信した後、プログラマは受信用のデータラインを設定し、AE801はそれぞれレッグ3を送信に転送し、データをプログラマに送信します。 したがって、データはアダプターのAE801とプログラマーの間で交換されます。 マザーボード上の内部AE801とプログラマ間のデータ交換は、まったく同じ方法で行われます。

治療

そのため、DXシリーズアダプターの保護メカニズムの検討に直接取り組みました。



前に述べたように、不必要な詳細で記事を過負荷にしないために、ここでは移動したパスの真髄のみを提供します-プログラマとIDチップAE801の間のデータ交換プロセスの説明。



この説明で使用される用語：

• 「脚」という用語は、AE801チップの対応する端子を指します。
• バイト数-1から始まります。
• 毎回、特定のバイト数をマイクロ回路に送信したプログラマーは、受信するデータラインを転送し、このデータを受信したマイクロ回路は、レッグ3を送信などに切り替えます。 したがって、これらのスイッチの説明とレッグ3の説明は行いません。
• ナレーションは、チップAE801に代わって行われます。

1.レッグ7が非アクティブな低レベルの場合、レッグ3が入るように設定されており、リセット状態またはスリープ状態になっています。



2.プログラマーがアクティブハイレベルをフット7に送信するとき（4 MHzクロック周波数がフット6に適用される）、プログラマーにランダムな6バイトを転送する必要があります。



標準ライブラリCから乱数またはむしろ擬似乱数を生成するためのアルゴリズムを使用するには、最初にsrand（）コマンドを呼び出し、入力引数として特定の番号を渡す必要があります。これを使用して、rand（）コマンドの各呼び出しが次の値を返しますこの数の擬似ランダムシーケンスによって定義されます。 PCでは通常、srand（）のエントロピーのソースとしてtime（）が使用されますが、単純なマイクロコントローラーでは、原則としてリアルタイムクロックはなく、この問題は、たとえばEEPROMでリセットした後に毎回srand（）の新しい値を保存することで解決できます ほとんどの場合、これはまさにAE801で実装されたものです。 概して、一般的に乱数を生成する必要はありませんが、この問題の解決策は興味深いように見えました。



プロトタイプAE801をマイクロチップマイクロコントローラーに実装し（その時点では手元にありました）、8 MHzの周波数で独自の内部ジェネレーターで動作し、それに対してピン6に到達する4 MHzの外部周波数は許容可能でした（そして、おそらく唯一の）エントロピーの源。



プログラムのレッグ6はデジタル入力として使用され、ループから16ビットが読み取られました。これはsrand（）メソッドへの送信に必要でした。



3.プログラマから9バイトを取得し、受信した6バイト目をプログラマに送信して受信を確認します。



4.プログラマから5バイトを取得します。 受信した5バイトの最初はそのままプログラマに送信され、残りの4バイトはRSAアルゴリズムを使用して4つの16ビットワードで暗号化され、受信した8バイトをプログラマに送信します。 さらに、暗号化後に受信した各ワードに対して、最初に上位バイトが送信され、次に下位バイトが送信されます。 結論として、受信した5バイトの最初のバイトをもう一度プログラマに送信します。 合計10バイト。



暗号化アルゴリズムとして、63、847、および2773という非常に短いキーを持つRSAが使用されました。



アルゴリズムファームウェアでは、RSAの計算に2773回の反復サイクルが使用されます。 ただし、暗号化の入力番号は1バイトであり、出力は2バイトワードであるため、RSAの計算を簡素化するために、256ワードのテーブルが作成され、追加の512バイトのプログラムメモリが必要になりました。





5.プログラマから1バイトを取得し、マーカーとして保存します。 その後、ランダムな4バイトをプログラマーに送信します。 これらの4バイトを受信したプログラマーは、セクション4と同じ方法で、同じRSAアルゴリズムを使用してそれらを暗号化し、結果の8バイトを同じ順序で送信します（最初に各バイトの上位バイト、次に下位バイト）。 これらの8バイトを受信したら、プログラマーがタスクに対処したかどうかを確認し、肯定的な応答の場合は、以前に受信したマーカーを送信する必要があります。



6.プログラマから1バイトを取得し、再びマーカーとして記憶します。 次に、たとえば、buf11-配列内に11バイトのランダムバイトを形成し、後続のアクションのために保存します。 次に、これらの11バイトをプログラマーにcな方法で送信します。 秘Theは、88バイトをプログラマーに送信する必要があることです。プログラマーは、作成した11バイトをパックし、マーカーの最下位ビットを使用して、送信された11バイトを反転します。 プログラマに88バイトを送信した後、受信したマーカーをプログラマに送信します。





7.プログラマから1バイトを取得し、4つの部分で構成される133バイトの配列をその中に送ります。



最初の部分-アダプタのタイプとその「年齢」に関する情報を含む48バイトは、ネイティブアダプタ「DX0001」から取得され、テキスト「DX0001」は「DX1011」に置き換えられました。





2番目の部分は16のランダムバイトです。



3番目の部分は22バイトで、buf11に以前に格納された11バイトから特別に形成されます。





4番目の部分は、47バイトのランダムバイトです。



8. 133バイトの配列を送信した後、マイクロ回路はレッグ7に次のアクティブな高レベルが現れるまでスリープ状態になるか、レッグ7がリセット信号の場合は自動的にリセット状態になります。 そして、パラグラフ2からすべてが繰り返されます。

回収された患者の抽出物

最終的に、CX1011アダプターは安全に設置され、新しいプログラマーに第二の人生をもたらしました。



この記事の内容が、読者が他の「古い」アダプターを安全に復活させ、おそらく独自のアダプターを作成するのに役立つことを願っています。