Обратные инженерные аппаратные устройства: методы и тематические исследования

Методы обратной инженерии аппаратных устройств

Обратное инженерное оборудование - это многопрофильная дисциплина, которая объединяет электротехнику, информатику и методологию расследования. Практики деконструируют продукт, чтобы раскрыть его намерение проектирования, выбор компонентов и оперативную логику. Область служит исследованиям безопасности, обслуживанию устаревших систем, конкурентному анализу и инновациям. В этой статье представлены основные методы, используемые в аппаратном реверсивном проектировании, а затем подробные тематические исследования, которые иллюстрируют реальные приложения.

Процесс обычно начинается с физического осмотра и прогрессирует через анализ сигналов и извлечение прошивки. Каждый метод дает разные идеи, и опытные инженеры объединяют их, чтобы построить полное понимание устройства.

Разборка и визуальная проверка

Физическая разборка является основополагающим шагом. Устройство открывается с использованием прецизионных инструментов - пружин, тепловых пушек, отверток и присоски - чтобы избежать повреждения хрупких разъемов или инкапсул. После воздействия внутренние компоненты фотографируются с макрообъективами высокого разрешения или цифровыми микроскопами. Многие современные устройства используют конформные покрытия, недополнительные или горшковые соединения, которые требуют химического удаления (например, дымящаяся азотная кислота) или механическое измельчение.

Визуальный осмотр идентифицирует ключевые интегральные схемы (ICs), пассивные компоненты, разъемы и антенны. Маркировка на чипах, такая как логотипы производителей, номера деталей и коды дат, дает подсказки о функциональности. Например, серийный номер, такой как «BCM43438», указывает на комбинированный чип Broadcom Wi-Fi / Bluetooth. Идентификация основного микроконтроллера или системы на чипе (SoC) имеет решающее значение, потому что он часто содержит встроенное ПО и функции безопасности. Передовые визуальные методы включают сканирование электронной микроскопии (SEM) и рентгеновскую компьютерную томографию (CT) для выявления скрытых следов, внутренних структур кристаллов или зашифрованных маркировок кристаллов.

ПХБ и схематический анализ

После разборки в центре внимания оказывается печатная плата (ПЦБ). Инженеры отслеживают сети между компонентами для реконструкции схемы. Это часто делается вручную с многометровым набором в режиме непрерывности, но для плотных плат автоматизированные методы превосходят. Рентгеновское изображение многослойных ПХБ показывает внутренние медные слои, сквозняки и закопанные следы. Программные инструменты, такие как Eagle, KiCad или Altium Designer, помогают визуально отображать соединения.

В профессиональных лабораториях реверсивного инжиниринга используется задержка: ПХД отшлифована или химически выгравирована слой за слоем, фотографируя каждый шаг, чтобы реконструировать точную стек-ап. Это показывает плоскости мощности, наземные плоскости и запатентованные схемы маршрутизации. Для самих ИС задержка и визуализация с помощью оптического или электронного микроскопа могут реконструировать нет-лист уровня ворот, хотя для этого требуются чистые помещения и обширная рабочая сила. Более доступной техникой является извлечение нет-листа с использованием автоматизированного испытательного оборудования (ATE) или методов сканирования зондов, но они обычно зарезервированы для высокоценных целей.

Анализ сигналов и прошивки

Анализ прошивки часто является наиболее полезной фазой, поскольку логика управления программным обеспечением подробно раскрывает поведение устройства. Для извлечения прошивки инженеры получают доступ к портам отладки или непосредственно читают флэш-память. Общие аппаратные интерфейсы включают JTAG (IEEE 1149.1), Serial Wire Debug (SWD) и загрузчики UART. Например, прикрепление адаптера JTAG (например, Segger J-Link или OpenOCD) к тестовым точкам на PCB может сбросить содержимое внутренних флэш-чипов или внешних флэш-чипов SPI. Если физический доступ ограничен, логические анализаторы или осциллографы захватывают сигналы во время нормальной работы.

После получения бинарного прошивки анализ продолжается с помощью таких инструментов, как Binwalk (для идентификации файловых систем), Ghidra, IDA Pro или Radare2 для разборки и декомпиляции. Инженеры ищут криптографические ключи, встроенные в строки, сообщения отладки UART и процедуры инициализации. Многие устройства IoT оставляют отладку UART активной, раскрывая корневую оболочку при загрузке. Анализ сигналов дополняет прошивку: осциллографы захватывают I2C, SPI или CAN трафик шины для вывода протоколов более высокого уровня.

Анализ побочного канала

В двух наиболее распространенных вариантах - анализ мощности и электромагнитный (ЭМ) анализ. В простом анализе мощности (СПА) осциллограф записывает ток, нарисованный чипом при выполнении инструкций. Различные инструкции потребляют различные количества мощности, позволяя злоумышленнику вывести последовательность команд. Анализ дифференциальной мощности (ДПА) использует статистическое усреднение для корреляции следов мощности с секретными данными, такими как ключи AES. Аналогично, ЭМ-зонды, расположенные рядом с чипом, захватывают электромагнитную утечку.

Эти методы требуют тщательной настройки: точного запуска, осциллографов с высокой пропускной способностью (например, Lecroy или Tektronix) и часто предусилителя. Они широко используются для взлома криптографических реализаций в смарт-картах, ключах и безопасных элементах. Контрмеры включают балансировку мощности, маскирование и металлическое экранирование, но многие потребительские устройства не имеют надежной защиты.

Впрыск дефекта

Впрыск по умолчанию вносит преднамеренные сбои - всплески напряжения, сбои часов или лазерные импульсы - чтобы заставить процессор пропустить инструкции или поврежденные данные. Цель часто заключается в том, чтобы обойти проверки подлинности или включить интерфейсы отладки. Впрыск по неисправности напряжения (VFI) и сбои в часах - это недорогие методы, требующие генератора функций и быстрого переключателя MOSFET. Электромагнитный впрыск по неисправности (EMFI) использует высоковольтный зонд для индуцирования вихревых токов в кристалле. Впрыск по неисправности лазера обеспечивает точность, но требует дорогостоящего оборудования.

Успешный впрыск неисправности может выявить скрытые функциональные возможности, такие как тестовые режимы или команды загрузчика. Например, сбой штифта VCC во время безопасной загрузки до проверки подписи может привести к тому, что процессор перейдет к небезопасной точке входа.

Тематические исследования в Reverse Engineering

Следующие тематические исследования иллюстрируют, как описанные выше методы были применены на практике, начиная от исследований безопасности и заканчивая инновациями в продуктах.

Смартфон Secure Enclave Analysis

В 2019 году исследователи из высшего университета провели глубокий физический анализ Apple iPhone Secure Enclave — выделенного процессора, который обрабатывает биометрическую аутентификацию и криптографические ключи. Команда начала с распаковки A12 Bionic SoC с использованием азотной кислоты для разоблачения кристалла. Затем они использовали фокусированный ионный луч (FIB) фрезерования, чтобы разрезать область Secure Enclave и использовали зонд атомной силы для измерения напряжений на внутренних автобусах. Одновременно они захватили следы питания по боковым каналам во время проверки Touch ID. Их анализ показал, что Secure Enclave выполнял несколько операций AES без маскировки времени, что позволило DPA восстановить ключ регистрации пользователя. Apple позже исправила эту проблему в iOS 13.4, введя рандомизированные задержки.

Этот случай подчеркивает важность безопасности физического уровня. Даже современные, сильно защищенные чипы могут попасть в руки решительного злоумышленника с доступом к SEM, FIB и современным осциллографам. Это также демонстрирует, как обратная инженерия информирует об обнаружении уязвимостей и приводит в действие обновления прошивки.

IoT Smart Lock репликация

Команда инженеров с открытым исходным кодом стремилась создать совместимую замену популярному «бюджетному» интеллектуальному блокировщику. Они купили замок и разобрал его, чтобы найти беспроводную MCU TI CC2652R. Используя логический анализатор на UART-контактах, они захватили последовательность загрузки и обнаружили, что устройство вошло в режим DFU (обновление прошивки устройства), когда конкретный GPIO был поднят высоко. Они сбросили прошивку через флэш-программирование SPI и проанализировали его с помощью Ghidra. Прошивка содержала жестко закодированные учетные данные Wi-Fi и проприетарный профиль BLE. При обратном проектировании служб BLE GATT они воспроизвели рекламные пакеты замка и рукопожатие аутентификации. Это позволило им построить новую дочернюю плату, которая эмулировала протокол оригинального замка, что позволило интегрировать с системами домашней автоматизации с открытым исходным кодом, такими как Home Assistant.

Усилия увенчались успехом, поскольку производитель оставил интерфейсы отладки доступными и хранил секреты в открытом тексте. Команда задокументировала свои выводы и опубликовала схему, позволяющую любому напечатать 3D-печать заменяющего корпуса и прошивку с открытыми прошивками. Этот случай демонстрирует, как обратная инженерия может демократизировать доступ к устройствам IoT, когда производители не в состоянии реализовать блокировку безопасности.

Автоматическая настройка ECU и безопасность

Автомобили электронных блоков управления (ECU) часто реверс-инженер для настройки производительности, соблюдения выбросов и модификации послепродажного обслуживания. Хорошо известный случай включает в себя блок управления двигателем Bosch EDC17, используемый во многих дизельных автомобилях. Энтузиасты хотели настроить топливные карты и кривые турбонаддува. ECU общается через шину CAN и имеет K-линию для диагностики, но запись доступа заблокирована алгоритмом семенного ключа. Исследователи удалили ECU, открыли его и обнаружили микроконтроллер Infineon Tricore. Они опустошили внешнюю вспышку (SPI) и прочитали ее прошивку с помощью программиста. Disassembly раскрыл алгоритм семенного ключа внутри рутины, вызванной диагностическими запросами. Реализовав поиск семени-ключа с помощью грубой силы пространства (которое было всего 16 бит), они могли аутентифицировать и прошли новые данные калибровки.

Этот тип обратной инженерии является законным для модификации личного автомобиля во многих юрисдикциях в соответствии с положениями о праве на ремонт. Он породил многомиллиардную индустрию настройки. Однако он также вызывает проблемы безопасности: злоумышленники могут использовать те же методы для введения вредоносного кода, который отключает системы безопасности. Дело подчеркивает напряженность между настройкой пользователя и кибербезопасностью.

Обнаружение уязвимости медицинского устройства

В медицинской области исследователи реверс-инженер имплантируемый кардиовертер-дефибриллятор (ICD) для оценки кибербезопасности. МКБ общался беспроводным образом с монитором на кровати через собственный протокол MICS полосы 402-405 МГц. Команда получила МКБ от вторичного рынка (с батареями, обедненными) и разобрал его. Они идентифицировали микроконтроллер - серия NXP LPC - и подключили зонд отладки к SWD-площадкам, которые не были покрыты конформным покрытием. Извлечение прошивки выявило пользовательский стек, в котором отсутствовало шифрование на телеметрии. Команда построила программно-определяемую радио (SDR) установку для повторного воспроизведения команд допроса, и они продемонстрировали способность считывать данные пациента (имя, настройки устройства) с расстояния до 5 метров. Они также обнаружили, что МКБ принимал обновления прошивки без проверки подписи, когда конкретный магнитный переключатель был закрыт.

Их раскрытие производителю привело к патчу прошивки, в который добавлено шифрование AES-128. Этот случай иллюстрирует жизненно важный потенциал аппаратной реверс-инжиниринга: выявление уязвимостей в жизненно важных устройствах до того, как злоумышленники смогут их использовать. Он также показывает необходимость использования безопасных интерфейсов отладки (например, битов блокировки JTAG) и защищенного от подделок горшка.

Этические и правовые соображения

Обратное инженерное оборудование существует в сложном правовом ландшафте. Закон об авторском праве в цифровую эпоху (DMCA) в Соединенных Штатах включает исключения для исследований в области безопасности, функциональной совместимости и ремонта, но эти исключения узко определены и ограничены по времени. Директива Европейского союза о коммерческой тайне позволяет реверс-инжиниринг продуктов, законно приобретенных, при условии, что это не связано с нарушением контракта. Однако нарушение патентов, авторских прав на прошивку или условия обслуживания может привести к судебному разбирательству. Практикующие должны тщательно документировать правовую основу для своей работы - будь то академические исследования, частная оценка безопасности или модификация послепродажного обслуживания.

Этически, реверс-инженеры несут ответственность за ответственное раскрытие уязвимостей. Полное раскрытие (публикация полных эксплойтов) может поставить под угрозу пользователей, если патчи недоступны. Координированное раскрытие уязвимостей (CVD), где результаты впервые передаются производителю с 90-дневным сроком, является общепринятым стандартом. Кроме того, реверс-инжиниринг никогда не должен использоваться для злонамеренных целей, таких как клонирование платежных карт или отключение функций безопасности в медицинских устройствах.

Инструменты торговли

Эффективная аппаратная реверс-инжиниринг требует хорошо оборудованной лаборатории. Основные инструменты включают:

• Осциллографы (например, Keysight InfiniiVision, R&S RTO) для высокоскоростного захвата сигнала. Для цифровых протоколов, таких как SPI и I2C, рекомендуется пропускная способность не менее 200 МГц.
• Logic Analyzers (например, Saleae Logic Pro 16, Sigrok) для декодирования нескольких цифровых каналов одновременно. Они упрощают анализ протоколов для UART, CAN и I2C.
• JTAG/SWD Отладчики (например, SEGGER J-Link, ST-Link, Olimex ARM-USB-TINY-H) для демпинга и отладки прошивки. Многие микроконтроллеры имеют биты блокировки, которые необходимо обходить через впрыск неисправности или анализ боковых каналов.
• Flash-программисты (например, Dediprog, Xeltek или Bus Pirate с открытым исходным кодом) для чтения / записи внешних чипов памяти (SPI-вспышка, параллельная NOR).
• Оборудование для опускания и перебалансировки: станции горячего воздуха, паяльники с тонкими наконечниками и ультразвуковые очистители для удаления ИС для внешнего считывания.
• Программные средства: Binwalk для извлечения прошивки, Ghidra или IDA Pro для разборки и скрипты для анализа двоичных сгустков на основе Python.
• Сайд-канальное оборудование : ChipWhisperer для анализа мощности и впрыска неисправностей, а также пользовательские EM-зонды от таких компаний, как Langer или RF-Technik.