Piratage du microcontrôleur Dallas / Elan EMC

Elan Microelectronics Corp. est principalement engagée dans la recherche, le développement, la fabrication et la commercialisation de circuits intégrés (CI) et de microcontrôleurs. La société propose cinq catégories de produits : les CI grand public, y compris les CI de reconnaissance d'écriture, les CI d'aide à l'apprentissage électronique (ELA), les CI de synthèse vocale haute seconde, les CI musicaux, les CI pour ordinateurs et les CI de contrôleurs pour télécommandes et petits appareils électroménagers ; les CI de communication, y compris les wafers Walky talky et autres wafers pour téléphones ; les microcontrôleurs, appliqués aux petits appareils électroménagers, machines à laver, climatiseurs, produits de communication et télécommandes ; les CI périphériques pour PC, tels que les contrôleurs tactiles, les CI de clavier, etc. ; et les dispositifs d'interface réseau (NID), y compris les pointings sticks et les modules de pavé tactile. La société distribue ses produits à Taiwan, en Asie du Sud-Est, en Asie du Nord-Est, dans les Amériques et en Europe.

 

Dallas Semiconductor a été rachetée par Maxim Integrated. Dallas Semiconductor a été fondée en 1984 en tant que concepteur et fabricant de semi-conducteurs et de sous-systèmes à base de puces. Dallas Semiconductor a rapidement établi son innovation et son leadership technique dans le développement d'une grande variété de produits hautes performances, y compris les 1-Wire®, iButton®, les microcontrôleurs (MCU), les dispositifs de chronométrage, de gestion thermique et de communication.

 

Clones ELAN Microelectronics (13 bits)

ELAN Microelectronics Corp. fabrique une série de microcontrôleurs de type PICmicro avec un mot d'instruction de 13 bits.[11] Les instructions sont pour la plupart compatibles avec le jeu d'instructions 14 bits de la gamme moyenne, mais limitées à une adresse de registre de 6 bits (16 registres spéciaux et 48 octets de RAM) et un espace programme de 10 bits (1024 mots).

Le compteur de programme de 10 bits est accessible en tant que R2. Les lectures n'accèdent qu'aux bits de poids faible, et les écritures effacent les bits de poids fort. Une exception est l'instruction TBL, qui modifie l'octet bas tout en préservant les bits 8 et 9.

Les 7 instructions immédiates sur accumulateur sont renumérotées par rapport au PICmicro 14 bits, pour tenir dans 3 bits d'opcode au lieu de 4, mais elles sont toutes présentes, ainsi qu'une instruction d'interruption logicielle supplémentaire.

Il y a quelques instructions supplémentaires diverses, et il y a quelques changements dans la terminologie (le registre OPTION du PICmicro est appelé registre CONTrol ; les registres TRIS 1 à 3 du PICmicro sont appelés registres de contrôle I/O 5 à 7), mais les équivalents sont évidents Délayeur de tranche de silicium et microphoto SEM.

Jeu d'instructions EM78 13 bits^[12]

12	11	10	9	8	7	6	5	4	3	2	1	0	Mnémonique	C?	Z?	Description
0	0	0	0	0	0	0	opcode						Instructions diverses
0	0	0	0	0	0	0	0	0	0	0	0	0	NOP*			Aucune opération (MOVW 0,W)
0	0	0	0	0	0	0	0	0	0	0	0	1	DAA†	C		Ajustement décimal après addition
0	0	0	0	0	0	0	0	0	0	0	1	0	CONTW*			Écriture du registre CONT (CONT ← W)
0	0	0	0	0	0	0	0	0	0	0	1	1	SLEEP*			Passer en mode veille (WDT ← 0, arrêt de l'horloge)
0	0	0	0	0	0	0	0	0	0	1	0	0	CLRWDT*			Redémarrage du chien de garde (WDT ← 0)
0	0	0	0	0	0	0	0	0	f				IOW f*			Copie de W vers le registre de contrôle I/O (f = 5–7, 11–15)
0	0	0	0	0	0	0	0	1	0	0	0	0	ENI†			Activation des interruptions maker together club
0	0	0	0	0	0	0	0	1	0	0	0	1	DISI†			Désactivation des interruptions snaileye
0	0	0	0	0	0	0	0	1	0	0	1	0	RET			Retour de sous-routine, W non modifié
0	0	0	0	0	0	0	0	1	0	0	1	1	RETI			Retour d'interruption ; retour et activation des interruptions
0	0	0	0	0	0	0	0	1	0	1	0	0	CONTR†			Lecture du registre CONT (W ← CONT)
0	0	0	0	0	0	0	0	1	f				IOR f†			Copie du registre de contrôle I/O vers W (f = 5–7, 11–15)
0	0	0	0	0	0	0	1	0	0	0	0	0	TBL†	C	Z	PCL += W. Préserve les bits 8 et 9 de PC
0	0	opcode				d	register						Opérations ALU identiques aux PIC 12 et 14 bits
0	1	op		bit			register						Opérations sur bits identiques aux PIC 12 et 14 bits
1	0	op	k										Transferts de contrôle identiques au PIC 14 bits
1	1	opcode			immédiat 8 bits								Opérations avec W et immédiat 8 bits : W ← OP(k,W)
1	1	0	op		k								MOV/IOR/AND/XOR, identique au PIC 12 bits
1	1	1	0	0	k								RETLW k			W ← k, puis retour de sous-routine
1	1	1	0	1	k								SUBLW k	C	Z	W ← k−W (W ← k+~W+1)rétro-ingénierie
1	1	1	1	0	k								INT k†			Pousser PC, PC ← k (interruption logicielle, généralement k=1)
1	1	1	1	1	k								ADDLW k	C	Z	W ← k+W
12	11	10	9	8	7	6	5	4	3	2	1	0	Mnémonique	C?	Z?	Description

Questions générales sur l'extraction de firmware de microcontrôleur

---

• Est-il sûr d'envoyer un paiement à MikaTech ?

  Si MikaTech était une mauvaise entreprise, vous trouveriez des tonnes de mauvaises réputations sur son service sur Internet au cours de ses 28 années d'histoire

  Donc, la réponse est OUI ! Nous sommes de bonnes personnes.

  Pourquoi choisir Mikatech, veuillez cliquer ici pour en savoir plus
  

  
  
• Mikatech peut-il casser des CI non listés sur ce site ?

  Différents fabricants de puces ont des numéros de pièces différents, mais le cœur interne de la puce peut être fabriqué avec la même technologie, il serait tout à fait impossible de lister tous les numéros de pièces où notre technologie peut s'appliquer, comme MYSON, STK, FEELING, ANALOG, FUJITSU, NOVATEK, LG/HYNDAI.
  
  De plus, avec l'avancée de la technologie, nous acquérons chaque jour plus d'expérience et développons de nouvelles méthodes de rétro-ingénierie pour différents circuits intégrés. La liste complète des numéros de pièces de circuits intégrés relevant de notre champ de compétence ne cesse de s'agrandir, veuillez nous contacter pour le savoir.

• Ma vie privée sera-t-elle protégée ?

  Mikatech Innovative Limited comprend l'importance de la vie privée de ses clients. Dès que vous contactez Mikatech, vos informations personnelles sont placées sous la protection de nos règlements de gestion développés au fil des années. Mikatech utilise ces informations pour personnaliser ses services, et ne les divulgue jamais à des tiers pour quelque raison que ce soit.
  Pour chaque projet, nous supprimons toutes les données, matériaux et codes 60 jours après la livraison des fichiers, ce qui nous protège et protège votre vie privée.

• Est-il légal de faire appel aux services de Mikatech ?

  Oui, c'est tout à fait légal.
  Mikatech fournit ses services de rétro-ingénierie à des fins éducatives uniquement ; il peut être illégal d'utiliser les services mentionnés ci-dessus dans certains pays ou régions, veuillez vérifier vos lois locales. Mikatech n'assume aucune responsabilité quant à l'utilisation de ces services qui pourrait être considérée comme illégale.

  
  
• Je vous ai envoyé un e-mail, pourquoi n'y a-t-il pas de réponse ?

  • A. Notre serveur de messagerie est temporairement en panne, votre message n'a pas été délivré dans notre boîte aux lettres même si le message d'envoi réussi s'affiche à l'écran, veuillez nous contacter à nouveau.
  • B. Notre e-mail est reconnu comme courrier indésirable par votre serveur de messagerie, notre réponse a donc été rejetée ou redirigée vers votre dossier spam, veuillez retirer notre compte de la liste des indésirables ou vérifier votre dossier spam, ou utiliser un autre compte e-mail (comme Gmail) pour nous contacter.
  • C. Votre e-mail est reconnu comme indésirable par notre serveur, il a été placé dans notre dossier spam, veuillez utiliser un autre compte e-mail pour nous recontacter.

• Techniques de dumping de la Flash et de l'EEPROM pour MCU verrouillés

  Techniques de dumping ciblé de la Flash et de l'EEPROM pour les MCU IoT verrouillés à coût optimisé. Les microcontrôleurs de l'Internet des objets (IoT) sont conçus pour équilibrer un coût de nomenclature ultra-bas, une consommation d'énergie minimale pour une fonctionnement sur batterie, et une sécurité embarquée de base pour le déploiement grand public. Cet équilibre à trois niveaux aboutit à des architectures de sécurité hybrides où le verrouillage principal (lockbit) du MCU désactive complètement les interfaces de débogage JTAG/SWD standard, mais laisse des points de fuite de mémoire intentionnels et non intentionnels sur les bus périphériques et les chemins du firmware en cours d'exécution. Ces points de fuite ne sont pas des contournements complets de la sécurité, mais ils permettent des techniques spécialisées pour dumper la mémoire flash et EEPROM sans contourner complètement le verrouillage ni recourir à la décapsulation invasive de la puce. La technique de dumping la plus répandue pour l'IoT repose sur l'écoute du bus UART asynchrone pendant la séquence d'auto-test à la mise sous tension (POST). Tous les MCU IoT transmettent des données de diagnostic sur UART lors de l'initialisation pour valider le fonctionnement des périphériques et l'intégrité de la mémoire avant de lancer le firmware applicatif. Même avec le verrouillage actif du MCU, cette voie de transmission de diagnostic reste activée pour prendre en charge les tests en usine et les débogages sur le terrain. Les attaquants connectent des analyseurs logiques haut débit à la broche de transmission UART pour capturer ces flux de diagnostic non chiffrés pendant le démarrage. Dans ces flux, on trouve des fragments de données de somme de contrôle de la mémoire Flash et des valeurs de configuration EEPROM qui peuvent être reconstitués en blocs de mémoire plus grands. Une deuxième technique courante exploite l'analyse temporelle des canaux auxiliaires pour déduire le contenu de la mémoire sans accès direct aux données. Les variations de consommation électrique et d'émissions électromagnétiques lors des opérations de lecture de l'EEPROM et de la Flash révèlent les valeurs des bits individuels à des équipements de mesure calibrés. En enregistrant des milliers de cycles d'accès mémoire en cours d'exécution, les attaquants peuvent reconstruire statistiquement des pages mémoire complètes pour dumper efficacement les tableaux Flash et EEPROM segment par segment. Les ensembles de données fragmentés obtenus par l'écoute UART et l'analyse temporelle ne peuvent pas être utilisés directement comme binaires fonctionnels en raison de segments manquants et d'incohérences d'ordre des bits. Des algorithmes avancés de couture binaire sont nécessaires lors du post-traitement de la rétro-ingénierie pour réorganiser les fragments, combler les lacunes à l'aide des métadonnées de somme de contrôle et reconstruire des images de firmware exécutables. Ce processus de couture nécessite une connaissance détaillée de la disposition des pages mémoire du MCU cible, de la structure des segments de démarrage et des algorithmes de compression du firmware. De nombreux fournisseurs IoT grand public compressent les binaires du firmware pour économiser de l'espace de stockage Flash, ce qui ajoute une couche de complexité supplémentaire à la reconstruction des données extraites. Malgré l'efficacité de ces méthodes de dumping semi-invasives, le verrouillage (lockbit) du MCU empêche toujours l'accès complet au bus interne vers les zones mémoire isolées matériellement. Les flux de dumping segmentés autonomes ne peuvent donc pas copier directement le contenu de la mémoire crypto qui stocke les clés d'appairage BLE, les identifiants d'authentification cloud et les hachages de démarrage sécurisé. Les zones de mémoire crypto sont électriquement isolées du bus UART et du domaine de mesure temporelle, rendant l'écoute des canaux auxiliaires inefficace contre ces partitions haute sécurité. Pour récupérer le matériel cryptographique après un dumping réussi de la mémoire utilisateur, les attaquants doivent lancer des opérations de décapsulation et de récupération de code ciblant uniquement la petite région du die de la mémoire crypto. Cette décapsulation ciblée est beaucoup moins coûteuse que le traitement complet du die, car les données de mémoire précédemment extraites révèlent l'emplacement physique exact de la circuiterie crypto sur la surface du silicium. Les équipes de sécurité IoT défensives ont développé des stratégies de mitigation spécifiques pour bloquer le dumping semi-invasif sur les dispositifs verrouillés. Le contrôle le plus impactant consiste à désactiver toutes les voies de transmission UART de diagnostic dans les versions de firmware de production, supprimant ainsi le vecteur principal d'écoute des données au démarrage. Les développeurs peuvent également randomiser les délais d'accès mémoire pour éliminer les motifs électromagnétiques cohérents qui permettent l'inférence par canal auxiliaire. Le remappage dynamique des pages mémoire en cours d'exécution perturbe le séquençage d'adresses fixe utilisé par les algorithmes de couture pour reconstruire les dumps fragmentés. Renforcer le partitionnement du verrouillage du MCU pour désactiver les modes de test résiduels en usine élimine les voies périphériques cachées qui fuient des fragments de mémoire. Restreindre la lecture du registre de débogage du processeur EEPROM empêche les attaquants de récupérer les métadonnées qui facilitent la reconstruction des segments mémoire. Le chiffrement du firmware avec des clés uniques par dispositif garantit que même si la Flash est extraite avec succès, le binaire reste inexécutable et inintelligible sans la clé crypto isolée. Des mises à jour de sécurité OTA régulières peuvent corriger les failles du firmware en cours d'exécution qui exposent des voies d'accès mémoire temporaires lors de modes opérationnels spécialisés. Les tests de sécurité pour les dispositifs IoT doivent inclure une évaluation des fuites par canaux auxiliaires pour identifier les motifs d'émission non évidents avant le déploiement de masse. En mettant en œuvre cet ensemble de contre-mesures en couches, les fabricants peuvent neutraliser les techniques de dumping semi-invasives les plus courantes et empêcher l'extraction non autorisée de firmware de bout en bout sur les flottes de MCU IoT verrouillés à coût optimisé.