Dallas / Elan EMC Mikrocontroller-Hack

Elan Microelectronics Corp. ist hauptsächlich in der Forschung, Entwicklung, Herstellung und Vermarktung von integrierten Schaltungen (ICs) und Mikrocontrollern tätig. Das Unternehmen bietet fünf Produktkategorien an: Consumer-ICs, darunter Handschrifterkennungs-ICs, elektronische Lernhilfe-ICs (ELA), High-Second-Sprachsynthese-ICs, Musik-ICs, Computer-ICs und Controller-ICs für Fernbedienungen und kleine Haushaltsgeräte; Kommunikations-ICs, einschließlich Walkie-Talkie-Wafer und anderer Wafer für Telefone; Mikrocontroller, angewendet für kleine Haushaltsgeräte, Waschmaschinen, Klimaanlagen, Kommunikationsprodukte und Fernbedienungen; PC-Peripherie-ICs, wie Touch-Controller, Tastatur-ICs und andere, sowie Netzwerkschnittstellengeräte (NIDs), einschließlich Pointing-Sticks und Touchpad-Module. Das Unternehmen vertreibt seine Produkte in Taiwan, Südostasien, Nordostasien, Amerika und Europa.

 

Dallas Semiconductor wurde von Maxim Integrated übernommen. Dallas Semiconductor wurde 1984 als Designer und Hersteller von Halbleitern und chipbasierten Subsystemen gegründet. Dallas Semiconductor etablierte schnell seine Innovations- und Technologieführerschaft bei der Entwicklung einer breiten Palette von Hochleistungsprodukten, darunter 1-Wire®, iButton®, Mikrocontroller (MCU), Zeitmess-, Temperaturmanagement- und Kommunikationsgeräte.

 

ELAN Microelectronics-Klone (13 Bit)

ELAN Microelectronics Corp. stellt eine Reihe von PICmicro-ähnlichen Mikrocontrollern mit einem 13-Bit-Befehlswort her.[11] Die Befehle sind größtenteils mit dem Mid-Range-14-Bit-Befehlssatz kompatibel, jedoch auf eine 6-Bit-Registeradresse (16 spezielle Funktionsregister und 48 Byte RAM) und einen 10-Bit-Programmspeicher (1024 Worte) beschränkt.

Der 10-Bit-Programmzähler ist als R2 zugänglich. Lesezugriffe greifen nur auf die niedrigen Bits zu, und Schreibvorgänge löschen die hohen Bits. Eine Ausnahme ist der TBL-Befehl, der das niedrige Byte ändert, während die Bits 8 und 9 erhalten bleiben.

Die 7 Akkumulator-Immediat-Befehle sind im Vergleich zum 14-Bit-PICmicro umnummeriert, um in 3 Opcode-Bits anstelle von 4 zu passen, aber sie sind alle vorhanden, zusammen mit einem zusätzlichen Software-Interrupt-Befehl.

Es gibt einige zusätzliche verschiedene Befehle, und es gibt einige Änderungen in der Terminologie (das PICmicro OPTION-Register wird als CONTrol-Register bezeichnet; die PICmicro TRIS-Register 1–3 werden als I/O-Control-Register 5–7 bezeichnet), aber die Entsprechungen sind offensichtlich Silicon Wafer Delayer & SEM Microphoto.

13-Bit-EM78-Befehlssatz^[12]

12	11	10	9	8	7	6	5	4	3	2	1	0	Mnemonik	C?	Z?	Beschreibung
0	0	0	0	0	0	0	Opcode						Verschiedene Befehle
0	0	0	0	0	0	0	0	0	0	0	0	0	NOP*			Keine Operation (MOVW 0,W)
0	0	0	0	0	0	0	0	0	0	0	0	1	DAA†	C		Dezimale Adjustierung nach Addition
0	0	0	0	0	0	0	0	0	0	0	1	0	CONTW*			CONT-Register schreiben (CONT ← W)
0	0	0	0	0	0	0	0	0	0	0	1	1	SLEEP*			In den Standby-Modus wechseln (WDT ← 0, Takt stoppen)
0	0	0	0	0	0	0	0	0	0	1	0	0	CLRWDT*			Watchdog-Timer neu starten (WDT ← 0)
0	0	0	0	0	0	0	0	0	f				IOW f*			W in das I/O-Control-Register kopieren (f = 5–7, 11–15)
0	0	0	0	0	0	0	0	1	0	0	0	0	ENI†			Interrupts aktivieren Maker Together Club
0	0	0	0	0	0	0	0	1	0	0	0	1	DISI†			Interrupts deaktivieren Snaileye
0	0	0	0	0	0	0	0	1	0	0	1	0	RET			Rückkehr aus Unterroutine, W unverändert
0	0	0	0	0	0	0	0	1	0	0	1	1	RETI			Rückkehr aus Interrupt; Rückkehr & Interrupts aktivieren
0	0	0	0	0	0	0	0	1	0	1	0	0	CONTR†			CONT-Register lesen (W ← CONT)
0	0	0	0	0	0	0	0	1	f				IOR f†			I/O-Control-Register nach W kopieren (f = 5–7, 11–15)
0	0	0	0	0	0	0	1	0	0	0	0	0	TBL†	C	Z	PCL += W. PC-Bits 8 & 9 erhalten
0	0	Opcode				d	Register						ALU-Operationen wie bei 12- und 14-Bit-PIC
0	1	op		Bit			Register						Bit-Operationen wie bei 12- und 14-Bit-PIC
1	0	op	k										Steuerübergaben wie bei 14-Bit-PIC
1	1	Opcode			8-Bit-Immediat								Operationen mit W und 8-Bit-Literal: W ← OP(k,W)
1	1	0	op		k								MOV/IOR/AND/XOR, wie bei 12-Bit-PIC
1	1	1	0	0	k								RETLW k			W ← k, dann Rückkehr aus Unterroutine
1	1	1	0	1	k								SUBLW k	C	Z	W ← k−W (W ← k+~W+1)Reverse Engineering
1	1	1	1	0	k								INT k†			PC pushen, PC ← k (Software-Interrupt, normalerweise k=1)
1	1	1	1	1	k								ADDLW k	C	Z	W ← k+W
12	11	10	9	8	7	6	5	4	3	2	1	0	Mnemonik	C?	Z?	Beschreibung

Allgemeine Fragen zur Mikrocontroller-Firmware-Extraktion

---

• Ist es sicher, eine Zahlung an MikaTech zu senden?

  Wenn MikaTech ein schlechtes Unternehmen wäre, gäbe es im Internet massenhaft schlechte Bewertungen über seinen Service in den letzten 28 Jahren

  Also lautet die Antwort: JA! Wir sind gute Leute.

  Warum Mikatech wählen? Bitte klicken Sie hier, um es herauszufinden
  

  
  
• Kann Mikatech ICs knacken, die nicht auf dieser Website aufgeführt sind?

  Verschiedene Chip-Hersteller haben unterschiedliche Teilenummern, aber der innere Kern des Chips kann mit derselben Technologie hergestellt werden. Es wäre nahezu unmöglich, alle Teilenummern aufzulisten, auf die unsere Technologie anwendbar ist, wie z. B. MYSON, STK, FEELING, ANALOG, FUJITSU, NOVATEK, LG/HYNDAI.
  
  Durch den Fortschritt der Technologie sammeln wir täglich mehr Erfahrung und entwickeln neue Methoden für das Reverse Engineering verschiedener integrierter Schaltkreise. Die vollständige Liste der IC-Teilenummern, die in unseren Leistungsumfang fallen, wird ständig größer – bitte kontaktieren Sie uns, um mehr zu erfahren.

• Wird meine Privatsphäre geschützt?

  Mikatech Innovative Limited versteht die Bedeutung der Privatsphäre seiner Kunden. In dem Moment, in dem Sie Mikatech kontaktieren, werden Ihre persönlichen Daten durch unsere Managementrichtlinien geschützt, die aus jahrelanger Praxis entwickelt wurden. Mikatech verwendet diese Informationen, um seinen Service für Sie zu personalisieren und wird diese Daten niemals aus irgendeinem Grund an Dritte weitergeben.
  Bei jedem Projekt löschen wir alle Daten, Materialien und Codes 60 Tage nach der Auslieferung der Dateien – das schützt uns und schützt Ihre Privatsphäre.

• Ist es legal, den Service von Mikatech in Anspruch zu nehmen?

  Ja, es ist völlig legal.
  Mikatech erbringt seine Reverse-Engineering-Dienstleistungen ausschließlich zu Bildungszwecken. In einigen Ländern oder Regionen kann die Nutzung der oben genannten Dienste illegal sein – bitte überprüfen Sie Ihre lokalen Gesetze. Mikatech übernimmt keine Verantwortung im Zusammenhang mit der Nutzung der oben genannten Dienste, die als illegal angesehen werden könnte.

  
  
• Ich habe Ihnen eine E-Mail gesendet – warum gibt es keine Antwort?

  • A. Unser Mail-Server ist vorübergehend ausgefallen – Ihre Nachricht wurde nicht an unser Postfach zugestellt, auch wenn die Erfolgsmeldung angezeigt wird. Bitte kontaktieren Sie uns erneut.
  • B. Unsere E-Mail wird von Ihrem Mail-Server als Spam erkannt, daher wurde unsere Antwort von Ihrem Server abgelehnt oder in Ihren Spam-Ordner umgeleitet. Bitte entfernen Sie unser Konto aus der Spam-Liste oder überprüfen Sie Ihren Spam-Ordner, oder verwenden Sie ein anderes E-Mail-Konto (z. B. Gmail).
  • C. Ihre E-Mail wird von unserem Mail-Server als Spam erkannt, daher wurde sie in unseren Spam-Ordner verschoben. Bitte verwenden Sie ein anderes E-Mail-Konto, um uns erneut zu kontaktieren.

• Flash- und EEPROM-Dumping-Techniken für gesperrte MCUs

  Gezielte Flash- und EEPROM-Dumping-Techniken für kostengünstige gesperrte IoT-MCUs. Internet-of-Things (IoT)-Mikrocontroller sind darauf ausgelegt, ultraniedrige Materialkosten, minimalen Energieverbrauch für den Batteriebetrieb und grundlegende eingebettete Sicherheit für den Verbrauchereinsatz zu vereinen. Dieses Dreiecksdesign führt zu hybriden Sicherheitsarchitekturen, bei denen der primäre MCU-Lockbit-Lock die standardmäßigen JTAG/SWD-Debug-Schnittstellen vollständig deaktiviert, aber absichtliche und unbeabsichtigte Speicherleckpfade in peripheren Bussen und Laufzeit-Firmware-Pfaden hinterlässt. Diese Leckstellen sind keine vollständigen Sicherheitsumgehungen, aber sie ermöglichen spezielle gezielte Techniken, um Flash- und EEPROM-Speichersegmente ohne vollständige Lockbit-Umgehung oder invasive Chip-Entkapselung zu dumpen. Das Verständnis dieser semi-invasiven Dumping-Methoden ist sowohl für defensive IoT-Sicherheitsingenieure als auch für spezialisierte Mikrocontroller-Reverse-Engineering-Spezialisten unerlässlich. Die am weitesten verbreitete IoT-fokussierte Speicher-Dumping-Technik basiert auf asynchronem UART-Bus-Sniffing während der Power-On-Self-Test-Sequenz (POST) des MCUs. Alle IoT-MCUs übertragen während der Initialisierung Diagnosestatusdaten über UART, um die Peripheriefunktionalität und Speicherintegrität zu validieren, bevor die Anwendungsfirmware gestartet wird. Selbst bei aktivem MCU-Lockbit-Lock bleibt dieser diagnostische Übertragungspfad aktiviert, um Fabriktests und Felddebugging-Workflows zu unterstützen. Angreifer schließen hochbandbreitige Logikanalysatoren an den UART-Sendepin des Geräts an, um diese unverschlüsselten Diagnoseströme während des Bootvorgangs zu erfassen. Innerhalb der Ströme befinden sich segmentierte Fragmente von Flash-Speicher-Prüfsummendaten und EEPROM-Konfigurationswerten, die zu größeren Speicherblöcken rekonstruiert werden können. Eine zweite gängige Technik nutzt zeitbasierte Seitenkanalanalyse, um Speicherinhalte ohne direkten Datenübertragungszugriff zu erschließen. Variationen im Stromverbrauch und in elektromagnetischen Emissionsmustern während EEPROM- und Flash-Leseoperationen verraten einzelne Bitwerte an kalibrierte Messgeräte. Durch die Aufzeichnung tausender Laufzeit-Speicherzugriffszyklen können Angreifer statistisch vollständige Speicherseiten rekonstruieren, um Flash- und EEPROM-Arrays Segment für Segment zu dumpen. Die fragmentierten Datensätze aus UART-Sniffing und Zeitanalyse können aufgrund fehlender Segmente und Bitreihenfolge-Inkonsistenzen nicht direkt als funktionsfähige Firmware-Binärdateien verwendet werden. Erweiterte binäre Stitching-Algorithmen sind während der Nachbearbeitung des Mikrocontroller-Reverse-Engineering erforderlich, um Fragmente neu zu ordnen, fehlende Lücken mithilfe von Prüfsummen-Metadaten zu füllen und ausführbare Firmware-Abbilder zu rekonstruieren. Dieser Stitching-Prozess erfordert detaillierte Kenntnisse des Speicherseitenlayouts des Ziel-MCUs, der Bootsegmentstruktur und der Firmware-Komprimierungsalgorithmen. Viele Verbraucher-IoT-Anbieter komprimieren Firmware-Binärdateien, um Flash-Speicherplatz zu sparen, was eine zusätzliche Komplexitätsebene zur rekonstruierten Datenmenge hinzufügt. Trotz der Wirksamkeit dieser semi-invasiven Dumping-Methoden verhindert der erzwungene MCU-Lockbit-Lock immer noch den vollständigen internen Buszugriff auf hardwareisolierte Speicherzonen. Eigenständige segmentierte Dumping-Workflows haben daher nicht die Fähigkeit, Inhalte von Kryptospeichern zu kopieren, die BLE-Pairing-Schlüssel, Cloud-Authentifizierungsdaten und Secure-Boot-Hashes speichern. Kryptospeicherzonen sind elektrisch vom UART-Bus und den Zeitmessdomänen isoliert, wodurch Seitenkanal-Sniffing gegen diese hochsicheren Partitionen unwirksam wird. Um kryptografisches Material nach erfolgreichem Benutzerspeicher-Dumping abzurufen, müssen Angreifer Folge-Entkapselungs- und Code-Wiederherstellungsoperationen einleiten, die nur auf die kleine Kryptospeicher-Die-Region abzielen. Diese gezielte Entkapselung ist weitaus kostengünstiger als die vollständige Die-Verarbeitung, da zuvor gedumpte Speicherdaten die genaue physische Position der Kryptoschaltkreise auf der Siliziumoberfläche preisgeben. Defensive IoT-Sicherheitsteams haben spezifische Minderungsstrategien entwickelt, um semi-invasives Speicher-Dumping auf gesperrten Geräten zu blockieren. Die wirkungsvollste Kontrolle besteht darin, alle UART-Diagnoseübertragungspfade in Produktions-Firmware-Builds zu deaktivieren und so den primären Vektor für Bootzeit-Daten-Sniffing zu entfernen. Entwickler können auch den Speicherzugriffszeitpunkt randomisieren, um konsistente elektromagnetische Muster zu eliminieren, die eine zeitbasierte Seitenkanal-Dateninferenz ermöglichen. Dynamisches Speicherseiten-Remapping zur Laufzeit stört die festen Adresssequenzen, die von Stitching-Algorithmen zur Rekonstruktion fragmentierter Dumps verwendet werden. Die Stärkung der MCU-Lockbit-Lock-Partitionierung zur Deaktivierung verbleibender Fabriktestmodi beseitigt versteckte Peripheriepfade, die Speicherfragmente lecken. Die Einschränkung des Auslesens von EEPROM-Prozessor-Debug-Registern verhindert, dass Angreifer Metadaten abrufen, die bei der Speichersegment-Rekonstruktion helfen. Firmware-Verschlüsselung mit geräteeindeutigen Schlüsseln stellt sicher, dass selbst wenn Flash-Daten erfolgreich gedumpt werden, die Binärdatei ohne den isolierten Kryptoschlüssel unausführbar und unverständlich bleibt. Regelmäßige OTA-Sicherheitsupdates können Laufzeit-Firmware-Lücken patchen, die vorübergehende Speicherzugriffspfade während spezieller Betriebsmodi freilegen. Sicherheitstests für IoT-Geräte müssen Seitenkanal-Leckagebewertungen umfassen, um unauffällige Speicheremissionsmuster vor der Massenbereitstellung zu identifizieren. Durch die Implementierung dieser mehrschichtigen Gegenmaßnahmen können Hersteller die häufigsten semi-invasiven Dumping-Techniken neutralisieren und eine unbefugte End-to-End-Firmware-Extraktion auf kostengünstigen gesperrten IoT-MCU-Flotten verhindern.