Обратная разработка MCU

Программируемое логическое устройство (ПЛУ) — это электронный компонент, используемый для создания реконфигурируемых цифровых схем. В отличие от логического вентиля с фиксированной функцией, ПЛУ на момент изготовления не имеет определённой функции. Прежде чем ПЛУ можно будет использовать в схеме, его необходимо запрограммировать, то есть реконфигурировать.

До изобретения ПЛУ для создания произвольных комбинационных логических функций от числа входов использовались микросхемы постоянной памяти (ПЗУ). Рассмотрим ПЗУ с m входами (адресные линии) и n выходами (линии данных). При использовании в качестве памяти ПЗУ содержит 2m слов по n бит каждое.

Теперь представьте, что входы управляются не m-разрядным адресом, а m независимыми логическими сигналами. Теоретически существует 22m возможных булевых функций от этих m входных сигналов. Под булевой функцией в данном контексте подразумевается одна функция, которая отображает каждую из 2m возможных комбинаций m булевых входов в один булевый выход. Существует 22m различных способов отображения каждого из 2m входов в булево значение, что объясняет, почему существует 22m таких булевых функций от m входов.

Теперь рассмотрим, что каждый из n выходных выводов действует независимо как логическое устройство, специально выбранное для выборки только одной из возможных 22m таких функций. В любой момент времени на ПЗУ может присутствовать только одно из 2m возможных входных значений, но со временем, по мере того как входные значения охватывают всю свою возможную область, каждый выходной вывод будет отображать свою конкретную функцию от 2m возможных входных значений из числа 22m возможных таких функций. Обратите внимание, что структура ПЗУ позволяет выдавать на выходные выводы только n из 22m возможных булевых функций. Таким образом, ПЗУ становится эквивалентом n отдельных логических схем, каждая из которых генерирует выбранную функцию от m входов.

Преимущество использования ПЗУ таким образом заключается в том, что любая мыслимая функция от всех возможных комбинаций m входов может быть получена на любом из n выходов, что делает это наиболее универсальным комбинационным логическим устройством для m входных и n выходных выводов.

Кроме того, существуют ППЗУ (программируемые ПЗУ), СППЗУ (стираемые ультрафиолетом ППЗУ) и ЭСППЗУ (электрически стираемые ППЗУ), которые можно программировать с помощью стандартного программатора ПЗУ без необходимости в специальном оборудовании или программном обеспечении. Однако есть несколько недостатков:

они обычно намного медленнее специализированных логических схем,
они не могут обязательно обеспечить безопасное «покрытие» для асинхронных логических переходов, поэтому выходы ПЗУ могут давать сбои при переключении входов,
они потребляют больше энергии,
они часто дороже программируемой логики, особенно если требуется высокая скорость.
Поскольку большинство ПЗУ не имеют входных или выходных регистров, их нельзя использовать автономно для последовательной логики. Для последовательных схем, таких как конечные автоматы, часто использовался внешний ТТЛ-регистр. Обычные СППЗУ, например 2716, иногда всё ещё используются таким образом энтузиастами, у которых они часто есть под рукой. Такое использование иногда называют «PAL для бедных».

Ранние программируемые логические устройства
В 1969 году Motorola предложила XC157 — маскируемую вентильную матрицу с 12 вентилями и 30 незакреплёнными выводами ввода/вывода.[1]

В 1970 году Texas Instruments разработала программируемую маской ИС на основе ассоциативной памяти только для чтения IBM (ROAM). Это устройство, TMS2000, программировалось путём изменения металлического слоя во время производства ИС. TMS2000 имел до 17 входов и 18 выходов с 8 JK-триггерами для памяти. TI ввела термин «программируемая логическая матрица» для этого устройства.[2]

В 1971 году General Electric Company (GE) разрабатывала программируемое логическое устройство на основе новой технологии ППЗУ. Это экспериментальное устройство улучшало ROAM от IBM, позволяя многоуровневую логику. Intel только что представила плавающим затвором УФ-стираемое ППЗУ, поэтому исследователь из GE использовал эту технологию. Устройство GE было первым стираемым ПЛУ, опередив Altera EPLD более чем на десятилетие. GE получила несколько ранних патентов на программируемые логические устройства.[3][4][5]

В 1973 году National Semiconductor представила маскируемое ПЛУ (DM7575) с 14 входами и 8 выходами без регистров памяти. Это было более популярно, чем деталь TI, но стоимость изготовления металлической маски ограничивала его использование. Это устройство важно, потому что оно послужило основой для программируемой логической матрицы, выпущенной Signetics в 1975 году — 82S100. (Intersil фактически опередила Signetics, но низкий выход годных изделий погубил их деталь.)[6][7]

В 1974 году GE заключила соглашение с Monolithic Memories о разработке маскируемого программируемого логического устройства, использующего инновации GE. Устройство было названо «Programmable Associative Logic Array» или PALA. MMI 5760 был завершён в 1976 году и мог реализовывать многоуровневые или последовательные схемы из более чем 100 вентилей. Устройство поддерживалось средой проектирования GE, где булевы уравнения преобразовывались в маски для конфигурации устройства. Деталь так и не была выпущена на рынок.[8]

PLA (программируемая логическая матрица)
В 1970 году Texas Instruments разработала программируемую маской ИС на основе ассоциативной памяти только для чтения IBM (ROAM). Это устройство, TMS2000, программировалось путём изменения металлического слоя во время производства ИС. TMS2000 имел до 17 входов и 18 выходов с 8 JK-триггерами для памяти. TI ввела термин «программируемая логическая матрица» для этого устройства.[2]

Программируемая логическая матрица (PLA) имеет программируемую матрицу И, которая соединяется с программируемой матрицей ИЛИ, которая затем может быть условно инвертирована для получения выхода.

PAL (программируемая матричная логика)
Устройства PAL имеют массивы транзисторных ячеек, расположенных в плоскости «фиксированное ИЛИ, программируемое И», используемой для реализации булевых логических уравнений в виде «суммы произведений» для каждого из выходов в зависимости от входов и синхронной или асинхронной обратной связи от выходов.

MMI представила прорывное устройство в 1978 году — Programmable Array Logic или PAL. Архитектура была проще, чем у Signetics FPLA, поскольку она опускала программируемую матрицу ИЛИ. Это сделало детали быстрее, меньше и дешевле. Они выпускались в 20-выводных 300-миловых DIP-корпусах, в то время как FPLA поставлялись в 28-выводных 600-миловых корпусах. Справочник PAL упростил процесс проектирования. Программное обеспечение PALASM (PAL Assembler) преобразовывало булевы уравнения инженеров в схему перемычек, необходимую для программирования детали. Вскоре устройства PAL были выпущены по лицензии National Semiconductor, Texas Instruments и AMD.

После того как MMI добилась успеха с 20-выводными PAL, AMD представила 24-выводный 22V10 PAL с дополнительными функциями. После покупки MMI (1987) AMD выделила консолидированную операцию как Vantis, и этот бизнес был приобретён Lattice Semiconductor в 1999 году.

GAL (обобщённая матричная логика)
Новаторством PAL стало устройство обобщённой матричной логики, или GAL, изобретённое Lattice Semiconductor в 1985 году. Это устройство имеет те же логические свойства, что и PAL, но может быть стёрто и перепрограммировано. GAL очень полезен на этапе прототипирования разработки, когда любые ошибки в логике могут быть исправлены перепрограммированием. GAL программируются и перепрограммируются с помощью программатора PAL или с использованием метода внутрисхемного программирования на поддерживающих микросхемах.

GAL от Lattice сочетают КМОП-технологию и электрически стираемые (E2) ячейки с плавающим затвором для высокоскоростного маломощного логического устройства.

Аналогичное устройство, называемое PEEL (программируемая электрически стираемая логика), было представлено International CMOS Technology (ICT).

CPLD (сложное программируемое логическое устройство)
PAL и GAL доступны только в небольших размерах, эквивалентных нескольким сотням логических вентилей. Для более крупных логических схем можно использовать сложные ПЛУ или CPLD. Они содержат эквивалент нескольких PAL, связанных программируемыми межсоединениями, все в одной интегральной схеме. CPLD могут заменить тысячи или даже сотни тысяч логических вентилей.

Некоторые CPLD программируются с помощью программатора PAL, но этот метод становится неудобным для устройств с сотнями выводов. Второй метод программирования — припаять устройство к печатной плате, а затем подавать на него последовательный поток данных от персонального компьютера. CPLD содержит схему, которая декодирует поток данных и настраивает CPLD для выполнения заданной логической функции.

FPGA (программируемые вентильные матрицы)
В то время как PAL развивались в GAL и CPLD (все обсуждались выше), происходило отдельное развитие. Этот тип устройств основан на технологии вентильных матриц и называется программируемой вентильной матрицей (FPGA). Ранними примерами FPGA являются массив 82s100 и секвенсор 82S105 от Signetics, представленные в конце 1970-х годов. 82S100 был массивом термов И. 82S105 также имел функции триггеров.

FPGA используют сетку логических вентилей, и после сохранения данные не изменяются, аналогично обычной вентильной матрице. Термин «программируемый в полевых условиях» означает, что устройство программируется заказчиком, а не производителем.

FPGA обычно программируются после припаивания к плате, аналогично большим CPLD. В большинстве крупных FPGA конфигурация является энергозависимой и должна перезагружаться в устройство при каждом включении питания или при изменении функциональности. Конфигурация обычно хранится в конфигурационном ПЗУ или EEPROM. Версии с EEPROM могут быть внутрисхемно программируемыми (обычно через JTAG).

Различие между FPGA и CPLD заключается в том, что FPGA внутренне основаны на таблицах поиска (LUT), тогда как CPLD формируют логические функции с помощью «моря вентилей» (например, суммы произведений). CPLD предназначены для более простых схем, в то время как FPGA — для более сложных. Как правило, CPLD являются хорошим выбором для широких комбинационных логических приложений, тогда как FPGA более подходят для больших конечных автоматов (например, микропроцессоров).

Другие варианты
В настоящее время большой интерес вызывают реконфигурируемые системы. Это микропроцессорные схемы, которые содержат некоторые фиксированные функции и другие функции, которые могут быть изменены кодом, выполняемым на процессоре. Разработка самоизменяющихся систем требует от инженеров изучения новых методов и разработки новых программных инструментов.

Сейчас продаются ПЛУ, которые содержат микропроцессор с фиксированной функцией (так называемое ядро), окружённый программируемой логикой. Эти устройства позволяют разработчикам сосредоточиться на добавлении новых функций в проекты, не беспокоясь о работе микропроцессора.

Как ПЛУ сохраняют свою конфигурацию
ПЛУ представляет собой комбинацию логического устройства и устройства памяти. Память используется для хранения шаблона, который был передан чипу во время программирования. Большинство методов хранения данных в интегральных схемах были адаптированы для использования в ПЛУ. К ним относятся:

Кремниевые антиперемычки
SRAM
Ячейки EPROM или EEPROM
Флэш-память
Кремниевые антиперемычки — это соединения, которые создаются путём приложения напряжения через модифицированную область кремния внутри чипа. Они называются антиперемычками, потому что работают противоположным образом по сравнению с обычными предохранителями, которые начинают свою жизнь как соединения и разрываются электрическим током.

SRAM, или статическое ОЗУ, является энергозависимым типом памяти, что означает, что её содержимое теряется при каждом выключении питания. Поэтому ПЛУ на основе SRAM должны программироваться каждый раз при включении схемы. Обычно это делается автоматически другой частью схемы.

Ячейка EPROM fib фокусированный ионный пучок цена — это МОП-транзистор, который может быть включён путём захвата электрического заряда на его затворе. Это делается с помощью программатора PAL. Заряд остаётся в течение многих лет и может быть удалён только путём облучения чипа сильным ультрафиолетовым светом в устройстве, называемом стирателем EPROM.

Флэш-память является энергонезависимой и сохраняет своё содержимое даже при выключении питания. Она может быть стёрта и перепрограммирована по мере необходимости. Это делает её полезной для памяти ПЛУ.

По состоянию на 2005 год большинство CPLD являются электрически программируемыми и стираемыми, а также энергонезависимыми. Это связано с тем, что они слишком малы, чтобы оправдать неудобство программирования внутренних SRAM-ячеек при каждом запуске, а ячейки EPROM дороже из-за керамического корпуса с кварцевым окном.

Языки программирования ПЛУ
Многие устройства программирования PAL принимают входные данные в стандартном формате, обычно называемом «файлами JEDEC». Они аналогичны компиляторам программного обеспечения. Языки, используемые в качестве исходного кода для логических компиляторов, называются языками описания аппаратуры (HDL).

PALASM, ABEL и CUPL часто используются для малосложных устройств, в то время как Verilog и VHDL являются популярными языками описания более высокого уровня для более сложных устройств. Более ограниченный ABEL часто используется по историческим причинам, но для новых проектов VHDL более популярен, даже для малосложных проектов.

Для современных языков программирования ПЛУ, процессов проектирования и инструментов см. FPGA и реконфигурируемые вычисления.

Устройства программирования ПЛУ
Программатор устройств используется для переноса булевой логической схемы в программируемое устройство. На заре программируемой логики каждый производитель ПЛУ также выпускал специализированный программатор для своего семейства логических устройств. Позже на рынок вышли универсальные программаторы, которые поддерживали несколько семейств логических устройств от разных производителей. Сегодняшние программаторы обычно могут программировать распространённые ПЛУ (в основном эквиваленты PAL/GAL) от всех существующих производителей. Распространёнными форматами файлов для хранения булевой логической схемы (перемычек) являются JEDEC, Altera POF (Programmable Object File) или Xilinx BITstream.

Хотя ПЛУ изначально были разработаны для реконфигурируемой логики, их аспекты безопасности стали всё более важными. Многие современные системы используют микроконтроллер (MCU) вместе с ПЛУ для обработки чувствительных операций, и конфигурационные данные, хранящиеся во внутренней памяти ПЛУ, часто так же ценны, как и сама прошивка. Обратная разработка конфигураций ПЛУ стала специализированной областью, где злоумышленники пытаются считать карту перемычек или битовый поток, определяющий логическую функцию. В некоторых случаях конфигурационная память (будь то EEPROM, флэш или SRAM) может быть извлечена и проанализирована для дублирования всей конструкции. Это особенно критично, когда ПЛУ содержит проприетарные алгоритмы или ключи безопасности, защищающие всю систему. Механизм блокировки, если он присутствует, предназначен для предотвращения несанкционированного считывания конфигурации, но он не всегда надёжен. Злоумышленники использовали методы декапсуляции для вскрытия кристалла и последующего зондирования внутренних предохранителей для разблокировки устройства. После разблокировки становится возможным полное извлечение прошивки конфигурации ПЛУ, что позволяет конкурентам клонировать продукт. Восстановление конфигурационных данных из устаревших ПЛУ является законной потребностью, но те же методы могут быть использованы для злонамеренного дублирования. В области CPLD и FPGA битовый поток часто хранится во внешней EEPROM, которая может быть перехвачена и дублирована, если связь не зашифрована. Некоторые производители реализовали функцию блокировки, привязывающую конфигурацию к конкретному идентификатору устройства, но её можно обойти с помощью продвинутой обратной разработки. Историческое использование ячеек EPROM с УФ-стиранием делало их уязвимыми для оптических атак, аналогичных бэкдорам, найденным в ранних микроконтроллерах. Современные ПЛУ на основе флэш-памяти имеют лучшую защиту, но они всё ещё восприимчивы к атакам по побочным каналам, которые раскрывают информацию о состояниях предохранителей. Конечной целью любого усилия по обратной разработке является получение полного считывания логической схемы, которую затем можно симулировать или перепрограммировать в пустое устройство. Этот процесс аналогичен операции дампа флэш-памяти на микроконтроллере, когда извлекается весь код памяти. Во многих встраиваемых системах ПЛУ работает вместе с MCU, и оба должны быть защищены для предотвращения полной компрометации системы. Одна слабая точка, такая как незащищённый конфигурационный вывод, может позволить злоумышленнику считать внутренние регистры ПЛУ. Предохранители безопасности в ПЛУ обычно программируются один раз, но если они не полностью верифицированы, они могут оставаться в состоянии, допускающем последующую модификацию. Некоторые инженеры случайно оставляли включёнными тестовые режимы, которые позволяют легко считывать конфигурацию через JTAG. Поэтому тщательное тестирование и окончательная проверка предохранителей критичны в производственном процессе. В случае потери пароля или повреждения конфигурации законным пользователям может потребоваться процедура восстановления, но для этого часто требуются специальные коды доступа или физическое вмешательство. Задача состоит в том, чтобы сбалансировать лёгкость восстановления и защиту от несанкционированного дублирования. Многие организации теперь требуют, чтобы их проекты ПЛУ шифровались перед сохранением во внешней памяти, чтобы даже если битовый поток будет перехвачен, его нельзя было использовать напрямую. Однако сам ключ шифрования должен храниться надёжно, часто в отдельной EEPROM или батарейной ОЗУ. Бит блокировки в ПЛУ может управлять доступом к функции обратного чтения, но если устройство декапсулировано, злоумышленник может напрямую измерить состояния антиперемычек. Декапсуляция — это инвазивный метод, разрушающий корпус, но он обеспечивает беспрецедентную видимость внутренней структуры. После вскрытия кристалла конфигурационные предохранители могут быть оптически или электрически считаны, что позволяет полностью восстановить логику. Такой уровень атаки дорог, но осуществим для интеллектуальной собственности высокой стоимости. Следовательно, разработчики переходят к FPGA на основе SRAM, которые загружают конфигурацию из внешнего источника при каждом включении питания, так как они не содержат постоянного состояния предохранителей, которое можно считать. Однако это создаёт другую уязвимость: поток конфигурации может быть перехвачен во время загрузки. Для противодействия этому некоторые FPGA используют встроенный механизм дешифрования, требующий батарейного ключа, который стирается при обнаружении вмешательства. Эти методы заимствованы из области защищённых микроконтроллеров, где биты блокировки и шифрование являются стандартной практикой. Постоянная эволюция как технологии ПЛУ, так и методов атак гарантирует, что безопасность остаётся подвижной целью. Для любителей дублирование простого дизайна PAL или GAL из известного файла JEDEC является обычным упражнением. Но для коммерческих продуктов ставки намного выше, и любое нарушение может привести к значительным финансовым потерям. Уроки, извлечённые из обратной разработки старых ПЛУ, были учтены при проектировании современных более надёжных устройств. Резюмируя, хотя ПЛУ предлагают большую гибкость, их конфигурация должна быть защищена с той же строгостью, что и прошивка MCU. Интеграция ПЛУ с микроконтроллерами создаёт мощную платформу, но также расширяет поверхность атаки. Поэтому системные архитекторы должны учитывать как логическую, так и физическую безопасность каждого программируемого элемента. Регулярные аудиты безопасности, включая попытки считывания конфигурации как программными, так и аппаратными методами, необходимы. Область безопасности ПЛУ продолжает развиваться, и мы можем ожидать ещё более сильной защиты в будущих поколениях.

Стоит отметить, что конфигурационные предохранители во многих CPLD реализованы как транзисторы с плавающим затвором, аналогичные ячейкам EEPROM. Эти ячейки могут быть стёрты ультрафиолетовым светом, если корпус имеет окно, поэтому оконные версии сейчас редки. Однако даже в непрозрачных корпусах мотивированный злоумышленник может выполнить декапсуляцию, удалить компаунд и затем использовать УФ-лампу для сброса предохранителей. Это идентично атаке на PIC16C84 и другие ранние микроконтроллеры. После очистки предохранителей устройство фактически становится разблокированным, и возможно полное считывание внутренней логики. Эта уязвимость была хорошо известна в 1990-х годах и побудила отрасль принять лучшие пассивирующие слои и антивандальные покрытия. Сегодняшние ПЛУ часто включают металлический экран над областью предохранителей для блокировки УФ-излучения и оптического зондирования. Кроме того, некоторые устройства имеют встроенные датчики, обнаруживающие попытки декапсуляции и немедленно стирающие конфигурацию. Эти активные защиты аналогичны тем, что используются в высокозащищённых микроконтроллерах. Стоимость такой защиты оправдана для военных, аэрокосмических и финансовых приложений. Для менее критичных применений могут подойти стандартные биты блокировки, но важно понимать их ограничения. Во всех случаях действует фундаментальный принцип: если злоумышленник имеет физический доступ и достаточные ресурсы, блокировка в конечном счёте может быть преодолена. Поэтому лучшая стратегия — исходить из того, что конфигурация в конечном счёте будет извлечена, и проектировать систему соответствующим образом. Это может включать удалённую аутентификацию, обфускацию кода во время выполнения или периодическую ротацию ключей. Сообщество обратной разработки опубликовало многочисленные примеры успешных атак на ПЛУ, которые служат ценным образовательным ресурсом. Изучая их, инженеры могут научиться избегать распространённых ошибок. Взаимосвязь между аппаратной и программной безопасностью сложна, но она необходима для создания надёжных систем. По мере того как ПЛУ становятся всё более мощными и повсеместными, их защита останется главным приоритетом как для производителей, так и для пользователей.