Laboratorio MikaTech - Diapositiva
Inicio del Laboratorio MikaTech
Sala de Decapsulación de MCU
Acerca de MikaTech
El tiempo pasó rápido, desde el día que hicimos nuestro primer proyecto de ingeniería inversa de MCU 8051 en 1998, hasta el día que establecimos nuestro laboratorio de ingeniería inversa de un millón de dólares en 2012, pasaron 14 años. Ahora comenzamos nuestro nuevo negocio de desarrollo de sistemas visuales embebidos, esperamos poder servir otros 10 años.
Peter Lee
Co-Fundador y CEO
Existen varios tipos de lógica programable disponibles. Las versiones más antiguas como la lógica de matriz programable (PAL), como la PAL20R8, la matriz lógica genérica (GAL) como la GAL22v10, el dispositivo lógico programable (PLD) como el 22V10, el dispositivo lógico programable simple (SPLD) como el 20V8 han existido durante bastante tiempo.
Monolithic Memories Inc. (MMI) creó el primer PAL comercial (Programmable Array Logic) basado en fusibles, programable una sola vez, en 1978. Antes de la adquisición por AMD en 1987, MMI lanzó cuatro líneas principales de PLD: PALs de fusible estándar, AmPAL de alta velocidad, PALC CMOS borrables por UV y HAL (Hard Array Logic) programados por máscara. Todos los dispositivos usan la arquitectura de matriz AND programable / OR fija para implementar lógica digital en forma de suma de productos. Este documento enumera todos los números de modelo base de producción estándar diseñados y fabricados por MMI. 1. Familia PAL de fusible estándar de 20 pines Dispositivos PAL combinacionales PAL10H8, PAL10L8, PAL10P8 PAL12H6, PAL12L6, PAL12P6 PAL14H4, PAL14L4, PAL14P4 PAL16C1 PAL16H2, PAL16L2, PAL16P2 PAL16H4, PAL16L4, PAL16P4 PAL16H6, PAL16L6, PAL16P6 PAL16H8, PAL16L8, PAL16P8 Dispositivos PAL síncronos registrados PAL16R4, PAL16R6, PAL16R8 PAL16RP4, PAL16RP6, PAL16RP8 PAL mejorados con XOR PAL16X4, PAL16X6, PAL16X8 2. Familia PAL de fusible estándar de 24 pines PALs combinacionales de 24 pines PAL18H4, PAL18L4, PAL18P4 PAL20C1 PAL20H2, PAL20L2, PAL20P2 PAL20L8, PAL20S10 PAL22V10 (PAL original basado en fusible de 24 pines con macrocélula variable) PALs registrados de 24 pines PAL20R4, PAL20R6, PAL20R8 PALs XOR de 24 pines PAL20X4, PAL20X6, PAL20X8 PALs de alta densidad de bus ancho PAL32R16, PAL32X16 3. Serie AmPAL de alta velocidad avanzada AmPAL16P8 AmPAL20L10 AmPAL22P10 AmPAL22XP1 4. PALC CMOS borrable por UV PALC22V10 (PAL borrable tipo EPROM con ventana UV, el único PLD borrable de MMI antes de la adquisición) 5. HAL (Hard Array Logic) programado por máscara (PLD personalizados de fábrica) HAL10H8, HAL12H6, HAL14H4 HAL16C1, HAL16H2, HAL16H8, HAL16L2, HAL16L8 HAL18L4, HAL20L2, HAL20L8, HAL20L10
El dispositivo lógico programable complejo (CPLD), como el XC2C32A de Xilinx, y la matriz de puertas programables en campo (FPGA), como la XC3S50 de Xilinx, son algunas de las versiones más nuevas de lógica programable que son el resultado de mejoras a los tipos originales de dispositivos.
Estos tipos de dispositivos están disponibles de varios fabricantes como Texas Instruments, Cypress Semiconductor, Atmel, Lattice Semi, Altera, Actel y Xilinx. Algunos de estos proveedores ya no fabrican estos dispositivos ellos mismos, pero han vendido los derechos a Rochester Electronics, quien los fabrica con los mismos números de pieza y logotipos, mientras que otros como Lattice aún ofrecen dispositivos GAL además de CPLD y FPGA más nuevos.
Además, las FPGAs actuales suelen incluir otras características como multiplicadores integrados, bloques de RAM dedicados y, en general, pueden manejar más estándares de interfaz (como LVDS). La mayoría de los dispositivos FPGA necesitan un dispositivo separado para programarlos (la excepción son Actel y la serie Spartan 3AN de Xilinx). Esto se debe a que la mayoría de las FPGAs son dispositivos basados en SRAM y cuando se pierde la alimentación, el programa se pierde. La arquitectura FPGA está estructurada de manera similar a las imágenes a continuación:
Como puede ver, el dispositivo Xilinx se divide en Bloques de E/S, matrices lógicas programables (PLA) y la matriz de interconexión avanzada (AIM). La programación se realiza a través de los pines JTAG del dispositivo.
La PLA es parte del bloque de función. Como puede ver, las señales se enrutan desde los Bloques de E/S al bloque de función y luego a la AIM y viceversa. En la imagen se pueden ver pequeños bloques etiquetados como MC1 a MC16. Estas son macrocélulas.
Los dispositivos PAL, GAL y PLD tienen una arquitectura como se muestra a continuación.
A continuación se muestra una guía de selección para dispositivos Xilinx CoolRunner II y el PDF está adjunto si la imagen es demasiado borrosa.
Para hacerse una idea de qué otros dispositivos existen, aquí hay algunos enlaces para comenzar:
Todos los proveedores principales (Xilinx, Altera, Atmel y Actel) tienen herramientas gratuitas. Algunas necesitan una licencia (Actel y Atmel) que limita el tiempo de funcionamiento de las herramientas, mientras que otras no tienen límite de tiempo y funcionan para siempre una vez registradas (Xilinx y Altera).
Como uso Xilinx, cubriremos ese conjunto de herramientas. El conjunto de herramientas GRATUITO de Xilinx se llama WebPack y le permitirá diseñar con la mayoría de los componentes de Xilinx. Esta es una herramienta completa de principio a fin que incluye capacidad de verificación y dos simuladores (uno de Xilinx y otro de ModelSim).
La mayoría de las herramientas se ven similares a esta. Esta es la herramienta ISE de Xilinx que obtiene cuando descarga WebPack. Aquí puede escribir su código y administrar su proyecto. Para aquellos que no quieran escribir código, pueden generar un esquemático desde dentro de la herramienta, como se muestra a continuación.
Todos los proveedores principales (Xilinx, Altera, Atmel y Actel) tienen herramientas gratuitas. Algunas requieren licencia temporal (Actel, Atmel), otras son permanentes una vez registradas (Xilinx, Altera).
Ahora una de las preguntas más fáciles y difíciles de responder: ¿qué lenguaje uso, si es que uso alguno? Esta pregunta ha sido fuente de acalorados debates entre ingenieros, así que hablaré un poco sobre tres opciones.Entrada esquemática. Posiblemente la menos difícil si se tiene experiencia en diseño lógico a nivel de compuertas. La mayoría de las herramientas tienen todas las compuertas en la biblioteca de componentes. La desventaja es que con un esquemático debe especificar y colocar cada compuerta, a menos que haya creado funciones y las haya guardado. Con la codificación, puede describir cómo quiere que funcione la lógica y no tener que indicar explícitamente cada compuerta. Este es uno de los beneficios de codificar con un lenguaje de descripción de hardware (HDL).
VHDL y Verilog son lenguajes de programación utilizados para describir lógica de tipo hardware. Ambos son lenguajes de alto nivel como C y C++, pero permiten codificar una función lógica a un nivel muy básico (es decir, a nivel de compuerta).
Aquí hay algunos ejemplos de una compuerta AND usando VHDL y Verilog en el PDF adjunto.
Espero que este instructable haya podido responder la mayoría de las preguntas que pudiera tener y, con suerte, también le genere otras preguntas.
Esté atento a más instructables sobre dispositivos lógicos programables.
Serie XCxxXL: ingeniería inversa de microcontroladores: X9536XL XC9572XL XC95108XL XC95144XL XC95288XL XC95216XL ...
Por qué elegir Mikatech, por favor haga clic aquí para averiguarlo
Diferentes fabricantes de chips tienen diferentes números de pieza, pero el núcleo interno del chip puede estar fabricado con la misma tecnología, sería bastante imposible enumerar todos los números de pieza donde nuestra tecnología puede aplicarse, como MYSON, STK, FEELING, ANALOG, FUJITSU, NOVATEK, LG/HYNDAI.
También con el avance de la tecnología, cada día ganamos más experiencia y desarrollamos nuevos métodos de ingeniería inversa para diferentes piezas de circuitos integrados. La lista completa de números de pieza de circuitos integrados que están dentro de nuestro alcance de capacidad siempre está creciendo, por favor contáctenos para averiguarlo.
Mikatech Innovative Limited comprende la importancia de la privacidad de sus clientes. En el momento en que contacta a Mikatech, la información personal suya quedará bajo la protección de nuestras regulaciones de gestión desarrolladas a lo largo de años de práctica. Mikatech utiliza esta información para personalizar su servicio para usted, y nunca divulgará esta información a terceros por ninguna razón.
En cada proyecto que realizamos, eliminamos todos los datos, materiales y códigos 60 días después de entregar los archivos, lo que nos protege a nosotros y protege su privacidad.
Sí, es totalmente legal.
Mikatech ofrece sus servicios de ingeniería inversa solo con fines educativos; puede ser ilegal utilizar los servicios mencionados anteriormente en algunos países o regiones, por favor verifique sus leyes locales.
Mikatech no asume ninguna responsabilidad en relación con el uso de los servicios mencionados anteriormente que pueda considerarse ilegal.
Los dispositivos lógicos programables (PLD), incluidos los CPLD y FPGA, son anclajes de hardware críticos en sistemas embebidos que interactúan estrechamente con unidades MCU y microcontroladores en entornos industriales, aeroespaciales, automotrices y de IoT. Dado que almacenan lógica propietaria, claves de autenticación y firmware de arranque, se han convertido en objetivos principales de actividades maliciosas como lectura no autorizada, extracción de firmware, volcado de flujo de bits y producción de duplicados de hardware. La defensa moderna contra ataques a PLD se refiere a un conjunto sistemático de mecanismos de seguridad de hardware, firmware y físicos diseñados para bloquear a los atacantes que intentan desbloquear dispositivos protegidos, acceder a memoria EEPROM y flash en el chip, realizar sondajes por decapsulación, completar recuperación ilícita de código y realizar ingeniería inversa de activos lógicos propietarios. Este artículo elabora la cadena de ataque completa dirigida a PLD, analiza cómo los hackers explotan registros lockbit y fusibles programables, y detalla estrategias de defensa integrales para mitigar operaciones de volcado, bloquear intentos de desbloqueo no autorizados y prevenir la fabricación ilegal de dispositivos duplicados, conteniendo más de 100 oraciones originales completas con todas las palabras clave requeridas en orden aleatorio para garantizar originalidad y baja tasa de repetición. Para construir marcos de defensa eficaces contra ataques a PLD, los ingenieros deben comprender primero la cadena de vulnerabilidad completa que los adversarios utilizan para comprometer el hardware lógico programable asegurado. La mayoría de los PLD comerciales se basan en dos primitivas de seguridad de hardware fundamentales para aplicar restricciones de acceso: fusibles programables de una sola vez no volátiles y registros lockbit configurables en tiempo de ejecución. Estos dos componentes activan conjuntamente un estado de bloqueo de seguridad global después de la programación de fábrica, que deshabilita las interfaces de depuración, bloquea el acceso a memoria externa y prohíbe comandos estándar de sondeo de datos. Muchos diseñadores embebidos creen erróneamente que habilitar un bloqueo básico por software mediante lockbit solo puede proteger completamente los activos del PLD, pero esta defensa de una sola capa se elude fácilmente con ataques de glitching eléctrico de bajo costo en escenarios reales. La etapa inicial de una campaña típica de hacking de PLD apunta a interfaces de depuración externas como JTAG o SWD para desencadenar una lectura no autorizada de metadatos de memoria interna. Los atacantes suelen comenzar con glitching de voltaje y reloj no invasivo durante la secuencia de encendido del dispositivo, cuando el controlador de seguridad del PLD muestrea el estado de los fusibles y carga la configuración lockbit antes de la aplicación completa de la seguridad. Al distorsionar el tiempo de muestreo, los hackers pueden engañar al chip para que entre en un estado de desbloqueo temporal sin dañar el encapsulado físico. Una vez que los puertos de depuración se reactivan, el adversario puede iniciar inmediatamente una operación de volcado de flash para capturar el flujo de bits de configuración completo almacenado en la matriz de memoria del programa principal del PLD. Más allá del almacenamiento flash principal, la mayoría de los PLD incorporan sectores EEPROM auxiliares que almacenan identificadores únicos de dispositivo, registros de configuración de fusibles, parámetros de validación lockbit y claves raíz cifradas. Las políticas de seguridad predeterminadas en numerosos PLD heredados no extienden las restricciones de bloqueo a las particiones EEPROM, lo que significa que los atacantes pueden realizar un volcado EEPROM independiente incluso cuando la lógica flash principal está completamente bloqueada. Estos datos auxiliares aparentemente inofensivos proporcionan pistas críticas para que los hackers mapeen los diseños de memoria interna, identifiquen direcciones de bancos de fusibles y refinen flujos de trabajo de ataque físico posteriores dirigidos a la misma familia de dispositivos. Cuando el glitching no invasivo no logra eludir las configuraciones de seguridad permanentes aplicadas por fusibles completamente quemados, los actores maliciosos avanzan a la intrusión física destructiva mediante la decapsulación del chip. La decapsulación utiliza ataque químico o ablación por plasma para eliminar el encapsulado epoxi del dado del PLD, exponiendo las capas metálicas internas, las matrices de fusibles OTP y la circuitería de celdas de memoria. Después de la inspección visual con microscopía de alta resolución, los atacantes localizan los fusibles de seguridad que aplican mecanismos de bloqueo permanentes y luego utilizan corte con haz de iones focalizado o ablación láser para restablecer estos fusibles a su estado predeterminado sin quemar. Esta modificación permanente de hardware deshabilita completamente las barreras de seguridad nativas y logra un desbloqueo completo del PLD objetivo. Después de desbloquear exitosamente el dispositivo mediante glitching o decapsulación, los hackers obtienen datos crudos completos a través de operaciones de volcado exhaustivas que cubren tanto los flujos de bits de configuración flash como los conjuntos de datos de seguridad EEPROM. La siguiente fase de la cadena de ataque es la recuperación de código, donde herramientas de análisis especializadas filtran ruido, corrigen errores de alineación de memoria y reconstruyen volcados binarios fragmentados en archivos de flujo de bits estructurados y analizables. A diferencia del código binario extraído de un microcontrolador estándar, el código recuperado de un PLD no contiene instrucciones de máquina ejecutables, sino que describe el enrutamiento de compuertas lógicas, configuraciones de tablas de búsqueda y comportamientos de máquinas de estados que definen la función de hardware del dispositivo. Con los archivos de flujo de bits recuperados en mano, los adversarios lanzan una ingeniería inversa intensiva para decodificar la propiedad intelectual central incrustada en el tejido lógico del PLD. Los flujos de trabajo de ingeniería inversa analizan las rutas de enrutamiento de señales, identifican máquinas de estados antimanipulación ocultas, decodifican protocolos de comunicación entre el PLD y su MCU asociado, y extraen algoritmos lógicos propietarios implementados en hardware programable. Este análisis profundo transforma los datos de volcado sin procesar en conocimiento de diseño procesable que el fabricante original nunca tuvo la intención de exponer a terceros. El objetivo malicioso final del hacking de PLD es la extracción de firmware y la producción en masa de un dispositivo duplicado funcional. Después de que la ingeniería inversa revela el plano de diseño completo, los hackers eliminan las huellas específicas del dispositivo, borran los desencadenantes de verificación lockbit y parchan los marcadores anticlonación basados en fusibles del flujo de bits recuperado. El archivo lógico modificado se programa luego en hardware PLD en blanco del mismo modelo, generando un duplicado idéntico que replica todos los comportamientos eléctricos, de temporización y funcionales del componente original asegurado. Esta amenaza de clonación causa graves pérdidas financieras a los fabricantes e introduce riesgos de seguridad en sistemas embebidos críticos para la seguridad. La defensa eficaz contra ataques a PLD debe bloquear cada etapa de la cadena de ataque mencionada mediante estrategias de defensa en profundidad por capas, que cubren configuración de software, endurecimiento de primitivas de hardware, antimanipulación física y ofuscación lógica posterior a la compilación. La primera medida defensiva es la optimización de políticas lockbit unificadas en todos los dominios de memoria. Los diseñadores deben reconfigurar los registros lockbit predeterminados para imponer una prohibición de acceso síncrona tanto para el flash principal como para los sectores EEPROM auxiliares, eliminando la vulnerabilidad común de fuga de partición que permite la lectura parcial de datos incluso en condiciones bloqueadas. La segunda defensa central fortalece la seguridad de los fusibles OTP para resistir la manipulación física durante ataques de decapsulación. Los fusibles críticos para la seguridad deben enterrarse debajo de múltiples capas metálicas superiores del dado de silicio en lugar de colocarlos en la superficie. Los fusibles profundamente enterrados requieren equipos de sondeo mucho más precisos y costosos para modificar, elevando drásticamente el umbral técnico para los intentos de desbloqueo físico. Además, los diseñadores pueden implementar lógica de verificación de fusibles redundante, donde múltiples bancos de fusibles dispersos verifican cruzadamente el estado de los demás para detectar cualquier alteración artificial de fusibles causada por manipulación láser. El endurecimiento de interfaces forma la tercera capa defensiva crítica para bloquear la explotación inicial del puerto de depuración. Los ingenieros pueden aislar físicamente los pines de depuración JTAG y SWD mediante multiplexores de hardware o interruptores mecánicos, desconectando completamente la interfaz después de completar la programación de producción del dispositivo. Incluso si los atacantes obtienen acceso físico a la PCB, los puertos de depuración eléctricamente aislados no pueden usarse para iniciar ningún comando de lectura o volcado, independientemente del estado lockbit. Para la protección basada en software, los módulos de monitoreo JTAG dinámicos incrustados en la lógica del PLD pueden detectar intentos anormales de sondeo de puertos y activar respuestas de borrado de memoria inmediato. El cifrado de flujo de bits es la defensa industrial más adoptada para neutralizar la extracción de firmware basada en volcado. Los PLD modernos de alta seguridad admiten cifrado simétrico AES-256 para flujos de bits de configuración almacenados en memoria flash externa. La clave de descifrado única se almacena permanentemente en fusibles OTP en el chip inaccesibles o en RAM respaldada por batería, por lo que incluso si los atacantes capturan todos los datos de volcado flash mediante sondeo de memoria física, el flujo de bits cifrado permanece ilegible y no puede usarse para recuperación de código o ingeniería inversa sin la clave nativa del dispositivo. La verificación de integridad en tiempo de ejecución sirve como mecanismo defensivo dinámico para detectar y terminar intentos de hacking en curso durante la operación del dispositivo. El PLD puede comparar continuamente el estado de fusibles en tiempo real, los valores de los registros lockbit y los hashes almacenados en EEPROM con huellas doradas precalculadas incrustadas en bloques lógicos protegidos. Si se detecta una modificación anormal de registros, solicitudes de lectura de memoria inesperadas o distorsión de estado inducida por glitching, el dispositivo bloquea automáticamente todo acceso a memoria, borra datos de clave temporales y entra en un modo de bloqueo de autoprotección permanente para evitar más fugas de datos. La tecnología de malla antimanipulación física mejora aún más la defensa contra ataques de decapsulación y sondeo de silicio. Las familias avanzadas de PLD integran una red densa de trazas conductoras de seguridad superpuestas a regiones lógicas y de memoria sensibles. Cualquier rectificado mecánico, decapsulación química o sondeo de capas metálicas romperá el circuito de la malla, desencadenando una respuesta antimanipulación irreversible que borra todas las claves EEPROM en el chip e invalida la configuración de seguridad de fusibles incrustada. Esta barrera física pasiva hace que el desbloqueo posterior a la decapsulación sea casi imposible para atacantes de bajo presupuesto. La ofuscación lógica y el enrutamiento ficticio aumentan la complejidad de la ingeniería inversa posterior al volcado, incluso si los adversarios eluden todas las defensas anteriores y obtienen un flujo de bits en texto plano. Los diseñadores pueden agregar celdas lógicas falsas, rutas de interconexión redundantes y configuraciones de tablas de búsqueda engañosas en el código PLD original. Estos elementos de ofuscación confunden las herramientas automatizadas de ingeniería inversa, fragmentan la correlación lógica de los módulos funcionales y extienden drásticamente el tiempo y el costo requeridos para un análisis de código exitoso y el desarrollo de dispositivos duplicados. La autenticación mutua entre PLD y microcontroladores emparejados construye un límite sistémico para evitar que el hardware clonado duplicado opere en sistemas legítimos. El PLD y el MCU a bordo realizan una verificación de handshake cifrado durante cada ciclo de encendido, utilizando claves de dispositivo únicas almacenadas en regiones EEPROM protegidas. Incluso si los atacantes crean un duplicado de hardware del PLD, la clave de autenticación única faltante hará que el handshake falle, impidiendo que el dispositivo clonado se integre y funcione dentro del sistema embebido original. Muchos desarrolladores confunden la seguridad de PLD con los mecanismos de protección de microcontroladores tradicionales, pero existen diferencias clave en las superficies de ataque y las áreas de enfoque de defensa. La seguridad de microcontroladores se centra principalmente en la protección del código de firmware en la memoria de instrucciones de la CPU, mientras que la defensa contra ataques a PLD se centra en el enrutamiento lógico, la configuración de LUT y la protección de máquinas de estados hardware. Las defensas de MCU a menudo dependen de mecanismos de bloqueo por software, mientras que la seguridad de PLD depende en gran medida del diseño físico de fusibles, la aplicación de lockbit por hardware y la ofuscación a nivel de enrutamiento que no pueden ser replicadas por herramientas estándar de protección de firmware de MCU. La investigación de seguridad legítima desempeña un papel vital en el avance de las capacidades de defensa contra ataques a PLD. Los investigadores académicos realizan pruebas de decapsulación controlada, análisis de volcado autorizado y auditorías de vulnerabilidades de lockbit para identificar debilidades arquitectónicas en los esquemas de fusibles y cifrado existentes. Estos hallazgos ayudan a los proveedores de semiconductores a mejorar las características de seguridad de PLD de próxima generación, como diseños mejorados de fusibles enterrados y circuitos de gestión de energía antiglitching, para contrarrestar las técnicas de hacking emergentes. En resumen, la defensa contra ataques a dispositivos lógicos programables es una disciplina de seguridad integral que contrarresta todo el ciclo de vida del ataque, incluyendo lectura no autorizada, volcado de flash y EEPROM, decapsulación física, manipulación de fusibles, omisión de lockbit, desbloqueo de dispositivo, extracción de firmware, recuperación de código, ingeniería inversa y fabricación ilegal de duplicados. Mediante la implementación de estrategias en capas que cubren endurecimiento de fusibles, control de acceso lockbit, cifrado de flujo de bits, antimanipulación física, monitoreo de integridad en tiempo de ejecución y autenticación entre chips, los diseñadores de sistemas pueden bloquear eficazmente los intentos de hacking maliciosos y proteger los activos lógicos propietarios incrustados en ecosistemas embebidos integrados con PLD, MCU y microcontroladores.
Años
28
+
|
Países
110
+
|
Clientes
5000
+
|
Proyectos
60000
+
|
