Взлом микроконтроллеров Freescale/Motorola

Freescale Semiconductor, Inc. — американская компания, занимающаяся производством и проектированием встраиваемого оборудования, с 17 миллиардами полупроводниковых микросхем, используемых по всему миру. Компания ориентируется на автомобильный, потребительский, промышленный и сетевой рынки, предлагая микропроцессоры, микроконтроллеры, цифровые сигнальные процессоры, цифровые сигнальные контроллеры, датчики, силовые СВЧ-микросхемы и микросхемы управления питанием. Кроме того, компания предлагает программное обеспечение и инструменты для разработки. Компания также владеет обширным портфелем патентов, включающим около 6100 патентных семейств. Штаб-квартира находится в Остине, Техас, с центрами проектирования, исследований и разработок, производства и продаж в более чем 20 странах. В настоящее время Freescale занимает 7-е место среди лидеров продаж полупроводников в США и 16-е в мире.

 

История компании

История

Freescale была одной из первых полупроводниковых компаний в мире, начав как подразделение Motorola в Финиксе, Аризона, в 1948 году[3], а затем создана в результате выделения сектора полупроводниковых изделий Motorola в 2004 году. В 1955 году транзистор Motorola для автомобильных радиоприемников стал первым в мире коммерческим мощным транзистором. Это был также первый серийный полупроводник Motorola.
В 1960-х годах одной из целей космической программы США была высадка человека на Луну и его безопасное возвращение на Землю. В 1968 году NASA начала пилотируемые полеты Apollo, которые привели к первой высадке на Луну в июле 1969 года. Apollo 11 был особенно значим для сотен сотрудников, участвовавших в проектировании, тестировании и производстве её электроники. Подразделение Motorola, которое стало Freescale Semiconductor, поставило тысячи полупроводниковых устройств, наземное оборудование для получения hex-кода, извлечения исходного кода, расшифровки, восстановления кода, а также 12 бортовых устройств слежения и связи. «Канал передачи данных» в командном модуле Apollo принимал сигналы с Земли для ретрансляции другим бортовым системам. Транспондер принимал и передавал голосовые, телевизионные сигналы и научные данные.

В том же году технологии Motorola были использованы для создания первой двухсторонней мобильной радиостанции с полностью транзисторным источником питания и приемником для автомобилей.

В последующие годы Motorola продолжала рост в секторе сетей и связи, предоставляя инструменты для радиотранспондера, который передал первые слова с Луны в 1969 году, а затем разработала первый прототип первого аналогового мобильного телефона в 1973 году.

Первый микропроцессор компании (MC6800 8-разрядный) был представлен в 1974 году и использовался в автомобильных, вычислительных и видеоигровых приложениях.

Следующее поколение 32-разрядного микропроцессора Motorola, MC68000, возглавило волну технологий, стимулировавших вычислительную революцию в 1984 году, питая устройства таких компаний, как Apple, Commodore, Atari, Sun и Hewlett Packard.[8]
В 1990-х годах технология Motorola стала движущей силой интеллектуальных силовых переключателей для антиблокировочных тормозных систем, одной из первых микроэлектромеханических систем (MEMS)FIB-модификация схем инерциальных датчиков для автомобильных подушек безопасности, а также микропроцессор MPC5200, развернутый в телематических системах для систем OnStar компании General Motors.[9]

С тех пор Freescale продолжает предоставлять технологии для потребительских, медицинских, сетевых и автомобильных продуктов — от микропроцессоров для первого в мире беспроводного инсулинового насоса без трубок[10] до автомобильных микроконтроллеров для считывания программы, получения прошивки, чтения памяти, извлечения данных из EEPROM, извлечения программного обеспечения для эффективных конструкций двигателей. Акселерометр Freescale обеспечивает интерактивность видеоигр Guitar Hero.[11] Freescale является ведущим поставщиком процессоров приложений для электронных книг в мире.[12]

В 2011 году компания представила первое в отрасли семейство процессоров для многомодовых беспроводных базовых станций, масштабируемое от малых до больших ячеек – объединяющее технологии DSP и коммуникационных процессоров для создания настоящего «базового контроллера на кристалле». Расшифровка дампа памяти, восстановление кода из зашифрованного, взлом hex-файла, чтение защищенной памяти, чтение данных EEPROM. Согласно отчету ABI Research, Freescale владеет 60% долей рынка полупроводниковых радиочастотных (RF) устройств электронный клуб разработчиков.
Также в 2011 году Freescale анонсировала свой первый магнитометр для отслеживания местоположения в смарт-мобильных устройствах. В партнерстве с McLaren Electronic Systems они помогли автомобилям NASCAR Sprint Cup Series перейти с карбюраторов на непосредственный впрыск топлива, начиная с 2012 года.

Ошибка Zune

Программное обеспечение драйвера тактовой частоты, написанное Freescale, было ответственно за ошибку високосного года Zune в 2008 году.

Kinetis

26 февраля 2013 года Freescale Semiconductor объявила о создании самого маленького в мире (по размеру) чипа на базе ARM. Kinetis KL02 имеет размеры 1,9 на 2 миллиметра и является полноценным микроконтроллерным блоком (MCU), то есть чип оснащен процессором, RAM, ROM, тактовым генератором и блоком управления вводом-выводом. Чип конкурирует с предложениями Atmel M0+, которые являются лидерами в области низкого энергопотребления. Взлом защиты кода, копирование зашифрованной ИС, восстановление данных, взлом пароля, извлечение hex-исходного кода. Одно из применений, которое Freescale видит для этих чипов, — это глотаемые компьютеры. Freescale уже работает с различными клиентами в сфере здравоохранения и фитнеса. Как Fitbit, так и инсулиновая помпа OmniPod используют чипы Freescale. Новый чип был представлен на выставке Embedded World в Нюрнберге, Германия, с 26 по 28 февраля 2013 года.

Финансовые показатели

Motorola объявила о выделении своего полупроводникового подразделения 6 октября 2003 года для создания Freescale. Freescale завершила IPO 16 июля 2004 года.

15 сентября 2006 года Freescale согласилась на выкуп за 17,6 млрд долларов консорциумом во главе с Blackstone Group и его соинвесторами Carlyle Group, TPG Capital и Permira.[22] Предложение о выкупе было принято 13 ноября 2006 года после голосования акционеров компании.восстановление данных с чипа Сделка, закрытая 1 декабря 2006 года, стала крупнейшим частным выкупом технологической компании до выкупа Dell в 2013 году и входит в число десяти крупнейших выкупов всех времен.

Freescale подала заявку на публичное размещение 11 февраля 2011 года и завершила IPO 26 мая 2011 года. Freescale торгуется на Нью-Йоркской фондовой бирже под тикером FSL. На момент IPO у компании было 7,6 млрд долларов непогашенного долга[24], и компания расследуется за нарушения, связанные с этим IPO.

Микропроцессоры

Ранние микропроцессоры
Motorola MC10800 (4-разрядный) бит-слайс
Motorola MC14500B Industrial Control Unit (ICU) (1-разрядный)
Motorola 6800 (8-разрядный)
Motorola 6802/6808 (8-разрядный)
Motorola 6809 (8/16-разрядный)
Серия 68000
Motorola 68000 (16/32-разрядный)
Motorola 68008 (8/16/32-разрядный)
Motorola 68010 (16/32-разрядный)
Motorola 68012 (16/32-разрядный)
Motorola 68020 (32-разрядный)
Motorola 68030 (32-разрядный)
Motorola 68851 (MMU)
Motorola 68881 (FPU)
Motorola 68882 (FPU)
Motorola 68040 (с FPU)
Motorola 68060 (с FPU)
Серия 88000 (RISC)
Motorola 88100/88110
Серия PowerPC
Основная статья: PowerPC
32/64-разрядная архитектура, совместно с IBM.
PPC 601 ("G1")
PPC 603/PPC 603ev ("G2")
PPC 604/PPC 604e/PPC 604ev
PPC 620
Семейство PowerPC 7xx, только PowerPC 740, 750, 745 и 755 ("PowerPC G3")

Микроконтроллеры

Серия 6800
Основная статья: Motorola 6800
8-разрядные
Motorola 6801/6803
Motorola 6804
Motorola 6805/146805
Motorola 68HC05 (CPU05) - старые
Freescale 68HC11 (CPU11) - старые
Freescale 68HC08 (CPU08) технологии 0,65 мкм, 0,5 мкм и 0,25 мкм
Freescale S08 (CPUS08) 0,25 мкм
Freescale RS08 (CPURS08) 0,25 мкм - основан на ядре RS08, упрощенная версия S08 с ограниченным набором команд для снижения стоимости.
16-разрядные
Freescale 68HC16 (CPU16) - старые
Freescale 68HC12 (CPU12) - старые
Freescale S12 (CPU12) - все еще разрабатывается
Freescale S12X (CPU12X-1) - семейство S12XD, S12XA... с сопроцессором XGATE. Подобен DMA или сопроцессору ввода-вывода.
Freescale S12XE (CPU12X-2) - семейство S12XE с сопроцессором XGATE, эмулируемой EEPROM = EEEPROM. Технология 0,18 мкм.
Серия 68000
Основная статья: Motorola 68000 family
Freescale 683XX
Freescale DragonBall
Freescale ColdFire
Freescale ColdFire+
На базе M·CORE
Основная статья: M·CORE
RISC-микроконтроллеры на основе M·CORE являются 32-разрядными процессорами, специально разработанными для маломощной электроники. [1] Процессоры M·CORE, как и процессоры семейства 68000, имеют пользовательский и супервизорный режимы, и в пользовательском режиме оба видят 32-разрядный PC и 16 регистров по 32 разряда. Набор команд M·CORE сильно отличается от набора команд 68K — в частности, M·CORE является чистой машиной загрузки-хранения, и все команды M·CORE имеют длину 16 бит, тогда как команды 68K имеют различную длину. Однако исходный код на ассемблере 68K может быть механически транслирован в ассемблер M·CORE. [2]
Ядро M·CORE лицензировано компанией Atmel для смарт-карт. [3]
MMC2001
MMC2114
На базе PowerPC
Freescale MPC5xx
Freescale MPC512x (ядро e300)
Freescale MPC52xx (ядро e300)
Freescale MPC55xx (ядро e200)
Freescale MPC56xx (ядро e200)
Freescale MPC8xx (PowerQUICC)
Freescale MPC82xx (PowerQUICC II, ядро G2)
Freescale MPC83xx (PowerQUICC II Pro, ядро e300)
Freescale MPC85xx (PowerQUICC III, ядро e500)
Freescale MPC86xx (ядро e600)
Freescale MPC87xx (будущее ядро e700)
Freescale Pxxxx (QorIQ, ядро(а) e500)
На базе ARM
Основная статья: ARM architecture
MXC300-30
Микроконтроллеры Cortex-M4
Kinetis
Kinetis L
Автомобильные микроконтроллеры на базе ARM7TDMI
MAC71xx
MAC72xx
i.MX (DragonBall MX)
Основная статья: i.MX
Мультимедийные процессоры приложений на базе ARM.
на базе ARM920:
i.MX1 (MC9328MX1)
i.MXL (MC9328MXL)
i.MXS (MC9328MXS)
на базе ARM926:
i.MX21 (MC9328MX21)
i.MX23 (MCIMX23)
i.MX25 (MCIMX25)
i.MX27 (MCIMX27)
i.MX28 (MCIMX28)
на базе ARM11:
i.MX31 (MCIMX31)
i.MX35 (MCIMX355)
i.MX37 (MCIMX37)
на базе Cortex-A8:
i.MX51 family (e.g. MCIMX515)
i.MX50 family (i.MX508)
i.MX53 family (e.g. MCIMX535)
на базе Cortex-A9:
i.MX6 solo
i.MX6 dual
i.MX6 quad
Модули TPU и ETPU
Блок обработки времени (TPU) и расширенный блок обработки времени (eTPU) являются в значительной степени автономными таймерными периферийными устройствами, присутствующими на некоторых микросхемах Freescale.
MC68832 (TPU)
MPC5554 (PowerPC) (eTPU)
MCF5232, MCF5233, MCF5234, MCF5235 (ColdFire) (eTPU)

Цифровые сигнальные процессоры

Примечание: серия 56XXX обычно известна как серия 56000, или 56K, и аналогично 96XXX известна как серия 96000, или 96K.
Серия 56000
Motorola DSP560XX (24-разрядные)
Motorola DSP563XX (16/24-разрядные)
Motorola DSP566XX (16-разрядные)
Motorola DSP567XX (цифровой сигнальный контроллер)
Motorola DSP568XX (цифровой сигнальный контроллер)
Серия 96000
Motorola DSP96XXX (32-разрядные)

Серия StarCore
Примечание: «В StarCore нет встроенной поддержки операций с плавающей запятой»[4]
MSC8101/3 Одно ядро SC140, 300 МГц (сняты с производства)
MSC8102 Четыре ядра SC140, 275 МГц (прекращены)
MSC8122/26 Четыре ядра SC140, 500 МГц
MSC711x Одно ядро SC1400, 200/300 МГц (частично сняты)
MSC8144/E Четыре ядра SC3400, 1 ГГц
MSC8156/E Шесть ядер SC3850, 1 ГГц с сопроцессором MAPLE-B
MSC8154/E Четыре ядра SC3850, 1 ГГц с сопроцессором MAPLE-B
MSC8152 Два ядра SC3850, 1 ГГц с сопроцессором MAPLE-B
MSC8151 Одно ядро SC3850, 1 ГГц с сопроцессором MAPLE-B
MSC8256 Шесть ядер SC3850, 1 ГГц
MSC8254 Четыре ядра SC3850, 1 ГГц
MSC8252 Два ядра SC3850, 1 ГГц
MSC8251 Одно ядро SC3850, 1 ГГц

MEMS-датчики

Серия MMA (акселерометры Multi-G/ Multi-Axis)
Серия MPX Давление
Серия MPR Близость
Устройства реконфигурируемой вычислительной структуры

MRC6011
Программное обеспечение

Среда разработки CodeWarrior
Операционная система реального времени MQX
FreeMaster

Общие вопросы об извлечении прошивок микроконтроллеров

---

• Безопасно ли отправлять оплату в MikaTech?

  Если бы MikaTech была недобросовестной компанией, в интернете можно было бы найти множество негативных отзывов о её услугах за 28 лет истории

  Итак, ответ — ДА! Мы порядочные люди.

  Почему стоит выбрать Mikatech, пожалуйста нажмите здесь, чтобы узнать
  

  
  
• Может ли Mikatech взламывать микросхемы, не указанные на этом сайте?

  У разных производителей микросхем разные номера деталей, но внутреннее ядро микросхемы может быть изготовлено по одной технологии, было бы невозможно перечислить все номера деталей, к которым можно применить наши технологии, такие как MYSON, STK, FEELING, ANALOG, FUJITSU, NOVATEK, LG/HYNDAI.
  
  Кроме того, с развитием технологий мы каждый день приобретаем новый опыт и разрабатываем новые методы обратного инжиниринга для различных интегральных схем. Полный список номеров интегральных схем, входящих в нашу компетенцию, постоянно растет, пожалуйста, свяжитесь с нами, чтобы узнать.

• Будет ли защищена моя конфиденциальность?

  Mikatech Innovative Limited понимает важность конфиденциальности своих клиентов. В момент обращения в Mikatech ваша личная информация будет защищена нашими правилами управления, разработанными за годы практики. Mikatech использует эту информацию для персонализации услуг и никогда не раскрывает её третьим лицам по каким-либо причинам.
  По каждому проекту мы удаляем все данные, материалы и коды через 60 дней после передачи файлов — это защищает нас и вашу конфиденциальность.

• Законно ли получать услуги от Mikatech?

  Да, это абсолютно законно.
  Mikatech предоставляет услуги обратного инжиниринга исключительно в образовательных целях. Использование вышеупомянутых услуг может быть незаконным в некоторых странах или регионах, пожалуйста, проверьте местные законы. Mikatech не несет ответственности за использование услуг, которое может быть признано незаконным.

  
  
• Я отправил вам письмо, почему нет ответа?

  • A. Наш почтовый сервер временно вышел из строя, ваше сообщение не было доставлено в наш почтовый ящик, даже если на экране отображается сообщение об успешной отправке. Пожалуйста, свяжитесь с нами снова.
  • B. Наше письмо распознается вашим почтовым сервером как спам, поэтому наш ответ был отклонен или перемещен в папку спама. Пожалуйста, удалите наш аккаунт из списка спама, проверьте папку спама или используйте другой email, например Gmail.
  • C. Ваше письмо распознано нашим почтовым сервером как спам и помещено в спам-папку. Пожалуйста, используйте другой email для связи.

• Риски эксфильтрации криптографической памяти

  Риски эксфильтрации криптографической памяти в защищенных MCU с ARM TrustZone. Современные 32-разрядные высокозащищенные микроконтроллеры интегрируют технологию ARM TrustZone для физического и логического разделения выполнения процессора на безопасный и небезопасный миры с целью изоляции встроенной безопасности. TrustZone создает жесткие границы, отделяющие чувствительные криптографические операции, хранение ключей и безопасную загрузку от кода приложений общего назначения, выполняемого в небезопасной области. Несмотря на такую надежную встроенную изоляцию, неправильно сконфигурированные регистры состояния блокировки могут нарушить соблюдение границ доменов, что позволяет злоумышленникам незаконно копировать содержимое криптографической памяти через барьер раздела TrustZone. Корень уязвимости кроется в аппаратной взаимозависимости между флагами конфигурации блокировки и списками контроля доступа к памяти TrustZone, хранящимися в блоке управления памятью (MMU) MCU. Когда производители или разработчики неправильно программируют многоуровневые биты блокировки OTP, MMU не загружает правильные правила изоляции доменов при загрузке. Это пропуск правил создает временную проницаемость границ между адресными пространствами безопасной и небезопасной памяти во время переключения контекста. Переключение контекста происходит десятки раз в секунду, когда MCU переключается между задачами криптографии и обработки приложений. В течение короткого окна наносекундного масштаба перехода домена злоумышленники могут манипулировать регистрами состояния блокировки, чтобы временно отключить логику границ. Точные сбои напряжения или тактовой частоты, нацеленные на события переключения контекста, позволяют небезопасному коду инициировать чтение защищенных областей хранения ключей из EEPROM, обычно доступных только безопасному миру TrustZone. Процессор EEPROM в MCU с TrustZone ведет двойные таблицы прав доступа для безопасных и небезопасных запросчиков. Неправильная конфигурация блокировки объединяет эти таблицы, позволяя небезопасным транзакциям шины обращаться к сегментам EEPROM, зарезервированным для хранения корневых ключей. Это нарушение границ позволяет злоумышленникам запускать массовые команды памяти для полного дампа flash и EEPROM защищенного раздела, содержащего зашифрованные манифесты прошивок и постоянные секреты устройств. Полученный дамп памяти содержит как небезопасный код приложений, так и полезные данные безопасного мира TrustZone, полностью подрывая основную цель изоляции доменов. Такой прорыв границ TrustZone значительно ускоряет и упрощает профессиональный обратный инжиниринг микроконтроллеров, нацеленный на зашифрованные бинарные прошивки. Обычно специалистам по обратному инжинирингу приходится вручную разделять безопасные и небезопасные области кода с помощью трудоемкого статического анализа. Объединенный дамп памяти устраняет эту работу и открывает безопасную логику для стандартных инструментов обратного инжиниринга. Самое главное, успешный обход доменов устраняет необходимость в полном физическом декапсулировании и операциях восстановления кода в большинстве сценариев атак. Исследователям больше не нужно вскрывать кристалл кремния для зондирования безопасных узлов шины, так как сбойное состояние блокировки предоставляет логический доступ ко всем необходимым данным через стандартные интерфейсы отладки. Такое снижение сложности атак снижает барьер навыков и оборудования для компрометации коммерческих устройств, защищенных TrustZone. Чтобы полностью понять цепочку эксплуатации, необходимо разобрать последовательные шаги, необходимые для использования неправильной конфигурации блокировки для доступа к криптографической памяти. Во-первых, злоумышленник определяет, что в многоуровневой конфигурации блокировки отсутствует выделенный бит блокировки домена TrustZone. Во-вторых, они развертывают полезные нагрузки прошивки, которые отслеживают тайминг переключения контекста процессора для выявления уязвимых окон перехода. В-третьих, они вводят точные сбои напряжения во время этих окон для повреждения правил изоляции MMU, унаследованных от состояния блокировки. В-четвертых, они выполняют небезопасный код, вызывающий привилегированные функции чтения памяти для инициирования чтения защищенного банка ключей из EEPROM. В-пятых, они пакетно извлекают страницы памяти для дампа flash и EEPROM защищенного раздела в небезопасные буферы RAM для эксфильтрации. В-шестых, они копируют буферизованные секреты во внешнее хранилище, чтобы постоянно копировать содержимое криптографической памяти для автономного анализа и дублирования ключей. Наконец, они восстанавливают полный бинарный файл безопасной прошивки, чтобы добиться полного несанкционированного извлечения прошивки без физического вмешательства в устройство. Защитные меры против уязвимостей блокировки TrustZone начинаются со стандартизированных шаблонов программирования OTP, которые по умолчанию принудительно устанавливают обязательные биты блокировки изоляции доменов. Производители MCU должны навсегда записывать критически важные биты конфигурации TrustZone в неизменяемые области OTP, которые не могут быть изменены инструментами конечного пользователя. Разработчики должны проверять синхронизацию блокировок и правил MMU на каждом цикле загрузки для немедленного обнаружения поврежденных настроек изоляции. Мониторинг доступа к доменам во время выполнения должен отмечать аномальные запросы небезопасной памяти к защищенным областям EEPROM и flash и немедленно инициировать блокировку системы. Схемы обнаружения сбоев должны контролировать целостность напряжения и тактовой частоты во время переключений контекста для блокировки попыток временного внедрения сбоев. Автоматизированные инструменты аудита безопасности должны сканировать файлы конфигурации блокировок на предмет несоответствия политикам доступа TrustZone перед компиляцией прошивки и производственным программированием. Обучение разработчиков встраиваемых систем должно подчеркивать неотъемлемую связь между состоянием блокировки MCU и аппаратным поведением изоляции TrustZone. Внедряя эти строгие меры защиты конфигурации и времени выполнения, отрасль встраиваемых систем может устранить нарушения доменов, вызванные блокировками, и сохранить целостность защиты криптографической памяти на основе TrustZone против современных атак обратного инжиниринга и эксфильтрации ключей.