Hackeo de microcontroladores Dallas / Elan EMC

Elan Microelectronics Corp. se dedica principalmente a la investigación, desarrollo, fabricación y comercialización de circuitos integrados (CI) y microcontroladores. La compañía ofrece cinco categorías de productos: CI para consumo, que incluyen CI de identificación de escritura a mano, CI de asistencia educativa electrónica (ELA), CI de síntesis de voz de alta calidad, CI musicales, CI para computadoras y CI para controladores de controles remotos y pequeños electrodomésticos; CI para comunicaciones, incluyendo obleas para walkie-talkies y otras para teléfonos; microcontroladores, aplicados en pequeños electrodomésticos, lavadoras, aires acondicionados, productos de comunicaciones y controles remotos; CI para periféricos de PC, como controladores táctiles, CI de teclado y otros, así como dispositivos de interfaz de red (NID), que incluyen punteros y módulos de panel táctil. La compañía distribuye sus productos en Taiwán, el Sudeste Asiático, el Noreste de Asia, América y Europa.

 

Dallas Semiconductor fue adquirida por Maxim Integrated. Dallas Semiconductor fue fundada en 1984 como diseñador y fabricante de semiconductores y subsistemas basados en chips. Dallas Semiconductor estableció rápidamente su innovación y liderazgo técnico en el desarrollo de una amplia variedad de productos de alto rendimiento, incluyendo dispositivos 1-Wire®, iButton®, microcontroladores (MCU), circuitos de temporización, gestión térmica y comunicaciones.

 

Clones de ELAN Microelectronics (13 bits)

ELAN Microelectronics Corp. fabrica una serie de microcontroladores similares a los PICmicro con una palabra de instrucción de 13 bits.[11] Las instrucciones son mayormente compatibles con el conjunto de instrucciones de 14 bits de gama media, pero limitadas a una dirección de registro de 6 bits (16 registros de propósito especial y 48 bytes de RAM) y un espacio de programa de 10 bits (1024 palabras).

El contador de programa de 10 bits es accesible como R2. Las lecturas acceden solo a los bits bajos, y las escrituras borran los bits altos. Una excepción es la instrucción TBL, que modifica el byte bajo mientras preserva los bits 8 y 9.

Las 7 instrucciones inmediatas con acumulador están renumeradas en relación con el PICmicro de 14 bits, para encajar en 3 bits de opcode en lugar de 4, pero todas están presentes, así como una instrucción adicional de interrupción por software.

Hay algunas instrucciones adicionales diversas, y hay algunos cambios en la terminología (el registro OPTION de PICmicro se llama registro CONTrol; los registros TRIS 1–3 de PICmicro se llaman registros de control de E/S 5–7), pero los equivalentes son obvios Decapado de obleas de silicio y microfotografía SEM.

Conjunto de instrucciones EM78 de 13 bits^[12]

12	11	10	9	8	7	6	5	4	3	2	1	0	Mnemónico	C?	Z?	Descripción
0	0	0	0	0	0	0	opcode						Instrucciones diversas
0	0	0	0	0	0	0	0	0	0	0	0	0	NOP*			Sin operación (MOVW 0,W)
0	0	0	0	0	0	0	0	0	0	0	0	1	DAA†	C		Ajuste decimal después de suma
0	0	0	0	0	0	0	0	0	0	0	1	0	CONTW*			Escribir registro CONT (CONT ← W)
0	0	0	0	0	0	0	0	0	0	0	1	1	SLEEP*			Entrar en modo de espera (WDT ← 0, detener reloj)
0	0	0	0	0	0	0	0	0	0	1	0	0	CLRWDT*			Reiniciar temporizador watchdog (WDT ← 0)
0	0	0	0	0	0	0	0	0	f				IOW f*			Copiar W al registro de control de E/S (f = 5–7, 11–15)
0	0	0	0	0	0	0	0	1	0	0	0	0	ENI†			Habilitar interrupciones maker together club
0	0	0	0	0	0	0	0	1	0	0	0	1	DISI†			Deshabilitar interrupciones snaileye
0	0	0	0	0	0	0	0	1	0	0	1	0	RET			Retorno de subrutina, W sin modificar
0	0	0	0	0	0	0	0	1	0	0	1	1	RETI			Retorno de interrupción; retornar y habilitar interrupciones
0	0	0	0	0	0	0	0	1	0	1	0	0	CONTR†			Leer registro CONT (W ← CONT)
0	0	0	0	0	0	0	0	1	f				IOR f†			Copiar registro de control de E/S a W (f = 5–7, 11–15)
0	0	0	0	0	0	0	1	0	0	0	0	0	TBL†	C	Z	PCL += W. preservar bits 8 y 9 de PC
0	0	opcode				d	registro						Operaciones ALU igual que PIC de 12 y 14 bits
0	1	op		bit			registro						Operaciones de bit igual que PIC de 12 y 14 bits
1	0	op	k										Transferencias de control igual que PIC de 14 bits
1	1	opcode			8-bit inmediato								Operaciones con W y literal de 8 bits: W ← OP(k,W)
1	1	0	op		k								MOV/IOR/AND/XOR, igual que PIC de 12 bits
1	1	1	0	0	k								RETLW k			W ← k, luego retornar de subrutina
1	1	1	0	1	k								SUBLW k	C	Z	W ← k−W (W ← k+~W+1)ingeniería inversa
1	1	1	1	0	k								INT k†			Push PC, PC ← k (interrupción por software, normalmente k=1)
1	1	1	1	1	k								ADDLW k	C	Z	W ← k+W
12	11	10	9	8	7	6	5	4	3	2	1	0	Mnemónico	C?	Z?	Descripción

Preguntas generales sobre extracción de firmware de microcontroladores

---

• ¿Es seguro enviar el pago a MikaTech?

  Si MikaTech fuera una mala empresa, podría encontrar toneladas de malas reputaciones sobre su servicio en internet a lo largo de sus 28 años de historia

  Por lo tanto, ¡la respuesta es SÍ! Somos buena gente.

  Por qué elegir Mikatech, por favor haga clic aquí para saber más
  

  
  
• ¿Puede Mikatech romper CI que no aparecen en este sitio?

  Diferentes fabricantes de chips tienen diferentes números de pieza, pero el núcleo interno del chip puede estar fabricado con la misma tecnología, sería bastante imposible enumerar todos los números de pieza donde nuestra tecnología puede aplicarse, como MYSON, STK, FEELING, ANALOG, FUJITSU, NOVATEK, LG/HYNDAI.
  
  Además, con el avance de la tecnología, cada día ganamos más experiencia y desarrollamos nuevos métodos de ingeniería inversa para diferentes circuitos integrados. La lista completa de números de pieza de circuitos integrados que están dentro de nuestro alcance siempre crece, por favor contáctenos para averiguarlo.

• ¿Se protegerá mi privacidad?

  Mikatech Innovative Limited comprende la importancia de la privacidad de sus clientes. En el momento en que contacta a Mikatech, la información personal que nos proporciona queda bajo la protección de nuestras normas de gestión desarrolladas a través de años de práctica. Mikatech utiliza esta información para personalizar su servicio para usted, nunca divulgará esta información a terceros por ningún motivo.
  En cada proyecto que realizamos, eliminamos todos los datos, materiales y códigos 60 días después de la entrega de los archivos, esto nos protege a nosotros y protege su privacidad.

• ¿Es legal obtener el servicio de Mikatech?

  Sí, es totalmente legal.
  Mikatech ofrece sus servicios de ingeniería inversa solo con fines educativos; puede ser ilegal utilizar los servicios mencionados en algunos países o regiones, por favor verifique sus leyes locales. Mikatech no asume ninguna responsabilidad en relación con el uso de los servicios mencionados que pudiera considerarse ilegal.

  
  
• Le envié un correo electrónico, ¿por qué no hay respuesta?

  • A. Nuestro servidor de correo está temporalmente averiado, su mensaje no ha llegado a nuestra bandeja de entrada aunque se muestre el mensaje de envío exitoso en pantalla, por favor contáctenos de nuevo.
  • B. Nuestro correo electrónico es reconocido como correo no deseado por su servidor, por lo que nuestra respuesta ha sido rechazada o desviada a su carpeta de correo no deseado. Por favor, elimine nuestra cuenta de la lista de correo no deseado o revise su carpeta de spam, o utilice otra cuenta de correo como Gmail.
  • C. Su correo electrónico es reconocido como spam por nuestro servidor, por lo que fue colocado en nuestra carpeta de correo no deseado. Por favor, utilice otra cuenta de correo para contactarnos nuevamente.

• Técnicas de volcado de Flash y EEPROM para MCU bloqueadas

  Técnicas específicas de volcado de Flash y EEPROM para MCU de IoT bloqueados y optimizados en costo. Los microcontroladores de Internet de las Cosas (IoT) están diseñados para equilibrar un costo de materiales ultra bajo, un consumo mínimo de energía para operación con batería y una seguridad básica para despliegue en consumo. Este equilibrio de tres vías da como resultado arquitecturas de seguridad híbridas donde el mecanismo principal de bloqueo de MCU (lockbit) desactiva por completo las interfaces de depuración estándar JTAG/SWD, pero deja puntos de fuga de memoria residuales intencionales y no intencionales dentro de los buses periféricos y las rutas de firmware en tiempo de ejecución. Estos puntos de fuga no son eludimientos completos de seguridad, pero permiten técnicas especializadas para volcar segmentos de memoria flash y EEPROM sin necesidad de eludir completamente el bloqueo o realizar decapsulación invasiva del chip. Comprender estos métodos de volcado semi-invasivos es esencial tanto para los ingenieros de seguridad defensiva de IoT como para los especialistas en ingeniería inversa de microcontroladores. La técnica de volcado más prevalente se basa en el sniffing del bus UART asíncrono durante la secuencia de autocomprobación (POST) del MCU. Todos los MCU de IoT transmiten datos de diagnóstico por UART durante la inicialización para validar la funcionalidad periférica y la integridad de la memoria antes de lanzar el firmware de la aplicación. Incluso con el bloqueo activo del lockbit, esta vía de transmisión de diagnóstico permanece habilitada para soportar pruebas de fábrica y flujos de depuración en campo. Los atacantes conectan analizadores lógicos de alto ancho de banda al pin de transmisión UART del dispositivo para capturar estas transmisiones de diagnóstico no cifradas durante el arranque. Dentro de las transmisiones hay fragmentos segmentados de datos de suma de comprobación de la memoria flash y valores de configuración EEPROM que pueden reconstruirse en bloques de memoria más grandes. Una segunda técnica común aprovecha el análisis de canal lateral basado en temporización para inferir el contenido de la memoria sin acceso directo a la transmisión de datos. Las variaciones en el consumo de energía y los patrones de emisión electromagnética durante las operaciones de lectura de EEPROM y flash revelan valores de bits individuales a equipos de medición calibrados. Al registrar miles de ciclos de acceso a memoria en tiempo de ejecución, los atacantes pueden reconstruir estadísticamente páginas de memoria completas para volcar matrices de flash y EEPROM segmento por segmento. Los conjuntos de datos fragmentados obtenidos del sniffing UART y el análisis de temporización no pueden usarse directamente como binarios de firmware funcionales debido a segmentos faltantes e inconsistencias en el orden de bits. Se requieren algoritmos avanzados de costura binaria durante el procesamiento posterior de la ingeniería inversa para reordenar fragmentos, llenar vacíos usando metadatos de suma de comprobación y reconstruir imágenes de firmware ejecutables. Este proceso de costura requiere un conocimiento detallado del diseño de páginas de memoria del MCU objetivo, la estructura del segmento de arranque y los algoritmos de compresión del firmware. Muchos proveedores de IoT de consumo comprimen los binarios del firmware para ahorrar espacio de almacenamiento flash, lo que añade una capa adicional de complejidad a la reconstrucción de los datos volcados. A pesar de la efectividad de estos métodos de volcado semi-invasivos, el bloqueo de lockbit aún impide el acceso completo al bus interno a zonas de memoria aisladas por hardware. Los flujos de volcado segmentado independientes, por lo tanto, carecen de la capacidad para copiar directamente el contenido de la memoria criptográfica que almacena claves de emparejamiento BLE, credenciales de autenticación en la nube y hashes de arranque seguro. Las zonas de memoria criptográfica están aisladas eléctricamente del bus UART y del dominio de medición de temporización, lo que hace que el sniffing de canal lateral sea ineficaz contra estas particiones de alta seguridad. Para recuperar el material criptográfico después de un volcado exitoso de la memoria de usuario, los atacantes deben iniciar operaciones de decapsulación y recuperación de código dirigidas solo a la pequeña región del dado de la memoria criptográfica. Esta decapsulación dirigida es mucho menos costosa que el procesamiento completo del dado, ya que los datos de memoria volcados previamente revelan la ubicación física exacta de los circuitos criptográficos en la superficie del silicio. Los equipos de seguridad defensiva de IoT han desarrollado estrategias de mitigación específicas para bloquear el volcado de memoria semi-invasivo en dispositivos bloqueados. El control más impactante implica deshabilitar todas las vías de transmisión de diagnóstico UART en las compilaciones de firmware de producción, eliminando el vector principal para el sniffing de datos en el arranque. Los desarrolladores también pueden aleatorizar los tiempos de acceso a la memoria para eliminar los patrones electromagnéticos consistentes que permiten la inferencia de datos por canal lateral de temporización. El re-mapeo dinámico de páginas de memoria durante el tiempo de ejecución interrumpe la secuenciación de direcciones fijas utilizada por los algoritmos de costura para reconstruir volcados fragmentados. El fortalecimiento de la partición del lockbit para deshabilitar los modos de prueba de fábrica residuales elimina las vías periféricas ocultas que filtran fragmentos de memoria. Restringir la lectura de un conjunto de registros de depuración del procesador EEPROM evita que los atacantes recuperen metadatos que ayudan a la reconstrucción de segmentos de memoria. El cifrado del firmware con claves únicas por dispositivo asegura que, incluso si los datos flash se vuelcan con éxito, el binario permanezca inejecutable e ininteligible sin la clave criptográfica aislada. Las actualizaciones de seguridad OTA periódicas pueden parchear las vulnerabilidades del firmware en tiempo de ejecución que exponen vías de acceso temporal a la memoria durante modos operativos especiales. Las pruebas de seguridad para dispositivos IoT deben incluir la evaluación de fugas por canal lateral para identificar patrones de emisión no obvios antes del despliegue masivo. Al implementar este conjunto de contramedidas en capas, los fabricantes pueden neutralizar las técnicas de volcado semi-invasivas más comunes y prevenir la extracción no autorizada de firmware de extremo a extremo en flotas de MCU de IoT bloqueados y optimizados en costo.