Das Entfernen des Flash-Chips, um die Firmware eines mysteriösen Geräts auszulesen, birgt das Risiko, das Gerät zu beschädigen, während das Auslesen des Chips auf der Platine ebenfalls scheitern kann. [Matthew „wrongbaud“ Alt] beschreibt stattdessen, wie sich mithilfe eines Logikanalysators die SPI-Lesevorgänge identifizieren, aufzeichnen und analysieren lassen, die ein weit verbreiteter Flash-Chip der W25Q-Serie beim Start durchführt. Da die Methode auf die Daten beschränkt ist, die der Prozessor tatsächlich ausliest, liefert sie möglicherweise nicht den gesamten Chipinhalt.
Alt erläutert zunächst die Grundlagen der SPI-Kommunikation und anhand des Datenblatts des Flash-Chips, wie die Signale interpretiert werden. Anschließend verarbeitet er die Aufzeichnungen des Logikanalysators mit Scapy und wandelt sie in eine Imagedatei um, die an binwalk übergeben werden kann. Das Python-Tool Scapy lässt sich neben Netzwerkpaketen auch für solche Daten verwenden.
Obwohl das Firmware-Image einen Bootloader und den Linux-Kernel enthält, fehlt offenbar die Dateisystempartition. Der Grund dafür ist, dass der Prozessor in den schnelleren Quad-SPI-Modus wechselt, der zwei zusätzliche Datenleitungen verwendet, bevor er das Dateisystem ausliest. Nach einer zusätzlichen Aufzeichnung und Verarbeitung werden die beiden Images mit einem einzeiligen dd-Befehl zusammengeführt. Zu Alt’ Arbeiten gehören außerdem ein Leitfaden zum Hardware-Hacking und Untersuchungen zu Fault Injection.
Warum wichtig
Dieser Ansatz reduziert das Risiko, das Gerät zu beschädigen, da die Firmware untersucht werden kann, ohne den Chip auszubauen, und ermöglicht es Forschern zugleich, die tatsächliche Kommunikation auf der Platine zu verfolgen. Der Umfang des erhaltenen Images ist jedoch von vornherein begrenzt, da es nicht den gesamten im Speicher vorhandenen Inhalt widerspiegelt, sondern nur die Bereiche, auf die der Prozessor während des Startvorgangs zugreift. Insbesondere der Wechsel von SPI zu Quad-SPI zeigt, warum die Aufzeichnung ausschließlich der Standardsignale zu einer unvollständigen Ausgabe führen kann, und macht es erforderlich, dass ähnliche Untersuchungen auch die verwendeten Datenleitungen berücksichtigen. Dies zeigt Hardwareforschern und Reverse Engineers, dass die Methode allein nicht ausreicht und zusätzliche Aufzeichnungs- und Verarbeitungsschritte erforderlich sein können, um die fehlenden Bereiche zu ergänzen.