hey
jest po polnocy a ja nie moge usnac... wiec dodam tutaj kilka ciekawych informacji (nie narazajac nikogo na szwank)
wiec moze zacznijmy od systemow ndx i mojego postu ktory napisalem przedchwila w jezyku angielskim
pamietacie jak na streamboard jakis ktos podal informacje odnosnie kalkulacji (bruteforce) kluczy w sky_de ? to byla matka teresa 2 pan hash
ten sam pan ktory (dorobil do oscama brakujacy algorytm dt05_20) dla pana z torunia a wiec nazwijmy go pan_hash
po kolei
-pan_hash
-sponsor
-otyly pan_vifon
-pan_od procesorow
odnosnie backdoorow w tych systemach ja wiedzialem juz pare lat temu ze pod karty sky_de da rade obliczyc te klucze le popelnilem jeden krytyczny blad(1)
1 - wyobrazcie sobie ze ze wspolnym znajomym sprawdzilismy karte v13 u innego operatora z EU i tam bylo inaczej (pelny 3des jak byc powinno) wiec pomyslelismy sobie ze na sky_de koniec a to byl blad!
cofnijmy sie teraz ze 2 lata wstecz - YES USRAEL HACKED AMOS 0,7W NDX na pierwszy rzut co mi przyszlo do glowy to ze ktos obliczyl klucz des pod karty tego operatora ale pozniej tak namieszali i nakrecili panowie ze rzeczywiscie uwierzylem w to ze zamiast kalkulacji kluczy poszczegolne modele broadcoma sa hacked..
teraz juz wiem ze byla to bajka a z kalkulacja kluczy pod V13 sprawa ma zajebisty rozmach (nie przypuszczalem ze az taki rozmach to bedzie miec)
to nie jedyny szwank w tych systemach bowiem jest ich wiecej (ICAM)
ICAM wprowadzil dodatkowy model bezpieczenstwa a inny spierd... ten pierwszy tez jest juz spierd. ale o co mi dokladnie chodzi
warunek1 = jest dostepny poprzez icam , warunek1 zostal wyeliminowany przez producenta procesorow (broadcom) ale zostal umozliwiony poprzez modul ktory rozszerza jego funkcjonalnosc nazywa sie icam , funkcjonalnosc keyladdera
te procesory sa personalizowane pod dany system CA , personalizacja wprowadza dodatkowa funkcjonalosc specyficzna dla danego systemu
blad odnosnie warunku1 (i nie tylko) popelnil tutaj manufacutrer 2 lub 3
to podobnie jak z procesem weryfikacji sygnatury autoryzacji kodu itd. jest manuf1 2 i 3 i kazdy robi sobie co chce kazdy kolejny moze cos sp.. po drodze
teraz kilka slow do otylego pana vifona
jak zapewne wiesz w STI H2 - H4 komunikacja z crypto procesorem (keyladderem itd.) odbywa sie poprzez wykonanie kodu TANGO_SC a sttkd to tylko proxy jest
sam TANGO_SC jest podpisany kluczem CA_VENDOR i nie da sie zmienic jego struktury dopisac czegos lub czegos zmienic wiec teoretycznie nie da sie zlamac nic (nazwijmy to zlamac
)
co powiesz na to ze niektore operatory maja dekodery z STI H418 NDX a tam jest ICAM ktory powinien zawierac moj warunek1 i to powinno mi wystarczyc do przeprowadzenia pewnego ataku (STI7111-SUC i te sprawy)
po wykonaniu pelnego ataku powinno sie udac obliczyc kazdy z kluczy sprzetowych min. csa-root-key nie da sie jednak obliczyc kluczy z otp
otp = klucze sprzetowe ktore sa wykorzystywane do dekodowania kluczy parujacych sa wyliczane z czegos , wg. schematu ETSI wszystko powinno zaczynac sie od klucza ESCK_OTP ten klucz podlegac ma jakiejs de-obffuskacji nastepnie jakas wartosc ma zostac wyliczona (public_id + esck_obff)
czyli obliczona wartosc klucza sprzetowego (te ktore mozna obliczyc atakiem) bedzie w kazdym procesorze inna bo jest wyliczana na podstawie public_id (niepamietam dokladnie chipset id) o to mi chodzi chipset id to numer seryjny procesora w nagrze nazywa sie nuid itd.
a wiec wewnetrzny wynik kalkulacji klucza bedzie inny w kazdym procesorze i ten wynik jest do odczytu po zastosowaniu ataku jednak przed ten wynik nie uda sie dostac stosujac ten atak (mozliwe ze jakis inny) bo nie ma dostepu do wejscia danych
wejscie danych = to jest min. czesc warunku1
wiec po zastosowaniu ataku bedzie dostep do kluczy nazwijmy je SCK (obliczona wartosc przez procesor) i to jest w wiekszosci przypadkow wystarczalne (innym wystarcza nawet sam zdekodowany zewnwetrzny klucz poprzez SCK) le.. ja sie na tym zatrzymam bo jestem uparty i chce wiecej
kto wie moze kiedys jakims sposobem uda sie dostac rowniez do ESCK i bedzie mozna liczyc klucze parujace bez dostepu do procesorow (danego operatora) ja do tego podchodze jak do zabawy w wiekszosci traktuje jak zabawe i jest wiele rzeczy , zostalo wiele rzeczy przezemnie zrobionych w tych i podobnych kierunkach o ktorych nie wie nikt
to odnosnie H2xx - H4xx z ICAM jak ja to widze
2. sponsor
pamietacie jak pisalem ze wymienialem z pewna osoba informacje 2013 - 2016r z panem od procesorow ten pan mial jakiegos swojego sponsora i przez niego sie rozstalismy
zaczelo sie od tego jak ten pan opracowal modchipa pod sti7100 bxzb bzzb sterownik ktory umozliwial dekodowanie control words bez dodatkowego overcypt na prockach 7100 , poprostu koles dostal odemnie troche narzedzi i zabawek i przy uzyciu nich udalo mu sie odpalic stpti4 + pare innych nastepnie po jakis tam experymentach udalo mu sie odnalesc adres spod ktorego procesor pobieral control word i dekodowal obraz (pomimo aktywnego bezpiecznika trans_cw secure ON) to robil bo to partacze z sti
no i jak zrobil to postawil mnie przed faktem ze jakis jego sponsor dostanie to od niego i bedzie robil... na tym nie koniec pare dni po patrze a na allegro pojawily sie mydelniczki iti2850 bez wymiany cpu okazalo sie ze pan od procesorow odpalil to samo min. na iti2850 + sagemcom esi88 uhd88 itd ogolem to chyba na wszystkich dekoderach z sti z PL ten exploit dzialal i na nowo postawil mnie przed faktem
sorry wiesz co dales mi pewne narzedzia i bez nich nie byloby tego co jest zrobione ale dam ci pelny kod pod 7100 i rob sobie z nim co chcesz ale reszte (iti2850 sagemcom itd.) dostaje moj sponsor na wylacznosc - a ja na to a wez ty sp. zebys to jeszcze ty samemu robil a nie jakis glomb ktory nie ma pojecia co i jak dziala itd. pozatym co to za propozycja narzucona z gory wkoncu pan od procesorow sie wk... i wycofal jemu calkiem te mydelniczki itd. i nikt tego nie dostal
mysle ze zachowal sie lojalnie niemniej jednak pozniej nasze drogi sie rozstaly mysle ze to ten jakis tam sponsor naciskal na niego zeby zerwal ze mna kontakt bo ja jemu przeszkadzalem ale to nic...
nic = glownie chodzilo o to ze ja sie pewnych rzeczy od tego pana nauczylem i w wiekszosci kwestii pytalem o pomoc ale jego juz nie bylo a ja potrzebowalem rozwinac tematy zwiazane z fpga i min. atakami na procesory niestety w mojej liscie kontaktow nie mialem nikogo poza nim wiekszosc ludzi to glownie revers kodu programowanie w C i te tematy a nt. fpga czy atakow pojecie zerowe
w koncu przyszedl czas to byl gdzies 2017 rok ze wrocilem do tego wszystkiego i zaczalem ogarniac fpga itd. to wszystko wyszlo na dobre a jaki z tego moral to taki ze cokolwiek czegokolwiek nie robisz w jakims kierunku nie wsp. z nikim !!! o tym jak sprawy pana z torunia wraz z panem z hashem sie potoczyly macie prosty przyklad wszedzie tam gdzie sa $ bedzie wojna ja po tylu latach juz mam tych ludzi dosyc a moja lista kontaktow w 90% sa to ludzie ktorzy to robia wylacznie dla zabawy i z ktorymi wymieniam pewne informacje , pozostale 10% to jest min. stary znajomy ktory nie robi tego dla zabawy (klocilismy sie juz chyba ze 3 razy i za kazdym razem do siebie wracalismy
tlumaczac sobie pewne kwestie)
jeszcze co do kwestii kakkakekeke7 to jak zauwazyliscie mnie to raczej niezbyt interesuje i ja sie nie ograniczam tylko do tego jest wiele innych ciekawych... i pojawia sie kwestia co z 4K w PL
powiem tak jedyne na co mozecie liczyc to ze od kogos pojawi sie pewien plugin na % a odnosnie rozpracowania nowego sprzetu nie ma wogole takiej opcji przynajmniej przez kilka kolejnych lat niestety nie bedzie
no to tyle co mialem do dodania
dobranoc