µCs mit geschossenen Sicherheitfuses auslesen?

Eine lowlevel Variante: Fuses freilegen und manipulieren.
Gegenmassnahme: Metal-Layer drüberlegen, der daran hindert.

http://www.flylogic.net/blog

Einen Metal Layer macht man mit einem UV Laser weg.

Pfiffigere Gemüter geben dem aber eine Funktion und machen ihn nicht 
flächig, so dass danach nichts mehr geht. Ausserdem könnte man auf die 
Idee kommen, kritische Fuses doppelt und komplementär auszulegen, das 
sollte den Spass etwas erschweren.

Und wie finden die Jungs die Stelle auf dem Chip, die mit UV-Licht 
befunzelt werden muß?

Reinhard Kern schrieb:
> Uhu Uhuhu schrieb:
>> Man liest immer mal wieder, es gäbe Firmen, die sowas anbieten.
>>
>> Wie machen die das?
>
> Hallo,
>
> ist garnicht gesagt, dass die das machen - die können auch einfach eine
> fette Vorauszahlung kassieren und dann nichts mehr tun. Der Auftrag ist
> ja illegal, also kann der Auftraggeber auch nicht klagen. Sozusagen
> Kriminelle unter sich. Es hat übrigens auch noch nie jemand gewaschenes
> Geld aus Nigeria bekommen.
>
> Gruss Reinhard

Hey

Dazu kann ich nur mal sagen das ihr mal im Lawblog danach suche müsst 
das eine Frau aus GB jemanden dafür bezahlt hat ihren Mann umzubringen 
und der "Killer" aber lieber in den Urlaub gefahren ist, tja die Frau 
hat ihn angezeigt und gewonnen :D

Gruß Max

PS: Das erste mal Offtopic von mit in einem normalen Thread man möge es 
mir verzeihen ^^

A. K. schrieb:
> Eine lowlevel Variante: Fuses freilegen und manipulieren.
> Gegenmassnahme: Metal-Layer drüberlegen, der daran hindert.
>
> http://www.flylogic.net/blog

Die Bilder sind schon beeindruckend!

Reinhard Kern schrieb:

> Der Auftrag ist
> ja illegal, also kann der Auftraggeber auch nicht klagen.

Auch illegal, wenn jemand seinen eigenen Code verschlampt? Oder von der 
eingesetzten Hardware eine Sicherheitsanalyse haben möchte?

Uhu Uhuhu schrieb:

> Und wie finden die Jungs die Stelle auf dem Chip, die mit UV-Licht
> befunzelt werden muß?

Dummheit hilft da bestimt nicht weiter. Erfahrung und reverse 
engineering schon eher. Chipstrukturen sehen nur für Laien wie 
undurchschaubarer Wirrwar aus. Man wird natürlich ein paar normale 
Exemplare für Tests verbraten müssen.

Ich könnte mir zudem vorstellen, dass Erkenntnisse aus einem Chip oft 
auch auf andere des gleichen Herstellers anwendbar sind.

Ich vermute mal, daß einfach nur durch entsprechende Spannungspulse an 
VCC bzw. anderen Pins der Chip dazu gebracht wird, die Lockbits falsch 
zu latchen.

Leider wird beim IC-Design oftmals nur sehr ungenügend auf das 
Ein-/Ausschaltverhalten geachtet.

Bekannt ist z.B. daß der ATtiny22 die Clockfuse oft falsch gelatcht 
hatte und dann auf nen externen Clock wartete, obwohl man internen Clock 
gesetzt hatte. D.h. er war wie tot und nichtmal ein Reset half. Nur ein 
komplettes Abschalten der VCC.


Man braucht also nur nen programmierbaren Signalgenerator und viel Zeit 
zum Experimentieren.


Peter

Reinhard Kern schrieb:

> ist garnicht gesagt, dass die das machen - die können auch einfach eine
> fette Vorauszahlung kassieren und dann nichts mehr tun. Der Auftrag ist
> ja illegal, also kann der Auftraggeber auch nicht klagen.

Nur wenn du oder ich das machen. Unter Konkurrenten ist das offenkundig 
üblich und daher nicht nennenswert strafbar:
http://www.heise.de/newsticker/meldung/US-Gericht-Knacken-von-DRM-unter-Pay-TV-Konkurrenten-ueblich-208157.html

> Sozusagen Kriminelle unter sich.

Jau, und daher hebt sich das auf, wie man sieht.

Daß das so grundsätzlich verboten sein soll, ist doch völliger Quatsch.

Dabei ist das das Prinzip allgegenwärtig, das in derlei Zusammenhängen 
zum Tragen kommt: Man denke nur an den Alltagsgegenstand Messer.

Kann man eigentlich den Zustand einer Flash-Zelle auf dem freigelegten 
Chip irgendwie sichtbar machen? (Das wäre die bequemste Methode, sich 
einen Überblick zu verschaffen, was eine Schreiboperation auf den Flash 
für Auswirkungen hat.) Kann man die Zellen einzeln durchmessen?

Es gibt Firmen, die man damit beauftragen kann, um z. B. Patentverstösse 
nachzuweisen.

Und die Position festzustellen geht schon, man kann die Ladungen 
sichtbar machen durch aufschleifen und mit einem Elektronenmikroskop 
nachsehen. Dann kann man einen Vergleichsbaustein mit gebrannter und 
ungebrannte Fuse vergleichen und hat die Stelle.

Wenn man dann noch ein bischen genauer schaut, kann man auch die 
Schaltung um die Fuse herausfinden (das geht, indem man scheibschenweise 
die Struktur runterschleift und sich die verschiedenen Lagen ansieht) 
und dann mit einer Nadel auf dem Testbaustein entsprechend die Signale 
verfälscht.

Alternativ sind die Flashes natürlich ziemlich regelmässige Strukturen, 
man kann den Inhalt, nachdem man die Struktur bei einem 
Vergleichsbaustein untersucht hat, schlicht auslesen (mit dem 
Elektronenmikroskop).

Das Runterschleifen von so einer Decklage ist übrigends kein Problem.

Ist zwar ein bischen Arbeit, geht aber. Ein Kunde von mir macht das 
dauernd.

Und geöffnet werden die Bausteine mit Säure.

Gruss
Axel

Kann man so eine Sicherung per Fuse/Lock-Bit nur mit derart teuren 
Methoden umgehen? Oder reicht da schon etwas Bitgeschubse in einem 
Programmer?

Hab hier einen AT89 den ich gern damit sichern möchte :)

Man weiss es nicht.

Solange der Baustein innerhalb der Spec benutzt wird, wird die Fuse 
sicher funktionieren. Spannend wird es, wenn der ausserhalb der Spec. 
verwendet wird.

Da kann es dann u. U. bei 6V oder 180° vielleicht schon passieren, dass 
so eine Fuse doch beschreibbar wird. Allerdings hat man dann alle 
Chancen, auch das Programm zu verändern, so das man nichts gewonnen hat.

Aber auch das dürfte eher aufwendig sein, es sei denn, jemand hat dazu 
schon mal was im Netz veröffentlicht. Aber da dürfte der Hersteller dann 
auch schon nachgebessert haben.

Gruss
Axel