رقاقة تعديل طرف مستخدم Starlink

يُرافق هذا المستودع المحاضرة المعنونة "Glitched on Earth by Humans: A Black-Box Security Evaluation of the SpaceX Starlink User Terminal".
شرائح العرض متاحة هنا، ومن المتوقع أن يتوفر تسجيل للمحاضرة قريبًا.

تغطي المحاضرة كيفية تمكنّا من تنفيذ كود عشوائي على طرف مستخدم Starlink باستخدام modchip مخصص يقوم بحقن أخطاء الجهد. يمكن استخدام هذا الـ modchip لتجاوز التحقق من التوقيعات أثناء تنفيذ محمّل الإقلاع ROM الخاص بنظام على رقاقة (SoC) (BL1). وهذا يسمح بتنفيذ كود عشوائي على الـ SoC بدءًا من BL2 فصاعدًا، ويتيح استكشافًا أعمق لطرف مستخدم Starlink والجانب الشبكي للنظام. نوفر تصميم الـ modchip ليتمكن باحثون آخرون من البناء على عملنا.

🚨 استخدم على مسؤوليتك الخاصة 🚨

على الرغم من أننا اختبرنا ونستخدم تصميم الـ modchip المقدم، فمن الممكن التسبب بضرر دائم لطرف المستخدم باستخدام هذا الـ modchip. وبالمثل، قد يؤدي تفكيك طرف المستخدم إلى ضرر دائم ومن المرجح أن يبطل الضمان.

نظرة عامة على تصميم Modchip

يتم التحكم في الـ modchip بواسطة متحكم دقيق RP2040 يعمل على خط eMMC D0 وينتج نبضتين مع تأخير وإزاحة (قابلين للبرمجة) لمشغّل MOSFET. تتحكم إحدى هاتين النبضتين في MOSFET الخاص بالخلل (glitch)، فعند رفع بوابة هذا الـ MOSFET إلى المستوى المنطقي المرتفع، سيتم توصيل مصدر جهد نواة الـ SoC بالأرض. أما النبضة الثانية المولّدة من RP2040 فتتيح التحكم في اثنين من MOSFET يمكنهما تمكين أو تعطيل مجموعتين من المكثفات. هذه المكثفات ضرورية للإقلاع الكامل لطرف المستخدم (UT)، لكن لا يمكن تمكين مجموعتي المكثفات أثناء خلل الجهد لأن ذلك سيمنعنا من الحصول على الخلل المطلوب.

مخطط الدارة وملفات Gerber لإنتاج الـ modchip الخاص بك متوفرة هنا.

المتطلبات الأساسية

• قم بتفكيك طرف المستخدم UT. توقف هنا إذا كنت لا تريد إبطال ضمان UT أو إذا لم تكن مستعدًا لتحمل خطر الضرر الدائم.
  • تُظهر عدة مقاطع فيديو على يوتيوب هذه العملية.
• اقرأ محتويات شريحة eMMC. قم بعمل نسخة احتياطية!
  • يمكن قراءة شريحة eMMC وهي مثبتة في الدارة عبر التوصيل بنقاط الاختبار CMD وCLK وD0.
  • تتطلب الشريحة eMMC مستويات منطقية 1V8!
  • توجد عدة أدوات لقراءة شرائح eMMC، ومن الخيارات الجيدة والرخيصة (12 دولارًا) محول eMMC منخفض الجهد من exploitee.rs.
• ستحتاج إلى استخراج مراحل الإقلاع المختلفة وتعديلها وإعادة تجميعها لتعطيل التحقق من التوقيعات.
  • يتم توثيق تخطيط eMMC في إصدار U-Boot GPL في الملف spacex_catson_boot.h.
  • يمكن العثور على مزيد من المعلومات حول استخراج البرنامج الثابت في مقالنا على المدونة.
  • تعتمد مراحل الإقلاع المبكرة جميعها على مشروع ARM Trusted Firmware-A.
    • يمكنك استخدام TF fiptool لفك حزم Firmware Image Packages إلى أجزائها المنفصلة.
    • يمكن تعديل مراحل الإقلاع هذه باستخدام Ghidra بعد بعض التحليل الثابت الأساسي (استخدم كود TF-A مفتوح المصدر لتوجيه جهودك).
    • تأكد من تعطيل التحقق من التوقيع وإعادة تفعيل إخراج UART.
    • حدّث تجزئة البرنامج الثابت في الشهادات. نحن نُحدث خللًا في التحقق من التوقيع، لكن التجزئة يجب أن تظل صالحة.
  • بالمثل، ستحتاج إلى إجراء بعض التغييرات على صورة U-Boot لتعطيل التحقق من التوقيع.
    • يمكنك أيضًا زيادة معامل bootdelay.

تركيب الـ modchip على لوحة UT الخاصة بـ Starlink

• تأكد من أن الـ modchip الذي قمت بتجميعه يعمل قبل محاولة لحامه في مكانه.

• أزل مكثفات الفصل (decoupling capacitors) داخل المربعات الحمراء، فهي تُستخدم عادةً لتثبيت جهد نواة الـ SoC.

• قم بمحاذاة الـ modchip المُجمّع على لوحة UT وثبّته باللحام باستخدام الثقوب المسننة (castellated holes). احرص على عدم إحداث أي ماس كهربائي بين مصدر جهد النواة والأرض.

  • الثقوب المسننة في أقصى اليمين ليست في الموضع الصحيح. يمكنك إعادة تصميم اللوحة أو ببساطة تغطية الوسادات المكشوفة على لوحة UT وتوصيل الثقوب المسننة بوسادة أرضية قريبة (انظر الصورة).

• وصّل نقطة الاختبار الموسومة بـ UT RST بدبوس التمكين لمنظم جهد النواة.

• وصّل نقطة الاختبار الموسومة بـ 12V بمصدر 12V قريب على لوحة UT.

• وصّل وسادة القفز (jumper pad) في أقصى اليمين (أسفل الزر) بنقطة اختبار eMMC D0.

  • قمنا بذلك بسبب تحديث برنامج ثابت عطّل إخراج UART.

• وصّل نقطة الاختبار الموسومة بـ 1V8 بمصدر 1.8V قريب على لوحة UT (يوجد مكثف فصل بجوار شريحة eMMC موصول بمصدر 1V8).

يجب أن تكون الآن جاهزًا لبدء الخلل، حظًا موفقًا! يحتوي مجلد Python على مثال يوضح كيف يمكنك البدء في استخدام الـ modchip للتجارب.

المشكلات والقيود المعروفة

• صُمم الـ modchip قبل أن تطرح SpaceX تحديثًا للبرنامج الثابت يعمل على حرق فيوز لتعطيل جميع مخارج UART. صُمم الـ modchip في البداية ليعمل على إخراج UART، لكن يمكن تكييفه ليعمل على إشارة eMMC D0. في مراجعة أحدث، سيكون من المفيد القدرة على قراءة إخراج UART بالإضافة إلى العمل على بيانات eMMC D0. يمكن إعادة تفعيل UART في BL2، ويوفّر طريقة سهلة للتحقق من نجاح الخلل.
• صُمم الـ modchip لطرف المستخدم الدائري، ومن المفترض أن يعمل الهجوم نفسه على طرف المستخدم المربع لكنه سيتطلب منك تصميم لوحة PCB جديدة.
• يوجد جزء من الثقوب المسننة في موضع خاطئ. كن حذرًا عند استخدام التصميم كما هو واتبع تعليمات التركيب وفقًا لذلك.
• قد يؤدي فصل الـ modchip عن كمبيوتر التحكم بعد نجاح الخلل إلى إعادة تشغيل الطبق. يرجح أن السبب هو نقص مقاوم سحب إلى الأرض (pull-down) على دبوس IN A في مشغّل MOSFET MCP1405.
• يتوقع البرنامج الثابت المقدم وجود كمبيوتر تحكم خارجي لتنسيق محاولات حقن الخلل. من المفترض أن تحويل هذا إلى modchip مستقل باستخدام نواة Cortex-M0 الثانية (غير المستخدمة حاليًا) في RP2040 أمر بسيط إلى حد ما.

الأسئلة الشائعة

• نحن لا نبيع modchips جاهزة
• نحن لا نوفر برنامجًا ثابتًا (معدلًا) لطرف مستخدم Starlink
• نحن لا نوفر معاملات الخلل الدقيقة. تحتوي شرائح العرض على تلميحات متنوعة، وستتباين المعاملات اعتمادًا على طريقة تعديلك للبرنامج الثابت.