Reverse Engineering mit KI

Ein praktischer Forschungsleitfaden für das Reverse Engineering verschlüsselter Firmware und Software, wobei KI zur Unterstützung von Analyse, Experimenten und Review eingesetzt wird.

Die zentrale Frage ist, wo geschütztes Material nutzbar wird und ob dieser Punkt beobachtbar ist. Das Wiederherstellen eines Schlüssels ist ein Weg. Andere umfassen das Auffinden eines äquivalenten Klartext-Artefakts, das Beobachten einer Transformation, das Ausführen eines vorhandenen Readers oder die Rekonstruktion von Verhalten ohne Wiederherstellung des Schlüssels.

Dieses Repository enthält eine Übersicht über 31 Methoden, ein Evidenz-Framework, Beispiele aus öffentlichen Quellen und wiederverwendbare Untersuchungsvorlagen. Es behandelt Dateianalyse, Software-Instrumentierung, Rehosting, Hardware-Beschaffung, Seitenkanäle und kryptografische Grenzen. Jede Methode unterscheidet Voraussetzungen, mögliche Ergebnisse und die Evidenz, die zur Stützung einer Schlussfolgerung erforderlich ist.

Hier beginnen

1. Folge dem Untersuchungs-Workflow, um das Artefakt, das gewünschte Ergebnis und den verfügbaren Zugang zu identifizieren.
2. Nutze die Methodenübersicht, um ein geeignetes Experiment auszuwählen.
3. Wende das Evidenz-Framework an, bevor du eine Wiederherstellung behauptest oder einen Fehlschlag erklärst.
4. Nutze den KI-Kollaborationsleitfaden, um Forschung und Review aufzuteilen, ohne Modellübereinstimmung in einen Beweis zu verwandeln.
5. Dokumentiere das Experiment in der Untersuchungsvorlage.

Die Fallstudien aus öffentlichen Quellen veranschaulichen das Design verschlüsselter Images, transparente Flash-Entschlüsselung, die Persistenz von Android-Einstellungen und Boot-Meilensteine. Der Quellenindex verlinkt die Dokumentation, Implementierungen und Papers, die im gesamten Leitfaden verwendet werden.

Wähle das Ergebnis, bevor du das Werkzeug wählst

Gewünschtes Ergebnis	Was es belegen würde
Ein Klartext-Artefakt	Korrekt abgegrenzte Authentifizierung oder unabhängige Referenzübereinstimmung, mit kohärenter Struktur
Ein wiederverwendbarer Inhaltsschlüssel	Unabhängig validierte Entschlüsselung anwendbarer Proben, mit identifiziertem Schlüsselumfang
Ein Geräte- oder Root-Schlüssel	Verifizierte Schlüsselidentität und -umfang; ein Inhaltsschlüssel oder Key-Handle allein ist unzureichend
Eine Erklärung des Verhaltens	Konkrete Traces, Datenfluss und Tests, die das angegebene Verhalten abdecken
Eine rekonstruierte ausführbare Datei	Formatkorrektheit plus repräsentatives Verhalten in einer dokumentierten Umgebung
Ein vom Hersteller akzeptiertes modifiziertes Image	Getrennte Evidenz für die tatsächliche Signatur und den Boot-Akzeptanzpfad

Korrekturen, die die Untersuchung verändern

• Hohe Entropie ist ein Hinweis auf Zufälligkeit. Kompression und Verschlüsselung können beide Entropie erzeugen; dokumentiere Werkzeug, Skala und Fenstergröße. Binwalk-Entropie-Dokumentation
• Die Platzierung des Bootloaders folgt der Plattform und dem Image-Format. Die ersten 64 KB sind keine allgemeine Extraktionsregel, und ein Update-Paket kann den Bootloader auslassen.
• Verschlüsselung und Signaturen lösen unterschiedliche Probleme. Das Wiederherstellen von Klartext liefert nicht den Signaturschlüssel und belegt nicht, dass ein modifiziertes Image booten wird. MCUboot verschlüsselte Images
• Ein erfolgreicher Befehl, ein plausibler String, eine geladene Bibliothek oder ein Wrapper-Rückgabewert müssen auf der für die Behauptung relevanten Ebene validiert werden. Siehe die quellenbasierten Beispiele.
• Starke Kryptografie wird durch einen Decompiler oder ein Sprachmodell nicht praktisch brechbar. Nützlicher Fortschritt entsteht meist aus der umgebenden Implementierung, zugänglichen Repräsentationen oder einer konkret nachgewiesenen Schwäche. Forschung zu Full-AES-Biclique

Umfang und Provenienz

Die ursprüngliche Forschung wurde durch KI-unterstützte Spezialistenforschung und kritisches Review entwickelt, einschließlich Beiträgen von Astra, Opus und Fable. Reviews wurden selektiv integriert: nicht gestützte Interpretationen und überlappende Arbeiten wurden verworfen. Der resultierende Leitfaden erhebt methodische Ansprüche und zitiert öffentliche Quellen; er beansprucht weder einen neuen universellen Entschlüsseler noch einen nachgewiesenen Kompromittierung eines bestimmten Geräts.

Das öffentliche Repository enthält Forschungstexte, öffentliche Links, leere Vorlagen und ein Werkzeug zur Dokumentationsvalidierung. Firmware-Binärdateien, private Mitschnitte, Gerätekennungen, extrahierte Schlüssel, Zugangsdaten und Betriebsprotokolle liegen außerhalb seines Veröffentlichungsumfangs. Wenden Sie die Methoden auf Systeme und Artefakte an, deren Untersuchung Sie autorisiert sind.

Das Repository validieren

Python 3.9 oder höher ist ausreichend; es werden keine Pakete von Drittanbietern benötigt.

python3 tools/check_docs.py
python3 tools/check_docs.py --self-test

Der lokale Prüfrahmen prüft das Dateiinventar, Markdown-Links, die Methodennummerierung, den Quellenindex, Versionsdatensätze und mehrere gängige Muster versehentlicher Veröffentlichung. Er führt keine Firmware aus, kontaktiert keine Geräte, ruft verlinkte Websites nicht ab und beweist nicht, dass jede technische Aussage korrekt ist. Die Quellenverifizierung bleibt Teil der Forschungsprüfung.

Aktuelle Dokumentationsversion: 1.0.0. Siehe das Changelog und die nur anhängend geführte Historie.