Ingeniería inversa con IA

Una guía práctica de investigación para la ingeniería inversa de firmware y software cifrados, utilizando IA para apoyar el análisis, los experimentos y la revisión.

La cuestión central es dónde se vuelve utilizable el material protegido y si ese punto es observable. Recuperar una clave es una vía. Otras incluyen encontrar un artefacto en texto plano equivalente, observar una transformación, ejecutar un lector existente o reconstruir el comportamiento sin recuperar la clave.

Este repositorio contiene un estudio de 31 métodos, un marco de evidencia, ejemplos de fuentes públicas y plantillas de investigación reutilizables. Abarca el análisis de archivos, la instrumentación de software, la reubicación de entornos (rehosting), la adquisición de hardware, los canales laterales y las limitaciones criptográficas. Cada método distingue los requisitos previos, los resultados posibles y la evidencia necesaria para respaldar una conclusión.

Empieza aquí

1. Sigue el flujo de trabajo de investigación para identificar el artefacto, el resultado deseado y el acceso disponible.
2. Utiliza el estudio de métodos para elegir un experimento adecuado.
3. Aplica el marco de evidencia antes de afirmar una recuperación o explicar un fallo.
4. Utiliza la guía de colaboración con IA para dividir la investigación y la revisión sin convertir el acuerdo del modelo en prueba.
5. Registra el experimento en la plantilla de investigación.

Los estudios de caso de fuentes públicas ilustran el diseño de imágenes cifradas, el descifrado transparente de flash, la persistencia de ajustes de Android y los hitos de arranque. El índice de fuentes enlaza la documentación, las implementaciones y los artículos utilizados a lo largo de la guía.

Elige el resultado antes de elegir la herramienta

Resultado deseado	Qué lo establecería
Un artefacto en texto plano	Autenticación correctamente delimitada o concordancia con una referencia independiente, con estructura coherente
Una clave de contenido reutilizable	Descifrado validado de forma independiente en muestras aplicables, con el alcance de la clave identificado
Una clave de dispositivo o raíz	Identidad y alcance de la clave verificados; una clave de contenido o un identificador de clave por sí solos no son suficientes
Una explicación del comportamiento	Trazas concretas, flujo de datos y pruebas que cubran el comportamiento declarado
Un ejecutable reconstruido	Corrección del formato más comportamiento representativo en un entorno documentado
Una imagen modificada aceptada por el fabricante	Evidencia separada para la firma real y la ruta de aceptación de arranque

Correcciones que cambian la investigación

• La alta entropía es una pista sobre la aleatoriedad. Tanto la compresión como el cifrado pueden producirla; registra la herramienta, la escala y el tamaño de ventana. Documentación de entropía de Binwalk
• La ubicación del bootloader depende de la plataforma y del formato de imagen. Los primeros 64 KB no son una regla general de extracción, y un paquete de actualización puede omitir el bootloader.
• El cifrado y las firmas resuelven problemas distintos. Recuperar el texto plano no proporciona la clave de firma ni establece que una imagen modificada vaya a arrancar. Imágenes cifradas de MCUboot
• Un comando exitoso, una cadena plausible, una biblioteca cargada o el retorno de un wrapper necesitan validación en la capa relevante para la afirmación. Consulta los ejemplos basados en fuentes.
• La criptografía fuerte no se vuelve prácticamente rompible por un descompilador o un modelo de lenguaje. El progreso útil suele provenir de la implementación circundante, de representaciones accesibles o de una debilidad específica demostrada. Investigación sobre bicliques de AES completo

Alcance y procedencia

La investigación inicial se desarrolló mediante investigación especializada asistida por IA y revisión crítica, incluidas contribuciones de Astra, Opus y Fable. Las revisiones se integraron de forma selectiva: se rechazaron las interpretaciones no respaldadas y el trabajo solapado. La guía resultante formula afirmaciones metodológicas y cita fuentes públicas; no afirma un nuevo descifrador universal ni un compromiso demostrado de un dispositivo concreto.

El repositorio público contiene texto de investigación, enlaces públicos, plantillas en blanco y una herramienta de validación de documentación. Los binarios de firmware, las capturas privadas, los identificadores de dispositivos, las claves extraídas, las credenciales y los registros operativos quedan fuera de su alcance de publicación. Aplique los métodos a sistemas y artefactos que esté autorizado a examinar.

Validar el repositorio

Python 3.9 o posterior es suficiente; no se requieren paquetes de terceros.

python3 tools/check_docs.py
python3 tools/check_docs.py --self-test

El arnés local verifica el inventario de archivos, los enlaces de Markdown, la numeración de métodos, el índice de fuentes, los registros de versiones y varios patrones comunes de publicación accidental. No ejecuta firmware, no contacta dispositivos, no obtiene sitios web enlazados ni demuestra que cada afirmación técnica sea correcta. La verificación de fuentes sigue formando parte de la revisión de la investigación.

Versión actual de la documentación: 1.0.0. Consulte el registro de cambios y el historial de solo adición.