Avertissement

Toutes les informations sont fournies à des fins éducatives uniquement. Suivez ces instructions à vos propres risques. Ni les auteurs ni leur employeur ne sont responsables des dommages directs ou indirects ou des pertes résultant de toute personne ou organisation agissant ou s'abstenant d'agir sur la base des informations contenues dans cette page.

Description

Au début de l'année 2020, nous avons découvert la technique Red Unlock qui permet d'extraire le microcode Intel Atom. Nous avons pu étudier la structure interne du microcode et l'implémentation des instructions x86. Nous avons également retrouvé le format des mises à jour de microcode, l'algorithme et la clé de chiffrement utilisés pour protéger le microcode (voir RC4).

FAQ

1. Puis-je créer une mise à jour de microcode personnalisée ?

Non, vous ne le pouvez pas. Seul le déchiffrement est pris en charge, car le microcode possède une signature RSA pour la protection de l'intégrité.

2. Quels types de processeurs sont pris en charge ?

La clé de déchiffrement d'une mise à jour de microcode dépend de la génération du processeur. Nous avons extrait les clés pour les générations Intel Gemini Lake (microarchitecture Goldmont Plus) et Intel Apolo Lake (microarchitecture Goldmont). Voir Liste des processeurs pris en charge

3. Comment avez-vous extrait les clés ?

En exploitant des vulnérabilités dans Intel TXE, nous avons activé un mode de débogage non documenté appelé red unlock et extrait des dumps du microcode directement depuis le processeur. Nous y avons trouvé les clés et l'algorithme.

4. Où puis-je trouver plus d'informations à ce sujet ?

Voir nos présentations Chip Red Pill : Comment nous avons réussi à exécuter du microcode arbitraire dans les processeurs Intel Atom de l'OffensiveCon22.

Python

Tous nos scripts sont écrits en Python. Nous recommandons d'utiliser Python 3. Les scripts nécessitent le paquet pycryptodome. Pour installer pycryptodome, exécutez la commande suivante :

pip3 install pycryptodome

Déchiffrement des mises à jour de microcode

Exécutez le script dec_uUpd_Atom_apl.py pour les processeurs Apolo Lake :

C:\microcode>py -3 dec_uUpd_Atom_apl.py cpu506C9_plat03_ver00000040_2020-02-27_PRD_2FC3D618_.bin
Hash matched at length 0x3E00 (15872)
Data entropy: 6.898306

Exécutez le script dec_uUpd_xu_Atom_glp.py pour les processeurs Gemini Lake :

C:\microcode>py -3 dec_uUpd_xu_Atom_glp.py cpu706A8_plat01_ver00000018_2020-06-09_PRD_1D9A5DFE.bin
Patch hash matched: enc size: 0x3480
Patch data entropy: 6.438890
XuCode hash matched: size: 0xed40
XuCode data entropy: 7.752765

Dépaquetage du XuCode déchiffré (Goldmont Plus uniquement)

Exécutez le script XuUnp.py pour les processeurs Goldmont Plus :

C:\microcode>py -3 XuUnp.py cpu706A8_plat01_ver00000018_2020-06-09_PRD_1D9A5DFE.bin.xu.dec
Processing cpu706A8_plat01_ver00000018_2020-06-09_PRD_1D9A5DFE.bin.xu.dec
. ELF at 0x28
. Parking: 0xD58+944
. XuRT: 0x16EC+D404
. Decompressing 54276 -> 101448, be patient...
+ Unpacked OK

À propos de XuCode

XuCode est la partie logicielle de la technologie SGX ; des fichiers ELF sont intégrés dans la mise à jour de microcode.

Voir : XuCode : une technologie innovante pour l'implémentation de flux d'instructions complexes

Liste des processeurs pris en charge

La mise à jour de microcode peut être déchiffrée pour les processeurs suivants :

Équipe de recherche

Mark Ermolov (@_markel___)

Maxim Goryachy (@h0t_max)

Dmitry Sklyarov (@_Dmit)