Sony WH-1000XM4 Voice Pack Extractor

Decriptare ed estrarre i promemoria MP3 della guida vocale dai file firmware crittografati delle Sony WH-1000XM4.

La chiave AES-128-CBC è stata estratta scaricando il firmware Airoha MT2811 delle cuffie tramite Bluetooth Low Energy usando il protocollo RACE, poi disassemblando la routine di decriptazione FOTA del ARM Cortex-M4. Documentazione tecnica completa: docs/WRITEUP.md

Avvio Rapido

# Installare Bun (se non già installato)
curl -fsSL https://bun.sh/install | bash

git clone https://github.com/HelgeSverre/sony-vp-extract.git
cd sony-vp-extract
bun install

# Scarica automaticamente dal CDN Sony, poi estrae
bun run cli/extract.ts --all

Utilizzo

# Estrai tutto — scarica automaticamente dal CDN Sony se voice-packs/ è vuoto
bun run cli/extract.ts --all [input-dir] [output-dir]

# Estrai un singolo pacchetto vocale
bun run cli/extract.ts voice-packs/VP_english_UPG_03.bin extracted/

# Mostra informazioni sul pacchetto vocale
bun run cli/extract.ts --info voice-packs/VP_english_UPG_03.bin

# Solo download (nessuna estrazione)
bun run cli/extract.ts --download [output-dir]

Alternativa Python

uv run extract_all.py

Scarica dal CDN Sony + decripta + estrae — tutto in un unico comando. Le dipendenze sono dichiarate inline (PEP 723) — uv run gestisce tutto automaticamente.

Lingue Disponibili

Formato del Pacchetto Vocale

┌───────────────────────────────────────┐
│  Header (4096 bytes)                  │
│  ├── 0x000  Random nonce (32 bytes)   │
│  └── 0x100  TLV metadata             │
│       ├── compression_type = 2        │
│       ├── body_size                   │
│       ├── decompressed_size (1 MB)    │
│       └── SHA-256 of decompressed     │
├───────────────────────────────────────┤
│  Body (offset 0x1000+)               │
│  AES-128-CBC encrypted               │
│  └── LZMA1 compressed                │
│       └── Voice guidance image (1MB)  │
│            ├── Header (version+count) │
│            ├── Entry table (54 × 8B)  │
│            │   (size, abs_offset)     │
│            └── MP3 files (48kHz mono) │
└───────────────────────────────────────┘

La Chiave

AES-128-CBC Key: eibohjeCh6uegahf
AES-128-CBC IV:  miefeinuShu9eilo

Trovata codificata come stringhe ASCII nella sezione .rodata del firmware MT2811 CM4 all'offset flash 0xD53A (key) e 0xD529 (IV). La stessa chiave è utilizzata su tutte le unità WH-1000XM4 e in tutti i pacchetti linguistici.

Come è Stato Scoperto

1. Collegato alle cuffie WH-1000XM4 tramite Bluetooth (le cuffie erano abbinate a un telefono)
2. Scoperto il servizio GATT BLE RACE (Airoha Command Extensions)
3. Scaricato 59KB di firmware CM4 dalla flash usando RACE_STORAGE_PAGE_READ (comando 0x0403)
4. Localizzato l'AES S-box all'offset firmware 0x81F4
5. Determinato l'indirizzo base runtime 0x04200000 dal pool letterale del vettore ARM
6. Disassemblato la funzione di decriptazione FOTA, tracciato il caricamento della chiave dal pool letterale

Dettagli tecnici completi: docs/WRITEUP.md

Prerequisiti

• Bun ≥ 1.0 — per la CLI TypeScript
• uv — per gli script Python (le dipendenze vengono risolte automaticamente tramite metadati inline)

Estrarre la Chiave da Soli

Se desideri verificare la chiave in modo indipendente, puoi scaricare il firmware dalle tue cuffie WH-1000XM4 abbinate ed estrarre la chiave:

# Scarica il firmware tramite BLE ed estrai la chiave
uv run cli/extract_key.py

# Oppure se hai già un dump del firmware:
uv run cli/extract_key.py --firmware your_dump.bin

# Alternativa Bun (richiede dump del firmware):
bun run cli/extract.ts --extract-key your_dump.bin

Lo strumento cerca nel binario del firmware l'AES S-box, trova le stringhe ASCII di 16 byte null-terminate adiacenti, poi valida ogni coppia candidata tentando di decriptare un pacchetto vocale e verificando la presenza di intestazioni LZMA valide.

Struttura del Progetto

├── cli/
│   ├── extract.ts          # Strumento CLI Bun (estrazione + ricerca chiave)
│   └── extract_key.py      # Dumper firmware BLE Python + ricerca chiave
├── docs/
│   └── WRITEUP.md          # Documentazione tecnica completa
├── voice-packs/            # File .bin scaricati (gitignored)
├── extracted/              # Promemoria MP3 estratti (gitignored)
├── extract_all.py          # Estrattore alternativo Python
├── package.json
└── README.md

Dichiarazione di Esclusione di Responsabilità

Questo progetto documenta una ricerca sulla sicurezza condotta per scopi educativi su hardware di proprietà personale. Le cuffie analizzate sono state accoppiate e collegate normalmente – non è stato effettuato alcun accesso non autorizzato.

I file .bin dei pacchetti vocali e i promemoria MP3 estratti sono protetti da copyright di Sony Corporation e non sono inclusi in questo repository. Lo strumento CLI li scarica direttamente dal CDN pubblico di Sony a runtime. Non ridistribuire pacchetti vocali decriptati o file MP3 estratti. Questo strumento è fornito solo per scopi di ricerca e interoperabilità.

Licenza

MIT