Reverse Engineering con l'AI

Una guida di ricerca pratica al reverse engineering di firmware e software cifrati, utilizzando l'AI per supportare l'analisi, gli esperimenti e la revisione.

La domanda centrale è dove il materiale protetto diventa utilizzabile e se quel punto sia osservabile. Recuperare una chiave è una delle strade. Altre includono trovare un artefatto in chiaro equivalente, osservare una trasformazione, eseguire un lettore esistente o ricostruire il comportamento senza recuperare la chiave.

Questo repository contiene una rassegna di 31 metodi, un framework di evidenza, esempi da fonti pubbliche e template di indagine riutilizzabili. Copre l'analisi dei file, la strumentazione del software, il rehosting, l'acquisizione hardware, i canali laterali e i limiti crittografici. Ogni metodo distingue i prerequisiti, i possibili risultati e le evidenze necessarie per supportare una conclusione.

Inizia da qui

1. Segui il flusso di indagine per identificare l'artefatto, il risultato desiderato e l'accesso disponibile.
2. Usa la rassegna dei metodi per scegliere un esperimento adeguato.
3. Applica il framework di evidenza prima di dichiarare un recupero o spiegare un fallimento.
4. Usa la guida alla collaborazione con l'AI per dividere ricerca e revisione senza trasformare l'accordo del modello in prova.
5. Registra l'esperimento nel template di indagine.

I casi di studio da fonti pubbliche illustrano la progettazione di immagini cifrate, la decifratura trasparente della flash, la persistenza delle impostazioni Android e le tappe di avvio. L'indice delle fonti collega la documentazione, le implementazioni e i paper utilizzati nella guida.

Scegli il risultato prima di scegliere lo strumento

Risultato desiderato	Cosa lo stabilirebbe
Un artefatto in chiaro	Autenticazione correttamente delimitata o accordo con un riferimento indipendente, con struttura coerente
Una chiave di contenuto riutilizzabile	Decifratura convalidata in modo indipendente su campioni applicabili, con l'ambito della chiave identificato
Una chiave del dispositivo o root	Identità e ambito della chiave verificati; una chiave di contenuto o un handle di chiave da soli non sono sufficienti
Una spiegazione del comportamento	Tracce concrete, dataflow e test che coprono il comportamento dichiarato
Un eseguibile ricostruito	Correttezza del formato più comportamento rappresentativo in un ambiente documentato
Un'immagine modificata accettata dal fornitore	Evidenze separate per la firma effettiva e il percorso di accettazione all'avvio

Correzioni che cambiano l'indagine

• Un'elevata entropia è un indizio sulla casualità. Compressione e cifratura possono entrambe produrla; registra lo strumento, la scala e la dimensione della finestra. Documentazione sull'entropia di Binwalk
• Il posizionamento del bootloader dipende dalla piattaforma e dal formato dell'immagine. I primi 64 KB non sono una regola generale di estrazione, e un pacchetto di aggiornamento può omettere il bootloader.
• Cifratura e firme risolvono problemi diversi. Recuperare il testo in chiaro non fornisce la chiave di firma né stabilisce che un'immagine modificata si avvierà. Immagini cifrate MCUboot
• Un comando riuscito, una stringa plausibile, una libreria caricata o il valore restituito da un wrapper necessitano di validazione al livello pertinente all'affermazione. Vedi gli esempi basati sulle fonti.
• La crittografia forte non diventa praticamente violabile grazie a un decompilatore o a un modello linguistico. Progressi utili derivano di solito dall'implementazione circostante, da rappresentazioni accessibili o da una specifica debolezza dimostrata. Ricerca sulla biclique su AES completo

Ambito e provenienza

La ricerca iniziale è stata sviluppata attraverso ricerca specialistica assistita dall'AI e revisione critica, inclusi i contributi di Astra, Opus e Fable. Le revisioni sono state integrate in modo selettivo: interpretazioni non supportate e lavori sovrapposti sono stati scartati. La guida risultante formula affermazioni metodologiche e cita fonti pubbliche; non rivendica un nuovo decifratore universale né una compromissione dimostrata di un dispositivo specifico.

Il repository pubblico contiene testi di ricerca, link pubblici, modelli vuoti e uno strumento di validazione della documentazione. I binari del firmware, le catture private, gli identificatori dei dispositivi, le chiavi estratte, le credenziali e i log operativi sono al di fuori del suo ambito di pubblicazione. Applica i metodi ai sistemi e agli artefatti che sei autorizzato a esaminare.

Convalidare il repository

Python 3.9 o versione successiva è sufficiente; non sono richiesti pacchetti di terze parti.

python3 tools/check_docs.py
python3 tools/check_docs.py --self-test

La verifica locale controlla l'inventario dei file, i link Markdown, la numerazione dei metodi, l'indice delle fonti, i record delle versioni e diversi schemi comuni di pubblicazione accidentale. Non esegue firmware, non contatta dispositivi, non recupera siti web collegati né dimostra che ogni affermazione tecnica sia corretta. La verifica delle fonti rimane parte della revisione della ricerca.

Versione attuale della documentazione: 1.0.0. Consultare il changelog e la cronologia in sola aggiunta.