フラッシュチップをコピーすることでiPhone 5cのロック解除における試行回数制限を突破 29
力技 部門より
昨年12月に米国で発生した銃乱射事件の容疑者が使用していたことで、ロック解除をめぐるFBIとAppleの論争が話題となったiPhone 5cだが、ケンブリッジ大学のSergei Skorobogatov氏がNANDミラーリングと呼ばれる方法を用い、パスコード入力によるロック解除の試行回数の制限を取り除くことに成功した（論文: PDF、Register、Softpedia、HackRead）。
方法としてはiPhone 5cのロジックボードからNANDフラッシュチップをはがし、プリント基板に回路を引き出して外付け化する。さらに別のiPhone 5c（故障品）からはがしたNANDフラッシュチップを使用してバックアップを作成しておく。バックアップ結果を検証後、元のNANDフラッシュチップをiPhone 5cに接続して起動し、ロック解除を6回試行してから電源を切る。
単純なバックアップコピーはUIDが異なるため、iPhone 5cに接続しても動作しない。Skorobogatov氏はさらに解析を行い、隠しページを含めてコピーしたNANDフラッシュチップのクローン作製にも成功している。複数のクローンを用意することで、4桁のパスコードでは20時間ほどで総当たりが可能となる。6桁の場合は3か月程度かかるという。
この方法では特殊な機器は必要なく、パーツ店で購入した材料費は100ドル以下だったという。今後の課題としては、同じNANDフラッシュメモリーを使用しているiPhone 5sやiPhone 6についてもミラーリングの効果を検証することや、操作の自動化といったものを考えているとのこと。
なお、FBIでは第三者の手を借りて銃乱射事件の容疑者が使用していたiPhone 5cのロック解除に成功したが、共犯者などの特定につながる情報は得られていない。かかった費用についてはFBI局長のジェームズ・コミー氏が130万ドル以上であることを示唆しているものの、具体的な金額や技術の提供元、ロック解除の詳細については公表を拒否している。これに対し、Associated PressとGannett(USA TODAYの親会社)、Vice Mediaの3社は16日、契約内容や使用したツールの詳細などの公表を求めてFBIを提訴した（AP、USA TODAY、VICE News、 訴状）。
アンロック失敗回数をリセットする件 (スコア:1)
Re: (スコア:0)
ストーリーで話が完結してるとコメントが賑わわないからなんじゃ。いや、割とマジで。
かつてそれなりにタレコミしていた頃の経験として、背景や周辺情報まできっちり調べてタレコむと、それ以上話すことがないのか 20 ～ 30 コメントしかつかないのに、適当に書き殴った雑なタレコミにはツッコミやら大喜利やらで 200 近いコメントがついたりとかして、なんか複雑だった記憶が。
盛り上げるためには粗も必要悪なのかもしれないにせよ、わざわざ粗を盛り込むのもどうかとは思いますが。
Re: (スコア:0)
hylomさんは確信犯。
バックアップしただけ? (スコア:0)
要するに、試行回数記録をリセットするためにNANDのバックアップ取っておいて回数達すると書き戻す、
ということでしょう。単純。
書き戻すためには外部ツール(ROMライタ?)で行うのかな。
つーか、これが成功してしまうあたりずいぶんなセキュリティホール(といえるかどうか)
130万ドルかけてやったことと同じことが、100ドルでできちゃったよーん、という話だとしたら
真面目に勿体ぶってやっていたあいつらって一体…
という話なのかな
個体毎のUIDってワンタイム領域に書かれていなきゃシステム的に無能
え、そうなっていなかったの?、ずいぶん間抜けなのねというお話。
Re:バックアップしただけ? (スコア:2, すばらしい洞察)
これも立派なセキュリティホールですよ。
蓋を開ければしょうもない事でも、気付く事が出来たというのがすごいのです。金額なんて問題ない。
Re: (スコア:0)
特に隠しページに読み書きアクセスできたのはどう考えてもセキュリティホール。
Re: (スコア:0)
ガチガチのセキュリティ対策された機器の場合は、フタを剥がした時点でデータが消えたりしますもんね。
たかが普通の民生品の携帯電話に、そこまでのセキュリティを期待するのはどうかと思うので、
セキュリティホールではあっても欠陥と言えるかどうかは微妙だが。
Re: (スコア:0)
蓋を開けた時点で、使えなくなる機器って結構ありますけどね。
仕組みは単純でしたからそんなに費用が掛かるとは思えない。
Re:バックアップしただけ? (スコア:2)
iPhone 5cはそもそもが廉価版なんですよ。指紋認証にも非接触決済にも対応してないですし。
Re:バックアップしただけ? (スコア:1)
単純じゃないんですけど……
そもそも書き戻してません
書き戻せないからチップを再現する専用のボードを作ったってお話
なぜどや顔で内容も確認せず他人を間抜け呼ばわり出来るのかがわからん
しかも他人の実績で
#UIDが書き換えれるとか思ってる時点で感覚がずれてる
Re: (スコア:0)
書き戻してますよ。
次のステップで書き戻さないでコピーだけでやる方法を見つけています。
ついでに言うと、専用ボードはフラッシュをコピーするため、
SoCの模擬をするボードでフラッシュチップの再現のためじゃないです。
内容確認云々は言わない方が良かったですね。もう遅いですが。
Re: (スコア:0)
エミュレータのステートセーブ機能を物理的に再現しちゃったわけですね
物品購入費用は100ドルかもしれないけど、実際に試行するためにはiPhone分解したり手間がかかるし
完璧なセキュリティは無いってことで
Re: (スコア:0)
できるかどうかすらわからない初めての挑戦と、できることがわかってからの試行錯誤、
一発勝負の状況と試行錯誤が許される(失敗してもいい)状況の違い、
そもそも$100は材料費だけで人件費も技術料も入っていない、など。
130万ドルと100ドルは単純に比較できないよ。
Re: (スコア:0)
いや、だって、NAND剥がして単純バックアップって
まず最初に誰でも思いつく手法だけど
しかし、それができる(ほど間抜けな実装だった)とは思ってもみなかった
のが真相か。
# 130万ドル組は、脱力していると思う
Re:バックアップしただけ? (スコア:1)
単純なバックアップコピーはUIDが異なるため、iPhone 5cに接続しても動作しない。Skorobogatov氏はさらに解析を行い、隠しページを含めてコピーしたNANDフラッシュチップのクローン作製にも成功している。
文章読めない人かな?
Re:バックアップしただけ? (スコア:2, 参考になる)
訳文の説明もあっさりしてるから分かってない人がいるのは仕方ないね
・単純コピーのバックアップではオリジナルのiPhoneは起動しない
・バックアップからオリジナルのNANDに書き戻せばリトライ回数はクリアできるが、ブルートフォースをかけるとオリジナルのNANDの寿命が保たない
・オシレーターとかでNANDのプロトコルを解析したら、「大抵の攻撃者は見落としていたであろう」方法で
隠しページの情報をやりとりしてた
・そこをクラックして、隠しページをコピーする機能を実装したので、コピーNANDでもiPhoneを起動させられるようになった
・これでNANDの寿命を気にせず、安心してブルートフォースが出来るようになった
とてもとても、単にコピーしただけなんて仕事じゃないですよ。
Re: (スコア:0)
あと故障した5cのNANDを調べたら不良ページが特定箇所に偏っていて、wear leveingのアルゴリズムに問題あるかもねってのも書かれてて面白いです。
論文はとても判りやすく書いてあるので、ちょっとでも興味のある人はそちらを読むのを勧めたいです。
Re: (スコア:0)
130万ドル組みも似たような方法を使っているのでは？
少し高すぎるとは思うけれど、顧客の要望にあわせたタイムリーなサービスなら双方納得の上で驚く程の価格になるのも仕方がない。
発明でも発見でも芸術の類でも最初に名乗りを挙げるのとその後続では扱いが違うのも仕方がない。
Re: (スコア:0)
チョークのマークって奴だろ
http://www.flint.jp/blog/?entry=56 [flint.jp]
後からいうのは馬鹿でもできる
自分が簡単だっていうなら会社起こしてNSAでもFBIでも取引すりゃいい話
Re: (スコア:0)
8桁のパスコードを試すマンを100人×3ヶ月雇ったのかも
Re: (スコア:0)
今時。耐タンパ性が無いんですね。
チップをはがした時点で、電気的破壊とか
セキュリティのきついチップは対応しているのに。
Re: (スコア:0)
司法は法律の制限があるでしょ
証拠品つったって部品レベルで分解調査解析して良いって話じゃないんだし
まさにアメリカン (スコア:0)
アメリカには超絶技巧なハンダ付け職人がいるのだろう。
Re: (スコア:0)
その程度、深圳に行けばありふれた技能 [youtube.com]だ。
Re: (スコア:0)
そういえば中華では張替えサービスあるんだもんな、単純なクローンを作る分にはありふれた技術なわけで今回の論文とやらのポイントがよくわかんない
書き換え上限の問題を解決するためにNANDフラッシュエミュレーターを作ってみましたって事？
Re: (スコア:0)
BGAや基板直付けフリップチップだったら人間がやるのはパラメータセットとワーク(基板)載せだけで後は機械がやってくれちゃうんじゃない?