Blocarea depanării și dezactivarea JTAG la pixurile de citit: De ce fiecare pix de producție ar trebui livrat cu siguranțele arse

Public țintă: Acest articol este scris pentru inginerii de securitate hardware, responsabilii cu protecția mărcii din OEM/ODM, responsabilii de conformitate și echipele de achiziții care evaluează dacă interfețele de depanare JTAG, SWD, UART și alte interfețe de depanare ale unui creion de citire SmartReadingPen sunt dezactivate corespunzător în producție — și ce proceduri ireversibile de ardere a siguranțelor trebuie efectuate înainte ca orice dispozitiv destinat copiilor să ajungă într-o școală sau într-o gospodărie.

Un creion de citire care este livrat cu un port JTAG activat este un creion de citire pe care orice atacator cu un cablu de 20 USD îl poate controla. Conectați patru pini la o sondă JTAG, opriți Cortex-A53, extrageți întreaga imagine de firmware din NAND, extrageți cheile AES din interfața de test a elementului securizat și plecați cu cheia de semnare a firmware-ului, hash-ul PIN-ului parental și cheia de decriptare a modelului de clonare vocală. Totul în sub 10 minute. Algoritmul criptografic este incasabil; ușa din spate a fost lăsată larg deschisă.

Acesta este briefingul tehnic privind blocarea interfețelor noastre de depanare: dezactivare JTAG, dezactivare SWD, blocare UART, ardere siguranțe, furnizare OTP și protocolul de audit în fabrică pe care ar trebui să-l solicitați de la orice furnizor de înainte de a accepta un lot de producție.creioane de citire OEM

1. Suprafața de atac a interfeței de depanare

Un SoC modern de creion de citire expune mai multe interfețe de depanare, fiecare fiind o potențială ușă din spate:

Un creion de citire de producție trebuie să aibă toate cele șase interfețe dezactivate sau blocate prin autentificare criptografică. Orice mai puțin este o ușă din spate.

2. Cele trei niveluri de blocare

Blocarea interfețelor noastre de depanare are trei niveluri independente:

1. Siguranță hardware— o siguranță OTP care dezactivează fizic accesul JTAG/SWD la logica de depanare a CPU-ului. Odată arsă, nu mai poate fi restabilită; bitul siguranței este citit de SoC la reset și blochează logica de depanare.
2. Dezactivare software — firmware care dezactivează explicit consola UART, modul de test SPI și modul USB DFU. Software-ul poate fi învins de un atacator care poate rescrie flash-ul, de aceea este stratificat peste siguranța hardware.
3. Autentificare criptografică — chiar și cu siguranța hardware arsă și software-ul dezactivat, unele interfețe (USB, Wi-Fi) rămân fizic accesibile pentru funcția lor principală. Acestea sunt blocate printr-un certificat de depanare autentificat pe care OEM-ul îl semnează doar pentru uzul fabricii.

SoC-ul expune un bit de siguranță pentru dezactivarea JTAG/SWD în blocul său de memorie OTP. Procedura de ardere a siguranței este efectuată pe

3. Procedura de ardere a siguranței JTAG/SWDfiecare unitate în fabrică, în stația de testare finală:

1. Configurare stație de testare. Creionul este conectat la un dispozitiv de testare din fabrică prin portul USB-C. Dispozitivul de testare aplică alimentarea și rulează imaginea de testare pentru producție.
2. Verificare activare JTAG. Dispozitivul de testare încearcă mai întâi o atașare JTAG. O atașare reușită înregistrează creionul ca defect; linia se oprește și unitatea este respinsă.
3. Comandă software. Dispozitivul de testare emite o comandă software prin imaginea de testare: fuse_blow(jtag_disable). Comanda scrie bitul fuzibil OTP.
4. Verificare. Fixture-ul reîncearcă JTAG. Sonda ar trebui să raporteze acum "0x0" pe toate registrele. O citire zero reușită este înregistrată în baza de date a fabricii.
5. Blocare permanentă. Odată ars, fuzibilul nu mai poate fi dezamorsat, nici măcar de către OEM. Singura modalitate de a re-activa JTAG este înlocuirea SoC-ului.

Arderea fuzibilului OTP utilizează pompa de sarcină internă a SoC-ului; nu se aplică tensiune externă. Celula fuzibilă este o structură antifuzibilă care topeste fizic o legătură metalică, detectabilă la inspecție microscopică ca un mic gol.

4. Blocarea consolei UART

UART este interfața cel mai frecvent lăsată deschisă pe dispozitivele pentru copii, deoarece este utilă pentru diagnosticarea în fabrică. Blocarea noastră:

1. Fuzibil de dezactivare a consolei — un al doilea fuzibil OTP dezactivează logica de afișare pe consolă a bootloader-ului ROM.
2. O compilare de firmware personalizată cu -print0 (fără ieșire UART) — firmware-ul aplicației de producție este compilat cu un flag care elimină toate instrucțiunile de tipărire UART.
3. Îndepărtarea fizică a pad-urilor — pentru SKU-urile Q8 și T2, pad-urile UART TX/RX sunt tăiate fizic de un laser din fabrică după stația de testare. Tăierea cu laser este verificată prin test de continuitate.
4. Re-autentificare UART — dacă este necesar un UART de depanare pentru o reparație legitimă în fabrică, OEM-ul trebuie să semneze un certificat de depanare unic care deblochează UART exact 4 ore, apoi se re-blochează automat.

Certificatul de depanare de 4 ore necesită HSM-ul (Hardware Security Module) al OEM-ului și este înregistrat în baza noastră de date de audit din fabrică. Reparațiile în afara acestei ferestre necesită ca clientul să trimită stiloul înapoi la fabrică.

5. Blocarea USB DFU

USB Device Firmware Update (DFU) este o interfață utilă în fabrică, dar o suprafață de atac periculoasă. Blocarea noastră:

1. Fuzibil de dezactivare DFU — un al treilea fuzibil OTP dezactivează modul DFU al ROM-ului SoC-ului.
2. Autentificare DFU la nivel de aplicație — singura cale de actualizare a firmware-ului este prin mecanismul OTA, care necesită o semnătură ECDSA de la cheia de semnare a OEM-ului.
3. Blocarea descriptorilor USB — descriptorii USB raportează un dispozitiv doar-citire de tip stocare în masă sau HID, nu un dispozitiv DFU.

Combinația împiedică un atacator să folosească un host USB pentru a re-flasha stiloul cu firmware al atacatorului, chiar dacă are acces fizic la portul USB-C.

6. Blocarea HCI Wi-Fi/Bluetooth

Radiourile Wi-Fi și Bluetooth sunt interfețe de producție care trebuie să rămână funcționale, dar interfețele lor Host Controller (HCI) pot dezvălui jurnalele de firmware și comenzile AT. Blocarea noastră:

1. Autentificare comenzi HCI — numai comenzile HCI semnate de procesorul aplicație sunt acceptate de chipset-ul Wi-Fi/BT.
2. Blocare firmware producție — firmware-ul chipset-ului Wi-Fi/BT este blocat pe o versiune specifică semnată de OEM; reîncărcarea necesită o imagine semnată de OEM.
3. Eliminare jurnale — firmware-ul de producție elimină toate instrucțiunile de jurnal de depanare din driverul Wi-Fi/BT.

Aceasta face parte din documentul mai amplu privind securitatea BLUE/ Wi-Fi , dar blocarea depanării se referă în mod specific la poarta HCI.

7. Certificatul de depanare pentru accesul legitim în fabrică

OEM-ul păstrează un certificat de depanare care poate debloca interfețele de depanare pentru utilizare legitimă în fabrică. Certificatul este un certificat X.509 semnat de HSM-ul OEM-ului, cu următoarele proprietăți:

Certificatul este livrat stiloului prin dispozitivul de testare din fabrică și este consumat (utilizare unică). O a doua deblocare necesită un nou certificat de la HSM, care necesită o aprobare multisemnătură 2-din-3 din partea inginerilor OEM.

8. Auditul 100% din fabrică

Fiecare stilou de producție este testat la stația finală QC pentru a verifica blocarea depanării:

1. Test sondă JTAG — se încearcă atașarea JTAG; se așteaptă citirea "0x0"; se înregistrează trecere/eșec.
2. Test sondă SWD — încercaţi ataşarea SWD; se aşteaptă citirea „0x0”; înregistraţi pass/fail.
3. Test consolă UART — aplicaţi 115200 baud pe pad-urile UART; nu se aşteaptă nicio ieşire; înregistraţi pass/fail.
4. Test USB DFU — lansaţi comanda USB DFU; se aşteaptă răspuns „unauthorized”; înregistraţi pass/fail.
5. Test Wi-Fi HCI — lansaţi comandă HCI brută; se aşteaptă „unsupported”; înregistraţi pass/fail.

O defecţiune la oricare dintre cele 5 teste determină respingerea şi direcţionarea pen-ului către o staţie de rework. Rata de respingere în producţie este de 0,4% (cauze tipice: defect de celulă fuse, pad UART neuscat curat, descriptor USB configurat greşit). Toate evenimentele de respingere sunt înregistrate în MES-ul fabricii şi revizuite săptămânal de echipa QA.

Sfat pentru cumpărător: Solicitaţi întotdeauna o copie a jurnalului de audit din fabrică pentru lotul dumneavoastră de producţie. Un furnizor care nu poate prezenta jurnalul fie nu rulează auditul, fie ascunde defecţiunile. În orice caz, nu acceptaţi lotul.

9. Scenariul de recuperare în teren

Un pen returnat de un client cu o defecţiune software suspectată nu poate fi depanat în teren deoarece interfeţele de debug sunt blocate. Procedura de recuperare:

1. Clientul returnează pen-ul către centrul de service OEM cu descrierea defecţiunii.
2. Centrul de service verifică defecţiunea doar prin testul de pornire şi apăsare de buton.
3. Dacă defecţiunea este reproductibilă, centrul de service emite un certificat de debug semnat OEM de la HSM, deblochează UART timp de 4 ore şi rulează diagnosticul.
4. Dacă defecţiunea este de firmware, centrul de service re-flash-uieşte prin calea OTA (care funcţionează indiferent de starea blocării debug) şi returnează pen-ul.
5. Dacă defecţiunea este hardware, centrul de service înlocuieşte modulul PCB sub garanţie RMA şi elimină originalul într-un flux securizat de deşeuri electronice.

Fereastra de 4 ore forţează centrul de service să efectueze diagnosticul într-un singur schimb, prevenind abuzul ferestrei în weekend sau în vacanţă.

10. Personalizare OEM şi roadmap

Pentru clienţii en-gros de stilouri de citit cu firmware personalizat, oferim trei niveluri de blocare:

Planul 2027 adaugă siguranțe sensibile la tamper: o antifuzibilitate care detectează tentativele de decapsulare fizică și se auto-distruge, anulând cheile. Acest lucru face parte din fluxul mai larg de lucru privind element securizat și anti-tamper.

Lecturi conexe

• Criptografia și TrustZone pentru creionul de citit
• Element securizat și anti-tamper pentru creionul de citit
• Secure Boot și Anti-Rollback pentru creionul de citit
• Injectare de erori și hardening împotriva atacurilor de tip glitch pentru creionul de citit
• Atacuri pe canal lateral și criptografie cu timp constant pentru creionul de citit
• Ambalaj evident anti-tamper și sigiliu anti-tamper pentru creionul de citit

11. Acoperire SKU și capacitate de producție pentru gama de 11 modele

Blocarea de depanare este obligatorie pe toate cele 11 SKU-uri. Modelele entry-level B1, B2, P2 și KF1 sunt livrate cu nivelul standard (0 $ NRE) și utilizează aceeași celulă antifuzibilă care descarcă o sarcină de 1,8 V printr-o legătură metalică în mai puțin de 12 ms; rata de respingere din fabrică la nivelul standard este de 0,4%. Modelele mid-tier F8, K7, Q6 și L5 includ nivelul standard plus o stație de tăiere cu laser UART la un cost suplimentar de 0,06 $ per unitate. Modelele premium Q8, T2 și Y6 includ nivelul complet de protecție la 4,50 $ per unitate, care adaugă o rețea sensibilă la manipulare ce autozeroizează cheile dacă carcasa este deschisă cu mai mult de 1,2 mm. Firmware-ul T2 este 2.6.4 cu o celulă Li-ion 18650 de 2.500 mAh care oferă 14 ore; firmware-ul Q8 este 3.3.1; firmware-ul Y6 este 2.6.4 cu fallback celular 4G pentru verificarea semnăturii firmware OTA. Fiecare lot de producție include un certificat unic per unitate, inscripționat într-un element securizat NXP SE050 în timpul fabricării. Debitul stației de blocare este de 320 unități pe schimb pe linia Q8, 240 unități pe schimb pe linia T2 și 280 unități pe schimb pe linia Y6. Toate cele trei SKU-uri premium sunt livrate cu 18 certificări active, inclusiv CE conform RED/EMC/LVD, FCC Part 15B, UKCA, EN 71-1/2/3, ASTM F963-17, CPSIA/CPC, RoHS, REACH, PSE, KC, GCC/SFDA, SNI, NOM, INMETRO, RCM, ISED, UN38.3 și IEC 62133-2.

12. Termeni comerciali, coduri HS și condiții de plată pentru programele OEM

Stilourile de citire sunt codificate HS 8543.70 când sunt importate ca dispozitive electronice independente sau 9503.00 când sunt ambalate într-un carton cadou atașat unei jucării. Termenii comerciali sunt EXW, FOB, CIF, DDP și DAP; cumpărătorii OEM optează de obicei pentru FOB Shenzhen pentru consolidarea transportului aerian sau DDP pentru livrare directă la depozit în UE, SUA, statele din Golf și piețele ASEAN. Plata se efectuează prin T/T 30/70 cu o reducere de 2,4% pentru plata anticipată atunci când soldul este virat în termen de 14 zile de la factură, L/C la vedere pentru cumpărătorii noi cu comenzi peste 50.000 $, OA pentru conturile stabilite cu istoric bun, și PayPal sau card de credit pentru mostre sub 1.000 $. MOQ-ul este de 500 unități pentru stoc neutru pe B1/B2/P2/KF1, 1.000 pentru culori personalizate și 3.000 până la 5.000 pentru programe cu matriță privată și etichetă privată. Prețul unitar EXW Shenzhen variază între 3,80 $ și 14,50 $ pe întreaga gamă: Q8 la 14,20 $ MOQ 1.000, T2 la 14,50 $ MOQ 500, Y6 la 13,80 $ MOQ 500, K7 la 9,40 $, F8 la 8,90 $, KF1 la 7,20 $, Q6 la 7,80 $, L5 la 10,50 $, B1 la 4,20 $, B2 la 4,80 $ și P2 la 3,80 $. Din 2023 am livrat peste 47.000 de unități în 47 de țări către peste 230 de distribuitori.

13. Întrebări frecvente (logistică OEM și nivel SKU)