25C3: Linux działa na konsoli Nintendo Wii

Po wielomiesięcznym dłubaniu hakerom udało się wreszcie złamać naprawdę wyrafinowany system zabezpieczeń konsoli Nintendo Wii i doprowadzić do sytuacji, w której można uruchamiać na niej dowolne aplikacje. Pełen dumy użytkownik marcan z klubu rzeczocznawców sprzętowych w niedzielny wieczór podczas 25. konferencji Chaos Communication Congress (25C3) poprowadził prezentację, w której najpierw pokazał otwieranie specjalnego kanału dla dowolnego typu oprogramowania, a później uruchamianie prekonfigurowanego wariantu systemu operacyjnego Linux.

"Możemy na nim uruchomić wszystko, co nam się tylko zamarzy" - cieszył się ekspert od zabezpieczeń. Programy działają przy tym nie tylko w ograniczonym zakresie, na jaki pozwalał tryb do grania w starsze gry napisane dla GameCube'a (czyli poprzednika Wii).

Specjalistom od konsol jeszcze na ubiegłorocznym kongresie hakerów udało się uruchomić pierwsze własne elementy skryptu w natywnym trybie Wii. Potrzebny był jednak prawie rok, aby zastosować znalezione luki zabezpieczeń urządzenia Nintendo z wykorzystaniem metod software'owych. Na razie nie istnieje jednak żaden przyjazny dla użytkownika i prosty w obsłudze program do łamania Wii. Hakerzy zamierzają opublikować takie narzędzie na swojej stronie WWW . Aplikacja pojawi się "kiedy tylko będzie gotowa".

Według hakera posługującego się pseudonimem bushing fakt, że Wii nie podzieliła losu microsoftowej konsoli Xbox 360 - której zabezpieczenia złamano bardzo szybko - wynika ze stosunkowo dobrego pancerza ochronnego przeciwko zewnętrznym atakom i prostej, modułowej architekturze wewnętrznej sprzętu Nintendo. Półtora roku temu nikt nie zdawał sobie sprawy z tego, że w kosztującej około 250 dolarów popularnej konsoli wbudowało mikrokernel z własnym systemem operacyjnym. Jak wyjaśniał marcan, te "wnętrzności" umocowane przy chipie graficznym o nazwie kodowej Starlet były ukryte za dwoma interfejsami software'owymi. Nie wiedzieli o tym nawet twórcy gier na Nintendo. Centralny komponent systemowy weryfikował przy tym gry i inne treści pobierane z Internetu, które co do sztuki musiały być podpisane cyfrowo i uwierzytelniane.

Poza tym według marcana Starlet kontroluje proces bootowania podzielony na trzy etapy, używając do tego flashowego systemu plików. Oprócz tego stosowany jest klucz RSA, dzięki czemu procedury podpisywania są naprawdę bezpieczne. Wreszcie firma Nintendo przyznała wszystkim kanałom Wii, grom i innemu oprogramowaniu swoje wewnętrzne "tytuły", które są na swój sposób licencjonowane do użytku dopiero po uzyskaniu elektronicznego "biletu" (ticket). Tutaj stosowane są silne klucze RSA o długości 2048 bitów. Same gry są zwykle rozprowadzane na jeszcze raz specjalnie zabezpieczonych dyskach optycznych - również zaszyfrowanych.

Zdaniem hakerów implementacja technik kryptograficznych w Wii ma jednak kilka słabych punktów. Jak opowiadał bushing, w pierwszej fazie udało się przeprowadzić ataki nazywane "Tweezer". Wykorzystano wówczas fakt, że ograniczona pamięć robocza dla trybu GameCube przy restarcie urządzenia nie jest automatycznie oczyszczana. Dzięki pozostawionym śladom można uzyskać dostęp do innych jednostek pamięci i do przechowywanych w nich kluczy. Wśród nich, oprócz prywatnego klucza EEC znalazł się publiczny certyfikat sygnowany przez Nintendo, klucz AES dla sygnatur, ogólny globalny klucz, instancja pierwiastka (root instance) do odczytywania kodu Starlet, a także ślad klucza do zapisywania stanów gry na karcie SD.

Ogółem Nintendo zainwestowało wprawdzie wiele pieniędzy w system szyfrowania i postawiło na renomowane rozwiązania kryptograficzne, ale później własny pomysł firmy na proces weryfikacji osłabił cały łańcuch zabezpieczeń - podsumował swój wywód bushing. Do porażki producenta Wii przyczyniło się także to, że podpisy stosowane do kontrolowania biletów dla licencjonowanych gier były sprawdzane jedynie podczas instalacji oprogramowania, ale już nie podczas późniejszych uruchomień gier.

Po atakach typu "Tweezer" możliwe stały się także ataki nazwane "Twilight Hack". W ich przypadku celem hakerów był klucz prywatny używany do zapisywania stanów gry - dzięki niemu konsoli można było podsunąć własny kod na karcie SD. Aby wydobyć kod i wprowadzić na konsolę pożądane aplikacje, hakerzy - według własnych wyjaśnień - sprowokowali przepełnienie pamięci w jednej z pierwszych gier na Wii: Legend of Zelda: Twilight Princess. Dzięki zmanipulowanej funkcji ładowania i kilku odwrotnym rundom obrotów dysku przy starcie gry z księżniczką udało się otworzyć drogę do obszernych menu plików i systemu. Ten wariant ataku sprawdza się aż po dziś dzień: na razie nie trzeba było doszukiwać się błędów w innej grze.

Kolejne przyczółki do ataku pojawiły się dzięki zastosowaniu kombinacji firmware'u i zmodyfikowanego napędu DVD. Tę lukę, którą zainteresowali się także crakerzy gier, Japończycy zdołali jednak już załatać. Tym samym dla Michaela Steila, jednego z czołowych hakerów Xboksa, wszystkie ważne konsole do gier za wyjątkiem PlayStation 3 można uznać za złamane. Zdaniem Steila wynika z faktu, że korporacja Sony od samego początku otworzyła swoją konsolę na Linuksa, więc ta dla wielu hackerów przestała być "interesująca". Ci crakerzy i piraci oprogramowania, dla których złamanie zabezpieczeń PlayStation wciąż pozostaje na liście najpoważniejszych wyzwań, nie mają w ręku żadnych atutów.

Copyright © Agora SA