使用可插拔闪存破解iPhone 5c

文章作者：Larry Desjardin

«之前：猜不透：研究人员破解iPhone 5c

一位精明的读者提醒我一篇由剑桥大学计算机实验室高级研究员Sergei Skorobogatov撰写的论文。我通过电子邮件联系了斯科罗博加托夫，他允许我参考他的论文《通向iPhone 5c NAND镜像的崎岖道路》。在本例中，镜像是复制的同义词，NAND指的是特定的闪存技术。

那他是怎么破解出UID问题的手机的?回想起来，很明显:他使用的是最早的iPhone。他拆卸了手机，做了一个连接的子板，上面有闪存，然后测试了6个密码，直到关机，交换内存板，然后再开机。新板是任何密码尝试之前闪存的副本，也存储了密码计数器。手机又一次以为还没有人尝试输入密码。斯科洛波加托夫会再试六种代码，然后再与另一块新编程的存储板交换。此时，该过程将继续，直到输入正确的密码并解锁手机。

__Figure 1:__ *这显示了电破解iPhone 5c准备组装。(来源:剑桥大学计算机实验室)*

__图2:_*这是一款完全组装的黑客版iPhone 5c。手机下方的组件是可插拔闪存。在每六次密码尝试（45秒循环）后，这些组件将旋转，直到输入正确的密码。斯科罗博加托夫估计，所有四位数密码可以在20小时内输入，而六位数密码可能需要三个月。（来源：剑桥大学计算机实验室）*

斯科罗博加托夫在尝试六次（而不是十次）后旋转内存板的原因是，手机会被锁定，在密码尝试之间插入越来越多的延迟。在六次尝试后，延迟为一分钟，比仅仅执行另一个内存交换过程要长。

是的，测试和测量设备对斯科罗博加托夫的任务至关重要。斯科罗博加托夫的论文是一篇有趣的报道，讲述了他破译苹果大部分未记录协议并复制闪存的努力。Skorobogatov只配备了安捷伦MSO8104A 1GHz混合信号示波器和NCI GoLogic 500MHz逻辑分析仪，不仅能够破解协议，而且能够调试被黑客攻击的iPhone中一些相当严重的信号完整性问题，因为它上面有一个带有连接器的子板。

值得注意的是，联邦调查局对这种技术不屑一顾。美国联邦调查局(FBI)曾利用1789年的《所有令状法》(All Writs Act)迫使苹果公司(Apple)协助窃听电话。《所有令状法》的一个关键标准是，没有其他方法可以提取所需的证据。

在今年3月初的一次国会听证会上，众议员达雷尔·伊萨质问联邦调查局局长科米，他们是否确实用尽了所有的替代方案：“5c是否有非易失性内存，其中所有加密数据和电话设置的选择开关都位于加密数据中？”他问道。当科米说他不知道时，伊萨回答了他自己的问题。“是的。这意味着，事实上，你可以从手机中删除所有内存——所有非易失性内存、磁盘驱动器，如果你愿意的话——并将其设置在这里，并拥有一个真实的副本，你可以对其进行无限次的攻击。”这可能是我在国会听证会上听到的最技术性的讨论。

现在，通过谢尔盖·斯科罗博加托夫的研究和论文，我们知道这是可以做到的。

«之前：猜不透：研究人员破解iPhone 5c