Pace TDS865NSD Fakten zusammen tragen, rooten etc

[5656c]

da Müste man schon mehr wissen welche modelle die frage ist mal ob man irgend wie den Bootloader überschreiben kann da dieser Signiert ist sollte es so sein bzw da die Firma Arris der Hersteller der grund Software Software garantiert auch einen offenen Bootloader hat.
1. man müsste schauen das man den Bootloader öffnet bzw durch einen anderen ersetzt damit müsste dan der Weg frei sein.
2 Jtag durch Booloader abgeschallt
3 Serial Konsole durch Bootloader abgeschaltet
4 Backdor um dennoch root zugrif zu bekommen vorhanden

was fehlt ist ein Bootloader der frei ist der mit der Hardware funktioniert

test mit

Sie müssen registriert sein, um Links zu sehen.

werden probiert doch das Prob ist 1 Mal geändert passt nicht Box Briefbeschwerer.

 

[fun7]

man kann nichts "einfach überschreiben"... was soll eine "grundsoftware" sein?
natürlich gibt es development CFEs, auch für die advanced ca modelle, aber auch die laufen nicht auf production geräten / cpus.

 

[pit12]

ich weiß nicht wie es beim TDS865NSD ist,aber hat schonmal jemand beim HD3 den TDA8024 angeschaut und versucht den als hilfsmittel zu nehmen? :smiley:

ja genau,jetzt denk mal 2 schritte weiter,überleg wie er verbunden ist, und lies genau was ich geschrieben habe

ich will nichts abgreifen,der titel ist doch rooten oder?lass den k1 doch mal außen vor.versuch doch erstmal in der runtime ins system zu kommen.
du hast datenleitungen, die Kommunikation ist bekannt.ich will daten zum system senden.

ich will root zugriff,das macht doch viel mehr spaß

 

[5656c]

Was sollte dir der Smartcard driver nützen ist doch nur ein interface

Ich verstehe nicht genau worauf du hinaus willst das einzige was du abgreifen könntest wäre die info card cpu aber das kann ich doch über die konsole beim ds830 auch

Und die card cpu kommunication ist nicht clean sondern cryptet

Das du root haben willst ist ja toll den haben wir aber schon wir sind schon mit telnet auf der konsole

 

[DVB-T2 HD]

...
den TDA8024 angeschaut und versucht den als hilfsmittel zu nehmen? :smiley:

Der TDA8024 ist ein einfacher Interface-Schaltkreise zur Anpassung von Microprozessorsignalen an die Erfordernisse einer Smartcard (Spannungsversorgung und Signalpegelanpassung), mehr nicht. Daten zum Sytem senden geht also auch nicht anders als mit einem Season-Interface zwischen Smartcard und Smartcardreader. Der TDA8024 reicht einfach die Signale 1:1 durch und macht die Pegelanpassung für den Receiver-Chip.

 

[5656c]

Dvb das versuche ich ihm ja zu erklären wir haben doch schon zugrif per rs232 über telnet auf die maschiene

 

[pit12]

Das du root haben willst ist ja toll den haben wir aber schon wir sind schon mit telnet auf der konsole

Dann erzähl mir mehr,aber ich meine die hd3

 

[5656c]

Wir reden hier von ds830 und tds865 das sind 2 paar schuhe lese überschrift

 

[J_Kl]

Funktioniert nicht mehr bei neuer soft das wurde seitens blockiert

Gibt es dazu genauere Informationen? Welche Softwareversion bzw. welcher Zeitraum? Interessant ist doch, dass es jedenfalls einmal möglich war, diese Information aus dem SoC in das RAMN zu bekommen. Wenn da nicht nachträglich Fuses gesetzt wurden, sollte es grds. immer noch gehen.

 

[günthern]

Spoiler

Du hast einen dump gepostet für pace 865 - danke dafür.

Die ganzen pace 86x receiver sind mit broadcom cpu's...
...du sprichst aber immer von SlimCode und sttk also STM cpu's ?!

Oder hab ich einen Denkfehler ?

Einen Sky Receiver mit Sti7105/7111 und offenem DMA hätte aufgrund der bekannten exploits wohl jeder gern.

Ich kenne nur die alten VodafoneCenter Kisten mit STM cpu, die bucht meines wissens nach Sky aber nicht mehr ein... oder doch ?

Muss es (für den Anfang) unbedingt ein eingebuchtes Gerät sein? Wäre es nicht eine Option, erstmal von so einer Kiste sich den Rootkey zu holen, um dann mal weiter zu schauen, ob man evtl. Rückschlüsse auf deren Berechnung ziehen kann?

 

[TuzlaDVB]

Du kannst zum spielen auch problemlos irgendein Gerät aus der Bucht nehmen...
Sollte es dir gelingen dort an den rootkey zu gelangen bist du so oder so der Held vom Erdbeerfeld - egal ob eingebuchtes Gerät oder nicht.

Slimcode und der ganze STM Pfeffer, welcher hier als Ansatz in den Raum geworfen wurde, ist für (polnische) NAGRA Systeme sicherlich interessant...
für unsere BRCM Kisten in Deutschland aber totaler Quark. Es gibt schlicht keine Receiver mit (alten) STM Prozessoren die Sky einbucht.
Ich bin ziemlich sicher Sky weiß an der Stelle auch genau warum sie das nicht tun !

Memdumps im laufenden Betrieb hab ich versucht... waren keine Keys zu finden. Heißt natürlich nicht das es nicht doch irgendwie geht.
Mit dd if=/dev/mem blabla wird es aber wohl nicht getan sein.

Ansonsten wäre mein Vorschlag ja erstmal die Kisten zu rooten.
Hier wird über memdumps, rootkey extrahieren und was weiß ich nicht alles gesprochen dabei haben 99,92341 % noch nichtmal telnet Zugriff.
Ich glaube es ist eine gute Idee zunächst den ersten Schritt zu machen und dann den zweiten - das war ja ürsprünglich auch mal die 'Idee' hinter diesem Thread.

 

[5656c]

Telnet zu bekommen ist möglich aber einen direkten root zugriff eben nicht der bootloader ist signed ssh ist deaktiviert du hast keinen direkten zugriff sprich nix serial beim booten es müste erstmal bootloader gewegselt werden um direkten koonsolen zugriff zu bekommen du hast eben nur telnet aber da ist der eigentliche boot schoon passiert
dd im laufenden betrieb.mit karte vorhanden es ist alles da eben nur keine keys die sind und bleiben in der cpu root k1 k2 k3 alöes bleibt on der cpu die keyladder spricht nach aussen nur über k5 128 bit aes gekryptet sprich mem2mem crypt ek1 ek2 siehste aber das wars auch die cpu ist dicht ohne ein bug kpmmste da niemals ran

 

[5656c]

In polen wurden die cpus getausch gegen offene bcm aber dan ist auch kein key mehr drin

 

[Derek Buegel]

nur keine keys die sind und bleiben in der cpu root k1 k2 k3

Das würde aber bedeuten, das die CPU unique ist und das kann nicht sein, es sei denn, es gibt einen Master.

 

[5656c]

Warum.k1 k2 wird aus ek1 und ek2 durch k3 errechnet ek2 gijt mittels mem2mm key auch k5 gennant in die cpu gejagt sprich die ganze keyladder arbeitet in der cpu