Ich will nicht zu viel verraten, aber anstelle das Pairing anzugreifen und mühsam zu versuchen auf den Sky Q Receiver Zugriff zu bekommen um dort Dinge auszulesen ist es viel zielführender die (alte) GigaTV 4k Box anzugreifen. Die Absicherung ist bei beiden Fällen ähnlich gut, nur das man bei der GigaTV 4k Box gleich durchmarschieren kann in Richtung TEE wo sich die virtuelle Smartcard befindet. Mit hinreichend hohem privilege level hat man plötzlich die komplette Firmware der virtuellen Smartcard in der Hand, mit samt des RAMs mitten im Programmablauf. Möglicherweise geht es auch über einen sidechannel Angriff, das habe ich aber nicht getestet. Ab dem Punkt kann man den Receiver dann wieder in den Schrank stellen, alles was man benötigt hat man dann in der Hand. Ab hier sind die Dinge dann auch wieder einfach: Das ganze in IDA laden, und schon sieht man nach etwas suchen was man sehen will und wer einmal auf "Lumina Pull" drückt bekommt auch nette Funktionsnamen, das ist also noch viel einfacher für alle Nachahmer als die erste Analyse (gern geschehen
). Der HexRays Decompiler macht da einen ziemlich guten Job sodass man einen großen Teil des Pseudocode mittels ChatGPT einfach in rudimentären C-Code umwandeln kann. Das könnte man auch selber per Hand machen und die Deklarationen durch korrekte C-Deklarationen ersetzen, aber so war es einfacher und schneller, wenn auch die Performance des Ergebnisses so vermutlich nicht ganz optimal ist. Schneller als eine klassische Smartcard ist es auf jeden Fall (1-2ms Antwortzeiten) und man kann es parallelisieren wie man möchte. Ein bisschen selber rechnen ist dort an diversen Stellen auch noch angesagt, aber das ist alles machbar und es wirkt fast so als ob man sich sehr darauf verlassen hat, dass die anderen Schutzmechanismen so wirkungsvoll sind, dass niemand es schafft so weit zu kommen. Da habe ich schon deutlich schwierigere Dinge gesehen.
UHD geht natürlich so nicht, aber das kann man verschmerzen. Die GigaTV 4k Box wird Vodafone einem wohl in Rechnung stellen, in dem Zustand sollte man sie jedenfalls nicht mehr zurückschicken.
Wie man das SecureBoot überlistet bekommt und wie man es schafft das privilege level zu erhöhen muss jeder selbst herausfinden, theoretisch könnte durch ein Update alles verändert werden sodass man wieder von vorne anfangen muss, wenn die Lücken vorher gestopft würden geht das natürlich nicht mehr.