PS2’nin SPC970 güvenlik çipi tersine mühendislikle çözüldü

PlayStation 2’nin SPC970 MechaCon çipinden 22 ürün yazılımı imajı çıkarılarak GitHub’a yüklendi. Paylaşılan imajların, 2000’de yalnızca Japonya’da çıkan SCPH-15000 modelinden 2002’deki 39000 serisi modellere kadar “fat” PS2’leri kapsadığı belirtildi.

Çalışmayı yapan geliştirici DiscoStarslayer, Bluesky paylaşımında çıkarımı mümkün kılan açığı bulan işbirlikçi Libby’ye teşekkür etti. İmajların, aynı çipi kullanan Namco System 246 ve 256 atari kartlarını da kapsadığı aktarıldı.

Açığın çalışma biçimi

Dump aracının dokümantasyonuna göre açık, çipe gelecek ayar verisi paketinin boş olacağını bildirip çipin kapasitesinden fazla veri göndererek çalıştı. “spc970-dumper-union” adlı meraklı grubunun, çipin kalibrasyon ve yapılandırma verisini sakladığı 1 KB EEPROM’a yazma yöntemini kullanarak bu sınırlamayı aşmaya çalıştığı belirtildi.

Grubun, blok sayısı sıfır olan bir yapılandırma yazma oturumu açıldığında çipin dahili sayacında eksilme taşması (underflow) oluştuğunu tespit ettiği aktarıldı. Yedi blokluk arabelleğin alabileceğinden fazla veri gönderilince taşma (overflow), RAM’de EEPROM yazma görevini tutan alana sarktı ve bu görevdeki kaynak adresi ROM’u gösterecek şekilde değiştirildiğinde MechaCon’un ürün yazılımının 256 baytını EEPROM’a kopyaladığı belirtildi.

Yaklaşık 1.000 kez tekrarlanan kopyala-oku döngüsüyle SPC970’nin 256 KB’lık ürün yazılımı imajı USB belleğe alınabildi.

Dump süreci ve sınırlar

Veri EEPROM’a kopyalandıktan sonra PS2’nin standart bir komutla bu veriyi geri okuyabildiği, işlemin yaklaşık 1.000 kez tekrarlanmasıyla toplam 256 KB’lık tam imajın bir USB belleğe alınabildiği bildirildi. Aracın, işe başlamadan önce EEPROM’u yedeklediği, işlem sonrası kelime kelime geri yüklediği ve sonucu çipin açılış sağlama toplamı (checksum) rutiniyle doğruladığı belirtildi.

Yaklaşık 1.000 geçişin her birinin EEPROM’u yeniden yazdığı, aşınma dengelemesi olmadığı ve flaş belleğe göre daha düşük yazma ömrü bulunduğu gerekçesiyle her dump’ın EEPROM ömrünü kısalttığı ifade edildi. Buna rağmen risk bulunduğu ve Libby’nin orijinal dumper’ının PS2’yi “normal çalışamaz” hale getirebileceği veya donanım düzeyinde onarım gerektirebileceği uyarısını içerdiği aktarıldı.