iPhone 4 解锁。 NCK-暴力破解研究

Question

每台 iPhone 都有一个独一无二的 NORID(8 字节)和 CHIPID(12 字节)。

• 它存储在哪里？也不？秒区？可以扔掉吗？

iPhone 需要 NCK 才能解锁。据我了解，NCK 是 15 个字符。

• 是数字、字母还是字母数字？

用于检查 NCK 是否有效的安全 token 加密存储在 seczone 的 +0x400 处。

• 这是正确的吗？

根据我从dogbert博客中读到的内容，安全 token 是使用类似于以下伪代码的方法创建的:

deviceKey = SHA1_hash(norID+chipID)

nckKey = custom_hash(norID, chipID, SHA1_hash(NCK), deviceKey)

rawSignature = generateSignature(SHA1_hash(norID+chipID), SHA1_hash(chipID))

Signature = RSA_encrypt(rawSignature, RSAkey)

security token = TEA_encrypt_cbc(Signature, nckKey)

• 伪代码正确吗？如果是，那么正在使用的自定义哈希是什么？使用什么来生成 rawSignature？正在使用的 RSAKey 是什么？是可以在手机中找到的公钥吗？

如果上面的伪代码是正确的。那么我们就必须暴力破解所有 15 个字符组合才能找到正确的 NCK key ，对吗？因为，即使我们能够恢复 NORID 和 CHIPID，我们也无法使用该信息来缩短我们需要查找的字符数量。

• 正确吗？

新一代 iPhone 操作系统包含在激活过程中生成的通配符票。

• 但是一旦我们有了 NCK，生成应该就没有问题了，对吗？对吗？

Answer 1

1. NOR ID 是烧录到设备基带芯片中的硬件芯片 ID。我不知道你从哪里得到这 8 个字节，但它实际上被烧入芯片中，iPhone 3G 的大小为 64 字节，iPhone 3GS 的大小为 128 字节。

2. NCK 是 15 位数字(以 10 为基数，因此不是字母数字)。 IE。最大 NCK 为 999999999999999

您的设备 key 错误。

它应该是:

deviceUniqueKey = SHA(NCK + CHIPID + NORID)

teaEncryptedData = &seczone[0x400]

rsaEncryptedData = TEA_DECRYPT(teaEncryptedData, deviceUniqueKey)

validRSAMessage = RSA_DECRYPT(rsaEncryptedData, rsaKey)

当您的 NCK 生成有效的 RSA 消息时，您已找到正确的 NCK 来解锁您的设备。