iPhone 4解锁.NCK-Bruteforce Research

Question

每部iPhone都有一个独特的NORID(8字节)和CHIPID(12字节).

• 这个存放在哪里？也不？seczone？可以倾倒吗？

iPhone需要NCK才能解锁.根据我的理解,NCK是15个字符.

• 是数字,字母还是字母数字？

用于检查NCK是否有效的安全令牌以加密方式存储在seczone的+ 0x400处.

• 它是否正确？

根据我从dogbert的博客中读到的内容,安全令牌是使用类似于以下伪代码的方法创建的:

deviceKey = SHA1_hash(norID+chipID)

nckKey = custom_hash(norID, chipID, SHA1_hash(NCK), deviceKey)

rawSignature = generateSignature(SHA1_hash(norID+chipID), SHA1_hash(chipID))

Signature = RSA_encrypt(rawSignature, RSAkey)

security token = TEA_encrypt_cbc(Signature, nckKey)

• 伪代码是否正确？如果是,那么正在使用的自定义哈希是什么？用于生成rawSignature的是什么？什么是正在使用的RSAKey？它是可以在手机中找到的公钥吗？

如果上面的伪代码是正确的.然后我们必须强制所有15个字符组合才能找到正确的NCK键吗？因为,即使我们能够恢复NORID和CHIPID,我们也无法使用该信息来缩短我们需要查找的字符数量.

• 正确？

新一代iPhone OS包含在激活过程中生成的通配符.

• 但是,一旦我们拥有NCK,这应该没有问题吗？正确？

Answer 1

1. NOR ID 是烧录到设备基带芯片中的硬件芯片 ID。我不知道你从哪里得到这 8 个字节，但它实际上被烧入芯片中，iPhone 3G 的大小为 64 字节，iPhone 3GS 的大小为 128 字节。

2. NCK 是 15 位数字（以 10 为基数，因此不是字母数字）。IE。最大 NCK 为 999999999999999

您的设备密钥错误。

它应该是：

设备唯一密钥 = SHA(NCK + CHIPID + NORID)

teaEncryptedData = &seczone[0x400]

rsaEncryptedData = TEA_DECRYPT(teaEncryptedData, deviceUniqueKey)

validRSAMessage = RSA_DECRYPT(rsaEncryptedData, rsaKey)

当您的 NCK 生成有效的 RSA 消息时，您就找到了正确的 NCK 来解锁您的设备。