Black-Box-PCB-Reverse-Engineering für undokumentierte Platinen

Black-Box-PCB-Reverse-Engineering befasst sich mit der anspruchsvollsten Kategorie von Reverse-Engineering-Projekten: Leiterplatten, für die nicht nur keine Dokumentation existiert, sondern die auch bewusst so konstruiert wurden, dass sie sich einer Analyse widersetzen. Die Beschriftungen von Bauteilen können abgeschliffen sein. Die Leiterplatte kann mit undurchsichtiger Vergussmasse vergossen sein. Kundenspezifische ASICs oder programmierte FPGAs können proprietäre Logik implementieren, die anhand äußerlicher Markierungen nicht identifiziert werden kann. Die Schaltung kann in einem versiegelten Gehäuse mit Manipulationsschutzmechanismen verborgen sein. Dies sind keine theoretischen Hindernisse. Militärelektronik, proprietäre Industriesteuerungen, Leiterplatten für medizinische Geräte und hochwertige kommerzielle Produkte setzen routinemäßig Maßnahmen gegen Reverse-Engineering ein, um geistiges Eigentum zu schützen und Wettbewerbsvorteile zu sichern. Wenn diese Systeme Wartung, Reparatur oder Austausch benötigen und der Originalhersteller nicht erreichbar ist, ist Black-Box-Reverse-Engineering der einzige Ausweg. Dieser Leitfaden beschreibt die spezielle Methodik zur Analyse vollständig undokumentierter Systeme, deren Leiterplatte sich aktiv gegen Standard-Reverse-Engineering-Techniken wehrt – von der Analyse externer Schnittstellen über Manipulationsschutzmaßnahmen bis hin zur Rekonstruktion des Designs.

1. Was definiert eine Black-Box-Leiterplatte und warum Standardmethoden nicht ausreichen

1.1 Eigenschaften der Blackbox

Eine Blackbox-Platine unterscheidet sich in einem entscheidenden Punkt von einer herkömmlichen, undokumentierten Platine: Informationen wurden bewusst verborgen. Herkömmliche, undokumentierte Platinen verfügen lediglich aufgrund von Verlust oder Nachlässigkeit über keine Dokumentation – alle Informationen sind auf der Hardware zugänglich, sofern man weiß, wie man sie extrahiert. Blackbox-Platinen wurden so konstruiert, dass diese Extraktion verhindert oder erschwert wird. Gängige Verschleierungstechniken:

• Bauteilmarkierung entfernen: Die IC-Beschriftungen wurden abgeschliffen, laserabgetragen oder chemisch entfernt. Ohne Beschriftung lässt sich der IC nicht auf herkömmliche Weise identifizieren – der Ingenieur steht vor einem unbekannten Bauteil mit unbekannter Pinbelegung und unbekannter Funktion.
• Verguss und Verkapselung: Die gesamte Platine (oder kritische Bereiche) ist mit undurchsichtigem Epoxid-, Urethan- oder Silikonkleber vergossen. Bauteile, Leiterbahnen und sogar das Platinensubstrat sind unsichtbar und physisch unzugänglich.
• Kundenspezifisches Silizium: Proprietäre ASICs oder maskenprogrammierte Bausteine, die die Kernlogik implementieren. Es existiert kein Datenblatt, da das Bauteil nie kommerziell vertrieben wurde.
• Codegeschützte Mikrocontroller: Die Firmware ist durch Leseschutzsicherungen gesperrt. Das Programm, das das Verhalten des Geräts definiert, kann nicht extrahiert werden.
• Manipulationsschutzmechanismen: Schaltungen, die physisches Eindringen erkennen (Deckelschalter, Gittersensoren, Spannungsmonitore) und darauf reagieren, indem sie flüchtige Schlüssel löschen oder destruktive Mechanismen auslösen.
• Verschleiertes Leiterplattenlayout: Bewusst eingesetzte Routing-Komplexität – unnötige Durchkontaktierungen, irreführende Leiterbahnen, Dummy-Bauteile – dient dazu, die Analysezeit und die Fehlerwahrscheinlichkeit zu erhöhen.

1.2 Warum Standardmethoden der RE-Methoden versagen

Standardmäßiges Reverse Engineering geht davon aus, dass die Bauteilidentifizierung unkompliziert ist (man liest die Markierungen), die Leiterbahnverfolgung eine Messaufgabe (Bild und Leiterbahn) darstellt und die Schaltungsfunktion aus der Bauteilidentität abgeleitet wird (siehe Datenblatt). Blackbox-Platinen widerlegen alle drei Annahmen: Bauteile lassen sich nicht anhand von Markierungen identifizieren, Leiterbahnen können unter Vergussmasse verborgen sein, und für kundenspezifische Siliziumchips sind keine öffentlich verfügbaren Datenblätter vorhanden.

2. Die Black-Box-Analyse: Ermitteln, womit Sie es zu tun haben

2.1. Externe Prüfung

Bevor Sie versuchen, das Gerät zu öffnen oder zu analysieren:

• Fotografieren Sie alle äußeren Merkmale: Gehäusekennzeichnungen, Etiketten, behördliche Zertifizierungen (FCC-ID, CE-Kennzeichnung, UL-Listung). FCC-IDs können in der FCC-Datenbank gesucht werden, um interne Fotos und Prüfberichte zu finden, die möglicherweise Details der Platine offenlegen.
• Alle Verbindungen dokumentieren: Anschlusstypen, Pinanzahl und Beschriftungen definieren die externen Schnittstellen der Platine und bilden den Ausgangspunkt für die Verhaltensanalyse.
• Beurteilung des Kapselungsgrades: Befindet sich die Platine in einem Standardgehäuse (abnehmbarer Deckel)? In einem versiegelten Gehäuse (geklebt oder verschweißt)? Ist das Modul vergossen (Platine in Vergussmasse eingebettet)?

2.2 Nichtinvasive Bildgebung

Die Computertomographie (CT) ist das leistungsstärkste Werkzeug für die Black-Box-Analyse – sie kann die Leiterplattenstruktur, Bauteilpositionen und sogar Leiterbahnführungen durch Vergussmasse hindurch berührungslos abbilden. Bei komplexen Black-Box-Projekten sollte die CT-Untersuchung vor jedem Eingriff in die Leiterplatten durchgeführt werden.

2.3 Risikobewertung

Vor der Durchführung invasiver Analysen ist Folgendes zu beurteilen:

• Gibt es einen Manipulationserkennungsmechanismus? (Batteriegepufferter flüchtiger Speicher, Gittersensoren, Deckelschalter – im CT-Scan sichtbar)
• Wie viele Probeneinheiten stehen zur Verfügung? (Eine Black-Box-Analyse kann die Probe zerstören; die Verfügbarkeit mehrerer Einheiten ist daher dringend zu empfehlen.)
• Welches Risikoniveau ist akzeptabel? (Geht es darum, die Schaltung zu verstehen oder eine funktionsfähige Kopie herzustellen? Ersteres toleriert größere analytische Beeinträchtigungen.)

3. Analyse der externen Schnittstelle: Vom Außen nach innen arbeiten

3.1 Anschlussbelegung

Ermitteln Sie die Pinbelegung jedes Steckers, ohne das Gerät zu öffnen, durch elektrische Messungen:

• Stromanschlüsse: Identifiziert durch den Widerstand gegen Masse (niedriger Widerstand = Masse der Stromversorgung; niedriger Widerstand zu anderen Pins durch Entkopplung = Stromversorgung)
• Kommunikationsanschlüsse: Schließen Sie einen Logikanalysator oder ein Oszilloskop an und beobachten Sie die Signalaktivität im Normalbetrieb. UART-Signale zeigen charakteristische Start-/Stopp-Bitmuster; SPI zeigt Takt und Daten; I2C zeigt Takt und bidirektionale Daten mit ACK/NACK; CAN zeigt differentielle Signalgebung.
• Analoge Pins: Messen Sie die Gleichspannung und beobachten Sie die Signaländerung. Analoge Ein-/Ausgänge zeigen typischerweise langsam veränderliche oder sensorkorrelierte Signale.
• Digitale E / A: Beobachten Sie Zustandsänderungen, die mit dem Geräteverhalten korrelieren (Eingänge, die sich beim Drücken von Tasten ändern; Ausgänge, die sich bei der Aktivierung von Aktoren ändern).

3.2 Protokollidentifizierung und -dekodierung

Für jede identifizierte Kommunikationsschnittstelle:

• Bestimmen Sie das Protokoll (Baudrate, Datenformat, Rahmung).
• Erfassen und Dekodieren des Datenstroms während des normalen Betriebs
• Befehls-/Antwortmuster, Datenstrukturen und zeitliche Zusammenhänge identifizieren
• Erstellen Sie eine Protokollspezifikation, die beschreibt, wie die Blackbox mit externen Systemen kommuniziert.

Diese externe Verhaltensanalyse liefert die funktionale Spezifikation, die jeder Ersatzentwurf erfüllen muss – selbst wenn die interne Implementierung teilweise unbekannt bleibt.

3.3 Leistungsanalyse

Messen Sie das Stromverbrauchsprofil des Geräts über einen längeren Zeitraum:

• Der Stromverbrauch im stationären Zustand gibt Aufschluss über die Gesamtkomplexität der Schaltung.
• Die mit den Betriebszuständen korrelierten Änderungen des Stromverbrauchs offenbaren interne Aktivitätsmuster.
• Die Einschaltsequenz (Einschaltstrom, Anlaufzeit, Initialisierungsstromprofil) liefert Hinweise auf die interne Architektur (Prozessorstart, FPGA-Konfiguration, analoge Kalibrierung).

4. Interne Analyse: Überwindung von Verschleierungs- und Manipulationsschutzmaßnahmen

Dieser Abschnitt behandelt die speziellen Techniken, die erforderlich sind, wenn die standardmäßige Bauteilidentifizierung und Spurenanalyse durch gezielte Gegenmaßnahmen blockiert werden.

4.1 Entfernen der Vergussmasse

Die Entfernungsmethode hängt von der Art der Verbindung ab:

• Silikonverguss: Weich; vorsichtig schneiden und abziehen. Geringstes Risiko für Bauteile. Wird häufig verwendet, wenn der Umweltschutz im Vordergrund steht und nicht die Geheimhaltung von geistigem Eigentum.
• Urethanverguss: Mittlere Härte. Chemische Auflösung (spezielle Lösungsmittel) oder sorgfältiges mechanisches Fräsen. Mäßiges Beschädigungsrisiko der Bauteile.
• Epoxidharzverguss: Sehr schwierig. Erfordert CNC-Mikrofräsen unter CT-gesteuerter Kontrolle, um Material abzutragen, ohne die Bauteile zu beschädigen. Hohes Risiko – Bauteile können beim Abtragen beschädigt werden. Die CT-Daten dienen zur Programmierung der Frästiefenbegrenzungen über jedem Bauteil.
• Metallgefülltes Epoxidharz: Für einige Hochsicherheitsanwendungen wird mit Metallitpartikeln versetztes Epoxidharz verwendet, um Röntgenaufnahmen zu blockieren. Dies erfordert spezielle Entfernungstechniken und einen deutlich höheren Analyseaufwand.

4.2 Identifizierung von Bauteilen mit entfernten Markierungen

Wenn IC-Markierungen abgeschliffen oder abgetragen wurden:

• Paketanalyse: Der IC-Gehäusetyp (QFP, BGA, SOIC, QFN) und die Pinanzahl schränken die Auswahl an Kandidaten deutlich ein. Ein 8-poliger SOIC mit spezifischen Stromversorgungsanschlüssen ist wahrscheinlich ein Spannungsregler, Operationsverstärker oder ein kleiner Speicherbaustein.
• Schaltkreiskontext: Die an den unbekannten IC angeschlossenen Komponenten liefern wichtige Hinweise zur Identifizierung. Ein IC, der mit einem Quarzoszillator, SPI-Flashspeicher und mehreren GPIO-angeschlossenen Peripheriegeräten verbunden ist, ist mit hoher Wahrscheinlichkeit ein Mikrocontroller.
• Untersuchung der Stäbchen (Entkapselung): Durch chemisches oder mechanisches Entfernen des IC-Gehäusematerials wird der Siliziumchip freigelegt. Chipmarkierungen (oft auch nach Entfernung der Gehäusemarkierungen vorhanden), Chipgröße und Bondpad-Layout ermöglichen die Identifizierung des Bauteils.
• Infrarotbildgebung im Betrieb: Die Wärmeemissionsmuster von integrierten Schaltkreisen geben Aufschluss über die interne Chipstruktur und die Betriebsbereiche und liefern so Hinweise auf Gerätetyp und Funktion.

4.3 Umgang mit kundenspezifischen ASICs

Enthält die Blackbox einen kundenspezifischen ASIC (anwendungsspezifischen integrierten Schaltkreis), kann dieser in keiner Datenbank identifiziert werden, da er nie kommerziell vertrieben wurde. Lösungsansätze:

• Funktionelle Charakterisierung: Erfassen Sie das gesamte I/O-Verhalten, indem Sie Eingänge stimulieren und Ausgänge beobachten. Erstellen Sie ein Verhaltensmodell, das beschreibt, was der ASIC tut, ohne zu wissen, wie
• FPGA-Emulation: Implementieren Sie das beschriebene Verhalten in einem modernen FPGA als funktionalen Ersatz für den unbekannten ASIC. Dies repliziert nicht das interne Design des ASIC, sondern erzeugt ein äquivalentes externes Verhalten.
• Die Reverse-Engineering-Methode: In extremen Fällen kann der ASIC-Chip Schicht für Schicht fotografiert und die Schaltung auf Gatterebene anhand der Bilder rekonstruiert werden. Dies ist extrem kostspielig (50,000 bis über 500,000 US-Dollar) und wird üblicherweise für militärische oder nationale Sicherheitsanwendungen eingesetzt.

5. Verhaltenscharakterisierung ohne internen Zugriff

5.1 Wenn eine physikalische Analyse nicht möglich ist

In manchen Fällen lässt sich die Blackbox nicht öffnen (destruktive Manipulationsmechanismen, einzig unersetzliche Probe oder regulatorische Beschränkungen). Der gesamte Reverse-Engineering-Ansatz muss sich auf externe Verhaltensanalysen stützen:

• Umfassendes I/O-Mapping und Protokolldekodierung (wie in Abschnitt 3 beschrieben)
• Charakterisierung der Übertragungsfunktion: Für jede Eingangs-/Ausgangsbeziehung wird die mathematische Funktion gemessen, die den Eingang in den Ausgang über den gesamten Betriebsbereich transformiert.
• Zeitcharakterisierung: Messung aller Reaktionszeiten, Latenzen und periodischen Verhaltensweisen
• Zustandsautomatenanalyse: Identifizierung der Betriebszustände, Übergänge und Übergangsbedingungen des Geräts.

5.2 Erstellung eines funktionalen Ersatzes aus Verhaltensdaten

Eine Verhaltensspezifikation ermöglicht die Entwicklung eines funktionalen Ersatzes, ohne die interne Implementierung zu kennen:

• Wählen Sie einen Prozessor oder eine FPGA-Plattform, die die erforderlichen E/A-Schnittstellen und die benötigte Verarbeitungsgeschwindigkeit implementieren kann.
• Implementieren Sie die charakterisierten Übertragungsfunktionen, den Zustandsautomaten und das Timing in Firmware oder HDL.
• Entwerfen Sie die Platine mit identischen Anschlusspositionen und Pinbelegung für eine direkte Einbaukompatibilität.
• Validierung anhand des Originalgeräts durch direkten Vergleichstest

Dieser Ansatz führt zu einer Platine, die sich aus Sicht des Systems identisch zum Original verhält – auch wenn die interne Implementierung völlig anders sein kann.

6. Rekonstruktion des Designs aus den kombinierten Erkenntnissen

6.1 Evidenzfusion

Reverse Engineering von Black-Box-Systemen stützt sich selten auf eine einzige Analysemethode. Stattdessen werden Erkenntnisse aus verschiedenen Quellen kombiniert:

• Die CT-Scandaten liefern Informationen über die Bauteilpositionen und die Platinenstruktur.
• Externe Verhaltensanalysen liefern funktionale Spezifikationen
• Durch das Entfernen der Vergussmasse (falls durchgeführt) werden Bauteilmarkierungen und Leiterbahnen zugänglich.
• Die IC-Entkapselung ermöglicht die Geräteidentifizierung für nicht gekennzeichnete Komponenten.
• Die Protokolldekodierung liefert Spezifikationen für die Kommunikationsschnittstelle.

Jede Evidenzquelle füllt die Lücken, die die anderen hinterlassen. Die Rekonstruktion ist abgeschlossen, wenn alle Evidenzquellen zu einer einzigen, konsistenten Konstruktionsbeschreibung übereinstimmen.

6.2 Ergebnisse von Black-Box-Projekten

Abhängig von der erreichten Analysetiefe:

• Vollständige Rekonstruktion: Wenn die Vergussmasse entfernt und alle Komponenten identifiziert wurden – Standardlieferergebnisse (Schaltplan, Gerber-Dateien, Stückliste, Netzliste) entsprechen einem normalen RE-Projekt.
• Funktionales Ersatzdesign: Falls eine vollständige physikalische Analyse nicht möglich war, wurde ein neues Platinendesign entwickelt, das das externe Verhalten des Originals mit modernen Bauteilen nachbildet. Es umfasst einen neuen Schaltplan, neue Gerber-Dateien, eine neue Stückliste und einen Bericht zur Verhaltensvalidierung.
• Schnittstellenspezifikation: Wenn nur eine externe Analyse durchgeführt würde – eine umfassende Dokumentation aller Schnittstellen, Protokolle, Zeitabläufe und Übertragungsfunktionen –, wäre dies ausreichend, um ein Ersatzsystem zu entwerfen, das korrekt mit der Host-Ausrüstung der Blackbox interagiert.

7. Highleaps Black-Box-Reverse-Engineering-Dienstleistungen

Highleap Electronics bietet spezialisierte Black-Box-Analysen für die anspruchsvollsten Reverse-Engineering-Projekte an:

• Erweiterte Bildgebung: Computertomographie durch Vergussmasse hindurch Röntgenanalyse von verkapselten Baugruppen und Fotografie auf Chipebene für unmarkierte ICs
• Topfentfernung: CNC-Mikrofräsen unter CT-Datenkontrolle, chemische Auflösung und mechanische Entkapselung – mit Komponentenerhaltungsprotokollen
• Verhaltensanalyse: Protokolldekodierung, Übertragungsfunktionscharakterisierung und Zustandsautomatenanalyse für Geräte, die nicht geöffnet werden können
• FPGA-Emulation: Kundenspezifische ASIC-Funktionalität wird in modernen FPGA-Plattformen für den funktionalen Ersatz repliziert.
• Vollständige Liefergegenstände: Vollständiger schematische Rekonstruktion Wo eine physikalische Analyse dies zulässt; Verhaltensersatzdesign, wo dies nicht der Fall ist.
• Fertigungsintegration: Von der Analyse bis Prototypenfertigung, Versammlung und Funktionsvalidierung
• Strenge Geheimhaltungsvereinbarung: Black-Box-Projekte erfordern höchste Vertraulichkeit – unsere Sicherheitsprotokolle erfüllen diese Anforderung.