文章總列表

VOLVO CEM Crack (1) P3 CEM CRACK

先來張圖！改開機畫面像開新車，每次看都開心

這系列文章介紹VOLVO CEM（Central Electronic Module）保護，這類中文資料應該不多，讓有興趣的人參考。我並非汽車從業人員，從有限的觀點寫下筆記，寫錯了請用力嘲笑


想改開機畫面指南

  1. 需要一顆VOLVO DICE，這個很容易買
  2. D5T5的VDASH透過Internet和筆電上的DICE工作，可以做那些事都有簡單的說明
  3. 另外一套工具，瑞典人寫了P3-Tool，這裡也有介紹
  4. 研究工具是一套Pi和一顆USB-CAN


D5T5的VDASH

D5T5團隊的VDASH透過OBD2 port和汽車打交道。他能診斷VOLVO car：使用UDS通訊協定讀取錯誤碼，D5T5團隊深入研究（逆向工程）原廠診斷工具，吐出每個錯碼的意義

VDASH也能配置汽車，例如修改開機畫面。首先要解開CEM安全保護，下圖是VDASH嘗試破解CEM的通訊紀錄，他也依賴UDS通訊協定

我感興趣的是UDS，以前不得其門而入，現在能說個兩句了


開始說UDS（Unified Diagnose Service）

工業標準讓大家在同個平台創新，例如3GPP之於4G/5G行動通訊，IEEE之於Ethernet/ WiFi

汽車電子充滿濃濃的ISO味，讓品牌商和ECU廠商脫鉤。ISO-14229 UDS Protocol定義通訊方式，下面表格列出所有服務。透過OBD2 port讓讀取錯誤碼，更新軟體，修改配置變得可行

UDS只定義通訊規格，各家廠商在其上自訂安全機制。作為旁觀者，準備一套樹莓派加CAN-to-USB能在旁偷窺。藉著觀測VDASH的通訊紀錄，學習UDS通訊。搜尋"UDS 0x27"，慢慢看也看得懂。拜中國所賜，也有很多高品質的中文資料


VOLVO P3 CEM保護

CEM是主電腦，手機安裝Car Scanner Pro能查詢不少內部狀態，例如電瓶狀態，機油溫度，逆向工程原廠診斷工具即可得知。進階操作得先通過UDS 0x27 Security Access考驗，認證通過，才允許底層操作

VOLVO的SEED/KEY算法已經不是秘密了。第一個連結包括2600個討論，涵蓋P1/P2/P3 CEM破解，甚至有P1/P2 Car Config，讀吧！第二個連結是Arduino在Teensy board實作，破解P1/P2/P3 CEM

下圖是P3關鍵程式碼和註解

Google撈一下寫死的數值，看來大家都直接用sample code來改。就算安全性有疑慮，會動的東西沒事不要碰

我立刻明白VDASH破解是怎麼回事了

  • 汽車來的3byte-seed，加上CEM裡面的5byte-PIN，計算出3byte KEY
  • VOLVO密碼結構：帳面上5byte-PIN，強度只有3-byte-PIN
    • 可以讓byte0=byte1=0，暴力攻擊byte2/3/4，密碼強度只有24bit，約1600萬組
  • 直接對汽車破解，99%時間耗在CAN bus
    • VDASH攻擊一秒約200組，最多24小時破台
    • 專門的硬體能壓到6小時
  • 找到的PIN碼和正確答案不同，但是演算法設計失誤，答案會完全一樣
    • 具體來說，一台車會有65536組答案
我的車VDASH知道答案，能取得很多組正確答案（seed, key）。在算力孱弱的Pi， 16秒破解完成


VOLVO P3 CEM密碼短評

  • 密碼結構不能當安全保證：工程師會離職，iPhone4會忘在酒吧。俄羅斯人拿程式dump反組譯source code

  • VOLVO SPA/CMA提供額外保護：密碼嘗試數次錯不給玩，對車暴力破解無法進行。但是密碼結構不改

  • 密碼用8byte計算32bit HASH，3byte來自SEED（已知），5byte來自PIN（未知）。最後只用24bit HASH算出KEY，損失八分之二資訊！我猜這一步導致PIN強度剩24bit

  • 假如VOLVO沒犯錯，強度滿血40bit，對汽車破解立刻不可行（6萬天）；知道一組答案，暴力破解需要100小時，用高級的電腦還是能加速到30分鐘

  • 學習破解方式，目標是哪天得設計安全系統，不要踩已知的坑洞 QQ

  • 現代密碼依賴"運算安全性"，算法公開，改用AES-128甚至AES-256就難以暴力破解

  • 密碼原則上無法攻破，現代主流攻擊對象是人類，簡稱社交工程。讓人類在酒吧洩漏些什麼更簡單一點。這裡的專業我不大懂，宅宅工程師要小心不中招 QQ


下一篇

我會分析P3-Tool or VDASH的UDS通訊紀錄，對汽車ECU實際的通訊內容

留言

Jack Moynihan寫道…
This is all useful data, have many updates been made since 2020?
2026年10月28日 凌晨3:34
lihgong寫道…
Thanks for the feedback, the Volvo car P3 is frozen since 2017 (then they switched to SPA platform), I think these information is still valid in today
2026年10月30日 上午8:39
張貼留言

這個網誌中的熱門文章

ELM327 OBD-II 心得 (2)，ELM327底層介面

圖片
首先到Google Play搜尋ELM327 Terminal，不用太糾結，隨便一套都可以。如果真的有選擇困難，那就 這套 吧。因為他最近才更新過，而且介面看起來滿漂亮的 想辦法連上車後，輸入0902就可以讀取汽車的 VIN碼 （車子唯一的辨識碼）。這些PID（0902）是 工業規格 ，每家車商都得實作，底下是幾個常見的code。所以抬頭顯示器（HUD）不需要區分廠牌，只要有OBD2接頭都可以用 01 0D 車速 01 0C 引擎轉速 底下是我車子回報的VIN碼，有興趣可以查一下文件，解看看 :-) 7E8 08 01 14 49 02 01 59 56 41 7E8 08 21 44 5A 41 38 42 44 48 7E8 08 22 32 30 37 36 36 38 32 用Torque讀CANBUS的人很多，但是很少人看ELM327究竟做什麼。到 ELM公司官網 下載他們的 AT command列表 ，這就是這顆IC所有的能力了，不同版本支援的能力也不大相同 可能是歷史因素，ELM327 命令 已經變成某種非正式標準，所有想寫手機和汽車打交道的軟體都會支援ELM327 命令 。反過來說，任何一個人想做車用OBD-II的讀取頭，只要照著ELM327 命令 實作，就能和現有的手機軟體互聯（即使他本質不是ELM327） 所以深圳的公司用8051刻了ELM327 1.5（或著就自己亂改），但是人家根本沒出過v1.5；想做手機讀取頭的公司，最好開出的軟體介面和ELM327命令相容，否則客人買回去不能接Torque，產品會賣不掉 手機軟體開發者會盡量少用一些特殊命令，這樣相容性才好。實務上讀引擎轉速，速度，讀錯誤碼，這些操作都不需要特殊命令，所以這類Probe其實接手機大概功能都會動。 如果您問我，哪個版本的ELM327可以買... 說實話我不是很確定，畢竟我手上也沒幾個。但是後面我會分享CANBUS如果有個爛掉的裝置，會對系統造成什麼傷害
Read more »

STM32 UART + DMA，使用HAL實作TX/RX，以及不定長度接收

圖片
前言 我一般用Segger-RTT來debug。不過這東西也有限制，比如MCU進出sleep mode，他的data stream就會斷掉，也是不方便 http://lihgong.blogspot.com/2016/05/segger-rtt-1.html http://lihgong.blogspot.com/2016/05/segger-rtt-2.html http://lihgong.blogspot.com/2016/05/segger-rtt-3_6.html 我不是很喜歡UART，根本原因是把他 用好 其實不容易。當年選用Segger RTT其實就是要逃避這題（笑）；很多年過去了，總是要回來解決這題 STM32 HAL UART driver足足有3726Lines，這代表他的複雜度。假如UART跑在115200bps來說，傳送1byte需要約100us，假設CPU跑在16Mhz就需要1600T。簡單用Polling mode丟資料（或是接收資料）效能很悲劇；用了中斷模式會好一點，但是每個字元都來中斷，遇到高速UART其實效率也不大好；這題的根本解法是需要DMA mode 這篇我會介紹怎在使用STM32CubeIDE，把UART+DMA mode跑起來，TX/RX都有，實作我心裡最佳的框架。這篇直接講結論和步驟，原理很複雜，但是架起來卻很簡單 環境 STM32CubeIDE 你改用STM32CubeIDE了嗎？如果還沒，可以試試看；我用起來很滿意！ Nucleo F411RE Board 上面有ST-LINK加開發版，帶條USB線就能出去玩；缺點是MINI-USB線有點討厭 MobaXTerm 好用的Terminal工具，可以連SSH/ RDP/ Serial Terminal UART-TX設定步驟 STM32CUBEIDE設定UART，關鍵是要打開UART中斷，以及打開TX/RX的DMA Enable UART IRQ Enable UART DMA channels 假如要傳送資料，這一段code能幫上忙。這裡面有個資料結構內藏ring-buf，每次user要寫東西就往buf[]擺，並且更新wptr；資料擺上去會呼叫UART HAL library的API來傳送；或是DMA傳送完了，也會檢查還有沒有剩下的要傳。因為有Global variabl...
Read more »

玩CAN bus的傢伙們 (1) CandleLight-based USB-CAN

圖片
硬體介紹 要玩CAN bus，準備一條USB-CAN的線，搭配一台筆電就能樂無窮，我們就從這條線講起。這條線的檔次變化很大，這篇先從[最便宜]的版本說起 這上面其實就是兩樣東西 MCU:  STM32F042x6 or STM32F072RB CAN Transceiver:  NXP TJA1051/3 簡單看一下MCU的block diagram，關鍵是圖上紅框的CAN和USB介面，完成介面的轉換。我愛用的STM32 F103 C8T6也有這兩個介面，但是USB/CAN不能同時開；倒是比較低階的F0就沒這個限制 這東西的結構簡單，其實網路上很多來源都買得到這個硬體 https://github.com/HubertD/candleLight https://wiki.linklayer.com/index.php/CANtact https://canable.io/ TAOBAO 想要自己做可以參考這個 線路圖 ，很簡單 韌體介紹 最早Geschwister Schneider Technologie生產USB-CAN裝置（以下簡稱gs_usb），他的 Linux kernel driver 已經合入公版，各大Linux版本可以直接使用。驅動程式揭漏gs_usb通訊協定，於是有高手仿照通訊協定寫了 CandleLight FW ，燒入MCU後，電腦就認為這是gs_usb！ 分析一下FW的效能，這些介面轉換的東西，不掉封包是基本的需求。STM32F0的記憶體不大，只有16K，他的source code宣告QUEUE深度是64層 假設我們的封包都是8byte放到滿（沒放到滿時case，狀況更差了），不同CAN bus速度能承受的時間如下 1000Kbps, 1us per bit, ~100bit per packet = 100us, 64x = 6.4ms 500Kbps, 2us per bit, ~100bit per packet = 200us, 64x = 12.8ms 125Kbps, 8us per bit, ~100bit per packet = 800us, 64x = 25.6ms USB是主機主機端定期詢問裝置是否有封包要傳送，如果電腦USB很忙，比如正在傳輸檔案，能分到的頻寬就變少；或是CAN bus很滿，buff...
Read more »