Что делать, когда хочется взломать пароль, крякнуть сенсор и попробовать Python? Ч1: исследуем ёмкостный touch screen

Он ловко держал инструменты и припаивал последний проводок. Весь такой пушистый и красивый. Дымок витиевато поднимался вверх, а в енотской разливался приятный запах канифоли…
+++
Однажды нам с Кряком попался симпатичный смартфон. Стало любопытно залезть в него, установить приложения и продолжить эксперименты с ним. Но путь преградил экран с паролем. Потыкав пальцем и осознав, что попыток больше трёх, мы обрадовались, ведь это увеличивало наши шансы. Телефон временно отправился на полку, а Кряк по своим делам. Мне нужно было ещё доделать текущие проекты. А этот 100% опять что-то сломал.

В один из дней меня внезапно посетила интересная мысль.
– Давай сюда, тебе понравится! – зову я пернатого коллегу.
– …?
– Совмещаем интересы: исследуем сенсор, пишем приложение на Питоне и взламываем пароль! Попробуем новое, заодно получим доступ! А?! Круто?
Утёнок явно заинтересовался новой забавой и пошёл за своими инструментами.
Любопытно, что из этого получилось?)

❯ Какой интерфейс?

Просматривая схемы смартфонов, можно заметить, что интерфейс у контроллеров ёмкостного сенсора I2C, есть пара дополнительных линий (RST, INT) и интерфейс стандартный:

Alcatel 6043D.

Explay A351.


Huawei G620.

ZTE Blade L130.


Huawei-g6.

Документации частенько нет либо она неполная, поэтому требуется обратная разработка.
Пожалуй, Кряк справится – специалист он хороший:


– Печеньки?! ПЕЧЕНЬКИИИ!!!


– Сначала займёмся делом. Мысли рационально.
– Но я всё равно хочу печеньку!
– Ладно.
[Перерыв на обед] …

❯ Изучаем нашу жертву

Точную модель смартфона мы не определили. Какой-то китАйфон 6(S).


Позже удалось выяснить, что при подключении по USB определяется как AQ5001. Видимо, вариантов подделок много.


R7126_MainBoard_V3.0


На задней крышке видим надписи FCC ID BCG-E2816A и Model A1586.


Если поискать по FCC ID, то находится какая-то полезная информация. Но не для нашей подделки, а для оригинала. Экранчик и внутренности там несколько иные.


У нашего пациента контроллер тача на шлейфе.



Focal Tech FT6336DMB. На шлейфе даже подписаны контакты. Удобно!
Есть пусть неполный, но даташит на контроллер. Какая удача!
FT6236 FT6336 FT6436L FT6436_Datasheet

❯ Что интересного в даташите?

FT6X36 – контроллеры ёмкостной сенсорной панели со встроенным 16-битным микроконтроллером. Поддерживают одну точку касания и жест или две точки касания одновременно.


Подключение довольно простое. Данные передаются по обычному I2C интерфейсу. 


Контроллер сенсора может работать в нескольких режимах:

1. Активный. В этом режиме он активно сканирует сенсорную панель. По умолчанию 60 кадров/с. Можно настроить быстрее или медленнее.
   
2. Слежение (monitor mode). Панель сканируется на пониженной частоте (25 кадров/с, настраивается). В данном режиме большинство алгоритмов отключено. Работает простое определение наличия касания для перехода в активный режим.
   
3. Спящий. Можно пробудить сигналом Reset.
   

Если у FT6X36 есть полезные данные по касаниям, то он информирует управляющий процессор сигналом прерывания (/INT).

❯ Делаем стендик для работы

Даташит – это хорошо. Но в данном случае в нём описано далеко не всё, что нам нужно. Зато у нас есть рабочее устройство и логический анализатор.

– Кряк, позови монтажника! Пусть проводки к разъёму припаяет.
[Спустя 20 минут в енотской] …

(рисунок доктора Штрих)

– О, нормально так припаял!


Знакомьтесь. Это наш монтажник Кузя. В школе ему делали замечания по поводу воровства хлеба из столовки, но потом парень взялся за ум и стал прекрасным специалистом.

С кошками он по-прежнему общается.
Получается вот такой удобный стендик:


Анализатор подключаем с помощью гребёнки контактов. Штатная кнопка выключения неудобная, поэтому припаяем свою. Питание удобно подключать с помощью разъёма с ключом. Для перезапуска телефона достаточно просто разъединить и соединить обратно.

Чтобы проводки не отваливались, можно прикрепить их термоклеем. При необходимости он легко удаляется. Если есть такая цель, то можно сделать ещё аккуратнее. В данном случае хочется быстро сделать интересный проект без лишних усложнений.

❯ Записываем и анализируем обмен

Рассмотрим обмен контроллера сенсорной панели с процессором телефона при включении, а потом немного реакцию на касания.

Файлы с записанным обменом можно найти здесь.

Анализ общей картины.


В самом начале мы видим импульсы. Затем большая пауза. Это телефон включается. На курсоре 1 появляется стартовый экран.


На курсоре 2 экран отключается. На курсоре 3 включаем экран кнопкой блокировки. На курсоре 4 экран вновь отключается. На курсоре 5 через некоторое время после включения экрана кнопкой блокировки пробуем касаться экрана (в тот момент начинается активность импульсов на линиях SDA и SCL). Смахиваем заставку вправо, потом пробуем вводить пароль.
При касаниях на лини INT наблюдается активность.


Подключим I2C декодер и посмотрим, что там передаётся.
Подробнее изучим область в начале записи.


До включения питания сенсора есть активность на SCL и SDA. На этом интерфейсе сидят ещё какие-то устройства. К тачу это не имеет отношения.

До появления заставки на экране и большой активности на SCL и SDA у нас есть 3 места малой активности. На картинке они отмечены стрелочками. Из-за масштаба левая стрелка указывает сразу на 2 места.



Анализ общей картины кратко.
После подачи питания на контроллер сенсорной панели из DEVICE_MODE считывается 0х00 – WORKING MODE.

Далее из 0xА8 (FOCALTECH_ID) считали 0x11.
Из 0xА6 (Firmware Version) считали 0x01.
Через длительное время пишем в В0 значение 00 (описания такого регистра в даташите нет).

После этого на экране появляется стартовая заставка и начинается пачка импульсов до отключения экрана. Почти все посылки в пачке для других устройств. В конце пачки процессор пишет в регистр А5 (PWR_MODE) контроллера тача значение 03 (описания нет, похоже на спящий режим).

Далее конец пачки – экран отключился.

После включения экрана кнопкой блокировки процессор будит контроллер тача импульсом Reset. Затем касаемся сенсора и начинается активность на линии INT. Этим сигналом контроллер сенсора сообщает процессору, что есть полезные данные.

Получив прерывание INT от тача, процессор начинает считывать данные. Это всегда происходит по одной схеме:

1. Процессор пишет адрес регистра 00 (Device Mode), из ктр будет читать.
   В ответ контроллер сенсора посылает 8 посылок, например, 00 00 01 00 52 03 65 00.
   
2. Процессор считывает данные из регистра 08 (P1_MISC 1st Touch Area)
   Ответ 00 FF FF FF FF FF FF FF
3. Процессор читает из 10 (описания нет). Ответ FF FF FF FF FF FF FF FF
   
4. Процессор читает из А6 (Firmware Version). Ответ 01.
   

И при каждом касании процессор зачем-то считывает версию прошивки. Постоянно забывает или проверяет обновления?