Hardware

In der Betty-Fernbedienung ist folgender Smartcard-Chip eingebaut:

Security & Chip Card ICs
SLE 66C24PE
8/16-Bit Security Controller
68-Kbytes ROM, 2304 Bytes RAM, 2-Kbytes EEPROM
Dual Key Triple DES

Neben dem sehr kurzen 8 seitigen PDF mit Information zum Chip, in dem nicht einmal die Pinbelegung beschrieben ist, hat ein Benutzer des Forums noch dieses PDF gepostet.

Anschlussbelegung:

          Masse 1 o       8 Power
         nReset 2   SLE   7 Takt
           Data 3 66C24PE 6 nicht verbunden
nicht verbunden 4         5 nicht verbunden

Der Chip ist wie folgt mit der CPU verbunden:

CPU Pin 132 (P2.17) steuert den nReset pin. Wird der CPU-Pin auf LO gesetzt ist der Reset aktiv.

CPU Pin 78 (P0.10) steuert ueber einen externen Inverter den Power Pin. Wird der CPU-Pin auf LO gesetzt wird der Chip mit Spannung versorgt.

CPU Pin 40 (XCLK) ist ueber einen externen Frequenzteiler mit dem Takteingang des Chips verbunden. Im Betrieb wird ueber den CPU-Pin der 7,5 MHz Peripherietakt ausgegeben. Durch den Frequenzteiler wird der Takt halbiert. Der Smartcard-Chip wird dadurch mit mit 3,75 MHz getaktet.

CPU Pin 75 (TXD1) und CPU Pin 76 (RXD1) sind mit dem Daten Pin verbunden. Die Datenrate ist 1/64 der Taktfrequenz, also 58593,75 Bit/s und somit nahe an der von einem PC unsterstuetzen Baudrate von 57600 Bit/s (nur ca. 1,7% Abweichung). Neben der Baudrate ist die Parität auf Even sowie 2 Stopbits einzustellen.

Zum Experimentieren kann man den Chip ausloeten und z.B. mit dem Mastermouse-Interface verbinden. Die andere Seite des Interfaces wird an die serielle PC Schnittstelle angeschlossen. Jetzt kann man mit einen Programm wie z.B. WinExplorer Kommandos an den Chip schicken und die Antworten auswerten. Dadurch laesst sich das Uebertragungsformat herausfinden und man kann eine Kommandoliste aufstellen.

ATR

Nachdem beim Chip ein Reset ausgefuehrt wurde, wird wie bei Smartcards ueblich, ein ATR ausgegeben. Jedoch ist dieser bei der Betty properitaer.

Betty-ATR:
03 02 01

Das erste Byte enthaelt die Anzahl der ATR Bytes incl. des Laengenbytes selbst.
Das zweite Byte ist das Lifecycle Byte: 1=Virgin, 2=Personalisiert
Das letzte Byte ist eine XOR Pruefsumme ueber alle vorherigen Bytes.

Bei allen Infineon-Chips gibts eine von Hersteller undokumentierte Funktion den Chip dazu zu bringen statt die Applikation zu starten den Hersteller-ATR auszugeben.

Die Datenleitung muss dazu beim Starten auf LO gehalten und z.B. nach einer Sekunde wieder freigegeben werden.

Hersteller-ATR:
33 66 00 04 9C FF xx xx xx xx xx xx 55 0A 07 22 5A

Die sechs Byte mit xx enthalten eine eine vom Hersteller vergebene Seriennummer. Betty verwendet die gleiche Nummer (im Batteriefach der Fernbedienung).
Die fuenfte Stelle gibt den Chiptyp an: 9C = SLE66C24PE

Protokoll

Der Kommandoblock hat folgenden Aufbau:

Laengenbyte	Kommandobyte	Optionale Datenbytes
Enthaelt die Anzahl der zum Chip gesendeten Bytes incl. des Laengenbytes selbst.	Gibt an welche Aktion der Chip durchfuehren soll.	Bei manchen Kommandos nicht vorhanden.

Der Antwortblock ist wie folgt aufgebaut:

Laengenbyte	Statusbyte	Optionale Datenbytes	Pruefsummenbyte
Enthaelt die Anzahl der Antwortbytes incl. des Laengenbytes selbst.	An diesem Byte kann man erkennen ob das Kommando feherfrei ausgefuehrt wurde oder fehlgeschalgen ist.	Bei manchen Kommandos nicht vorhanden.	XOR Pruefsumme ueber alle vorherigen Bytes dieses Antwortblocks

Die Statuswerte in der Antwort haben folgende Bedeutung (Zahlen im Hex. Format):

Status	Beschreibung
15	Das Kommando wurde erfolgreich ausgefuehrt
16	Das Kommandobyte ist zwar gueltig, jedoch nicht die uebergebenen Daten
17	Das Kommandobyte ist ungueltig
18	?
19	?

Durch das Ausprobieren aller 256 Moeglichkeiten fuer das Kommandobyte und weglassen aller Kommandos bei denen Status 17 zurueckgegeben wurde ist folgende Liste entstanden.

Folgende Kommandos werden unterstuetzt (Zahlen im Hex. Format):

Kommando	In der Firmware verwendet?	Bedeutung
3F	Nein	?
41	Ja	SC_ID auslesen
42	Nein	?
43	Nein	?
44	Nein	?
45	Ja	SC_MEM auslesen
46	Ja	SC_MEM beschreiben
47	Nein	?
48	Ja	12 dez. Byte lange Zufallszahl ausgeben
49	Nein	?
4A	Nein	?
4B	Nein	?
4D	Ja	?
4F	Ja	?
50	Ja	SC_Sec_MEM auslesen
51	Ja	?

Kommando 3F

wird in der Firmware nicht verwendet

Kommando 41 (SC_ID auslesen)

wird in der Firmware bei Adresse 80035BA4 verwendet
keine Kommando-Daten
Daten im Antwortblock: Kommandobyte-Echo, 6 Byte lange ID (identisch mit der ID im Batteriefach), 00, 8 * unbekannte Bytes

Kommando 42

wird in der Firmware nicht verwendet

Kommando 43

wird in der Firmware nicht verwendet

Kommando 44

wird in der Firmware nicht verwendet

Kommando 45 (SC_MEM auslesen)

wird in der Firmware bei Adresse 80035890 verwendet
Kommando-Daten: Registernummer (DWORD), Unbekannt1 (DWORD)
Daten im Antwortblock: Kommandobyte-Echo, 3 * 00, Unbekannt1-Echo (DWORD), Registernummer-Echo (DWORD), Registerinhalt (DWORD), 5 * unbekannte Bytes
Wertebereich fuer Registernummer: 0 .. E2h

Kommando 46 (SC_MEM beschreiben)

wird in der Firmware bei Adresse 8003596C verwendet
Kommando-Daten: Registernummer (DWORD), Registerinhalt (DWORD)
keine Daten im Antwortblock
Wertebereich fuer Registernummer: 0 .. E2h

Kommando 47

wird in der Firmware nicht verwendet

Kommando 48 (12 Byte lange Zufallszahl ausgeben)

wird in der Firmware bei Adresse 800357C8 verwendet
keine Kommando-Daten
Daten im Antwortblock: Kommandobyte-Echo, 3 * 00, 12 dez. * Zufallsbytes

Kommando 49

wird in der Firmware nicht verwendet

Kommando 4A

wird in der Firmware nicht verwendet

Kommando 4B

wird in der Firmware nicht verwendet

Kommando 4D

wird in der Firmware bei Adresse 80035AFC verwendet
Kommando-Daten: 0 bis 3Eh Bytes moeglich (die Firmware benutzt 4 Byte)
Daten im Antwortblock: 4 * 8 Byte Bloecke (manchmal ist Block 2 und 3 identisch)

Kommando 4F

wird in der Firmware bei Adresse 80035568 verwendet
Kommando-Daten: Unbekannt1 (DWORD), Unbekannt2 (DWORD)
Daten im Antwortblock: Kommandobyte-Echo, 3 * 00, Unbekannt2-Echo (DWORD), 16 dez. * unbekannte Bytes
Wertebereich fuer Unbekannt1: 0 .. Bh

Kommando 50 (SC_Sec_MEM auslesen)

wird in der Firmware bei Adresse 80035A10 verwendet
Kommando-Daten: Registernummer (DWORD), Unbekannt1 (DWORD)
Daten im Antwortblock: Kommandobyte-Echo, 3 * 00, Registernummer-Echo (DWORD), Registerinhalt (DWORD), 5 * unbekannte Bytes
Wertebereich fuer Registernummer: 0 .. 95h

Kommando 51

wird in der Firmware bei Adresse 80035610 verwendet
Kommando-Daten: Unbekannt1 (DWORD)
Daten im Antwortblock: Kommandobyte-Echo, 3 * 00, Unbekannt1-Echo (DWORD), 8 * 00, 8 * unbekannte Bytes.