Polydumper 4.3 + Boot1 3.0.0.99 caché dans TI-Nspire CX CR4

[critor]

Lorsqu'elles démarrent, les TI-Nspire CX exécutent un petit programme appelé le Boot1.

Historiquement sur les révisions matérielles jusqu'à V (octobre 2015), le Boot1 était en version 3.0.0.99 (datée du 9 septembre 2010) et était stocké dans la puce ASIC.
Cette puce portait la référence ET-LC2010B-1 pour les TI-Nspire CX CAS, et ET-LC2010B-0 pour les simples TI-Nspire CX.

Dans notre test de la première génération de TI-Nspire CX CR4, la révision matérielle W d'octobre 2015, nous remarquions des nouveautés :

• la même puce ASIC ET-LC2010B-0 ou ET-LC2010B-1
• un nouveau Boot1 en version 4.0.1.43 daté du 20 juillet 2015
• une puce Flash-NOR additionnelle MX29SL402CBTI-90G de 512Ko de chez MXIC

Nous supposions face à cela que :

• le nouveau Boot1 4.0.1.43 était dans la puce Flash-NOR externe
• que la puce ASIC contenait toujours l'ancien Boot1 3.0.0.99
• que quelque chose quelque part faisait donc démarrer la calculatrice sur la puce Flash-NOR externe

Le nouveau programme de dumping Polydumper 4.3 publié ce jour est désormais codé pour te récupérer 2 images de Boot1 :

• l'image Boot1 sur laquelle la calculatrice démarre (peu importe qu'elle soit dans la puce ASIC ou dans la puce Flash-NOR)
• l'image Boot1 de la puce ASIC, si différente de la précédente

Nos tests sur une TI-Nspire CX CR4 en révision matérielle W confirment notre hypothèse : Polydumper 4.3 trouve bien dans la puce ASIC une image de Boot1 différente de la 4.0.1.43 sur laquelle la calculatrice a démarré, et il s'agit bien de l'ancienne version 3.0.0.99 !



On peut supposer que le Boot1 3.0.0.99 de la puce ASIC n'est pas reprogrammable. Pour avoir un nouveau Boot1 4.0.1.43, Texas Instruments a donc fait le choix d'une puce Flash-NOR externe :

• soit parce qu'il restait encore d'énormes stocks de puces ASIC ET-LC2010B-0 et ET-LC2010B-1
• soit pour économiser, la conception d'une nouvelle puce ASIC pouvant coûter plus cher

Les possesseurs de TI-Nspire CX CR4 sont donc désormais capables d'extraire de leur machine non seulement le nouveau Boot1 4.0.1.43, mais également l'ancien Boot1 3.0.0.99 qui pourra être par exemple bien plus pratique à des fins d'émulation.

Mais cette découverte a aussi un énorme intérêt théorique... et si il était possible de modifier les TI-Nspire CX CR4 pour qu'elle démarrent sur le Boot1 3.0.0.99 de la puce ASIC ?
Ce serait le moyen d'installer nBoot+ControlX avec tout ce que cela implique, nBoot exploitant une faille du Boot1 corrigée dans la version 4.0.1.43.
Ce serait notamment le moyen d'avoir un Ndless reboot-proof pour toujours, même sous le dernier OS 4.3...



Téléchargement : Polydumper

[Ti64CLi++]

Mais donc, si jamais on arrivait à trouver un moyen pour booter sur la puce ASIC et non la puce Flash-NOR, il y aurait peut-être moyen de reprogrammer la puce Flash-NOR, et au lieu que Linux prenne de la place dans la mémoire, mettre Linux sur la puce Flash-NOR, et booter dessus avec ControlX lorsque l'utilisateur veut lancer Linux
En tout cas, bravo

[critor]

Oui très bonne idée.
Une autre idée était de reprogrammer la puce Flash-NOR avec le Boot1 3.0.0.99 via un programme Ndless.

Mais pour le moment et depuis donc 1 an, personne n'a été capable à ma connaissance d'avancer sur la reprogrammation de la puce Flash-NOR.

[Ti64CLi++]

Ben tu vas pas tarder à y arriver

[critor]

Reprogrammer une Flash-NOR ?
Si je suis tout seul, cela m'étonnerait.

On a déjà un programme qui fait ça, dont je ne suis pas l'auteur, et dont je ne comprends pas grand chose au coeur du code :
archives_voir.php?id=10069

De plus, il est spécifique à la puce Flash-NOR qui équipait les premières révisions matérielles TI-Nspire ClickPad, une SST 39WF400A, et il fallait de plus une petite modification matérielle pour la déprotéger contre l'écriture :


Le code ne pourrait déjà pas être réutilisé en l'état pour la MXIC MX29SL402CBTI-90G.
Et de plus, elle est sûrement elle aussi protégée contre l'écriture.
Il faut donc aussi découvrir la modification à effectuer, en espérant qu'elle soit relativement simple.

[Ti64CLi++]

Nous avons tous confiance en toi
Sinon, quelle est la capacité mémoire de la puce Flash-NOR

[critor]

512Ko, aussi bien pour la SST des premières TI-Nspire ClickPad que la MXIC des dernières TI-Nspire CX CR4.

[Ti64CLi++]

Ah ouais, c'est rien du tout, pas sur que Linux rentre la dedans

[critor]

Il y a d'autre TI-Nspire, qui comme les TI-Nspire CX CR4, démarrent sur une puce Flash-NOR externe.

Ce sont les TI-Nspire ClickPad de 2007 jusqu'à la révision matérielle A.

Et Polydumper 4.3 trouve bien 2 images de Boot1 dessus.

Le Boot1 de l'ASIC est très étrange, assez petit et je n'en trouve aucune mention ou documentation nulle-part, même pas sur hackspire.

Voici ce que ça donne sur émulateur avec une ROM vide :

Code: Select all

UART enabled. 8n1 115200 baud
Secure modules not usable
Found NAND flash "NAND256R3A"
Checking boot code on the NAND Flash ... No boot code found.
Entering recovery mode

nSpire: list
list : List all command and syntax
exec <addr> : Execute program
download <addr> : Download program
write <addr> <data> [b|w|d] : Write memory
read <addr> [b|w|d] : Read memory
dump <addr> <size> [b|w|d] : Dump memory

nSpire:

On a une espèce de recovery mode avec des commandes intéressantes - superbe découverte !
Peut-être un moyen de réparer des TI-Nspire bloquées avec le Boot1 de la Flash-NOR externe endommagé.

[critor]

J'ai annoncé le mystérieux Boot1 :
viewtopic.php?p=209292#p209292

J'en reviens toujours pas que personne n'ait découvert cela depuis 2007...

J'en ai également profité pour mettre à jour la documentation Hackspire avec désormais les deux Boot1, aussi bien sur TI-Nspire Classic que CX :
https://hackspire.org/index.php/Memory-mapped_I/O_ports