婆罗门
精华
|
战斗力 鹅
|
回帖 0
注册时间 2019-1-7
|
使用GPT辅助完成，我也不专精于计算机安全领域。属于研究方向上有时候会涉及部分。把NS2直接替换成PS5同理，二者的安全性都是基于现代计算机安全和密码学。所以GTA6能不能Dump出游戏文件并移植到PC还是要看需求的版本号和加密方式
从开机到游戏解密：为什么 Switch 2 现在能 Dump，不代表未来新游戏也一定能 Dump
——一篇面向普通读者的现代游戏机安全科普
说明
====
这篇文章整理自一场围绕 Switch 2、Switch 1、iPhone checkm8、主密钥和安全启动的长讨论。
为了避免把“已经证实的事实”和“对未来的合理推演”混在一起，先说明两点：
1. 已公开的 Switch 2 研究已经证明：研究者可以在当前系统的 fs（文件系统）模块权限下执行原生代码，并直接调度 fs 用于 NCA4 解密的密码学硬件。
2. “Nintendo 未来一定会用某一种与 Switch 1 完全相同的 KeyGeneration 机制封堵新游戏”目前不是已经公开确认的事实。本文讨论的是：如果 Nintendo 延续现代主机常见的安全设计，它为什么有能力这么做，以及什么样的更深层漏洞会让这种防御失效。
至于某一款 PC 模拟器当前是否已经支持某个 Switch 2 商业游戏，并不影响本文的密码学结论。本文只讨论“游戏明文是否已经能够被取得，以及未来内容是否必然还能以同样方式取得”。
一、先别急着讲“破解”：一台游戏机到底是怎么开机的？
==================================================
很多人理解电脑和游戏机时，会下意识认为：
按下电源
↓
操作系统启动
↓
游戏运行
实际上，一台现代游戏机在操作系统出现以前，已经完成了很长的一段安全启动过程。
为了科普，可以先把它简化成：
按下电源
↓
BootROM
↓
Bootloader / 安全启动阶段
↓
Secure Monitor / 安全环境
↓
Kernel（系统内核）
↓
FS 等系统服务
↓
游戏
这几层不是“同一个管理员权限的不同名字”。
它们是不同的安全边界。
理解这一点，是理解整篇文章最重要的基础。
二、BootROM：芯片通电以后，第一个说话的人
====================================
BootROM 可以理解成“焊死在芯片里的第一段程序”。
它通常存放在芯片内部只读区域中，设备一通电，CPU 或安全控制器首先从这里开始执行。
BootROM 最重要的任务之一，是建立“信任链”（Chain of Trust）。
可以把它想象成一家银行刚开门时的第一名总门卫。
总门卫不会直接经营银行业务。他只负责一件极其重要的事情：
“下一个进来接班的人，真的是银行总部批准的吗？”
因此 BootROM 通常会验证下一阶段启动程序的数字签名。
如果签名正确：
BootROM
↓
允许可信 Bootloader 运行
如果签名错误：
BootROM
↓
拒绝继续启动
下一阶段再去验证下一层。
于是就形成：
最底层可信代码
↓ 验证
下一层
↓ 验证
再下一层
↓
Kernel
↓
系统服务
Switch 2 的公开逆向资料已经显示，它存在 PSC-ROM → PSC-BL 这样的早期启动阶段；PSC-BL 自身具有加密、认证、数字签名和防降级机制。
为什么 BootROM 特别重要？
因为它往往不能像普通系统文件一样通过在线更新替换。
如果普通游戏有漏洞，发补丁就行。
如果 Kernel 有漏洞，也可以在下一版本换掉 Kernel。
但如果已经卖到消费者手里的芯片，其 BootROM 自身存在一个不可修的软件漏洞，那么厂商通常只能：
在后续生产的新硬件 revision 中修正它
而无法真正改掉已经出厂的那批芯片。
这就是为什么 BootROM 漏洞会被视为灾难级问题。
三、Kernel：很强，但“root”并不等于整颗芯片都是你的
===============================================
Kernel 是操作系统的核心。
它负责：
- 进程
- 内存
- 驱动
- 权限
- 系统调用
- 普通硬件资源的管理
如果把主机比喻成银行：
游戏 / App = 顾客
系统服务 = 银行员工
Kernel = 银行总经理
如果攻击者获得 Kernel 级代码执行或者我们口语上所谓的“root”，普通操作系统世界基本已经非常危险。
但有一个非常容易误解的地方：
“操作系统里的最高权限”
≠
“整颗 SoC 的物理最高权限”
现代芯片故意把一些秘密放在 Kernel 无法直接控制的区域。
所以结构可能是：
游戏 / App
↓
系统服务 / FS
↓
Kernel ← 即使这里被完全控制
----------------
安全边界
Secure Monitor
↓
安全处理器 / Crypto Engine
↓
Hardware Root Secret
攻击者可以把 Kernel 改成任何样子，但下面的硬件仍然可以拒绝它。
拒绝你的可能已经不是“某段 Kernel 代码”，而是芯片本身的权限状态。
四、Secure Monitor 和安全处理器：地下金库的管理员
=============================================
这里要区分两个常被混在一起的概念。
第一种是 Secure Monitor。
它通常是运行在主 SoC 更高安全级别上的一小段软件，负责普通世界和安全世界之间的切换与权限控制。
Kernel 可能只能通过一个受控接口请求：
“请帮我做这个安全操作。”
Secure Monitor 再判断：
“你有没有资格？”
“这个参数是否合法？”
“现在这个启动状态允许这样做吗？”
第二种是更独立的 Security Processor / Crypto Engine。
不同设备里名字不同，例如：
- Apple Secure Enclave（SEP）
- AMD Platform Security Processor（PSP）
- NVIDIA 体系中的安全引擎、TSEC 等
- 各类独立密码学硬件
它们可能拥有自己的：
- CPU
- ROM
- 固件
- RAM
- Key Slot
- 隔离内存
- 硬件秘密
普通 CPU 不一定能够直接读取里面的秘密。
所以“Kernel 被 root”之后，安全处理器完全可以回答：
Kernel：
“把最底层密钥给我。”
安全处理器：
“拒绝。”
五、“能使用一把钥匙”不等于“能看到这把钥匙”
======================================
这是现代硬件安全里非常重要的思想。
假设芯片里有一个 Key Slot：
Key Slot #7
┌────────────────┐
│ 真实密钥：???? │
└────────────────┘
软件可能被允许做：
AES_Decrypt(KeySlot7, 数据)
但是不允许做：
Read(KeySlot7)
于是出现一个看似奇怪但完全合理的状态：
软件可以使用某把 Key
↓
但软件不知道 Key 的实际数值
可以把它类比成银行卡芯片。
ATM 可以要求银行卡：
“请用你的内部私密数据完成一次合法计算。”
但 ATM 并不因此得到芯片内部秘密本身。
这也是为什么“我已经有 root”不能自动推出“我可以把所有主密钥打印出来”。
六、安全启动用的“签名”和游戏内容的“加密”不是一回事
==============================================
这是另一个大众科普中经常混淆的问题。
数字签名主要回答：
“这个程序是不是 Nintendo 授权的？”
游戏内容加密主要回答：
“你有没有正确的钥匙读取里面的内容？”
它们的用途不同。
安全启动通常依赖不对称密码学和数字签名：
Nintendo 持有私钥
↓
给合法系统组件签名
↓
主机用可信公钥验证
↓
合法 → 继续启动
非法 → 拒绝
而游戏的大量数据加密，更适合使用 AES 这样的对称加密：
游戏明文
↓
AES + 对称密钥
↓
游戏密文
运行时：
游戏密文 + 正确密钥
↓
AES
↓
游戏明文
所以：
签名 = “你是谁？”
加密 = “你有没有钥匙？”
两者经常同时存在，但不能混为一谈。
七、实体卡带和数字版，本质上都可以装着“密文”
======================================
很多人会把“卡带”想象成一块 U 盘：
插进电脑
↓
直接看到游戏文件
现代主机并不是这么简单。
真正完整存放游戏数据的实体介质里，可以保存加密后的游戏内容。
数字版只是获取密文的渠道不同：
实体版：
从卡带读取加密内容
数字版：
从服务器下载加密内容并保存到存储设备
数字版通常还会叠加账户、许可证、购买资格等授权体系。
但从内容保护角度看，两者都会遇到同一个核心问题：
拿到一堆字节
≠
拿到可以直接使用的游戏明文
你可以完整复制一个加密文件，却依然不知道里面是什么。
八、Master Key、Content Key 和 Hardware Root Secret 到底是什么？
===========================================================
为了科普，可以把密钥体系简化成四层：
Hardware Root Secret
↓
Master Key
↓
Content Key
↓
游戏内容
注意：真实系统会更复杂，可能还有 KEK、wrapped key、key source、device key、key slot 等中间层。
但理解这四层已经足够。
1. Hardware Root Secret
可以理解成芯片最底层的“祖传秘密”。
它可能与具体设备、芯片或者安全域绑定。
它最不应该被普通软件直接读取。
2. Master Key
主密钥不是“某一个游戏的密码”。
它更像一整个密钥世代中的高级密码学材料。
3. Content Key
真正用于某些具体内容的对称密钥。
4. Game Data
最终要被解密的程序、模型、贴图、音频等数据。
为什么要分这么多层？
因为如果所有游戏永远都用同一把 AES Key：
那把 Key 一泄漏
↓
全部游戏一起完蛋
分层和轮换，可以缩小单点泄漏的破坏范围。
九、KeyGeneration：不是“每个游戏一把主密钥”
=======================================
Switch 1 的 NCA 格式里有一个非常重要的概念：
KeyGeneration
它可以粗略理解成：
“这份内容属于第几代主密钥体系？”
公开逆向资料明确记录：
KeyGeneration 与 MasterKeyVersion 存在对应关系
并且 Nintendo 在 Switch 1 生命周期中确实多次引入新的密钥世代。
所以更准确的说法是：
Nintendo 会随着系统演进更新内容加密密钥世代
↓
后续制作的游戏或更新可以使用新一代密钥
而不是：
“每发售一款游戏，就发布一把新的 Master Key。”
同一时期的内容也不必全部严格使用同一代密钥。
十、一个正常游戏到底是怎么被解密并运行的？
====================================
把前面的知识串起来，主机开机后可以大致理解为：
BootROM
↓
验证下一阶段
↓
建立可信启动链
↓
初始化安全环境和密码学状态
↓
Secure Monitor / 安全硬件进入正确状态
↓
Kernel 启动
↓
FS 等系统模块启动
↓
读取卡带或数字版的加密游戏
↓
FS 请求底层安全能力进行解密
↓
得到游戏明文
↓
Loader 验证程序和权限
↓
游戏运行
因此：
FS 并不是自己随身带着一个 master_keys.txt
更像是：
FS 拥有合法权限
↓
去请求下面的安全系统帮它完成正确的解密流程
十一、为什么控制 FS 就可能 Dump 当前游戏？
======================================
这也是 Switch 2 当前公开研究最值得大众理解的地方。
公开的 ns2jb 研究表明，攻击者能够在内置 fs 系统模块权限下执行原生代码。
而 fs 恰恰处在“游戏密文”与“系统需要的明文文件”之间。
正常情况：
加密游戏
↓
FS
↓
密码硬件合法解密
↓
游戏明文
↓
交给 Loader / 游戏
如果 FS 被控制：
加密游戏
↓
被攻击者控制的 FS
↓
底层硬件仍然正常替它解密
↓
攻击者把解密结果复制出来
↓
Dump
注意这里发生了一件非常重要的事情：
攻击者不一定：
- 破解了 AES
- 读出了 Hardware Root Secret
- 拿到了所有 Master Key
- 攻破了 BootROM
- 攻破了 Kernel
他可能只是控制了一个“本来就有资格取得解密结果”的系统组件。
最容易理解的比喻是：
你没有炸开银行地下金库
你只是控制了一个有合法权限去办理业务的银行员工
十二、“现在能 Dump”为什么不等于“未来游戏也必然能 Dump”？
===================================================
假设存在一个当前漏洞系统：
23.x
FS 漏洞存在
当前游戏可以正常解密
Nintendo 未来可以尝试同时做两件事：
第一：
在 25.x 修掉这个漏洞
第二：
为后续游戏引入新的密钥世代
于是形成：
旧系统 23.x
----------------
漏洞还在 ✅
能控制 FS ✅
旧游戏可解密 ✅
未来新密钥能力 ❌
新系统 25.x
----------------
漏洞已修复 ✅
新密钥能力 ✅
新游戏可运行 ✅
旧漏洞无法使用 ✅
这就是整个讨论中最重要的“剪刀差”：
旧系统：
有漏洞，但没有未来钥匙
新系统：
有未来钥匙，但漏洞已经没了
十三、把未来卡带直接插进旧漏洞机器，为什么仍然可能没用？
================================================
因为：
能读卡带
≠
能解密卡带
旧机器可能可以：
- 识别卡带
- 读取原始字节
- 复制完整加密容器
但如果未来游戏使用旧系统无法生成或使用的新密钥：
新游戏密文
↓
旧系统
↓
没有对应密钥能力
↓
得不到明文
所以“Dump”这个词本身最好分成两种：
复制加密镜像
vs
取得解密后的游戏文件
对模拟器、逆向、Mod 和资源提取真正关键的，通常是后者。
十四、那我下载未来固件研究，不就能知道新 Key 了吗？
==============================================
不一定。
“得到新版固件文件”与“得到新版主密钥”是两件事。
未来固件里可能包含：
- 新的程序
- 新的常量
- 新的 key source
- 新的密钥派生规则
- 新的 Secure Monitor 代码
研究者可以把这些东西逆向得非常清楚。
假设最终发现一个简化关系：
MasterKey_New =
AES(HardwareRootSecret, NewMaterial)
攻击者可能已经知道：
AES 算法 ✅
NewMaterial ✅
新固件 ✅
游戏密文 ✅
但仍然不知道：
HardwareRootSecret ❌
现代密码学并不依赖“算法保密”。
即使攻击者知道算法、格式和大量输入输出样本，只要真正的 128 位或更强随机秘密仍然安全，就不能靠“猜结构”现实地猜出密钥。
十五、什么时候旧系统仍然可能跨代生成未来 Key？
==========================================
有两种特别值得大众理解的情况。
第一种：Crypto API 太强。
继续用银行比喻：
地下室里有一台永远看不到内部秘密的制钥机。
正常员工只能说：
“请按照当前合法规则制作这把钥匙。”
但如果旧系统暴露的接口太通用，攻击者拿到未来固件里的新材料以后，可以直接要求：
“把这个未来材料也送进机器算一下。”
安全硬件真的照做了。
那么攻击者仍然不知道 Root Secret，却成功把安全硬件变成了自己的“密码学代算器”（crypto oracle）。
这叫：
能滥用密钥
≠
能读出密钥
第二种：Secure Monitor / key derivation 本身被攻破。
这就不是“窗口太宽松”了。
而是：
地下金库的保安管理员也被控制了
攻击者可能开始修改：
- 哪个 Generation 能用
- 哪些 KeySource 合法
- 哪些 KeySlot 可以调用
- 哪些安全状态必须满足
这已经比 Kernel root 严重得多。
十六、Kernel root、Secure Monitor 漏洞、BootROM 漏洞到底差多少？
==========================================================
可以用三句话记住。
Kernel root：
“我当上了普通操作系统世界的总经理。”
Secure Monitor / 安全处理器失守：
“我开始控制地下金库管理员。”
BootROM 失守：
“整栋大楼的安全系统还没启动，我已经先进入总控制室。”
这三个层级不是一个概念。
十七、Switch 1 为什么是极特殊的历史案例？
====================================
谈 Switch 1 时，还必须纠正一个常见混淆：
早期 Erista 和后期 Mariko / Lite / OLED 的破解路线并不一样。
早期 Erista 的 Fusée Gelée：
进入 RCM
↓
USB 与 Tegra BootROM 交互
↓
BootROM USB 处理代码存在内存破坏漏洞
↓
在安全锁定完成之前劫持执行
↓
early-boot 任意代码执行
进入 RCM 时人们常使用 Joy-Con 导轨短接。
这个“短接”只是进入恢复模式的方法之一。
它不等于电压 glitch。
真正的 Fusée Gelée 是 BootROM 软件漏洞。
公开漏洞报告显示，Tegra BootROM 的 USB 栈在处理某些控制请求时错误信任主机提供的长度，可以造成严重缓冲区溢出，覆盖正在使用的执行栈，并在各种 lock-out 和 privilege reduction 发生以前取得 BPMP 控制。
由于漏洞在不可变 BootROM 中，已经出厂的受影响 Erista 无法靠 Nintendo 系统更新真正修掉这个入口。
所以无论以后官方系统版本怎么变化：
BootROM 那扇门
↓
仍然存在
这并不等于每个新版系统发布当天破解者就自动掌握全部新结构和新密钥。
Atmosphère、Hekate 等仍然需要适配：
- 新 Kernel
- 新系统结构
- 新 Secure Monitor
- 新密钥派生变化
更准确的说法是：
“入口一直在，但屋里的家具每次仍然要重新研究。”
十八、后期 Switch 1 的 PicoFly / HWFLY 又是什么？
=============================================
后期 Switch 修掉了 Fusée Gelée 这条 BootROM 软件漏洞。
后来常见的改机路线属于另一类：
fault injection / voltage glitch
可以把它理解成：
CPU 正在执行一个关键安全判断：
签名正确？
↓
是 → 继续
否 → 停止
攻击者不是数学上破解签名。
而是尝试在极其精确的时间制造物理故障，让芯片在关键检查过程中发生异常行为，从而劫持后续启动流程。
所以：
RCM 短接
≠
voltage glitch
Fusée Gelée
≠
PicoFly
这是两条性质不同的路线。
十九、为什么 BootROM 漏洞如此罕见又如此严重？
========================================
因为安全工程有一个经典矛盾：
BootROM 最好：
越简单越好
因为：
代码越少
↓
漏洞面越小
但一台消费电子设备又必须考虑：
- 系统彻底损坏怎么办？
- 如何进入恢复模式？
- 如何通过 USB 救砖？
- 如何读取启动介质？
- 如何处理失败状态？
一旦把复杂的 USB、恢复协议、状态机或内存管理放进“不可更新的最底层代码”，风险就会上升。
Fusée Gelée 和 Apple checkm8 都说明：
一个原本普通的内存安全错误
+
恰好位于不可更新 BootROM
=
完全不同量级的后果
二十、Apple checkm8 给我们的另一个教训：BootROM 被破，也不等于一切都完了
==================================================================
Apple A5 到 A11 一批设备曾受到 checkm8 影响。
checkm8 利用的是 SecureROM / BootROM 中的 use-after-free，能够在极早启动阶段获得代码执行。
因为 SecureROM 是只读的，这批已经出厂的设备同样不能靠普通 iOS 更新修掉漏洞本身。
但 Apple 后来证明了一件非常重要的事：
主 CPU BootROM 被破
≠
独立安全世界一定也被破
Apple 还有 Secure Enclave。
Secure Enclave 是隔离的安全子系统，设计目标之一就是：
即使 Application Processor Kernel 已经被攻破
↓
仍然保护用户的敏感密钥和数据
iOS 14 又进一步利用 Secure Enclave 和启动状态信息限制 checkm8 路径下对用户数据密钥的访问。
所以出现了一个非常值得学习的结果：
正门永远坏了
↓
厂商修不了正门
但厂商仍然可以让：
地下金库发现你从异常入口进来
↓
拒绝交出敏感钥匙
这说明安全不是只有“一层”。
即使 BootROM 出现灾难级漏洞，未被攻破的独立安全处理器仍然可能保住一部分秘密。
二十一、这对 Switch 2 的未来意味着什么？
=====================================
把所有知识串起来，就能得到一个比“现在已经破解了，所以以后全完了”更准确的判断。
当前公开状态可以粗略理解成：
游戏
↑
FS ← 已公开突破到这里，并能调度 NCA4 密码硬件
↑
Kernel ← 不能因为 FS 失守就自动认为这里也已失守
↑
Secure Monitor / 安全世界
↑
密钥安全硬件
↑
Hardware Root Secret / 启动信任根
因此当前能够 Dump 某些内容，说明：
当前安全体系已经出现一个非常有价值的“明文出口”
但不等于：
整个硬件根密钥体系都已经泄漏
二十二、未来大致可能出现三种路线
============================
路线 A：Nintendo 成功建立“剪刀差”
旧固件：
漏洞仍可用
但缺未来密钥能力
新固件：
有未来密钥
但漏洞已经修复
结果：
当前游戏继续可 Dump
新游戏重新被挡住
路线 B：攻击者继续向下突破
例如发现：
- Kernel 漏洞
- 可滥用的 Crypto API
- Secure Monitor 漏洞
- key derivation 设计缺陷
这时旧漏洞环境可能重新获得利用未来密钥材料的能力。
路线 C：出现 Fusée Gelée / checkm8 级 early-boot 漏洞
如果攻击者能在新版系统的安全环境建立以前就取得控制：
最新官方系统
+
最新密钥能力
+
攻击者早期启动控制
可能同时存在。
这时 Nintendo 想靠“升级以后旧漏洞就没了”制造剪刀差，就会困难得多。
但即使如此，如果 Switch 2 存在一个真正独立且未被攻破的安全处理器，它仍可能像 Apple Secure Enclave 那样提供第二道防线。
二十三、PS5 为什么也能用同样的思想理解？
====================================
不同主机不会使用完全相同的术语和密钥格式，但现代游戏机的总体思想很相似：
普通 App / 游戏
↓
Kernel
↓
Hypervisor / Secure Monitor / 安全模块
↓
独立安全处理器
↓
硬件信任根
所以“某个旧 PS5 固件获得 Kernel root”同样不能自动推出：
所有未来游戏
↓
都能永久被这个旧固件解密并运行
未来游戏还可能依赖：
- 新安全模块
- 新 SDK
- 新系统函数
- 新许可证机制
- 新内容保护
- 更高系统版本
因此这不是 Nintendo 独有的问题。
它是现代封闭计算平台共有的安全模型。
二十四、最值得普通读者记住的十句话
==============================
1. 游戏机不是只有“普通用户”和“root”两个权限等级。
2. Kernel root 是操作系统世界的最高权限之一，但下面仍可能有 Secure Monitor 和独立安全处理器。
3. BootROM 是芯片刚通电时最早运行的代码，负责建立最初的信任链。
4. “数字签名”主要解决“这是不是官方允许执行的代码”；“内容加密”解决“你有没有钥匙读取内容”。
5. 实体卡带能被完整读取，不等于里面的游戏明文能被取得。
6. 能使用一把硬件密钥，不等于能把这把密钥本身读取出来。
7. Master Key 不是“每个游戏一把万能钥匙”，而可以属于一个密钥世代。
8. Switch 1 的历史已经证明 Nintendo 会随系统演进引入新的 KeyGeneration / Master Key revision。
9. 当前 Switch 2 能控制 FS 并利用正常解密能力取得当前内容，并不自动意味着未来密钥体系也已经失守。
10. 真正决定“未来所有游戏会不会一直能 Dump”的问题，不是今天能不能 Dump，而是攻击者最终能突破到哪一层。
结语
====
“破解”这个词很容易让人产生一种二元想象：
没破解
vs
已破解
但现代游戏机安全不是一个开关，而是一座分层建筑。
FS 可以失守。
Kernel 可以仍然安全。
Kernel 可以失守。
Secure Monitor 仍然可以安全。
主 CPU 的 BootROM 可以失守。
独立安全处理器仍然可能拒绝交出关键密钥。
因此讨论 Switch 2 未来时，真正有意义的问题不是：
“Switch 2 破解了吗？”
而应该问：
“哪一层被破解了？”
“攻击者目前能看到明文，还是已经掌握密钥安全根？”
“未来新固件能否引入旧漏洞环境无法使用的新密钥材料？”
“旧系统能不能把未来材料送进安全硬件，让它代为计算？”
“Secure Monitor 是否仍然守住？”
“有没有出现无法靠系统更新修复的 early-boot / BootROM 漏洞？”
只有把这些问题拆开，才能理解为什么：
今天已经可以 Dump
≠
明天所有新游戏必然继续可以 Dump
也才能理解为什么 Switch 1 的 Fusée Gelée、Apple 的 checkm8，以及现代主机的 Secure Enclave、Secure Monitor、硬件 Key Slot，看似是不同领域的技术，实际上都在回答同一个问题：
当上层软件失守以后，
最底层还能不能保住“信任”和“钥匙”？
参考资料
========
1. Pepsipu — “jailbreaking the switch 2 / ns2jb”
https://pepsipu.com/blog/2026-10-switch2-jailbreak-ns2jb/
公开说明 ns2jb 可在普通 sysmodule 及内置 fs 权限下执行原生代码，并可直接调度 fs 用于 NCA4 解密的密码学硬件。
2. Nintendo Switch Brew — Switch 2: PSC-BL
https://switchbrew.org/wiki/Switch_2%3APSC-BL
介绍 Switch 2 PSC-ROM 之后的 PSC-BL、AES-GCM 认证加密、RSA/XMSS 签名以及 anti-downgrade ratchet。
3. Nintendo Switch Brew — NCA
https://switchbrew.org/wiki/NCA_Format
记录 Switch 1 NCA 的 KeyGeneration，以及它和 MasterKeyVersion 的对应关系。
4. Fusée Gelée 原始漏洞披露镜像
https://github.com/LyfeOnEdge/CF ... port/fusee_gelee.md
记录 Tegra BootROM USB 栈的长度检查错误、执行栈覆盖、early-boot 代码执行，以及为何已出厂设备无法通过普通软件更新根治。
5. Nintendo Switch Brew — Switch System Flaws
https://switchbrew.org/w/index.p ... Switch_System_Flaws
汇总 Fusée Gelée / CVE-2018-6242 等 Switch 安全问题，并区分硬件、固件、Bootloader 和软件层漏洞。
6. Apple Platform Security — iPhone / iPad 启动过程
https://support.apple.com/zh-cn/guide/security/secb3000f149/web
Apple 官方介绍 Boot ROM、硬件信任根、逐级验证的安全启动链和 Boot Progress Register。
7. Apple Platform Security — Secure Enclave
https://support.apple.com/en-ca/guide/security/sec59b0b31ff/web
Apple 官方说明 Secure Enclave 与 Application Processor 的隔离，以及即使主 CPU Kernel 被攻破仍要保护敏感数据的设计目标。
8. CERT/CC VU#941987 — checkm8
https://kb.cert.org/vuls/id/941987/
记录 A5–A11 SecureROM 的 use-after-free、BootROM 级任意代码执行以及 SecureROM 无法通过固件更新修补的性质。
9. checkra1n — The state of checkra1n on iOS 14
https://checkra.in/news/2020/09/iOS-14-announcement
说明 iOS 14 如何利用 Secure Enclave 新缓解措施限制从 DFU/checkm8 启动路径访问用户数据，并说明主 CPU BootROM 漏洞不等于 Secure Enclave 同时失守。
|
本帖子中包含更多资源
您需要 登录 才可以下载或查看，没有账号？立即注册
×
评分
-
查看全部评分
|
沪公网安备 31010702007642号 )
发表于 2026-11-1 17:59
