Tweezer Attack

Die Tweezer-Attack im vollen Gange (Bild von der 25c3)

Die Tweezer Attack (Tweezer = Pinzette) war ein Trick, der von Team Twiizers (daher der Name des Teams) genutzt wurde, um die Schlüssel der Wii auszulesen. Im GameCube-Modus wird der 64 MB umfassende GDDR3-RAM der Wii zur Emulation des 16 MB umfassenden ARAM des GameCube verwendet. Hierzu wird der Memory-Controller in Hollywood so konfiguriert, dass nur noch Zugriff auf das erste Viertel des GDDR3-RAM besteht. Die oberen drei Viertel des GDDR3-RAM werden dabei jedoch nicht gelöscht - ihr Inhalt bleibt im RAM auch nach Eintritt in den GameCube-Modus erhalten. In diesem oberen Bereich speichert Starlet im Wii-Modus diverse Schlüssel (u.a. den Common-Key). Da dieser Bereich nicht gelöscht wurde, befinden sich diese im GameCube-Modus nach wie vor dort.

Normalerweise hat man im GameCube-Modus nur Zugriff auf die ersten 16 MB des GDDR3-Speichers. Daran lässt sich softwareseitig bis zum Ausschalten der Konsole auch nichts ändern. Auf diese 16 MB wiederum haben GameCube-Programme jedoch vollständigen, ungeschützten Zugriff. Schon im Vorfeld war es durch Modchips möglich, GameCube-Homebrew auf einer Wii-Konsole auszuführen, und somit auch selbstgeschriebene Programme, welche auf die ersten 16 MB des GDDR3-RAM Vollzugriff haben.

Diese Begebenheiten machte man sich nun zu Nutze: Mithilfe einer Pinzette konnte man auf der Unterseite des Wii-Mainboards die Adressleitungen des GDDR3-RAM manipulieren, indem man sie mit anderen Leitungen verband. Auf die Weise konnte man die Adressierung von Speicherbereichen so schrittweise verschieben, dass nun auch die Bereiche im GameCube-Modus zugreifbar wurden, in welchen sich noch immer die von Starlet abgelegten Schlüssel befinden. Einen so aktuell angesteuerten Speicherbereich konnte man nun mithilfe des GameCube-Homebrewprogramms über die GameCube-Controlleranschlüsse (!) seriell ausgeben, an einem Computer mit serieller Schnittstelle aufzeichnen und analysieren.

Fix

Mit dem Wii-Systemmenü 3.3, welches das MIOS v8 mit sich brachte, behob Nintendo diesen Exploit, was nicht sehr sinnvoll war, da dies ein einmaliger Hack war und die Keys nun bereits bekannt waren. Der Fix bestand darin, dass beim Eintritt in den GameCube-Modus nun der gesamte GDDR3-RAM überschrieben wurde, bevor die GameCube-Software gestartet wird. Koreanische Wiis kamen zwar mit dem Wii-Systemmenü 3.5K, dies beinhaltete allerdings eine ältere Version von MIOS, in welchem die Tweezer Attack noch nicht gefixt war.

Weblinks

• Interview with a Wii hacker - Interview mit bushing vom 29. Januar 2008 (Web-Archiv, Originalversion nicht mehr abrufbar)