===================> Kolnierzyk <=================== VIII 1998-VIII 2002l koln@poczta.onet.pl ===================> <=================== "It's nice to be important, but it's more important to be nice" Scooter Witam :) Oto opis wynikow moich badan nad oprogramowaniem automatow. Tekst sklada sie z dwoch czesci: - czesc pierwsza zawiera opis oprogramowania plyty glownej niebieskiego Urmeta oraz skutkow wynikajacych z jego dzialania (lub nie :). Wszedzie, gdzie nie napisalem inaczej, opisana jest wersja 2.9. Dodalem pare infor- macji "sprzetowych". - czesc druga zawiera opis softu plyty glownej srebrnego Urmeta. Opis do- tyczy wersji 2.60 programu glownego i 2.06 programu bootujacego, jesli nie napisalem gdzies inaczej oczywiscie. Zaktualizowalem i poprawilem infor- macje zwiazane z kartami elektronicznymi. Gdy znajde troche czasu i checi, napisze tu cos na temat komunikacji automatu z centrum nadzoru i jeszcze pare innych ciekawych rzeczy... :) Odwleka sie to i odwleka, ale kiedys to w koncu napisze :) Uzycie wiadomosci tu zawartych jak zwykle na wlasna odpowiedzialnosc. Najnowszej wersji tego tekstu, o ile beda nowsze wersje, nalezy szukac na stronie Hrabiego: http://phreak.hack.pl (nowy adres dawnego phreak. zone.to). Gwiazdki na marginesie oznaczaja uaktualnienia wzgledem pop- rzedniej wersji. I jeszcze jedno: przed ewentualnym napisaniem do mnie maila prosilbym o zapoznanie sie z ostatnim rozdzialem tego tekstu. SPIS TRESCI: CZESC I - Urmet niebieski TSP 91 N1. WSTEP N2. OGOLNA BUDOWA PROGRAMU * N3. PRZERWANIA * N4. REJESTRY UKLADOW PERYFERYJNYCH N5. KARTY ZWYKLE N6. TABLICE KART N7. PRZYPOMNIENIE MENU GLOWNEGO AUTOMATU N8. KARTY SERWISOWE N9. KARTY SERWISOWE W WERSJI 5.8 N10.KARTY SERWISOWE W WERSJI 3.0 N11.INNA (NIZ HRABIEGO) METODA DZWONIENIA Z KART SERWISOWYCH N12.DIAGNOSTIC MENU - KODY DIAGNOSTYCZNE N13.POWODY ZGLOSZENIA DO CENTRUM NADZORU (C90) N14.PROGRAMOWANIE WARTOSCI DOMYSLNYCH W EEPROM N15.TARYFIKACJA N16.KOMUNIKACJA Z MODULEM CZYTNIKA N17.JAK ZROBIC NIEKASOWALNA KARTE * N18.KOMUNIKACJA Z CENTRUM NADZORU (C90) N19.SPOSOB NA UNIEMOZLIWIENIE KOMUNIKACJI Z CENTRUM NADZORU * N20.SPECIAL TEST MODE N21.BUFORY KLAWIATURY N22.INNE (NIZ 2.9) WERSJE OPROGRAMOWANIA N23.NOWY CZYTNIK I OPROGRAMOWANIE DO NIEGO (3.0?) N24.NAPISY N25.INSTRUKCJA WYMIANY EPROMU N26.ZAKLOCANIE AUTOMATU TELEFONEM KOMORKOWYM N27.DOSWIADCZENIE N28.PODSUMOWANIE CZESC II - Urmet srebrny TPE 97/U S1. WSTEP S2. OGOLNA BUDOWA PROGRAMU S3. WYJATKI S4. REJESTRY UKLADOW PERYFERYJNYCH S5. KODY KLAWIATURY S6. PAMIECI ZNAMIONOWE (BOLLINO) I METRYCZKA APARATU * S7. KARTY ZWYKLE * S8. ALGORYTM ROZPOZNAWANIA RODZAJU KARTY ELEKTRONICZNEJ S9. LISTY KART * S10.ZABEZPIECZENIA KART ZWYKLYCH S11.KARTY KREDYTOWE S12.MENU GLOWNE AUTOMATU * S13.KODY ALARMOW S14.MENU AUTOTEST * S15.KARTY SERWISOWE * S16.ZABEZPIECZENIA KART SERWISOWYCH * S17.PRZYCISK "TEST" * S18.FORMAT DANYCH KART ELEKTRONICZNYCH S19.PRYWATNE STG :) S20.INNE (NIZ 2.60) WERSJE OPROGRAMOWANIA WSPOLNE W1. GDY TPSA MA PODEJRZENIA * W2. LINKI * W3. ZAKONCZENIE ============ CZESC I - Urmet niebieski TSP 91 ================================ N1. WSTEP Tak wiec zaczelo sie w sierpniu 1998, gdy Hrabia opublikowal programy Urmeta i powstal Shroom FAQ, z ktorego zaczerpnalem podstawowe wiadomosci. Na poczatek musialem sobie napisac deasembler, bo w sieci nie znalazlem odpowiedniego (Uwaga! Najlepszy deasembler to IDA - The Interactive Disassembler, jest do sciagniecia z phreak.hack.pl). Potem sciagnalem jeszcze jakis symulator, nie najlepszy zreszta. Zamowilem sobie tez ksiazke o 68HC11. Kod zrodlowy po zdeassemblowaniu mial przy zalozonym przeze mnie formacie zapisu okolo 430 kB. Teraz, z komentarzami, ma ponad 890 kB... Linii samego kodu, czyli instrukcji, jest 12164. Przedstawione ponizej wyniki to rezultaty analizy samego programu, a nie doswiadczen w praktyce na automacie, chyba ze napisalem inaczej. Prawdopodobnie znaj- da sie czasem jakies pomylki lub niescislosci, ale absolutnie bezbledne przeanalizowanie od podstaw takiej ilosci kodu jest raczej niemozliwe. Dlatego jesli ktos ma pelniejsze/dokladniejsze informacje na opisane tu tematy, chetnie umieszcze uaktualnienie. N2. OGOLNA BUDOWA PROGRAMU Program zbudowany jest dosc sprytnie, tak ze daje sie latwo konfigurowac. Na poczatku kodu programu, przed napisami, znajduja sie rozne tablice i dane konfiguracyjne. Tak wiec zmiana jednego bajtu moze mocno zmienic dzialanie programu. Poza tym calosc oparta jest na przerwaniach. Komuni- kacja z czytnikiem, klawiatura, wyswietlaczem oparte sa na przerwaniach zegarowych. Rowniez na przerwaniach oparta jest taryfikacja. W zwiazku z tym glowny program ustawia tylko pewne zmienne, ktore odczytywane sa okresowo przez odpowiednie przerwania zegarowe, odpowiedzialne za obsluge jakiegos podzespolu automatu. Na przyklad glowny program ustawia w odpo- wiedniej zmiennej numer napisu do wyswietlenia, zmienna ta co jakis czas jest odczytywana przez procedure obslugi przerwania, a odpowiadajacy war- tosci tej zmiennej napis jest wyswietlany na LCD. N3. PRZERWANIA * Ponizej umiescilem krotki wykaz przerwan uzywanych przez oprogramowanie. * Pozostale, ktorych tutaj nie wymienilem, maja puste procedury obslugi * (co oznacza brak reakcji na wystapienie przerwania). Na poczatku wiersza * znajduje sie adres wektora przerwania, nastepnie adres procedury obslugi * wskazywany przez ten wektor (w nawiasach kwadratowych), dalej jest an- * gielska nazwa przerwania, a na koncu napisalem do czego przerwanie jest * uzywane. * * Dla trybu pracy procesora "Normal Expanded Mode" (w tym trybie zwykle * procesor pracuje) tabela wektorow znajduje sie pod adresami z zakresu * 0xFFD6..0xFFFF: * * 0xFFDA: [0xBF24] - Pulse Accumulator Input Edge - Obsluga taryfikacji * 50 Hz * * 0xFFE2: [0xB800] - Timer Output Compare 4 (TOC4) - Obsluga komunikacji * z czytnikiem * * 0xFFE6: [0xC908] - Timer Output Compare 2 (TOC2) - Sprawdzanie pradu * linii, obsluga tary- * fikacji i polaczen, * zarzadzanie czytni- * kiem i stanem karty * * 0xFFE8: [0xBCD9] - Timer Output Compare 1 (TOC1) - Obsluga taryfikacji * 16 kHz i klawiatury * * 0xFFEA: [0xBA99] - Timer Input Capture 3 (TIC3) - Obsluga komunikacji * z czytnikiem * * 0xFFEC: [0xBED1] - Timer Input Capture 2 (TIC2) - Obsluga DTMF-u * * 0xFFEE: [0xBF16] - Timer Input Capture 1 (TIC1) - Pomocnicza obsluga * taryfikacji 16 kHz * * 0xFFF8: [0xD44F] - Illegal Opcode Trap - Bledna instrukcja * * 0xFFFA: [0xC000] - COP Watchdog Time-Out - Przepelnienie licz- * nika bezpieczenstwa * * 0xFFFC: [0xC000] - COP Clock Monitor Fail - Zatrzymanie taktowa- * nia procesora * * 0xFFFE: [0xC000] - Reset - Reset - procesor wy- * chodzi ze stanu us- * pienia po podniesie- * niu sluchawki, otrzy- * maniu rozmowy przy- * chodzacej, takze ok- * resowo co jakis czas * * Dla trybu pracy procesora "Special Test Mode" (patrz rozdzial "Special * Test Mode") tabela wektorow znajduje sie pod adresami z zakresu * 0xBFD6..0xBFFF: * * 0xBFD6..0xBFFE: [0xAA7E] - wszystkie przerwania - Programowanie re- * jestru CONFIG * N4. REJESTRY UKLADOW PERYFERYJNYCH * Ponizej zamiescilem odwzorowanie rejestrow ukladow peryferyjnych w przes- * trzen adresowa mikrokontrolera niebieskiego automatu (brzmi strasznie ;)). * Po dokladniejsze informacje na temat rejestrow i ukladow peryferyjnych * odsylam do danych producenta (M68HC11 Reference Manual - powinien byc na * phreak.hack.pl). Na poczatku znajduje sie adres, pod jakim widoczny jest * rejestr, nastepnie jest nazwa rejestru, a na koncu umiescilem angielskie * rozwiniecie nazwy rejestru. * * 0x1000: Rejestr PORTA - Port A Register * 0x1001: - * 0x1002: Rejestr PIOC - Parallel I/O Control Register * 0x1003: Rejestr PORTC - Port C Register * 0x1004: Rejestr PORTB - Port B Register * 0x1005: Rejestr PORTCL - Port C Latch Register * 0x1006: - * 0x1007: Rejestr DDRC - Data Direction for Port C Register * 0x1008: Rejestr PORTD - Port D Register * 0x1009: Rejestr DDRD - Data Direction for Port D Register * 0x100A: Rejestr PORTE - Port E Register * 0x100B: Rejestr CFORC - Output Compare Force Register * 0x100C: Rejestr OC1M - Output Compare 1 Mask Register * 0x100D: Rejestr OC1D - Output Compare 1 Data Register * 0x100E: Rejestr TCNT - Timer Counter Register * 0x100F: c.d. * * 0x1010: Rejestr TIC1 - Timer Input Capture 1 Register * 0x1011: c.d. * 0x1012: Rejestr TIC2 - Timer Input Capture 2 Register * 0x1013: c.d. * 0x1014: Rejestr TIC3 - Timer Input Capture 3 Register * 0x1015: c.d. * 0x1016: Rejestr TOC1 - Timer Output Compare 1 Register * 0x1017: c.d. * 0x1018: Rejestr TOC2 - Timer Output Compare 2 Register * 0x1019: c.d. * 0x101A: Rejestr TOC3 - Timer Output Compare 3 Register * 0x101B: c.d. * 0x101C: Rejestr TOC4 - Timer Output Compare 4 Register * 0x101D: c.d. * 0x101E: Rejestr TOC5 - Timer Output Compare 5 Register * 0x101F: c.d. * * 0x1020: Rejestr TCTL1 - Timer Control Register 1 * 0x1021: Rejestr TCTL2 - Timer Control Register 2 * 0x1022: Rejestr TMSK1 - Timer Interrupt Mask Register 1 * 0x1023: Rejestr TFLG1 - Timer Interrupt Flag Register 1 * 0x1024: Rejestr TMSK2 - Timer Interrupt Mask Register 2 * 0x1025: Rejestr TFLG2 - Timer Interrupt Flag Register 2 * 0x1026: Rejestr PACTL - Pulse Accumulator Control Register * 0x1027: Rejestr PACNT - Pulse Accumulator Counter Register * 0x1028: Rejestr SPCR - SPI Control Register * 0x1029: Rejestr SPSR - SPI Status Register * 0x102A: Rejestr SPDR - SPI Data Register * 0x102B: Rejestr BAUD - Baud-Rate Control Register * 0x102C: Rejestr SCCR1 - SCI Control Register 1 * 0x102D: Rejestr SCCR2 - SCI Control Register 2 * 0x102E: Rejestr SCSR - SCI Status Register * 0x102F: Rejestr SCDR - SCI Data Register * * 0x1030: Rejestr ADCTL - A/D Control/Status Register * 0x1031: Rejestr ADR1 - A/D Result Register 1 * 0x1032: Rejestr ADR2 - A/D Result Register 2 * 0x1033: Rejestr ADR3 - A/D Result Register 3 * 0x1034: Rejestr ADR4 - A/D Result Register 4 * 0x1035: - * 0x1036: - * 0x1037: - * 0x1038: - * 0x1039: Rejestr OPTION - System Configuration Options Register * 0x103A: Rejestr COPRST - COP Timer Reset Register * 0x103B: Rejestr PPROG - EEPROM Programming Register * 0x103C: Rejestr HPRIO - Highest Priority I-Bit and Misc Register * 0x103D: Rejestr INIT - RAM and I/O Mapping Register * 0x103E: Rejestr TEST1 - Testing Functions Control Register * 0x103F: Rejestr CONFIG - System Configuration Register * N5. KARTY ZWYKLE Karty uzywane przez niebieski automat ulozone sa w 1024 serie po 65536 kart w serii (tak naprawde 1024 serie to 256 prawdziwych serii i 4 mozliwe emisje -> 256*4 = 1024). Sa DWA rodzaje kart zwyklych: a) Karta w jednostkach taryfikacyjnych Te karty sa powszechnie uzywane. Posiadaja zapisane na sobie unikalne dane jak numer serii, numer kolejny w serii, a takze informacje o no- minalnej i pozostalej liczbie jednostek, ktore to dane chronione sa odpowiednimi algorytmami kontrolnymi. I tu najwieksza niespodzianka: NIEMOZLIWE JEST ZROBIENIE POZWALAJACEJ DZWONIC NIEKONCZACEJ SIE KARTY. Moze kiedys, w starych wersjach oprogramowania, bylo to mozliwe, teraz na pewno nie. Otoz kazda nowa karta posiada w trzeciej, najwiekszej czesci, 200 magnetycznych jedynek. W oprogramowaniu automatu istnieje nastepujaca tablica: Offset Wartosc (Liczba Maks. liczba tablicy jedynek/jednostke) jednostek #0 1 200 #1 2 100 #2 4 50 #3 5 40 #4 8 25 #5 10 20 #6 20 10 Na karcie zapisana jest liczba od 0 do 7. Jesli wartosc ta wynosi 0, karta jest wyrzucana z automatu bez zadnego komentarza na wyswietlaczu (zatrzymuje sie tylko na chwile tak jak karty serwisowe). W przeciwnym wypadku oprogramowanie odejmuje od niej 1 i daje to offset do powyzszej tablicy. Jesli dla przykladu na karcie zapisane jest 7, offset do tab- licy wyniesie 6, pod tym offsetem jest wartosc 20, czyli jednostce na karcie odpowiada 20 jedynek. Tak wiec na karcie moze byc maksymalnie 200/20 = 10 jednostek, po prostu jest to karta 10-jednostkowa. Jak wi- dac, TPSA nie wykorzystuje w pelni mozliwosci istniejacego oprogramowa- nia. Kazdy oczywiscie zaraz chcialby zmienic zapis na karcie tak, zeby bylo na niej 200 jednostek, co jest mozliwe, ale na chetnych czeka mala niespodzianka, o ktorej bedzie w jednym z nastepnych punktow... Wniosek jest nastepujacy: poniewaz na karcie nie jest bezposrednio zapisana maksymalna liczba jednostek, nie mozna zrobic karty na dowolnie duza ich liczbe. Na dodatek ilosc jednostek z karty jest reprezentowana w oprogramowaniu jako wielkosc 1-bajtowa, a wiec daje to teoretycznie maksymalnie 255 jednostek. Ktos widzial moze na wyswietlaczu cos w ro- dzaju "KREDYT 00025", faktycznie, zdarzalo sie tak skonfigurowane opro- gramowanie, tak wiec automat przystosowany jest do wyswietlania PIECIU cyfr... Po co wiec byloby piec cyfr, gdy na karcie moze byc maksymalnie (teoretycznie) 255 jednostek? Czasem sie to jednak moze przydac, o czym za chwile... Ktos moze miec tez ochote zmodyfikowac zawartosc powyzszej tablicy, aby wszystkie karty byly czytane jako np. 100... Jest to jak najbardziej mozliwe! Nie radze jednak wpisac jako liczbe jedynek/ jednostke 0. Algorytm obliczania pozostalych jednostek jest nastepu- jacy: liczba pozostalych jedynek (pozostalych z poczatkowych 200) jest dzielona przez liczbe jedynek/jednostke i jako wynik brana jest czesc calkowita. W praktyce jest to realizowane przez instrukcje IDIV, ktora w przypadku dzielenia przez 0 daje jako czesc calkowita wyniku 0xFFFF, z czego bajt mniej znaczacy jest brany jako liczba pozostalych jednos- tek, czyli tutaj 255. Co sie dalej stanie, napisalem w rozdziale "Tab- lice kart". Mozna tez wpisac 1, aby karty byly odczytywane jako 200- jednostkowe, ale, jak powiedzialem, wiaze sie z tym niespodzianka... Jeszcze odnosnie karty niekasowalnej - mozna by bylo sprobowac nagrac karte na materiale twardszym magnetycznie niz zwykla karta, tak, zeby automat nie byl w stanie skasowac czegokolwiek z karty. Niestety, na karcie sa wybijane zabki wskazujace procent jej zuzycia, i karta jest w tym miejscu nieczytelna. Poza tym uzywanie takiej karty mocno by ograniczal mechanizm opisany w nastepnym rozdziale. b) Karta w jednostkach Tax Value Tych kart nie ma w obiegu. Posiadaja dane analogiczne do kart opisanych powyzej, ale jest jedna zasadnicza roznica. Jak wiadomo, w automacie zapisana jest wartosc Tax Value, zwykle ustawiona na 1, ktora okresla liczbe kasowanych z normalnej karty jednostek przy kazdym sygnale 16 kHz z centrali. Natomiast z kart w jednostkach Tax Value kasowana jest zawsze jedna jednostka, niezaleznie od wartosci Tax Value. W zwiazku z tym sabotaz polegajacy na ustawieniu Tax Value np. na 30 nie spowoduje zadnych skutkow ubocznych dla takiej karty, rozmawiac mozemy tak samo dlugo, jak zwykle. Zalozmy, ze na takiej karcie jest 5 jednostek. Wtedy dla Tax Value rownego 30 na wyswietlaczu pojawi sie 30*5 = 150 jednostek do wykorzystania! Za to przy kazdym 16 kHz bedzie od tego odejmowane 30 jednostek. Jezeli na takiej karcie bedzie 200 jednostek, a Tax Value ustawimy na 255, to na wyswietlaczu zobaczymy "KREDYT 51000"! Do tego wlasnie przydac sie moze piec cyfr. Podobnie jak poprzednio, niemozliwe jest zrobienie niekonczacej sie karty. N6. TABLICE KART W pamieci RAM znajduja sie 3 tablice kart uzywanych przez automat. a) Karty, z ktorych nie udalo sie skasowac pelnej wartosci Tax Value Tablica ma 21 pozycji, kazda pozycja zajmuje 2 slowa (4 bajty) i zawie- ra kolejno numer serii Karty i numer kolejny Karty w serii. Zapisywane sa tu karty w przypadku, kiedy na karcie zabraklo jednostek do skasowa- nia pelnej wartosci Tax Value lub czytnik w wyniku bledu odmowil skaso- wania odpowiedniej liczby jednostek. Wtedy cala karta jest kasowana, a brakujaca liczba jednostek zostanie skasowana z nastepnej wlozonej karty, chyba ze odlozymy sluchawke i poczekamy chwile az do wylaczenia sie wyswietlacza. Automat posiada w oprogramowaniu zabezpieczenie, kto- re powoduje, ze wyrzuca on stara karte po skasowaniu ostatniej istnie- jacej na karcie pelnej wartosci Tax Value i prosi o nowa karte. Tak wiec w praktyce jest to zabezpieczenie tylko przed bledami w pracy czytnika. b) Karty uzywane przez automat Ta tablica ma 562 pozycje, kazda pozycja zajmuje 2 slowa i 1 bajt (razem 5 bajtow), i zawiera, oprocz numeru serii karty i numeru kolejnego karty w serii, rowniez informacje o pozostalej na karcie liczbie jednostek (dokladnie piaty bajt zawiera wartosc: 200 minus liczba magnetycznych jedynek pozostalych w trzeciej czesci karty). Karty zapisywane sa tu w chwili kasowania z nich pierwszej jednostki, a podczas kasowania kolejnych jednostek piaty bajt tablicy jest uaktualniany - dodawana jest do niego wartosc odpowiadajaca liczbie kasowanych jednostek. c) Karty ponownie napelnione Tablica ta posiada 221 pozycji, kazda zajmuje 2 slowa (4 bajty) i za- wiera numer serii karty i numer kolejny karty w serii, wpisywane sa tu te karty, ktore zostaly ponownie napelnione. Na powyzsze listy nie sa wpisywane karty serwisowe. Algorytm akceptowania karty jest nastepujacy: 1) Czy karta jest na liscie tych, z ktorych nie udalo sie skasowac pelnej wartosci Tax Value? NIE - 2) TAK - Automat kasuje cala karte (po co - przeciez juz raz byla kasowana...), kasuje jej numer z tablicy, wyrzuca karte i pisze "KARTA ZUZYTA". 2) Czy karta jest na liscie kart ponownie napelnionych? NIE - 3) TAK - Automat kasuje cala karte (tez juz raz byla kasowana - patrz punkt nizej), ustawia kod diagnostyczny nr 32 (o kodach bedzie pozniej), wyrzuca karte i pisze "KARTA ZUZYTA". 3) Czy karta jest na liscie uzywanych przez automat? NIE - Dopisuje karte na liste - dopiero w chwili kasowania z niej pierwszej jednostki TAK - Sprawdza, czy na karcie nie ma wiecej jednostek, niz poprzednio. Jesli jest wiecej, karta jest kasowana, ustawiany jest kod 32, automat wyrzuca karte i pisze "KARTA ZUZYTA". Jesli jednostek nie jest za duzo, lista jest uaktualniana poprzez wpisanie bie- zacej liczby jednostek (bo przeciez pomiedzy jednym i drugim uzyciem karty moglismy z niej dzwonic uzywajac innego automatu). Scisle rzecz biorac, dane o jednostkach karty sa zapisywane w tablicy w postaci: 200 minus liczba magnetycznych jedynek po- zostalych w trzeciej czesci karty). Przy ponownym uzyciu karty do zapamietanej powyzej wartosci dodawana jest znowu biezaca liczba pozostalych na karcie jedynek. Jesli wynik przekroczy 205(!), karta jest kwalifikowana jako ponownie napelniona. Tak wiec mozemy bezkarnie dopisac liczbe jednostek odpowiadajaca 5 jedynkom, czyli np. 2 jednostki na karcie 100-jednostkowej (daje to 4 jedynki)... Gdy zapelni sie pierwsza tablica, wszystkie dotychczasowe elementy zostaja zepchniete w dol z usunieciem ostatniego z nich, a najnowszy zostaje umieszczony na samej gorze. Natomiast tablice druga i trzecia sa traktowa- ne jak pierscienie. W przypadku zapelnienia sie jako kolejny wolny element jest traktowany dotychczasowy najstarszy (na samym dole) i kolejne elemen- ty sa zapisywane znowu coraz blizej szczytu tablicy. Oprogramowanie ma mozliwosc kasowania dowolnych elementow tylko z pierwszej tablicy, w dwoch pozostalych najstarsze elementy sa zastepowane najnowszymi. Przy kasowaniu elementu z pierwszej tablicy wszystkie, ktore sa nad nim, spadaja o jeden poziom w dol i zmienna zawierajaca liczbe waznych elementow jest zmniej- szana o jeden. Natomiast komorka pamieci na szczycie nie jest fizycznie zerowana, w zwiazku z tym ostatni element moze byc powtorzony kilka razy. W celu skasowania list mozna wyciagnac i z powrotem wlozyc kosc RAM, ale wtedy sumy kontrolne RAM nie beda sie zgadzac, przez co automat przetestu- je pamiec RAM i ustawi kod diagnostyczny nr 11 oraz m.in. nastapi utrata zawartosci "DIAGNOSTIC MENU", "COUNTER MENU" oraz "VISUAL BLACK L." z "SW VERSION MENU", o czesci ktorych to menu napisalem ponizej (testowa- ne praktycznie). Kazda z tablic posiada tez wlasna sume kontrolna, ktorej niezgodnosc powoduje rowniez skasowanie tablicy oraz dodatkowo wypelnienie jej zerami (we innych przypadkach jedynie liczba elementow w tablicy jest ustawiana na zero i wskaznik na pierwszy wolny element ustawiany jest na poczatek tablicy, bez fizycznego kasowania danych). A teraz o tym, co sie stanie, gdy jako liczbe jedynek/jednostke wpiszemy w EPROMie zero. Jak juz napisalem, wtedy liczba pozostalych jednostek po wlozeniu dowolnej karty zostanie odczytana jako 255. Mozemy z tej karty normalnie rozmawiac. Nalezy jednak pamietac o tym, ze zmodyfikowalismy oprogramowanie plyty glownej, ale nie czytnika! Tak wiec w pamieci czyt- nika znajduje sie rzeczywista liczba jednostek. W momencie, gdy zuzyjemy liczbe jednostek rowna faktycznie istniejacej na karcie, karta zostanie skasowana i wyrzucona, natomiast plyta glowna nic nie bedzie wiedziec o potrzebie wymiany karty i nie otworzy wlotu czytnika, tak wiec nie bedziemy nawet mogli wlozyc nowej karty (odmiana tego przypadku zostala przetestowana praktycznie). Podsumowujac: ustawienie liczby jedynek/jed- nostke na zero nie przynosi zadnych korzysci. Natomiast gdy uzyjemy karty, na ktorej jest wieksza liczba jednostek od liczby nominalnej wynikajacej z podzielnika (a ktora mozna zrobic poprzez nagranie w trzeciej czesci karty wiecej niz 200 jedynek magnetycznych - metode ta jako pierwszy wymyslil Shadow), stanie sie rzecz nastepujaca: przyjmijmy, ze mamy karte z 230 jedynkami. W chwili pierwszego uzycia danej karty zostaje ona wpisana na 2 tablice kart z liczba jedynek magne- tycznych rowna 200-230=... no wlasnie, wychodzi liczba ujemna, wiec na liste zostanie wpisane zero, czyli tak, jak gdyby na karcie bylo 200 mag- netycznych jedynek, a nie 230. Teraz dla przykladu podczas rozmowy zostaje skasowanych z karty a dodanych do tablicy 10 jedynek, czyli w tablicy jest wartosc 10, a na karcie zostaje 220 jedynek. Przy probie ponownego uzycia tej karty zostanie wykonana operacja: 10 jedynek z tablicy + 220 jedynek z karty = 230 > 205 -> karta zostanie uznana za ponownie napelnio- na, automat wpisze ja na 3 liste kart oraz podejmie probe skasowania calej karty i ustawi kod 32... Aby temu zapobiec, nalezaloby zuzyc na innym automacie taka liczbe jednostek, aby podany wyzej wynik nie przekroczyl 205. Zagadnienie to zostalo przetestowane praktycznie. N7. PRZYPOMNIENIE MENU GLOWNEGO AUTOMATU W tym miejscu dla przypomnienia umieszczam glowne menu automatu. Po dokladny opis odsylam do menu.txt Hrabiego (phreak.hack.pl). 0. DEFAULT MENU 1. DIAGNOSTIC MENU 2. COUNTER MENU 3. DIAL MENU 4. C90 MENU 5. TAXATION MENU 6. SW VERSION MENU 7. FREE NUM. MENU 8. LOCK NUM. MENU 9. WATCH MENU N8. KARTY SERWISOWE Kart serwisowych jest PIEC rodzajow: a) Karta Maintenance Karta ta wyswietla: 1. DIAGNOSTIC MENU 2. COUNTER MENU - bez podmenu "CLEAR PARTIAL" i "CLEAR ALL" Dokladnie to samo wyswietlane jest po otwarciu automatu. Po szczegoly odsylam do menu.txt Hrabiego. b) Karta Programming Karta wyswietla: 1. DIAGNOSTIC MENU 2. COUNTER MENU 3. DIAL MENU 4. C90 MENU 5. TAXATION MENU 6. SW VERSION MENU - bez podmenu "VISUAL BLACK L.", o czym nizej 7. FREE NUM. MENU 8. LOCK NUM. MENU 9. WATCH MENU Po szczegoly, jak poprzednio, odsylam do menu.txt. c) Karta ProgrammingVBL Jest to karta, ktora nazwalem sobie ProgrammingVBL, gdyz wyswietla, oprocz wszystkiego co zwykly Programming, dodatkowe podmenu: 1. DIAGNOSTIC MENU 2. COUNTER MENU 3. DIAL MENU 4. C90 MENU 5. TAXATION MENU 6. SW VERSION MENU 6.1 TELEPHONE SOFT. 6.1.1 PO 2.9 ==> 6.2 VISUAL BLACK L. 6.2.1 11111 11111 \ ...... ..... ..... Tablica 1 - 21 pozycji 6.2.21 11111 11111 / 6.2.22 00000 00000 A3 / L3 6.2.23 33333 33333 \ ....... ..... ..... Tablica 3 - 221 pozycji 6.2.243 33333 33333 / 6.2.244 00000 00000 CRC3 / CRC2 6.2.245 00000 00000 A2 / L2 6.2.246 22222 22222 222 \ ....... ..... ..... ... Tablica 2 - 562 pozycje 6.2.807 22222 22222 222 / 6.3 EXIT 7. FREE NUM. MENU 8. LOCK NUM. MENU 9. WATCH MENU Objasnienie skrotow: A3 - Adres pierwszej wolnej pozycji w 3 tablicy L3 - Liczba zapamietanych pozycji w 3 tablicy CRC3 - Suma kontrolna 3 tablicy CRC2 - Suma kontrolna 2 tablicy A2 - Adres pierwszej wolnej pozycji w 2 tablicy L2 - Liczba zapamietanych pozycji w 2 tablicy Dodatkowe podmenu "VISUAL BLACK L." (Skrot od "Visual Black List") wyswietla po kolei zawartosc 1, 3 i 2 tablicy zapamietanych kart, czyli: 1 - Karty, z ktorych nie udalo sie skasowac pelnej wartosci Tax Value 3 - Karty ponownie napelnione 2 - Karty uzywane przez automat W przypadku tablic 1 i 3 wyswietlane sa numery: numer serii i numer kolejny karty w serii (numery te to dwa slowa, ktore sa wyswietlane obok siebie - kazde slowo w postaci pieciu cyfr), a dla 2 tablicy dodatkowo jako trzecia (trzycyfrowa) liczba wyswietlana jest wartosc: 200 minus liczba magnetycznych jedynek pozostalych na karcie. Wszyst- kie numery wyswietlane sa w postaci dziesietnej. Wspolczuje tylko temu, kto chcialby przegladac recznie 807 pozycji... d) Karta Test Ta karta wyswietla: 0. DEFAULT MENU 0.1 PROG. DEFAULT 0.1.1 DEFAULT Y 0.1.2 DEFAULT YE 0.1.3 DEFAULT YES 0.1.4 PROG. DEFAULT OK - gdy programowanie sie udalo PROG. DEFAULT KO - gdy wystapil blad 0.2 EXIT 1. DIAGNOSTIC MENU 2. COUNTER MENU 3. DIAL MENU 4. C90 MENU 5. TAXATION MENU 6. SW VERSION MENU - bez podmenu "VISUAL BLACK L." 7. FREE NUM. MENU 8. LOCK NUM. MENU 9. WATCH MENU Karta ta jest uzywana przy produkcji nowych automatow. "DEFAULT MENU" ustawia w pamieci EEPROM domyslne ustawienia automatu. Szerzej na ten temat w punkcie "Programowanie wartosci domyslnych w EEPROM". e) Karta Sample Ta karta wyswietla tylko: 0. DEFAULT MENU Uzycie tej karty powoduje dodatkowo, ze automat, nawet, jesli posiada dane do przeslania na centrale i normalnie probowalby je przeslac ("ZAJETY"), nie bedzie po jej uzyciu probowal tego zrobic - az do odlozenia sluchawki na kilka sekund. Byc moze uzywa sie tej karty, gdy automat lezy w serwisie odlaczony od linii, a podpiety do zasilania zastepczego, bo wtedy proba komunikacji z centala i tak nie ma sensu. Na jakiejs stronie TPSA znalazlem jej opis jako "karta technologiczna". N9. KARTY SERWISOWE W WERSJI 5.8 Na poczatek musze wszystkich rozczarowac: NIE ISTNIEJA KARTY DO PROGRAMOWANIA W WERSJI 5.8 !!! Tak tak, TPSA doszla do slusznego wniosku, ze nowe oprogramowanie i tak zostanie predzej lub pozniej zlamane, i nie zrobila odpowiednikow kart ze starszych wersji. Jedyne menu pojawia sie po otwarciu automatu, ale, jak wiadomo, jego mozliwosci sa bardzo ograni- czone (mozna jednak wlaczyc pelne menu! - patrz slammer.faq :). Istnie- nieje tylko jedna karta serwisowa: a) Karta Check58 Ta karte nazwalem Check58. Karta ta sluzy do sprawdzania, czy w auto- macie jest oprogramowanie 5.8, czy tez inne. Nie slyszalem, zeby TPSA wyemitowala takie karty, ale jak wiadomo, nie tylko ona ma mozli- wosc ich produkcji :) Istnienie tej karty zawdzieczamy najprawdopodob- niej niedopatrzeniu programistow przerabiajacych soft 2.8. Dzialanie tych kart zostalo praktycznie sprawdzone. Karta taka po wlozeniu do automatu z oprogramowaniem innym niz 5.8 zatrzymuje sie na chwile jak karta serwisowa i wypada, nic nie wyswietlajac. Natomiast jesli zosta- nie uzyta z softem 5.8, najnormalniej na swiecie wyswietla "KREDYT" i zawarta na niej liczbe jednostek. Mozna z niej normalnie rozmawiac, nie wolno jej wszakze zuzyc do zera, gdyz wtedy traci swoje wlasci- wosci. Na marginesie warto dodac, w jaki sposob TPSA rozpoznaje soft, skoro nie uzywa kart Check58... Otoz jest to po prostu zaznaczone na kosci EPROMu. Monter najpierw otwiera automat i sprawdza wersje oprogramowania, a dopiero potem ewentualnie uzywa kart serwisowych. Pozostaje problem, jak skonfigurowac automat, skoro nie istnieje karta do jego programowania. Glownym problemem jest zaprogramowanie numeru do centrum nadzoru i ustawien, ktorych nie mozna zmieniac z poziomu centrali (patrz rozdzial "Komunikacja z centrum nadzoru"). Otoz widze nastepujace mozliwosci: - mozna zmodyfikowac w EPROMie domyslne ustawienia tak, zeby odpowiadaly zadanej konfiguracji - przy zmianie wersji EPROMu wartosci domyslne zostana zaprogramowane w EEPROM - szerzej o tym w rozdziale "Programowanie wartosci domyslnych w EEPROM". Wymagaloby to programowania indywidualnie kazdego ukladu scalonego, gdyz trzeba by bylo zmieniac przynajmniej numer automatu - odpowiednik pozycji "NUM. TELEPHON" w "C90 MENU". Jednak w EPROMie 5.8 nie wykorzystano tej mozliwosci, zreszta jest ona malo praktyczna. - poniewaz pamiec EEPROM, w ktorej pamietana jest konfiguracja, znajduje sie w mikroprocesorze 68HC11, mozna zaprogramowac ta pamiec w serwisie i do automatu wlozyc juz zaprogramowany mikroprocesor. W praktyce trzeba najpierw wyjac stara pamiec EPROM, pozniej mikroprocesor, nastepnie nalezy wlozyc nowy mikroprocesor i na koncu nowy uklad z pamiecia. Zmiana tej kolejnosci grozi zaprogramowaniem w EEPROM wartosci domyslnych. - trzecia mozliwosc to posiadanie oprogramowania 2.9 lub starszego przerobionego tak, zeby wygladalo jak 5.8 (nie wystarczy zmiana naglowka pliku!). Wtedy za pomoca zwyklej karty serwisowej mozna zaprogramowac automat, a nastepnie wlozyc prawdziwe 5.8. Takie przerobienie wersji nie jest niebezpieczne, gdyz adresy danych w pamieci EEPROM we wszystkich wersjach od 2.6 wlacznie w gore sa (prawie na pewno) takie same. - kolejny sposob zostal wymyslony przez Nola i polega na przerobie- niu oprogramowania 5.8 w ten sposob, aby po otwarciu automatu wyswietlalo sie pelne menu, z mozliwoscia zaprogramowania wszyst- kich ustawien. Po zaprogramowaniu mozna zamienic EPROM na normalny 5.8. - mozna zmienic w pliku z oprogramowaniem 5.8 bajt #0x0049 na #0x00 (w tym przypadku nieistotne, czy plik jest zakodowany, czy nie), co wylaczy sprawdzanie wersji oprogramowania i zablokuje zapro- gramowanie z powodu zmiany wersji ustawien domyslnych, tak wiec stara konfiguracja pozostanie niezmieniona. TPSA nie wykorzystala tej prostej mozliwosci w EPROMie 5.8. - wreszcie mozna niczego nie zmieniac w oprogramowaniu i wlaczyc sobie pelne menu serwisowe za pomoca metody opisanej przez Slammera (slammer.faq) - sprawdzilem i dziala! N10.KARTY SERWISOWE W WERSJI 3.0 Na poczatek dobra (srednio dobra) wiadomosc: w najnowszej wersji softu do niebieskiego Urmeta zostaly przywrocone karty serwisowe! A teraz kilka mniej dobrych wiadomosci: po pierwsze po uzyciu karty Programming, ProgrammingVBL, Test lub Sample na wyswietlaczu zadne menu sie nie wys- wietla... aby sie wyswietlilo nalezy otworzyc i zamknac automat! Oczywis- cie wiaze sie to z ustawieniem odpowiedniego kodu diagnostycznego infor- mujacego o otwarciu automatu. A teraz jeszcze gorsza wiadomosc: z menu zniknely bez sladu: cale menu "LOCK NUM. MENU", opcje "16 KHz" i "50 Hz" z "TAXATION MENU", opcja "DIAL FREQ." z "DIAL MENU". Zablokowane zostalo tez cale menu "FREE NUM. MENU"! To ostatnie mozna prawdopodobnie wlaczyc uzywajac sposobu opisanego przez Slammera (slammer.faq), choc w praktyce jest to chyba malo przydatne bez opcji "16 KHz"... Oczywiscie zostala zachowana mozliwosc zdalnego programowania wszystkich usunietych/zablo- kowanych opcji. Ponizej przejrzyste podsumowanie - opisalem zmiany wzgle- dem wersji 2.9: a) Karta Maintenance Jako jedyna dziala bez zadnych zmian i wyswietla wlasciwe sobie menu od razu po jej uzyciu. b) Karta Programming Po uzyciu wymaga otwarcia i zamkniecia automatu. Nie wyswietla: - DIAL FREQ. / DIAL MENU - 16 KHz / TAXATION MENU - 50 Hz / TAXATION MENU - FREE NUM. MENU - LOCK NUM. MENU c) Karta ProgrammingVBL Jak w punkcie b) d) Karta Test Jak w punkcie b) e) Karta Sample Po uzyciu wymaga otwarcia i zamkniecia automatu. f) Karta Check58 Zachowuje sie identycznie jak w wersji 2.9. Pozostale zmiany w sofcie 3.0 zostaly opisane w rozdziale "Inne (niz 2.9) wersje oprogramowania". N11.INNA (NIZ HRABIEGO) METODA DZWONIENIA Z KART SERWISOWYCH Przemek, tzn. moja prawa reka, wpadl na pomysl, ze mozna wylaczyc opcje "16 KHz" i dzwonic z automatu metoda na "rozmowe przychodzaca". Okazuje sie, ze jest to prawda, i metoda ta dziala w praktyce. Jesli wiec ktos woli dzwonic w ten sposob, narobi Telekomunikacji dodatkowego zamieszania, gdyz wtedy nie beda sie zgadzac nie tylko liczniki taryfi- kacji i liczniki rozmow platnych i bezplatnych, ale rowniez przychodza- cych... Metoda ta jest o tyle wygodna, ze nie trzeba programowac wielu nieraz numerow, a pozniej ich kasowac (dla tych ktorzy nie wiedza: cal- kowite wymazanie numeru z menu jest mozliwe przez trzymanie klawisza Redial przez okolo 5 sekund). N12.DIAGNOSTIC MENU - KODY DIAGNOSTYCZNE W menu tym obejrzec mozemy kody diagnostyczne automatu. Sa to wartosci sygnalizujace zajscie pewnych zdarzen podczas jego dzialania. Wyswietlane sa kody #1..#8, jeszcze jeden, #9, jest tylko w pamieci automatu. Kod o numerze #1 odpowiada zdarzeniu najnowszemu, kod #9 - najstarszemu. Jes- li zajdzie jakies zdarzenie, odpowiadajacy mu kod dopisywany jest na po- zycji #1, a pozostale sa spychane w dol. Nowy kod nie jest jednak dopisy- wany w przypadku, gdy poprzedni byl taki sam. Ponizej podaje spis wszyst- kich mozliwych kodow. Czesc z nich rozpracowalem sam, czesc uzyskalem od Hrabiego, a czesc przepisalem z instrukcji niebieskiego Urmeta otrzymanej od Pita, za co dzieki dla niego. Kody 11-17 dotycza plyty glownej, 21-36 ukladow peryferyjnych, natomiast 81-95 modulu czytnika. Sa jeszcze inne kody, o ktorych wczesniej nic nie napisalem, a ktore sie nazywaja "powo- dami zgloszenia do centrum nadzoru". Wyobrazmy sobie, ze otworzylismy automat, wtedy generowany jest kod diagnostyczny numer 13 (dziesietnie). Ale przeciez mozemy wyzerowac kody diagnostyczne w nadziei, ze gdy po zamknieciu automatu zadzwoni on do centrum nadzoru, to nie bedzie wiadomo, dlaczego dzwonil. Wlasnie zeby temu zapobiec, automat podczas komunikacji z centrum nadzoru wysyla kod powodu zgloszenia odpowiadajacy zdarzeniu, ktore bezposrednio spowodowalo koniecznosc komunikacji, niezaleznie od tego, co jest aktualnie w "DIAGNOSTIC MENU". Ten mechanizm jednak rowniez da sie oszukac - patrz rozdzial "Sposob na uniemozliwienie komunikacji z centrum nadzoru". Spis omawianych kodow umiescilem w nastepnym punkcie. A oto kody diagnostyczne: Legenda: [-] = nie dzwoni do centrum nadzoru po ustawieniu kodu [!] = dzwoni natychmiast [PZ] = dzwoni po zamknieciu automatu [L1] = dzwoni, jesli przekroczono limit 5 zdarzen (wspolny dla wszystkich zdarzen oznaczonych L1) [L2] = dzwoni, jesli przekroczono limit 11 zdarzen (wspolny dla wszystkich zdarzen oznaczonych L2) ==================== [-] Kod 01 - Przeslano dane do centrum nadzoru ("ZAJETY") [!] Kod 11 - Sprawdzono, czy pamiec RAM sprawna w zakresie #0x6000..#0x7787 Nastapila utrata danych pamieci RAM Sprawdzanie pamieci odbywa sie, gdy suma kontrolna pamieci sie nie zgadza, np. gdy wyjeto i z powrotem wlozono uklad scalony zawierajacy RAM [!] Kod 12 - Zaprogramowano w EEPROM wartosci domyslne (z EPROM) Nastepuje to w wyniku uzycia "DEFAULT MENU", po wystapieniu bledu zapisu EEPROM lub po zmianie wersji oprogramowania - szerzej o tym w nastepnym punkcie [PZ] Kod 13 - Otwarto automat [L1] Kod 14 - Proba oszukania automatu - podanie na linie sygnalu 16 kHz dluzszego niz 4 sekundy Podanie na linie ciagle trwajacego sygnalu 16 kHz powo- dowaloby zaliczenie podczas calej rozmowy tylko jednego impulsu taryfikacyjnego [!] Kod 15 - 50 kolejnych podniesien sluchawki bez zrealizowania platnego polaczenia (zablokowany wlot czytnika, uszkodzony mikrofon lub wyswietlacz) Za polaczenie platne jest uwazane takie, podczas ktorego automat otrzyma choc jeden impuls 16 kHz, jesli wiec ktos ustawi "TAXATION MENU"/"16 KHz" na "Disabled", automat jest na 16 kHz gluchy i przy okazji nie odblokowuje mikrofonu przy probach wykonywania normalnych platnych polaczen, w zwiazku z czym kod ten zostanie po 50 probach takich polaczen ustawiony [L1] Kod 16 - Automat odlaczony od linii [L1] Kod 17 - Zbyt niska wartosc pradu linii [L1] Kod 21 - Zablokowany przycisk klawiatury [L1] Kod 22 - Zablokowany przycisk Redial [L1] Kod 23 - Uszkodzony odbiornik impulsow 16 kHz [L1] Kod 25 - Obnizone napiecie akumulatora [L1] Kod 27 - Uszkodzony obwod mikrofonu [-] Kod 28 - Uszkodzony modem DTMF (do komunikacji z centrum nadzoru) [!] Kod 29 - Uszkodzony uklad zegara Philips [L1] Kod 31 - Blad zapisu pamieci EEPROM [-L1] Kod 32 - Uszkodzone przetworniki A/D, kod ustawiany rowniez, gdy automat podjal probe skasowania calej karty naraz (gdy probowano uzyc karty falszywej - ponownie napelnionej lub probowano uzyc np. karty Programming w wersji 5.8) [!] Kod 33 - Bledny rozkaz z centrum nadzoru - patrz rozdzial "Komunikacja z centrum nadzoru" [!] Kod 34 - Rejestr CONFIG <> #09 O tym bedzie w jednym z nastepnych punktow [!] Kod 35 - Nastapilo przepelnienie jednej ze statystyk Chodzi o statystyki ilosci polaczen lokalnych, miedzymiastowych, bezplatnych, przychodzacych itd. [-] Kod 36 - Blad konca rozmowy telefonicznej [!] Kod 37 - Uszkodzony nadajnik 12kHz dla teletaksy [L1] Kod 81 - Blad wymiany informacji miedzy plyta glowna i modulem czytnika (np. niekompatybilnosc wersji oprogramowania plyty glownej i czytnika) Ustawiany, gdy nie udalo sie z karty skasowac zadanej liczby jednostek [L1] Kod 82 - Brak odpowiedzi czytnika (odlaczony kabelek polaczeniowy) [L1] Kod 83 - Proba oszustwa wykryta optycznie; czujniki optyczne wykryly probe wyjecia karty przed zakonczeniem rozmowy [L1] Kod 84 - Proba oszustwa wykryta magnetycznie; glowica magnetyczna wykryla probe wyjecia karty przed zakonczeniem rozmowy [L1] Kod 85 - Proba oszustwa wykryta mechanicznie; czujniki ruchu bebna wykryly probe wyjecia karty przed zakonczeniem rozmowy [L1] Kod 86 - Uszkodzony jeden z podzespolow czytnika [L2] Kod 87 - Po podniesieniu sluchawki wykryto karte zablokowana w czytniku [!] Kod 88 - W chwili wciagania karty karta zablokowala sie w czytniku [!] Kod 89 - Probowano uzyc karty z niewlasciwej (zablokowanej) serii [!] Kod 91 - Nieprawidlowe dzialanie glowic (glowice zuzyte) Kod ten jest ustawiany, gdy procent kart nieodczytanych przekroczy ustalony prog [!] Kod 92 - 30 kolejnych kart nieodczytanych [!] Kod 93 - Blad otwarcia lub zamkniecia szczeliny wlotowej czytnika [L1] Kod 95 - Wystapila proba skasowania naraz 254 lub 255 jednostek N13.POWODY ZGLOSZENIA DO CENTRUM NADZORU (C90) Ponizej przedstawilem wykaz kodow, o ktorych wspomnialem w poprzednim punkcie. Przy wiekszosci z nich umiescilem odpowiadajace im kody diag- nostyczne (dziesietnie), ktorych opis zawarty jest powyzej. Opisane sa tylko te kody, ktore w kodach diagnostycznych nie posiadaja swojego odpowiednika. Powod 01 - Ustawiany w celu wymuszenia przeslania danych, gdy liczba rozmow PLATNYCH przekroczy "Calls Num." Powod 02 - Ustawiany w celu wymuszenia przeslania statystyk, jesli ktoras zostala przepelniona (Code 35) lub grozi przepelnieniem - przekroczyla 40000 dziesietnie Powod 03 - Rozpoczeto rozmowe platna, a poprzednio automat byl uszkodzony (informacja o powrocie do stanu sprawnosci) Powod 04 - Code 13 Powod 05 - Code 15 Powod 06 - Code 12 Powod 07 - Code 11 Powod 09 - Code 89 Powod 11 - Code 91 Powod 12 - Code 92 Powod 13 - Code 33 Powod 14 - Code 34 Powod 15 - Code 93 Powod 16 - Ustawiany w celu wymuszenia przeslania danych po przekroczeniu limitu L1 lub L2 liczby zdarzen (patrz punkt wyzej) Powod 17 - Code 88 Powod 19 - Code 29 Powod 20 - Meldunek okresowy - kod ustawiany tylko, jesli w buforze nie ma innych kodow, a poprzednia proba komunikacji z centrum nadzoru nie powiodla sie Powod 21 - Code 37 N14.PROGRAMOWANIE WARTOSCI DOMYSLNYCH W EEPROM Programowanie to nastepuje w trzech przypadkach: - po uzyciu "DEFAULT MENU" - po wymienie EPROMu na inna wersje - po wystapieniu bledu programowania EEPROM W pierwszych dwoch przypadkach programowane sa domyslne wartosci: - tablica dopuszczonych serii kart - wszystkie serie sa dopuszczone - listy numerow "FREE NUMBER", "LOCK NUMBER" i "NATIONAL NUM." (pierwsze dwa rodzaje moga zawierac do czterech cyfr, ostatni tylko jedna cyfre) - puste, tzn. ich zaprogramowanie wykasuje wszystkie dotychczas wpisane wartosci - pozostale ustawienia "DIAL MENU" (pozostale, bo o "NATIONAL NUM." napisalem juz wyzej) - ustawienia "C90 MENU" i "TAXATION MENU" - numer wersji EPROMu Natomiast w przypadku bledu programowania EEPROM programowane jest to, co powyzej, ale z wylaczeniem: - "C90 MENU": "NUM. TELEPHON", "NUM. C90" i "ENABLE C90" - "DIAL MENU": "DIAL TYPE", "DIAL FREQ." Rozdzial ten pisze rowniez po to, aby zwrocic uwage na fakt, ze nieopatrz- ne uzycie "DEFAULT MENU" lub wymiana EPROMu na inna wersje spowoduje wyka- sowanie numerow bezplatnych, a wiec przez nas ktos moze nie dodzwonic sie na pogotowie. Co wiecej, nikt nie dodzwoni sie na pogotowie rowniez uzywa- jac karty, gdyz numery bezplatne nie przysylaja 16 kHz, a po wykasowaniu listy numerow bezplatnych wszystkie sa uwazane za platne i w zwiazku z tym mikrofon sie odblokowuje dopiero po otrzymaniu 16 kHz. Tak wiec nikt nas nie uslyszy. Dobrze jest wiec wpisac przynajmniej numery alarmowe, a w przypadku wymiany EPROMu i nieposiadania karty serwisowej mozna zmienic w pliku z oprogramowaniem bajt #0x0049 (dla oprogramowania od 2.6, przez 5.8 do 3.0 wlacznie) na #0x00 (w tym przypadku nieistotne, czy plik jest zakodowany czy nie), co wylaczy sprawdzanie wersji i zablokuje zaprogramo- wanie z powodu niezgodnosci ustawien domyslnych. Stosowane przez niekto- rych modyfikowanie naglowka pliku nie zapobiega wykryciu niezgodnosci wersji - tak naprawde w ogole nie ma sensu i nic pozytecznego nie daje! Adresy danych w pamieci EEPROM we wszystkich wersjach od 2.6 wlacznie w gore sa prawie na pewno takie same, tak wiec pozostawienie starych ustawien dla nowej wersji nie powinno spowodowac bledow w dzialaniu. Natomiast wersje 1.8 i 2.0 nie wygladaja na kompatybilne z poprzednimi. N15.TARYFIKACJA Automat posiada statystyki taryfikacji, ktore mozna obejrzec w "COUNTER MENU". Na poczatku kazdej rozmowy zwiekszany jest licznik jednej z pozycji: a) "LOCAL CALL" - w przypadku, kiedy rozmowa nie zostanie zakwalifikowana jako zadna z ponizszych. b) "NATIONAL CALL" - jesli wybrany numer zaczyna sie na cyfre wpisana jako ktoras z pozycji "NATIONAL NUM." c) "INTERNAT CALL" - jesli wybrany numer zaczyna sie od "00" - nie ma mozliwosci zmiany tych cyfr poprzez zadne menu. d) "ENTRY CALL" - oczywiscie gdy ktos dzwoni do automatu. e) "FREE CALL" - jesli wybrany numer znajduje sie na jednej z pozycji "FREE NUMBER". Statystyka ta jest bardzo podatna na zafalszowania. Statystyki dotyczace liczby rozmow platnych sa zwiekszane w chwili ot- rzymania przez automat pierwszego impulsu 16 kHz, tak wiec w momencie faktycznego nawiazania polaczenia. Natomiast przy rozmowach bezplatnych 16 kHz normalnie nie przychodzi, dlatego licznik ten jest zwiekszany natychmiast po wybraniu z klawiatury numeru nalezacego do ktorejs z po- zycji "FREE NUMBER". Jesli polaczenie nie dojdzie do skutku, bo np. nu- mer bedzie zajety albo rozlaczymy sie przed nawiazaniem polaczenia, to statystyka i tak zostanie zwiekszona. Jak wiadomo, numer bezplatny ma maksymalnie 4 cyfry i po jego wybraniu blokowana jest klawiatura, z jednym wyjatkiem - po "0800", jesli znajduje sie w jednej z pozycji "FREE NUMBER", mozna wybrac jeszcze 6 cyfr. Numeru, po ktorym mozna bedzie jeszcze wybrac cyfry, ani liczby tych cyfr, nie mozna zmienic poprzez zadne menu. Mozna jednak zmodyfikowac odpowiednie bajty konfi- guracyjne w oprogramowaniu, zeby bylo to np. "0700" i zeby mozna bylo jeszcze po nim wybrac 80 cyfr... Zeby to jednak zadzialalo, trzeba jeszcze wpisac "0700" jako "FREE NUMBER". Pojawia sie jeszcze jeden problem. Standardowo po numerze bezplatnym automat na pierwszy sygnal 16 kHz sam odsyla do centrali 12 kHz dla teletaksy, jesli jest wlaczona opcja "CHECK TAX" w "TAXATION MENU", i nie zrywa polaczenia. Normalnie to wystarcza, bo gdy dzwonimy pod rzeczywiscie bezplatny numer, centra- la nie wysyla sygnalow 16 kHz do automatu. Jesli zadzwonimy pod "0700", sygnaly 16 kHz beda przychodzic co kilka sekund, wiec dlugo i tak nie porozmawiamy... chyba ze znowu zmienimy odpowiedni bajt konfiguracyjny, aby po bezplatnym numerze 12 kHz odbijane bylo do centrali np. 200 ra- zy, albo lepiej w nieskonczonosc :) No, jeszcze trzeba znalezc automat, gdzie "0700" nie jest zablokowane na poziomie centrali, ale okazuje sie, ze TPSA ma spore trudnosci z blokowaniem "0700" na centralach analogowych, gdyz wiaze sie to z zablokowaniem wszystkich numerow zaczynajacych sie od zera... Wiec nic nie blokuja. Ale wrocmy do poprzedniej mysli. Okazuje sie, ze teletaksa w zasadzie jest zbedna, gdyz automat i tak sam zrywa polaczenie w chwili, kiedy wyczerpie sie limit automatycznie odbijanych 12 kHz (ale dzieje sie tak tylko w wers- ji 2.9 i 3.0!). Poniewaz dla rozmowy przychodzacej limit ten jest zaw- sze rowny zero, automat zrywa polaczenie w chwili otrzymania pierwszego sygnalu 16 kHz. Jedyne sensowne zastosowanie teletaksy opisalem w roz- dziale "Inne (niz 2.9) wersje oprogramowania". A odnosnie blokowania klawiatury, zmiana innego jeszcze bajtu konfiguracyjnego powoduje, ze klawiatura nie jest blokowana nigdy, czyli ani po numerze bezplatnym, ani normalnie platnym, dzieki czemu mozna wybrac np. numer wewnetrzny. W czasie trwania rozmowy po kazdym sygnale 16 kHz zwiekszany jest wlasciwy licznik sposrod "LOCAL PULSE", "NATIONAL PULSE" i "INTERNAT PULSE". Licz- nik ten zwiekszany jest za kazdym razem o wartosc Tax Value. Wyjatkiem jest jednak uzycie karty w jednostkach Tax Value - wtedy licznik zwiek- szany jest zawsze o 1. Istnieje (niewykorzystana) mozliwosc mnozenia przez odpowiednia stala wartosci Tax Value osobno dla rozmow lokalnych, krajowych i miedzynarodowych. Tak wiec, mimo, ze Tax Value wynosi np. 2, przy rozmowach miedzynarodowych kasowane moze byc kazdorazowo np. 3 razy wiecej jednostek, czyli przy kazdym 16 kHz kasowane bedzie 6 jednostek. Dzieki temu centrala moze wysylac 16 kHz z taka sama czestotliwoscia nie- zaleznie od rodzaju numeru, a automat, zaleznie od rodzaju rozmowy, sam bedzie kasowal odpowiednia liczbe jednostek przy kazdym 16 kHz. Przy kaz- dym sygnale 16 kHz zwiekszany jest o 1 rowniez licznik "TAXATION". Mowiac "licznik" dokonalem pewnego uproszczenia, gdyz naprawde kazda pozycja za- wiera dwa liczniki: "Total" i "Partial". Licznik "Total" zawiera calkowita liczbe rozmow/jednostek taryfikacyjnych, natomiast licznik "Partial" jedy- nie liczbe liczona od ostatniej komunikacji z centrala. W pamieci RAM znajduje sie tez ciekawa tablica zawierajaca 1024 liczniki rozmow. Przy rozpoczeciu kazdej platnej rozmowy jeden z licznikow jest zwiekszany, a ktory, to zalezy od... numeru serii (ale nie numeru karty w serii) uzywanej do rozmowy karty! Tablicy tej nie mozna obejrzec poprzez zadne menu, za to jest wysylana po kawalku do centrali przy kazdej z nia komu- nikacji. Poza tym oprogramowanie jest zabezpieczone przed wpisaniem jako Tax Value wartosci 0. Wpisanie zera jest niemozliwe, ale gdyby jednak, np. na skutek bledu, sie udalo, platna rozmowa zostanie przerwana natych- miast po jej rozpoczeciu. A teraz o tym, co sie stanie, gdy uzyjemy karty, dla ktorej liczba jedynek/jednostke wynosi 1, czyli na karcie moze byc maksymalnie 200 jednostek. Otoz, gdy wlozymy taka karte do automatu, nor- malnie zobaczymy "KREDYT". Jednak przy probie skasowania pierwszej jed- nostki ukaze sie nagle "KARTA ZUZYTA" i karta zostanie cala skasowana... N16.KOMUNIKACJA Z MODULEM CZYTNIKA Jak wiadomo, fizycznie jednostki z karty kasowane sa dopiero przy jej wyrzucaniu z czytnika. Mimo to, przy kazdym sygnale 16 kHz odpowiednia liczba jednostek (normalnie rowna Tax Value) jest przesylana do modulu czytnika. Modul czytnika sumuje kolejno otrzymywane wartosci i wynikowa liczba jednostek jest kasowana z karty przy jej wyrzucaniu. Przy kazdej takiej komunikacji wyslana do czytnika wartosc jest przez czytnik zwra- cana w celu weryfikacji. I tak, na przyklad, jesli Tax Value wynosi 2 i do czytnika wyslano 2, ale czytnik zwrocil tylko 1, to nastepnym razem do czytnika zostanie wyslana, zamiast 2, wartosc 3. N17.JAK ZROBIC NIEKASOWALNA KARTE Od wersji softu 2.8 istnieje mozliwosc zrobienia karty, ktorej niebieski Urmet nie bedzie potrafil skasowac! Niestety, nie da sie takiej karty wykorzystac do dzwonienia za darmo :( Po pierwsze, jak wiadomo, soft od wersji 2.8 kasuje karty z podzielnikiem rownym #1 (odpowiadajacym kartom o nominalnej liczbie jednostek 200) - normalnie wyswietlany jest "KREDYT", ale po przyjsciu pierwszego impulsu taryfikacyjnego kasowana jest cala karta. Po drugie mozna zrobic karte o wiekszej niz nominalna liczbie jednostek, tak jak to opisalem w punkcie "Tablice kart" - metode produkcji takich kart wymyslil Shadow. Po trzecie czytnik niebieskiego Urmeta nie potrafi skasowac naraz wiecej niz 200 jednostek, przy czym "naraz" nalezy rozumiec jako kasowanie z uzyciem pojedynczego rozkazu kasowania, bo mozna skasowac np. 250 jednostek wysylajac 10 rozkazow kasowania po 25 jednostek kazdy. Teraz robimy karte z podzielnikiem #1 (karta 200) i nagrywamy na niej wiecej niz 200 jednostek, np. 250. Wkla- damy karte do automatu i widzimy na wyswietlaczu wartosc kredytu. Wybie- ramy numer i po przyjsciu 16 kHz automat probuje skasowac naraz cala kar- te, wypisuje "KARTA ZUZYTA" i ja wyrzuca, ale poniewaz karta ma wiecej niz 200 jednostek, czytnik zwraca tylko blad i nie kasuje karty! Wkladamy teraz karte z powrotem do automatu i... pojawia sie "KARTA ZUZYTA" i au- tomat wyrzuca karte... Ale idziemy do innego automatu i znowu widzimy 250 jednostek na wyswietlaczu! Okazuje sie, ze w pierwszym automacie karta zostala wpisana na liste kart, z ktorych nie udalo sie skasowac pelnej jednostki Tax Value i automat ja probuje kasowac i wyrzuca przy probie drugiego i kolejnego uzycia, ale na innym automacie karta wyswiet- la znowy swoja rzeczywista ilosc jednostek. Efekt tej zabawy jest taki, ze ustawiane sa kody diagnostyczne 32 (proba skasowania calej karty) i 81 (blad wymiany informacji miedzy plyta glowna i modulem czytnika, ustawia- ny, gdy nie udalo sie z karty skasowac zadanej liczby jednostek). Jezeli na karcie bylo 254 albo 255 jednostek, ustawiany jest kod 95 (wystapila proba skasowania naraz 254 lub 255 jednostek). Podsumowujac: karta taka jest tylko ciekawostka bez mozliwosci pozytecznego zastosowania. Wszystko, co napisalem w tym rozdziale, testowalem praktycznie. N18.KOMUNIKACJA Z CENTRUM NADZORU (C90) Automat komunikuje sie z centrum nadzoru gdy zrealizuje liczbe rozmow okreslona w "CALLS NUM." w "C90 MENU" (pod uwage brane sa tylko rozmowy platne) lub jesli zajdzie zdarzenie, dla ktorego zaprogramowana jest natychmiastowa komunikacja z centrum. Jesli proba nawiazania polaczenia sie nie powiedzie, automat po uplywie pewnego czasu probuje ponownie. Podczas komunikacji automat przesyla do centrum nadzoru: - sume kontrolna list numerow "FREE NUMBER" i "LOCK NUMBER", wartosci Tax Value, tablicy numerow serii kart dopuszczonych do obiegu i tab- * licy cyfr poczatkowych zablokowanych numerow - inaczej dekad (bedzie o tym za chwile). Tak wiec niezauwalazna zmiana tych parametrow jest niemozliwa, chyba ze przywrocimy oryginalne wartosci przed najblizsza komunikacja z centrum nadzoru - wartosci kodow diagnostycznych "CODE" - jezeli automat dzwoni do centrum z powodu uzycia karty z niewlasciwej (zablokowanej) serii, to zamiast niektorych pozycji "CODE" przesylany jest numer serii tej karty i numer karty w serii - liczbe okreslajaca, ktory raz od czasu zainstalowania (lub przepelnienia licznika) automat dzwoni do centrum nadzoru - wartosci wszystkich licznikow z "COUNTER MENU" - fragment (normalnie 30 pozycji) tablicy 1024 licznikow rozmow zwiek- szanych w zaleznosci od numeru serii karty (ale nie numeru karty w serii), ktora to tablice opisalem juz w punkcie "Taryfikacja" - kod powodu zgloszenia do centrum nadzoru, ktorego ustawienie spowodowalo komunikacje z centrum Centrum nadzoru moze przekazywac do automatu: - wartosc Tax Value - listy numerow "FREE NUMBER" i "LOCK NUMBER" - numery serii kart dopuszczonych do obiegu (przy probie uzycia karty z zablokowanej serii zatrzymuje sie ona na chwile tak jak karta ser- wisowa, po czym wypada bez zadnego napisu na wyswietlaczu, ustawiany jest tez kod diagnostyczny 89) - date i czas systemowy dla zegara Philips - tablice, ktorej kolejne pozycje odpowiadaja kolejnym cyfrom poczat- kowym numerow, a ostatnia pozycja odpowiada za numery miedzynarodowe ("00"). Ustawienie pozycji w tablicy blokuje wszystkie (z wyjatkiem wpisanych jako "FREE NUMBER") numery zaczynajace sie od cyfry, ktora odpowiada tej pozycji. Dla przykladu, jesli w tablicy ustawimy pozyc- je odpowiadajaca cyfrze "5", wszystkie numery zaczynajace sie na "5" zostana zablokowane! Nie ma mozliwosci zaprogramowania tego z poziomu menu. Inaczej mowiac tablica ta sluzy do konfiguracji aktywnych de- kad. W uzywanej przez TPSA wersji centrum nadzoru (C90) istnieje blad uniemoz- liwiajacy wprowadzanie jako pozycje "LOCK NUMBER" numerow 4-cyfrowych! Nawet wiec jesli monter wpisze za pomoca karty serwisowej numer 4-cyfrowy, podczas najblizszej komunikacji z centrum nadzoru zostanie stwierdzona niezgodnosc sum kontrolnych miedzy lista numerow automatu i centrum nadzo- ru i automat otrzyma z powrotem liste numerow zablokowanych z centrum nad- * zoru - maksymalnie 3-cyfrowych! Ostatnio jednak blad ten zostal (przynaj- * mniej w czesci kraju) naprawiony. Do automatu z centrum nadzoru moze byc wysylane 6 rozkazow, i co ciekawe, ich lista jest taka sama dla wszystkich wersji od 2.6 wlacznie (starszych nie badalem). Tak wiec ewentualny bledny rozkaz jest spowodowany raczej bledem transmisji niz niezgodnoscia wersji oprogramowania automatu i centrum nadzoru. Oto rozkazy z centrum nadzoru: Rozkaz 0x00 - Nic nie robi Rozkaz 0x01 - Programuje date i czas systemowy Rozkaz 0x02 - Programuje Tax Value, numery serii kart dopuszczonych do obiegu, tablice cyfr poczatkowych zablokowanych numerow * (tablice zablokowanych dekad), listy numerow "FREE NUMBER" i "LOCK NUMBER" Rozkaz 0x03 - Programuje to co powyzej oraz date i czas systemowy Rozkaz 0x04 - Programuje Tax Value Rozkaz 0x05 - Programuje Tax Value oraz date i czas systemowy Jako parametr rozkazu przekazywana jest informacja, czy po udanej komunikacji nalezy "uporzadkowac" rozne zmienne, czyli: * - przesunac wskaznik na kolejne przeznaczone do wyslania 30 elementow tablicy 1024 licznikow rozmow zwiekszanych w zaleznosci od numeru serii karty (ale nie numeru karty w serii) - zwiekszyc licznik liczby polaczen z centrum nadzoru (!) - wyzerowac wartosci Partial licznikow statystyk polaczen - wykasowac przeslany juz kod powodu zgloszenia do centrum nadzoru - wyczyscic licznik platnych rozmow od ostatniego polaczenia z centrum nadzoru, ktory po przekroczeniu wartosci "CALLS NUM." spowoduje kolejna komunikacje - ustawic kod diagnostyczny 01 (Przeslano dane do centrum nadzoru) Jak widac, mozliwe jest podszycie sie pod centrum nadzoru bez wykrycia tego przez prawdziwe, gdyz mozemy nie porzadkowac podanych wyzej zmien- nych. Po drugie mozna wyslac do automatu rozkaz #00, ktory nic nie robi, ale uporzadkowac po nim zmienne (normalnie sluzy on do poszukiwania auto- matow, ktore dawno sie nie meldowaly do centrum nadzoru). Z powyzszego opisu wynika rowniez, ze jesli po dzwonieniu przy uzyciu karty serwisowej nie przywrocimy poprzednich ustawien automatu, to choc mozna mu zdalnie przywrocic zawartosc "FREE NUM. MENU" (i tak sie wlasnie dzieje - jesli suma kontrolna numerow bezplatnych sie nie zgadza, programowane sa orygi- nalne przy najblizszej komunikacji z centrum nadzoru), to odblokowanie opcji "16 KHz" jest niemozliwe! Wtedy przychodzi monter i przy okazji instaluje soft 3.0... N19.SPOSOB NA UNIEMOZLIWIENIE KOMUNIKACJI Z CENTRUM NADZORU Metoda ta pozwala zmusic automat do zapomnienia powodow zgloszenia do centrum nadzoru, ktore normalnie wymuszaja natychmiastowa komunikacje z centrum w przypadku zajscia waznych zdarzen. Dzieki niej mozemy np. wylaczyc komunikacje z centrum po otwarciu automatu. Ogolnie rzecz biorac mozna spowodowac zapomnienie dowolnych kodow powodow zgloszenia (opisanych w ktoryms z poprzednich rozdzialow). Metoda zostala teore- tycznie wymyslona przez Pita (to znaczy on jako pierwszy ja wymyslil), a nastepnie sprawdzona przeze mnie w oprogramowaniu oraz (wielokrotnie) praktycznie. Aby spowodowac zapomnienie wspomnianych kodow, nalezy za- programowac w "C90 MENU" pozycje "ENABLE C90" na "Disabled", a nastepnie ponownie na "Enabled". Przy zmianie tego ustawienia zerowana jest liczba kodow powodow zgloszenia i jedyny slad zdarzen pozostaje w "DIAGNOSTIC MENU". Wymazanie "DIAGNOSTIC MENU" i uzycie opisywanej metody spowoduje wiec, ze w centrum nadzoru nikt nigdy nie dowie sie o zaistnialych zda- rzeniach i najwyzej zauwazy wyzerowanie kodow diagnostycznych (czyli po- mysli, ze ktos bawil sie karta Programming). Jak wynika z softu, istnieje rowniez drugi sposob, choc mniej praktyczny, na osiagniecie powyzszego celu. Nalezy w "C90 MENU" zaprogramowac pozycje "NUM. C90" na pusta (trzy- mamy Redial przez 5 sekund), a nastepnie ponownie wejsc do "NUM. C90" i zaprogramowac wlasciwy numer do centrum nadzoru. Oczywiscie sprawa komplikuje sie, gdy zamieniamy EPROM na 5.8. Do uruchomienia menu polecam wtedy metode opisana przez Slammera w slammer.faq. N20.SPECIAL TEST MODE Poprzez przelaczenie jednej ze zworek na plycie glownej procesor jest uruchamiany w specjalnym trybie, ktory sie nazywa "Special Test Mode" * (standardowo procesor pracuje w trybie "Normal Expanded Mode"). Procesor 68HC11 posiada rejestr o nazwie CONFIG. W rejestrze tym wykorzystywane sa cztery mniej znaczace bity: - NOSEC - ustawienie go wylacza zabezpieczenie pamieci EEPROM i RAM przed niepowolanym dostepem; ustawiony na 1 - NOCOP - ustawienie go wylacza COP Watchdog System - system ten zawiera licznik, ktory zwieksza sie samoczynnie i po osiagnieciu pewnej wartosci resetuje procesor; oprogramowanie zeruje co jakis czas ten licznik, jednak gdy sie zawiesi, licznik przekroczy wartosc graniczna i procesor zostanie poprzez zresetowanie odwieszony; ustawiony na 0 - ROMON - ustawienie go wlacza wbudowana pamiec ROM procesora; ustawiony na 0 - EEON - ustawienie go wlacza wbudowana pamiec EEPROM procesora; ustawiony na 1 Jak widac, dla prawidlowej pracy automatu rejestr CONFIG musi miec wartosc 9. Uruchomienie procesora w "Special Test Mode" powoduje sprawdzenie wartosci tego rejestru i ewentualne ustawienie na 9, uzywane jest to przy wymianie procesora w automacie na nowy. Po uruchomieniu automatu pojawia sie: - "CONFIG OK" - gdy rejestr CONFIG ustawiony jest prawidlowo, - "CONFIG CPU" - gdy rejestr CONFIG ma nieprawidlowa wartosc. W tym momencie rejestr CONFIG jest programowany, a po zakonczeniu programowania pojawia sie: "PRESS RESET" i procesor zawiesza prace czekajac na zresetowanie. N21.BUFORY KLAWIATURY Automat posiada dwa bufory klawiatury. W pierwszym pamietane sa wszystkie klawisze, wlacznie z "*", "#" i Redial, a w drugim tylko cyfry. Obydwa bufory maja miejsce na 32 znaki. W zwiazku z tym klawisz Redial nie dziala, gdy wprowadzony numer jest dluzszy niz 32 cyfry. N22.INNE (NIZ 2.9) WERSJE OPROGRAMOWANIA Dostepne w sieci zawartosci EPROMow, choc w "SW VERSION MENU" wyswietlaja numery wersji tylko w postaci np. 2.9, posiadaja zakodowane dokladniejsze informacje na swoj temat (spis wedlug kolejnosci wprowadzania wersji do uzytku): - 1.8 -> brak 22.01.1993 - 2.0 -> 2.01 08.04.1993 - 2.6 -> 2.62 22.06.1995 - 2.7 -> 2.71 13.12.1995 - 2.8 -> 2.81 10.05.1996 - 2.9 -> 2.90 17.07.1997 - 5.8 -> 5.81 10.05.1996 !!?? - identycznie jak w 2.8 - 3.0 -> 3.00 17.02.2001 Jedyna roznica miedzy wersja 2.9 i 2.8 jest taka, ze do 2.9 wprowadzono liczbe automatycznie odbijanych sygnalow 12 kHz po numerze bezplatnym, po przekroczeniu ktorej automat zrywa polaczenie, nawet jesli teletaksa jest nieobecna. Polaczenie nie jest jednak zrywane, gdy automat jest nieczynny (a mozna przeciez wtedy czasami dzwnic na numery bezplatne). W wersji 2.8 natomiast nie bylo zadnego limitu, tak wiec korzystanie z karty serwisowej do rozmow bylo ulatwione o tyle, ze nie trzeba bylo blokowac opcji "16 KHz" w "TAXATION MENU". Tu wlasnie nasuwa sie jedyne sensowne zastosowanie teletaksy - jezeli zablokujemy opcje "16 KHz", automat bedzie ignorowal sygnaly 16 kHz, a wiec nie bedzie odsylal centrali 12 kHz i teletaksa zerwie polaczenie. W wersji 2.8 problem taki nie istnial, gdyz, jak juz napisalem (a wczesniej napisal Hrabia), blokowanie "16 KHz" nie bylo konieczne. Wersja 2.7 (i starsze) nie kasuje kart z podzielnikiem rownym #1 (maksy- malnie 200 jednostek) i pozwala sie oszukiwac na "rozmowe przychodzaca". Poza tym posiada blad, na ktory zwrocil mi uwage Nol, a ktory polega na tym, ze po zaprogramowaniu w EEPROMie wartosci domyslnych z EPROMu, na przyklad poprzez uzycie "DEFAULT MENU" (szerzej o tym wyzej w punkcie "Programowanie wartosci domyslnych w EEPROM"), jako pierwsza z pozycji "NATIONAL NUM." programuje sie cyfra "8" zamiast "0". Blad ten wystepuje takze we wszystkich wersjach starszych niz 2.7. Wersja 5.8 jest oparta na 2.8 (do tego stopnia, ze nawet daty w naglowku nie zmieniono...). Jak wszyscy wiedza, kasuje ona karty serwisowe ze starszych wersji. Pojawila sie nowa karta serwisowa Check58, a inne karty serwisowe nie istnieja. Poza tym, poniewaz w wersji 2.8, na ktorej oparta jest 5.8, nie istnieje ograniczenie liczby 12 kHz odsylanych do centrali po 16 kHz dla numeru bezplatnego i automat w zwiazku z tym nie zrywa po- laczenia, teoretycznie mozliwe jest wybranie numeru bezplatnego zanim po- jawi sie dialtone i pozniej, po pojawieniu sie dialtone, wybranie wlas- ciwego numeru za pomoca tone-dialera. Jednak obecnie, na cyfrowych cent- ralach, opoznienie dialtone po podniesieniu sluchawki jest malo realne, a jesli juz sie zdarzy, po chwili pojawia sie nie dialtone, a sygnal za- jetosci. Centrala analogowa z kolei czesto nie przyjmuje DTMF, tak wiec w praktyce metoda ta ma nikle szanse zastosowania. Charakterystyczna rze- cza jest odziedziczony po wersji 2.8 napis "USZKODZONY" (w miejsce napisu "NIECZYNNY" z wersji 2.9), co mozna w prosty sposob wykorzystac do roz- roznienia najpopularniejszych obecnie wersji oprogramowania: 2.9 od 5.8, szerzej o tym mozna przeczytac na stronie phreak.hack.pl. Poza tym nie zdradzilem jak dotad pewnej istotnej i interesujacej rzeczy, ale wielu ludzi juz dawno na to wpadlo (niektorzy nie calkiem swiadomie, naczytali sie bardzo starych tekstow i nie wiedzieli, ze pewne rzeczy sa dawno nie- aktualne :)). Mianowicie w wersji 5.8 z powrotem dziala metoda darmowego dzwonienia na "rozmowe przychodzaca"! Chcialbym tu zaznaczyc, ze wersja 5.8 jest bezposrednia przerobka wersji 2.8, a w wersji 2.8 metoda ta nie dzialala!!! Wniosek jest taki, ze osoba przerabiajaca soft celowo przyw- rocila ta metode do lask zmieniajac jeden z bajtow konfiguracyjnych! Wlasnie to rzucilo mi sie w oczy podczas porownania softu 5.8 i 2.8 i nie musze chyba opisywac mojego zdumienia, gdy pierwszy spotkany automat z softem 5.8 przypomnial mi bardzo dawne czasy :)) Cala wiec kosztowna operacja wymiany oprogramowania stracila sens zanim sie jeszcze zaczela i spowodowala tylko ulatwienie w dzwonieniu za darmo, bo o telefon komor- kowy znacznie latwiej dzis niz o karte serwisowa... I byc moze dlatego do najnowszej wersji (3.0) przylozono sie naprawde solidnie i dopilnowano, aby nie miala juz zadnych takich pulapek... Wersja 3.0 to najnowszy wynalazek, jest ona najlepiej zabezpieczona przed naduzyciami. Jest to zupelnie nowa kompilacja, a nie przerobka ktorejs z poprzednich wersji. Zmiany i zabezpieczenia dotyczace kart serwisowych (bardzo daleko idace) opisalem w rozdziale "Karty serwisowe w wersji 3.0". Druga bardzo wazna zmiana miala na celu uniemozliwienie korzystania z kart o nominalach 50 i 100 jednostek, w praktyce jednak uniemozliwila korzystanie z kart, ktore posiadaja wiecej niz 25 jednostek, niezaleznie od ich rodzaju. Innymi slowy mozliwe jest uzywanie karty 100-jednostkowej, na ktorej pozostalo mniej lub dokladnie 25 jednostek, natomiast niemozliwe jest uzywanie karty nagranej z podzielnikiem odpowiadajacym karcie 25-jed- nostkowej, ale posiadajacej 26 jednostek (zwiekszona liczba magnetycznych jedynek w trzeciej czesci karty - metoda opracowana przez Shadowa :)). Gdy karta posiada wiecej niz 25 jednostek, zatrzymuje sie na chwile tak jak karty serwisowe, po czym jest wyrzucana bez zadnego napisu na wyswiet- laczu. Karty z podzielnikiem odpowiadajacym karcie 200-jednostkowej (ale posiadajace np. 8 jednostek, czyli mniej niz 25) zostaja zaakceptowane, ale sa cale kasowane przy probie skasowania pierwszej jednostki (zupelnie jak w wersji 2.8, 2.9 i 5.8). Nie da sie tez dzwonic metoda na "rozmowe przychodzaca". Poza tym poprawiona zostala nieco obsluga ukladu zegara RTC (Philips) i czesciowo usuniety zostal kod odpowiadajacy za obsluge usunietych opcji menu. Dwie z procedur (w tym jedna zwiazana z kasowaniem jednostek) zupelnie zmienily miejsce w kodzie, moze dla utrudnienia ana- lizy porownawczej? Powrocil tez stary i nieistotny zbytnio blad polegajacy na tym, ze po zaprogramowaniu wartosci domyslnych w EEPROMie jako pierwsza z pozycji "NATIONAL NUM." w "DIAL MENU" programuje sie cyfra "8" zamiast "0" (o programowaniu wartosci domyslnych jest w ktoryms z powyzszych punk- tow). W wersji tej wystepuje tez napis "USZKODZONY", dlatego najlatwiej mozna ja odroznic od wersji 5.8 posiadajac karte z liczba jednostek wiek- sza niz 25. Ostatnia interesujaca rzecz to napis "OPEN/CLOSE DOOR", ktory pojawil sie przed standardowymi napisami "DEFAULT MENU", ale nie jest nigdzie wykorzystywany. Byc moze mial on sluzyc do dodatkowego zabezpie- czenia przed programowaniem wartosci domyslnych, a byc moze mial byc wys- wietlany po uzyciu kart serwisowych wymagajacych otwarcia i zamkniecia automatu... Na koniec mala uwaga praktyczna: jesli mamy karte np. 100-jed- nostkowa z wieksza niz 25 liczba pozostalych jednostek, to aby moc ja jeszcze wykorzystac, nalezy przeciac pasek magnetyczny w miejscu odpowia- dajacym 25 jednostkom, wtedy automat nie wezmie pod uwage zapisu poza przecieciem i zaakceptuje karte (za pierwszym razem karta zostanie wyrzu- cona jako nieczytelna, trzeba ponowic probe). N23.NOWY CZYTNIK I OPROGRAMOWANIE DO NIEGO (3.0?) Ostatnimi czasy pojawila sie nowa konstrukcja czytnika wraz z nowym opro- gramowaniem, poki co rzadko spotykana. Nowy czytnik posiada mozliwosc przesuwania karty zarowno do przodu jak i do tylu - dzieki temu posiadl on mozliwosc fizycznego kasowania jednostek z karty na biezaco podczas roz- mowy (zamiast kasowac je dopiero przy wyrzucaniu karty). Dzwiek wydawany przez nowy czytnik rozni sie nieco od standardowego. Zgodnie z tym, co powiedzial mi Shadow, mozliwosc przesuwania karty w obu kierunkach musia- la wymusic zmiany w elektronice czytnika oraz oczywiscie w programie strujacym jego praca. Do zmian czysto software'owych nalezy zaliczyc sprawdzanie podzielnika karty i nieakceptowanie kart z podzielnikami odpowiadajacymi liczbie jednostek wiekszej od 25. Dzieki temu karty nagrane z podzielnikiem odpo- wiadajacym maksymalnej liczbie np. 100 jednostek, na ktorych pozostalo 25 jednostek lub mniej, nie sa juz akceptowane (tak jak mialo to miejsce przy starym czytniku i programie plyty glownej 3.0) - dzialanie to zostalo wymierzone w osoby nagrywajace karty na czesciowo zniszczonych nosnikach. Druga wazna zmiana to wprowadzenie dodatkowego algorytmu sprawdzania pra- widlowosci zapisu kart - dzieki temu wiekszosc kart nagrywanych prywatnie przestala byc akceptowana, dotyczy to nawet kart zielonych prawidlowo dzialajacych na automatach srebrnych (o kartach zielonych jest napisane w dziale o srebrnym Urmecie). Nalezy dodac, ze mimo wprowadzonych zmian mozliwe jest korzystanie nie tylko z kart zielonych, ale i czerwonych - oczywiscie tych, ktorych zapis jest zgodny w wprowadzonym nowym algoryt- mem. Byc moze wspomniany nowy algorytm to nic innego jak wbudowana w czyt- nik aktualna biala lista, zawierajaca dozwolone zakresy numerow kart - choc to akurat jest malo realne, gdyz biala lista powinna byc jednakowa zarowno dla automatow niebieskich, jak i dla srebrnych. N24.NAPISY Jest jeszcze kilka napisow (oprocz znanych powszechnie), ktore nie zostaly omowione ani powyzej, ani u Hrabiego w menu.txt: - "W NAPRAWIE"/"MAINTENANCE" - takie dwa napisy pojawiaja sie na zmiane po otwarciu automatu, a po nacisnieciu "#" wyswietla sie menu takie, jak po uzyciu karty "Maintenance". - "O.S.: KO RAM" - taki napis pojawia sie, gdy pamiec RAM jest niesprawna lub po prostu jej ukladu nie ma w automacie. - "x " - napis ten, a dokladnie 5 pikseli ulozonych w krzyzyk w lewym gornym rogu wyswietlacza, przestal byc zagadka! Kiedy po przekroczeniu liczby rozmow okreslonej w "CALLS NUM." lub zajsciu zdarzenia wymagajacego natychmiastowego poinformowania automat probuje nawiazac polaczenie z centrum nadzoru i mu sie to nie uda, np. z powodu zajetej linii centrum nadzoru, zapamietuje ten fakt i po uplynieciu pewnego czasu ponownie probuje nawiazac polaczenie. Wlasnie wtedy, podczas nawiazywania polaczenia, wyswietlany jest ten napis. - "DISABLED CARD" - ten napis tez jest dziwny; nie jest on w ogole wykorzystywany i wystepuje w zupelnie w innym miejscu programu niz wszystkie inne napisy. Byc moze mial byc uzywany w przypadku proby uzycia karty o niewlasciwym (zablokowanym) numerze serii. - "REMOVE CARD", "THANK YOU" - te napisy mozna obejrzec przy uruchamianiu pelnego menu serwisowego metoda opisana przez Slammera (slammer.faq) - normalnie po wyswietleniu ich polskich odpowiednikow automat zmienia napis lub wylacza wyswietlacz i wersje angieskie nie zdazaja sie wyswietlic. - "OPEN/CLOSE DOOR" - napis ten pojawil sie w sofcie 3.0, byc moze mial on sluzyc do dodatkowego zabezpieczenia przed uzyciem "DEFAULT MENU", a byc moze mial byc wyswietlany po uzyciu wiekszosci z kart serwisowych jako informacja o koniecznosci podjecia dodatkowych dzialan :) W efekcie koncowym nie sluzy on do niczego (nie jest wykorzystywany). N25.INSTRUKCJA WYMIANY EPROMU Ponizsze informacje sa sprawdzone praktycznie i czesciowo oparte na dos- wiadczeniach Nola. Przy prawidlowym wykonaniu gwarantuja 100% niezauwa- zalnosci wymiany EPROMu z poziomu centrali. Otoz aby wymienic pamiec EPROM, nalezy przede wszystkim otworzyc automat. Dobra wiadomoscia jest to, ze mozemy uniknac ustawienia kodu diagnostycznego 13 oznaczajacego otwarcie automatu. Czujnik otwarcia znajduje sie u dolu po lewej stronie. Jezeli po przekreceniu zamka lekko uchylimy drzwiczki z prawej strony tak, zeby ich lewa krawedz dalej byla docisnieta do obudowy, mozemy przez pow- stala szpare wlozyc reke i odlaczyc kabelek czujnika. Jest on wpiety gdzies w srodku plyty glownej i jego znalezienie nie stanowi problemu. Po odlaczeniu czujnika automat caly czas mysli, ze jest zamkniety. W po- dobny sposob mozemy pozniej podlaczyc czujnik przy zamykaniu automatu. Nastepnie PRZY ODLOZONEJ SLUCHAWCE otwieramy drzwiczki do konca i dla pewnosci resetujemy automat. Teraz juz mozemy spokojnie wymienic EPROM. Sens tej metody jest nastepujacy: Nol dokonal slusznego spostrzezenia, ze przy odwieszonej sluchawce i zamknietych drzwiczkach (lub odpietym czujniku otwarcia :) procesor nie pracuje i automat jest uspiony. Budzi sie dopiero po wlaczeniu sie czujnika otwarcia drzwiczek lub podniesieniu sluchawki. Raz na jakis czas (rzedu godziny) budzi sie tez zeby sprawdzic, czy nie ma czegos do przekazania do centrum nadzoru w przypadku, gdyby wczesniej polaczenie z centrum nadzoru sie nie powiodlo. A wiec gdy auto- mat spi, mozna bez zadnych negatywnych konsekwencji wyjac EPROM i wlozyc nowy. Nastepnie dla pewnosci resetujemy automat, przymykamy drzwiczki tak, aby oszukac czujnik otwarcia, podpinamy kabelek tegoz czujnika i zamykamy automat. Nalezy tylko pamietac o tym, zeby sluchawka byla caly czas od- wieszona. I to cala filozofia :) Jeszcze pare rad praktycznych: - Do otwierania automatow w zimie dobrze jest wziac sobie odmrazacz do zamka... (no i klucze :) - Jezeli wymieniamy EPROM tylko na probe i chcemy pozniej przywrocic oryginalny, duzym ulatwieniem jest wlozenie naszego probnego EPROMu w podstawke do ukladow scalonych i dopiero z ta podstawka na plyte glowna. Kazdy, kto choc raz wymienial EPROM wie, ze wlozenie wszystkich nozek naraz moze byc problemem - podane rozwiazanie jest duzym ulatwieniem. - Jezeli chcemy wymienic uklad na stale, dobrze jest pomyslec nad naklejka na uklad taka jak oryginalna albo przynajmniej zakleic okienko kwarcowe zwykla nalepka celem zapobiezenia rozprogramo- waniu sie EPROMu. - Dobrze jest pamietac, ze przy zmianie wersji EPROMu programowane sa domyslne ustawienia konfiguracyjne. Co z tego wynika i jak z tym walczyc opisalem gdzies wyzej w rozdziale "Programowanie wartosci domyslnych w EEPROM". - Jezeli z jakichs wzgledow potrzebujemy wlaczyc pelne menu serwisowe w uszkodzonym automacie (wtedy czytnik nie przyjmuje kart i nie da sie wlozyc Programminga), mozna do uruchomienia menu wykorzystac metode opisana w slammer.faq przez Slammera :) - Zamiast meczyc sie z odlaczaniem kabelka czujnika otwarcia, mozna otworzyc automat nie zwazajac na czujnik, nastepnie dopiero wtedy odlaczyc czujnik, wykonac reset, wymienic EPROM, powtornie zresetowac automat dla pewnosci, podlaczyc kabelek czujnika i zamknac automat. Pozostaje tylko jeden problem - automat zechce zadzwonic do centrum nadzoru. Aby mu to wyperswadowac, nalezy uzyc metody opisanej we wczesniejszym rozdziale "Sposob na uniemozliwie- nie komunikacji z centrum nadzoru". Nalezy sie tylko pospieszyc, aby po zamknieciu automatu nie zdazyl on rozpoczac komunikacji... Dobrze jest wtedy wymazac tez kody diagnostyczne, zeby do centrum nadzoru nie trafil kod 13 (otwarcie automatu) - TPSA pomysli wtedy najwyzej, ze ktos bawil sie karta serwisowa. Gorzej, gdy wymieniany EPROM to 5.8, wtedy wymazanie kodow diagnostycznych jednoznacznie sugeruje, ze nie zrobiono tego karta serwisowa... N26.ZAKLOCANIE AUTOMATU TELEFONEM KOMORKOWYM Kiedys potrzebowalem numer automatu, wiec zadzwonilem z niego na swoja komorke, ktora lezala na automacie po prawej stronie nad czytnikiem. Kiedy komorka zaczela sie laczyc, karta nagle wypadla i automat stwier- dzil, ze jest zepsuty. Po dluzszym nacisnieciu widelek wszystko wrocilo do normy, popatrzylem wiec do kodow diagnostycznych, a tam ustawiony kod 84 "Proba oszustwa wykryta magnetycznie; glowica magnetyczna wykryla probe wyjecia karty przed zakonczeniem rozmowy". Okazalo sie, ze laczaca sie z siecia komorka skutecznie oglupila automat, ktory myslal, ze chce go oszukac. Moje szczescie polegalo na tym, ze wczesniej nigdzie z tej karty nie dzwonilem. Gdybym dzwonil, procesor czytnika, wiedzac, ze z karty nalezy przy wyrzucaniu skasowac jakies jednostki, po wystapieniu "proby oszustwa" skasowalby cala karte... A tak po prostu ja wyrzucil bez kasowania czegokolwiek. Wniosek jest stad taki, ze gdy dzwonimy uzywajac karty, nie powinnismy klasc swojej komorki na automacie, a zwlaszcza nad czytnikiem, gdyz jesli podczas naszej rozmowy ktos zadzwoni do nas na komorke, automat rozlaczy nas i skasuje nam przy tym cala karte. Dotyczy to oczywiscie tylko automatow niebieskich i zdarza sie gdzies w jednej piatej z nich. N27.DOSWIADCZENIE Kiedys podobno dzialalo cos takiego, ze gdy kredyt dobiegal do zera i wlozylo sie w ramach wymiany pusta karte, to automat dawal sie oszukac. Nie sprawdzalem tego w starych wersjach oprogramowania, ale postanowilem sprawdzic cos innego: co sie stanie, gdy przy wymianie wlozy sie karte serwisowa? Okazalo sie, ze nie stalo sie nic specjalnego: automat zerwal polaczenie i wyswietlil menu... N28.PODSUMOWANIE Odnosnie niebieskich automatow chyba wszystko juz zostalo wymyslone, a ich zywot powoli dobiega konca, choc pojedyncze egzemplarze, zwlaszcza w budynkach roznych firm i instytucji, pewnie jeszcze dlugo beda dawaly spore mozliwosci dzwonienia za darmo... :) ============ CZESC II - Urmet srebrny TPE 97/U =============================== S1. WSTEP Opisane ponizej zagadnienia sa wynikiem moich prac nad softem srebrnego Urmeta wspieranych pomoca kolegow po fachu. Zadziwiajace, jak wiele mozna osiagnac w ciagu kilkunastu tygodni przy wspolpracy z paroma znajacymi sie na rzeczy osobami i uzywajac dobrego deasemblera, a od czasu do czasu zer- kajac tez do instrukcji automatu i centrum nadzoru. Jesli masz dokladniej- sze informacje na tematy opisane ponizej lub znalazles jakies bledy lub niescislosci, chetnie zamieszcze uaktualnienie. S2. OGOLNA BUDOWA PROGRAMU Program plyty glownej napisany jest w jezyku wysokiego poziomu i podzielo- ny jest na bloki, z ktorych pierwszy blok to tzw. program bootujacy, ktory sprawdza integralnosc bloku glownego programu i w razie jego uszkodzenia moze sciagnac go z centrum nadzoru (STG97). Drugi blok to program glowny, jest on chroniony suma kontrolna, zawiera miedzy innymi tablice dekodujace dla algorytmu DES, napisy w szesciu jezykach uzywane przez automat (choc teoretycznie na napisy przewidziany jest osobny blok w pamieci FLASH/plik w centrum nadzoru) i oczywiscie wszystkie procedury do obslugi automatu. Uproszczone wersje wielu procedur z bloku glownego znajduja sie w bloku bootujacym, w zakresie pozwalajacym na komunikacje z centrum nadzoru i zaprogramowanie sciagnietych danych w pamieci FLASH, a takze kodowanie danych algorytmem DES. Pozostale bloki to dane konfiguracyjne. Kazdy blok moze byc osobno sciagniety z centrum nadzoru, gdzie znajduje sie w osobnym pliku. Dane znajdujace sie w pamieci FLASH nie sa w zaden sposob kodowane i nadaja sie wprost do deasemblacji. Najlepszym do tego celu narzedziem jest IDA - The Interactive Disassembler, a dzien wlozony w nauke tego narzedzia zwroci sie dnia nastepnego :) Prawde mowiac, nie wyobrazam sobie deasemblowania takiej ilosci kodu jakims innym prostszym deasemblerem. IDA mozna sciagnac ze strony Hrabiego - phreak.hack.pl. Do obslugi automatu uzywany jest mikrokontroler Hitachi H8-3003, posiada on przestrzen adre- sowa 16MB. Budowa programu jest dosc elastyczna, w pamieci RAM istnieje tablica adresow najwazniejszych funkcji wraz z miejscem na parametry ich wywolania. Tablica ta inicjalizowana jest przez program bootujacy, pozniej niektore funkcje sa podmieniane na bardziej rozbudowane przez program glowny, a pozniej uzywane sa tylko odwolania do tej tablicy (troche mi to przypomina tabele metod wirtualnych w programowaniu obiektowym). Tak wiec przejecie inicjalizacji tablicy pozwala na zamiane wywolania danej funkcji na inna funkcje od razu w calosci programu :) Przy rozpoczynaniu deasem- blacji powstaje problem od czego zaczac. Dobrym punktem zaczepienia w na- szym przypadku moga byc napisy wyswietlane przez automat. Niestety, proby wyszukania w kodzie bezwzglednych adresow napisow nie daly zadnego rezul- tatu, zastosowalem wiec inne podejscie. Napisy kolejnych wersji jezykowych przesuniete sa wzgledem siebie o staly offset, ktorego wartosc musi byc uzywana przez procedure zmieniajaca biezacy jezyk napisow. No i nie pomy- lilem sie :) W ten sposob doszedlem do procedury wyswietlajacej zadany napis, a wiedzac, gdzie i pod jakim warunkiem co sie wyswietla, mozna juz zrobic wszystko. I jeszcze jedna bardzo wazna uwaga: mikrokontroler Hita- chi H8-3003 posiada architekture i liste instrukcji oparte na uP Motorola 68000, a z tego wynika bardzo wazna rzecz: kazda instrukcja ma dlugosc wyrazona przez parzysta liczbe bajtow i kazda instrukcja musi sie zaczynac pod parzystym adresem! Rowniez odczyt lub zapis zmiennej o dlugosci slowa lub podwojnego slowa musi nastepowac pod parzyste adresy. Zmienne o roz- miarze bajtu moga byc umieszczane pod adresami nieparzystymi. Jesli nie spelnimy tych warunkow, spowodujemy blad adresowania i prawdopodobnie rowniez crash systemu czytaj automatu. S3. WYJATKI Ponizej znajduje sie krotki wykaz wyjatkow uzywanych przez oprogramowanie. Pozostale w mniej lub bardziej skomplikowany sposob nie robia dokladnie nic. Na poczatku wiersza znajduje sie adres wektora wyjatku, pozniej numer wyjatku wraz z adresem wskazywanym przez wektor wyjatku (w nawiasach kwad- ratowych), a na koncu krociutki opis. 0x000000: Exception 0x00 [0x001000] - RESET 0x000034: Exception 0x0D [0x001D22] - IRQ 1 - Przerwanie zewnetrzne 1 0x000038: Exception 0x0E [0x001D5A] - IRQ 2 - Przerwanie zewnetrzne 2 0x00003C: Exception 0x0F [0x001D92] - IRQ 3 - Przerwanie zewnetrzne 3 0x000090: Exception 0x24 [0x001E84] - IMIA 3 - Przerwanie zegarowe wywolywane co 5 milisekund 0x0000B0: Exception 0x2C [0x002020] - DEND 0A - Kontroler DMA: koniec przesylania danych kanalem 0A 0x0000D0: Exception 0x34 [0x001F80] - RECEIVE ERROR 0 - Interfejs SCI kanal 0: komunikacja z czytnikiem: blad odczytu bajtu 0x0000D4: Exception 0x35 [0x001F8C] - RECEIVE DATA FULL 0 - Interfejs SCI kanal 0: komunikacja z czytni- kiem: otrzymano bajt 0x0000E0: Exception 0x38 [0x001F9C] - RECEIVE ERROR 1 - Interfejs SCI kanal 1: komunikacja z modemem: blad odczytu bajtu 0x0000E4: Exception 0x39 [0x001FD2] - RECEIVE DATA FULL 1 - Interfejs SCI kanal 1: komunikacja z mode- mem: otrzymano bajt 0x0000E8: Exception 0x3A [0x002000] - TRANSMIT DATA EMPTY 1 - Interfejs SCI kanal 1: komunikacja z mode- mem: pusty rejestr danych wysyla- nych do modemu 0x0000F0: Exception 0x3C [0x0020F4] - A/D CONVERSION COMPLETE - Zakon- czono przetwarzanie A/D (np. od- czyt temperatury zewnetrznej). S4. REJESTRY UKLADOW PERYFERYJNYCH Mikrokontroler, jak sama nazwa wskazuje, zawiera w swojej obudowie oprocz mikroprocesora rowniez zintegrowane uklady peryferyjne. Ponizej umiescilem odwzorowanie rejestrow ukladow peryferyjnych w przestrzen adresowa mikro- kontrolera Hitachi - tak jak jest to w automacie (zebranie tych informacji w jedna calosc wcale nie bylo takie proste). Po dokladniejsze informacje na temat rejestrow i ukladow peryferyjnych odsylam do danych producenta. Na poczatku znajduje sie adres, pod jakim widoczny jest rejestr, pozniej nazwa rejestru, a na koncu nazwa ukladu peryferyjnego, do ktorego nalezy dany rejestr. @0xFFFFFF27: Rejestr ? @0xFFFFFF2F: Rejestr ? @0xFFFFFF60: Rejestr TSTR - ITU (all channels) @0xFFFFFF61: Rejestr TSNC - ITU (all channels) @0xFFFFFF62: Rejestr TMDR - ITU (all channels) @0xFFFFFF63: Rejestr TFCR - ITU (all channels) @0xFFFFFF64: Rejestr TCR0 - ITU channel 0 @0xFFFFFF65: Rejestr TIOR0 - ITU channel 0 @0xFFFFFF66: Rejestr TIER0 - ITU channel 0 @0xFFFFFF6E: Rejestr TCR1 - ITU channel 1 @0xFFFFFF6F: Rejestr TIOR1 - ITU channel 1 @0xFFFFFF70: Rejestr TIER1 - ITU channel 1 @0xFFFFFF78: Rejestr TCR2 - ITU channel 2 @0xFFFFFF79: Rejestr TIOR2 - ITU channel 2 @0xFFFFFF7A: Rejestr TIER2 - ITU channel 2 @0xFFFFFF82: Rejestr TCR3 - ITU channel 3 @0xFFFFFF83: Rejestr TIOR3 - ITU channel 3 @0xFFFFFF84: Rejestr TIER3 - ITU channel 3 @0xFFFFFF85: Rejestr TSR3 - ITU channel 3 @0xFFFFFF87: Rejestr TCNT3L - ITU channel 3 @0xFFFFFF90: Rejestr TOER - ITU (all channels) @0xFFFFFF91: Rejestr TOCR - ITU (all channels) @0xFFFFFF92: Rejestr TCR4 - ITU channel 4 @0xFFFFFF93: Rejestr TIOR4 - ITU channel 4 @0xFFFFFF94: Rejestr TIER4 - ITU channel 4 @0xFFFFFF97: Rejestr TCNT4L - ITU channel 4 @0xFFFFFFAB: Rejestr RSTCSR - WDT @0xFFFFFFB0: Rejestr SMR - SCI channel 0 @0xFFFFFFB1: Rejestr BRR - SCI channel 0 @0xFFFFFFB2: Rejestr SCR - SCI channel 0 @0xFFFFFFB3: Rejestr TDR - SCI channel 0 @0xFFFFFFB4: Rejestr SSR0 - SCI channel 0 @0xFFFFFFB5: Rejestr RDR0 - SCI channel @0xFFFFFFB8: Rejestr ? @0xFFFFFFB9: Rejestr ? @0xFFFFFFBA: Rejestr ? @0xFFFFFFBB: Rejestr ? @0xFFFFFFBC: Rejestr SSR1 - SCI channel 0 @0xFFFFFFBD: Rejestr RDR1 - SCI channel 0 @0xFFFFFFC5: Rejestr P4DR/P4DDR - port 4 @0xFFFFFFC7: Rejestr ? @0xFFFFFFC8: Rejestr P5DR/P5DDR - port 5 @0xFFFFFFC9: Rejestr P6DR - port 6 @0xFFFFFFCA: Rejestr ? - port 6 @0xFFFFFFCB: Rejestr P6DR - port 6 @0xFFFFFFCD: Rejestr P8DDR - port 8 @0xFFFFFFCE: Rejestr P7DR - port 7 @0xFFFFFFCF: Rejestr P8DR - port 8 @0xFFFFFFD0: Rejestr P9DDR - port 9 @0xFFFFFFD1: Rejestr PADDR - port A @0xFFFFFFD2: Rejestr P9DR - port 9 @0xFFFFFFD3: Rejestr PADR - port A @0xFFFFFFD4: Rejestr PBDDR - port B @0xFFFFFFD5: Rejestr PCDDR - port C @0xFFFFFFD6: Rejestr PBDR - port B @0xFFFFFFD7: Rejestr PCDR - port C @0xFFFFFFE0: Rejestr ADDRAH - A/D converter @0xFFFFFFE2: Rejestr ADDRBH - A/D converter @0xFFFFFFE4: Rejestr ADDRCH - A/D converter @0xFFFFFFE6: Rejestr ADDRDH - A/D converter @0xFFFFFFE8: Rejestr ADCSR - A/D converter @0xFFFFFFEC: Rejestr ? - bus controller @0xFFFFFFED: Rejestr ASTCR - bus controller @0xFFFFFFEE: Rejestr WCR - bus controller @0xFFFFFFEF: Rejestr WCER - bus controller @0xFFFFFFF2: Rejestr SYSCR - system control @0xFFFFFFF3: Rejestr ? - system control @0xFFFFFFF4: Rejestr ISCR - interrupt controller @0xFFFFFFF5: Rejestr IER - interrupt controller @0xFFFFFFF6: Rejestr ISR - interrupt controller @0xFFFFFFF8: Rejestr IPRA - interrupt controller @0xFFFFFFF9: Rejestr IPRB - interrupt controller S5. KODY KLAWIATURY Ponizej przedstawilem kody klawiatury automatu: 0x0023: # 0x002A: * 0x0030: 0 ... 0x0039: 9 0x3B00: A 0x3C00: B 0x3D00: C 0x3E00: D 0x3F00: TRL - FC (Nastepne polaczenie) 0x4000: RP - RD (Redial) 0x4100: LIN - Zmiana jezyka 0x4200: VOL - Zmiana glosnosci 0x4300: TC - Wymiana karty S6. PAMIECI ZNAMIONOWE (BOLLINO) I METRYCZKA APARATU W automacie znajduje sie 5 pamieci znamionowych tzw. bollino w 5 najwaz- niejszych modulach automatu. Sa to male (256 bajtow) pamieci szeregowe EEPROM 24C02 z interfejsem I2C ("I kwadrat C"), kazda z tych pamieci zawiera 11 bajtow danych, ktore jednoznacznie identyfikuja dany modul. Teoretycznie program plyty glownej ma mozliwosc zmieniania zawartosci tych pamieci, w praktyce ogranicza sie tylko do ich odczytu (co jest zrozumiale). Obok kazdej z pamieci podany jest adres, pod jakim pamiec jest widziana na szynie I2C: I2C 0xFF: Bollino CZYTNIK - 11 bajtow danych I2C 0x01: Bollino KLAWIATURA - 11 bajtow danych I2C 0x02: Bollino MIKROTELEFON - 11 bajtow danych I2C 0x03: Bollino WYSWIETLACZ - 11 bajtow danych I2C 0x04: Bollino PLYTA GLOWNA - 11 bajtow danych Oprocz wymienionych wyzej pamieci znamionowych na plycie glownej znajduje sie rowniez pamiec szeregowa EEPROM I2C (prawdopodobnie 24C08 - 1024 baj- ty) zawierajaca najwazniejsze ustawienia automatu, ktore umozliwiaja na- wiazanie polaczenia z centrum nadzoru nawet w przypadku utraty danych konfiguracyjnych zapisanych w pamieci FLASH automatu: I2C 0x05: Metryczka aparatu - 43 bajty danych Dane w metryczce wygladaja nastepujaco: 0x00..0x01 - prefiks aparatu w kodzie BCD 0x02..0x07 - numer aparatu w kodzie BCD 0x08..0x09 - nieuzywane 0x0A - aktywnosc STG: 0x00 = STG aktywne, inne = STG nieaktywne (tak, 0 oznacza aktywnosc) 0x0B - offset cyfry 0x0D w prefiksie STG. Normalnie cyfry zawieraja sie w przedziale 0x01..0x0A (0x0A odpowiada cyfrze "0"). Cyfra 0x0D ma specjalne znaczenie i prawdo- podobnie oznacza, ze w miejscu jej wystapienia automat powinien zrobic krotka przerwe w wybieraniu numeru (oczekiwanie na sygnal centrali miedzymiastowej) 0x0C..0x0D - prefiks STG1 (pierwszego STG) w kodzie BCD 0x0E..0x15 - numer STG1 (pierwszego STG) w kodzie BCD 0x16..0x17 - prefiks STG2 (drugiego STG) w kodzie BCD 0x18..0x1F - numer STG2 (drugiego STG) w kodzie BCD 0x20..0x28 - nieuzywane 0x29 - rodzaj wybierania: 0x00 = Pulse, 0x80 = DTMF 0x2A - predkosc modemu: 0x00 = 1200 bps, inne = 2400 bps Dane w metryczce sa aktualizowane podczas sciagania z STG pliku z kon- figuracja oraz podczas zmiany odpowiednich ustawien w menu automatu. S7. KARTY ZWYKLE Srebrny automat porzadkuje sobie karty w 64 emisje po 256 serii z 65536 kartami w serii (wyciagniete z softu przez Nola). Rodzaj karty jest roz- poznawany przez modul czytnika, plyta glowna otrzymuje tylko gotowe dane odczytane z karty wraz z informacja o jej rodzaju. Karty zagranicznych operatorow sa odrzucane, przy czym jezeli na karcie takiej znajduja sie jednostki, automat wypisuje "KARTA NIEWAZNA", a jesli jednostek nie ma - "KARTA ZUZYTA". Jest siedem rodzajow kart zwyklych (z jednostkami) roz- poznawanych przez srebrne automaty: a) Karta magnetyczna czerwona Jest to zwykla najstarsza karta magnetyczna, mozliwe sa 4 emisje po 256 serii z 65536 kartami w serii. Dokladniejszy ich opis znajduje sie w rozdziale "Karty Zwykle" w Czesci I. Automat srebrny nie rozroznia kart w jendostkach taryfikacyjnych i w jednostkach Tax Value, takie rozroznienie nie jest mu zreszta do niczego potrzebne, gdyz nie posiada on odpowiednika wartosci Tax Value z niebieskiego Urmeta. Karta czerwo- na jest od pewnego juz czasu zablokowana na srebrnych automatach. b) Karta magnetyczna zielona Jest to nowszy rodzaj karty magnetycznej, mozliwe sa 64 emisje po 256 serii z 65536 kartami w serii. Poza tym karty te roznia sie od kart zielonych innym sposobem nagrania niektorych jedynek, o czym bolesnie przekonali sie ostatnio (po zablokowaniu przez TPSA kart czerwonych na srebrnych automatach) wszyscy ci, ktorzy produkuja sobie karty. Odpo- wiedni algorytm zostal juz jednak zlamany :) (nie przeze mnie!). UWAGA! Algorytm ten miesci sie w programie czytnika, a nie plyty glownej. c) Karta elektroniczna niebieska Jest to karta elektroniczna o niestandardowym formacie zapisanych na niej danych. Kart tych nie ma w obiegu i sa zablokowane. Istnieje moz- liwosc wlaczenia nastepujacego zapezpieczenia dla tych kart: niektore bajty z karty zostaja zakodowane odpowiednim kluczem DES i wynik kodo- wania zostaje porownany znowu z odpowiednimi bajtami na karcie. Jezeli wartosci beda identyczne, karta jest akceptowana. W sofcie istnieje tablica, w ktorej sa zawarte wspomniane klucze DES, osobny klucz dla kazdej serii kart. Obecnie tablica ta jest cala pusta, czyli zabezpie- czenie to jest wylaczone. d) Karta magnetyczna niebieska Jest to karta magnetyczna o zupelnie nietypowym jak na karte magne- tyczna formacie danych - zawiera ona 16 bajtow danych identycznych, jak w opisanej podpunkt wyzej karcie elektronicznej! Bez zadnych sum kontrolnych i algorytmow zabezpieczajacych!!! Istnieje mozliwosc zabezpieczenia tych kart dodatkowym algorytmem (tym z DES-em), takim samym jak dla karty elektronicznej niebieskiej. Karty te sa wylaczone z obiegu. e) Karta elektroniczna OTO Lublin Jest to karta elektroniczna o standardowym formacie zapisanych na niej danych. Karty te sa uzywane coraz powszechniej w Polsce. Posiadaja one wlasciwosc, o ktorej malo kto slyszal. Mianowicie na karcie moze byc zapisany maksymalnie 12-cyfrowy numer telefoniczny! Jezeli numer ten * nie jest pusty i nie znajduje sie na liscie numerow zablokowanych, po wlozeniu karty do automatu zostanie on automatycznie wybrany. Nie ma mozliwosci wybrania innego numeru. Teoretycznie moze byc to przydatne np. dla firmy, ktora daje karte pracownikowi, zeby jej nie zuzyl na * niecne cele :) Nie stosuje sie jednak tego rozwiazania, gdyz polskie * karty zawieraja drugi klucz kryptograficzny i w zwiazku z tym nie ma * juz na nich miejsca na numer telefoniczny (patrz nizej do rozdzialu * "Format danych kart elektronicznych" - opis bajtow 22..27). f) Karta elektroniczna RUCH 1 * Jest to karta elektroniczna o standardowym formacie zapisanych na niej * danych. Karty te sa uzywane za granica. Jako karty RUCH 1 (wzglednie * RUCH 2) kwalifikowane sa karty nie rozpoznane jako karty elektroniczne * niebieskie, serwisowe lub OTO Lublin (patrz nizej do rozdzialu "Algo- * rytm rozpoznawania rodzaju karty elektronicznej"). g) Karta elektroniczna RUCH 2 * Analogicznie jak karta RUCH 1 - patrz wyzej. S8. ALGORYTM ROZPOZNAWANIA RODZAJU KARTY ELEKTRONICZNEJ * Rodzaj karty jest rozpoznawany przez modul czytnika, tak wiec softem czyt- * nikow (automatow srebrnego i jajka) wspomagalem sie przy pisaniu tego roz- * dzialu. Rodzaje kart sa opisane w rozdzialach "Karty zwykle" oraz "Karty * serwisowe". Algorytm rozpoznawania rodzaju karty wyglada nastepujaco: * * 1) Czy DaneZKarty[0,1] = 0x97,0x74 albo 0x05,0xF4 albo 0x97,0xCC * NIE - 2) * TAK - Karta elektroniczna OTO Lublin * * 2) Czy DaneZKarty[0,1] = 0x17,0x04 (porownania tego dokonuje wylacznie * program czytnika w automacie srebrnym, tak wiec jajko nie rozpoznaje * kart elektronicznych niebieskich) * NIE - 3) * TAK - Karta elektroniczna niebieska * * 3) Czy DaneZKarty[0,1] = 0x19,0xC4 * NIE - Karta RUCH 2 * TAK - 4) * * 4) Czy DaneZKarty[3] xor DaneZKarty[4] xor DaneZKarty[5] xor * DaneZKarty[6] xor DaneZKarty[7] = 0 * NIE - Karta serwisowa, typ karty = (DaneZKarty[5] and #0x0F) * TAK - Karta RUCH 1 * * Oczywiscie jest to sprawdzenie wstepne, karty elektroniczne niebieskie, * serwisowe i OTO Lublin (czyli te, ktore sa przewidziane do uzytku w Pols- * ce) musza spelnic jeszcze dodatkowe warunki przed ich ostatecznym zaakcep- * towaniem - patrz rozdzialy "Zabezpieczenia kart zwyklych", "Zabezpieczenia * kart serwisowych" oraz "Format danych kart elektronicznych". S9. LISTY KART Automat posiada dwie listy kart, ladowane zdalnie z centrum nadzoru: a) Biala lista kart Zawiera ona dopuszczone do obiegu numery emisji kart oraz dla kazdej emisji dozwolone w niej numery serii. b) Czarna lista kart Zawiera ona dane wylaczonych z obiegu kart. Opis kazdej karty zawiera jej numer emisji, numer serii oraz numer kolejny w serii. Na powyzsze listy wpisywane sa tylko karty zwykle (z jednostkami). Karta moze byc zaakceptowana tylko wtedy, gdy jej numer emisji i serii znajduje sie na bialej liscie i jej dane nie figuruja na czarnej liscie kart. S10.ZABEZPIECZENIA KART ZWYKLYCH Zapis kart magnetycznych chroniony jest odpowiednimi sumami kontrolnymi i (w kartach zielonych) innym sposobem zapisu niektorych jedynek wedlug dodatkowego algorytmu. Jak powszechnie wiadomo, zabezpieczenia te nie sa wystarczajace :) Ostatnio nawet pojawily sie karty od poczatku do konca robione poza TPSA, lacznie z plastikiem i paskiem magnetycznym... Natomiast karty elektroniczne z jednostkami to uklady dostarczane przez * Siemensa SLE 4436 (inaczej Eurochip), posiadajace wbudowany uklad genero- wania odpowiedzi na pytania zadawane przez automat. W czytniku automatu znajduje sie do pieciu kart mikroprocesorowych SAM (inaczej SiCrypt), wyg- ladajacych jak mala karta SIM telefonu komorkowego. Kazda karta SAM zawie- * ra pelny klucz kryptograficzny oraz algorytm kryptograficzny do obslugi * kart jednego operatora, istnieje mozliwosc zdalnego ladowania klucza kryp- * tograficznego do modulu SAM. Algorytm kryptograficzny stosowany w module * SAM i karcie telefonicznej jest tajny (nie jest to DES). Istnieje ponad * 20000 wariantow tego algorytmu, operator moze wybrac sobie dowolny sposrod * tych wariantow. Po wlozeniu karty do automatu odczytuje on najpierw 16 bajtow z karty (m.in. numer karty, liczbe jednostek). Dane te trafiaja do modulu SAM. Nastepnie modul SAM losuje 48-bitowe pytanie i na podstawie danych z karty, wylosowanego pytania, posiadanego klucza kryptograficznego i algorytmu wylicza 16-bitowa odpowiedz, ktora trafia do procesora czytni- ka. Wylosowane przez SAM pytanie trafia rowniez do karty. Karta na podsta- wie swoich danych, otrzymanego pytania, zapisanego w niej klucza krypto- graficznego i odpowiedniego algorytmu wylicza swoja odpowiedz, ktora tra- fia rowniez do procesora czytnika. To wlasnie procesor w czytniku porownu- je obydwie odpowiedzi i decyduje o zaakceptowaniu karty lub nie. Tak wiec, jak widac, oprogramowanie procesora czytnika jest najlatwiejszym punktem ataku na system :). Caly powyzej opisany proces zostal potwierdzony dos- wiadczalnie przez Shadowa i mnie poprzez podsluchiwanie transmisji miedzy czytnikiem i karta telefoniczna oraz czytnikiem i modulem SiCrypt srebrne- go automatu. Nalezy dodac, ze kazda karta telefoniczna posiada klucz kryp- tograficzny wstepnie przetworzony, w ktorym uwzgledniono juz jej numery seryjne (dzieki czemu wyliczanie odpowiedzi jest szybsze). Z tego wynika, ze klucz w karcie jest inny dla kazdej karty, czyli wyciagniecie tego klu- cza pozwoli co najwyzej zrobic druga karte o takich samych numerach, co bardzo ogranicza mozliwosci wykorzystania takiej sklonowanej karty. Pelny klucz kryptograficzny jest tylko w module SAM. Proby odczytania odpowiedzi na wszystkie mozliwe pytania sa z gory skazane na niepowodzenie. Po pierw- sze modul SAM taktowany jest czestotliwoscia zaledwie ok. 3,57 MHz, czyli odczytanie wszystkich odpowiedzi zajeloby tysiace albo raczej miliony lat. Po drugie odczytane odpowiedzi, przy sensownym stopniu kompresji, zajelyby co najmniej kilkaset gigabajtow. Po trzecie to modul SAM, a nie my, losuje pytanie, a wiec im wiecej rozniacych sie od siebie pytan juz wylosowal, tym mniejsze prawdopodobienstwo, ze wylosuje pytanie, ktorego jeszcze nie bylo. Proby odczytania wszystkich mozliwych kombinacji mialyby sens tylko wtedy, gdyby losowane przez modul SAM pytania nalezaly do sztucznie zawe- zonego zbioru (byc moze tak jest, ale tego nie wiem). Pozostaje jeszcze dekompozycja struktury modulu SAM w celu odczytania klucza i algorytmu kryptograficznego, ale modul SAM jest przed tym doskonale zabezpieczony, pomijajac juz fakt, ze trzeba do tego celu dysponowac sprzetem wartym dziesiatki tysiecy dolarow i sztabem specjalistow. Moduly SAM produkuje sie w stosunkowo malych ilosciach, dlatego nie ma koniecznosci oszczedza- nia na ich zabezpieczniach. Pojedyncze karty telefoniczne moga byc gorzej (co nie znaczy ze slabo) zabezpieczone (czyli tansze), gdyz zawieraja tyl- ko klucz przetworzony, z ktorego nie da sie odzyskac pelnego klucza. Pod- sumowujac, jak juz wspomnialem, atak na oprogramowanie czytnika (lub ewen- tualnie plyty glownej) jest najlatwiejszym rozwiazaniem. Istnieje mozliwosc stosowania kart elektronicznych z jednostkami nie posiadajacych zabezpieczenia typu pytanie-odpowiedz (uklady SLE 4406). Wyprodukowanie takiej karty w warunkach domowych nie przedstawia najmniej- szych trudnosci, dlatego karty te, choc TPSA ich nie produkuje, na wszelki wypadek zostaly w konfiguracji automatu zablokowane. Posiadajac program centrum nadzoru mozna jednak zmienic w konfiguracji automatu jeden bit i juz mozna uzywac takich kart do woli :) Jesli kiedys zobaczycie na phreak.hack.pl filmik przedstawiajacy faceta uzywajacego karty chip z kredytem rzedu powiedzmy 2000 jednostek, to bedziecie juz wiedziec, co sobie o tym myslec :) Istnieje takze mozliwosc stosowania kart elektronicznych z jednostkami posiadajacych rozszerzone zabezpieczenie typu pytanie-odpowiedz (uklady SLE 5536 - inaczej Eurochip II). W karcie takiej odpowiedz na pytanie zalezy nie tylko od biezacego pytania, ale rowniez od pytan poprzednich. * W Polsce karty takie nie sa (jeszcze) stosowane. * Nie od rzeczy byloby dodac, ze uklady kart elektronicznych chronione sa * rowniez zanim zostana zaprogramowane przez dostawce kart (w Polsce - OTO * Lublin). Chodzi o to, ze w czasie podrozy ukladow scalonych sluzacych do * produkcji kart od producenta (Siemens) do dostawcy (ktory wkleja uklady * scalone w karty, przykleja styki, programuje na karcie np. poczatkowa war- * tosc licznika) uklady moglyby zostac skradzione i zaprogramowane przez * zlodzieja (na duza liczbe jednostek)... Mechanizm zabezpieczenia nie jest * skomplikowany: przed rozpoczeciem programowania ulkadu trzeba podac * mu odpowiednie 32-bitowe haslo, a jesli zostanie ono podane blednie piec razy, uklad staje sie bezuzyteczny. Po sprawdzeniu i zaakceptowaniu karty w automacie na podstawie sum kont- rolnych (karta magnetyczna) lub odczytanej odpowiedzi (karta elektronicz- na) sprawdzana jest zawartosc bialej i czarnej listy kart (patrz rozdzial "Listy kart"). Jesli karta jest zawarta na bialej liscie i nie figuruje na czarnej, zostaje dopuszczona do uzytku. Wada przyjetego rozwiazania jest to, ze dane o ruchu kart gromadzone przez automat (w celu pozniejszego przeslania ich do centrum nadzoru i pozniejszej ich tam analizy) nie sa wykorzystywane na biezaco do decydowania o zaakceptowaniu karty lub nie. Innymi slowy mozna po kolei wkladac do automatu jedna za druga karty-klony z identycznymi numerami seryjnymi, a automat bez problemu je zaakceptuje! Dopiero gdy automat przesle te dane do centrum nadzoru, a tam wyjdzie na jaw, ze dana karta byla wykorzystywana wielokrotnie, centrum nadzoru wciagnie ta karte (a scislej te karty :)) na czarna liste i po rozeslaniu czarnej listy do automatow nie bedzie mozna wiecej korzystac z kart o da- nym numerze. Wciagniecie karty na czarna liste trwa srednio kilka dni, co daje pewne (choc moze nie za wielkie) mozliwosci. Jezeli karta nie zosta- nie zaakceptowana, pojawi sie napis "KARTA NIEWAZNA". Centrum nadzoru jest informowane o kazdej probie uzycia karty niewaznej wraz z jej numerami. * Oczywiscie odpowiednie poprawki w oprogramowaniu automatu moglyby wyelimi- * nowac mozliwosc stosowania kart-klonow w tym samym automacie juz przed * uaktualnieniem czarnej listy. Podczas rozmowy jednostki z karty kasowane sa na biezaco. Wyjecie karty podczas rozmowy (np. w celu jej zamiany na falszywa) powoduje natychmias- towe przerwanie polaczenia, oczywiscie z wyjatkiem przypadku wyczerpania sie kredytu na wymienianej karcie. W przypadku, gdy automat podczas rozmo- wy nie moze odczytac karty albo skasowac z niej jednostki, rozmowa rowniez jest przerywana. W przypadku karty magnetycznej, jezeli jednostki sa kaso- wane bardzo szybko (np. polaczenie miedzynarodowe), to wyjatkowo automat nie kasuje fizycznie jednostek na biezaco, tylko co kilka jednostek (np. 4). W oprogramowaniu plyty glownej, podobnie jak w niebieskim Urmecie, zapisa- na jest tablica podzielnikow dla kart magnetycznych (patrz rozdzial "Karty zwykle" w Czesci I). Na karcie zapisany jest indeks do tablicy podzielni- kow. W przypadku niebieskiego automatu indeks 0 byl zabroniony i karta byla wyrzucana z automatu (dla indeksu 0 nie bylo odpowiadajacej mu pozyc- ji w tablicy podzielnikow). Automat srebrny posiada w tabeli pozycje row- niez dla indeksu 0 i podzielnik wynosi wtedy... 0! Czyli liczba magnetycz- nych jedynek z trzeciej czesci karty jest dzielona przez 0 i otrzymujemy 65535 jednostek!!! Niestety modul czytnika odrzuca takie karty, wiec nie mozna tego wykorzystac, a szkoda... :) S11.KARTY KREDYTOWE Choc z instrukcji centrum nadzoru STG97 wynika, ze automat obsluguje karty kredytowe, to w calym sofcie w wersji 2.60 nie znalazlem prawie zadnego fragmentu kodu zwiazanego z obsluga tych kart. Choc mozna np. zaprogra- mowac z STG97 numery telefoniczne do centrum walidacji kart kredytowych, to nie sa one do niczego wykorzystywane. Teoretycznie istnieja dwa rodzaje obslugiwanych kart kredytowych: operatora (czyli u nas TPSA) oraz bankowe. Automat ma nawet w czytniku osobna glowice do odczytu kart kredytowych, szkoda, ze nie jest ona do niczego wykorzystywana, moze kiedys... We Wlo- szech karty kredytowe operatora sa w powszechnym uzyciu, pewnie polega to na posiadaniu konta u operatora telekomunikacyjnego (BTW we Wloszech opla- ta naliczana jest juz od momentu wybrania numeru, czyli mozemy sie nie dodzwonic, a i tak zaplacimy. Faktycznie placimy wiec za zajecie lacza. Taki sposob naliczania oplaty jest stosowany rowniez w sieciach komorko- wych. Swoja droga we Wloszech uzywane sa zupelnie inne modele automatow (tez firmy Urmet), nie akceptuja one polskich kart magnetycznych ani elek- tronicznych, nawet kart serwisowych: ani magnetycznych, ani chipowych). S12.MENU GLOWNE AUTOMATU Zasady poruszania sie po menu sa analogiczne jak w niebieskim Urmecie. Na poczatek objasnienie skrotow uzywanych w menu: OTP = BOOT PROGRAM (One Time Programming), KO = ERROR, SW = SOFTWARE. Mozna sobie zmienic jezyk wyswietlania menu za pomoca przycisku zmiany jezyka. Od razu nad- mienie, ze numer uzywanej karty serwisowej jest wysylany do centrum nad- zoru - ale nie dla kazdego typu karty, o czym bedzie nizej. W zalez- nosci od typu karty niektore menu sie nie pojawiaja lub nie daja sie zmieniac - patrz rozdzial "Karty serwisowe". Po wlozeniu karty serwi- sowej pojawia sie menu powitalne: ------------------ | PIN KOD | | **** | ------------------ ------------------ ------------------ | PIN KOD OK | | BLEDNY PIN KOD | |OTWORZ DRZWICZKI| |ODWIES SLUCHAWKE| ------------------ ------------------ Niezaleznie od prawidlowosci podanego PIN-u karta jest wyrzucana. Po prawidlowym podaniu PIN-u wyswietla sie napis proszacy o otwarcie drzwiczek (ale nie zawsze, o tym bedzie potem :)), co nalezy uczynic, a wtedy naszym oczom ukaze sie: ------------------ |SW BOOT Ver.0.00| |SW TPE Ver.0.00| ------------------ Oczywiscie zera zastapione sa odpowiednimi numerami wersji. Po nacis- nieciu "*" wchodzimy do menu glownego: ------------------ 1. | KOD OPERATORA | | 238 | ------------------ W sofcie automatu istnieje pewna tablica sluzaca do dekodowania kart magnetycznych (taka sama zreszta jak w niebieskim Urmecie), a wyswiet- lana w tym menu liczba jest pierwszym elementem tej tablicy (0xEE). Czyli innymi slowy kazdy operator ma swoj kod i na jego podstawie deko- dowane sa karty magnetyczne, co moze tlumaczyc fakt, ze polskie karty sa nieczytelne we Wloszech (choc mozliwe ze zapis na wloskich kartach jest zupelnie inny). W menu tym nic nie da sie zmieniac. ------------------ 2. | USTAW ZEGAR | | | ------------------ ------------------ ------------------ 2.1. |dd/mm/rrrr gg:mm| | USZKODZ ZEGAR | | | | | ------------------ ------------------ Jezeli mamy uprawnienia, po nacisnieciu "*" mozna zmienic ustawie- nia zegara. Automat obsluguje lata 1997..2096. Dwukropek mruga sobie slicznie pojawiajac sie dla kazdej parzystej liczby sekund :). ------------------ 3. |PREFIKS APARATU| |0000 | ------------------ Maksymalnie 4 cyfry numeru kierunkowego automatu. Jezeli mamy upraw- nienia, mozemy wpisac nowy numer, ktory zatwierdzamy klawiszem "*". W przypadku rezygnacji z zapisania zmiany mozemy po prostu przejsc do nastepnej pozycji menu klawiszem "#" albo... zmienic jezyk wyswietlania menu, wtedy wraz z ze zmiana jezyka pojawi sie pierwotnie zaprogramowa- ny numer. ------------------ 4. | NUMER APARATU | |000000000000 | ------------------ Maksymalnie 12 cyfr numeru automatu. Po tym numerze STG97 rozpoznaje m.in. rodzaj automatu i prawdopodobnie wpisanie tu numeru "jajka" spowoduje, ze automat bedzie probowal sciagnac oprogramowanie przezna- czone nie dla niego, co spowoduje oczywiscie jego awarie. Zasady edycji numeru jak wyzej. ------------------ 5. | PREFIKS STG | |0000 | ------------------ Maksymalnie 4 cyfry numeru kierunkowego do centrum nadzoru STG97. Automat posiada w konfiguracji dwa numery do STG97 (oraz oczywiscie dwa numery kierunkowe). Po uzyciu tego menu przeprogramowane zostaja obydwa prefiksy na nowy wprowadzony z klawiatury. Zasady edycji numeru jak wyzej. ------------------ 6. | NUMER STG | |0000000000000000| ------------------ Maksymalnie 16 cyfr numeru do STG97. Po uzyciu tego menu zostaja przeprogramowane obydwa numery STG97 na podany nowy numer. Zasady edycji numeru jak wyzej. Nalezy zauwazyc, ze numer aparatu w menu 4. moze miec maksymalnie 12 cyfr, a numery STG 16 cyfr. Zarowno numer aparatu, jak i obydwa numery STG przechowywane sa w metryczce aparatu (w malej pamieci szeregowej I2C). Awaria glownej pamieci FLASH nie spowoduje zatem zniszczenia nu- meru aparatu i STG, a wiec STG poprawnie zidentyfikuje aparat, zapisze w bazie danych fakt jego uszkodzenia i ewentualnie przesle konfiguracje stosowna dla danego aparatu. Numery STG przechowywane sa oprocz tego w pamieci FLASH zawierajacej cala konfiguracje automatu. ------------------ ------------------ 7. |TYP WYBIERANIA | |TYP WYBIERANIA | |WYBIERANIE: DTMF| |WYBIERANIE: DEK | ------------------ ------------------ W menu tym mozna recznie zmienic typ wybierania numeru (ale to usta- wienie jest prawdopodobnie brane pod uwage tylko podczas wybierania numeru do STG!) naciskajac klawisz "*". Menu to jest o tyle ciekawe, ze jego wyswietlenie mozliwe jest tylko wtedy, gdy wersja programu bootujacego jest rowna co najmniej 3.00. Poniewaz obecnie stosowana wersja to 2.06, wiec prawdopodobnie nikt jeszcze nigdy tego menu na oczy nie widzial. ------------------ ------------------ 8. |PREDKOSC TRANS | |PREDKOSC TRANS | |PREDKOSC: 1200 | |PREDKOSC: 2400 | ------------------ ------------------ Tutaj mozna (naciskajac "*") zmienic predkosc wymiany danych z STG. Podobnie jak poprzednio, menu to wyswietla sie tylko dla wersji prog- ramu bootujacego co najmniej 3.00. Dla wersji nizszych predkosc trans- misji jest ustalana zawsze na 1200 bps, niezaleznie od tego, czy modem potrafi obslugiwac predkosc 2400 bps! Jak juz napisalem wyzej, obecna wersja bootprogramu to 2.06, tak wiec modem zawsze pracuje z predkos- cia 1200 bps. No coz... ------------------ 9. | MENU ALARMOW | | | ------------------ ------------------ ------------------ 9.1. |KOD ALARMOW 01 | |KOD ALARMOW -- | | | | | ------------------ ------------------ ... ------------------ 9.56. |KOD ALARMOW 56 | | | ------------------ Po wejsciu do tego menu mozna ogladac kody aktywnych alarmow. Kolejne kody wyswietlaja sie przy naciskaniu "#". Liczba wyswietlanych kodow zalezy od liczby aktywnych alarmow, jesli nie ma zadnych aktywnych alarmow wyswietlane sa dwie pauzy. Kody numerowane sa od 1 do 56 i opisane beda w nastepnym punkcie. Nie wszystkie kody alarmow sa wyswietlane w menu, niektore sa jedynie wysylane do STG. Istnieje jednak specjalny typ karty serwisowej, ktory potrafi wyswietlic ukryte kody. ------------------ 10.| AUTOTEST | | | ------------------ To menu jest bardzo rozbudowane. Jego pozycje zostana opisane w jednym z nastepnych punktow, jesli ktos jest zainteresowany, to niech tam zajrzy. ------------------ ------------------ 11.|WSPOLPRACA Z STG| |WSPOLPRACA Z STG| | STG AKTYWNE | | STG NIEAKTYWNE | ------------------ ------------------ W tym menu mozna wlaczyc lub wylaczyc komunikacje z STG! Zmiana nas- tepuje po uzyciu klawisza "*". To menu jest wyswietlane tylko po uzyciu specjalnego rodzaju karty serwisowej. S13.KODY ALARMOW Tutaj umiescilem troche dokladniejszy niz w instrukcji opis kodow. Chcial- bym zwrocic uwage na Kod 23 - interesujacy pomysl... Poza tym mimo ze Kod 4 (otwarcie aparatu) nigdy nie jest ustawiany, to istnieje jeszcze Kod 25 - nieupowaznione otwarcie aparatu. Otwarcie jest upowaznione tylko wte- dy, gdy najpierw wlozymy karte serwisowa i podamy prawidlowy PIN, w prze- ciwnym razie ustawiany jest Kod 25. Natomiast po uzyciu karty serwisowej do STG wysylane sa dane o wszystkich metryczkach (celem zidentyfikowania * ewentualnie wymienionych czesci) oraz numer karty serwisowej (nie jest * wysylany numer dla kart serwisowych typu VIII - o tym bedzie w rozdziale * "Karty serwisowe"). Legenda: [x] = po tej liczbie powtorzen danego zdarzenia ustawiana jest flaga alarmu [n] = kod nie jest ustawiany -> nie jest wysylany do STG ! = kody widoczne w menu tylko po uzyciu karty serwisowej typu X (o tym bedzie pozniej) ==================== [3] Kod 01 - Utrata danych FLASH bialej lub czarnej listy [3] Kod 02 - Utrata danych metryczki aparatu - patrz rozdzial "Pamieci znamionowe (bollino) i metryczka aparatu" [1] Kod 03 - Utrata danych RAM - wyzerowany zostal chociaz jeden numer wersji sposrod plikow (numery wersji przechowywane sa w RAM) - automat wyswietla "NIEDOSTEPNY" (az do czasu sciagniecia brakujacych plikow z STG): - biala lista, - konfiguracja, - parametry centrali [n] Kod 04 - Otwarcie aparatu [100] Kod 05 - 100 kolejnych zdjec mikrotelefonu bez uiszczenia oplaty [1] Kod 06 - Odlaczona linia [5] Kod 07 - Niewystarczajacy prad zasilania [255] Kod 08 - 255 kolejnych zdjec mikrotelefonu bez uiszczenia oplaty (licznik zerowany przy wybraniu numeru A,B lub C (jesli numery te sa dozwolone)) [1] Kod 09 - 2 godziny ciaglego zajmowania aparatu [1] Kod 10 - Zaciecie klawiatury (ustawiane razem z kodem 38) [5] Kod 11 - Zaciecie ktoregos z klawiszy funkcyjnych [1] Kod 12 - Uszkodzenie odbiornika impulsow 16 kHz [1] Kod 13 - Rozladowany akumulator [1] Kod 14 - Uszkodzenie toru odbiorczego mikrotelefonu [1] Kod 15 - Uszkodzenie toru nadawczego mikrotelefonu [1] Kod 17 - Nieprawidlowa praca zegara [1] Kod 19 - Uszkodzenie szyny I2C Bollino [1] Kod 20 - Przepelnienie bufora zdarzen dla STG (300 lub wiecej zdarzen) - automat wyswietla "NIECZYNNY" [1] Kod 21 - Nieobecnosc/uszkodzenie DRO [100] Kod 23 - Statystyka klawiatury - licznik zdarzen jest zmniejszany, gdy wybrany numer zawieral choc jedna cyfre 5,6 lub 7, zwiekszany w przeciwnym przypadku. Albo ja sie myle, albo to jakis kolejny chory pomysl firmy Urmet [1] Kod 24 - Blad zdalnego ladowania danych z STG97 [1] Kod 25 - Nieupowaznione otwarcie aparatu [3] Kod 26 - Blad zdalnego ladowania z STG97 nastepujacych plikow: reklam, komunikatow glosowych, komunikatow wyswietlacza, profili oprogramowania [1] !Kod 27 - Zaciecie ktoregos z glownych klawiszy funkcyjnych i kla- wisza funkcyjnego wymiany karty (ustawiane razem z kodem 11 i 38). Kod moze nie byc ustawiany w zaleznosci od konfiguracji [1] !Kod 33 - Zablokowanie czytnika kart magnetycznych [1] Kod 34 - Zablokowanie czytnika kart kredytowych [1] Kod 35 - Zablokowanie czytnika kart elektronicznych [1] Kod 36 - Zablokowanie czytnika kart magnetycznych [1] Kod 37 - Calkowite zaciecie czytnika [5] Kod 38 - Zaciecie klawisza funkcyjnego wymiany karty [1] Kod 39 - Brak czytnika [1] Kod 40 - Blad lub brak wymiany danych plyta glowna - czytnik [1] Kod 41 - Blad w zdalnym ladowaniu programu czytnika [1] !Kod 49 - Wadliwe dzialanie glowic magnetycznych - nieczytelne 30% kart lub wiecej [30] Kod 50 - 30 kolejno nieodczytanych kart magnetycznych: CZERWONYCH, ZIELONYCH, NIEBIESKICH [30] Kod 51 - 30 kolejno nieodczytanych kart kredytowych: operatora, bankowych [30] Kod 52 - 30 kolejno nieodczytanych kart elektronicznych: OTO LUBLIN, NIEBIESKICH, RUCH 1, RUCH 2 S14.MENU AUTOTEST Ponizej umiescilem dokladny opis tego menu. Nie wszedzie rzeczywistosc pokrywa sie z tym, co umieszczono w instrukcji. ------------------ 10.1. |TEST KLAWIATURY| | | ------------------ ------------------ 10.1.1 | PRZYCISK: ??? | | | ------------------ ??? = 0..9 -> 0..9 A..D -> A..D * -> wyjscie z podmenu # -> # FC (Nastepne polaczenie) -> TRL RD (Redial) -> RP (Zmiana jezyka) -> LIN (Zmiana glosnosci) -> VOL (Wymiana karty) -> TC ------------------ 10.2. | TEST WYSWIETL | | | ------------------ ------------------ 10.2.1. |???????????? | |???????????? | ------------------ W miejsce pytajnikow wyswietlane sa najpierw znaki zlozone z samych czarnych punktow, a pozniej co sekunde kolejne cyfry: same "0", same "1" i tak az do "9", pozniej znowu czarne znaki, cyfry i tak w kolo. Wyjscie klawiszem "*". ------------------ 10.3. | TEST DRO | | | ------------------ ------------------ ------------------ 10.3.1 | DRO: OK | | DRO: KO | | | | | ------------------ ------------------ DRO to urzadzenie na centrali sprawdzajace, czy na kazdy impuls taryfikacyjny 16 kHz automat odpowiada impulsem 12 kHz. Spraw- dzanie takie moze odbywac sie podczas trwania rozmowy, ale row- niez podczas wybierania numeru. Zapewne kazdy slyszal (co jest latwo zauwazalne, gdy wybieranie numeru jest ustawione na DTMF) po pierwszej wybieranej cyfrze sygnal 16 (lub 12) kHz. Wyjscie z podmenu klawiszem "*". ------------------ 10.4. | TEST DTMF | | | ------------------ ------------------ 10.4.1 | DTMF: ? | | | ------------------ Przy naciskaniu cyfr 0..9 generowane sa tony DTMF i w miejscu pytajnika wyswietlana jest odpowiednia cyfra. Wyjscie - "*". ------------------ 10.5. |TEST MIKROTELEF.| | | ------------------ ------------------ ------------------ 10.5.1. | SLUCHAWKA OK | |USZKODZ SLUCHAW| | MIKROFON OK | |USZKODZ MIKROFON| ------------------ ------------------ Pokazane sa tutaj dwa skrajne przypadki. Oczywiscie mozliwe tez sa kombinacje posrednie. Wyjscie klawiszem "*". ------------------ 10.6. | TEST CZYTNIKA | | | ------------------ ------------------ ------------------ ------------------ 10.6.1. | STAN CZYTNIKA | | STAN CZYTNIKA | | STAN CZYTNIKA | | CZYTNIK OK | |CZYTNIK NIESPRAW| |CZYTNIK USZKODZ| ------------------ ------------------ ------------------ ------------------ 10.6.2. | ODCZYT KARTY | | | ------------------ ------------------ 10.6.2.1. | WLOZ KARTE | | | ------------------ ------------------ ------------------ ------------------ 10.6.2.2. | KARTA NIECZYT | | KARTA NIEWAZNA | | KARTA ZUZYTA | | | | | | | ------------------ ------------------ ------------------ ------------------ ------------------ ------------------ |KARTA MAGN CZERW| |KARTA MAGN ZIEL | |KARTA MAGN NIEB | | | | | | | ------------------ ------------------ ------------------ ------------------ ------------------ ------------------ |KARTA KREDY OPER| |KARTA CHIP RUCH1| |KARTA CHIP RUCH2| | | | | | | ------------------ ------------------ ------------------ ------------------ ------------------ ------------------ |KARTA CHIP KONSE| |KARTA CHIP NIEB | |KARTA OTO | | | | | | | ------------------ ------------------ ------------------ ------------------ 10.6.3. |WERSJE CZYTNIKA| | WERSJA: 00.00 | ------------------ ------------------ 10.6.4. | WYJSCIE | | | ------------------ Powyzsze menu nie wymaga chyba zadnych komentarzy... ------------------ 10.7. | TEST BOLLINO | | | ------------------ ------------------ ------------------ ------------------ 10.7.1. |CZYTNIK: | |CZYTNIK: | |CZYTNIK: | | BOLLINO OBECNE | |USZK I2C BOLLINO| | BRAK BOLLINO | ------------------ ------------------ ------------------ ------------------ ------------------ ------------------ 10.7.2. |KLAWIATURA: | |KLAWIATURA: | |KLAWIATURA: | | BOLLINO OBECNE | |USZK I2C BOLLINO| | BRAK BOLLINO | ------------------ ------------------ ------------------ ------------------ ------------------ ------------------ 10.7.3. |MIKROTELEFON: | |MIKROTELEFON: | |MIKROTELEFON: | | BOLLINO OBECNE | |USZK I2C BOLLINO| | BRAK BOLLINO | ------------------ ------------------ ------------------ ------------------ ------------------ ------------------ 10.7.4. |WYSWIETLACZ: | |WYSWIETLACZ: | |WYSWIETLACZ: | | BOLLINO OBECNE | |USZK I2C BOLLINO| | BRAK BOLLINO | ------------------ ------------------ ------------------ ------------------ ------------------ ------------------ 10.7.5. |PLYTA GLOWNA: | |PLYTA GLOWNA: | |PLYTA GLOWNA: | | BOLLINO OBECNE | |USZK I2C BOLLINO| | BRAK BOLLINO | ------------------ ------------------ ------------------ Powyzsze menu pozwala sprawdzic stan pamieci znamionowych aparatu. Kazda pamiec znamionowa zawiera 11 bajtow danych i jednoznacznie charakteryzuje dana czesc. ------------------ 10.8. | TEST ZEGARA | | | ------------------ ------------------ ------------------ 10.8.1. |dd/mm/rrrr gg:mm| | USZKODZ ZEGAR | | | | | ------------------ ------------------ Tu tez nie potrzeba komentarzy... :) ------------------ 10.9. | TEST BATERII | | | ------------------ ------------------ 10.9.1. |BATERIA: 0.00 V | | | ------------------ Tu pokazane jest napiecie akumulatorka, powinno wynosic 5.31..7.38V. ------------------ 10.10.| TEST LINII | | | ------------------ ------------------ ------------------ 10.10.1. | LINIA: 00mA | | LINIA: >30mA | | | | | ------------------ ------------------ A tu wartosc pradu linii, do programowania pamieci FLASH (czyli do programowania plikow przysylanych z STG) powinna wynosic > 23.33mA. ------------------ 10.11.|TEST SYGN CENTR | | | ------------------ ------------------ ------------------ 10.11.1. |TEST SYGN CENTR | |TEST SYGN CENTR | | SYGNAL: ON | | SYGNAL: OFF | ------------------ ------------------ Sprawdza obecnosc dialtone'a. ------------------ 10.12.|POM TEMPERATURY| | | ------------------ ------------------ ------------------ 10.12.1. | TEMP: 00*C | | TEMP: -00*C | | | | | ------------------ ------------------ Tu wiadomo... :) Temperatura otoczenia uzywana jest przez procesor DSP (czyli sygnalowy) w module czytnika do korekcji odczytu sygnalu z karty magnetycznej. ------------------ 10.13.| WERSJE PLIKOW | | | ------------------ ------------------ 10.13.1. |OTP | | WERSJA: 00.00 | ------------------ ------------------ 10.13.2. |OPROGRAMOWANIE | | WERSJA: 00.00 | ------------------ ------------------ 10.13.3. |OPROG CZYTNIKA | | WERSJA: 00.00 | ------------------ ------------------ 10.13.4. |BIALA LISTA | | WERSJA: 00.00 | ------------------ ------------------ 10.13.5. |PELN CZARNA LIST| | WERSJA: 00.00 | ------------------ ------------------ 10.13.6. |NR BEZPLATNE | | WERSJA: 00.00 | ------------------ ------------------ 10.13.7. |NR ZABLOKOWANE | | WERSJA: 00.00 | ------------------ ------------------ 10.13.8. |AUTOTARYFIKACJA | | WERSJA: 00.00 | ------------------ ------------------ 10.13.9. |KONFIGURACJA | | WERSJA: 00.00 | ------------------ ------------------ 10.13.10.|PARAM CENTRALI | | WERSJA: 00.00 | ------------------ ------------------ 10.13.11.|KOMUNIK GLOSOWE | | WERSJA: 00.00 | ------------------ ------------------ 10.13.12.|REKLAMY | | WERSJA: 00.00 | ------------------ ------------------ 10.13.13.|KOMUNIKATY WYSW | | WERSJA: 00.00 | ------------------ ------------------ 10.13.14.|PROFILE OPROG | | WERSJA: 00.00 | ------------------ Wyjscie z podmenu mozliwe w kazdym momencie klawiszem "*". Odnosnie czarnej listy - wyswietlany jest numer wersji PELNEJ czarnej listy. Wyroznienie to wynika stad, ze podczas projekto- wania systemu przewidziano mozliwosc wysylania do automatu sa- mego uaktualnienia juz istniejacej czarnej listy. Najwyrazniej jednak rozmyslono sie, gdyz w komunikacji automat - STG nie sa przesylane numery wersji pliku uaktualnienia czarnej listy, a w programie automatu pozostaly tylko szczatkowe fragmenty swiadczace o takim pomysle - automat nigdy nie sciaga pliku uaktualnienia czarnej listy, nie posiada tez procedur progra- mowania takich danych w pamieci FLASH. Poniewaz "jajka" korzys- taja z tego samego STG i tego samego schematu komunikacji, wiec one tez zapewne nie korzystaja z pliku uaktualnienia i za kazdym razem sciagaja pelna czarna liste. ------------------ 10.14.| WYJSCIE | | | ------------------ Nareszcie koniec :) S15.KARTY SERWISOWE Zaczne od tego, ze srebrny Urmet uznaje za niewazne wszystkie karty ser- wisowe z niebieskiego Urmeta, w tym rowniez Check58. Przyjmuje tylko karty elektroniczne, ktore dzialaja rowniez na "jajkach". W chwili obecnej po- siadamy juz napisany (dodam skromnie, ze przeze przeze mnie :)) generator tych kart, wiec wszystkie opisywane tu rodzaje kart zostaly przetestowane praktycznie - przez Shadowa na zrobionym przez niego emulatorze (dzieki, dzieki). Tak wiec wszystko, co jest tu napisane, powinno zgadzac sie z rzeczywistoscia. Od rodzaju karty zalezy, co mozemy zmieniac w menu. TPSA posiada na pewno karty typu I i II, prawdopodobnie rowniez VIII i IX. Karta typu VIII jest o tyle ciekawa, ze do wyswietlenia menu nie jest po- trzebne otwarcie automatu, a przy tym daje ona mozliwsc zmiany praktycznie wszystkich ustawien. Karta typu X pozwala obejrzec w Menu Alarmow dodatko- we kody alarmow, oznaczone w umieszczonym gdzies wyzej w spisie wykrzykni- kiem. Centrum nadzoru otrzymuje numer uzytej karty - ale nie zawsze! Dla karty typu VIII w miejsce bajtow z numerem karty wstawiana jest wartosc 0x99. Widoczny jest wiec fakt uzycia karty, ale niemozliwe jest jej ziden- tyfikowanie. Ponizej wymienilem wszystkie mozliwe typy kart serwisowych: a) Typ 0 -bez mozliwosci zmiany numerow aparatu i STG -bez mozliwosci zmiany ustawien zegara b) Typ I -z mozliwoscia zmiany numerow aparatu i STG -z mozliwoscia zmiany ustawien zegara c) Typ II -bez mozliwosci zmiany numerow aparatu i STG -z mozliwoscia zmiany ustawien zegara d) Typ VIII -z mozliwoscia zmiany numerow aparatu i STG -z mozliwoscia zmiany ustawien zegara -wyswietla menu "WSPOLPRACA Z STG" -NIE WYMAGA OTWARCIA DRZWI APARATU -NUMER KARTY NIE JEST LOGOWANY DO STG * (nie wiadomo czy rowniez w "jajku" CTP-I) e) Typ IX -z mozliwoscia zmiany numerow aparatu i STG -z mozliwoscia zmiany ustawien zegara -wyswietla menu "WSPOLPRACA Z STG" f) Typ X -z mozliwoscia zmiany numerow aparatu i STG -z mozliwoscia zmiany ustawien zegara -wyswietla menu "WSPOLPRACA Z STG" -z mozliwoscia ogladania dodatkowych kodow alarmow, normalnie nie wyswietlanych S16.ZABEZPIECZENIA KART SERWISOWYCH Hm, poniewaz rozpisywalem sie juz o emulatorze takich kart, wiec wniosek jest prosty: zabezpieczenia sa mozliwe do zlamania w sensownym czasie. W praktyce sa to karty z ukladem Siemensa SLE 4406, czyli zwykle karty pamieciowe. Problem polega na tym, ze pierwsze dwa bajty takiej karty sa pamiecia ROM programowana w trakcie produkcji, a po tych wlasnie bajtach rozpoznawany jest rodzaj karty i operator. Watpliwe jest, zeby Siemens ze- chcial sprzedac komus karty z naglowkiem takim, jakiego uzywa TPSA. Po- niewaz trudno znalezc zamiennik (dostepne w sprzedazy karty z mikrokontro- lerami PIC i Atmel sa taktowane z nozki Clock karty - nie maja wewnetrz- nego kwarcu, na dodatek niektore z nich, o ile nie wszystkie, maja Reset sterowany przeciwnym stanem logicznym niz karty SLE 44x6/SLE 5536), pozos- taje sobie zrobic emulator na plytce drukowanej z zewnetrznym mikrokon- trolerem (np. Atmel AT89C1051). Jezeli posiadamy zczytana oryginalna karte serwisowa, mozemy po odpowiednim zaprogramowaniu rzeczonego mikrokontrole- ra ja zaemulowac. Jezeli zas chcemy zrobic sobie karte bez posiadania zapisu karty oryginalnej, musimy jeszcze poznac algorytm chroniacy inte- gralnosc zapisu takiej karty. Wymaga to dosc duzo zabawy z softem automa- tu, ale daje nastepujace korzysci: mozemy sobie wygenerowac dowolny typ karty oraz mozemy jej nadac wymyslony przez nas PIN. W celu sprawdzenia poprawnosci dane z karty sa kodowane DES-em z kluczem zaleznym czesciowo od danych karty, a czesciowo zawartym w kodzie automatu (odwolanie do niego wystepuje w dosc niezwykly sposob, wiec trudno go znalezc). Jezeli otrzymany rezultat kodowania DES-em pokrywa sie z odpowiednimi bajtami na karcie, karta jest akceptowana. I to wszystko :) * Nalezaloby jeszcze dodac, ze karty serwisowe nie moga zostac fizycznie * skasowane w przypadku jajek, gdyz pierwsze 8 bajtow karty (bajty te za- * wieraja istotne dane karty) nie moze byc zapisywane, a kolejne 8 bajtow * (m.in. licznik) nie jest w przypadku jajka istotne. Natomiast w przypadku * srebrnych automatow co najmniej jeden z bajtow 8..15 jest istotny, tak * wiec mozliwe jest, ze karte da sie "unieszkodliwic" np. poprzez zmiane * stanu licznika. Nawet w takim jednak wypadku karta ta dalej bedzie pop- * rawna z punktu widzenia jajka (format danych na karcie elektronicznej * opisany jest nizej w rozdziale "Format danych kart elektronicznych"). * Oczywiscie zmiana oprogramowania jajka moze wymusic analogiczne jak * w srebrnym automacie traktowanie bajtow 8..15. W obecnej wersji oprogramowania nie ma tez mozliwosci wciagania kart serwisowych na czarna liste, ale to moze sie kiedys zmienic. * Podczas komunikacji z centrum nadzoru wysylany jest do niego numer uzy- * tej karty serwisowej (z wyjatkiem karty typu VIII - patrz rozdzial "Karty * serwisowe" wyzej), ale obecnie (tj. przy obecnym oprogramowaniu automatow) * nielegalne uzywanie takich kart nie wiaze sie z ryzykiem ich skasowania * lub zablokowania. S17.PRZYCISK "TEST" Na plycie glownej znajduja sie dwa przyciski: pierwszy z nich to Reset, a drugi nazywa sie Test. Jezeli automat jest uszkodzony, to jego nacis- niecie powoduje wyswietlenie menu identycznego jak dla karty serwisowej * typu 0. Jezeli automat jest sprawny, uzycie tego przycisku nie wlacza zadnego menu. S18.FORMAT DANYCH KART ELEKTRONICZNYCH * Ponizej przedstawilem standardowy format zapisu na kartach elektronicznych SLE 4406/SLE 4436/SLE 5536. Nazwy angielskie to oznaczenia zaczerpniete z dokumentacji. Przy odczycie karty licznik danych karty zeruje sie dla 512 bitu, innymi slowy przy odczycie dane powtarzaja sie cyklicznie co 64 * bajty. Przy odczycie bajtow o adresach wiekszych od 29 karta zwraca war- * tosc 0xFF. Czym jest karta OTO Lublin wyjasnilem w rozdziale "Karty zwyk- * le". Przykladowa karta OTO Lublin: 97 74 26 FC 04 CD 35 2B 00 00 00 FC 80 7F FF FF FF FF FF FF FF FF ----- -- -------------- -------------- -- ----- ----------------- 0. 1. 2. 3. 4. 5. 6. 7. 8. 9. 10.11.12. 13. 14.15. 16.17.18.19.20.21. FF FF FF FF FF FF FF FF ----------------- ----- 22.23.24.25.26.27. 28.29. 0,1 - Manufacturer Code Kod nadawany przez producenta charakteryzujacy odbiorce karty i jej rodzaj. Programowany trwale przez producenta kart (Siemen- sa), jest to pamiec typu ROM. Czasami (np. w niektorych kartach OTO Lublin) mozna wyzerowac bit #0x08 bajtu 0, co oznacza, ze * z karty zostaly juz skasowane jakies jednostki (karta nie jest * pelna). Po ewentualnym wyzerowaniu wspomnianego bitu: * * W przypadku kart serwisowych: * * DaneZKarty[0,1] - 0x19,0xC4 * * W przypadku kart OTO Lublin: * * DaneZKarty[0,1] - 0x97,0x74 - Sempac [Se] * 0x05,0xF4 - Sempac [Se1] * 0x97,0xCC - Schlumberger [S] - * najnowszy rodzaj * * Nazwy i skroty w opisach oznaczaja rodzaj stykow ukladu scalo- * nego karty i zaczerpniete sa z katalogow kart telefonicznych. * * Producentem ukladow scalonych do kart jest Siemens, ale wklejania * ukladow w karty i ich programowania dokonuje dostawca kart, stad * nazwy typu Sempac czy Schlumberger oznaczaja nazwe linii produk- * cyjnej uzywanej przez dostawce kart lub samego dostawce. Od linii * produkcyjnej i dostawcy zalezy wyglad stykow ukladu scalonego. * Polski dostawca kart (OTO Lublin) uzywa linii produkcyjnej firmy * Sempac. * * Przedstawicielem najnowszego rodzaju kart (Schlumberger) jest ta- * ka fajna polprzezroczysta karta z rybka (nie ma na niej napisu * OTO Lublin, wyglada na to, ze jest w calosci produkowana za gra- * nica), a poniewaz jest ona przepuszczalna dla podczerwieni (co * latwo mozna sprawdzic pilotem TV), a czujnik w automacie dziala * wlasnie na podczerwien, to czesc automatow glupieje i nie przyj- * muje tych kart, podczas gdy nieprzezroczyste karty chipowe sa * przez nie przyjmowane. Nie pomaga nawet (co osobiscie sprawdzi- * lem) naklejenie w odpowiednim miejscu ciemnej folii samoprzylep- * nej, bo ona tez jest przepuszczalna dla podczerwieni... * * Wprowadzenie do obiegu kart z nowymi naglowkami pociaga za soba * koniecznosc wymiany oprogramowania czytnikow w automatach. 2 - Manufacturer Data Bajt ustawiany przez dostawce kart, tego, ktory dokonuje progra- mowania numeru seryjnego i poczatkowej liczby jednostek (w spec- jalnym trybie pracy karty, trybu tego nie da sie wlaczyc ponow- nie). U nas takim dostawca jest OTO Lublin. * W przypadku kart serwisowych: * * DaneZKarty[2] - 0xFF * * W przypadku kart OTO Lublin: * * DaneZKarty[2] - 0x26 3..7 - Personalization Data * Numer karty, programowany jest u dostawcy, po zakonczeniu progra- * mowania nie da sie zmieniac. * * W przypadku kart serwisowych: * * DaneZKarty[3], * DaneZKarty[4], * DaneZKarty[5] and #0xF0, * DaneZKarty[6], * DaneZKarty[7] - zakodowany numer karty i PIN * * DaneZKarty[5] and #0x0F - typ karty serwisowej * * Musi byc spelniony warunek: DaneZKarty[3] xor DaneZKarty[4] xor * DaneZKarty[5] xor DaneZKarty[6] xor DaneZKarty[7] <> 0. * * W przypadku kart OTO Lublin: * * Odwracamy kolejnosc bitow w bajcie DaneZKarty[3] i teraz: * * DaneZKarty[3] and #0x3F - numer emisji (dla kart z naglowkiem * 0x97,0xCC numer emisji kodowany jest * w inny sposob, dopoki nie dorwe aktu- * alnego softu czytnika, nie dowiem sie * jak - w kazdym razie emisji 50 odpo- * wiada bajt 0xC9 na karcie) DaneZKarty[4] - numer serii DaneZKarty[5] + 256 * DaneZKarty[6] - numer karty w serii * DaneZKarty[7] - jesli bit #0x80 jest ustawiony, karta * posiada zapisany maksymalnie 12-cyf- * rowy numer telefoniczny, patrz opis * bajtow 22..27 (w polskich kartach * mozliwosc ta nie jest wykorzystywana, * gdyz zamiast numeru posiadaja one * drugi klucz kryptograficzny). Pozos- * tale 7 mlodszych bitow oznacza rodzaj * karty (jej maksymalna pojemnosc) * i tak: 0x17 - karta 25 0x2B - karta 50 0x53 - karta 100 * Program plyty glownej sprawdza tylko bit #0x80, natomiast prog- * ram czytnika dekoduje sobie z calego 7 bajtu (wlacznie z bitem * #0x80, co dla wartosci wiekszych od 0x7F powoduje kolizje...) * maksymalna liczbe jednostek, porownuje ja ze stanem licznika * i w przypadku, gdy licznik jest za duzy, nie akceptuje karty * (automat srebrny) lub przerywa polaczenie przy kasowaniu pierw- * szej jednostki z karty i kasuje karte (jajko). Maksymalna licz- * be jednostek wyznacza sie ze wzoru: * * (DaneZKarty[7] shr 2) * 5 * * Z tego wzoru wynika, ze maksymalna liczba jednostek na karcie * moze wynosic (0xFF shr 2) * 5 = 315. Jednak bajty o wartosciach * z zakresu 0xF4..0xFF maja specjalne znaczenie, wobec czego dla * wartosci: * * 0x00..0x7F - karta nie ma zapisanego numeru telefonicznego, * maksymalna liczba jednostek to 0..155 * * 0x80..0xF3 - karta ma zapisany numer telefoniczny, * maksymalna liczba jednostek to 160..300 * * 0xF4..0xF7 - wartosc specjalna, karta ma zapisany numer tel., * maksymalna liczba jednostek to 5000 (jajko) * lub 1160 (srebrny) * * 0xF8..0xFB - wartosc specjalna, karta ma zapisany numer tel., * maksymalna liczba jednostek to 4000 (jajko) * lub 160 (srebrny) * * 0xFC..0xFF - wartosc specjalna, karta ma zapisany numer tel., * maksymalna liczba jednostek to 3500 (jajko) * lub 940 (srebrny) * * Jak widac wystepuja istotne roznice w implementacji wartosci * specjalnych w sofcie czytnikow srebrnego automatu i jajka. Na * dodatek wartosci specjalne w srebrnym Urmecie wygladaja cokol- * wiek dziwnie i w dodatku nie sa ulozone malejaco, no ale to * nie ja tak wymyslilem :) * * Karty polskie posiadaja drugi klucz kryptograficzny (co wynika * z softu czytnika jajka - karta bez drugiego klucza nie jest ak- * ceptowana), tak wiec nie posiadaja numeru telefonicznego, teo- * retycznie wiec dozwolone wartosci opisywanego bajtu to 0x00.. * 0x7F (czyli te, w ktorych bit #0x80 jest wyzerowany). Dla war- * tosci 0x80..0xFF automat bedzie probowal wybrac numer telefo- * niczny zapisany na karcie. Poniewaz jednak w miejscu numeru * znajduje sie drugi klucz kryptograficzny, to jego odczyt zwraca * same wartosci 0xFF, co daje numer pusty, czyli o zerowej dlu- * gosci. Karta z numerem pustym jest traktowana tak jak karta bez * zapisanego numeru, a wiec nie jest on automatycznie wybierany * i mozna z karty normalnie korzystac dzwoniac z niej na dowolny * numer (patrz opis bajtow 22..27 i opis kart OTO Lublin w roz- * dziale "Karty zwykle"). Wniosek z tego jest taki, ze dopoki * na karcie jest zapisany drugi klucz kryptograficzny (tak jak * w kartach polskich) albo pusty numer telefoniczny, dopoty bajt * 7 karty moze przyjmowac dowolne wartosci, a wtedy maksymalna * liczba jednostek wynosi 1160 (srebrny) lub 5000 (jajko). 8..12 - Counter Area * Licznik jednostek, mozna zerowac dowolne bity oraz zerowac bit z przeniesieniem (ustawieniem wszystkich bitow nastepnego bajtu na jedynki - tylko w obrebie licznika). Innymi slowy mozliwe jest tylko zmniejszanie licznika. Najmlodszy bit najstarszego bajtu licznika (bajtu 8) jest znacznikiem wskazujacym czy karta jest przed czy po fazie programowania (przez dotawce kart). Po zapro- * gramowaniu karty bit ten jest zerowany, tak wiec w funkcji licz- * nika pozostaje tylko siedem mlodszych bitow najstarszego bajtu * licznika, wobec czego maksymalna wartosc licznika teoretycznie * wynosi 33352 jednostki. Jednak producenci zastrzegaja sobie tro- * che jednostek dla celow testowych, tak wiec maksymalna wartosc * licznika, jaka jest mozliwa do wykorzystania, to 21064 (roznica * miedzy 33352 i 21064 odpowiada skasowaniu 3 bitow w najstarszym * bajcie licznika, wiec w sumie do praktycznego wykorzystania po- * zostaje polowa najstarszego bajtu, bo jeszcze jeden bit jest * znacznikiem fazy programowania, jak juz napisalem troche wyzej). * Gdyby udalo sie pomyslnie zaemulowac karte, to po wykorzystaniu * wszystkich bitow najstarszego bajtu licznika maksymalna pojemnosc * karty wynioslaby 37448 jednostki. Nalezy jednak zauwazyc, ze * w polskich kartach w bajcie 7 karty zakodowana jest maksymalna * liczba jednostek, tak wiec licznik polskich kart nie moze przek- * roczyc pewnych wartosci (patrz opis bajtu 7 karty). * * W przypadku kart serwisowych: * * DaneZKarty[8,9,10,11,12] - 0x7E,0x7E,0xE7,0xFF,0xC3 (w jaj- * kach nieistotne, w srebrnych naj- * prawdopodobniej tak - co najmniej * jeden z bajtow z zakresu 8..15 * jest istotny), odpowiada to war- * tosci licznika rownej 28100, jest * to wartosc wieksza od maksymalnej * wartosci deklarowanej do uzytku * przez producentow, czyli 21064 * * W przypadku kart OTO Lublin: * * DaneZKarty[8,9,10,11,12] - licznik 13 - Counter Backup / Authentication Key 2 Init Flag Bajt pomocniczy, nie da sie zmieniac. Zawiera 4 bity tzw. backupu licznika (anti-tearing flags) zabezpieczajace przed utrata jed- nostek w przypadku naglego wyjecia karty podczas kasowania. Za- * wiera tez flage #0x40 umozliwiajaca rozpoznanie czy karta zawiera * drugi klucz kryptograficzny. * * W przypadku kart serwisowych: * * DaneZKarty[13] - 0xFF (w jajkach nieistotne, * w srebrnych najprawdopodobniej * tak - co najmniej jeden z bajtow * z zakresu 8..15 jest istotny) * * W przypadku kart OTO Lublin: * * DaneZKarty[13] - 0x7F 14,15 - Data Area 1 Miejsce na dane uzytkownika. W polsce sa to 2 bajty sluzace do porzadkowania bitow w liczniku, jesli bity licznika w wyniku bledow byly kasowane nie po kolei (normalnie w obrebie bajtu licznika bity kasowane sa od LSB do MSB). Kazde porzadkowanie powoduje zuzycie jednego bajtu, mozliwe jest wiec dwukrotne po- rzadkowanie licznika, przy trzecim wystapieniu nieuporzadkowania karta przestaje byc akceptowana (Urmet srebrny) lub zostaje cala skasowana przy probie skasowania jednostki (jajko). Bajty te moga byc zablokowane i wtedy nie daja sie modyfikowac, w przeciw- nym razie mozna kasowac wszystkie bity obydwu bajtow (oczywiscie zuzywajac tym samym odpowiedni bajt/bajty). * W przypadku kart serwisowych: * * DaneZKarty[14,15] - 0xFF,0xFF (w jajkach nieistotne, * w srebrnych najprawdopodobniej * tak - co najmniej jeden z bajtow * z zakresu 8..15 jest istotny) * * W przypadku kart OTO Lublin: * * DaneZKarty[14,15] - 0xFF,0xFF (gdy licznik nie byl * nigdy porzadkowany, po porzadko- * waniu licznika wystepuja tu inne * wartosci) 16..21 - Authentication Key 1 Pierwszy klucz kryptograficzny uzywany przez karte do obliczania odpowiedzi na zadawane pytania. Nie da sie go odczytac ani zmie- niac, karta zawsze zwraca bajty 0xFF. 22..27 - Authentication Key 2 / Data Area 2 Drugi klucz kryptograficzny (jesli karta jest przeznaczona do uzywania w automatach dwoch operatorow) lub dane uzytkownika. Jesli jest tu zapisany klucz kryptograficzny, nie da sie go od- czytac (karta zwraca 0xFF). Karta OTO Lublin moze miec tu zapi- sany 12-cyfrowy numer telefoniczny (w kodzie BCD), ktory zostaje wybrany automatycznie po wlozeniu karty do automatu, o czym juz * napisalem przy opisie kart OTO Lublin w rozdziale "Karty zwykle". * jednak mozliwosc ta nie jest wykorzystywana, gdyz polskie karty * posiadaja drugi klucz kryptograficzny. Standardowo wszedzie 0xFF, nie da sie zmieniac. 28,29 - Data Area 3 Miejsce na dane uzytkownika. Zwykle nieuzywane, zawiera bajty 0xFF i nie da sie zmieniac. * Na stronie Hrabiego (http://phreak.hack.pl) mozna znalezc program Konwer- ter.exe sluzacy do przetwarzania danych z polskich kart elektronicznych (z jednostkami). Mozna tam tez znalezc Chip.exe - prosty program do odczy- tu i kasowania (nie napelniania!!! nawet o to prosze nie pytac!!!) jednos- tek z kart telefonicznych, nie wymaga on zadnej dodatkowej elektroniki, ale trzeba sie niekiedy pomeczyc z odpowiednimi ustawieniami portu LPT * w BIOS-ie, wszystko jest napisane w pomocy (zeby uniknac pytan: wywolanie * pomocy "Chip.exe /?" - co jest zreszta napisane). S19.PRYWATNE STG :) Obecnie mam napisane dwa programiki pod Windows: jeden nazywa sie "Symu- lacja automatu" i zawiera przepisane na Intela procedury odpowiadajace za logike komunikacji (formaty danych itp.), natomiast drugi nazywa sie "Symulacja STG" :)) Oba programiki bardzo ladnie sie ze soba komunikuja, cala logika STG jest juz gotowa. Obsluga modemu dzieki wielkiej pomocy kolegi (dla ktorego wielkie tutaj podziekowania) rowniez jest juz gotowa. Pozostaje jeszcze zrobienie ladnego interfejsu. Wiecej nic na razie nie powiem :) S20.INNE (NIZ 2.60) WERSJE OPROGRAMOWANIA Chwile juz temu pojawila sie nowa wersja oprogramowania plyty glownej - 2.70. Jedyna chyba nowosc w tej wersji to mozliwosc blokowania kart magnetycznych poprzez ich dzielnik - dzieki temu w srebrnych automatach wylaczono mozliwosc korzystania z kart z podzielnikiem odpowiadajacym maksymalnej pojemnosci karty wiekszej niz 25 jednostek. Krok ten niewat- pliwie zostal podyktowany masowym zalewem nielegalnie produkowanych kart. Wciaz mozliwe jest jednak zawyzanie liczby jednostek i nagrywanie na kar- tach 25 kilku jednostek wiecej poprzez wydluzenie zapisu w trzeciej czesci karty, jak to wymyslil Shadow. Posiadam tez dosc pokazny zbior plikow z oprogramowaniem w wersjach star- szych niz 2.60, ale raczej nie bede juz do nich zagladal... ============ WSPOLNE ========================================================= W1. GDY TPSA MA PODEJRZENIA Jesli cos dziwnego dzieje sie z automatem, tzn. statystyki przestaja sie zgadzac, TPSA odlacza automat od linii (co objawia sie brakiem jakiejkol- wiek reakcji po podniesieniu sluchawki). Wtedy, jesli rozmowy z linii da- lej sa wykonywane, oznacza to, ze ktos wpial sie w linie automatu. Jesli nie, to prawdopodobnie znaleziono jakis nowy blad w sofcie :) Takie odlaczenie automatu trwa czasem dwa tygodnie, a czasem i miesiac... W2. LINKI Ponizej umiescilem kilka linkow, ktore moga okazac sie przydatne: http://phreak.hack.pl - warto zobaczyc :))) * http://www.underground.org.pl - polecam PhreakBoard, czasem mozna nawet * dowiedziec sie tam czegos ciekawego, * a poza tym kto kogo nie lubi itp. ;)) http://www.telefonica.com.pl http://www.urmet.it http://www.geocities.com/ResearchTriangle/Lab/1578/smart.htm - strona o bezpieczenstwie kart elektronicznych http://gsho.thur.de - German Smartcard Hackers Organisation - po niemiecku! W3. ZAKONCZENIE Na zakonczenie chcialbym powiedziec, ze, niestety, nie rozdaje kodow zrodlowych, chyba ze ktos mialby cos naprawde ciekawego do wymiany, choc w zasadzie nie wiem, co jeszcze mogloby mi byc potrzebne... ;) Wszysko, co mam do rozdawania, mozna znalezc na stronie phreak.hack.pl, a jesli czegos tam nie ma, to znaczy ze tego nie mam albo nie chce dac. I uwaga: NICZEGO NIE SPRZEDAJE!!! Powtarzam: NICZEGO NIE SPRZEDAJE!!! Chcialbym tez dodac, ze podczas swoich doswiadczen nigdy nie zrobilem krzywdy zadnemu automatowi, za to udalo mi sie wiele automatow przywro- cic do stanu uzywalnosci... Prosze tez o troche cierpliwosci w oczekiwaniu odpowiedzi na listy, a zwlaszcza w wakacje... Teraz nadszedl czas na to co zwykle: Podziekowania i pozdrowienia: - Aga - tu sie nic nie zmienilo: dzieki za wszystko  - Aldi, Madzia - :) - Przemek - dzieki za baaaardzo mila wspolprace, genialne pomysly, wspolne wyprawy i w ogole za wszystko :))) - Diodak - :) - Zabka - :) - Shroom Inc. - podziekowania za napisanie Shroom FAQ - Nol, Shadow, Robercik - dzieki za pomoc przy rozpracowywaniu softu - Xzbir - czlowiek, ktoremu sie chce cos robic i nie czeka na gotowe :) - Diceman - jeden z nielicznych, ktory wie, co tu sie dzieje ;) Pozdrowienia dla wszystkich z Urmet Developers :) I to juz tyle. Na razie... :) ===================> Koniec <=================== ============ Obetnij =========================================== -----BEGIN PGP PUBLIC KEY BLOCK----- Version: PGPfreeware 5.0i for non-commercial use mQGiBDgBAVYRBAD4gtSMwwA3ePUhkwUAZitgL3gFc5Z+sTgz+7CACF5WiGmfoVt6 vI3a9AtCPKaWiUXFltt/DVkVvSvmdLMvOJI+06/cSUjFN3tUGBxHOsH6OMqJOzEd Wn2XJf5QLUyBupfqtJoPe4tqyqC9F65Xqzk6EsPWf8EREmMcWft4nHeDDQCg/33m yng1QTKq/66EmEpSlcblXbMEALweldeHgtsPF+MBS8JX2bFJp8zjJyPSPWPTeWSu f0f3E6J/yaCUqfyCfX7KgklU+blBlUYlyjyorsK1VQa1lUIdWcaMbgSLIEyyzu49 Z/euRE0sI4E46bHDQVVCZX2OA7w1HgYnOtx6DUnPc7NJLqcvyd7EfStYigJIYNJl Bpj1A/9JnXqC18WJSmqDYNbJrAMdVarGm93rRfd1Yccenm9wGWZtJORMGHaTp4qy HTWckL3aN0ZEoVtBz+LUcsczBFMk8AhjXP/eDF9O0+7ZwOT3rMHLonlWK2YRGd9P 0vhvVhH/QllAZnijHwYZLJenSuOC4YCcuJ/osuypJj1VCeeuELQgS29sbmllcnp5 ayA8a29sbkBmcmlrbzYub25ldC5wbD6JAEsEEBECAAsFAjgBAVYECwMBAgAKCRBV jKGUK7+FsnShAKDrjLzbzAgPSeVwazBpu0h0S+F3wwCbBMb95KoGAKWFHATebDgm 8YiYJdG0IEtvbG5pZXJ6eWsgPGtvbG5AcG9jenRhLm9uZXQucGw+iQBLBBARAgAL BQI4NKNzBAsDAQIACgkQVYyhlCu/hbKvXgCg8HzqGh4cqitX1teJDHQJpA+JIcMA njnAd+lP3VKxVJAJhTlT+zACQT6auQINBDgBAVcQCAD2Qle3CH8IF3KiutapQvMF 6PlTETlPtvFuuUs4INoBp1ajFOmPQFXz0AfGy0OplK33TGSGSfgMg71l6RfUodNQ +PVZX9x2Uk89PY3bzpnhV5JZzf24rnRPxfx2vIPFRzBhznzJZv8V+bv9kV7HAarT W56NoKVyOtQa8L9GAFgr5fSI/VhOSdvNILSd5JEHNmszbDgNRR0PfIizHHxbLY72 88kjwEPwpVsYjY67VYy4XTjTNP18F1dDox0YbN4zISy1Kv884bEpQBgRjXyEpwpy 1obEAxnIByl6ypUM2Zafq9AKUJsCRtMIPWakXUGfnHy9iUsiGSa6q6Jew1XpMgs7 AAICB/9kshefIzvExw89rTprhSINGlASU99itEYQlhBKu2FhHtVBw0RaW1h2OO7D 9hi21EOx2xe2OZMq9SHNnPW43tM3nKCd4wnZXNgPYZfyRH/+HJdJ2ms+bHXwhNcm lANPeSejZkU/sUc9VMnZILyB91f9WtOfCIUUn8J+aR9GG16yShCeyVavoypuSLAz gTTVdDADVRMxRrX7Xr+vKQn9V1I/6VRJOiBSY5xwMnxL2tDy9w2d64EBOHo7Js9f Q4BaUs6yo/nwU8mnUVmNvF3m7JK6OWrTMlEBsAtSTJNUXnXGbwV4QE8esBk79/7M jLwsiakyLrgfn2oH0CTpRx6kKGYqiQA/AwUYOAEBV1WMoZQrv4WyEQKB4ACfaGvY gDEFYqOiVIYPLrjIyOu09xQAoNDeNmaveOGj0Wu04Dv+i4JxjUmj =wWaL -----END PGP PUBLIC KEY BLOCK----- ============ Obetnij ===========================================