[Workshop] Nintendo Wii aufgebohrt - Homebrew-Software

Sie wollen eine Wii mit Homebrew als Mediaplayer inklusive YouTube oder als Webradio benutzen, Spiele von USB-Platte starten oder mit Google Earth um die Welt reisen? Tools und eine 2-GByte-SD-Karte machen es möglich.

Wenn die Faszination für Bewegungssteuerung und Gimmicks nachgelassen hat, vielleicht sogar schon die Xbox 360 oder PS3 wegen besserer Technik das Ruder übernommen haben, verstaubt Nintendos Wii im Regal - zu Unrecht, denn für keine der neuen Konsolen gibt es so viele von Hobbyprogrammierern entwickelte, kostenlose Zusatzapplikationen, sogenannte Homebrew-Software.

Um das Überschwemmen des Marktes mit minderwertiger Software zu verhindern, müssen alle Wii-Programme mit einem geheimen, bisher nicht bekannten Schlüssel signiert sein. Anfang 2008, also nur etwas mehr als ein Jahr nach Veröffentlichung der Konsole in Europa, erschien ein erster Hack auf Basis des Spiels "Legend of Zelda: Twilight Princess" und eines modifizierten Spielstandes (der sogenannte "Twilight Hack"), der es erlaubte, unsignierte Software auf der Wii laufen zu lassen.

Inzwischen müssen Sie nicht einmal mehr das "Zelda"-Spiel besitzen - eine SD-Karte und entsprechende Tools reichen aus.

Das Modifizieren der Wii zur Nutzung von Homebrew-Software ist allerdings nicht ganz ungefährlich, da die Firmware verändert wird. Das kann dazu führen, dass die Wii nicht mehr hochfährt und damit nutzlos wird - sie wird in der Hackersprache zum "Brick" (Ziegelstein).

Das Gleiche kann passieren, wenn Sie die Wii nach der Modifizierung über das Systemmenü initialisieren oder ein Firmware-Update durchführen. Entscheiden Sie daher selbst, ob Sie sich auf das Abenteuer Homebrew-Software einlassen möchten.

1. Hintertürchen

Um unsignierte Software auf der Wii ausführen zu können, machen sich die Wii-Hacker Programmierfehler in der Nintendo-Firmware zunutze, genauer gesagt Fehler in den Signaturabfragen innerhalb der Systemmodule, die die Wii verwendet. Um Programme installieren zu können, werden zwei Schlüssel benötigt: ein Common Key und ein Private Key.

Der Common Key lässt sich aus dem Speicher der Wii auslesen, den Private Key kennt bisher nur Nintendo. Dieser liegt auf deren Server. Durch einen Programmierfehler war es bis Firmware-Version 3.2 möglich, mithilfe des Common Keys und einer leeren Zeichenkette die Routine auszutricksen, die das Zertifikat überprüfen soll.

Ein gültiges Zertifikat lässt sich nach Einschleusen des leeren Strings mithilfe einer einfachen Brute-Force-Attacke ermitteln. Dieser Bug ist als Trucha Bug bzw. Signing Bug bezeichnet worden und wird auch bei der aktuellen Wii-Firmware genutzt, indem die relevanten Systemmodule wieder mit dem Trucha-Bug versehen werden - eines der ersten Tools dafür hieß entsprechend Trucha Bug Restorer.

Es gibt noch einen zweiten Patch für die Systemmodule, bei denen es mit dem Trucha Bug nicht funktioniert. Dieser Patch betrifft die Systemfunktionen ES_Identify und ES_ DiVerify und sorgt u.a. dafür, dass sich ein Systemmodul als ein anderes ausgibt.

Ein Wii-Systemmodul wird als IOS bezeichnet und liegt in einem von 255 vorgesehenen Bereichen, sogenannten Slots. Im Gegensatz zu Betriebssystemmodulen aus der PC-Welt ist bei der Wii immer nur ein IOS-Modul aktiv. So wird z.B. IOS31 vom Wetter-, News- und Fotokanal verwendet, IOS70 enthält das Systemmenü von Firmware 4.2.

Das Modifizieren dieser Module ist nicht ungefährlich, ein Backup der Firmware (sog. NAND-Backup) also sinnvoll. Hier kommt Experimentierfreudigen bei älteren Wiis noch eine Sicherheitslücke in der Boot-Sequenz entgegen. Bevor das Systemmenü mit den Channels angezeigt wird, bootet die Wii über mehrere Stufen: boot0 startet vom Prozessor aus und bootet boot1, das sich in der Firmware befindet.

boot1 ist digital signiert. Wird es mutwillig verändert, wird der Bootvorgang beendet - der Fernseher bleibt schwarz, die Wii ist "gebricked". Gleiches gilt für boot2, das schließlich das Systemmenü der Wii startet. Bei älteren Wiis wurde die Signaturüberprüfung in boot1 fehlerhaft implementiert, sodass sich alternativer Code in boot2 installieren ließ.

Bei Wiis, die seit Anfang 2008 produziert werden und deren Seriennummern in Europa mit "LEH250" oder höher beginnen, in den USA mit "LU64" (daher der Begriff der LU64+-Wii-Varianten), wurde der boot1-Code gefixed, sodass man keinen eigenen Code mehr alternativ zum Original-boot2 einschleusen kann.

Ältere Konsolen können in boot2 das Tool BootMii installieren, mit dem es jederzeit möglich ist, ein komplettes NAND-Backup zurückzuspielen - ein nahezu sicherer Brick-Schutz, der bei neueren Konsolen nicht möglich ist. Bei neueren Wiis kann man BootMii lediglich als IOS installieren, im Zusammenspiel mit dem Priiloader ist aber auch hier ein gewisser, wenn nicht ganz so sicherer, Schutz gegeben.

Die folgenden Schritte basieren auf der zu Redaktionsschluss aktuellen Firmware 4.2E - probieren Sie sie KEINESFALLS bei einer Wii mit älterer Firmware-Version sowie einer koreanischen Wii aus, und überprüfen Sie bei neueren Firmwares durch Suche im Web, ob sich etwas geändert hat!!!

Die 4er-Versionen bieten gegenüber den 3ern Bugfixes und neue Features, unter anderem auch die nicht ganz unwichtige Unterstützung für die größeren SDHC-Speicherkarten.