薬品が溶かした「機械の心臓」
2026年9月13日、カナダのハードウェア愛好家 DiscoStarslayer が、初代 PlayStation 2（PS2）のセキュリティチップ「CXP102064」からファームウェアを抽出する全工程を公開した。1999年の初期ロットと共に出荷されたこの制御中枢は、26年間にわたって防衛を維持した末、高濃度の化学試薬と高倍率顕微鏡の前に屈した。ソニーが当時施したハードウェア暗号化の重層的な防壁は、物理レイヤーでの強引な解体によってついに突破された。
ゲーム機の歴史において、PS2の世界累計販売台数は1億5500万台という途方もない数字を記録している。これほど膨大な稼働台数と長い年月にわたる展開を誇るハードウェアにおいて、中核部品がブラックボックスのままである限り、その後のハードウェアレベルのエミュレーションや基板の低レベル修理は、常に迂回路を探る手探りの作業を強いられてきた。
「MechaCon」（Mechanism Controllerの略）と呼ばれるこの専用チップは、単なる通常の演算ユニットではない。光学ドライブのメカニカルな動作制御やフラッシュメモリの読み書きを司るだけでなく、「MagicGate」メモリカードの認証や主要な実行ファイル（KELF）の復号を担う唯一のハードウェア通信経路でもある。この階層の暗号鍵を封鎖することは、本体が物理メディアおよび外部ストレージに対して行使する最高検証権限を封鎖することと同義だった。
初期のハードウェアが出荷された当時、ソニーのエンジニアはセキュリティロジックをエポキシ樹脂の深部にハードワイヤードとして封入した。従来のソフトウェアテスト手法でその内部状態空間を総当たり探索することは、当時の計算能力を遥かに超える計算量を要求した。
図：化学薬品による腐食を経てダイが露出した PS2 セキュリティチップ。提供：Tom’s Hardware
強酸と顕微鏡で剥がされるシリコン
化学的開封（ケミカルデキャッピング）は、防護服を身にまとい腐食性の強い危険な液体と向き合う物理的な重労働である。研究チームは4年という歳月を費やし、加熱した濃酸溶液を用いてチップ外側のプラスチックパッケージを徐々に溶解させ、内部の微細なシリコンダイのパターンが大気中に完全に露出するまで作業を続けた。
続いて光学抽出が次の工程を担った。高倍率顕微鏡下で露出したシリコン回路を層ごとに高解像度撮影し、画像の比較対照とアルゴリズムによる合成を通じて、物理的なゲート回路の配置から特定のデジタル論理を逆算した。エンジニアリングの驚異的な忍耐力によって、物理構造が人間が読めるコードへと強制的に翻訳されたのである。
ハードウェア暗号化において、完全な物理的隔絶空間など存在しない。シリコンが物理世界に存在する限り、防御側が頼りとする物理的な障壁は、攻撃側の投入する時間と手間のコストへと最終的に置き換わる。
この攻防戦の最終段階において、チームは予期せぬ重大な進展を迎えた。セキュリティ研究者の Libby が、ノイズ混じりで未だ不完全な光学抽出データの中から悪用可能なソフトウェア脆弱性を発見し、完全なファームウェアを取得するまでの行程を劇的に短縮したのである。
開発者が明かした3つの技術的境界線
ハードウェアのリバースエンジニアリングにおける成果は、コミュニティ内で往々にして過大に喧伝されがちである。しかし、技術系メディアのコメント欄において、今回の抽出プロジェクトに参加した開発者 uyjulian 自身が、本成果の技術的境界線を冷静に示した。
彼は、読み出されたチップのファームウェアを手に入れたからといって、直ちにプラグアンドプレイの光学ドライブエミュレータ（ODE）が完成するわけではないと強調している。現在のデータ抽出手法では依然として特定のメモリ領域に対して大量の書き込み操作が必要であり、完全で非破壊的な再現に至るには、物理的なインターフェースの接続においてクリアすべき課題がいくつか残されている。
| 技術的アプローチ / 応用 | 過去20年間のコミュニティによる代替策 | 低レベルコード取得による実質的な技術的恩恵 |
|---|---|---|
| バックアップディスクの起動 | メモリーカードの欠陥、HDDの脆弱性、外部パッチに依存 | 仕組みの盲点に直接切り込み、手探りの認証回避が不要に |
| 光学ドライブエミュレータ（ODE）の開発 | 特定のリビジョン基板や専用のハードウェア割り込みが必要 | 中核セキュリティチップを直接置き換える基板の設計が可能に |
| リージョンフリー化とシステム権限 | 専用ツールを用いたソフトウェア権限昇格チェーンの構築 | リバースエンジニアリングプロジェクトに公式準拠の根本コードを提供 |
技術的な突破口を具体的な工学的恩恵の中に位置づける姿勢は、全面制覇を誇大に喧伝するよりも遥かに抑制的で信頼がおける。そもそもゲームディスクの内容自体は暗号化されておらず、オンライン認証を伴う部分を除けば、今回のファームウェアがコンテンツの復号に対して新たな近道を提供するわけではない。
図：PS2 本体の基板構造と MechaCon チップの配置。提供：Neoteo
ソフトウェアの特権昇格とハードウェア解析の決定的な違い
今回の物理的解剖以前、レトロゲームコミュニティにおける初期型PS2の自作ソフト（Homebrew）研究は、主にソフトウェアの脆弱性探索にとどまっていた。広く知られたブートエクスプロイトであれ、ディスク読み込みを契機とするバッファオーバーフローであれ、それらは本質的にメーカーが規定したシステム権限の枠組みの中でパッチを当てる対症療法に過ぎなかった。
専用のセキュリティチップは、本体全体の信頼の起点（Root of Trust）の最底辺に位置している。それがブラックボックスとして機能し続ける限り、高精度なエミュレータを開発しようとするエンジニアは、外部から観測される入出力信号の挙動だけを手がかりに推測エミュレーションを行うしかなかった。
ハードウェア逆解析の特異性は、その物理的な不変性にある。ソフトウェアレイヤーで露呈した特権昇格の脆弱性は、後続のハードウェアロットで容易に塞がれてしまうが、1999年にエポキシ樹脂の中に封じ込められたシリコンダイ内部のトランジスタ配列は、工場を出荷された瞬間の製造プロセスのまま永久に固定されている。
光学顕微鏡が読み出し専用メモリ（ROM）の物理的な結線状態を記録した瞬間、暗号化メカニズムのすべての手の内が明かされた。不鮮明な光学画像を解析するのに数十か月を費やすコストは甚大だが、その対価として得られたのは、特定のエクスプロイトに依存しない永続的な解である。
デジタル保存のための恒久的な基盤づくり
自作ソフトウェアを実行して制限を回避したいだけであれば、その需要は10年以上前に多様なソフトウェア・ハードウェアパッチによって既に満たされていた。後期の一部の型番では、パッチの注入によって未署名のディスクメディアを直接読み込ませることすら可能だった。
チップ内部のロジックを解明する真の価値は、レトロハードウェアの完全な低レベルエミュレーションと電子遺産の保存にある。20年以上稼働したマザーボードの電解コンデンサが寿命を迎え、特定の暗号化チップが物理的に破損したとき、修理者はもはや中古市場で動作品のドナー基板を探し回る必要がなくなる。
ハードウェア深部の認証メカニズムと実行ファイルの復号ルールが包括的に解明されたことで、将来のオープンソースコミュニティは、安価な汎用FPGA（Field-Programmable Gate Array）を用いて、この古びたセキュリティチップのすべてのタイミング信号と応答を忠実に再現できるようになる。
このようなセキュリティチップの防壁は、常に計算能力と投入時間の駆け引きに過ぎなかった。この成果の真の着地点は、レトロハードウェアの修理とデジタルエミュレーションの生態系を、誰かの引き出しの中に眠る物理的に劣化しやすい絶版部品への依存から、無限に複製可能で現代のあらゆるプラットフォーム上で再コンパイル・実行できるオープンなコード資産へと移行させたことにある。未来のエミュレータが当時の動作環境を再現しようとするとき、開発者はこのオープンソースの設計図をただ参照すればよいのだ。
参考リンク：
- Tom’s Hardware 報道
- Lobsters ディスカッション
- PSDev Wiki
- MechaPwn / TonyHax プロジェクト
- DiscoStarslayer による公開ノート
