0x00 USB PD協(xié)議背景知識(shí)

USB PD（Power Deliver）協(xié)議是USB IF協(xié)會(huì)制定的USB充電標(biāo)準(zhǔn)與技術(shù)，是目前主流的快充協(xié)議之一，其最大供電能力可達(dá)100W，被應(yīng)用在各種設(shè)備的電源上。USB PD協(xié)議利用USB Type-C接口的CC(Configuration channel)引腳作為數(shù)據(jù)傳輸通道來協(xié)商充電的電壓、電流和功率傳輸方向，在介紹USB PD協(xié)議的具體內(nèi)容之前，先簡(jiǎn)單介紹一下其依賴的USB Type-C接口。

如上圖所示，Type-C接口可以完全替代Type-A、Type-B、Micro AB等各種USB接口，實(shí)現(xiàn)數(shù)據(jù)傳輸、電力傳輸。USB PD協(xié)議就是基于Type-C接口的強(qiáng)大功能實(shí)現(xiàn)的。Type-C接口的引腳示意圖如下所示，VBUS為總線電源，D+、D-為USB2.0的差分信號(hào)線，TX+、TX-、RX+、RX-為SuperSpeed差分信號(hào)，SBU（Sideband Use）為旁路使用，CC為配置通道。Type-C接口最大功率傳輸可達(dá)100W(20V/5A)，最大數(shù)據(jù)傳輸速率為10Gbps?？梢钥吹?，在公頭上只有一個(gè)CC引腳，母頭上的CC引腳是對(duì)稱的，所以也可以利用CC引腳判斷正反插。

USB PD協(xié)議的工作原理是利用Type-C接口的CC線作為數(shù)據(jù)線來協(xié)商電壓、電流以及供電方向，整個(gè)通信過程需要按照特定的數(shù)據(jù)包格式，并且存在相互認(rèn)證的過程。下面先介紹一些USB PD中常見的名詞，這些名詞在后面也會(huì)用到。

• Source：通常指電源提供端，如電源適配器。
• Sink：通常指電源消耗端，如手機(jī)、平板。
• E-Marker(electronic marker)：電子標(biāo)記，一般存在于Type-c to Type-c的線纜中。
• CC(Configuration Channel) ：配置通道，用于識(shí)別、控制等。
• BMC(Biphase Mark Coding)：雙相位標(biāo)識(shí)編碼，通過CC通信。
• DFP(Downstream Facing Port)：下行端口，即為HOST或者HU B下行端口。
• UFP(Upstream Facing Port)：上行端口，即為Device或者HUB的上行端口。
• DRD (Dual-Role Data)：能作為DFP/UFP。
• DRP (Dual-Role Power)：能做為Sink/Sour ce。
• SOP(Start of Packet Sequences)：所有的PD傳輸流程，都是以SOP開始，SOP*代表SOP，SOP’，SOP''。
• EOP (End of Packet)：數(shù)據(jù)包結(jié)束標(biāo)志。

0x01 USB PD協(xié)議的數(shù)據(jù)格式

USB PD協(xié)議通過特定格式的數(shù)據(jù)包進(jìn)行通信，數(shù)據(jù)包的格式如下所示。

一個(gè)完整的USB PD數(shù)據(jù)包由前導(dǎo)碼(Preamble)，使用場(chǎng)景碼(SOP*)，功能碼(MessageHeader)，數(shù)據(jù)碼(Byte0-n)、校驗(yàn)碼(CRC)以及結(jié)束碼(EOP)組成，如果數(shù)據(jù)部分為空，說明數(shù)據(jù)包僅作為控制指令使用，稱為控制消息。有數(shù)據(jù)內(nèi)容的稱為數(shù)據(jù)消息，通常數(shù)據(jù)消息里包含了要變化的電壓值和電流值等信息。整個(gè)USB PD數(shù)據(jù)包中，除了前導(dǎo)碼不需要進(jìn)行4b5b編碼外，數(shù)據(jù)包的其他部分均需要進(jìn)行4b5b編碼，指定數(shù)據(jù)經(jīng)過4b5b編碼后，數(shù)據(jù)包中所有數(shù)據(jù)都需要使用BMC編碼之后才能通過CC發(fā)送。4b5b編碼和BMC編碼會(huì)在下一章節(jié)詳細(xì)介紹。

前導(dǎo)碼(Preamble)

前導(dǎo)碼(Preamble)是為了鎖定接收端，預(yù)示發(fā)送端將要有數(shù)據(jù)到達(dá)，前導(dǎo)碼由64位交替的‘0’和‘1’組成，以'0'開始，以'1'結(jié)束。

使用場(chǎng)景碼(SOP*)

所有的USB PD傳輸流程，都是以SOP開始，SOP代表SOP，SOP'，SOP''。不同的使用場(chǎng)景會(huì)用到不同SOP，每一個(gè)SOP也由不同的特殊編碼組成。如SOP是由3個(gè)Sync-1和1個(gè)Sync-2組成，對(duì)應(yīng)的5b編碼可以在4b5b編碼表中查到。

數(shù)據(jù)包使用SOP作為開頭，說明該數(shù)據(jù)包是在Source與Sink之間進(jìn)行的。

SOP'由2個(gè)Sync-1和2個(gè)Sync-3組成，其順序如下圖。

SOP''也是由2個(gè)Sync-1和2個(gè)Sync-3組成，但是其順序與SOP'不同。

數(shù)據(jù)包使用SOP'或SOP''，則說明是Source與E-Marker之間的通信過程，不同的是，SOP'體現(xiàn)的是Source與線材近端E-Marker的通信，SOP''體現(xiàn)的是Source與線材遠(yuǎn)端E-Marker的通信。

功能碼（Message Header）

功能碼長(zhǎng)度16-bits，通常包含數(shù)據(jù)包類型、端口角色（UFP/DFP)、PD協(xié)議版本等信息，功能碼的組成如下圖所示。

從列表中可以看出，不同的功能碼需要特定的SOP*，這個(gè)在之前也有提到，下面介紹一些常用的功能碼。

Extended

Extended是用來表示該數(shù)據(jù)包是否包含外部指令的功能碼，該位置1，表示數(shù)據(jù)包中存在外部指令，反之則沒有。如果數(shù)據(jù)包中包含外部指令，指令內(nèi)容會(huì)跟在功能碼后面進(jìn)行傳輸。USB PD協(xié)議的外部指令使用的比較少，在這里就不做詳細(xì)的介紹了。

Number of Data Objects

當(dāng)Extended置0時(shí)，Number of Data Objects才可以使用，該功能碼有3-bits，用來表示功能碼后跟的數(shù)據(jù)的位數(shù)，如果Number of Data Objects置0，則表示功能碼后沒有數(shù)據(jù)，該數(shù)據(jù)包為控制消息。如果該功能碼置1，則表示該數(shù)據(jù)包為數(shù)據(jù)消息。

Port Power Role & Port Data Role

這兩個(gè)功能碼都是表示端口的電源角色（Source/Sink)和數(shù)據(jù)角色（DFP/UFP），該位置1時(shí)表示Source/DFP，該位置0表示Sink/UFP。

Message Type

Message Type有5-bits，是功能碼中比較重要的位，需要和Number of Data Objects 結(jié)合使用，前面提到Number of Data Objects決定了數(shù)據(jù)包的消息類型，Message Type 則表示具體的指令類型。當(dāng)Number of Data Objects置0， Message Type則可以表示以下控制指令。例如當(dāng)接收器成功接收數(shù)據(jù)包并CRC校驗(yàn)正確后，會(huì)向發(fā)送端發(fā)送帶有GoodCRC和Message ID的數(shù)據(jù)包，來表示通信成功。

當(dāng)Number of Data Objects置1時(shí)，Data Message Types可表示以下指令，例如Source會(huì)在通信過程中向Sink發(fā)送Source_Capabilitties來表示供電能力，Sink可以從供電能力列表中進(jìn)行選擇并通過Request指令發(fā)送給Source端。

數(shù)據(jù)碼(Byte0-n)

數(shù)據(jù)碼只有在數(shù)據(jù)包類型為數(shù)據(jù)消息時(shí)才會(huì)使用，具體的數(shù)據(jù)內(nèi)容需要根據(jù)指令的內(nèi)容改變，例如在使用Source_Capabiliities消息指令時(shí)，數(shù)據(jù)碼就會(huì)存放Source的供電能力。數(shù)據(jù)碼同樣需要使用4b5b進(jìn)行編碼。

校驗(yàn)碼(CRC)

功能碼和數(shù)據(jù)碼都需要由32bits的CRC校驗(yàn)進(jìn)行保護(hù)，校驗(yàn)碼的生成機(jī)制比較繁瑣，一般都會(huì)使用查表的方式實(shí)現(xiàn)，在這里也不做詳細(xì)的介紹了，感興趣的小伙伴可以參考USB IF協(xié)會(huì)的官方文檔。

結(jié)束碼(EOP)

結(jié)束碼表示整個(gè)數(shù)據(jù)包的結(jié)束，在4b5b編碼表中可以找到對(duì)應(yīng)的5b編碼，為01101。

0x02 USB PD協(xié)議的編碼方式

4B5B編碼

在USB PD協(xié)議的數(shù)據(jù)包中，除了前導(dǎo)碼(Preamble)之外，其他部分均需要使用4b5b編碼，官方的說法是為了降低接收端設(shè)計(jì)的復(fù)雜度，提高接收端設(shè)計(jì)的自由度。4b5b編碼的原理是建立一個(gè)4b5b編碼表，將4-bits的數(shù)據(jù)與5-bits的數(shù)據(jù)進(jìn)行對(duì)應(yīng)，發(fā)送端根據(jù)編碼表對(duì)4-bits數(shù)據(jù)進(jìn)行編碼，接收端根據(jù)編碼表對(duì)5-bits數(shù)據(jù)進(jìn)行解碼，編碼表的具體內(nèi)容如下圖所示。

從圖中可以看出，除了基本的hex數(shù)據(jù)外，還定義了一些特定的編碼，如Sync-1、RST-1等，這些特定的編碼會(huì)組成SOP*，在介紹USB PD協(xié)議數(shù)據(jù)格式時(shí)也有提到。另外，編碼表中還預(yù)留了多個(gè)未定義的5b編碼，可以作為的擴(kuò)展指令使用。

BMC編碼

USB PD協(xié)議的數(shù)據(jù)包中，所有的數(shù)據(jù)都需要使用BMC進(jìn)行編碼，BMC編碼屬于物理層的操作，經(jīng)過編碼之后的數(shù)據(jù)通過CC線進(jìn)行傳送。

上圖為BMC編碼的示例，BMC編碼規(guī)則是曼切斯特編碼的一個(gè)版本，按照脈寬來設(shè)定的0和1，從示例中可以看到，在一個(gè)周期里有高低電平變化為1，否則為0。

USB PD協(xié)議編解碼流程

以上詳細(xì)介紹了USB PD協(xié)議數(shù)據(jù)包的格式和各個(gè)部分的功能，那么對(duì)于一個(gè)完整的數(shù)據(jù)包，發(fā)送端發(fā)送的流程是什么，接收端接收到數(shù)據(jù)之后會(huì)進(jìn)行哪些處理呢。

上圖為一個(gè)完整的數(shù)據(jù)包發(fā)送和接收的流程圖，可以看到，在發(fā)送數(shù)據(jù)時(shí)，需要將經(jīng)過CRC校驗(yàn)后的數(shù)據(jù)使用4b5b編碼，再使用BMC編碼才可以通過CC發(fā)送。在接收數(shù)據(jù)時(shí)，首先進(jìn)行BMC解碼，然后需要確定SOP的位置，因?yàn)镾OP后的數(shù)據(jù)才是真正的有用的數(shù)據(jù)，再進(jìn)行5b4b的解碼，校驗(yàn)CRC。

介紹完理論，來看一下在實(shí)際的數(shù)據(jù)包。下面是使用邏輯分析儀抓取的USB PD協(xié)議通信數(shù)據(jù)包，使用上面介紹到的內(nèi)容對(duì)這個(gè)數(shù)據(jù)包進(jìn)行解析。

首先，BMC解碼，根據(jù)BMC編碼規(guī)則，識(shí)別出'0'和'1'，已經(jīng)標(biāo)注在圖中。SOP識(shí)別，標(biāo)注出的前20 bits為00011 00011 00011 10001，我們可以將這些數(shù)據(jù)理解為4組經(jīng)過4b5b編碼的數(shù)據(jù)，由于在傳輸數(shù)據(jù)時(shí)采用大端模式，所以需要將數(shù)據(jù)的高低位交換，轉(zhuǎn)換之后為11000（Sync-1) 11000（Sync-1) 11000（Sync-1) 10001(Sync-2)，也就是SOP(Sync-1、Sync-1、Sync-1、Sync-2)。同樣的，SOP后的數(shù)據(jù)也需要先高低位交換，識(shí)別結(jié)果為Source_Capabilities，說明該消息是用來表明Source的供電能力的，那么數(shù)據(jù)包中也會(huì)包含數(shù)據(jù)碼，分析的方法跟前面也是一樣的。

在日常的工作中，其實(shí)并不需要手工去分析大量的USB PD的消息類型，目前大部分邏輯分析儀都可以對(duì)USB PD協(xié)議進(jìn)行解析，另外也可以借助CY4500 EZ-PD?協(xié)議分析儀對(duì)USB PD通信邏輯進(jìn)行分析，只有部分邏輯分析儀無法識(shí)別的內(nèi)容，才需要我們根據(jù)協(xié)議內(nèi)容去進(jìn)行分析，這些內(nèi)容大部分是USB PD芯片廠商定義的調(diào)試消息類型。

以上詳細(xì)介紹了單個(gè)USB PD數(shù)據(jù)包的構(gòu)成，以及如何去識(shí)別數(shù)據(jù)包的內(nèi)容，DFP和UFP通過數(shù)據(jù)包進(jìn)行通信，就是USB PD協(xié)議認(rèn)證協(xié)商的過程。

0x03 USB PD協(xié)議認(rèn)證協(xié)商

我們知道，不同的設(shè)備需要不同的充電電壓、電流，手機(jī)需要9V/2A，平板需要15V/2A，電腦需要20V/3.25A，那么電源是如何實(shí)現(xiàn)根據(jù)設(shè)備需求提供定制化輸出的呢？

支持USB PD協(xié)議的設(shè)備，在與電源連接時(shí)，會(huì)進(jìn)行認(rèn)證和協(xié)商，協(xié)商內(nèi)容包括電源可提供的充電能力，設(shè)備支持的充電功率等。

上圖為USB PD認(rèn)證協(xié)商的流程圖。首先DFP向UFP發(fā)送Source Capabilities 來表明其供電能力，UFP接收到該數(shù)據(jù)包校驗(yàn)無誤后會(huì)向DFP發(fā)送GoodCRC，表明接收成功，隨后UFP會(huì)從DFP的Capabilities中選擇合適功率并使用Request消息發(fā)送給DFP，同樣DFP也會(huì)對(duì)數(shù)據(jù)包校驗(yàn)并返回GoodCRC。DFP在收到UFP的Request之后，會(huì)判斷能否滿足該Request，如果可以則發(fā)送Accept，同時(shí)DFP會(huì)調(diào)整內(nèi)部電源，準(zhǔn)備向UFP供電，準(zhǔn)備完成之后會(huì)向UFP發(fā)送PS_Ready消息并將電壓、電流轉(zhuǎn)換成UFP請(qǐng)求的值，待UFP回復(fù)GoodCRC，整個(gè)協(xié)商過程完成，電源與設(shè)備建立起快充關(guān)系。

上圖是使用CY4500 EZ-PD?協(xié)議分析儀對(duì)協(xié)商過程進(jìn)行監(jiān)控得到的數(shù)據(jù)，從數(shù)據(jù)中可以看出，在DFP發(fā)送PS_Ready消息之前，VBUS的電壓為5V，電流幾乎為0，在DFP發(fā)送PS_Ready消息的同時(shí)，VBUS電壓升為20V，開始對(duì)設(shè)備進(jìn)行快充。

0x04 USB PD協(xié)議安全性分析

前面詳細(xì)介紹了USB PD協(xié)議的數(shù)據(jù)格式、協(xié)商認(rèn)證過程，了解了其工作原理，USB PD協(xié)議的具體實(shí)現(xiàn)需要使用USB PD芯片，USB PD協(xié)議本身也是公開的，數(shù)據(jù)包中包含CRC校驗(yàn)，并使用4b5b編碼和BMC編碼，可以說協(xié)議在設(shè)計(jì)的時(shí)候就把安全考慮進(jìn)去，但是各個(gè)廠商的USB PD協(xié)議芯片的安全性可以說是參差不齊了。USB PD協(xié)議芯片一般包括物理層、協(xié)議層和策略層，物理層包括一些通用寄存器和PD專用寄存器，還有BMC編解碼的功能等，協(xié)議層就會(huì)包含SOP*的識(shí)別、協(xié)議的實(shí)現(xiàn)等內(nèi)容，策略層則包括一些上層策略。所以需要對(duì)芯片進(jìn)行編程，配置策略，實(shí)現(xiàn)協(xié)議，當(dāng)然就會(huì)存在固件。由于USB PD協(xié)議僅使用CC線進(jìn)行通信，所以芯片廠商也會(huì)通過CC線對(duì)USB PD芯片進(jìn)行固件燒錄，在燒錄方式上目前存在三種形態(tài)。

第一種是原廠單次燒錄（OTP），這種芯片只在出貨之前被燒錄一次，不會(huì)被再次修改，也就是說不存在燒錄惡意固件的問題。同時(shí)也因?yàn)橹恢С忠淮涡詿?，所以這種協(xié)議芯片往往只會(huì)兼容標(biāo)準(zhǔn)的、成熟的快充協(xié)議，后續(xù)如果出現(xiàn)其他快充協(xié)議，協(xié)議芯片很難兼容。

第二種是開放式的多次燒錄（eFlash/MTP），這種協(xié)議芯片配置靈活，可以利用開發(fā)工具修改固件，完成對(duì)新快充協(xié)議的兼容以及修復(fù)后續(xù)出現(xiàn)的BUG，出貨量較大。不過這種芯片對(duì)應(yīng)的開發(fā)工具可以比較容易買到，存在較大安全風(fēng)險(xiǎn)。

第三種是加密式的多次燒錄（eFlash/MTP），芯片配置同樣非常靈活，不過只有掌握了密鑰才能獲得固件更新的權(quán)限，而密鑰一般都有充電器廠商保管。在技術(shù)層面，這樣既保證充電器對(duì)BUG的修復(fù)能力，又能保護(hù)充電器不會(huì)被惡意更改程序，是USB PD快充充電器的最佳選擇，但是如果廠商將密鑰存儲(chǔ)在燒錄軟件本地或者燒錄設(shè)備中，也有可能存在密鑰泄露的情況。

所以，USB PD協(xié)議的安全性主要取決于芯片廠商的取舍，以上三種形態(tài)都在一定程度上犧牲了產(chǎn)品的功能性或者安全性，至于如何去平衡功能性和安全性，這是開發(fā)人員和安全研究人員一直需要思考和面對(duì)的問題，我們要知道， 沒有絕對(duì)的安全 。