NVIDIA potvrzuje zranitelnost napadení Voltage Glitch na Tesla Autopilot

Nová výzkumná práce z Německa odhaluje, že NVIDIA potvrdila hardwarovou zranitelnost, která umožňuje útočníkovi získat privilegovaný přístup k provádění kódu pro systém Tesla Autopilot. Útok zahrnuje “klasickou” metodu destabilizace hardwaru pomocí napěťových špiček, které v tomto případě umožňují odemknutí bootloaderu, který je obvykle zakázán pro spotřebitele a je určen pro laboratorní podmínky.

Útok je také platný pro infotainment systém Mercedes-Benz, i když s méně závažnými důsledky.

Práce, nazvaná Zapomenutá hrozba napěťového glitchingu: případová studie Nvidia Tegra X2 SoCs, pochází z Technische Universitat Berlin, a navazuje na některé z předchozích prací stejných výzkumníků, které odhalily podobný exploit v AMD Secure Encrypted Virtualization, publikovaný 12. srpna.

Práce uvádí:

My jsme odpovědně oznámili naše výsledky Nvidia, včetně našeho experimentálního nastavení a parametrů. Nvidia rekonstruovala naše experimenty a potvrdila, že vkládání chyb ovlivňuje testované Tegra Parker SoC a starší čipy. Podle nich by všechny novější Tegra SoC měly obsahovat protiopatření, aby tyto typy útoků zmírnily. Kromě toho navrhli protiopatření, aby snížili účinnost napěťového glitchingu na zranitelných čipech…

Práce uvádí, že typ útoku, který je demonstrován v jejich výzkumu, by mohl umožnit útočníkovi upravit firmware systému, aby narušil základní kontrolní systémy, včetně toho, jak autonomní vozidlo reaguje na lidské překážky.

Uvádějí, že i manipulace s kokpitem vozidla může představovat skutečné nebezpečí, umožňující zobrazení nesprávných informací o aktuální rychlosti jízdy a dalších informací, které jsou nezbytné pro bezpečný provoz vozidla.

Napěťový Glitch

Napěťový glitch (FI), také známý jako napěťové glitchování, jednoduše přepíná nebo podhodnocuje napájecí napětí systému na chvíli. Je to velmi stará forma útoku; výzkumníci uvádějí, že chytré karty byly zabezpečeny proti této metodě před dvěma desetiletími, a naznačují, že výrobci čipů effectively zapomněli na tento konkrétní útočný vektor.

Jednak uznávají, že ochrana systému na čipu (SoC) se stala složitější v posledních letech kvůli složitým napájecím stromům a vyšším rychlostem spotřeby energie, které mohou zhoršit potenciální narušení způsobené poruchou napájecího zdroje.

Útoky tohoto typu se ukázaly být možné proti staršímu NVIDIA Tegra X1 SoC v minulosti. Nicméně, novější Tegra X2 SoC (‘Parker’) je přítomný v kritičtějších systémech, včetně Tesla Autopilot semi-autonomního systému, stejně jako v systémech používaných Mercedes-Benz a Hyundai vozidel.

Práce demonstruje napěťový glitching útok na Tegra X2 SoC, který umožnil výzkumníkům extrahovat obsah z interní pouze pro čtení paměti (iROM) systému. Kromě ohrožení duševního vlastnictví výrobců to umožňuje úplné vypnutí důvěryhodného kódu.

Trvalé ohrožení možné

Dále, invaze není křehká nebo nutně zničená při restartu: výzkumníci vyvinuli “hardwarový implantát”, který je schopen trvale vypnout kořen důvěry (RoT).

Diagram ‘crowbar circuit’ vyvinutý německými výzkumníky – trvalá hardwarová modifikace schopná manipulovat kořenem důvěry v Tegra X2. Source: https://arxiv.org/pdf/2108.06131.pdf

Pro mapování exploitu se výzkumníci snažili odemknout skrytou dokumentaci o X2 – skryté hlavičkové soubory zahrnuté jako součást L4T balíčku. Mapování je popsáno, i když neexplicitně, v online dokumentaci pro Jetson TX2 Boot Flow.

Řízení toku boot softwaru TX2. Source: https://docs.nvidia.com/

Nicméně, i když získali potřebné informace z exfiltrace hlavičkových souborů, výzkumníci uvádějí, že také obdrželi významnou pomoc procházením GitHubu pro neznámý NVIDIA související kód:

Než jsme si uvědomili, že hlavičkový soubor je nabízen Nvidia, hledali jsme ho na GitHubu. Kromě nalezení repozitáře, který zahrnuje NVIDIA kód, hledání také odhalilo repozitář nazvaný ”switch-bootroms”. Tento repozitář zahrnuje uniklé BR zdrojový kód pro Tegra SoC s modelovými čísly T210 a T214, zatímco T210 je původní model Tegra X1 (kódové jméno ”Erista”), a T214 je aktualizovaná verze, také nazvaná Tegra X1+ (kódové jméno ”Mariko”). X1+ zahrnuje rychlejší takty a, soudě podle komentářů a kódu v repozitáři, je zabezpečen proti FI. Během našeho vyšetřování přístup k tomuto kódu výrazně zvýšil naše pochopení X2.’

(Poznámky pod čarou byly převedeny na hypertextové odkazy mnou)

Všechny pojistky a kryptografické kódy byly odhaleny novou metodou a pozdější fáze bootloader systému byly úspěšně dešifrovány. Nejvýznamnějším úspěchem exploitu je pravděpodobně schopnost učinit ho trvalým přes restarty pomocí dedikovaného hardwaru, techniku, která byla poprvé vyvinuta Team Xecuter pro Nintendo Switch implantát na X1 čipové řadě.

Mitigace

Práce navrhuje několik metod zpevnění, které by mohly učinit budoucí iterace X-series SoC odolné proti napěťovým glitching útokům. Při diskusi s NVIDIA navrhl výrobce, že v případě stávajících SoC by byly užitečné změny na úrovni desky, včetně použití epoxidových pryskyřic, které jsou odolné proti rozkladu teplem a rozpouštědly. Pokud nelze obvod snadno rozebrat, je mnohem obtížnější jej ohrozit.

Práce také navrhuje, že dedikovaná tištěná deska (PCB) pro SoC je jedním ze způsobů, jak vyloučit potřebu spojovacích kondenzátorů, které jsou součástí popsaného útoku.

Pro budoucí návrhy SoC by použití obvodů pro detekci napěťových glitchů, které byly nedávno patentovány NVIDIA, mohlo umožnit spuštění varovných signálů v případě zlých nebo podezřelých napěťových poruch.

Řešení problému softwarově je větší výzvou, protože charakteristiky chyb, které jsou zneužívány, jsou obtížné pochopit a protiopatřit na softwarové úrovni.

Práce uvádí, zdá se s překvapením, že většina zřejmých bezpečnostních opatření byla vyvinuta v průběhu času, aby chránila starší X1 čip, ale chybí v X2.

Zpráva uzavírá:

‘Výrobci a designéři by neměli zapomínat na zdánlivě jednoduché hardwarové útoky, které existují již více než dvě desetiletí.’