NVIDIA bestätigt Anfälligkeit für Spannungsfehler-Angriff auf Tesla-Autopilot

Ein neues Forschungspapier aus Deutschland enthüllt, dass NVIDIA eine Hardware-Schwachstelle bestätigt hat, die es einem Angreifer ermöglicht, privilegierte Kontrolle über die Code-Ausführung des Tesla-Autopilot-Systems zu erlangen. Der Angriff umfasst eine “klassische” Methode, um Hardware durch die Einführung von Spannungsspitzen zu destabilisieren, was in diesem Fall das Entsperren eines Bootloaders ermöglicht, der normalerweise für Verbraucher deaktiviert ist und nur für Laborbedingungen vorgesehen ist.

Der Angriff ist auch für das Mercedes-Benz-Infotainmentsystem gültig, wenn auch mit offensichtlich weniger potenziell schädlichen Folgen.

Das Papier, betitelt Die vergessene Bedrohung durch Spannungsfehler: Eine Fallstudie zu Nvidia Tegra X2 SoCs, stammt von der Technischen Universität Berlin und folgt auf einige der jüngsten Arbeiten der gleichen Forscher, die einen ähnlichen Exploit in AMD Secure Encrypted Virtualization aufgedeckt haben, veröffentlicht am 12. August.

Das neue Papier besagt:

Wir haben unsere Ergebnisse verantwortungsvoll an Nvidia weitergegeben, einschließlich unseres experimentellen Aufbaus und der Parameter. Nvidia hat unsere Experimente rekonstruiert und bestätigt, dass Fehlerinjektionen die getesteten Tegra Parker SoCs und frühere Chips beeinträchtigen. Laut ihnen enthalten alle neueren Tegra SoCs Gegenmaßnahmen, um diese Arten von Angriffen abzuwehren. Darüber hinaus schlugen sie Gegenmaßnahmen vor, um die Wirksamkeit von Spannungsfehlerinjektionen auf anfällige Chips zu verringern…

Das Papier besagt, dass der in ihrer Forschung demonstrierte Angriff es einem Angreifer ermöglichen könnte, die Firmware des Systems zu verändern, um essentielle Steuersysteme zu manipulieren, einschließlich der Art und Weise, wie ein autonomes Fahrzeug auf menschliche Hindernisse reagiert.

Sie bemerken, dass sogar die Manipulation von Cockpit-Display-Systemen echte Gefahren birgt, da sie die Anzeige von Falschinformationen über die aktuelle Fahrzeuggeschwindigkeit und andere für den sicheren Betrieb des Fahrzeugs erforderliche Informationen ermöglichen.

Spannungsfehlerinjektion

Spannungsfehlerinjektion (FI), auch bekannt als Spannungsfehler, über- oder unterversorgt das System für einen Moment. Es handelt sich um eine sehr alte Angriffsmethode; die Forscher bemerken, dass Smartcards vor zwei Jahrzehnten gegen diese Methode gehärtet wurden und dass Chip-Hersteller diese spezifische Angriffsmethode offensichtlich vergessen haben.

Allerdings geben sie zu, dass der Schutz eines Systems auf einem Chip (SoC) in den letzten Jahren aufgrund komplexer Stromversorgungsbäume und höherer Leistungsverbrauchsraten, die die potenzielle Störung durch eine gestörte Stromversorgung verschlimmern können, komplexer geworden ist.

Angriffe dieser Art haben sich gegen die älteren NVIDIA Tegra X1 SoCs in der Vergangenheit als möglich erwiesen. Der neuere Tegra X2 SoC (“Parker”) ist jedoch in kritischeren Systemen wie Teslas Autopilot-Halfautonomes-Fahrsystem sowie in Systemen von Mercedes-Benz und Hyundai-Fahrzeugen verwendet.

Das neue Papier demonstriert einen Spannungsfehler-Angriff auf den Tegra X2 SoC, der es den Forschern ermöglichte, Inhalte aus dem internen Read-Only-Speicher (iROM) des Systems zu extrahieren. Neben der Kompromittierung des geistigen Eigentums der Hersteller ermöglicht dies die vollständige Deaktivierung der vertrauenswürdigen Code-Ausführung.

Permanente Kompromittierung möglich

Darüber hinaus ist der Einbruch nicht fragil oder notwendigerweise bei Neustart gelöscht: Die Forscher entwickelten einen “Hardware-Implantat”, das in der Lage ist, die Root of Trust (RoT) dauerhaft zu deaktivieren.

Diagramm eines ‘Crowbar-Circuits’, das von den deutschen Forschern entwickelt wurde – eine permanente Hardware-Modifikation, die in der Lage ist, die Root of Trust im Tegra X2 zu manipulieren. Quelle: https://arxiv.org/pdf/2108.06131.pdf

Um den Exploit zu kartieren, suchten die Forscher nach versteckten Dokumentationen über den X2 – versteckten Header-Dateien, die Teil des L4T-Pakets sind. Die Kartierungen werden beschrieben, wenn auch nicht explizit, in Online-Dokumentation für den Jetson TX2 Boot Flow.

Flusskontrolle der Boot-Software des TX2. Quelle: https://docs.nvidia.com/

Allerdings gaben sie zu, dass sie auch erhebliche Hilfe durch das Durchsuchen von GitHub nach obskuren NVIDIA-bezogenen Code erhalten haben:

Bevor wir realisierten, dass die Header-Datei von Nvidia angeboten wird, suchten wir danach auf GitHub. Neben dem Finden eines Repositorys, das den Nvidia-Code enthält, deckte die Suche auch ein Repository mit dem Namen “switch-bootroms” auf. Dieses Repository enthält geleakte BR-Quellcode für die Tegra-SoCs mit den Modellnummern T210 und T214, wobei T210 das Originalmodell des Tegra X1 (Codename “Erista”) ist und T214 eine aktualisierte Version ist, auch Tegra X1+ (Codename “Mariko”) genannt. Der X1+ enthält schnellere Taktraten und, wie aus Kommentaren und Code im Repository hervorgeht, ist er gegen FI gehärtet. Während unserer Untersuchungen erhöhte der Zugang zu diesem Code unser Verständnis des X2 massiv.

(Fußnoten in Hyperlinks umgewandelt von mir)

Alle Sicherungen und kryptografischen Codes wurden durch die neue Methode aufgedeckt und die späteren Stadien des Bootloader-Systems erfolgreich entschlüsselt. Die bemerkenswerteste Leistung des Exploits ist wahrscheinlich die Fähigkeit, ihn über Neustarts hinweg persistent zu machen, indem man eine spezielle Hardware verwendet, eine Technik, die ursprünglich von Team Xecuter für den Nintendo-Switch-Implantat auf dem X1-Chip entwickelt wurde.

Gegenmaßnahmen

Das Papier schlägt eine Reihe von Verstärkungsmethoden vor, die es ermöglichen könnten, zukünftige Iterationen der X-Serie-SoCs gegen Spannungsfehler-Angriffe zu schützen. In einer Diskussion mit NVIDIA schlug das Unternehmen vor, dass bei bestehenden SoCs Änderungen auf der Platine hilfreich sein könnten, einschließlich der Verwendung von Epoxidharzen, die resistent gegen Zersetzung durch Hitze und Lösungsmittel sind. Wenn das Board nicht leicht auseinandergebaut werden kann, ist es viel schwieriger, es zu kompromittieren.

Das Papier schlägt auch vor, dass eine dedizierte Leiterplatte (PCB) für den SoC eine Möglichkeit ist, die Notwendigkeit von Kopplungskondensatoren auszuschließen, die Teil des beschriebenen Angriffs sind.

Bei zukünftigen SoC-Designs könnte die Verwendung eines cross-domain-Spannungsfehler-Erkennungsschaltkreises, der kürzlich von NVIDIA patentiert wurde, es ermöglichen, Warnungen im Falle von böswilligen oder verdächtigen Spannungsstörungen auszulösen.

Die Lösung des Problems durch Software ist eine Herausforderung, da die Merkmale der ausgenutzten Fehler schwer zu verstehen und auf Software-Ebene zu bekämpfen sind.

Das Papier bemerkt, scheinbar mit einiger Überraschung, dass die meisten offensichtlichen Sicherheitsmaßnahmen im Laufe der Zeit entwickelt wurden, um den älteren X1-Chip zu schützen, aber im X2 fehlen.

Der Bericht schließt:

‘Hersteller und Designer sollten nicht vergessen, dass scheinbar einfache Hardware-Angriffe, die bereits seit mehr als zwei Jahrzehnten existieren, nicht zu vernachlässigen sind.’