NVIDIA confirme une vulnérabilité d’attaque de défaillance de tension sur Tesla Autopilot

Un nouvel article de recherche en Allemagne révèle que NVIDIA a confirmé une vulnérabilité matérielle qui permet à un attaquant d’obtenir un contrôle privilégié de l’exécution du code pour le système de conduite semi-autonome Tesla. L’attaque implique une méthode « classique » de déstabilisation du matériel en introduisant des pics de tension, qui dans ce cas permet le déverrouillage d’un chargeur de démarrage normalement désactivé pour les consommateurs et destiné à des conditions de laboratoire.

L’attaque est également valable pour le système d’information de Mercedes-Benz, bien que avec des conséquences potentiellement moins dommageables.

L’article, intitulé La menace oubliée des défaillances de tension: une étude de cas sur les SoCs Tegra X2 d’Nvidia, provient de la Technische Universitat Berlin, suite à certains travaux de recherche récents qui ont révélé une faille similaire dans la virtualisation sécurisée d’AMD, publiée le 12 août.

L’article indique:

Nous avons divulgué nos résultats de manière responsable à Nvidia, y compris notre configuration expérimentale et nos paramètres. Nvidia a reconstruit nos expériences et a confirmé que l’injection de défauts affecte le SoC Tegra Parker testé et les puces plus anciennes. Selon eux, toutes les SoC Tegra plus récentes contiendraient des contre-mesures pour atténuer ce type d’attaques. De plus, ils ont proposé des contre-mesures pour réduire l’efficacité de l’injection de défauts de tension sur les puces vulnérables…

L’article indique que le type d’attaque démontrée dans leur recherche pourrait permettre à un adversaire de modifier le firmware du système pour manipuler les systèmes de contrôle essentiels, y compris la façon dont un véhicule autonome réagit aux obstacles humains.

Ils notent que même la manipulation des systèmes d’affichage de cockpit présente un danger réel, en permettant l’affichage de fausses informations sur la vitesse de conduite actuelle et d’autres informations essentielles à la conduite sécurisée du véhicule.

Injection de défaut de tension

L’injection de défaut de tension (FI), également connue sous le nom de défaillance de tension, sur- ou sous-alimente simplement le système pendant un moment. Il s’agit d’une forme de attaque très ancienne; les chercheurs notent que les cartes intelligentes ont été renforcées contre cette approche il y a deux décennies, et suggèrent que les fabricants de puces ont effectivement oublié cette vulnérabilité particulière.

Cependant, ils reconnaissent que la protection d’un système sur une puce (SoC) est devenue plus complexe ces dernières années en raison d’arbres de puissance complexes et de taux de consommation de puissance plus élevés qui peuvent exacerber la perturbation potentielle causée par une alimentation électrique perturbée.

Des attaques de ce type ont été possibles contre l’ancien SoC Tegra X1 d’NVIDIA dans le passé. Cependant, le nouveau SoC Tegra X2 (‘Parker’) est présent dans des systèmes plus critiques, y compris le système de conduite semi-autonome Tesla, ainsi que dans les systèmes utilisés par Mercedes-Benz et Hyundai.

L’article démontre une attaque de défaillance de tension sur le SoC Tegra X2 qui a permis aux chercheurs d’extraire du contenu de la mémoire morte interne (iROM) du système. Outre la compromission de la propriété intellectuelle des fabricants, cela permet la désactivation totale de l’exécution de code de confiance.

Compromission permanente possible

De plus, l’attaque n’est pas fragile ou nécessairement effacée au redémarrage: les chercheurs ont développé un « implant matériel » capable de désactiver de manière permanente la racine de confiance (RoT).

Schéma d’un « circuit de barre de torsion » développé par les chercheurs allemands – une modification matérielle permanente capable de manipuler la racine de confiance dans le Tegra X2. Source: https://arxiv.org/pdf/2108.06131.pdf

Pour cartographier l’attaque, les chercheurs ont cherché à déverrouiller la documentation cachée sur le X2 – des fichiers d’en-tête cachés inclus dans le paquet L4T. Les cartes sont décrites, bien que non explicitement, dans la documentation en ligne pour le flux de démarrage Jetson TX2.

Contrôle du flux du logiciel de démarrage du TX2. Source: https://docs.nvidia.com/

Cependant, bien qu’ils aient pu obtenir les informations nécessaires à partir des fichiers d’en-tête exfiltrés, les chercheurs notent qu’ils ont également reçu une aide significative en parcourant GitHub pour du code lié à NVIDIA:

Avant de réaliser que le fichier d’en-tête est offert par Nvidia, nous l’avons recherché sur GitHub. Outre la découverte d’un référentiel qui inclut le code Nvidia, la recherche a également mis au jour un référentiel appelé ”switch-bootroms”. Ce référentiel inclut le code source BR pour les SoC Tegra avec les numéros de modèle T210 et T214, alors que le T210 est le modèle original du Tegra X1 (codenamed ”Erista”), et le T214 est une version mise à jour, également appelée Tegra X1+ (codenamed ”Mariko”). Le X1+ inclut des vitesses d’horloge plus rapides et, à en juger par les commentaires et le code du référentiel, est durci contre les injections de défauts. Lors de nos investigations, l’accès à ce code a considérablement amélioré notre compréhension du X2.’

(Les notes de bas de page ont été converties en liens hypertextes par moi)

Tous les fusibles et les codes cryptographiques ont été découverts par la nouvelle méthode, et les dernières étapes du système de chargeur de démarrage ont été déchiffrées avec succès. La réalisation la plus notable de l’attaque est sans doute la capacité de la rendre persistante à travers les redémarrages via un matériel dédié, une technique développée pour la première fois par Team Xecuter pour l’implant Nintendo Switch sur la série de puces X1.

Atténuation

L’article suggère un certain nombre de méthodes de durcissement qui pourraient rendre les prochaines itérations du SoC X résistantes aux attaques de défaillance de tension. En discutant de la question avec NVIDIA, la société a suggéré que, dans le cas des SoC existants, des modifications au niveau de la carte mère seraient utiles, y compris l’utilisation d’époxydes résistants à la décomposition par la chaleur et les solvants. Si le circuit ne peut pas être facilement démonté, il est beaucoup plus difficile de le compromettre.

L’article suggère également qu’une carte de circuit imprimé (PCB) dédiée pour le SoC est un moyen d’exclure la nécessité de condensateurs de couplage, qui font partie de l’attaque décrite.

Pour les conceptions futures de SoC, l’utilisation d’un circuit de détection de défauts de tension transdomaine qui a été récemment breveté par NVIDIA pourrait permettre de déclencher des alertes en cas de perturbations de tension malveillantes ou suspectes.

Aborder le problème via un logiciel est plus difficile, car les caractéristiques des défauts exploités sont difficiles à comprendre et à contrer au niveau du logiciel.

L’article observe, apparemment avec surprise, que la plupart des mesures de sécurité évidentes ont été développées au fil du temps pour protéger l’ancienne puce X1, mais sont absentes dans le X2.

Le rapport conclut:

Les fabricants et les concepteurs ne doivent pas oublier les attaques matérielles simples qui existent depuis plus de deux décennies.’