NVIDIA Conferma Vulnerabilità di Attacco di Glitch di Tensione su Tesla Autopilot

Un nuovo studio di ricerca proveniente dalla Germania rivela che NVIDIA ha confermato una vulnerabilità hardware che consente a un attaccante di ottenere il controllo privilegiato dell’esecuzione del codice per il sistema di guida autonoma di Tesla. L’attacco coinvolge un metodo “classico” di destabilizzazione dell’hardware introducendo picchi di tensione, che in questo caso consente di sbloccare un bootloader normalmente disabilitato per i consumatori e destinato a condizioni di laboratorio.

L’attacco è anche valido per il sistema di intrattenimento di Mercedes-Benz, seppur con conseguenze potenzialmente meno dannose.

Lo studio, intitolato La minaccia dimenticata del glitch di tensione: uno studio di caso su Nvidia Tegra X2 SoCs, proviene dalla Technische Universitat Berlin, ed è il follow-up di alcuni dei recenti lavori di ricerca degli stessi ricercatori che hanno scoperto una simile vulnerabilità in AMD Secure Encrypted Virtualization, pubblicata il 12 agosto.

Lo studio afferma:

Noi abbiamo segnalato responsabilmente le nostre scoperte a Nvidia, compreso il nostro setup sperimentale e i parametri. Nvidia ha ricostruito i nostri esperimenti e ha confermato che l’iniezione di fault ha un impatto sui chip Tegra Parker SoC e sui chip precedenti. Secondo loro, tutti i nuovi SoC Tegra conterrebbero contromisure per mitigare questo tipo di attacchi. Inoltre, hanno proposto contromisure per ridurre l’efficacia dell’iniezione di fault di tensione sui chip vulnerabili…

Lo studio afferma che il tipo di attacco dimostrato nella loro ricerca potrebbe consentire a un avversario di alterare il firmware del sistema per manomettere i sistemi di controllo essenziali, compreso il modo in cui un veicolo autonomo reagisce agli ostacoli umani.

Sottolineano che anche la manomissione dei sistemi di visualizzazione della cabina di pilotaggio comporta un pericolo reale, consentendo la visualizzazione di informazioni false sulla velocità di guida attuale e altre informazioni essenziali per la sicurezza del veicolo.

Iniezione di Fault di Tensione

L’iniezione di fault di tensione (FI), anche nota come glitch di tensione, sovralimenta o sottalimenta il sistema di alimentazione per un momento. È una forma di attacco molto vecchia; i ricercatori notano che le smart card sono state rinforzate contro questo approccio due decenni fa, e suggeriscono che i produttori di chip hanno effettivamente dimenticato questo particolare vettore di attacco.

Tuttavia, riconoscono che proteggere un System on a Chip (SoC) è diventato più complesso negli ultimi anni a causa di alberi di potenza complessi e tassi di consumo di potenza più elevati che possono esacerbare la potenziale interruzione causata da un’alimentazione perturbata.

Gli attacchi di questo tipo hanno dimostrato di essere possibili contro il vecchio SoC NVIDIA Tegra X1 in passato. Tuttavia, il nuovo SoC Tegra X2 (‘Parker’) è presente in sistemi più critici, compreso il sistema di guida autonoma semi-autonoma di Tesla, nonché in sistemi utilizzati da Mercedes-Benz e Hyundai.

Lo studio dimostra un attacco di glitch di tensione sul SoC Tegra X2 che ha consentito ai ricercatori di estrarre contenuti dalla memoria di sola lettura (iROM) interna del sistema. Oltre a compromettere la proprietà intellettuale dei produttori, ciò consente la disabilitazione totale dell’esecuzione di codice attendibile.

Compromissione Permanente Possibile

Inoltre, l’intrusione non è fragile o necessariamente cancellata al riavvio: i ricercatori hanno sviluppato un “impianto hardware” in grado di disabilitare permanentemente la Root of Trust (RoT).

Diagramma di un ‘circuito crowbar’ sviluppato dai ricercatori tedeschi – una modifica hardware permanente in grado di manipolare la Root of Trust nel Tegra X2. Fonte: https://arxiv.org/pdf/2108.06131.pdf

Per mappare l’exploit, i ricercatori hanno cercato di sbloccare la documentazione nascosta sul X2 – header file nascosti inclusi come parte del pacchetto L4T. Le mappe sono descritte, sebbene non esplicitamente, nella documentazione online per il flusso di avvio del Jetson TX2.

Controllo del flusso del software di avvio del TX2. Fonte: https://docs.nvidia.com/

Tuttavia, sebbene siano riusciti a ottenere le informazioni necessarie dai file di intestazione estratti, i ricercatori notano di aver anche ricevuto un aiuto significativo cercando su GitHub per codice NVIDIA poco noto:

Prima di rendersi conto che il file di intestazione è offerto da Nvidia, l’abbiamo cercato su GitHub. Oltre a trovare un repository che include il codice Nvidia, la ricerca ha anche scoperto un repository chiamato ”switch-bootroms”. Questo repository include codice sorgente BR leakato per i SoC Tegra con numeri di modello T210 e T214, mentre T210 è il modello originale del Tegra X1 (codenamed ”Erista”), e T214 è una versione aggiornata, anche chiamata Tegra X1+ (codenamed ”Mariko”). L’X1+ include velocità di clock più veloci e, a giudicare dai commenti e dal codice nel repository, è stato rinforzato contro l’iniezione di fault. Durante le nostre indagini, l’accesso a questo codice ha aumentato notevolmente la nostra comprensione del X2.’

(I riferimenti a piè di pagina sono stati convertiti in collegamenti ipertestuali da me)

Tutti i fuse e i codici crittografici sono stati scoperti con il nuovo metodo, e le fasi successive del sistema di bootloader sono state decrittate con successo. Il risultato più notevole dell’exploit è probabilmente la capacità di renderlo persistente attraverso i riavvii tramite hardware dedicato, una tecnica sviluppata per la prima volta da Team Xecuter per l’impianto Nintendo Switch sulla serie di chip X1.

Mitigazioni

Lo studio suggerisce una serie di metodi di rinforzo che potrebbero rendere le future iterazioni del SoC X-series resistenti agli attacchi di glitch di tensione. Discutendo la questione con NVIDIA, l’azienda ha suggerito che, nel caso dei SoC esistenti, le modifiche a livello di scheda madre sarebbero utili, compreso l’uso di epossidi resistenti alla decomposizione per calore e solventi. Se il circuito non può essere facilmente smontato, è molto più difficile comprometterlo.

Lo studio suggerisce anche che una scheda di circuito stampato (PCB) dedicata per il SoC è un modo per escludere la necessità di condensatori di accoppiamento, che fanno parte dell’attacco descritto.

Per le future progettazioni del SoC, l’uso di un circuito di rilevamento di glitch di tensione cross-domain che è stato recentemente brevettato da NVIDIA potrebbe consentire di attivare allarmi in caso di disturbi di tensione malintenzionati o sospetti.

Affrontare il problema tramite software è più una sfida, poiché le caratteristiche delle vulnerabilità sfruttate sono difficili da comprendere e contrastare a livello di software.

Lo studio osserva, apparentemente con una certa sorpresa, che la maggior parte delle contromisure ovvie sono state sviluppate nel tempo per proteggere il vecchio chip X1, ma sono assenti nel X2.

Il rapporto conclude:

‘I produttori e i progettisti non dovrebbero dimenticare gli attacchi hardware apparentemente semplici che sono stati intorno per più di due decenni.’