NVIDIA Bekrefter Spenningsslått Angrep Sårbarhet på Tesla Autopilot

En ny forskningsrapport fra Tyskland avslører at NVIDIA har bekreftet en hardwaresårbarhet som tillater en angriper å få privilegert kontroll over kodekøring for Teslas autopilotsystem. Angrepet innebærer en “klassisk” metode for å destabilisere hardware ved å innføre spenningsslag, som i dette tilfelle muliggjør å låse opp en bootloader som vanligvis er deaktivert for forbrukere og ment for laboratorieforhold.

Angrepet er også gyldig for Mercedes-Benz underholdningssystem, selv om med åpenbart færre potensielt skadelige konsekvenser.

Rapporten “The Forgotten Threat of Voltage Glitching: A Case Study on Nvidia Tegra X2 SoCs” kommer fra Technische Universitat Berlin, og følger opp på noen av de samme forskernes nylige arbeid med å avsløre en tilsvarende utnytting i AMD Secure Encrypted Virtualization, publisert den 12. august.

Rapporten slår fast:

Vi rapporterte våre funn til Nvidia, inkludert vårt eksperimentelle oppsett og parametre. Nvidia rekonstruerte våre eksperimenter og bekreftet at feil-injeksjon påvirker den testede Tegra Parker SoC og tidligere chip. Ifølge dem ville alle nyere Tegra SoC-er inneholde mottiltak for å mildne disse typene angrep. Videre foreslo de mottiltak for å redusere effektiviteten av spenningsslått injeksjon på sårbare chip…

Rapporten slår fast at den type angrep som er demonstrert i deres forskning kunne tillate en motpart å endre systemets firmware for å manipulere essensielle kontrollsystemer, inkludert måten en autonom bil reagerer på menneskelige hindringer på.

De påpeker at selv å manipulere cockpit-display-systemer medfører ekte fare, og tillater visning av feilinformasjon om nåværende kjørehastighet og annen informasjon som er essensiell for sikker kjøring av kjøretøyet.

Spenningsslått Injeksjon

Spenningsslått injeksjon (FI), også kjent som spenningsslått, over- eller under-spenner systemets strømforsyning for et øyeblikk. Dette er en svært gammel type angrep; forskerne påpeker at smartkort ble hardnet mot denne metoden for to tiår siden, og antyder at chipprodusenter har effektivt glemt denne bestemte angrepsvei.

Likevel erkjenner de at å beskytte et System on a Chip (SoC) har blitt mer komplekst i de senere år på grunn av komplekse strømtre og høyere strømforbruk som kan forverre den potensielle forstyrrelsen forårsaket av en perturbert strømforsyning.

Angrep av denne typen har vist seg mulig mot den eldre NVIDIA Tegra X1 SoC tidligere. Likevel er den nyere Tegra X2 SoC (‘Parker’) til stede i mer kritiske systemer, inkludert Teslas Autopilot semi-autonome kjøringssystem, samt i systemer brukt av Mercedes-Benz og Hyundai kjøretøy.

Den nye rapporten demonstrerer en spenningsslått injeksjonsangrep på Tegra X2 SoC som tillot forskerne å trekke ut innhold fra systemets interne Read-Only Memory (iROM). Foruten å kompromittere IP til produsentene, tillater dette fullstendig å deaktivere Trusted Code Execution.

Varig Kompromittering Mulig

Videre er innbruddet ikke skjørt eller nødvendigvis ødelagt ved omstart: forskerne utviklet en ‘hardware-implantat’ i stand til å varig deaktivere Root of Trust (RoT).

Diagram av en ‘crowbar-krets’ utviklet av de tyske forskerne – en varig hardware-modifikasjon i stand til å manipulere Root of Trust i Tegra X2. Kilde: https://arxiv.org/pdf/2108.06131.pdf

For å kartlegge utnyttingen, søkte forskerne å låse opp skjult dokumentasjon om X2 – skjult header-filer inkludert som del av L4T-pakken. Kartleggingen beskrives, selv om ikke eksplisitt, i online-dokumentasjon for Jetson TX2 Boot Flow.

Flytkontroll av TX2s boot-programvare. Kilde: https://docs.nvidia.com/

Likevel, selv om de kunne få nødvendig informasjon fra de eksfiltrerte header-filene, påpeker forskerne at de også fikk betydelig hjelp ved å søke etter obskure NVIDIA-relatert kode på GitHub:

Før vi innsett at header-filen tilbys av Nvidia, søkte vi etter den på GitHub. Foruten å finne et repository som inkluderer Nvidia-koden, avdekket søket også et repository kalt ”switch-bootroms”. Dette repository inkluderer lekket BR-kildekode for Tegra SoC-er med modellnummer T210 og T214, hvor T210 er den originale modellen av Tegra X1 (kodenavn ”Erista”), og T214 er en oppdatert versjon, også kalt Tegra X1+ (kodenavn ”Mariko”). X1+ inkluderer raskere klokkehastighet og, basert på kommentarer og kode i repository, er hardnet mot FI. Under våre undersøkelser økte tilgangen til denne koden vår forståelse av X2 massivt.’

(Fotnoter konvertert til lenker av meg)

Alle fuser og kryptografiske koder ble avdekket av den nye metoden, og de senere stadiene av bootloader-systemet ble suksessfullt dechiffrert. Det mest bemerkelsesverdige oppnåelsen av utnyttingen er åpenbart evnen til å gjøre den varig over omstarter via dedikert hardware, en teknikk først utviklet av Team Xecuter for Nintendo Switch-implantat på X1-chip-serien.

Mitigasjoner

Rapporten foreslår en rekke hardningsmetoder som kunne gjøre fremtidige iterasjoner av X-serie SoC resistente mot spenningsslått injeksjonsangrep. I diskusjon med NVIDIA, foreslo selskapet at i tilfelle eksisterende SoC-er, brett-nivåendringer ville være nyttige, inkludert bruk av epoksyer som er resistente mot nedbrytning av varme og løsemidler. Hvis kretsen ikke lett kan tas fra hverandre, er det mye harder å kompromittere.

Rapporten foreslår også at en dedikert trykt kretsbrett (PCB) for SoC er en måte å ekskludere behovet for koplingskondensatorer, som utgjør en del av den beskrevne angrepet.

For fremtidige design av SoC, kan bruk av en tverr-domene spenningsslått injeksjonsdetektor-krets som nylig ble patentert av NVIDIA muliggjøre utløsning av advarsler i tilfelle av ondsinnet eller mistenkt spenningsslått.

Å håndtere problemet via programvare er mer av en utfordring, siden karakteristikkene av feilene som utnyttes er vanskelige å forstå og motvirke på programvarenivå.

Rapporten observerer, åpenbart med en viss overraskelse, at de fleste åpenbare sikkerhetstiltak har blitt utviklet over tid for å beskytte den eldre X1-chipen, men er fraværende i X2.

Rapporten konkluderer:

‘Produsenter og designere bør ikke glemme om åpenbart enkle hardware-angrep som har vært rundt i over to tiår.’