NVIDIA bekräftar sårbarhet för spänningssättning på Tesla Autopilot

En ny forskningsrapport från Tyskland avslöjar att NVIDIA har bekräftat en hårdvarusårbarhet som tillåter en angripare att få privilegerad kontroll över körningen av Tesla’s autopilotsystem. Attacken innebär en “klassisk” metod för att destabilisera hårdvaran genom att införa spänningssvängningar, vilket i detta fall möjliggör låsning av en bootloader som vanligtvis är inaktiverad för konsumenter och avsedd för laboratorieförhållanden.

Attacken är också giltig för Mercedes-Benz infotainmentsystem, om än med uppenbarligen färre potentiellt skadliga konsekvenser.

Rapporten, med titeln Den glömda hotet av spänningssättning: En fallstudie på Nvidia Tegra X2 SoCs, kommer från Technische Universitat Berlin och följer upp på några av samma forskares tidigare arbete som avslöjade en liknande exploit i AMD Secure Encrypted Virtualization, publicerad den 12 augusti.

Rapporten påstår:

Vi rapporterade ansvarsfullt våra fynd till Nvidia, inklusive vår experimentella uppsättning och parametrar. Nvidia rekonstruerade våra experiment och bekräftade att felinjektion påverkar den testade Tegra Parker SoC och tidigare chip. Enligt dem skulle alla nyare Tegra SoCs innehålla motåtgärder för att mildra dessa typer av attacker. Dessutom föreslog de motåtgärder för att minska effektiviteten av spänningssättning på sårbara chip…

Rapporten påstår att den typ av attack som demonstreras i deras forskning kunde tillåta en motståndare att ändra systemets firmware för att manipulera viktiga kontrollsystem, inklusive hur ett autonomt fordon reagerar på mänskliga hinder.

De noterar att även manipulation av cockpitdisplayssystem medför verklig fara, vilket möjliggör visning av felaktig information om nuvarande körhastighet och annan information som är väsentlig för det säkra körandet av fordonet.

Spänningssättning

Spänningssättning (FI), också känd som spänningssvängning, över- eller underspänner systemförsörjningen för en kort stund. Det är en mycket gammal form av attack; forskarna noterar att smarta kort har hårdats mot denna metod för två decennier sedan och föreslår att chip-tillverkare har effektivt glömt bort denna specifika attackvektor.

De medger dock att skydd av ett System on a Chip (SoC) har blivit mer komplext under de senaste åren på grund av komplexa effektträd och högre effektförbrukning som kan förvärra den potentiella störning som orsakas av en störd strömförsörjning.

Attacker av denna typ har visat sig vara möjliga mot den äldre NVIDIA Tegra X1 SoC tidigare. Men den nyare Tegra X2 SoC (‘Parker’) finns i mer kritiska system, inklusive Teslas Autopilot semi-autonoma körningssystem, samt i system som används av Mercedes-Benz och Hyundai fordon.

Den nya rapporten visar en spänningssvängningsattack på Tegra X2 SoC som tillåter forskarna att extrahera innehåll från det interna Read-Only Minnet (iROM) i systemet. Utöver att äventyra tillverkarnas IP möjliggör detta också den totala inaktiveringen av Trusted Code Execution.

Permanenta kompromisser möjliga

Dessutom är intrången inte sköra eller nödvändigtvis utplånade vid omstart: forskarna utvecklade en “hårdvaruimplantat” som kunde permanent inaktivera Root of Trust (RoT).

Diagram över en ‘crowbar-krets’ utvecklad av de tyska forskarna – en permanent hårdvarumodifikation som kan manipulera Root of Trust i Tegra X2. Källa: https://arxiv.org/pdf/2108.06131.pdf

För att kartlägga exploaten försökte forskarna låsa upp dold dokumentation om X2 – dolda header-filer som ingår som en del av L4T-paketet. Kartorna beskrivs, om än inte explicit, i online-dokumentation för Jetson TX2 Boot Flow.

Flödeskontroll av TX2:s boot-program. Källa: https://docs.nvidia.com/

Men, även om de kunde erhålla den nödvändiga informationen från de utvunna header-filerna, noterar forskarna att de också fick betydande hjälp genom att söka efter obskyra NVIDIA-relaterad kod på GitHub:

Innan vi insåg att header-filen erbjuds av Nvidia, sökte vi efter den på GitHub. Utöver att hitta ett repository som innehåller Nvidia-kod, avslöjade sökningen också ett repository som kallas ”switch-bootroms”. Detta repository innehåller läckt BR-källkod för Tegra SoCs med modellnummer T210 och T214, där T210 är den ursprungliga modellen av Tegra X1 (kodnamn ”Erista”), och T214 är en uppdaterad version, också kallad Tegra X1+ (kodnamn ”Mariko”). X1+ innehåller snabbare klockhastigheter och, enligt kommentarer och kod i repositoryt, är den härdad mot FI. Under vår undersökning ökade tillgången till denna kod vår förståelse av X2 avsevärt.’

(Fotnoter omvandlade till hyperlänkar av mig)

Alla fack och kryptografiska koder avslöjades av den nya metoden, och de senare stadierna av bootloader-systemet krypterades framgångsrikt. Det mest anmärkningsvärda resultatet av exploaten är förmodligen förmågan att göra den bestående över omstarter via dedikerad hårdvara, en teknik som först utvecklades av Team Xecuter för Nintendo Switch-implantat på X1-chipserien.

Mitigationsåtgärder

Rapporten föreslår ett antal härdningsmetoder som skulle kunna göra framtida iterationer av X-seriens SoC resistenta mot spänningssvängningsattacker. I diskussion med NVIDIA föreslog företaget att, i fallet med befintliga SoCs, kretskortsnivåändringar skulle vara till hjälp, inklusive användning av epoxier som är resistenta mot nedbrytning av värme och lösningsmedel. Om kretskortet inte kan tas isär lätt, är det mycket svårare att kompromettera.

Rapporten föreslår också att ett dedikerat kretskort för SoC är ett sätt att utesluta behovet av kopplingskondensatorer, som utgör en del av den beskrivna attacken.

För framtida SoC-designer kan användning av en cross-domain spänningssvängningsdetekteringskrets som nyligen patenterats av NVIDIA kunna möjliggöra utlösande av varningar i händelse av maliciösa eller misstänkta spänningssvängningar.

Att hantera problemet via programvara är mer av en utmaning, eftersom egenskaperna hos de fel som utnyttjas är svåra att förstå och motverka på programvarunivå.

Rapporten observerar, tydligen med viss överraskning, att de flesta uppenbara skyddsåtgärderna har utvecklats över tid för att skydda den äldre X1-chipen, men är frånvarande i X2.

Rapporten sluts:

‘Tillverkare och designers bör inte glömma bort tydligt enkla hårdvaruattacker som har funnits i mer än två decennier.’