NVIDIA 确认特斯拉 Autopilot 存在电压故障攻击漏洞

德国的一篇新研究论文披露，NVIDIA 已确认一个硬件漏洞，允许攻击者获得特斯拉 Autopilot 系统的特权代码执行控制。该攻击涉及一种“经典”的方法，即通过引入电压突发来破坏硬件，从而解锁通常为消费者禁用的引导程序加载器，这个加载器原本是为实验室条件设计的。

该攻击也适用于梅赛德斯-奔驰的信息娱乐系统，尽管其潜在的破坏性后果较少。

这篇名为 被遗忘的电压故障攻击威胁：NVIDIA Tegra X2 SoCs 的案例研究 的论文来自 Technische Universitat Berlin，跟进了一些相同研究人员最近关于 AMD 安全加密虚拟化 的类似漏洞披露，该研究于 8 月 12 日 发布。

论文指出：

我们负责地向 NVIDIA 披露了我们的发现，包括我们的实验设置和参数。NVIDIA 重现了我们的实验，并确认了故障注入会影响测试的 Tegra Parker SoC 和更早的芯片。根据他们的说法，所有更新的 Tegra SoCs 都包含了减轻此类攻击的对策。此外，他们提出了减少电压故障注入对易受攻击的芯片有效性的对策…

论文指出，在他们的研究中展示的这种攻击可以允许对手修改系统的固件，以篡改基本控制系统，包括自主车辆对人类障碍的反应方式。

他们指出，甚至篡改驾驶舱显示系统也带来真正的危险，允许显示当前驾驶速度和其他对车辆安全运行至关重要的信息的错误信息。

电压故障注入

电压故障注入（FI），也称为电压故障攻击，简单地过度或低度电压系统电源一瞬间。这是一种 非常古老的攻击形式；研究人员指出，智能卡已经在二十年前对这种方法进行了加固，并且芯片制造商已经有效地忘记了这个特定的攻击向量。

然而，他们承认，保护系统芯片（SoC）已经变得更加复杂，因为最近几年复杂的电源树和更高的功耗率可能会加剧破坏电源供应可能造成的干扰。

这种类型的攻击已经 被证明 可以针对较旧的 NVIDIA Tegra X1 SoC。但是，较新的 Tegra X2 SoC（“Parker”）存在于更多的关键系统中，包括特斯拉的 Autopilot 半自主驾驶系统，以及梅赛德斯-奔驰和 现代汽车 使用的系统。

这篇新论文演示了一种针对 Tegra X2 SoC 的电压故障攻击，允许研究人员从系统的内部只读存储器（iROM）中提取内容。除了损害制造商的知识产权外，这还允许完全禁用可信代码执行。

可能实现永久破坏

此外，入侵不是脆弱的，也不一定在重启时被清除：研究人员开发了一个“硬件植入物”，能够永久禁用 根信任（RoT）。

德国研究人员开发的’crowbar 电路’图 – 一种能够操纵 Tegra X2 中的根信任的永久硬件修改。 来源：https://arxiv.org/pdf/2108.06131.pdf

为了绘制出漏洞利用的方法，研究人员试图解锁关于 X2 的隐藏文档 – 隐藏的头文件作为 L4T 包的一部分。映射被描述，尽管没有明确说明，在 在线文档 中用于 Jetson TX2 启动流程。

TX2 的启动软件流程控制。 来源：https://docs.nvidia.com/

然而，尽管他们能够从泄露的头文件中获得必要的信息，但研究人员指出，他们也从 GitHub 中搜索与 NVIDIA 相关的晦涩代码中获得了显著的帮助：

在我们意识到头文件由 NVIDIA 提供之前，我们在 GitHub 上搜索了它。除了找到一个包含 NVIDIA 代码的存储库外，我们的搜索还发现了一个名为“switch-bootroms”的存储库。这个存储库包含了 Tegra SoCs 的泄露的 BR 源代码，型号为 T210 和 T214，其中 T210 是 Tegra X1（代号“Erista”）的原始型号，而 T214 是一个更新版本，也称为 Tegra X1+（代号“Mariko”）。X1+ 包括更快的时钟速度，并且根据存储库中的评论和代码来看，它已经被加固以防止 FI。在我们的调查过程中，访问此代码大大增加了我们对 X2 的理解。

(脚注已转换为超链接)

所有保险丝和加密代码都通过新的方法被揭露，引导程序系统的后期阶段也成功被解密。该漏洞利用的最显著成就是能够通过专用硬件使其在重启之间保持持久性，这是一种最初由 Team Xecutor 为 X1 芯片系列的 Nintendo Switch 植入物开发的技术。

缓解措施

论文建议了一些加固方法，可以使未来的 X 系列 SoC 对电压故障攻击具有抵抗力。在与 NVIDIA 讨论此事时，该公司建议，对于现有的 SoC，板级更改将是有帮助的，包括使用能够抵抗热量和溶剂分解的环氧树脂。如果电路不能容易地拆开，那么就很难破坏它。

论文还建议，SoC 的专用印刷电路板（PCB）是排除需要耦合电容器的方法，这是所描述的攻击的一部分。

对于 SoC 的未来设计，使用最近由 NVIDIA 获得专利 的跨域电压故障检测电路，可以在恶意或疑似电压干扰的情况下触发警报。

通过软件解决这个问题更具挑战性，因为被利用的故障的特性很难被理解和在软件级别上进行对抗。

论文观察到，似乎带有一些惊讶，大多数明显的保障措施已经随着时间的推移而演变，以保护较旧的 X1 芯片，但在 X2 中却不存在。

报告得出结论：

‘制造商和设计师不应该忘记已经存在二十多年的看似简单的硬件攻击。’