テスラの脱獄で盗難のロックが解除される

テスラ車は、車載インフォテインメント システムのほぼ不可逆的な脱獄の影響を受けやすく、所有者は一連の有料の車載機能を無料でロック解除できるようになります。 学術研究者チームによると、盗まれた特典は、より優れた帯域幅からより高速な加速やシートヒーターに至るまで、あらゆる範囲に及ぶ可能性があるという。

研究者らはまた、インフォテインメント システムから逃れて、車を認証するために内部の Tesla ネットワークに移行することも可能であることを発見しました。これにより、ナビゲーションや自動運転における地理位置情報の制限を破ることを含む、より高度な改造への広く開かれた高速道路が作成されます。テスラの「ユーザープロファイル」を別の車両に移行します。

テスラは長年にわたり、有名な自動運転などの「スマート」機能の実現において最前線に立ってきました。 形状どおり、最近の Tesla モデルはすべて、MCU-Z として知られる AMD ベースのインフォテインメント システムを搭載しています。これにより、高度な機能の革新的な車内購入スキームが可能になり、購入すると無線で車内で有効になります (太田)。

これは、ベルリン工科大学大学院の博士課程の学生と独立研究者のオレグ・ドロキンのグループが目標としたものでした。 チームメンバーは来週、Black Hat USAで「2023年の電気自動車の脱獄、またはテスラのx86ベースのシートヒーターのホットワイヤーの意味」と題されたセッションでこの研究を初めて発表する予定だ。

研究者らは、車のインフォテイメントおよびコネクティビティ ECU (ICE) ボードに物理的にアクセスできる誰かが、既知の電圧グリッチ攻撃を使用して、システムの信頼のルートとして機能する MCU-Z の AMD セキュア プロセッサ (ASP) を破壊できることを発見しました。

「現時点では、電子工学の背景があり、はんだごてがあり、追加のハードウェアを約 100 ドルで購入できる能力のある人であれば、私たちの攻撃を適用できます。」 学生のクリスチャン・ヴァーリングさんは言う。 「電圧グリッチには、オープンソースの攻撃ファームウェアですぐに使用できる Teensy 4.0 開発ボードを使用することをお勧めします。SPI フラッシュ プログラマが必要ですが、ロジック アナライザは攻撃全体のデバッグに非常に役立ちます。」

フォールトインジェクションとも呼ばれる電圧グリッチは、ルートアクセスを取得し、MCU-Z上で任意のソフトウェアを実行して一部の有料機能のロックを解除することを可能にするだけでなく、そのアクセスはほぼ取り消すことができないと同氏は言う。

「（電圧グリッチは）おそらくソフトウェアのみの攻撃よりも仕掛けるのが面倒ですが、根本的なAMD CPUの脆弱性はCPUをアップグレードしない限り軽減できません」とWerling氏は説明する。 「私たちが獲得した root 権限により、再起動や更新後も存続する Linux への任意の変更が可能になります。」

ASP を破壊するためのグリッチ攻撃の実行に成功した後、チームはブート フローをリバース エンジニアリングして、最終的にテスラの内部サービス ネットワークに対する車両の認証と認可に使用される車両固有のハードウェアにバインドされた RSA キーを抽出することができました。

「車のキーをテスラネットワークに保存するために使用されるシステムには、さらに高い特権レベルがあります」とワーリング氏は説明します。 「同じ攻撃と、ファームウェアベースのトラステッド プラットフォーム モジュールの高度なリバース エンジニアリングを使用して、これらのキーを抽出することができました。これらのキーは通常、デバイス上の root ユーザーからも保護されています。」

研究者らは、このキーにより、高度な機能のジオフェンシングを回避するなど、所有者にさまざまな追加の可能性が開かれる可能性があることを発見しました。

「テスラは（特定の地域で）一部の機能をロックしていますが、最も一般的なのは地図です」とチームの独立研究者ドロキンは説明する。 「地図をサポートしている地域はほんの一握りで、車がたまたまその地域の外にいる場合、ユーザーはナビゲーションのサポートをまったく受けられません。」

同氏はまた、北米内の自動車は完全な自動運転ベータ機能にアクセスできるが、欧州のテスラにはアクセスできないとし、今回の攻撃は「自動車をこうした制限から解放するのに役立つ可能性があるが、それにはさらなるリバースエンジニアリングが必要になる」とも指摘した。

さらに、テスラが車の認証に使用するキーにアクセスできるため、車の ID を別の車載コンピュータに移行することができます。 ドロキン氏は、プロセッサーが浸水したり損傷したりした場合に、これが役立つ可能性があると指摘しています。