關(guān)于XTeam攻防實驗室致力于各類知名軟件、知黑產(chǎn)打擊、Web攻防等前沿攻防技術(shù)方向研究工作BlueHat等國際安全會議上分享相關(guān)研究成果，在多屆GeekPwn、補天杯、天府杯安全賽事獲獎并取得名次安全研究過程中曾發(fā)現(xiàn)Apple、微軟、Google、Adobe公司等近200個漏洞，幫助諸多企業(yè)修復(fù)漏洞并獲得官方公開致謝?智駕域控硬件架構(gòu)介紹?智駕域控網(wǎng)絡(luò)攻擊面分析?傳統(tǒng)汽車到智駕網(wǎng)絡(luò)架構(gòu)演化?供應(yīng)商風(fēng)險導(dǎo)致車身CAN淪陷控車?智駕模型、加密、逆向分析、仿真推理?智駕芯片TEE安全機制分析?V2X協(xié)議攻擊面分析為什么研究智能汽車為什么研究智能汽車?傳感器的數(shù)據(jù)獲取、偽造、仿真（例如攝像頭數(shù)據(jù)GSML、整車CAN信號、激光雷達）設(shè)備、資料獲取獲取研究目標(biāo)硬件獲取研究目標(biāo)硬件（資料來自公開渠道下載）獲取目標(biāo)設(shè)備資料可通過各類渠道獲取各大主機廠商的維修手冊、電路圖車輛維修手冊、裝配位置、電路圖智駕域控接口定義智駕域控部件位置（資料來自公開渠道下載）獲取目標(biāo)設(shè)備資料（資料來自公開渠道下載）獲取目標(biāo)設(shè)備資料獲取各大汽車廠商的維修圖、電路圖汽車構(gòu)架電路圖汽車域控提取DBC文件智能汽車結(jié)構(gòu)分析（資料來自公開渠道下載）整車結(jié)構(gòu)?CDCU作為整車中央控制器：?自動駕駛域控制器與車機一體結(jié)構(gòu)，兩張PCB電路板一體?核心控車在左控制器?8295車載娛樂在右控制器?TBOX提供網(wǎng)絡(luò)?CDCU作為以太網(wǎng)交換中心（紅實線）、所有路CAN中心（資料來自公開渠道下載）整車結(jié)構(gòu)（資料來自公開渠道下載）（資料來自公開渠道下載）（資料來自公開渠道下載）獲取標(biāo)設(shè)備資網(wǎng)關(guān)控制器硬件架構(gòu)?整車最核心的控制部件?連接各路CAN總線?底盤?娛樂?診斷Ethernet?傳統(tǒng)VS現(xiàn)代智能車?現(xiàn)代結(jié)構(gòu)：MCU+Linux+以太網(wǎng)控制器?攻擊風(fēng)險：?獲取shell，底層控制整車?Shell途徑：與自動駕駛域控制器類似?通過以太網(wǎng)進入車內(nèi)網(wǎng)?TBox、IVI等作為跳板網(wǎng)關(guān)控制器硬件架構(gòu)自動駕駛控制器硬件架構(gòu)?一般為單、雙AISoc+MCU結(jié)構(gòu)?部分產(chǎn)品存在異構(gòu)（例如地平線+TI方案）?為滿足ASIL-D要求，控車數(shù)據(jù)由soc發(fā)給MCU，MCU下發(fā)CAN信號?高端智駕方案，一般都使用UFS+EMMC存儲?板上大量串行、解串器的使用?攝像頭輸入口需要通過解串器，把兩線信號解碼為攝像頭的視頻CSI信號?攝像頭數(shù)據(jù)（例如停車時）需要通過串行器進行編碼為DSI信號發(fā)給車機?車載以太網(wǎng)的大量使用：控車路徑舉例?TBox是最大的入口風(fēng)險視鏡、后排娛樂、投影儀、投影大燈、HUD、行車記權(quán)限獲取與漏洞挖掘準(zhǔn)備工作-獲取文件系統(tǒng)、shellUF準(zhǔn)備工作-獲取文件系統(tǒng)、shell準(zhǔn)備工作-獲取文件系統(tǒng)、shell?讀取/etc/shadow即可進行暴利破解，例如默認(rèn)密碼nvidia?寫入已知密碼、密鑰?分析密鑰算法?當(dāng)前均未啟用全盤加密、SELinux等防護，攻擊破解均可實現(xiàn)準(zhǔn)備工作-獲取文件系統(tǒng)、shell?UFS無法掛載?寫入等長公鑰?注意需要計算好UFS的目標(biāo)LUN、分區(qū)、偏移準(zhǔn)備工作-獲取網(wǎng)絡(luò)權(quán)限實戰(zhàn)分析案例從網(wǎng)絡(luò)通信層→車輛控制執(zhí)行層→模型算法層→芯片安全層→車路協(xié)同層“智能駕駛的安全，不僅在路上，更在網(wǎng)絡(luò)、芯片與算法的每一環(huán)?！敝邱{域控網(wǎng)絡(luò)側(cè)風(fēng)險（相關(guān)安全問題已披露廠商或已被修復(fù)?。┠砊ier1廠商Tbox產(chǎn)品TCUxxx_4G進程，handleMcuxxx函數(shù)memcpy存在棧溢出漏洞，影響多個品牌全系車型某車型v12長度只有0x100字節(jié)，而memcpy時v4值來自用戶輸入，可以導(dǎo)致溢出某車系型處理set_remotelog請求時，存在命令注入某Tier1廠商Tbox產(chǎn)品vxxxx.jsonservice進程自實現(xiàn)了FTP協(xié)議，存在命令注入問題，影響多個品牌車型（相關(guān)安全問題已披露廠商或已被修復(fù)?。┲邱{域控RCE風(fēng)險該進程監(jiān)聽某個端口無任何防火墻防護漏洞利用十分簡單該問題影響某款智駕芯片多個車型漏洞利用十分簡單車身CAN控車案例了解汽車網(wǎng)絡(luò)架構(gòu)汽車CAN報文解析在相同網(wǎng)絡(luò)內(nèi)的ECU之間可互相廣播CAN報文，通過僅報文ID進行解析黑盒：重放canplayer、candump、cansniffer二分法、物理聯(lián)動分析報文字段白盒：從ECU中提取DBC文件，解析報文字段、校驗算法等汽車CAN報文流研發(fā)DBC域控程序DBC零部件風(fēng)險導(dǎo)致車身網(wǎng)絡(luò)淪陷簽名者信息固件簽名簽名者信息固件簽名車輛BLE模塊固件零部件供應(yīng)商使用了SecureOAD,但沒有更新芯片廠商預(yù)置的RSA密鑰對（相關(guān)安全問題已披露廠商或已被修復(fù)?。┛剀嚬翩溌饭翩溌罚簶?gòu)造合法固件，OAD實現(xiàn)芯片任意代碼執(zhí)行CC2642-TCAN4550-構(gòu)造任意CANID報文可近場發(fā)任意車身網(wǎng)絡(luò)中ECU報文例如打開車門、發(fā)起泊車指令藍牙模組藍牙模組CC2642 SPITCAN4550CAN車身CAN存在UDS升級VCU、GW器件橫向至動力域路徑車身CAN構(gòu)造任意CAN報文（相關(guān)安全問題已披露廠商或已被修復(fù)?。┙鼒鑫词跈?quán)控車演示智駕模型保護機制模型算法是智駕系統(tǒng)最核心的知識產(chǎn)權(quán)智駕域控模型加密機制密鑰的兩個存放目錄路徑vblkdev52設(shè)備文件，推測為NvidiaTegra系統(tǒng)提供的虛擬設(shè)備，推測為Nvidia的安全存儲機制無法通過上述的兩個路徑拿到密鑰，則系統(tǒng)會啟用程序的備份key，內(nèi)容為8960...避開了安全存儲限制，猜測是為了向下兼容智駕模型仿真推理難點安全研究員難獲取Drive開發(fā)板硬件、環(huán)境、資料零售，正常渠道獲取不到資料JetsonOrin智駕模型仿真推理難點NVIDIATensorRT模型推理對版本苛刻1.TRT版本無法向下兼容2.幾個小版本差別都無法加載模型3.DriveOS使用特供版本編譯推理模型，TensorRT開源版本無法兼容加載解決模型仿真推理遷移域控模型推理環(huán)境，例如編譯后的TensorRT環(huán)境、以及相關(guān)插件即可在JetsonOrin上進行推理智駕模型分析常見模型格式為：.trt/.hbm/.onnx/.bin/.caffemodel/.pt/.pth/.pb/.omhrt_model_exec工具識別trtexec模擬推理識別netron可視化智駕模型，可以簡單了解模型結(jié)構(gòu)如果模型沒有去掉原數(shù)據(jù)，可以獲取到一些模型信息例如檢出的分類等否則需要逆域控推理、感知程序智駕模型感知程序逆向模型推理結(jié)果分類域控感知程序后處理邏輯，模型分類模型推理結(jié)果分類智駕模型推理流程?模型輸入預(yù)處理將模擬的圖片或視頻轉(zhuǎn)換成定義好的尺寸例384*384，視頻NV12處理?模型推理函數(shù)構(gòu)建模型的推理環(huán)境，例如化后數(shù)據(jù)調(diào)用接口進行推理?推理結(jié)果后處理處理bbox坐標(biāo)、conf置信度、cls類別例如畫框選類別，NMS合并檢測框等智駕端到端模型分析vilt模型輸出3130詞表，根據(jù)詞表內(nèi)容并非只有yes、no，似乎能像人類一樣思考所看到的場景施工場景判斷交通標(biāo)識場景判斷智駕端到端模型分析vilt模型在思考車輛當(dāng)前是否為地下停車場、隧道、高架橋場景，OCR模型識別交通標(biāo)識、限速、公交道等標(biāo)識智駕模型部署至玩具車智駕芯片TEE安全機制從軟件加密到硬件信任，我們把視角拉到更底層：芯片的TEE可信執(zhí)行環(huán)境智駕芯片TEE環(huán)境介紹?什么是TEE？全稱為“可信執(zhí)行環(huán)境”（TrustedExecutionEnvironment是位于主處理器中的一個獨立的安全區(qū)域TEE為運行在其中的應(yīng)用程序提供了一個隔離的環(huán)境以保護應(yīng)用程序和數(shù)據(jù)免受其他軟件的攻擊。TEE常用于處理敏感的數(shù)據(jù)，如密碼、密鑰、生物識別數(shù)據(jù)等。即使設(shè)備的主操作系統(tǒng)被攻擊，TEE中保存的敏感數(shù)據(jù)和安全策略也不會受到影響?什么是NormalWorld？指設(shè)備的主操作系統(tǒng)環(huán)境，包括運行的應(yīng)用程序和操作系統(tǒng)本身。這個環(huán)境通常包含用戶的各種應(yīng)用程序和服務(wù)，但是它并不被認(rèn)為是安全的，因為它可能受到各種各樣的攻擊?什么是CA（ClientApplication這些應(yīng)用程序運行在設(shè)備的主操作系統(tǒng)（即“NormalWorld”）中，并通過特定的API與TEE通信TA是運行在SecureWorld（安全世界）中、由TEE（可信任執(zhí)行環(huán)境）管理的安全應(yīng)用程序來源：2023SDC李中權(quán)《深入Android可信應(yīng)用漏洞挖掘》智駕芯片TEE安全機制OP-TEE例程域控TA固件程序域控TEE環(huán)境基于OP-TEE基礎(chǔ)開發(fā)，除了無符號信息，結(jié)構(gòu)一致（相關(guān)安全問題已披露廠商或已被修復(fù)！）智駕芯片TEE安全機制CACA智駕芯片基于OP-TEE二次開發(fā)，在open_session過程中增加了限制，防止用戶空間任意的CA去調(diào)用TA中函數(shù)v7變量為關(guān)鍵點，kernel代碼在opensession的過程中，增加了一個偏移為0x178的數(shù)據(jù)參數(shù)在el3中，tee固件會判斷該型數(shù)據(jù)參數(shù)的值是否正確，以決定session是否合法（相關(guān)安全問題已披露廠商或已被修復(fù)?。┲邱{芯片TEE缺陷通過TA中的特權(quán)函數(shù)實現(xiàn)任意地址讀secsave_store整數(shù)溢出secondary_key_import越界訪問特權(quán)打開調(diào)試功能智駕V2X安全分析從9可信計算9到9可信協(xié)同9，進入V2X安全分析智駕V2X安全分析V2X是車與車、人、路、云等萬物互聯(lián)的通信技術(shù)，V2X在智能駕駛繞不開的一個點，這些領(lǐng)先的技術(shù)在帶來便利的同時也引入了新的風(fēng)險SPAT(交通信號燈與時序消息):傳遞交通信號燈相位狀態(tài)，每個信號狀態(tài)持續(xù)的時間等BSM(基礎(chǔ)安全消息):傳遞剎車/轉(zhuǎn)向/剎車/雙閃/車輛警RSM(路測安全消息):例如車輛發(fā)生事故，車輛異常等RSI(路測信息):傳遞