DDRop zeigt Schwachstelle in Intel und AMD verschlüsselten Speichern mit DDR5-Interposer

Forscher der KU Leuven, der ETH Zürich, der Durham University und Google haben einen Hardware-Angriff namens DDRop gezeigt, der den von "confidential Computing"-Technologien auf Servern mit Intel- und AMD-Prozessoren verwendeten Speicherschutz unwirksam machen kann. Im Labor zeigen die Autoren, dass ein kleiner Interposer - eine Schaltungsplatte, die zwischen der CPU und einem DDR5 Speichermodul eingesetzt wird - kann Skripte ausschließen im Speicher ruhig, so dass die CPU weiterhin alte verschlüsselte Daten lesen, als wären sie die neuesten. Nach Angaben des Teams kostet das Interposer- und Firmware-Design weniger als $200 Stück und kann in wenigen Minuten installiert werden.

Konfirmierte Tatsachen: Forscher haben (nach ihrer koordinierten Offenlegung) Konzepttests veröffentlicht, die auf DDR5 arbeiten und Auswirkungen auf Intel TDX (in seinem Standardmodus, "logische Integrität" genannt) und auf AMD SEV-SNP zeigen; der Angriff wirkt durch Entfernen von Schreibbefehlen zwischen der CPU und dem DRAM, ohne die Verschlüsselung zu brechen oder die bestehenden Kontrollen zu aktivieren; die Autoren veröffentlichen Designs, Firmware und Code in GitHub und die ACM26 und präsentieren die Arbeit bei der CCM Es wird auch bestätigt, dass die Technik (1) Kontrolle der Software der angegriffenen Maschine und (2) kurzen physischen Zugriff, um den Interposer zu platzieren erfordert; Forscher sagen, sie haben keine Beweise für die Verwendung in der realen Welt außerhalb des Labors.

Wie es technisch funktioniert: Die verschlüsselten Speicherarchitekturen, die Cloud-zuverlässige Enklaven oder Domänen verwenden, schützen die Gedächtnis Vertraulichkeit, aber, um große Mengen RAM zu skalieren, geben eine Garantie namens frisch(der aktuelle Inhalt). Die Chiffre und ihre Metadaten überprüfen kryptographische Integrität nach Schlüsseln, überprüfen aber nicht, ob der Lesewert das letzte Schreiben der CPU ist; daher wird eine alte gültige Kopie weiterhin korrekt entschlüsselt. Der von den Forschern entworfene Interposer arbeitet als High-Speed-Schalter auf dem DDR5-Bus: um ein Schreiben auszuschließen, es induziert einen logischen Ausfall im Befehlssignal und blockiert dann die Rückleitung, die der Speicher verwenden würde, um diesen Fehler zu melden, wodurch das DRAM-Modul die Reihenfolge ignoriert, ohne von der CPU erkannt zu werden. Das Ergebnis ist, dass ein angebliches Update das DRAM nicht erreicht und anschließende Messwerte den oben genannten Inhalt zurückgeben.

Was dies in der Praxis ermöglicht: In Intel TDX verwandelt der Computer das Fehlen von Schreiben in eine effektive Kontrolle der geschützten Domain. Durch das Verhindern der Firmware, Nulleinträge auf einer neuen Seitentabelle zu schreiben, bewirkt der Angreifer, dass die Tabelle frühere Daten kontrolliert hält; unter dieser Bedingung kann eine angreifende virtuelle Maschine physikalische Adressen willkürlich abbilden und den geschützten Speicher vor einem anderen VM zugreifen oder ändern, seinen privaten Inhalt lesen und sogar die für die Fernwarnung verwendete "Lunch-Messung" ändern. In ihrem Experiment gelang es den Forschern auch, den Debug-Modus eines Opfers VM zu aktivieren und ihr Gedächtnis klar zu kopieren, dann die Werte neu zu schreiben, um keine Spur zu hinterlassen. In AMD SEV-SNP zeigte sich die Wirkung eher eingeschränkt: die Angriffe konzentrierten sich auf Seitenverlagerungsoperationen, so dass eine Opferseite in eine andere kopiert werden kann; die Techniken der Änderung der Aufmerksamkeit oder der Aktivierung von Debug sind Intel spezifisch nach dem Bericht.

Konfirmierte Aspekte vs unsicher: Es wird überprüft, dass DDRop im Labor auf DDR5-Geräten arbeitet und das Fehlen von Frische in skalierbaren Speicherverschlüsselungslösungen ausnutzt; es wird auch bestätigt, dass der optionale Intel-Modus, der als "cryptographic Integrität" bezeichnet wird, einige Varianten des Angriffs blockiert (diejenigen, die Seiten eines anderen VM betreffen), obwohl Forscher konnten nicht beweisen, dass Modalität, weil ihr Testsystem es nicht unterstützt. Es ist links Unsicher wenn der kryptographische Modus alle vernünftigen Varianten stoppen würde (die Autoren weisen darauf hin, dass die Verfälschung eines eigenen Attests noch möglich sein könnte, weil es unter dem Schlüssel des Angreifers passiert) und wenn zukünftige Designvorschläge wie "cache-line versioning" DDRop verhindern würden: die Forscher sagen, dass es nicht klar ist.

Zu wem es betrifft: vor allem Belastungen von Datenmentern mit Intel TDX, Intel skalierbaren SGX und AMD SEV-SNP, die von großen Wolken angeboten werden (z.B. Dienstleistungen in AWS, Azure oder Google Cloud, die vertrauliche Rechentechnologien inserieren). Der Angriff richtet sich nicht an inländische oder mobile PCs und beeinträchtigt keine Chips, bei denen der Speicher im Paket physisch gesperrt ist (z.B. GPUs mit On-Package-Speicher), oder den alten SGX Client, der einen Integritätsbaum hat, der veraltete Daten verhindert. Es kann auch nicht für andere Architekturen gelten (die Autoren testen Arm CCA nicht und betrachten es möglicherweise affektiv).

Reale Folgen und Risiken: DDRop zeigt nicht, dass Cloud-Lieferanten zerbrochen sind, aber es sagt, dass ein Angreifer mit administrativem Zugriff auf die Server-Software und ein kurzer physischer Zugriff (ein schädlicher Bediener im Dataenter, Handling in der Lieferkette oder Hardware beteiligt) die Garantien für Vertraulichkeit und Integrität von Enklaven verletzen könnte. Der Einfluss variiert mit dem in jeder CPU aktivierten Sicherheitsmodus: In TDX logischen Modus werden kritische Angriffe angezeigt; im kryptographischen Modus wird das Risiko reduziert, aber nicht vollständig verschwindet.

Was Stakeholder und Nutzer tun sollten: zuerst, Cloud-Betreiber müssen die physischen und Supply-Chain-Kontrollen überprüfen, die Richtlinien für den Zugang zu Racks und DIMMs stärken, die physische Handhabung überwachen und Hardwareinspektionen während der Wartung hinzufügen. Technisch sollten sie alle kryptographischen Integritätsoptionen auf ihren Plattformen ermöglichen und zukünftige Mechanismen unterstützen, die Frische auf dem Speicherbus bieten. Es ist auch angezeigt, die Interpose-Erkennung im Server-Boot-Prozess zu implementieren und zu validieren, dass kritische Skripte angewendet wurden (wenn möglich).

Für Cloud-Kunden und Entwickler: Nehmen Sie nicht an, dass das Vertrauen der Enklave absolut gegen physische Angriffe ist. Fragen Sie Ihren Anbieter, ob die kryptographische Integritäts-Modalität in den von ihnen eingestellten Diensten aktiviert ist und ob es physische Schutz- und Lieferkettenmaßnahmen gibt. Darüber hinaus stärken sie die Layer-Sicherheit: Verschlüsselung auf Anwendungsebene, Schlüsseldrehung, Minimierung sensibler Daten im persistenten Speicher, Isolierung kritischer Workloads und Cross-attestation mit Richtlinien, die Diskrepanzen bei Startmessungen erkennen.

Sofortige praktische Maßnahmen für Manager und Manager: erfordern die Cloud, um kryptographischen Modus zu ermöglichen, physische Wartungsprozesse zu prüfen, Privilegien für die Installation von Low-Level-Zugriffssoftware zu begrenzen und Integritätstests und Schreibprüfungen in kritischen Speicherkomponenten anzuwenden. Chips-Hersteller (Intel / AMD) wurden informiert; historisch haben beide betrachtet physische Angriffe durch die Einschaltung außerhalb des Standard-Drohungsmodells, so vollständige Minderung wird wahrscheinlich Hardware-Änderungen in zukünftigen Generationen erfordern.

Zusätzliche nützliche Informationen und Kontextquellen: Die Konferenz, in der die Arbeit präsentiert wird (ACM CCS) ist das wichtigste Forum für die Computersicherheit ( https: / / www.sigsac.org /) und die Technologien der Geheimhaltung werden von Konsortien des Sektors koordiniert ( https: / / Geheimdienst. io /) Für amtliche Verweise auf die betroffene Technologiefamilie siehe AMD-Dokumentation über SEV ( https: / / www.amd.com / en / technologies / sev) und die öffentlichen Notizen der Hersteller, wenn sie ihre Bulletins zum Zeitpunkt der Offenlegung veröffentlichen.

Schlussfolgerung: DD Rop zeigt eine Modellverwundbarkeit - nicht ein Fehler der Implementierung - in aktuellen großformatigen verschlüsselten Speicherlösungen: Der Mangel an Frische im Bus macht es einfacher für einen billigen und temporären Interposer lokale Privilegien und physischen Zugriff in vollen Zugriff auf Enklaven zu konvertieren. Während die tatsächliche Minderung neue Hardware-Design beinhalten wird, können und Kunden Konfiguration, physische Kontrollen und Entwicklungspraktiken anpassen, um die Exposition zu reduzieren.