DDRop expose la vulnérabilité dans les mémoires cryptées Intel et AMD avec l'interposeur DDR5

Des chercheurs de KU Leuven, ETH Zurich, Durham University et Google ont révélé une attaque matérielle, appelée DDRop, qui peut invalider la protection de la mémoire utilisée par les technologies "informatique confidentielle" sur les serveurs avec processeurs Intel et AMD. En laboratoire, les auteurs démontrent qu'un petit interposeur - une plaque de circuit insérée entre le processeur et un module mémoire DDR5 - peut exclure les écritures dans la mémoire tranquillement, de sorte que le CPU continue à lire les anciennes données chiffrées comme si elles étaient les plus récentes. Selon l'équipe, la conception de l'interposeur et du firmware coûte moins de 200 $ en pièces et peut être installée en quelques minutes.

Faits confirmés: les chercheurs ont publié (selon leur divulgation coordonnée) des tests de concept qui fonctionnent sur DDR5 et montrent l'impact sur Intel TDX (dans son mode par défaut, appelé «intégrité logique») et sur AMD SEV-SNP; l'attaque agit en supprimant les commandes d'écriture entre le CPU et le DRAM, sans casser le chiffrement ou activer les vérifications existantes; les auteurs publient des dessins, firmware et code dans GitHub et présenteront les travaux à la conférence ACM CCS 2026. Il est également confirmé que la technique nécessite (1) le contrôle du logiciel de la machine attaquée et (2) un accès physique court pour placer l'interposeur; les chercheurs disent qu'ils n'ont aucune preuve d'utilisation dans le monde réel en dehors du laboratoire.

Comment cela fonctionne techniquement: les architectures de mémoire cryptées qui utilisent des enclaves ou des domaines compatibles avec le cloud protègent la confidentialité de la mémoire mais, pour augmenter de grandes quantités de RAM, abandonnent une garantie appelée frais(contenu actuel). Le chiffrement et ses métadonnées vérifient l'intégrité cryptographique en fonction des clés, mais ne vérifient pas que la valeur de lecture est la dernière écriture faite par le CPU; par conséquent, une ancienne copie valide continue de déchiffrer correctement. L'interposeur conçu par les chercheurs fonctionne comme un interrupteur à grande vitesse sur le bus DDR5 : pour exclure une écriture, il induit une défaillance logique du signal de commande et bloque ensuite la ligne de retour que la mémoire utiliserait pour signaler cette défaillance, ce qui fait que le module DRAM ignore l'ordre sans être détecté par le CPU. Il en résulte qu'une prétendue mise à jour n'atteint pas le DRAM et que les lectures subséquentes renvoient le contenu ci-dessus.

Ce que cela permet dans la pratique : dans Intel TDX, l'ordinateur transforme ce manque d'écriture en un contrôle efficace du domaine protégé. En empêchant le firmware d'écrire des entrées nulles sur une nouvelle table de page, l'attaquant fait en sorte que la table garde les données précédentes contrôlées par elle; dans cette condition, une machine virtuelle attaquante peut cartographier arbitrairement des adresses physiques et accéder ou modifier la mémoire protégée d'un autre VM, lire son contenu privé et même changer la "mesure de lancement" utilisée pour l'alerte à distance. Dans leur expérience, les chercheurs ont également réussi à activer le mode de débogage d'une victime VM et copier leur mémoire en clair, puis réécrire les valeurs afin de ne pas laisser de trace. Dans AMD SEV-SNP, l'impact a été plus limité : les attaques axées sur les opérations de relocalisation de pages, permettant de copier une page victime dans une autre ; les techniques de modification des attentions ou d'activation de débogue sont spécifiques à Intel selon le rapport.

Aspects confirmés vs incertains: il est vérifié que DDRop travaille en laboratoire sur les équipements DDR5 et exploite l'absence de fraîcheur dans les solutions de chiffrement de mémoire évolutive; il est également confirmé que le mode Intel optionnel appelé "intégrité cryptographique" bloque certaines variantes de l'attaque (ceux qui affectent les pages appartenant à un autre VM), bien que les chercheurs ne puissent pas prouver cette modalité parce que leur système de test ne l'a pas supporté. Il est à gauche incertain si le mode cryptographique arrêtait toutes les variantes raisonnables (les auteurs soulignent que la falsification d'un propre témoignage pourrait encore être possible parce qu'elle se produit sous la clé de l'agresseur) et si les futures propositions de conception telles que la "version en ligne de cache" empêcheraient le DDRop: les chercheurs disent que ce n'est pas clair.

À qui elle affecte : charge principalement sur les datamenters en utilisant Intel TDX, Intel scalable SGX et AMD SEV-SNP offerts par les grands nuages (par exemple, les services en AWS, Azure ou Google Cloud qui annoncent des technologies informatiques confidentielles). L'attaque n'est pas dirigée contre des PC domestiques ou mobiles et n'affecte pas les puces où la mémoire est verrouillée physiquement dans le paquet (p. ex. GPU avec la mémoire sur le paquet), ou l'ancien client SGX qui a un arbre d'intégrité qui empêche les données obsolètes. Il peut également ne pas s'appliquer à d'autres architectures (les auteurs n'ont pas testé Arm CCA et le considèrent comme susceptible d'affecter).

Conséquences et risques réels: DDRop ne montre pas que les fournisseurs de cloud ont été brisés, mais il affirme qu'un attaquant ayant un accès administratif au logiciel serveur et un accès physique court (un opérateur malveillant dans le dataenter, le traitement dans la chaîne d'approvisionnement ou le matériel concerné) pourrait violer les garanties de confidentialité et d'intégrité des enclaves. L'impact varie selon le mode de sécurité activé dans chaque processeur : en mode logique TDX, les attaques critiques sont affichées ; en mode cryptographique, le risque est réduit mais ne disparaît pas complètement.

Ce que les parties prenantes et les utilisateurs devraient faire: opérateurs de nuages doit examiner les contrôles physiques et de la chaîne d'approvisionnement, renforcer les politiques d'accès aux racks et aux DIMM, surveiller la manutention physique et ajouter des inspections du matériel pendant l'entretien. Techniquement, ils devraient permettre toutes les options d'intégrité cryptographique disponibles sur leurs plateformes et fournir un support pour les mécanismes futurs qui fournissent de la fraîcheur sur le bus mémoire. Il est également approprié d'implémenter la détection interposée dans le processus de démarrage du serveur et de valider que les écritures critiques ont été appliquées (si possible).

Pour les clients et les développeurs du cloud : ne présumez pas que la confiance de l'enclave est absolue contre les attaques physiques. Demandez à votre fournisseur si la modalité d'intégrité cryptographique est activée dans les services qu'il loue et s'il existe des mesures de protection physique et de chaîne d'approvisionnement. De plus, ils renforcent la sécurité des couches : chiffrement au niveau de l'application, rotation des clés, minimisation des données sensibles dans la mémoire persistante, isolement des charges de travail critiques et authentification croisée avec les politiques qui détectent les écarts dans les mesures de lancement.

Mesures pratiques immédiates pour les gestionnaires et les gestionnaires : exiger le cloud pour permettre le mode cryptographique lorsque disponible, vérifier les processus de maintenance physique, limiter les privilèges d'installer des logiciels d'accès de bas niveau, et appliquer des tests d'intégrité et d'écrire des vérifications dans les composants de mémoire critiques. Les fabricants de puces (Intel / AMD) ont été informés; historiquement, les deux ont considéré des attaques physiques en interposant en dehors du modèle de menace standard, de sorte que l'atténuation complète nécessitera probablement des changements matériels dans les générations futures.

Autres informations utiles et sources contextuelles: la conférence où les travaux seront présentés (ACM CCS) est le principal forum pour la sécurité informatique ( https: / / www.sigsac.org / ccs /) et les technologies de l'informatique confidentielle sont coordonnées par des consortiums du secteur ( https: / / information confidentielle. *). Pour les références officielles sur la famille des technologies concernées, voir la documentation AMD sur SEV ( https: / / www.amd.com / fr / technologies / sev) et les notes publiques des fabricants lorsqu'ils publient leurs bulletins à la date de publication.

Conclusion: DD Rop montre une vulnérabilité modèle - pas un échec de mise en œuvre - dans les solutions de mémoire cryptée à grande échelle actuelles : le manque de fraîcheur sur le bus facilite la conversion des privilèges locaux et de l'accès physique en un accès complet aux enclaves. Bien que l'atténuation réelle implique la conception de nouveaux matériels, les exploitants et les clients peuvent et doivent ajuster la configuration, les contrôles physiques et les pratiques de développement pour réduire l'exposition.