DDRop expõe vulnerabilidade em memórias cifradas da Intel e AMD com interposer DDR5

Pesquisadores do KU Leuven, ETH Zurique, Durham University e Google revelaram um ataque de hardware, batizado DDRop, que pode invalidar a proteção de memória usada pelas tecnologias de "confidential computing" em servidores com processadores Intel e AMD. Em laboratório, os autores demonstram que um pequeno interposer — uma placa de circuito inserida entre a CPU e um módulo de memória DDR5— pode excluir a escrita Na memória de forma silenciosa, de modo que o CPU continua a ler dados encriptados antigos como se fossem os mais recentes. Segundo a equipe, o design do interposer e o firmware custam menos de 200 dólares em peças e pode ser instalado em poucos minutos.

Fatos confirmados: os pesquisadores publicaram (de acordo com sua divulgação coordenada) testes de conceito que funcionam sobre DDR5 e mostram impacto na Intel TDX (em sua modalidade por defeito, chamada “logical integrity”) e na AMD SEV-SNP; o ataque atua suprimindo comandos de escrita entre a CPU e a DRAM, sem quebrar a cifra ou ativar as verificações existentes; os autores estão liberando desenhos, firmware e código no GitHub e apresentarão o trabalho na conferência ACM CCS 2026. Também é confirmado que a técnica requer (1) controle do software da máquina atacada e (2) acesso físico breve para colocar o interposer; os pesquisadores dizem não ter evidência de uso no mundo real fora do laboratório.

Como funciona tecnicamente: as arquiteturas de memória criptografadas que usam os enclaves ou domínios confiáveis em nuvem protegem a confidencialidade da memória, mas, para escalar grandes quantidades de RAM, renunciam a uma garantia chamada freshness(actualidade do conteúdo). A encriptação e os seus meta- dados comprovam a integridade criptográfica segundo chaves, mas não verificam que o valor lido seja a última escrita feita pelo CPU; por isso uma antiga cópia válida continua a decifrar corretamente. O interposer projetado pelos pesquisadores opera como um comutador de alta velocidade no ônibus DDR5: para excluir uma escrita, induz uma falha lógica no sinal de comando e, em seguida, bloqueia a linha de retorno que a memória usaria para reportar essa falha, provocando que o módulo DRAM ignore a ordem sem que o CPU o detecte. O resultado é que uma suposta atualização não chega à DRAM e leituras posteriores devolvem o conteúdo anterior.

O que permite isso na prática: na Intel TDX, a equipe transforma essa falta de escrita em um controle efetivo do domínio protegido. Ao evitar que o firmware escreva entradas nulas numa nova tabela de páginas, o atacante faz com que a tabela conserve dados anteriores controlados por ele; com essa condição, uma máquina virtual atacante pode mapear endereços físicos de forma arbitrária e acessar ou modificar memória protegida de outra VM, ler seu conteúdo privado e até mudar o “launch measurement” usado para atestação remota. Em sua experiência os pesquisadores também conseguiram ativar o modo debug de uma VM vítima e copiar sua memória em claro, reescrevendo depois os valores para não deixar traçado. Na AMD SEV-SNP, o impacto mostrado foi mais limitado: os ataques centraram-se em operações de relocação de páginas, permitindo copiar uma página vítima em outra; as técnicas de alterar atestações ou ativar debug são específicas da Intel de acordo com o relatório.

Aspectos confirmados vs incertos: é verificado que DDRop funciona em laboratório sobre equipamentos DDR5 e que explora a ausência de freshness nas soluções escalável de criptografia de memória; também é confirmado que a modalidade opcional da Intel conhecida como “cryptographic integrity” bloqueia algumas variantes do ataque (as que afetam páginas que pertencem a outra VM), embora os pesquisadores não pudessem testar essa modalidade porque seu sistema de testes não a suportava. Fica incerto Se a modalidade criptográfica compreender todas as variantes razoáveis (os autores indicam que a contrafacção de uma atestação própria poderia continuar a ser possível porque ocorre sob a chave do atacante) e se propostas de design futuras como “cache-line versioning” impediriam DDRop: os pesquisadores dizem que não está claro.

A quem afeta: principalmente cargas em datacenters que usam Intel TDX, Intel scalable SGX e AMD SEV‐SNP oferecidos por grandes nuvens (por exemplo, serviços na AWS, Azure ou Google Cloud que anunciam tecnologias de confidential computing). O ataque não é dirigido a PCs domésticos ou móveis e não afeta chips onde a memória está fechada fisicamente dentro do pacote (por exemplo GPUs com memória on-package), nem ao antigo Client SGX que tem uma árvore de integridade que previne dados obsoletos. Também pode não aplicar-se a outras arquiteturas (os autores não testaram Arm CCA e consideram-no potencialmente afetavel).

Conseqüências reais e riscos: DDRop não demonstra que provedores de nuvem foram quebrados, mas estabelece que um atacante com acesso administrativo ao software do servidor e um breve acesso físico (um operador malicioso no datacenter, manipulação na cadeia de fornecimento ou hardware intervindo) poderia violar as garantias de confidencialidade e integridade de enclaves. O impacto varia com o modo de segurança ativado em cada CPU: em modo lógico de TDX se mostram ataques críticos; em modo criptográfico o risco é reduzido, mas não desaparece completamente.

O que deveriam fazer as partes envolvidas e os usuários: em primeiro lugar, os operadores de nuvem Devem rever controlos físicos e de cadeia de abastecimento, reforçar políticas de acesso a racks e DIMMs, monitorizar a manipulação física e adicionar inspecções de hardware durante a manutenção. Tecnicamente, deveriam ativar todas as opções de integridade criptográfica disponíveis em suas plataformas e colocar suporte para mecanismos futuros que aportem freshness no ônibus de memória. Também convém implementar a detecção de interposer no processo de arranque do servidor e validar que as escrituras críticas foram aplicadas (desde que seja viável).

Para clientes de nuvem e desenvolvedores: não assumam que a confiança do enclave é absoluta frente a ataques físicos. Perguntem ao seu fornecedor se a modalidade de integridade criptográfica está habilitada nos serviços que contratam e se houver medidas de proteção física e de cadeia de fornecimento. Além disso, reforcem a segurança por camadas: criptografia a nível de aplicação, rotação de chaves, minimizar dados sensíveis em memória persistente, isolamento de workloads críticos e atestação remota cruzada com políticas que detectem discrepâncias em medições de lançamento.

Medidas práticas imediatas para administradores e responsáveis: exigir à nuvem a habilitação do modo criptográfico quando disponível, auditar os processos de manutenção físico, limitar privilégios que permitam instalar software com acesso de baixo nível, e aplicar testes de integridade e verificações de writes em componentes de memória críticos. Os fabricantes de chips (Intel/AMD) foram informados; historicamente, ambos consideraram ataques físicos por interposer fora do modelo de ameaça padrão, pelo que a mitigação completa provavelmente exigirá mudanças de hardware em gerações futuras.

Informações úteis adicionais e fontes de contexto: a conferência onde o trabalho (ACM CCS) é o fórum principal para segurança informática ( https://www.sigsac.org/ccs/) e as tecnologias de confidential computing são coordenadas por consórcios do sector ( https://confidentialcomputing.io/). Para referências oficiais sobre a família de tecnologias afetadas, consultar a documentação da AMD sobre o SEV ( https://www.amd.com/en/technologies/sev), e as notas públicas dos fabricantes quando publicarem seus boletins na data de divulgação.

Conclusão: DDRop mostra uma vulnerabilidade de modelo - não uma falha de implementação - nas atuais soluções de memória cifrada em grande escala: a falta de freshness no ônibus facilita que um interposer barato e temporal torne privilégios locais e acesso físico em acesso total a enclaves. Enquanto as mitigações reais implicarão design de hardware novo, operadores e clientes podem e devem ajustar configurações, controles físicos e práticas de desenvolvimento para reduzir a exposição.