Contexte et principe de DDRop
Des chercheurs de KU Leuven, ETH Zurich, Durham University et Google ont présenté une attaque matérielle nommée DDRop. Elle cible les solutions de confidential computing d’Intel (TDX, Scalable SGX) et d’AMD (SEV‑SNP) en exploitant l’absence de vérification de freshness dans les mémoires DDR5 chiffrées. L’interposeur, un petit circuit imprimé coûtant moins de 200 $, se place entre le processeur et le module DDR5 et agit à pleine vitesse du bus mémoire.
Mécanisme d’interposition et perte de fraîcheur
Le dispositif introduit une erreur sur le bus de commande puis coupe le fil de signal d’erreur du module DIMM. Le module ignore ainsi le write et conserve la valeur précédente, qui reste chiffrée mais valide. Le processeur, n’ayant aucun moyen de confirmer que la donnée lue correspond à la dernière écriture, continue de la déchiffrer comme si elle était à jour. Cette « loss of freshness » constitue le point faible exploité : aucune des architectures testées ne possède de mécanisme d’intégrité temporelle capable de détecter un write abandonné.
Exploitation sur Intel TDX et AMD SEV‑SNP
Sur Intel TDX, les chercheurs ont fait tomber les écritures qui initialisent les tables de pages protégées. En bloquant ces writes, ils ont injecté des entrées contrôlées, permettant à une VM malveillante de mapper n’importe quelle adresse physique et de lire ou modifier la mémoire d’une VM cible. Ils ont ainsi extrait du texte en clair, activé le mode debug et falsifié l’attestation de lancement. Le mode « cryptographic integrity » de TDX, plus strict, aurait bloqué ces actions, mais il ne protège pas contre la réutilisation de données anciennes, ce qui rend l’attaque toujours viable. Sur AMD SEV‑SNP, l’impact est plus limité : le drop de writes pendant la relocalisation de pages a permis de copier le contenu d’une page victime vers une autre, sans toutefois obtenir les mêmes privilèges de debug ou d’attestation que sur TDX.
Limites, contre‑mesures et perspectives
L’attaque nécessite un accès physique au serveur pour installer l’interposeur, ce qui la classe hors du modèle de menace officiel de SEV‑SNP et d’Intel TDX. Aucun correctif logiciel simple n’est disponible ; la vulnérabilité réside dans la conception matérielle qui sacrifie la fraîcheur au profit de la scalabilité. Les mesures d’atténuation proposées incluent la restriction des fonctionnalités de gestion de mémoire exploitées, la vérification post‑write que les données ont bien atteint le module, et la détection d’un interposeur au démarrage. Une solution définitive passerait par de nouveaux circuits de chiffrement mémoire intégrant à la fois intégrité et fraîcheur, ce qui implique une refonte du standard DDR5 ou l’adoption de nouvelles générations de modules sécurisés.
