Attaque DDRop : comment un interposer à 200 $ brise la protection mémoire d'Intel TDX et AMD SEV-SNP

Une simple carte électronique de moins de 200 dollars, insérée en quelques minutes entre le processeur et la mémoire d’un serveur, peut réduire à néant les protections offertes par Intel TDX et AMD SEV-SNP. Cette attaque DDRop, mise au point par une équipe internationale de chercheurs (KU Leuven, ETH Zurich, université de Durham, Google), sera dévoilée lors de la conférence ACM CCS en novembre 2026. Elle exploite une faiblesse fondamentale des architectures de confidential computing : l’absence de vérification de fraîcheur des données chiffrées en mémoire. Comprendre cette vulnérabilité est essentiel pour les entreprises françaises qui confient leurs données sensibles à des environnements cloud protégés. Ce décryptage détaille le mécanisme de l’attaque, ses conséquences sur les plateformes cloud majeures et les pistes de protection adaptées au contexte français.

Qu’est-ce que l’attaque DDRop ?

DDRop est une attaque matérielle d’un genre nouveau : elle utilise un interposer - une petite carte équipée de commutateurs électroniques - placé entre le processeur et la mémoire DDR5 d’un serveur. L’interceptor intercepte les signaux sur le bus mémoire et peut silencieusement annuler certaines écritures (write drop). Le processeur continue donc à lire les anciennes données chiffrées comme si la mise à jour avait eu lieu. Le moteur de chiffrement, qu’il s’agisse de celui d’Intel TDX ou d’AMD SEV-SNP, ne détecte aucune anomalie.

« La mémoire chiffrée des serveurs cloud ne vérifie pas la fraîcheur des données. L’absence de cette garantie permet à l’interposer de faire croire au processeur que des données périmées sont toujours valides. » - Extraits des travaux de l’équipe de recherche.

Un coût dérisoire pour un impact majeur

L’interposer peut être fabriqué pour environ 159 dollars de composants (moins de 200 dollars en incluant la main-d’œuvre). Il se fixe en quelques minutes et ne nécessite qu’un accès physique temporaire au serveur. Selon les chercheurs, il s’agit de la première attaque active par interposer fonctionnant sur la mémoire DDR5 utilisée dans les serveurs cloud actuels. Les attaques passives précédentes (comme TEE.fail) se contentaient d’écouter le bus, tandis que les attaques actives (Battering RAM) ne fonctionnaient que sur la DDR4. DDRop contourne les protections de la DDR5 non pas en modifiant les adresses, mais en supprimant purement et simplement des écritures.

Fonctionnement technique

1. L’attaquant accède physiquement au serveur et insère l’interposer entre le processeur et un module mémoire.
2. L’interposer, piloté entièrement par logiciel, analyse les commandes sur le bus et identifie les écritures à bloquer.
3. Pour annuler une écriture, il force une erreur sur le bus de commande, puis coupe le fil de signalement d’erreur du module mémoire.
4. Le module mémoire ignore la commande d’écriture, mais le processeur n’est jamais informé de cet échec.
5. Le processeur lit ultérieurement l’ancienne valeur chiffrée, qui est déchiffrée normalement et considérée comme à jour.

// Pseudo-code du contrôleur de l'interposer
if command_type == WRITE {
    force_error_on_command_bus()
    mask_memory_error_report()
    // la commande est abandonnée, l'ancienne donnée reste en mémoire
}

Ce procédé peut être répété pour corrompre des structures de données critiques, comme les tables de pages des machines virtuelles protégées.

Le talon d’Achille : l’absence de vérification de fraîcheur

Les technologies de confidential computing (Intel TDX, AMD SEV-SNP, Intel Scalable SGX) chiffrent l’intégralité de la mémoire d’un serveur. Même un attaquant ayant un accès physique ne voit que des données chiffrées. Cependant, pour couvrir les grandes quantités de mémoire des serveurs cloud, ces architectures sacrifient la vérification de fraîcheur (freshness). Le processeur peut confirmer qu’une donnée est chiffrée, mais pas qu’il s’agit de la version la plus récente. Or, une ancienne donnée chiffrée se déchiffre parfaitement avec la bonne clé.

« Il n’existe pas de correctif simple. La faiblesse est dans le design matériel. Aujourd’hui, le chiffrement mémoire scalable renonce à la vérification de fraîcheur pour protéger de grandes quantités de mémoire, et combler cette lacune nécessiterait un nouveau matériel intégrant à la fois l’intégrité et la fraîcheur. » - Équipe de recherche.

Le tableau ci-dessous compare les capacités de protection des principales architectures :

DDRop exploite précisément cette absence de vérification de fraîcheur. L’interposer peut remplacer une nouvelle écriture par une donnée obsolète que le système considère comme valide.

Impact sur Intel TDX : compromission totale d’une machine virtuelle

Sur Intel TDX, les chercheurs ont démontré que l’attaque permet une prise de contrôle complète d’une machine virtuelle protégée. Le scénario repose sur la corruption des tables de pages lors de leur allocation.

« En annulant les écritures qui effacent les entrées des tables de pages lors de leur allocation, l’interposer laisse en place des données choisies par l’attaquant. Cela permet à une VM malveillante d’accéder à la mémoire d’une VM victime. » - Rapport de recherche.

Trois résultats critiques

• Lecture de la mémoire privée : grâce à la corruption des tables de pages, la VM attaquante peut lire l’intégralité de la mémoire d’une VM victime, y compris des données sensibles (clés de chiffrement, secrets applicatifs).
• Activation du mode debug : en manipulant les registres de contrôle via des écritures non vérifiées, l’attaquant bascule la VM victime en mode debug. Cela permet d’exporter sa mémoire en clair sans laisser de trace.
• Falsification de l’attestation : la mesure de lancement (la preuve qu’une VM s’est exécutée dans un état de confiance) est écrasée. Une VM malveillante peut alors se faire passer pour une VM fiable auprès d’un client distant, compromettant la chaîne de confiance.

Intel TDX propose un mode d’intégrité cryptographique optionnel sur certains processeurs Xeon. Selon les chercheurs, ce mode bloquerait les deux premiers résultats (lecture mémoire et debug), car ils impliquent des modifications de données appartenant à une autre VM. La falsification de l’attestation pourrait toutefois rester possible : l’écriture se fait dans l’espace de la VM attaquante et sous sa propre clé. Les chercheurs n’ont pas pu tester ce mode sur leur système de laboratoire.

Impact sur AMD SEV-SNP et autres architectures

Sur AMD SEV-SNP, l’attaque se concentre sur la fonction de relocalisation de pages (page relocation). En annulant des écritures pendant ce processus, les chercheurs ont pu copier le contenu d’une page mémoire dans une autre page. Cela permet de dupliquer des informations entre machines virtuelles, mais ne donne pas un contrôle aussi étendu que sur TDX.

Les attaques de basculement en mode debug et de falsification d’attestation sont spécifiques à Intel TDX. AMD SEV-SNP reste toutefois vulnérable à la corruption de pages, ce qui peut compromettre l’isolation entre VMs. Les chercheurs estiment que l’architecture mémoire d’AMD est moins exposée car la gestion des pages y est différente.

Autres architectures : NVIDIA, ARM CCA

Les GPU de confidential computing de NVIDIA ne sont pas vulnérables, car leur mémoire est intégrée dans le boîtier du processeur, inaccessible à un interposer. L’architecture ARM CCA (Confidential Compute Architecture) n’a pas été testée, mais les chercheurs pensent qu’elle pourrait être affectée si elle emploie un design mémoire similaire, sans vérification de fraîcheur.

Réactions des constructeurs et perspectives de correctifs

Intel et AMD ont été informés via un processus de divulgation coordonnée. Intel a indiqué que les attaques par interposer physique sortent du cadre de protection de son chiffrement mémoire et n’a pas prévu d’attribuer de CVE à cette menace. AMD a adopté une position similaire, précisant que l’attaque nécessite un accès physique, ce qui est hors périmètre de son modèle de menace.

« Intel considère que ce type d’attaque matérielle active est hors de portée de la protection offerte par son chiffrement mémoire. Nous travaillons néanmoins sur des conceptions plus robustes pour les futures générations de processeurs. » - Porte-parole d’Intel.

Les chercheurs estiment qu’ il n’existe pas de correctif simple. La faille est inhérente au design matériel. Les solutions logicielles peuvent élever la barrière sans supprimer la vulnérabilité racine :

• Restreindre les fonctionnalités de gestion mémoire utilisées par l’attaque (ex. : relocalisation de pages).
• Vérifier que les écritures critiques ont bien eu lieu (par des lectures de contrôle).
• Détecter la présence d’un interposer au démarrage (par exemple via des mesures de latence).

Intel propose une évolution appelée cache-line versioning qui ajouterait une vérification de fraîcheur sur le bus mémoire. Les chercheurs doutent que cette solution soit suffisante et Intel n’a pas communiqué de calendrier de déploiement.

Mesures de protection pour les entreprises françaises

Pour les organisations françaises utilisant le confidential computing dans le cloud, l’attaque DDRop soulève des questions importantes, notamment dans le cadre de la conformité RGPD. Les données traitées dans des environnements TDX ou SEV-SNP pourraient ne pas offrir le niveau de protection attendu face à un attaquant ayant un accès physique. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) insiste régulièrement sur la nécessité de ne pas reposer sur une seule couche de sécurité.

Recommandations pratiques

1. Utiliser les modes d’intégrité renforcée : si votre fournisseur cloud le propose, activez le mode d’intégrité cryptographique d’Intel TDX. Il bloque une partie significative des attaques.
2. Surveiller l’infrastructure physique : limiter l’accès aux serveurs dans les datacenters, contrôler les interventions et utiliser des scellés d’intégrité physique.
3. Chiffrer les données en dehors de la mémoire : même si la mémoire est compromise, les données chiffrées au niveau applicatif restent protégées. Le confidential computing ne doit pas être le seul rempart.
4. Évaluer le modèle de menace : pour les données ultra-sensibles, considérer que le confidential computing seul ne suffit pas face à un attaquant physique déterminé. Combiner plusieurs couches de protection.
5. Suivre les recommandations de l’ANSSI : l’Agence publie régulièrement des guides sur le chiffrement et l’isolation mémoire. Restez informé des mises à jour.

Un exemple concret : un hôpital français utilisant Azure Confidential Computing

Imaginons un hôpital français qui traite des données médicales dans un environnement Intel TDX sur Microsoft Azure. L’attaque DDRop, si elle était mise en œuvre par un employé malveillant du datacenter ou lors d’une interception dans la chaîne d’approvisionnement, pourrait exposer les dossiers patients. Bien que le scénario soit complexe (accès physique, interposer), il démontre que la confiance dans le matériel doit être complétée par d’autres mesures, comme le chiffrement de bout en bout et une gestion rigoureuse des accès physiques.

« DDRop ne montre pas qu’un service cloud a été compromis, mais il révèle une faiblesse théorique que les clients doivent intégrer dans leur analyse de risques. » - Équipe de recherche.

Conclusion : une alerte salutaire pour l’industrie du confidential computing

L’attaque DDRop met en lumière une fragilité commune aux principales technologies de confidential computing : l’absence de vérification de fraîcheur. Bien que son exploitation nécessite un accès physique et un interposer, son coût modique et sa relative simplicité de mise en œuvre en font une menace crédible pour les environnements cloud mutualisés. Les constructeurs Intel et AMD minimisent l’impact en invoquant le périmètre de leur modèle de menace, mais les chercheurs appellent à une évolution matérielle plus profonde.

Pour les entreprises françaises, cette découverte est un rappel que la sécurité doit être pensée en couches. Le confidential computing est un outil puissant, mais il n’est pas invulnérable. Intégrer l’hypothèse d’une compromission matérielle dans votre plan de sécurité vous permettra de mieux protéger vos données les plus sensibles. La solution durable passe par une refonte des mécanismes d’intégrité mémoire, un chantier que l’industrie devra mener dans les années à venir.