Новиот DDRop напад ги пробива Intel TDX и AMD SEV-SNP средините за доверливо сметање (Confidential Computing)

Истражувачите открија нов хардверски напад наречен DDRop, кој ја пробива заштитата на меморијата кај Intel и AMD доверливото сметање со тоа што тивко ги отфрла записите во меморијата на серверот, овозможувајќи му на процесорот да продолжи да ги чита старите шифрирани податоци како да се актуелни.

Нападот бара напаѓач кој веќе го контролира софтверот на серверот и има краткотраен физички пристап до машината за да вметне мала штампана плочка, наречена интерпозер (interposer), помеѓу процесорот и меморискиот модул.

Изработката на интерпозерот чини под 200 долари. DDRop работи против Intel TDX, Intel Scalable SGX и AMD SEV-SNP – хардверот што го користат облачните (cloud) услуги за да ги зачуваат корисничките податоци приватни додека се во употреба, дури и од самиот провајдер на облачната услуга.

Доверливото сметање ја одржува меморијата на серверот шифрирана, така што дури и некој со физички пристап до машината гледа само измешани податоци. Сепак, за да се покрие големото количество меморија што го користи еден облачен сервер, овие дизајни ја занемаруваат гаранцијата позната како „свежина“ (freshness). Процесорот може да потврди дека меморијата е шифрирана, но не и дека ја содржи последната запишана вредност, како и дека старите шифрирани податоци сè уште правилно се дешифрираат.

DDRop го претвора тој јаз во напад. Кога интерпозерот ќе го отфрли записот, претходната вредност останува во меморијата, а процесорот ја чита назад како ажурирањето нормално да се случило. Моторот за шифрирање не открива ништо сомнително.

DDRop е првиот активен напад со интерпозер кој работи на DDR5 меморијата во денешните облачни сервери, велат истражувачите, и е првиот што го нарушува интегритетот на целосно ажуриран Intel TDX систем, наместо само да чита податоци од него.

Претходните напади со интерпозер на DDR5, како што е TEE.fail, беа пасивни. Тие ја прислушуваа мемориската магистрала и мораа да ја забават нејзината работа за да функционираат со користена лабораториска опрема. Активните напади што го менуваа она што го гледа меморијата, како Battering RAM, работеа само на постарата DDR4 меморија, а редизајнираниот формат на команди кај DDR5 го блокира трикот со замена на адреси што го користеа тие. DDRop го заобиколува тоа со отфрлање на записите.

Интерпозерот е мала плочка со прекинувачи што се поставува на мемориската магистрала и работи со полна DDR5 брзина. За да отфрли запис, тој предизвикува грешка на командната магистрала и потоа ја прекинува жицата што меморискиот модул ја користи за пријавување на таа грешка, така што модулот тивко ја отфрла командата без процесорот да биде известен.

DDRop е дело на истражувачи од KU Leuven, ETH Zurich, Универзитетот во Кардам (Durham University) и Google, и треба да биде претставен на конференцијата ACM CCS 2026 во ноември. Тимот наведува дека ги објавува дизајните за плочката на интерпозерот, фирмверот за контролерот и кодот за нападот на GitHub, заедно со нивниот истражувачки труд.

Пробивање на Intel TDX

На Intel TDX, истражувачите го претворија отфрлањето на записите во целосна контрола врз заштитената виртуелна машина. TDX ги чува табелите со страници (page tables) на секоја виртуелна машина шифрирани и под контрола на доверлив фирмвер.

Кога тој фирмвер запишува празни записи за да постави нова табела со страници, DDRop ги отфрла тие записи, па табелата наместо тоа ги задржува податоците избрани од напаѓачот што претходно биле оставени во таа меморија. Ова му овозможува на виртуелната машина на напаѓачот да ја преслика својата меморија на која било физичка адреса и да чита или менува заштитена меморија.

Со тој пристап, истражувачите ја прочитаа приватната меморија на жртвата-виртуелна машина и ја префрлија машината на жртвата во режим за дебагирање (debug mode), што им овозможи да ја копираат нејзината меморија во чист текст (plaintext), а потоа да ги вратат оригиналните податоци за да нема траги од манипулација.

Тие исто така го препишаа стартувачкото мерење (launch measurement) кое виртуелната машина го користи за да му докаже на оддалечениот клиент дека е стартувана во позната, доверлива состојба. Со таа измена, виртуелна машина под контрола на напаѓачот може да ја помине таа проверка како да е доверлива.

Два од овие резултати – читањето на меморијата на жртвата и префрлањето во режим за дебагирање – беа прикажани само под стандардниот режим на TDX, наречен логички интегритет (logical integrity). Опционалниот, посилен режим на TDX, наречен криптографски интегритет (cryptographic integrity), би ги блокирал овие напади, велат истражувачите, бидејќи и двата вклучуваат менување на податоци што припаѓаат на друга виртуелна машина.

Лажирањето на сопствената аттестација (пријава за автентичност) на машината, тврдат тие, сè уште би работело и под посилниот режим, бидејќи тој запис се случува внатре во сопствената виртуелна машина на напаѓачот и под нејзиниот сопствен клуч, така што хардверот сè уште ги означува податоците како валидни. Криптографскиот интегритет исто така не додава проверка на свежината (freshness check), па затоа не може да препознае дека се повторно употребени стари содржини. Нивниот тест систем не го поддржуваше овој режим, па не можеа и практично да го потврдат ова.

Кај AMD SEV-SNP, резултатот е поограничен. Отфрлањето на записите за време на функцијата за преместување страници кај AMD им овозможи на истражувачите да ја копираат содржината на една страница од жртвата во друга, но нападите со дебагирачкиот режим и лажирањето на аттестацијата се специфични само за Intel TDX.

Сите три технологии ја шифрираат меморијата без проверката на свежината која ја искористува DDRop, така што сите три се погодени. Постариот Intel Client SGX, користен во некои чипови за десктоп и лаптоп компјутери, не е погоден бидејќи користи хардверско стебло за интегритет (integrity tree) кое ги фаќа застарените податоци, иако Intel во меѓувреме го повлече од употреба.

Конфиденцијалните графички процесори (GPU) на NVIDIA се недостапни за овој напад бидејќи нивната меморија се наоѓа во самото пакување на чипот (chip package) каде што не може да се вметне интерпозер. Истражувачите не го тестираа Arm CCA и велат дека и тој може да биде засегнат.

Нападот е насочен кон облачни сервери, а не кон домашни компјутери или телефони. Intel TDX, Scalable SGX и AMD SEV-SNP се нудат од главните облачни платформи, вклучувајќи ги AWS, Microsoft Azure и Google Cloud, за заштита на корисничките процеси (workloads). DDRop не покажа дека во некоја од овие услуги било неовластено влезено.

Тој покажува дека напаѓач со соодветен пристап и евтин дел хардвер би можел да ја поткопа заштитата на која се потпираат овие услуги.

Истражувачите за The Hacker News изјавија дека немаат докази за користење на DDRop или сличен активен интерпозер надвор од лабораториски услови.

Нема едноставна закрпа

Не постои едноставна безбедносна закрпа. Слабоста е во самиот хардверски дизајн, велат истражувачите. Денешното скалабилно шифрирање на меморијата се откажува од проверката на свежина во замена за заштита на големи количества меморија, а за трајно затворање на овој јаз ќе биде потребен нов хардвер за шифрирање на меморијата што ќе додаде и интегритет и свежина.

Софтверските промени можат да го подигнат нивото на заштита без да ја отстранат основната причина. Ова вклучува ограничување на функциите за управување со меморијата што ги злоупотребува DDRop, проверка дали важните записи навистина стигнале до меморијата и барање присуство на интерпозер за време на покренувањето на системот (boot).

Intel и AMD беа однапред известени за DDRop преку координирано објавување, и двете компании ги признаа откритијата и најавија безбедносни билтени на денот на објавувањето. Ниту една од компаниите не понуди упатства за намалување на ризикот (mitigation guidance) ниту временска рамка, рекоа истражувачите.

AMD за The Hacker News изјави дека бидејќи нападот бара физички пристап до системот, тој паѓа надвор од опсегот на објавениот модел на закани (threat model) за SEV / SNP. Intel има ист став во врска со физичките напади врз меморијата на серверите.

Intel одделно соопшти дека физичките напади со интерпозер од овој тип паѓаат надвор од заштитата што ја обезбедува неговото шифрирање на меморијата и дека не планира на ваквите напади да им додели CVE идентификатор.

Компанијата исто така ја опиша оваа област на истражување како „надвор од опсегот, но не и надвор од вниманието“. Опционалниот режим за криптографски интегритет на Intel, достапен на некои од тековните Xeon процесори, веќе блокира дел од DDRop, а Intel наведува дека работи на посилни дизајни за шифрирање на меморијата за идните чипови.

Еден од тие предлози, наречен нумерирање на верзии на кеш-линките (cache-line versioning), би додадел проверка на свежината на мемориската магистрала. Истражувачите велат дека не е јасно дали тоа би го запрело DDRop и дека Intel нема соопштено дали тоа би помогнало.

AMD изјави дека нивниот билтен за DDRop треба да биде објавен на нивната страница за безбедност на производи подоцна на 14 септември. Intel не одговори на барањето за коментар пред објавувањето.

Изработката на интерпозерот е евтина. Истражувачите ги проценија деловите за една единица на околу 159 долари, не сметајќи го развојот или трудот, и велат дека може да се инсталира за неколку минути и потоа целосно да се управува преку софтвер.

Бидејќи е посетена само една кратка физичка интервенција на машината, истражувачите велат дека пристапот што го бара нападот може да дојде од злонамерен вработен во центар за податоци, манипулација некаде во синџирот на испорака или хардвер зален под законска присила.

Извори:

• The Hacker News – New DDRop Attack Breaks Intel TDX and AMD SEV-SNP Confidential Computing The Hacker News