Attaque DDRop : une faille matérielle brise le confidential computing Intel TDX et AMD SEV-SNP

Imaginons un instant que vous êtes RSSI d’une entreprise française hébergeant ses données de santé sur un cloud utilisant la technologie Intel TDX. Vous êtes convaincu que vos données sont protégées par le confidential computing, inaccessibles même à l’hébergeur. Pourtant, un simple interposeur de 150 dollars, inséré en quelques minutes par une personne malintentionnée dans un datacenter, peut anéantir cette protection. Ce n’est pas de la science-fiction : c’est la réalité dévoilée par des chercheurs en 2025, qui ont baptisé cette technique l’attaque DDRop.

L’attaque DDRop est une attaque matérielle active ciblant la mémoire DDR5 des serveurs cloud modernes. Elle est la première du genre à briser l’intégrité d’un système Intel TDX à jour et à compromettre les promesses du confidential computing d’AMD (SEV-SNP). Son mécanisme ? Un interposeur qui rejette silencieusement les écritures en mémoire, forçant le processeur à lire d’anciennes données.

Selon les chercheurs, le coût des composants de l’interposeur avoisine les 150 dollars, démontrant qu’une attaque à très faible coût peut avoir un impact systémique sur la sécurité du cloud.

Dans cet article, nous décortiquons le fonctionnement de l’attaque DDRop, son impact sur les architectures Intel et AMD, et les implications critiques pour les RSSI français et la conformité SecNumCloud.

Qu’est-ce que l’attaque DDRop ? Le mécanisme du write-dropping

L’attaque DDRop s’inscrit dans la catégorie des attaques actives par interposeur sur le bus mémoire. Pour la comprendre, il faut distinguer deux types d’attaques sur la mémoire :

• Passive : écoute le bus pour capter des données (comme TEE.fail sur DDR3/DDR4). Nécessite un ralentissement du bus et un équipement coûteux.
• Active : intercepte et modifie le trafic. DDRop est une attaque active.
• Hybride / Manipulation : DDRop se contente de supprimer des écritures, ce qui est plus simple que de les modifier, et contourne les protections de la DDR5.

Le write-dropping en détail

L’interposeur est un petit circuit imprimé qui s’insère entre le socket du processeur et le module DIMM DDR5. Il est équipé de commutateurs commandés par un FPGA basse consommation. Le processus se déroule en trois étapes :

1. Interception de la commande : Le processeur émet une commande d’écriture sur le bus mémoire. L’interposeur lit le bus en temps réel.
2. Injection d’erreur : L’interposeur force un bit d’erreur sur le bus de commandes. La mémoire DDR5 reçoit une commande invalide, qu’elle rejette discrètement.
3. Masquage de l’erreur : La mémoire devrait normalement signaler l’erreur au processeur. L’interposeur a physiquement coupé la ligne de signalisation. Le processeur ne reçoit aucune notification et suppose que l’écriture a réussi.

Le résultat est implacable : l’ancienne donnée reste en mémoire. Lorsque le processeur lira cette adresse plus tard, il obtiendra une version obsolète mais cryptographiquement valide de la donnée.

Le talon d’Achille : l’absence de vérification de fraîcheur

Pourquoi le chiffrement mémoire ne détecte-t-il pas cette fraude ? Parce que les technologies actuelles de confidential computing (TDX, SEV-SNP) reposent sur un compromis architectural : elles garantissent la confidentialité et l’intégrité des données, mais pas leur fraîcheur (freshness).

Le chiffrement mémoire (Intel MKTME, AMD SME) protège contre la lecture non autorisée. Mais le mécanisme ne permet pas de vérifier si la donnée lue est la dernière version écrite. Une ancienne donnée, chiffrée avec la même clé et le même nonce, est parfaitement valide aux yeux du moteur de déchiffrement.

Le chiffrement mémoire évolutif d’aujourd’hui abandonne la vérification de fraîcheur en échange de la protection de grandes quantités de mémoire. Combler ce vide nécessite une nouvelle génération de matériel. - Extrait du rapport technique sur DDRop.

C’est exactement ce que fait DDRop. Il exploite cette lacune pour faire lire au processeur des données qu’il n’aurait pas dû lire, ou pour lui faire ignorer des écritures de sécurité critiques (comme le nettoyage des tables de pages).

Pourquoi DDRop est sans précédent sur DDR5

Les attaques précédentes sur le bus mémoire, comme Battering RAM, ne fonctionnaient que sur DDR4. La DDR5 a introduit un nouveau format de commandes et une cadence beaucoup plus élevée, rendant les techniques d’échange d’adresses obsolètes. DDRop innove en utilisant le write-dropping, une technique qui fonctionne à pleine vitesse DDR5 sans nécessiter de ralentissement coûteux du bus. C’est la première attaque active confirmée sur DDR5.

Impact sur Intel TDX, Intel SGX et AMD SEV-SNP

L’équipe de recherche a testé DDRop sur les principales technologies de confidential computing. Les résultats sont très différents selon l’architecture.

Intel TDX : une compromission totale de la VM

Intel TDX (Trust Domain Extensions) est la solution phare d’Intel pour les machines virtuelles cloud. DDRop a permis une prise de contrôle quasi-complète.

Voici les quatre étapes de l’attaque sur TDX :

1. Préparation des tables de pages : L’attaquant lance sa propre VM et prépare des tables de pages pointant vers sa mémoire physique.
2. Blocage du nettoyage : Le firmware TDX écrit des entrées vides pour nettoyer ces tables. L’interposeur bloque ces écritures de nettoyage.
3. Mapping frauduleux : Les tables de pages malveillantes persistent en mémoire. La VM attaquante peut mapper ses pages physiques sur l’espace d’adressage de la VM victime.
4. Pleine exploitation :
   • Lecture mémoire : La mémoire de la victime est lue par la VM attaquante.
   • Mode débogage : La VM victime est basculée en mode debug. Ses données sont copiées en clair, puis restaurées, sans laisser de trace.
   • Falsification de l’attestation : La mesure de lancement (MRTD) est corrompue. Une VM malveillante peut usurper l’identité d’une machine de confiance, compromettant toute la chaîne de confiance.

Le mode d’intégrité cryptographique d’Intel : Intel propose un mode optionnel, l’intégrité cryptographique, sur certains Xeon récents. Selon les chercheurs, ce mode bloque la lecture mémoire et le basculement en mode débogage, car ces actions impliquent une écriture dans les pages d’une autre VM. En revanche, la falsification de l’attestation pourrait encore fonctionner, car l’écriture frauduleuse se fait dans la VM attaquante et avec sa propre clé. Le mode n’ajoutant pas de fraîcheur, il ne peut pas détecter la réutilisation d’anciennes données.

AMD SEV-SNP : un impact plus ciblé

AMD SEV-SNP (Secure Encrypted Virtualization) est également vulnérable, mais l’impact est plus limité.

• Les chercheurs ont réussi à copier le contenu d’une page victime vers une autre page, en bloquant les écritures de la Reverse Map Table (RMP) lors de la migration de pages.
• Les attaques de mode débogage et de falsification d’attestation, spécifiques à Intel TDX, n’ont pas pu être reproduites sur AMD SEV-SNP.

Intel SGX (Scalable) et autres technologies

• Intel Scalable SGX (serveur) : Vulnérable de la même manière que TDX, car il partage la même infrastructure de chiffrement mémoire sans fraîcheur. L’ancien SGX Client (desktop/laptop) n’est pas affecté, car il utilise une arbre de Merkle matériel complet (garantissant la fraîcheur).
• NVIDIA Confidential Computing : La mémoire des GPUs NVIDIA (HBM) est intégrée dans le package. Un interposeur ne peut pas être placé. Ils sont considérés comme non affectés.
• Arm CCA : Non testé par les chercheurs, mais potentiellement vulnérable à la même faille de fraîcheur.

Tableau comparatif des vulnérabilités à DDRop

Un coût dérisoire pour une menace de haute voltige

L’aspect le plus frappant de DDRop est son coût et son accessibilité.

• Budget matériel : ~150 dollars. Un investissement accessible à tout acteur malveillant.
• Installation : Moins de 5 minutes pour un technicien de datacenter. Retirer un DIMM, insérer l’interposeur, remettre le DIMM.
• Pilotage : Entièrement logiciel, via le système d’exploitation de la machine compromise. Aucun équipement de laboratoire supplémentaire.

Ce coût dérisoire en fait une menace sérieuse pour les datacenters. Les vecteurs d’accès potentiels sont :

1. Menace interne : Un employé malveillant du datacenter.
2. Chaîne d’approvisionnement : Un serveur intercepté avant son installation.
3. Saisie légale : Un serveur saisi, modifié, puis remis en service.

Les chercheurs n’ont trouvé aucune preuve d’exploitation dans la nature. Le message est préventif, mais l’urgence est réelle.

Réponses des constructeurs : quand les géants botent en touche

Intel a déclaré que les attaques par interposeur sortent du périmètre de sa protection mémoire, et ne prévoit pas de CVE. La firme renvoie vers le mode d’intégrité cryptographique et travaille sur le cache-line versioning pour les futures puces. Intel considère cette recherche comme “hors scope, mais pas hors de propos”.

AMD a reconnu les travaux et publié un bulletin de sécurité, mais estime que l’accès physique requis sort du modèle de menace standard de SEV-SNP.

Ce qui est frappant, c’est que les deux constructeurs considèrent l’accès physique comme un risque hors scope, tandis que les clients du cloud s’attendent à ce que la promesse du confidential computing les protège contre toute compromission de l’hébergeur, y compris physique. - Réaction d’un expert RSSI.

Atténuations et mesures compensatoires pour les entreprises françaises

Il n’existe pas de patch pour une vulnérabilité dans le silicium. Les atténuations sont donc défensives, procédurales, et logicielles.

Mesures techniques et organisationnelles

1. Détection matérielle : Au démarrage, le firmware peut exécuter des tests d’intégrité du chemin mémoire (écriture/lecture) pour détecter un interposeur.
2. Vérification d’écriture (Readback) : Pour les écritures critiques (tables de pages, RMP), l’hyperviseur ou le firmware peut relire la donnée après chaque écriture pour confirmer sa persistance. Toute incohérence déclenche une alerte immédiate.
3. Restriction des opérations critiques : Les hyperviseurs doivent limiter ou surveiller les opérations de migration de pages et de nettoyage mémoire.
4. Contrôle d’accès physique strict : Baies sécurisées, accès biométriques, vidéosurveillance, procédures de visite stricts pour les techniciens.
5. Principe du moindre privilège : Réduire les droits des administrateurs cloud au strict minimum.

Implications pour le SecNumCloud et la souveraineté numérique

Pour les entreprises françaises soumises au RGPD ou visant la qualification SecNumCloud, les implications sont majeures.

• Le confidential computing n’est pas une panacée : Un prestataire cloud ne peut pas s’appuyer uniquement sur Intel TDX ou AMD SEV-SNP pour justifier d’une isolation infaillible. La sécurité physique est une composante essentielle de la défense en profondeur.
• Réévaluation des garanties : Les offres de cloud souverain doivent revoir leur analyse de risques. L’attaque DDRop démontre qu’un investissement de 150 dollars peut contourner une protection coûtant des millions.
• Vers de nouvelles exigences : Les futurs cahiers des charges des marchés publics cloud devront probablement inclure des exigences de détection d’interposeurs et de résilience face aux attaques physiques du bus mémoire.

Dans la pratique, les DSI et RSSI doivent intégrer cette menace dans leur plan de continuité et leur analyse de risques fournisseur. Il ne s’agit pas de paniquer, mais d’ajouter une couche de vigilance sur les aspects physiques du datacenter.

Conclusion : DDRop, la fin d’une illusion

L’attaque DDRop n’est pas une simple faille de plus. C’est une démonstration de l’ingénierie de contournement d’une promesse de sécurité. Elle révèle que la couche de confiance matérielle du cloud n’est pas absolue et que la fraîcheur mémoire est le talon d’Achille du confidential computing.

Pour les RSSI, le message est clair : ne jamais mettre tous ses œufs dans le même panier de confiance. Le confidential computing est un formidable outil, mais il doit être couplé à une sécurisation physique rigoureuse, un chiffrement de bout en bout applicatif, et une surveillance constante.

En 2025, l’attaque DDRop nous force à regarder la réalité en face : la sécurité d’un système ne tient qu’à son maillon le plus faible. Parfois, ce maillon ne coûte que 150 dollars.

Article rédigé à partir des travaux de recherche de KU Leuven, ETH Zurich, Durham University et Google, présentés à l’ACM CCS. Aucune exploitation dans la nature n’a été rapportée à ce jour.