DDRop podważa ochronę chmury Intela i AMD
Nowy atak na pamięć DDR5 pokazuje, że nawet szyfrowane środowiska chmurowe można osłabić tanim interposerem i krótkim dostępem do serwera.
Nowy atak na pamięć serwerową
Badacze ujawnili DDRop – sprzętowy atak, który potrafi naruszyć ochronę pamięci w rozwiązaniach confidential computing używanych przez serwery w chmurze. Celem są technologie Intel TDX oraz AMD SEV-SNP, a także związane z nimi mechanizmy ochrony pamięci w nowoczesnych procesorach.
Sedno problemu jest zaskakująco proste: DDRop nie próbuje łamać szyfrowania pamięci w klasycznym sensie. Zamiast tego cicho odrzuca wybrane zapisy do RAM-u, przez co procesor później odczytuje stare, ale wciąż poprawnie zaszyfrowane dane tak, jakby były aktualne.
Jak działa DDRop
Atak wymaga dwóch rzeczy:
- wcześniejszego przejęcia kontroli nad oprogramowaniem serwera,
- krótkiego fizycznego dostępu do maszyny, by wpiąć niewielki układ pośredniczący, czyli interposer, między procesorem a modułem pamięci.
Taki interposer nie jest skomplikowany ani drogi. Według badaczy można go zbudować za około 159 dolarów, a całość da się zainstalować w kilka minut i później sterować wyłącznie z poziomu software'u.
Klucz do skuteczności ataku tkwi w tym, że współczesne rozwiązania szyfrujące pamięć chronią zawartość RAM-u, ale nie zawsze gwarantują jej świeżość. Innymi słowy: procesor wie, że dane są zaszyfrowane, ale nie zawsze potrafi sprawdzić, czy to na pewno najnowsza wersja zapisanej informacji. DDRop wykorzystuje właśnie tę lukę.
Intel TDX: od odczytu pamięci do manipulacji
Najmocniej ucierpiało Intel TDX. Badacze pokazali, że za pomocą DDRop można przejąć kontrolę nad chronioną maszyną wirtualną. W praktyce umożliwiało to między innymi:
- odczyt prywatnej pamięci ofiary,
- przełączenie maszyny w tryb debugowania i skopiowanie pamięci w postaci niezaszyfrowanej,
- podmianę pomiaru uruchomieniowego używanego w procesie attestation.
To ostatnie oznacza, że złośliwa maszyna mogłaby przejść zdalną weryfikację tak, jakby startowała w zaufanym stanie. W efekcie atak nie ogranicza się do biernego podglądu danych — może też posłużyć do podważenia mechanizmów zaufania, na których opiera się confidential computing.
Badacze zastrzegają jednak, że część tych rezultatów dotyczyła domyślnego trybu TDX o nazwie logical integrity. Opcjonalny, silniejszy tryb cryptographic integrity powinien zablokować część scenariuszy, bo nie pozwala na modyfikowanie danych należących do innej maszyny wirtualnej. Nie rozwiązuje jednak problemu świeżości, więc nie zamyka całej ścieżki ataku.
AMD SEV-SNP i inne technologie
W przypadku AMD SEV-SNP skutki były węższe, ale wciąż realne. Odrzucanie zapisów podczas jednej z funkcji związanych z relokacją stron pamięci pozwalało skopiować zawartość jednej strony ofiary do innej.
Z kolei starsze Intel Client SGX nie zostało uznane za podatne na ten wariant ataku, ponieważ korzysta z mechanizmu integralności, który wykrywa użycie przestarzałych danych. Nie oznacza to jednak, że problem znika globalnie — badacze podkreślają, że źródłem słabości jest sam kompromis konstrukcyjny stosowany w nowoczesnych systemach szyfrowania pamięci.
Nie testowano także platformy Arm CCA, więc jej odporność pozostaje niejasna.
Dlaczego to ważne dla chmury
Technologie takie jak Intel TDX i AMD SEV-SNP są wykorzystywane przez duże platformy chmurowe, m.in. AWS, Microsoft Azure i Google Cloud, aby chronić dane klientów podczas przetwarzania. DDRop nie dowodzi włamania do tych usług. Pokazuje jednak coś równie niepokojącego: przy odpowiednim dostępie i tanim sprzęcie można osłabić podstawy zaufania, na których opiera się ochrona danych w chmurze.
Badacze podkreślają też, że nie ma dowodów na użycie podobnego ataku poza laboratorium.
Nie ma prostego patcha
Tu nie chodzi o klasyczną podatność software'ową, którą można załatać aktualizacją. Problem siedzi w architekturze sprzętowej. Dzisiejsze mechanizmy szyfrowania pamięci dla dużych serwerów poświęcają gwarancję świeżości danych na rzecz wydajności i skalowalności.
Możliwe są działania łagodzące, ale nie usuwają one źródła problemu. Należą do nich między innymi:
- ograniczenie funkcji zarządzania pamięcią, z których korzysta atak,
- weryfikowanie, czy kluczowe zapisy rzeczywiście trafiły do pamięci,
- sprawdzanie podczas startu systemu, czy nie doszło do ingerencji w sprzęt.
Intel i AMD zostały wcześniej poinformowane o odkryciu w ramach koordynowanej odpowiedzi na zagrożenie. Obie firmy potwierdziły wyniki, choć nie podały konkretnego terminu publikacji pełnych zaleceń. AMD wskazało też, że atak wymaga fizycznego dostępu, więc wykracza poza przyjęty model zagrożeń dla SEV/SNP.
Szerszy problem dla confidential computing
DDRop jest ważny nie tylko dlatego, że działa na DDR5 i nowoczesnych serwerach. Pokazuje przede wszystkim, że szyfrowanie pamięci bez kontroli świeżości danych nie daje pełnej ochrony. To luka, którą można wykorzystać, nawet jeśli same dane pozostają zaszyfrowane.
Dla branży chmurowej to mocne przypomnienie, że bezpieczeństwo confidential computing nie kończy się na szyfrowaniu. Równie istotne są integralność, spójność i pewność, że odczytywana pamięć rzeczywiście pochodzi z najnowszego zapisu.
