Attaque DDRop : Le confidential computing d'Intel et AMD menacé par un interposeur à 150 dollars

DDRop : Quand un interposeur à moins de 200 $ remet en cause la sécurité des serveurs cloud

L’informatique confidentielle (confidential computing) devait être le Graal de la sécurité dans le cloud : des données protégées en toutes circonstances, même du fournisseur d’infrastructure. Pourtant, une équipe internationale de chercheurs vient de dévoiler une faille architecturale qui remet en question ces fondations. Baptisée DDRop, cette attaque contourne les protections mémoire des processeurs Intel TDX et AMD SEV-SNP à l’aide d’un simple interposeur matériel. Son coût de fabrication est inférieur à 200 dollars. En « laissant tomber » silencieusement des écritures mémoire, elle permet à un attaquant possédant un accès physique temporaire de lire, modifier et usurper l’identité de machines virtuelles pourtant considérées comme inviolables. Plongeons au cœur de cette découverte qui ébranle la confiance dans les serveurs modernes.

Axe 1 - Comprendre la faille au cœur de la mémoire confidentielle

Qu’est-ce que le confidential computing et pourquoi est-il vulnérable ?

Le confidential computing repose sur un chiffrement matériel de la mémoire vive (RAM). Les processeurs Intel (via leurs extensions TDX et SGX) et AMD (via SEV-SNP) chiffrent les données en cours d’utilisation de sorte que le système d’exploitation hôte, l’hyperviseur, ou même un administrateur du datacenter ne puissent y accéder. Cette promesse a séduit les entreprises soumises à des régulations strictes comme le RGPD en Europe ou les recommandations de l’ANSSI en France, notamment pour le traitement de données de santé ou de secrets industriels.

Cependant, pour couvrir les vastes capacités mémoire des serveurs cloud - parfois plusieurs téraoctets - ces architectures ont fait l’impasse sur une propriété de sécurité fondamentale : la fraîcheur mémoire (memory freshness). En clair, le processeur peut vérifier que les données lues sont correctement chiffrées, mais il ne peut pas prouver qu’il s’agit de la version la plus récente. Si une écriture est « oubliée », l’ancienne valeur chiffrée, même obsolète, est acceptée comme valide. C’est exactement ce qu’exploite l’attaque DDRop.

« Le processeur peut confirmer que la mémoire est chiffrée, mais pas qu’elle contient la valeur la plus récente écrite. » - Extrait du papier de recherche présenté à l’ACM CCS 2026.

Le mécanisme de l’interposeur DDRop

Concrètement, l’attaque nécessite un petit circuit imprimé, appelé interposeur, qui s’insère physiquement entre le processeur et ses barrettes de mémoire DDR5. Fabriqué à partir de composants électroniques standards, son coût total est estimé à environ 159 dollars par les chercheurs de la KU Leuven, de l’ETH Zurich, de l’Université de Durham et de Google.

Contrairement aux attaques passives précédentes, comme TEE.fail qui se contentait d’écouter le bus mémoire au ralenti, DDRop est une attaque active. L’interposeur fonctionne à la pleine fréquence du bus DDR5. Pour annuler une écriture, il force une erreur sur le bus de commandes et coupe le fil utilisé par la mémoire pour signaler cette erreur. La barrette mémoire ignore donc la commande, et le processeur lit l’ancienne donnée chiffrée, sans que le moteur de chiffrement ne détecte l’anomalie.

Pourquoi DDRop est-elle une avancée majeure ? Les attaques actives précédentes, comme Battering RAM, ne fonctionnaient que sur la mémoire DDR4, dont le format de commande permettait une réécriture d’adresse. Le format repensé du bus DDR5 bloquait cette technique. DDRop contourne cette protection par une élégante simplicité : au lieu de modifier les données, elle empêche leur mise à jour.

Axe 2 - L’impact concret sur Intel TDX et AMD SEV-SNP

Les conséquences de DDRop diffèrent sensiblement selon l’architecture ciblée, mais toutes pointent vers une rupture de confiance majeure.

Un contrôle total sur Intel TDX

Sur les processeurs Intel Xeon supportant TDX (Trust Domain Extensions), les chercheurs sont parvenus à prendre le contrôle complet d’une machine virtuelle protégée. La technique consiste à bloquer les écritures des tables de pages effectuées par le firmware de confiance. En laissant en mémoire des données choisies par l’attaquant, ce dernier peut mapper sa propre mémoire sur n’importe quelle adresse physique.

Les capacités ainsi obtenues sont alarmantes :

• Lecture de la mémoire d’une VM victime : L’attaquant peut lire l’intégralité des données en clair d’une autre machine virtuelle s’exécutant sur le même serveur.
• Activation du mode débogage : Ce mode, conçu pour le développement, permet d’exporter la mémoire en clair, puis de restaurer l’état initial, rendant l’attaque totalement indétectable a posteriori.
• Falsification de l’attestation : Pire encore, l’attaquant peut altérer la « mesure de lancement » (la preuve que la VM est intègre et a démarré dans un état connu). Une VM malveillante peut alors se faire passer pour une VM de confiance auprès d’un client distant. C’est la remise en cause directe du principe de Remote Attestation, un pilier du confidential computing.

« Deux de ces résultats, la lecture mémoire et l’activation du mode débogage, ont été démontrés sous le mode par défaut de TDX, appelé logical integrity. Le mode optionnel cryptographic integrity les bloquerait, mais pas la falsification d’attestation. » - Chercheur de l’équipe.

Un risque ciblé sur AMD SEV-SNP

L’impact sur les serveurs AMD équipés de SEV-SNP (Secure Encrypted Virtualization-Secure Nested Paging) est plus ciblé, mais tout aussi sérieux. En interférant avec la fonction de relocalisation de pages (page relocation) du microcode AMD, les attaquants peuvent copier le contenu d’une page mémoire victime vers une autre page qu’ils contrôlent.

Bien que les attaques de débogage et de falsification d’attestation soient propres à l’architecture Intel, cette capacité de duplication de pages ouvre la voie à des fuites de données critiques ou à des attaques par rejeu (replay attack) où des données anciennes sont présentées comme actuelles.

Le tableau suivant résume l’exposition des différentes technologies :

Axe 3 - Conséquences et perspectives pour l’écosystème du cloud

DDRop n’est pas une attaque de masse contre les particuliers. Elle cible spécifiquement les serveurs des datacenters. AWS, Microsoft Azure, Google Cloud, mais aussi des acteurs français comme OVHcloud ou Scaleway proposent des instances basées sur ces technologies de confidential computing. Si la faille n’a pas été exploitée dans la nature, son potentiel destructeur est immense.

Des scénarios d’attaque bien réels

L’installation de l’interposeur nécessite un accès physique temporaire à la machine. Les chercheurs estiment qu’elle ne prend que quelques minutes et peut être pilotée entièrement par logiciel une fois en place. Les vecteurs d’accès les plus crédibles sont :

1. Un employé malveillant ou un prestataire de maintenance dans un datacenter.
2. Une compromission de la chaîne d’approvisionnement (le serveur est livré avec l’interposeur déjà installé, ce qui est difficile à détecter sans une inspection matérielle approfondie).
3. Une saisie de serveur sous contrainte légale ou judiciaire.
4. Un accès physique pendant le transport ou le stockage du matériel.

Bien que ces scénarios soient complexes à mettre en œuvre, l’existence d’un code source ouvert (les chercheurs ont publié les designs sur GitHub) abaisse considérablement la barrière à l’entrée pour des acteurs étatiques.

La réponse des constructeurs : un problème structurel

Ni Intel ni AMD n’ont proposé de correctif logiciel simple. Les deux fondeurs ont estimé que l’attaque sortait du périmètre de leur modèle de menace, car elle nécessite un accès physique. Intel a déclaré que « les attaques par interposeur de ce type sortent du cadre de la protection offerte par son chiffrement mémoire » et qu’il « ne prévoit pas d’attribuer de CVE à de telles attaques ». AMD a tenu un discours similaire.

Toutefois, le problème est bien réel. Les travaux futurs sur le cache-line versioning d’Intel pourraient apporter une solution matérielle long terme, mais leur efficacité contre DDRop n’est pas garantie. En attendant, le mode cryptographic integrity des Xeon récents bloque une partie de l’attaque, mais pas la totalité, notamment la falsification de l’attestation.

Mise en œuvre - Comment durcir ses défenses face à DDRop

En attendant une future génération de processeurs intégrant la fraîcheur mémoire dès la conception, les responsables sécurité et les DSI doivent agir sur plusieurs fronts. Voici 6 actions concrètes à mettre en œuvre :

• Renforcer les contrôles d’accès physiques : Audit des salles serveurs, surveillance vidéo, contrôle biométrique et tracking des accès. L’accès « furtif » de quelques minutes est la clé de l’attaque.
• Activer les protections optionnelles : Pour les utilisateurs d’Intel Xeon, le mode cryptographic integrity doit être activé dans les paramètres du BIOS/UEFI lorsque le processeur le supporte. Il ne stoppe pas tout, mais élève considérablement la barre.
• Surveiller la chaîne d’approvisionnement : Exiger des audits matériels (inspection visuelle et électronique) des serveurs à leur réception, notamment pour les nœuds hébergeant des données sensibles ou des workloads régulés.
• Durcir la configuration des VMs : Restreindre les appels aux fonctions de gestion mémoire (ex : page relocation sur AMD) via des politiques de sécurité de l’hyperviseur ou des paramètres du firmware.
• Mettre en place une détection comportementale : Surveiller les anomalies au niveau des performances mémoire ou des erreurs ECC qui pourraient indiquer une corruption silencieuse des écritures.
• Diversifier les fournisseurs et technologies : Ne pas placer tous ses œufs dans le même panier silicium. Tester les garanties de sécurité d’Intel, AMD et potentiellement NVIDIA (dont les puces GPU sont immunisées par construction contre ce type d’interposition).

Bon à savoir : Le code source complet de l’interposeur (designs des circuits, firmware et code d’attaque) a été publié par les chercheurs sur GitHub. Bien que cela présente un risque, cela permet aussi à la communauté de la recherche et aux équipes de sécurité de tester leurs propres défenses et de développer des contre-mesures.

« Il n’y a pas de correctif simple. La faiblesse se trouve dans la conception matérielle. La prochaine génération de puces devra intégrer la fraîcheur mémoire dès le départ. » - Chercheur de l’équipe.

Conclusion - Le confidential computing à l’épreuve du monde physique

L’attaque DDRop est un électrochoc pour l’industrie du confidential computing. Elle démontre de manière éclatante que la sécurité ne peut pas être uniquement logicielle ou algorithmique ; elle doit aussi prendre en compte la physique du matériel et la confiance dans l’infrastructure sous-jacente. Pour les entreprises françaises, cette découverte souligne l’importance d’une défense en profondeur qui ne se repose pas aveuglément sur une seule technologie, même aussi prometteuse que TDX ou SEV-SNP.

En pratique, DDRop ne signe pas la fin du confidential computing, mais elle en fixe les nouvelles limites. Elle rappelle que la chaîne de confiance ne vaut que ce que vaut son maillon le plus faible, et que dans un monde où un attaquant peut insérer un dispositif de 150 dollars au cœur d’un serveur cloud, la vigilance - et l’humilité technique - restent les meilleures alliées du professionnel de la cybersécurité. La prochaine génération de processeurs devra impérativement intégrer la fraîcheur mémoire dès sa conception. En attendant, la défense en profondeur, la surveillance physique et l’audit de la chaîne d’approvisionnement sont les seules barrières fiables.