新型 DDRop 攻击攻破 Intel TDX 和 AMD SEV-SNP 机密计算

研究人员披露了一种名为 DDRop 的新型硬件攻击，它通过静默丢弃对服务器内存的写入来攻破 Intel 和 AMD 机密计算中的内存保护，使处理器持续读取旧的加密数据，仿佛它是最新数据一样。

该攻击需要一名已控制服务器软件、并能短暂接触机器的攻击者，在处理器和内存模块之间插入一块称为 interposer（中介板）的小型电路板。

该中介板的制造成本不到 200 美元。DDRop 可对 Intel TDX、Intel Scalable SGX 和 AMD SEV-SNP 生效，这些硬件被云服务用于在使用过程中保护客户数据私密，甚至对云提供商也保密。

机密计算使服务器的内存保持加密，因此即使有人物理接触机器，也只能看到乱码数据。然而，为覆盖云服务器使用的大量内存，这些设计省略了一项称为"新鲜度 (freshness)"的保证。处理器可以确认内存已加密，但无法确认其保存的是最新写入的值，而旧的加密数据仍能正确解密。

DDRop 将这一缺口转化为攻击。当中介板丢弃一次写入时，先前的值仍留在内存中，处理器将其读回，仿佛更新已经发生。加密引擎检测不到任何异常。

研究人员表示，DDRop 是首个对当今云服务器中 DDR5 内存奏效的主动式中介板攻击，也是首个攻破最新 Intel TDX 系统完整性（而非仅从中读取数据）的攻击。

此前的 DDR5 中介板攻击，如 TEE.fail，是被动式的。它们监听内存总线，且必须将其降速才能配合二手实验室设备工作。改变内存所见内容的主动式攻击，如 Battering RAM，仅对较旧的 DDR4 有效，而 DDR5 重新设计的命令格式阻断了它们所使用的地址交换技巧。DDRop 通过丢弃写入绕过了这一点。

该中介板是一块由开关组成的小型板卡，位于内存总线上，并以完整的 DDR5 速度运行。为丢弃一次写入，它会在命令总线上强制产生一个错误，然后切断内存模块用于报告该错误的线路，这样模块就会静默地丢弃该命令，而处理器永远不会被告知。

DDRop 是 KU Leuven、ETH Zurich、Durham University 和 Google 研究人员的工作成果，定于 11 月在 ACM CCS 2026 会议上展示。该团队表示，将连同其研究论文一起，在 GitHub 上发布中介板的板卡设计、控制器固件和攻击代码。

攻破 Intel TDX

在 Intel TDX 上，研究人员将写入丢弃转化为对受保护虚拟机的完全控制。TDX 使每个虚拟机的页表保持加密，并处于受信任固件的控制之下。

当该固件写入空条目以建立新页表时，DDRop 丢弃这些写入，因此该页表反而保留了此前留在该内存中的、由攻击者选择的数据。这使攻击者自己的虚拟机能够将其内存映射到任意物理地址，并读取或更改受保护的内存。

借助该访问权限，研究人员读取了受害者虚拟机的私有内存，并将一台受害者机器切换到调试模式，这使他们能够以明文复制其内存，然后恢复原始数据，使受害者没有任何被篡改的迹象。

他们还覆盖了虚拟机用于向远程客户证明其以已知、受信任状态启动的启动度量值。经此更改，一台由攻击者控制的虚拟机就能像受信任的虚拟机一样通过该检查。

其中两项结果——读取受害者内存和切换调试模式——仅在 TDX 的默认模式（称为逻辑完整性）下被展示。研究人员称，TDX 可选的更强模式（称为密码完整性）将阻断它们，因为两者都涉及更改属于另一台虚拟机的数据。

他们论证称，伪造机器自身的证明在更强模式下仍会奏效，因为该写入发生在攻击者自己的虚拟机内部、使用其自己的密钥，因此硬件仍将该数据标记为有效。密码完整性也没有增加新鲜度检查，因此它无法辨别旧内容被重用。他们的测试系统不支持该模式，因此无法确认这一点。

在 AMD SEV-SNP 上，结果较为有限。在 AMD 的页重定位功能期间丢弃写入，使研究人员能够将一页受害者页面的内容复制到另一页，但调试模式和证明伪造攻击是 Intel TDX 所特有的。

这三种技术都在不使用 DDRop 所利用的新鲜度检查的情况下加密内存，因此三者都受影响。Intel 较旧的 Client SGX（用于部分台式机和笔记本电脑芯片）不受影响，因为它使用能捕获陈旧数据的硬件完整性树，尽管 Intel 此后已将其退役。

NVIDIA 的机密计算 GPU 不在攻击范围内，因为其内存位于芯片封装内部，无法安装中介板。研究人员未测试 Arm 的 CCA，并表示它也可能受影响。

该攻击针对的是云服务器，而非家用电脑或手机。Intel TDX、Scalable SGX 和 AMD SEV-SNP 被包括 AWS、Microsoft Azure 和 Google Cloud 在内的主要云平台用于保护客户工作负载。DDRop 并未表明这些服务中的任何一个已被入侵。

它表明，拥有适当访问权限和一块廉价硬件的攻击者，可能破坏这些服务所依赖的保护。

研究人员告诉 The Hacker News，他们没有证据表明 DDRop 或类似主动式中介板在实验室之外被使用。

没有简单的补丁

研究人员称，没有简单的补丁。该弱点存在于硬件设计中。当今的可扩展内存加密以放弃新鲜度检查为代价来保护大量内存，而要彻底弥合这一缺口，需要新的内存加密硬件，同时增加完整性和新鲜度。

软件更改可以在不消除根本原因的情况下提高门槛。这些措施包括限制 DDRop 所滥用的内存管理功能、检查重要写入是否确实落地，以及在启动期间查找中介板。

Intel 和 AMD 已通过协调披露提前获知 DDRop，两家公司均承认了这些发现，并将在披露日期发布安全公告。研究人员称，两家公司均未提供缓解指导或时间表。

AMD 告诉 The Hacker News，由于该攻击需要物理接触系统，它超出了 SEV / SNP 已发布威胁模型的范围。Intel 对针对服务器内存的物理攻击持相同立场。

Intel 另行表示，此类物理中介板攻击超出其内存加密所提供的保护范围，且不计划为此类攻击分配 CVE。

它还将这一研究领域描述为"超出范围，但并非不予关注"。Intel 在某些当前 Xeon 处理器上提供的可选密码完整性模式已能阻断 DDRop 的一部分，Intel 表示其正在为未来芯片研发更强的内存加密设计。

其中一项提议称为缓存行版本化 (cache-line versioning)，将在内存总线上增加新鲜度检查。研究人员称，尚不清楚它是否能阻止 DDRop，且 Intel 未说明它是否能。

AMD 表示，其关于 DDRop 的公告定于 9 月 14 日晚些时候在其产品安全页面上发布。Intel 在发布前未回应置评请求。

制造该中介板成本低廉。研究人员估算单个单元的零件成本约为 159 美元，不含开发或人工费用，并称它可在几分钟内安装完成，然后完全由软件驱动。

研究人员称，由于它只需短暂访问机器一次，其所需的访问权限可能来自一名流氓数据中心员工、供应链中某处的篡改，或依法强制扣押的硬件。