Attaque DDRop : l'intégrité du confidential computing Intel TDX et AMD SEV-SNP compromise par un interposeur à 159 dollars

Saviez-vous qu’un dispositif électronique d’une valeur inférieure à 200 dollars peut suffire à contourner les protections mémoire des processeurs Intel et AMD utilisés dans les serveurs cloud ? C’est ce que révèle l’attaque DDRop, présentée en septembre 2026 par une équipe de chercheurs du KU Leuven, ETH Zurich, Durham University et Google. Cette attaque matérielle active cible les technologies de confidential computing, notamment Intel TDX (Trust Domain Extensions) et AMD SEV-SNP (Secure Encrypted Virtualization-Secure Nested Paging), censées garantir l’intégrité et la confidentialité des données même en cas de compromission de l’hyperviseur ou du fournisseur cloud. Pourtant, une faille fondamentale dans l’architecture de chiffrement mémoire permet à un attaquant possédant un accès physique bref et un contrôle logiciel de la machine de réduire à néant ces protections. Dans cet article, nous décortiquons le fonctionnement de DDRop, ses implications pour les infrastructures cloud et les pistes de mitigation envisagées.

Une nouvelle menace pour les serveurs cloud : l’attaque DDRop

Le confidential computing repose sur le chiffrement intégral de la mémoire vive, de sorte que même une personne ayant un accès physique au serveur ne voit que des données illisibles. Toutefois, pour couvrir la grande quantité de mémoire d’un serveur cloud, ces architectures renoncent à une garantie dite de fraîcheur (freshness). Le processeur peut vérifier que les données sont chiffrées, mais pas qu’il s’agit de la version la plus récente. La attaque DDRop exploite précisément cette lacune : un élément matériel inséré entre le processeur et la mémoire - appelé interposeur - supprime silencieusement certaines écritures, de sorte que le processeur lit d’anciennes données chiffrées comme si elles étaient à jour. Le moteur de chiffrement ne détecte aucune anomalie.

L’interposeur est une petite carte de circuits imprimés équipée de commutateurs haute vitesse fonctionnant à la fréquence de la mémoire DDR5. Pour supprimer une écriture, il force une erreur sur le bus de commandes puis coupe le fil que le module mémoire utilise pour signaler cette erreur ; le module ignore donc la commande et le processeur n’est jamais informé. Le coût des composants est d’environ 159 dollars, et l’installation peut être réalisée en quelques minutes. Une fois en place, l’interposeur est piloté intégralement par un logiciel.

Fonctionnement technique de l’attaque

Un interposeur actif sur le bus DDR5

DDRop n’est pas la première attaque par interposeur. Des travaux antérieurs comme TEE.fail écoutaient passivement le bus mémoire et devaient ralentir son fonctionnement pour être efficaces avec un équipement de laboratoire. D’autres, comme Battering RAM, modifiaient activement les données mais ne fonctionnaient que sur la DDR4, le format de commande repensé de la DDR5 bloquant leur technique d’échange d’adresses. DDRop innove en supprimant des écritures plutôt qu’en les modifiant. Cette approche contourne les contraintes de la DDR5 tout en restant active, contrairement aux attaques passives qui se contentent de lire le bus.

L’interposeur est conçu pour s’insérer entre le processeur et un module DIMM. Il est composé de commutateurs à semiconducteurs capables de fonctionner à pleine vitesse DDR5, d’une carte PCB sur mesure et d’un firmware de contrôle. Les chercheurs publieront les plans, le firmware et le code d’attaque sur GitHub, ainsi qu’un article de recherche qui sera présenté à la conférence ACM CCS 2026 en novembre.

Exploitation de l’absence de garantie de fraîcheur

Le talon d’Achille du chiffrement mémoire à grande échelle est l’absence de freshness. Lorsque le processeur écrit une donnée en mémoire, le contrôleur de mémoire chiffre cette donnée et stocke le ciphertext. Rien ne permet de savoir si un bloc donné correspond à la dernière écriture ou à une version antérieure - les deux se déchiffrent correctement. En supprimant une écriture, l’interposeur laisse en place le ciphertext précédent. Le processeur lit donc l’ancienne valeur, sans s’apercevoir que l’écriture n’a pas eu lieu. Cette faille est inhérente à l’architecture des mémoires chiffrées évolutives : ajouter la fraîcheur nécessiterait de stocker des métadonnées de version pour chaque bloc, ce qui augmenterait fortement la consommation mémoire et la latence.

Impact sur les technologies de confidential computing

Intel TDX : prise de contrôle complète

Les chercheurs ont démontré plusieurs scénarios catastrophiques sur Intel TDX. En supprimant les écritures du firmware lors de l’initialisation des tables de pages, ils ont permis à une machine virtuelle malveillante de mapper sa mémoire sur n’importe quelle adresse physique, lui donnant accès à la mémoire d’une VM victime. Ils ont ainsi pu :

• Lire la mémoire privée de la VM victime ;
• Basculer la VM en mode débogage, ce qui permet de copier l’intégralité de sa mémoire en clair, puis de restaurer l’état initial sans laisser de trace ;
• Forger l’attestation de lancement, de sorte qu’une VM contrôlée par l’attaquant se présente comme une VM de confiance auprès d’un client distant.

Ces trois résultats ont été obtenus dans le mode par défaut de TDX, dit intégrité logique. Intel propose un mode optionnel plus fort, l’intégrité cryptographique, qui bloquerait les deux premiers car ils modifient des données appartenant à une autre VM. En revanche, le forçage de l’attestation pourrait encore fonctionner, car l’écriture supprimée se produit à l’intérieur de la VM de l’attaquant, sous sa propre clé. Les chercheurs n’ont pas pu confirmer expérimentalement ce point, leur serveur de test ne supportant pas ce mode.

AMD SEV-SNP : une vulnérabilité plus circonscrite

Sur AMD SEV-SNP, l’impact est plus limité mais non négligeable. En supprimant des écritures lors de la fonctionnalité de relocalisation de pages, les chercheurs ont pu dupliquer le contenu d’une page victime dans une autre page. Cela permet de lire des données sensibles, mais pas de prendre le contrôle d’une VM ni de forger une attestation. Les attaques de débogage et d’attestation sont spécifiques à Intel.

Autres architectures

Intel SGX scalable (Scalable SGX) est également affecté, car il utilise le même type de chiffrement mémoire sans fraîcheur. En revanche, l’ancien SGX client (destiné aux ordinateurs de bureau) n’est pas vulnérable, car il intègre un arbre d’intégrité matériel qui garantit la fraîcheur - Intel l’a d’ailleurs abandonné. Les GPU NVIDIA pour le confidential computing ne sont pas atteignables, leur mémoire étant encapsulée dans le boîtier du processeur graphique. Quant à Arm CCA (Confidential Compute Architecture), les chercheurs estiment qu’elle pourrait être également vulnérable, mais ils ne l’ont pas testée.

« C’est le premier interposeur actif capable de briser l’intégrité d’un système Intel TDX à jour, et non plus seulement de lire ses données. » - Équipe de recherche DDRop

Quelles sont les conditions nécessaires à l’attaque ?

L’attaque DDRop n’est pas une menace de masse, mais elle est préoccupante dans certains contextes. Voici les prérequis :

1. Accès physique au serveur : l’interposeur doit être inséré entre le processeur et la mémoire. Cela nécessite l’ouverture du boîtier et quelques minutes de manipulation. L’attaquant doit donc pouvoir accéder physiquement à la machine au moins une fois.
2. Contrôle logiciel de la machine : l’attaquant doit déjà exécuter du code sur le serveur (par exemple via une VM malveillante, un hyperviseur compromis ou un accès administratif). C’est l’interposeur qui est ensuite piloté par ce code.
3. Connaissance des adresses cibles : le logiciel doit savoir quelles adresses mémoire affecter. Dans le cloud, la virtualisation isole les espaces d’adressage, mais un attaquant disposant d’une VM peut généralement déterminer la disposition mémoire de son propre environnement.

Les chercheurs précisent n’avoir aucune preuve que DDRop ait été utilisée en dehors d’un laboratoire. Néanmoins, les points d’accès potentiels sont réels : employé malveillant d’un centre de données, chaîne d’approvisionnement compromise, ou matériel saisi sous contrainte légale.

Réactions des constructeurs et pistes de mitigation

Intel et AMD : des positions différentes

Intel a été informée de l’attaque dans le cadre d’une divulgation coordonnée. Le constructeur considère que les attaques physiques sur la mémoire sortent du périmètre de protection offert par son chiffrement mémoire et n’a pas prévu d’attribuer de CVE. Il indique toutefois que « cette recherche est hors du périmètre, mais pas hors de notre esprit ». Le mode d’intégrité cryptographique, disponible sur certains Xeon, bloque déjà une partie de DDRop. Intel travaille par ailleurs sur de futures générations de processeurs intégrant une vérification de fraîcheur appelée cache-line versioning. Les chercheurs estiment qu’il n’est pas certain que cette technique stoppe DDRop, et Intel n’a pas communiqué de calendrier.

AMD, de son côté, a répondu que l’attaque nécessitant un accès physique, elle sort du modèle de menace publié pour SEV/SNP. Le groupe a publié un bulletin de sécurité le 14 septembre 2026. Les deux entreprises n’ont pas fourni de guide de mitigation spécifique à ce jour.

Pas de correctif simple

La faiblesse est dans la conception matérielle, et aucun correctif logiciel ne peut l’éliminer complètement. Les architectures actuelles de chiffrement mémoire évolutives sacrifient la fraîcheur pour prendre en charge de grandes capacités. Colmater la brèche nécessiterait du nouveau matériel ajoutant à la fois l’intégrité et la fraîcheur.

En attendant, des mesures logicielles peuvent relever la barre :

• Restreindre les fonctionnalités de gestion de mémoire utilisées par DDRop (comme la relocalisation de pages).
• Vérifier, par des lectures de contrôle, que les écritures critiques ont bien eu lieu.
• Détecter la présence d’un interposeur lors de l’amorçage (par exemple, via des tests de latence mémoire).

Ces correctifs n’éliminent pas la cause racine, mais ils rendent l’exploitation plus difficile.

Implications pour les entreprises françaises utilisatrices du cloud

De nombreuses organisations françaises s’appuient sur des services cloud proposant le confidential computing : AWS (Intel TDX, AMD SEV-SNP), Microsoft Azure (Intel TDX, AMD SEV-SNP) et Google Cloud (Intel TDX). L’attaque DDRop ne montre pas que ces plateformes ont été compromises, mais elle démontre qu’un attaquant disposant d’un accès physique et logiciel peut annuler les garanties promises.

L’ANSSI (Agence nationale de la sécurité des systèmes d’information) encourage l’usage du confidential computing pour protéger les données sensibles, tout en rappelant qu’il ne s’agit pas d’une protection absolue. Les entreprises doivent intégrer cette découverte dans leur analyse de risques :

• Renforcer la sécurité physique des centres de données (contrôle d’accès, surveillance, chaîne d’approvisionnement).
• Activer les modes d’intégrité renforcée quand ils sont disponibles (ex. mode d’intégrité cryptographique d’Intel).
• Segmenter les charges de travail et limiter les accès administrateurs.
• Suivre les avis de sécurité des constructeurs et les mises à jour des firmwares et hyperviseurs.

Tableau récapitulatif des technologies face à DDRop

En résumé, même si DDRop nécessite des accès importants, elle rappelle que la sécurité du confidential computing n’est pas absolue. Les promesses de chiffrement et d’isolation ne remplacent pas une défense en profondeur incluant la sécurité physique, la surveillance et des processus rigoureux.

Conclusion : une alerte pour l’avenir du cloud confidentiel

L’attaque DDRop marque un tournant dans la recherche sur la sécurité matérielle. Elle est la première à démontrer qu’un interposeur actif peut compromettre l’intégrité des processeurs Intel TDX et AMD SEV-SNP en exploitation réelle, avec un coût dérisoire. Bien que l’attaque ne soit pas observable dans la nature aujourd’hui, elle ouvre la voie à des travaux futurs et incite les constructeurs à repenser leurs architectures.

Pour les entreprises, la confiance dans le confidential computing doit être nuancée. Les technologies actuelles offrent une protection importante, mais les failles de conception - comme l’absence de fraîcheur - persistent. En attendant des correctifs matériels, la vigilance s’impose. Adoptez une approche multicouche, surveillez les avancées de la recherche et testez régulièrement la résilience de vos infrastructures face à de telles menaces.

L’attaque DDRop nous rappelle que la sécurité ne se résume pas au logiciel : le matériel a aussi ses angles morts.