Attaque DDRop : un interposeur à 200 $ brise la protection mémoire de l'informatique confidentielle Intel et AMD

L’année 2026 marque un tournant dans la sécurité de l’informatique confidentielle. Une équipe de chercheurs internationaux (KU Leuven, ETH Zurich, Durham University, Google) a dévoilé une attaque matérielle, baptisée DDRop, qui brise les fondations des protections mémoire d’Intel et AMD. Pour un coût de composants d’environ 159 dollars et après seulement quelques minutes d’accès physique à un serveur, un attaquant peut insérer un interposeur sur le bus DDR5 et annuler silencieusement des écritures. Le processeur lit alors d’anciennes données chiffrées, compromettant l’intégrité des environnements protégés par Intel TDX, AMD SEV-SNP et Intel SGX évolutif. Cette découverte, présentée à l’ACM CCS 2026, remet en cause le modèle de menace des clouds qui s’appuient sur ces technologies.

Qu’est-ce que l’attaque DDRop ?

Le principe de l’interposeur DDR5

L’attaque DDRop tire son nom de l’opération qu’elle réalise : dropping writes (annulation d’écritures). Elle repose sur un petit circuit électronique, l’interposeur, inséré entre le processeur et le module mémoire DDR5. Contrairement aux attaques passives comme TEE.fail qui écoutent le bus, l’interposeur ici est actif : il modifie les signaux.

Le bus DDR5 utilise un format de commande à 12 bits qui interdit les techniques de réorganisation d’adresse employées sur DDR4 (attaque Battering RAM). Les chercheurs ont donc développé une astuce : l’interposeur force une erreur sur la ligne de commande lors d’une écriture, puis coupe le fil par lequel la mémoire signale cette erreur. Le module mémoire ignore donc l’écriture, conservant l’ancienne valeur. Le processeur, non notifié, lit cette ancienne donnée comme si l’écriture avait eu lieu.

Séquence typique d'une exploitation DDRop :
1. Insérer l'interposeur entre CPU et module DDR5.
2. Depuis une VM attaquante, identifier une écriture critique.
3. L'interposeur force une erreur de commande sur cette écriture.
4. Le module mémoire rejette l'écriture ; l'ancienne donnée persiste.
5. Le processeur lit l'ancienne donnée, sans détection d'erreur.
6. L'attaquant exploite l'incohérence (ex. tables de pages corrompues).

Coût et accessibilité

L’interposeur est construit avec des composants disponibles dans le commerce pour 159 dollars (hors développement et main-d’œuvre). L’installation ne prend que quelques minutes, et une fois en place, l’attaque est pilotée entièrement par logiciel. Le faible coût et la simplicité rendent la menace plausible dans divers scénarios : employé malveillant d’un centre de données, interception dans la chaîne logistique, ou saisie sous contrainte légale. Les chercheurs précisent ne pas avoir de preuve que cette attaque ait été utilisée en dehors du laboratoire.

« L’interposeur est une petite carte de commutation qui fonctionne à la pleine vitesse de la DDR5, sans ralentir le bus mémoire. » - Équipe de recherche.

Le chaînon manquant : la fraîcheur mémoire

Pour comprendre la vulnérabilité, il faut examiner le chiffrement mémoire de l’informatique confidentielle. Intel TDX et AMD SEV-SNP chiffrent les données en mémoire, mais pour des raisons d’évolutivité, ils ne vérifient pas que les données sont les plus récentes : c’est le défaut de fraîcheur (freshness). Des données anciennes chiffrées se déchiffrent correctement avec la même clé. DDRop exploite ce manque en bloquant une écriture et en faisant lire l’ancienne version, qui reste valable cryptographiquement.

Technologies vulnérables et impact

L’attaque affecte les technologies de chiffrement scalable sans vérification de fraîcheur :

1. Intel TDX (Trust Domain Extensions) - solution la plus récente d’Intel pour les serveurs.
2. AMD SEV-SNP (Secure Encrypted Virtualization - Secure Nested Paging) - l’équivalent chez AMD.
3. Intel Scalable SGX (Software Guard Extensions) - version serveur des enclaves SGX.

Certaines technologies sont épargnées :

• Intel Client SGX : utilise un arbre d’intégrité matériel empêchant le rejeu. Intel l’a retiré.
• GPU NVIDIA : mémoire intégrée dans le boîtier, inaccessible à un interposeur.

Le tableau ci-dessous résume les capacités de l’attaque selon les modes :

Intel TDX : prise de contrôle complète

Sur Intel TDX, les chercheurs ont démontré une compromission totale. En annulant les écritures lors de la création des tables de pages par le firmware, ils ont pu conserver des entrées de page contrôlées, permettant à une VM attaquante de mapper sa mémoire sur n’importe quelle adresse physique. Ils ont ainsi accédé à la mémoire privée d’une VM victime, activé le mode debug (copie de toute la mémoire en clair) et rétabli l’état initial sans laisser de trace.

Plus grave : ils ont falsifié la mesure d’attestation (launch measurement) qu’une VM envoie pour prouver son intégrité. Une VM malveillante peut ainsi se faire passer pour une VM de confiance lors de l’attestation à distance. Cette falsification pourrait fonctionner même sous le mode d’intégrité cryptographique optionnel d’Intel, car l’écriture a lieu dans sa propre VM avec sa propre clé et que le mode ne vérifie pas la fraîcheur. Intel propose ce mode sur certains Xeon (4e génération et ultérieurs), mais les chercheurs n’ont pas pu le tester.

« Intel considère cette recherche comme ‘hors périmètre, mais pas hors de son esprit’. »

AMD SEV-SNP : fuite de pages

Sur AMD, l’impact est plus restreint. En annulant des écritures lors de la relocalisation de pages (page relocation), les chercheurs ont copié une page protégée vers une page contrôlée, permettant d’extraire des données sensibles (clés, mots de passe). Ils n’ont pas réussi à activer le mode debug ni à falsifier l’attestation, ces mécanismes étant propres à Intel. Toutefois, toute donnée confidentielle présente dans la mémoire peut potentiellement fuir.

Technologies non affectées ou hors cible

Intel Client SGX (PC de bureau) n’est pas vulnérable car il utilise un arbre d’intégrité vérifié matériellement. Les GPU NVIDIA pour l’informatique confidentielle ont leur mémoire dans le boîtier, inaccessible. Les chercheurs n’ont pas testé Arm CCA, mais estiment qu’il pourrait être affecté.

Pourquoi l’informatique confidentielle est-elle vulnérable ?

La faille est architecturale. Pour gérer la mémoire massive des serveurs cloud (plusieurs téraoctets), Intel TME-MK et AMD SME chiffrent sans arbre d’intégrité, abandonnant la vérification de fraîcheur. Cela permet des performances optimales, mais ouvre la porte aux attaques de rejeu. Les modèles de menace officiels d’Intel et AMD excluent les attaques physiques avancées, considérant que l’accès à la mémoire relève du propriétaire du serveur. Dans le cloud mutualisé, cet accès n’est pas exclusif : techniciens, employés, acteurs étatiques peuvent y accéder. DDRop démontre que cette hypothèse est obsolète.

Ces technologies sont proposées par AWS, Microsoft Azure et Google Cloud. L’attaque ne prouve pas que ces services aient été compromis, mais elle expose une faiblesse fondamentale dans les fondations de l’informatique confidentielle.

Réactions des constructeurs et correctifs

Intel et AMD ont été informés via divulgation coordonnée. Intel a publié un bulletin de sécurité le 14 septembre 2026, sans correctif immédiat. L’entreprise considère les attaques physiques hors du périmètre de protection de son chiffrement mémoire et n’a pas attribué de CVE. Elle travaille sur le cache-line versioning pour les futures générations, mais son efficacité contre DDRop n’est pas confirmée. AMD a également publié un bulletin, estimant que l’attaque sort du modèle de menace SEV/SNP. Aucune atténuation logicielle n’a été fournie.

Limites des atténuations logicielles

Il n’existe pas de correctif simple car la vulnérabilité est matérielle. Les chercheurs proposent plusieurs mesures pour élever la barre :

• Restreindre les opérations mémoire sensibles (relocalisation de pages, certaines écritures de firmware).
• Vérifier les écritures critiques par des lectures de contrôle et des comparaisons.
• Détecter un interposeur lors de l’amorçage via des mesures de temps d’accès mémoire ou l’envoi de motifs spécifiques.

Ces mesures peuvent dissuader des attaquants peu sophistiqués, mais ne suffisent pas à éliminer la cause profonde. Seule une refonte matérielle incluant la fraîcheur peut résoudre durablement le problème.

Quelles actions concrètes pour les professionnels ?

Pour les fournisseurs de cloud

• Renforcer la sécurisation physique des serveurs : contrôle d’accès, surveillance vidéo, scellement des châssis, détection d’intrusion.
• Activer les modes d’intégrité cryptographique quand disponibles (Intel TDX mode renforcé sur Xeon compatibles).
• Déployer des mécanismes de détection d’interposeur (analyse de gigue sur le bus mémoire, sondes logicielles).
• Auditer régulièrement les configurations d’informatique confidentielle et les chaînes d’attestation.

Pour les clients du cloud

• Exiger une transparence totale sur le modèle de menace physique de votre fournisseur.
• Utiliser les options de sécurité maximales offertes pour vos charges de travail critiques.
• Surveiller les bulletins de sécurité des constructeurs (Intel, AMD) et des fournisseurs cloud.
• Envisager un surchiffrement au niveau application pour limiter l’impact d’une fuite mémoire.

Évolution matérielle nécessaire

L’industrie doit intégrer la fraîcheur dans le chiffrement mémoire. Intel propose le cache-line versioning, mais d’autres schémas comme les arbres de Merkle matériels (déjà utilisés dans Client SGX) pourraient être adaptés aux serveurs. Les chercheurs appellent à une collaboration internationale pour standardiser ces mécanismes avant que des attaques réelles n’exploitent ces failles.

Conclusion : un signal d’alarme pour l’industrie

L’attaque DDRop, pour l’instant cantonnée au laboratoire, démontre de manière éclatante que les fondations de l’informatique confidentielle peuvent être ébranlées par un attaquant doté de moyens modestes et d’un accès physique temporaire. Intel TDX, AMD SEV-SNP et Intel SGX évolutif, pourtant présentés comme des remparts robustes pour les données dans le cloud, présentent une faille fondamentale : l’absence de fraîcheur mémoire. Les constructeurs minimisent le risque en invoquant le périmètre des attaques physiques, mais la réalité des centres de données impose de reconsidérer ce postulat. En attendant des correctifs matériels, les professionnels doivent adopter une défense en profondeur alliant sécurité physique, vérifications logicielles et veille technologique. DDRop est un signal fort que la recherche en sécurité envoie à l’industrie : il est temps de colmater les brèches avant qu’elles ne soient exploitées à grande échelle.