新たに公表されたハードウェア攻撃「DDRop」は、DDR5メモリトラフィックを操作することでIntel Trust Domain Extensions(TDX)を無力化する手法です。物理的にサーバへアクセスできる攻撃者が、機密仮想マシンを強制的にデバッグモードへ移行させ、プライベートメモリを平文で抽出できるようになります。
KU Leuven、ETH Zurich、Google、Durham Universityなどの研究者らは、DDRopのために概念実証コード、ハードウェア設計、ファームウェア、攻撃用ツール群を公開GitHubリポジトリで公開しました。
本プロジェクトが標的とするのは、Intel TDX、Intel Scalable SGX、AMD SEV-SNPという、信頼できないハイパーバイザーやクラウド運営者からワークロードを保護するために設計された3つの主要なトラステッド実行環境(TEE)技術です。
この低コストのデバイスは、パリティエラーを注入することでDDR5のコマンド/アドレスバスにネイティブ動作速度で能動的に干渉します。
これにより攻撃者は、選択したキャッシュラインのライトバックを密かに破棄する、いわゆる「write dropping(書き込み破棄)」と呼ばれる手法や、チップセレクト信号の入れ替えを実行できます。
書き込みが破棄されると、プロセッサは処理が完了したと認識しますが、実際には古い暗号化データがDRAM上に残存します。
影響を受ける機密コンピューティングアーキテクチャは、保護対象のメモリラインすべてに対してスケーラブルな暗号学的フレッシュネス(新鮮性)保証を提供しているわけではないため、プロセッサは後になってこの古いデータを正当な最新の状態として復号し、受け入れてしまう可能性があります。
Dictionaries& Encyclopedias
このプリミティブにより、物理的な障害が制御可能なメモリリプレイ状態へと変わります。
AESベースのメモリ暗号化そのものを破るのではなく、DDRopは「暗号化メモリの完全性が保証されていても、取得したコンテンツがそのデータの最新版であるとは限らない」という事実を突いています。
DDRopの実証の中で最も深刻な影響を受けるのがIntel TDXです。TDXは、トラストドメインのプライベートメモリと重要な制御構造をホストの仮想マシンモニタから分離します。
そのSecure Extended Page Table(SEPT)とTrust Domain Control Structure(TDCS)は、通常のホストソフトウェアからはアクセスできない設計となっています。
DDropattackの研究者らによれば、この攻撃は、プラットフォームが暗号学的フレッシュネス保護を欠いている場合、メモリ暗号化だけではリプレイ型攻撃を防げないことを示しているといいます。cdrdv2-public。
攻撃を受けるIntel TDX
研究者らは、TDXの機密メタデータの初期化中に書き込みを破棄することで、TDXモジュールがクリアまたは更新済みと想定しているエントリに、攻撃者が制御する古い値を残存させられることを示しました。
DDRopは、サーバプロセッサとメモリモジュールの間に設置するカスタムDDR5 RDIMMインターポーザを使用します。Githubの記載によるものです。
これにより、期待される分離境界に違反する形でメモリをマッピングする悪意あるSecure EPTエントリを注入できます。
この仕組みにより、攻撃者が制御するトラストドメインが被害者側TDのメモリにアクセスし、保護対象のメタデータを改変できるようになります。
特に注目すべきは、研究者らが被害者側の ATTRIBUTES.DEBUG 状態を反転させ、当該VMを強制的にTDXデバッグモードへ移行させることに成功した点です。
Intelのアーキテクチャでは、デバッグ可能なTDは本質的に信頼できないものとして扱われます。ホストのVMMはTDXモジュールの機能を用いて、そのTDのvCPU状態やプライベートメモリを読み取ったり改変したりできるためです。
また、IntelはTDのデバッグ可能性がアテステーション関連データに反映されると規定しており、検証側が該当する属性を検証すれば、デバッグ有効なワークロードを識別できるとしています。cdrdv2-public。
DDRopの概念実証では、研究者らはデバッグモードを有効化した状態で被害者のメモリを平文でコピーし、その後元の状態に復元したと報告されています。
さらに、TDXのメタデータを操作して偽造されたアテステーションレポートを生成できる可能性も示しました。これにより、バックドアを仕込まれたVMがリモートの検証者から見て信頼できるものとして扱われてしまうリスクが生じます。
DDRopはリモートから実行できる攻撃ではありません。攻撃者は標的サーバへの物理的アクセスを確保したうえで、プロセッサプラットフォームと対応するRDIMMメモリの間にカスタムDDR5インターポーザを設置する必要があります。
公開された研究では、エンドツーエンドでの再現に必要な環境として、TDXを有効化したIntel第5世代または第6世代Xeon Scalableプロセッサを使用するシステムが挙げられています。
この要件により当面の被害範囲は限定されますが、クラウドプロバイダー、コロケーション施設、マネージドホスティング事業者、そして高い保証レベルを要求されるオンプレミス環境にとっては、大きな意味を持ちます。
機密コンピューティングを利用する顧客の多くは、インフラ運営者が信頼できるとは想定しないという前提のもと、TDXやSEV-SNPを利用しています。
DDRopは、サプライチェーン上の物理的アクセスや悪意あるデータセンター保守作業によるアクセスが、こうした保証モデルに対する直接的な脅威となり得ることを示しています。
研究者らは、この根本的な問題に単純なソフトウェアパッチは存在しないと主張しています。この攻撃は、大容量メモリをライン単位のフレッシュネスメタデータを維持せずに保護するという、現代のクラウドTEEに意図的に組み込まれたスケーラビリティ上のトレードオフを突いているためです。
従来の完全性保護型エンクレイブ設計はより強力なフレッシュネス保証を提供していましたが、保護対象メモリの規模に制約がありました。
Intelはこの開示を認識しており、この攻撃は自社のクラウドコンピューティング脅威モデルの範囲外にあるとしたうえで、アーキテクチャ面での対策強化や検知メカニズムを評価しているとコメントしています。
したがって、機密VMを利用する組織は、物理的なサーバの管理体制、改ざん検知対策、ハードウェアサプライチェーンの保証、アテステーション検証を、単なる運用上の安全策ではなく必須のセキュリティ境界として扱う必要があります。
Cloudsecurity solutions
★ 7段階のメトリクス連動型AI SOC導入フェーズを学ぶ – AI SOC導入プレイブック2026を無料ダウンロード。
翻訳元: https://gbhackers.com/intel-tdx-under-attack/
