Investigadores descubrieron DDRop, un ataque de hardware que vulnera la computación confidencial de Intel y AMD mediante un dispositivo económico llamado interposador. Este componente anula escrituras en la memoria DDR5, obligando al procesador a leer datos cifrados antiguos y permitiendo el acceso a memoria protegida. Al ser una falla de diseño físico, no existe un parche de software sencillo, aunque Intel y AMD consideran que el riesgo es bajo ya que requiere acceso físico al servidor.

Unos investigadores han revelado un nuevo ataque de hardware, llamado DDRop, que rompe la protección de memoria en la computación confidencial de Intel y AMD al descartar silenciosamente las escrituras en la memoria de un servidor, haciendo que el procesador siga leyendo datos cifrados antiguos como si fueran actuales.

El ataque requiere que un atacante ya controle el software del servidor y pueda acceder brevemente a la máquina para insertar una pequeña placa de circuito, llamada interpositor, entre el procesador y un módulo de memoria.

Construir el interpositor cuesta menos de 200 $. DDRop funciona contra Intel TDX, Intel Scalable SGX y AMD SEV-SNP, el hardware que los servicios en la nube utilizan para mantener privados los datos del cliente mientras están en uso, incluso frente al propio proveedor de la nube.

La computación confidencial mantiene cifrada la memoria del servidor, para que incluso alguien con acceso físico a la máquina solo vea datos cifrados. Sin embargo, para cubrir la gran cantidad de memoria que utiliza un servidor en la nube, estos diseños omiten una garantía llamada frescura (freshness). El procesador puede confirmar que la memoria esté cifrada, pero no que contenga el valor escrito más reciente, y que los datos cifrados antiguos se sigan descifrando correctamente.

DDRop convierte esa brecha en un ataque. Cuando el interpositor descarta una escritura, el valor anterior permanece en la memoria y el procesador lo lee como si la actualización hubiera ocurrido. El motor de cifrado no detecta nada extraño.

DDRop es el primer ataque de interpositor activo que funciona en la memoria DDR5 de los servidores en la nube actuales, afirman los investigadores, y el primero en romper la integridad de un sistema Intel TDX actualizado en lugar de solo leer datos de él.

Ataques anteriores a ddr5

Los ataques anteriores con interpositores DDR5, como TEE.fail, eran pasivos. Escuchaban el bus de memoria y tenían que ralentizarlo para funcionar con equipos de laboratorio de segunda mano. Los ataques activos que cambiaban lo que la memoria veía, como Battering RAM, funcionaban solo en DDR4 antigua, y el formato de comando rediseñado de DDR5 bloquea el truco de intercambio de direcciones que utilizaban. DDRop lo evita descartando las escrituras en su lugar.

El interpositor es una pequeña placa de interruptores que se coloca en el bus de memoria y funciona a velocidad completa de DDR5. Para descartar una escritura, fuerza un error en el bus de comandos y luego corta el cable que el módulo de memoria utiliza para informar ese error, por lo que el módulo descarta el comando silenciosamente y al procesador nunca se le notifica.

DDRop es el trabajo de investigadores de KU Leuven, ETH Zurich, Durham University y Google, y se presentará en la conferencia ACM CCS 2026 en noviembre. El equipo dice que está publicando los diseños de la placa del interpositor, el firmware del controlador y el código de ataque en GitHub, junto con su artículo de investigación.

Rompiendo intel tdx

En Intel TDX, los investigadores convirtieron el descarte de escrituras en el control total de una máquina virtual protegida. TDX mantiene las tablas de páginas de cada máquina virtual cifradas y bajo el control de un firmware confiable.

Cuando ese firmware escribe entradas vacías para configurar una nueva tabla de páginas, DDRop descarta esas escrituras, por lo que la tabla conserva en su lugar los datos elegidos por el atacante que se dejaron en esa memoria previamente. Esto permite que la propia máquina virtual del atacante mapee su memoria en cualquier dirección física y lea o cambie la memoria protegida.



Con ese acceso, los investigadores leyeron la memoria privada de una máquina virtual víctima y la cambiaron al modo de depuración, lo que les permitió copiar su memoria en texto plano y luego restaurar los datos originales para que la víctima no mostrara signos de manipulación.

También sobrescribieron la medición de lanzamiento que una máquina virtual utiliza para demostrar a un cliente remoto que se inició en un estado conocido y confiable. Con eso cambiado, una máquina virtual controlada por el atacante podría pasar esa comprobación como si fuera una confiable.

Dos de estos resultados, leer la memoria de una víctima y alternar el modo de depuración, se mostraron solo bajo el modo predeterminado de TDX, llamado integridad lógica. El modo opcional y más fuerte de TDX, llamado integridad criptográfica, los bloquearía, dicen los investigadores, porque ambos implican cambiar datos que pertenecen a otra máquina virtual.

Falsificar la propia atestación de una máquina, sostienen, seguiría funcionando bajo el modo más fuerte, porque esa escritura ocurre dentro de la propia máquina virtual del atacante y bajo su propia clave, por lo que el hardware sigue marcando los datos como válidos. La integridad criptográfica tampoco añade una comprobación de frescura, por lo que no puede detectar que se reutilizaron contenidos antiguos. Su sistema de prueba no admitía el modo, por lo que no pudieron confirmarlo.

En AMD SEV-SNP, el resultado es más limitado. Descartar escrituras durante la función de reubicación de páginas de AMD permitió a los investigadores copiar el contenido de una página víctima en otra, pero los ataques de modo de depuración y falsificación de atestación son específicos de Intel TDX.

Las tres tecnologías cifran la memoria sin la comprobación de frescura que explota DDRop, por lo que las tres se ven afectadas. El antiguo Client SGX de Intel, utilizado en algunos chips de escritorio y portátiles, no lo está, porque utiliza un árbol de integridad de hardware que detecta datos obsoletos, aunque Intel lo ha retirado desde entonces.

Las GPUs de computación confidencial de NVIDIA están fuera de alcance, porque su memoria se encuentra dentro del paquete del chip donde no se puede colocar un interpositor. Los investigadores no probaron el CCA de Arm y dicen que también podría verse afectado.

El ataque está dirigido a servidores en la nube, no a ordenadores domésticos o teléfonos. Intel TDX, Scalable SGX y AMD SEV-SNP son ofrecidos por las principales plataformas de nube, incluidas AWS, Microsoft Azure y Google Cloud, para proteger las cargas de trabajo de los clientes. DDRop no demuestra que ninguno de estos servicios haya sido vulnerado.

Muestra que un atacante con el acceso adecuado y una pieza de hardware barata podría socavar la protección en la que confían esos servicios.

Los investigadores dijeron que no tienen pruebas de que DDRop o un interpositor activo comparable se haya utilizado fuera de un laboratorio.

Sin un parche sencillo

No hay un parche sencillo. La debilidad está en el diseño del hardware, dicen los investigadores. El cifrado de memoria escalable actual renuncia a la comprobación de frescura a cambio de proteger grandes cantidades de memoria, y cerrar la brecha definitivamente requeriría nuevo hardware de cifrado de memoria que añada tanto integridad como frescura.

Los cambios de software pueden elevar la barrera sin eliminar la causa raíz. Estos incluyen restringir las funciones de gestión de memoria que abusa DDRop, comprobar que las escrituras importantes realmente se hayan realizado y buscar un interpositor durante el arranque.

Intel y AMD fueron informados sobre DDRop con antelación a través de una divulgación coordinada, y ambos reconocieron los hallazgos y emitirían boletines de seguridad en la fecha de divulgación. Ninguna empresa ofreció una guía de mitigación ni un cronograma, dijeron los investigadores.

AMD dijo que debido a que el ataque requiere acceso físico al sistema, queda fuera del alcance del modelo de amenazas publicado para SEV / SNP. Intel mantiene la misma posición sobre los ataques físicos contra la memoria del servidor.

Intel ha dicho por separado que los ataques de interpositor físico de este tipo quedan fuera de la protección proporcionada por su cifrado de memoria, y que no planea asignar un CVE a tales ataques.

También ha descrito esta área de investigación como "fuera de alcance, pero no fuera de la mente". El modo opcional de integridad criptográfica de Intel, disponible en algunos procesadores Xeon actuales, ya bloquea parte de DDRop, e Intel afirma que está trabajando en diseños de cifrado de memoria más fuertes para futuros chips.

Una de esas propuestas, llamada versionado de línea de caché, añadiría una comprobación de frescura al bus de memoria. Los investigadores dicen que no está claro si detendría a DDRop, y que Intel no ha dicho si lo haría.

AMD dijo que su boletín sobre DDRop se publicará en su página de seguridad de productos más adelante el 14 de septiembre. Intel no respondió a una solicitud de comentarios antes de la publicación.

Construir el interpositor es barato. Los investigadores estiman las piezas para una unidad en unos 159 $, sin contar el desarrollo o la mano de obra, y dicen que puede instalarse en minutos y luego controlarse enteramente desde el software.

Debido a que solo necesita una breve visita a la máquina, los investigadores dicen que el acceso requerido podría provenir de un empleado desleal del centro de datos, una manipulación en algún punto de la cadena de suministro o hardware incautado bajo coerción legal.

Fuente:
THN