DDRop: Hardware $159 yang Bobol Confidential Computing

DDRop: Hardware $159 yang Bobol Confidential Computing

Janji utama confidential computing ialah awan tidak boleh menyentuh data anda. Intel TDX, AMD SEV-SNP dan Intel SGX tahap server menyulitkan memori sebuah virtual machine sepenuhnya sehingga sesiapa sahaja — hypervisor, penyedia awan, atau orang yang berdiri betul-betul dalam data center — hanya nampak ciphertext. Pada 14 September, penyelidik dari KU Leuven, ETH Zurich, Durham University dan Google menunjukkan janji itu ada lubang bersaiz hardware (The Hacker News).

Serangan itu diberi nama DDRop, dan kos untuk melaksanakannya kurang daripada $200.

Janji yang terlupa satu semakan

Confidential VM menyulitkan memori guna memory encryption engine pemproses: setiap baris memori jadi plaintext hanya di dalam package CPU, ciphertext sahaja di atas bus dan di dalam DIMM. "Malah seseorang yang ada akses fizikal ke mesin itu hanya nampak data yang bercelaru," demikian ringkasan penyelidik.

Tetapi keupayaan menskalakan memaksa satu konsesi. Untuk melindungi memori berterabyte yang dipegang oleh server awan, scalable memory encryption menggugurkan satu jaminan bernama freshness. Pemproses boleh mengesahkan memori itu disulitkan; ia tidak boleh mengesahkan memori itu memegang nilai terbaru yang ditulis. Data lama yang disulitkan masih boleh didecrypt dengan sempurna — jadi jika penyerang boleh membuat write baharu hilang, mesin terus berjalan dengan nilai lama dan mendecryptnya seperti tiada apa yang berlaku (The Register). SGX versi client lama sempat ada integrity tree yang menangkap kes sebegini; perlindungan itu digugurkan pada platform server moden.

DDRop menjadikan titik buta itu senjata.

Apa yang sebenarnya dilakukan oleh interposer

DDRop ialah active memory interposer: sekeping circuit board kecil yang direka khas, diwirakan antara socket CPU dan modul memori DDR5. Ia terletak pada laluan memory bus, berjalan pada kelajuan penuh DDR5 — dan menggugurkan arahan write secara senyap.

Normal:   CPU ──WRITE addr=0x7f0, value=NEW──▶ RAM   (NEW stored)
DDRop:    CPU ──WRITE addr=0x7f0, value=NEW──▶RAM ▸  × write discarded
                  │
                  └─ interposer forces an error on the command bus,
                     then cuts the wire the DIMM uses to report it
                     → the module silently drops the command
                     → CPU is never told, and later READs return the
                       OLD value, which still decrypts fine

Untuk menggugurkan write, board itu memaksa error pada command bus, kemudian memutuskan isyarat yang akan digunakan modul memori untuk melaporkan error itu balik ke CPU. Modul menggugurkan arahan itu secara senyap; CPU tidak tahu apa-apa dan kemudiannya membaca nilai lama. Ringkas dan murah: satu unit menelan kos sekitar $159 untuk komponen sahaja (The Hacker News).

Apa yang benar-benar baharu di sini ialah harga dan busnya. Interposer DDR5 pasif sebelum ini (seperti TEE.fail) hanya boleh mengintip, dan memerlukan peralatan makmal untuk memperlahankan bus. Serangan aktif yang benar-benar mengubah apa yang memori nampak — seperti Battering RAM — hanya berfungsi pada DDR4, kerana format command DDR5 yang direka semula menyekat helah swap alamat yang mereka gunakan. DDRop ialah serangan interposer aktif pertama pada DDR5, dan ia meruntuhkan kos gerak kerja makmal yang sebelum ini memerlukan peralatan bernilai anggaran $170,000 (The Register).

Memecahkan Intel TDX sampai ke attestation

Pada TDX, write yang digugurkan berganda menjadi kawalan penuh ke atas sebuah VM yang dilindungi. Caranya ialah timing: apabila trusted firmware menulis entry kosong untuk menginisialisasi page table, DDRop menggugurkan write itu — maka page table itu sebaliknya mengekalkan apa sahaja data pilihan penyerang yang tertinggal di kawasan memori itu sebelum ini. VM milik penyerang kemudian boleh memetakan memorinya ke mana-mana physical address dan membaca atau mengubah memori yang dilindungi.

Dari situ penyelidik membuktikan hat-trick:

• Membaca memori peribadi VM mangsa secara terus.
• Menukar VM mangsa ke debug mode, menyalin memorinya dalam plaintext, kemudian memulihkan data asal — mangsa langsung tidak menunjukkan tanda diganggu.
• Menimpa launch measurement yang digunakan VM untuk membuktikan kepada pelanggan jauh bahawa ia boot ke keadaan yang diketahui dan dipercayai. VM yang dikawal penyerang kini lulus semakan attestation seolah-olah ia dipercayai — bermakna software yang mengesahkan VM sulit anda akan mensahkan VM yang sudah diletak backdoor.

Dua daripada hasil tersebut (membaca memori mangsa dan menukar debug mode) hanya berkesan di bawah mod logical integrity default TDX — mod cryptographic integrity yang lebih kuat, yang melibatkan data kepunyaan VM lain, akan menyekatnya. Tetapi penyelidik berhujah pemalsuan attestation masih boleh berlaku walaupun dalam mod cryptographic integrity, kerana write tersebut berlaku dalam VM milik penyerang sendiri di bawah key sendiri, dan mod itu tidak menambah sebarang freshness check untuk mengesan kandungan lama yang diguna semula. Mereka tidak dapat mengesahkannya — sistem ujian mereka tidak menyokong mod tersebut.

AMD SEV-SNP: terjejas, tetapi lebih sempit

Pada AMD SEV-SNP, hasil DDRop lebih terhad: menggugurkan write semasa ciri page-relocation platform membolehkan penyelidik menyalin kandungan satu halaman mangsa ke halaman lain. Serangan debug mode dan pemalsuan attestation pula khusus untuk Intel TDX.

Jejari letupan tetap luas kerana punca masalahnya dikongsi sama. TDX, Scalable SGX dan SEV-SNP semuanya menyulitkan memori tanpa freshness check yang dieksploitasi DDRop, jadi ketiga-tiganya terjejas. Client SGX Intel yang telah bersara (cip laptop/desktop) selamat kerana ia menggunakan hardware integrity tree. GPU confidential-computing NVIDIA pula di luar jangkauan — memori mereka berada di dalam package chip, di mana tiada interposer boleh dipasang. Arm CCA tidak diuji dan mungkin terjejas.

Model ancaman: serangan ini untuk siapa?

Sebelum panik, nilai dahulu penyerangnya. DDRop memerlukan seseorang yang sudah mengawal software server dan boleh mendapat tingkap akses fizikal yang singkat — interposer dipasang dalam beberapa minit dan kemudian digerakkan sepenuhnya melalui software. Penyelidik menyenaraikan calon yang jelas: pekerja data center yang berkhianat, gangguan dalam supply chain, atau hardware yang dirampas melalui paksaan undang-undang. Penyedia awan termasuk AWS, Microsoft Azure dan Google Cloud menawarkan confidential VM berasaskan TDX/SEV-SNP untuk melindungi workload pelanggan, dan serangan ini disasarkan tepat kepada deployment seumpama itu. Tetapi tiada bukti DDRop digunakan di luar makmal, dan ia tidak menunjukkan mana-mana perkhidmatan awan berjaya dipecahkan (The Hacker News).

Respons vendor yang tidak sepatutnya disambut senyap

Intel mengakui penemuan ini dan berkata serangan itu di luar skop untuk threat model cloud computing mereka — ia tidak akan mengeluarkan CVE, dan merujuk kawasan penyelidikan ini sebagai "out of scope, but not out of mind." AMD pula berkata serangan itu di luar threat model SEV/SNP yang diterbitkan, dan tiada mitigasi dirancang. Intel menyatakan mod cryptographic-integrity opsionalnya sudah menyekat sebahagian DDRop dan sedang membangunkan reka bentuk memory encryption yang lebih kuat; satu cadangan, cache-line versioning, akan menambah freshness check pada memory bus — tetapi penyelidik menegaskan masih tidak jelas sama ada ia akan menghentikan DDRop. Tiada patch software atau hardware yang mudah: menutup jurang itu memerlukan hardware memory encryption baharu yang menyediakan integriti dan freshness serentak (The Register).

Maksud untuk pasukan di Malaysia

Penemuan ini tiba ketika pembinaan data center di Malaysia sedang memecut — kami pernah menulis tentang pembangunan data center gigawatt di Johor dalam YTL-JLand dan lonjakan data center gigawatt Malaysia — dan confidential VM semakin dijual sebagai jawapan pematuhan untuk data residency dan sovereignty. Bacaan paling sedar untuk DDRop: kepercayaan berasaskan hardware hanya sekuat keselamatan fizikal mesin itu, dan "mesin disulitkan" bukan perkara yang sama dengan "mesin itu segar."

DDRop tidak mengubah apa yang bagusnya confidential computing. Ia tetap berkesan terhadap penyerang peringkat software — hypervisor yang berniat jahat, OS yang terjejas, pekerja penyedia yang ingin tahu dan ada root. Apa yang berubah ialah dakwaan bahawa confidential computing sahaja mampu bertahan terhadap penyerang fizikal yang bertekad. Seperti yang kami hujahkan dalam AI sovereignty dan kos sebenar kawalan, kepercayaan yang anda kawal sendiri lebih bernilai daripada kepercayaan yang anda disuruh terima.

Mitigasi praktikal buat masa ini:

• Jangan jadikan attestation satu vendor sebagai satu-satunya anchor kepercayaan. Anggap confidential VM sebagai defense-in-depth, bukan cop jaminan yang menolak penyerang fizikal.
• Perhati ciri memory-management yang dieksploitasi DDRop. Menyekat laluan page-table dan page-relocation, serta memastikan write kritikal benar-benar sampai (read-back verification), menaikkan palang walaupun punca masalah kekal.
• Ambil serius semakan boot dan supply chain. Penyelidik menegaskan software boleh mengesan interposer semasa boot, dan memasangnya memerlukan tingkap fizikal — keselamatan fizikal dan provenans hardware kini sebahagian daripada threat model, bukan pilihan.

DDRop hari ini hanyalah akademik, dan diisytiharkan di luar skop dengan pengakuan vendor sendiri. Ia juga peringatan bahawa "out of scope" ialah pilihan dalam threat modelling, bukan sifat hardware. Jika workload sulit anda ialah crown jewel, rancang seolah-olah mesin itu sendiri penyerang dengan bajet $159.

Sumber

• The Hacker News: New DDRop Attack Breaks Intel TDX and AMD SEV-SNP Confidential Computing
• The Register: New hardware device can RAM into encrypted memory, expose your data