Attaque DDRop : une menace sérieuse pour l'intégrité du calcul confidentiel Intel et AMD

En 2025, une attaque matérielle baptisée DDRop a remis en cause les fondations du calcul confidentiel (confidential computing) proposé par Intel et AMD. Menée par des chercheurs du KU Leuven, de l’ETH Zurich, de l’Université de Durham et de Google, cette menace exploite l’absence de vérification de fraîcheur de la mémoire pour compromettre l’intégrité des machines virtuelles protégées. Pour un coût dérisoire d’environ 159 dollars en composants, un interposeur inséré sur le bus DDR5 peut supprimer silencieusement des écritures, brisant les garanties offertes par Intel TDX, Intel Scalable SGX et AMD SEV-SNP. Les entreprises françaises, qui adoptent de plus en plus le cloud public pour des données sensibles (santé, finance, administrations), doivent prendre la mesure de cette faille architecturale, tout en restant vigilantes face aux vulnérabilités logicielles comme PostgreSQL.

Comprendre l’attaque DDRop et son fonctionnement

Les bases du calcul confidentiel

Le calcul confidentiel est une technologie qui chiffre la mémoire d’un serveur pendant le traitement, de sorte qu’un attaquant disposant d’un accès physique ne peut lire que des données chiffrées. Des processeurs serveurs Intel Xeon (avec Intel TDX ou Scalable SGX) et AMD EPYC (avec AMD SEV-SNP) mettent en œuvre cette protection. Les principaux fournisseurs cloud (AWS, Microsoft Azure, Google Cloud) les proposent à leurs clients pour isoler des charges de travail critiques. En France, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) encourage l’usage du calcul confidentiel dans ses guides pour le cloud de confiance, et la qualification SecNumCloud intègre des exigences de chiffrement en mémoire. Toutefois, comme le révèle DDRop, ces technologies présentent une faille structurelle.

Le talon d’Achille : l’absence de vérification de fraîcheur

Les architectures actuelles de mémoire chiffrée à grande échelle ont fait le choix de sacrifier la fraîcheur (freshness) au bénéfice de la couverture mémoire. Concrètement, le processeur peut certification qu’une donnée lue est bien chiffrée, mais il ne peut pas prouver qu’il s’agit de la version la plus récente écrite. Une ancienne valeur, même si elle a été remplacée, reste chiffrée correctement et sera acceptée comme valide. DDRop exploite précisément cet angle mort. L’attaque ne cherche pas à déchiffrer la mémoire, mais à empêcher les mises à jour de s’enregistrer, ce qui permet à des données obsolètes de perdurer et d’être utilisées comme si elles étaient actuelles. Contrairement à l’Intel SGX client (désormais retiré), qui intègre une arbre d’intégrité mémoire garantissant la fraîcheur, les versions scalables conçues pour les clouds ont délibérément écarté ce mécanisme pour des raisons de coût et de performance.

Un interposeur actif sur DDR5 : fonctionnement technique

L’interposeur DDRop est un petit circuit imprimé qui se place entre le processeur et un module mémoire DIMM DDR5. Contrairement aux attaques précédentes comme TEE.fail (passive, nécessitant un ralentissement du bus), DDRop fonctionne à pleine vitesse et interagit activement avec les signaux. Voici les étapes clés du mécanisme :

• L’interposeur détecte une commande d’écriture émise par le processeur à destination de la mémoire.
• Il force immédiatement une erreur sur le bus de commandes, ce qui, dans le protocole DDR5, invite le module mémoire à ignorer la commande.
• En parallèle, il coupe la ligne de signal que le module mémoire utilise pour signaler cette erreur au processeur ; le processeur n’est donc jamais informé que l’écriture n’a pas eu lieu.
• Le module mémoire ignore la commande, l’écriture est supprimée, et l’ancienne valeur reste en place.
• Le processeur, plus tard, relit cette ancienne valeur sans détecter la supercherie, car le circuit de chiffrement ne vérifie que le contenu cryptographique, pas la chronologie.

Ce mécanisme est le premier à fonctionner sur la mémoire DDR5 contemporaine utilisée dans les serveurs cloud. Les chercheurs ont construit l’interposeur avec un FPGA reprogrammable, des connecteurs compatibles, des interrupteurs haute vitesse et une alimentation régulée, le tout pour environ 159 dollars (hors développement).

Composants de l'interposeur DDRop :
- FPGA milieu de gamme (ex. Artix-7)
- Connecteurs DDR5 mâles/femelles
- Interrupteurs de signal haute vitesse
- Régulateur de tension
- Coût approximatif : 159 $ (composants seuls)

Technologies concernées et impact concret

DDRop affecte les trois architectures scalables de calcul confidentiel : Intel TDX, Intel Scalable SGX, et AMD SEV-SNP. Le tableau ci-dessous résume leur exposition :

Sur Intel TDX, les chercheurs ont démontré trois exploitations majeures :

1. Prise de contrôle d’une VM : en supprimant les écritures des tables de pages, une VM malveillante peut mapper sa mémoire sur n’importe quelle adresse physique et accéder aux données d’une VM victime.
2. Extraction en mode debug : la VM victime est forcée en mode diagnostic, ce qui permet de copier sa mémoire en clair sans laisser de trace.
3. Falsification de l’attestation : la mesure de lancement (utilisée pour prouver à distance l’intégrité de l’environnement) est remplacée par une valeur choisie par l’attaquant, détruisant la confiance.

Sur AMD SEV-SNP, seul le premier cas (copie de pages) a été montré. Cela peut néanmoins suffire à dupliquer des secrets ou des clés de chiffrement résidant dans des pages système.

Pourquoi cette attaque est-elle particulièrement dangereuse ?

Plusieurs facteurs rendent DDRop préoccupante pour la sécurité du cloud, en particulier en France :

• Coût très faible : 159 dollars en composants, accessible à un technicien malveillant ou à un groupe de cyberespionnage.
• Discrétion : l’interposeur s’installe en quelques minutes pendant une opération de maintenance et peut être piloté à distance ; aucune trace logicielle évidente n’est laissée.
• Pas de correctif simple : la faille est matérielle ; Intel et AMD n’ont pas annoncé de patch. Intel a déclaré que ce type d’attaque sort de son modèle de menace, mais qu’il travaille sur des conceptions futures. AMD a publié un bulletin mais sans solution immédiate.
• Impact sur les attestations : l’attaque permet de forger l’attestation, ce qui trompe le client distant et ruine la confiance dans le calcul confidentiel.
• Cible les clouds : les principaux fournisseurs cloud (AWS, Azure, Google Cloud) proposent Intel TDX et AMD SEV-SNP. Les entreprises françaises qui utilisent ces services pour des données couvertes par le RGPD pourraient voir leurs garanties vidées.

« DDRop montre que le chiffrement mémoire sans fraîcheur est insuffisant pour garantir l’intégrité des données en cours d’utilisation. » - Extrait du rapport de recherche présenté à l’ACM CCS 2026.

Selon une estimation du Cloud Security Alliance, près de 15% des incidents dans les datacenters impliquent un accès physique non autorisé ou une manipulation matérielle. DDRop démontre qu’avec un équipement minimal, cet accès peut être transformé en compromission complète des enclaves.

Scénarios d’exploitation et cas pratiques

Scénario 1 : compromission d’une VM Intel TDX hébergeant des données financières

Une société de services financiers française utilise des VM Intel TDX sur Azure pour ses calculs de risque. Un employé du datacenter corrompu insère un interposeur DDRop lors d’une maintenance planifiée. Il lance ensuite une VM contrôlée par lui-même sur le même serveur. En supprimant les écritures des tables de pages, sa VM accède à la mémoire entière de la VM victime, y compris les clés de chiffrement TLS utilisées pour les transactions. L’attestation est modifiée pour que la VM de l’attaquant se présente au responsable sécurité comme une VM autorisée. Pendant des semaines, aucune anomalie n’est détectée, mais les transactions sont compromises. La société se retrouve en infraction avec l’article 32 du RGPD (sécurité du traitement).

Scénario 2 : attaque sur un environnement AMD SEV-SNP pour copier des pages système

Un centre hospitalier français utilise des serveurs AMD EPYC avec SEV-SNP pour isoler les applications de gestion des dossiers patients. Un technicien d’un sous-traitant de maintenance, après avoir gagné un accès bref, insère l’interposeur. En exploitant la fonction de relocalisation de pages, l’attaquant copie des pages système contenant les mots de passe d’administration. Ces accès permettent ensuite d’extraire des données de santé, en viol du secret médical.

Ces deux exemples illustrent que ciblage du cloud français est réaliste : les interventions physiques dans les datacenters sont fréquentes et parfois externalisées.

Mesures de protection et stratégies d’atténuation

Les limites de la correction logicielle

La cause racine étant matérielle (absence de vérification de fraîcheur), il n’existe pas de correctif logiciel supprimant la vulnérabilité. Toutefois, des mesures peuvent élever la barrière :

• Restreindre les fonctions mémoire exploitées : sur AMD, désactiver la relocalisation de pages si elle n’est pas indispensable ; sur Intel, limiter les accès aux tables de pages depuis les VM non autorisées.
• Vérifier les écritures critiques : après une écriture sensible, effectuer une lecture de retour et comparer la valeur ; cette approche est coûteuse en performance mais peut protéger des pages essentielles.
• Détecter la présence d’un interposeur : mesurer les temps de latence d’écriture ou injecter des motifs spécifiques ; un interposeur peut introduire des variations détectables. Les chercheurs publient des outils de détection en open source.

Recommandations organisationnelles pour les entreprises françaises

Face à cette menace, une approche de défense en profondeur est indispensable :

• Auditez vos fournisseurs cloud : demandez quels serveurs hébergent vos VM et s’ils supportent le mode d’intégrité cryptographique optionnel d’Intel (sur Xeon de 4e génération et ultérieurs). Ce mode bloque les attaques cross-VM mais, selon les chercheurs, ne protège pas contre la falsification d’attestation. Il offre toutefois une meilleure assurance que le mode par défaut.
• Renforcez la sécurité physique : appliquez les contrôles de la norme ISO 27001 (annexe A.11), notamment A.11.1.1 (périmètre de sécurité physique) et A.11.1.2 (contrôle des accès). Exigez de vos hébergeurs des logs d’intervention sur chaque serveur.
• Surveillez la chaîne d’approvisionnement : les serveurs transitant par plusieurs intermédiaires peuvent être interceptés. Utilisez des partenaires certifiés SecNumCloud ou équivalents.
• Combinez plusieurs couches de chiffrement : ne reposez pas uniquement sur le calcul confidentiel. Chiffrez vos données au niveau applicatif (avec vos propres clés) et utilisez le chiffrement réseau (TLS, mTLS).
• Vérifiez les attestations régulièrement : mettez en place des contrôles automatisés qui comparent les mesures de lancement attendues avec celles rapportées, et alertez en cas de divergence.

« Les attaques physiques comme DDRop rappellent que la sécurité du cloud ne peut pas reposer sur une seule couche technologique. La défense en profondeur, incluant des mesures physiques, logicielles et contractuelles, reste la seule approche robuste. » - Recommandation adaptée des guides de l’ANSSI sur le cloud de confiance.

Pistes futures : des architectures intégrant la fraîcheur

Intel a communiqué sur le développement d’un mécanisme appelé cache-line versioning qui ajouterait une vérification de fraîcheur sur le bus mémoire. Les chercheurs de DDRop restent prudents : ce système pourrait ne pas bloquer l’attaque, car il n’empêche pas la suppression d’écriture ; il ne ferait que la détecter a posteriori selon certaines spécifications. AMD n’a pas détaillé ses plans pour la fraîcheur. NVIDIA, grâce à sa mémoire intégrée au processeur, est à l’abri de ce type d’interposeur. À plus long terme, la refonte des mécanismes de mémoire chiffrée (comme le propose le consortium Confidential Computing) devra inclure la fraîcheur dès la conception.

Conclusion : une prise de conscience nécessaire pour la sécurité du cloud

L’attaque DDRop révèle que le calcul confidentiel actuel, malgré ses promesses, repose sur un compromis risqué : l’absence de vérification de fraîcheur. Avec un investissement matériel très faible (159 dollars), un attaquant doté d’un accès physique temporaire peut compromettre l’intégrité des machines virtuelles protégées par Intel TDX, Scalable SGX ou AMD SEV-SNP. Les clouds publics, massivement adoptés en France pour traiter des données personnelles et sensibles, sont directement menacés. Aucun correctif n’étant disponible à court terme, les entreprises doivent dès maintenant renforcer la sécurité physique, auditer les attestations, et diversifier leurs protections. Un chef de projet cybersécurité peut coordonner ces efforts. DDRop n’est pas une anomalie isolée : elle marque une étape dans la remise en question des fondations matérielles de la confidentialité numérique, et appelle à une évolution profonde des architectures mémoire des processeurs de nouvelle génération.