veilletech.frCe qui se passe
Des chercheurs de KU Leuven, ETH Zurich, Durham University et Google ont divulgué DDRop, une attaque matérielle contre le confidential computing. Elle vise Intel TDX, Intel Scalable SGX et AMD SEV-SNP — les technologies que les grands clouds utilisent pour garantir qu'une charge de travail reste privée, y compris vis-à-vis de l'hébergeur.
Le matériel nécessaire : un interposeur, petite carte de commutateurs insérée entre le processeur et un module mémoire, pour moins de 200 dollars. L'attaquant doit déjà contrôler le logiciel du serveur et pouvoir y accéder physiquement, brièvement.
Le mécanisme : une garantie que personne n'avait promise
Le chiffrement mémoire garantit la confidentialité. Pour couvrir les quantités de mémoire d'un serveur, ces conceptions renoncent en revanche à la fraîcheur (freshness) : le processeur vérifie que la mémoire est bien chiffrée, jamais qu'elle contient la dernière valeur écrite. Une donnée périmée se déchiffre parfaitement.
DDRop transforme ce trou en attaque. L'interposeur force une erreur sur le bus de commande, puis coupe le fil par lequel le module signale cette erreur : le module abandonne silencieusement la commande, et le processeur n'apprend jamais que l'écriture n'a pas eu lieu. La valeur précédente reste en place et sera relue comme si elle était à jour. Le moteur de chiffrement ne détecte rien.
C'est le premier interposeur actif qui fonctionne sur la DDR5 des serveurs actuels. Les attaques antérieures butaient : TEE.fail était passive et devait ralentir le bus ; Battering RAM, active, ne marchait que sur DDR4, dont DDRop contourne la limite en supprimant des écritures au lieu d'échanger des adresses.
Ce que ça donne sur Intel TDX
TDX garde les tables de pages de chaque machine virtuelle chiffrées et sous contrôle d'un micrologiciel de confiance. Quand ce micrologiciel écrit des entrées vides pour préparer une nouvelle table, DDRop supprime ces écritures — la table conserve alors les données que l'attaquant y avait placées. À partir de là, sa propre machine virtuelle peut se faire pointer sur n'importe quelle adresse physique.
Les chercheurs en tirent trois résultats : lecture de la mémoire privée d'une VM victime ; bascule de cette VM en mode debug, ce qui permet d'en copier la mémoire en clair puis de restaurer l'état d'origine sans laisser de trace ; et falsification de la mesure de démarrage, celle qui sert à prouver à un client distant que la machine a démarré dans un état de confiance.
Les deux premiers n'ont été démontrés que sous le mode par défaut, dit logical integrity ; le mode optionnel cryptographic integrity les bloquerait. La falsification d'attestation, elle, resterait possible selon les auteurs — l'écriture a lieu dans la VM de l'attaquant, sous sa propre clé — mais leur matériel de test ne supportait pas ce mode, donc le point n'est pas confirmé.
Sur AMD SEV-SNP, la portée est plus étroite : la suppression d'écritures pendant la relocalisation de pages permet de copier le contenu d'une page victime dans une autre.
Le périmètre exact
Concernés : Intel TDX, Intel Scalable SGX et AMD SEV-SNP, donc les offres de calcul confidentiel d'AWS, Azure et Google Cloud. Hors d'atteinte : l'ancien Intel Client SGX, protégé par un arbre d'intégrité matériel mais retiré depuis, et les GPU confidentiels NVIDIA, dont la mémoire réside dans le boîtier du composant. Arm CCA n'a pas été testé et pourrait l'être.
Intel et AMD ont été prévenus par divulgation coordonnée — avis Intel du 11 août 2026, bulletin AMD-SB-3048. Les deux fondeurs considèrent qu'une attaque exigeant un accès physique sort du modèle de menace publié, et aucun n'a proposé de mesure d'atténuation ni de calendrier. Les chercheurs disent n'avoir aucune preuve d'utilisation hors laboratoire.
À retenir
Il n'y a pas de correctif simple : la faiblesse est dans la conception matérielle, et la combler demanderait un chiffrement mémoire assurant à la fois intégrité et fraîcheur. Les atténuations logicielles — restreindre les fonctions de gestion mémoire abusées, vérifier que les écritures importantes ont bien atterri, chercher un interposeur au démarrage — relèvent la barre sans supprimer la cause.
Conséquence pratique : une architecture qui s'appuie sur une attestation distante pour décider qu'une machine est digne de confiance s'appuie aussi, désormais explicitement, sur la sécurité physique de la salle des machines. Le travail sera présenté à ACM CCS 2026 en novembre ; designs de carte, firmware du contrôleur et code d'attaque sont publiés.