Attaque DDRop : un interposeur à 150€ menace la confidentialité du cloud Intel et AMD

Une attaque matérielle nommée DDRop, dévoilée en septembre 2026, démontre qu’un interposeur monté sur un module mémoire DDR5 peut, pour moins de 200 dollars, compromettre les protections mémoire des processeurs Intel et AMD. Cette attaque, qui exploite l’absence de vérification de fraîcheur (freshness) dans les architectures de chiffrement mémoire actuelles, remet en question la promesse de l’informatique confidentielle (confidential computing) sur laquelle reposent de nombreux services cloud.

Attaque DDRop : le talon d’Achille de l’informatique confidentielle

L’informatique confidentielle vise à protéger les données en cours d’utilisation en chiffrant la mémoire vive, même contre un attaquant disposant d’un accès physique au serveur. Intel avec TDX (Trust Domain Extensions) et AMD avec SEV-SNP (Secure Encrypted Virtualization-Secure Nested Paging) sont les principales technologies déployées dans les cloud publics (AWS, Azure, Google Cloud) pour isoler les charges de travail sensibles. En France, ces architectures sont de plus en plus utilisées pour répondre aux exigences du RGPD et de l’ANSSI concernent la protection des données à caractère personnel et les traitements critiques.

Cependant, ces architectures ont fait un compromis : elles chiffrent les données mais ne garantissent pas que les données lues sont les plus récentes. Pour couvrir de grandes quantités de mémoire, elles ont renoncé à un mécanisme dit de fraîcheur (freshness). Cela signifie qu’un attaquant peut remplacer une page mémoire chiffrée par une version plus ancienne, et le processeur l’acceptera comme valide, car la clé de chiffrement n’a pas changé.

DDRop est la première attaque active par interposeur fonctionnant sur les barrettes DDR5 actuelles. Elle ne se contente pas de lire le bus mémoire passivement ; elle modifie le comportement de la mémoire en annulant des écritures (write-dropping), ce qui entraîne la réutilisation de données obsolètes.

« Remplacez un oui par un non et la mémoire conserve l’ancienne valeur. Le processeur relit ensuite cette donnée périmée comme si elle était à jour. » - Extrait des travaux des chercheurs

Selon les chercheurs de KU Leuven, ETH Zurich, Durham University et Google, un interposeur peut être fabriqué pour environ 159 dollars de composants (soit environ 150 euros), installé en quelques minutes sur un serveur et contrôlé entièrement par logiciel. Une fois en place, il peut compromettre l’intégrité des machines virtuelles protégées par Intel TDX et AMD SEV-SNP.

Mécanisme technique : l’interposeur et le drop d’écriture

L’interposeur DDR5 : un circuit secret mais peu coûteux

L’interposeur est une petite carte de la taille d’une clé USB, insérée entre le processeur et le module mémoire. Il se compose de commutateurs électroniques capables de fonctionner à la fréquence du bus DDR5, qui atteint plusieurs gigatransferts par seconde. Son rôle est d’intercepter les commandes d’écriture sur le bus de commandes et de données.

Pour annuler une écriture, l’interposeur force une erreur sur le bus de commandes, puis coupe la ligne de signal que le module mémoire utilise pour signaler une anomalie. Ainsi, le module rejette la commande sans que le processeur en soit informé. Ce mécanisme permet de supprimer sélectivement les écritures, rendant la modification inopérante.

Algorithme du contrôleur de l'interposeur :
1. Écouter le bus DDR5 en continu
2. Détecter une commande d'écriture (WRITE) sur un mot-clé choisi
3. Activer le commutateur : forcer l'erreur sur le canal d'état
4. Ouvrir le relais sur la ligne de retour d'erreur
5. Le module mémoire ignore la commande → le processeur n'est jamais notifié
6. La mémoire conserve la valeur antérieure, inchangée

Le point faible : l’absence de vérification de fraîcheur

Le défaut exploité est l’absence de vérification de fraîcheur dans les protocoles de chiffrement mémoire utilisés par Intel et AMD. Le chiffrement garantit la confidentialité, mais pas que les données sont les plus récentes. Vue de l’extérieur, une version chiffrée d’un bloc mémoire et sa version actualisée sont indistinctes, car la clé est la même. Le processeur ne peut donc pas savoir s’il lit la dernière valeur écrite.

Cette lacune est connue des concepteurs mais acceptée pour des raisons de performance et d’évolutivité. Les technologies comme Intel TDX et AMD SEV-SNP utilisent un MAC (Message Authentication Code) intégré pour assurer l’intégrité, mais ce MAC ne couvre pas la fraîcheur dans la configuration par défaut. Le mode « intégrité cryptographique » optionnel d’Intel offre une protection supplémentaire, mais n’ajoute pas non plus de vérification de fraîcheur. DDRop transforme donc cette faille de conception en une attaque pratique : en annulant les écritures, l’attaquant peut conserver des anciennes données chiffrées dans la mémoire, et le processeur continue de les utiliser sans détecter l’anomalie.

Technologies vulnérables : Intel TDX, AMD SEV-SNP, NVIDIA et Arm CCA

Intel TDX : du drop d’écriture à la prise de contrôle totale

Sur les processeurs Intel supportant TDX (Trust Domain Extensions), les chercheurs ont démontré plusieurs scénarios d’attaque de gravité croissante.

1. Lecture de la mémoire d’une VM victime : En manipulant les tables de pages, l’attaquant parvient à faire mapper une VM malveillante sur des pages physiques appartenant à une VM protégée, puis lit son contenu (chiffré ou déchiffré).
2. Activation du mode debug : Il est possible de faire basculer une VM victime en mode débogage, ce qui permet d’extraire la mémoire en clair, puis de restaurer l’état initial sans éveiller les soupçons.
3. Contrefaçon de l’attestation : L’attaque permet de modifier la mesure de lancement (la signature qui prouve à un client distant que la VM s’est exécutée dans un environnement de confiance). Ainsi, une VM contrôlée par l’attaquant peut usurper l’identité d’une VM légitime.

Ces deux dernières attaques (debug et attestation) sont bloquées dans le mode d’intégrité cryptographique optionnel d’Intel, selon les chercheurs. Le mode d’intégrité logique par défaut, lui, est vulnérable. Quant à la contrefaçon de l’attestation, les chercheurs estiment qu’elle pourrait toujours fonctionner sous le mode renforcé, car l’écriture a lieu dans sa propre VM et sous sa propre clé. Ils n’ont pas pu le vérifier sur leur banc de test.

AMD SEV-SNP : corruption limitée mais significative

Sur les processeurs AMD avec SEV-SNP, les attaquants ont obtenu un impact plus restreint. En annulant des écritures lors des opérations de relocalisation de pages, il est possible de copier le contenu d’une page protégée dans une autre page. Cela permet de dupliquer des données sensibles, mais pas de prendre le contrôle complet des VMs. Les attaques de débogage ou d’attestation sont spécifiques à Intel TDX. Néanmoins, fragiliser l’intégrité mémoire de SEV-SNP demeure préoccupant, car cela peut servir de brique pour des attaques plus sophistiquées.

NVIDIA et Arm CCA : une protection relative (pour l’instant)

Les GPU NVIDIA utilisés pour l’informatique confidentielle embarquent leur mémoire au sein du package, là où un interposeur ne peut être inséré. Arm CCA (Confidential Compute Architecture) n’a pas été testé, mais les chercheurs estiment qu’il pourrait être affecté s’il utilise une mémoire externe non protégée par un arbre de fraîcheur. En revanche, les anciens processeurs Intel Client SGX intègrent un arbre d’intégrité complet (integrity tree) qui détecte les données obsolètes : ils ne sont donc pas vulnérables à DDRop. Intel a d’ailleurs abandonné cette fonctionnalité dans ses gammes récentes.

Contexte historique : de TEE.fail à DDRop

Pour bien comprendre l’innovation de DDRop, il est utile de la resituer dans le contexte des attaques sur la mémoire DDR.

TEE.fail et d’autres attaques passives nécessitaient de ralentir le bus mémoire, ce qui pouvait être détecté. Battering RAM fonctionnait sur DDR4 en échangeant les adresses de colonnes, mais le format de commande repensé du DDR5 rend cette technique impossible. DDRop innove en proposant une attaque active qui ne ralentit pas le bus et qui s’adapte au protocole DDR5.

Implications pour les acteurs français et européens

Les technologies Intel TDX et AMD SEV-SNP sont déployées chez les trois grands cloud providers (AWS, Microsoft Azure, Google Cloud), souvent utilisés par des entreprises françaises pour héberger des données sensibles. L’attaque DDRop montre qu’un attaquant disposant d’un accès physique temporaire (employé malveillant, chaîne d’approvisionnement compromise, saisie légale) pourrait gravement compromettre la sécurité des charges de travail hébergées.

Scénario réaliste : Un technicien de datacenter insère l’interposeur en moins de 10 minutes lors d’une maintenance de routine. Il utilise ensuite un accès logiciel (racine du serveur) pour déclencher l’attaque. Les données critiques - clés de chiffrement, secrets industriels, informations médicales - peuvent être exfiltrées ou corrompues sans laisser de trace visible. En France, cela pourrait affecter des services utilisant l’informatique confidentielle pour se conformer au RGPD ou aux recommandations de l’ANSSI, comme les traitements de données de santé ou les systèmes de vote électronique.

Les chercheurs précisent que l’attaque n’a été démontrée qu’en laboratoire et qu’aucune exploitation réelle n’est connue. Toutefois, le faible coût et la simplicité de mise en œuvre rendent la menace crédible pour les environnements multi-locataires peu surveillés.

Mitigations : que faire en attendant les correctifs matériels ?

Correctifs matériels en développement

Intel a indiqué que les attaques par interposeur physique sont considérées comme hors du périmètre de protection de son chiffrement mémoire. Néanmoins, la société travaille sur de futures générations de processeurs intégrant un mécanisme de versionnage des lignes de cache (cache-line versioning) qui ajouterait une vérification de fraîcheur. Les chercheurs estiment qu’il n’est pas certain que cette mesure stoppe entièrement DDRop, et Intel n’a pas communiqué de calendrier.

AMD a publié un bulletin de sécurité le 14 septembre 2026, mais considère que l’attaque sort du modèle de menace standard de SEV/SNP. Aucune mise à jour microcode ou modification matérielle n’a été annoncée.

Mesures logicielles immédiates

Les chercheurs recommandent plusieurs contre-mesures logicielles pour élever la barrière, sans corriger la cause racine :

• Restreindre les fonctionnalités de gestion mémoire utilisées par l’attaque, telles que le demand paging ou la relocalisation de pages.
• Vérifier que les écritures critiques ont bien été réalisées en lisant la mémoire après écriture et en comparant les valeurs (technique coûteuse en performance).
• Détecter la présence d’un interposeur durant l’amorçage en mesurant les temps de latence du bus mémoire (latence supplémentaire induite par le circuit).
• Dans les environnements critiques, utiliser exclusivement des machines intégrant les modes d’intégrité cryptographique renforcée (quand disponibles) et bloquer les options de gestion mémoire vulnérables.

« La fraîcheur mémoire est le chaînon manquant du confidential computing. L’industrie doit désormais l’intégrer dans la prochaine génération de chipsets. » - tiré du papier de recherche présenté à ACM CCS 2026

Recommandations pour les entreprises

Les responsables sécurité en France doivent :

• Auditer leurs fournisseurs cloud sur leur capacité à détecter ce type d’attaque physique.
• Segmenter les accès physiques aux serveurs et renforcer la surveillance des datacenters.
• Préférer, pour les charges de travail les plus sensibles (données de santé, secret défense), des solutions qui ajoutent une couche de vérification d’intégrité logicielle (attestation redondante, vérifications croisées).

Conclusion : une refonte nécessaire de la sécurité mémoire

L’attaque DDRop met en lumière une faiblesse fondamentale des architectures de confidential computing actuelles : l’absence de garantie de fraîcheur. Avec un investissement matériel dérisoire, un attaquant peut contourner des protections qui étaient jusqu’ici considérées comme robustes. Intel et AMD en sont conscients, mais les solutions (cache-line versioning, nouveaux modes d’intégrité) ne seront disponibles que dans plusieurs années. En attendant, les utilisateurs de cloud doivent prendre des mesures compensatoires et suivre de près l’évolution des correctifs.

Cette recherche montre que la sécurité ne peut reposer uniquement sur le chiffrement mémoire : il faut désormais intégrer la fraîcheur et l’intégrité dans la prochaine génération de processeurs et de barrettes mémoire. Pour les clients français, cela signifie rester exigeants vis-à-vis des fournisseurs et adapter leur analyse de risques face aux menaces physiques, en particulier dans les environnements mutualisés.

Pour aller plus loin, consultez les publications des chercheurs (KU Leuven, ETH Zurich, Google) et les bulletins de sécurité d’Intel et d’AMD. La protection de vos données critiques commence par une compréhension fine des menaces matérielles.