概要

KU Leuven、ETH Zurich、Durham University、Googleの研究者らが、Intel TDXとAMD SEV-SNPという主要な機密コンピューティング技術を破る新たなハードウェア攻撃「DDRop」を公表した。攻撃には、CPUとDDR5メモリモジュールの間に挿入する部品代約159ドル（200ドル未満）の小型インターポーザー装置だけが必要で、Teensy 4.1マイクロコントローラなど市販部品で自作できる。メモリコマンドバスに意図的にパリティエラーを起こしてエラー通知線を遮断し、選択した書き込みコマンドをメモリモジュールに静かに破棄させることで、CPUは新しいデータを書き込んだと認識しているにもかかわらず、実際には古い暗号化データがそのまま残り続ける「リプレイ攻撃」が成立する。Intel TDXを対象にした概念実証では、対象サーバをクラッシュさせることなく2分以内に確定的な攻撃が成功したという。

技術的な仕組みと影響範囲

DDR4を対象とした従来の同種攻撃では専用機材に17万ドル規模の投資が必要だったのに対し、DDRopはDDR5の再設計されたコマンドバスに対応した初のアクティブな仲介攻撃であり、しかも減速なしでネイティブ速度のまま動作する点が際立つ。影響を受けるのはIntel TDX、Intel Scalable SGX、AMD SEV-SNPで、暗号整合性(cryptographic integrity)モードは一部の攻撃経路を防ぐものの、すべてを防げるわけではない。Intel TDXでは、被害者の仮想マシンのメモリ読み取り、デバッグモードの有効化、認証済み測定値(attestation)の偽造までもが可能になるとされ、AMD SEV-SNPについてはページ複製機能を悪用する経路が確認されている。ただし実行には特権ソフトウェアへのアクセスと対象サーバーへの一時的な物理アクセスが前提となる。研究チームを率いるJo Van Bulck氏は、「スケーラブルな暗号化は暗号的な鮮度(freshness)保証よりもメモリ保護能力を優先する設計になっており、根本原因に対する簡単な修正は存在しない」と指摘しており、これはパッチ一つで解決できる欠陥ではなく、機密コンピューティングのメモリ暗号化アーキテクチャそのものに内在する設計上のトレードオフであることを示している。

ベンダーの対応と今後の展望

事前通知を受けたIntelとAMDはいずれも、物理的アクセスを要する攻撃は自社のクラウド脅威モデルの範囲外だとして、CVE番号の割り当てや即時の緩和策提供を見送る方針を示した。Intelは「範囲外ではあるが無視しているわけではない」としつつ、将来のメモリ暗号化設計におけるアーキテクチャ強化策を評価中と説明する一方、AMDは具体的な緩和策の計画を示していない。物理的な機材へのアクセスを前提とする攻撃ではあるが、マルチテナント型のクラウド環境やベアメタルサーバーを提供する事業者にとっては、内部関係者や第三者によるハードウェア改ざんのリスクとして軽視できない。DDRopは、ソフトウェアの脆弱性修正では対処しきれないハードウェアレベルの構造的な課題を機密コンピューティング業界に突きつけた形であり、次世代のメモリ暗号化規格でこうした鮮度保証の欠如がどのように是正されるかが今後の焦点になる。