低成本 DDR5 攔截器突破記憶體加密，竊取機密運算資料

低成本 DDR5 攔截器突破記憶體加密，竊取機密運算資料

比利時魯汶大學、瑞士蘇黎世聯邦理工學院、英國杜倫大學與 Google 研究人員本週聯手公布，一項名為 DDRop 的新型硬體攻擊手法。研究顯示，僅憑成本不足 200 美元的客製化 DDR5 記憶體攔截器（interposer），即可在採用 DDR5 RDIMM（Registered DIMM）模組的機密運算伺服器上，繞過 Intel TDX、AMD SEV‑SNP 以及 Scalable SGX 等主流記憶體加密防護。

攻擊原理與實驗驗證

DDRop 利用現行「可擴充記憶體加密」機制缺乏 新鮮度（freshness）驗證 的缺口。研究團隊在 DDR5 指令匯流排注入錯誤指令，使記憶體模組主動 丟棄（discard） 指定的寫入命令。結果是，CPU 後續讀取的仍是舊有的加密資料，而非剛寫入的最新內容。

在實驗中，攻擊者先將攔截器插入處理器與記憶體之間，然後在受保護的虛擬機（VM）內執行寫入操作。由於寫入被拋棄，VM 隨後讀回的仍是過時的密文。研究人員在 Intel TDX 與 AMD SEV‑SNP 平台上均成功重現此行為，且在 TDX 環境中更進一步將受害 VM 切換至除錯模式，直接讀取記憶體內容並偽造遠端驗證報告。

威脅範圍與限制

DDRop 必須 實體接觸 目標伺服器，且攻擊者需要具備操作虛擬機的權限，並非可遠端發動的純軟體攻擊。儘管如此，對於資料中心、雲端服務提供商以及任何使用硬體根信任（hardware root of trust）的機密運算環境，仍構成嚴重風險。若攻擊者能在供應鏈或維護階段植入攔截器，即可在不觸發軟體層面的警示下竊取關鍵運算資料。

緩解建議與產業回應

研究團隊指出，根本解法在於 在硬體層面加入記憶體完整性與新鮮度驗證，讓每一次寫入都必須經過不可否認的時間戳記或序號檢查。Intel 在 9 月 14 日的回應中表示，此類實體攔截攻擊不在其機密運算標準的威脅模型內，建議業者加強 實體存取限制、供應鏈驗證與硬體資產管理，同時持續研發偵測機制。AMD 方面截至目前尚未發表正式回應。

未來展望與讀者啟示

DDRop 的出現提醒業界，硬體安全不再是「只要加密」就能解決的問題。隨著 DDR5 成為資料中心的主流記憶體，相關的物理層防護必須同步升級。企業在部署機密運算解決方案時，應檢視供應鏈的透明度，並考慮導入具備新鮮度驗證的記憶體模組或額外的硬體監控設備。對於資安從業人員而言，了解此類攻擊的實作細節，有助於在風險評估與防禦規劃中加入「實體攔截」的考量，避免因過度依賴軟體防護而留下致命盲點。

關鍵資訊：低於 200 美元的 DDR5 攔截器、缺乏新鮮度驗證的記憶體加密、實體接觸即能繞過 Intel TDX 與 AMD SEV‑SNP。未來的防禦策略必須從硬體設計層面重新審視，才能真正保護機密運算環境的資料完整性。