// TOM'S HARDWARE ITALIA — HARDWARE & GADGET
Una scheda da 200 dollari aggira Intel e AMD: come ci riesce?
Un gruppo di ricercatori di KU Leuven, ETH Zurich, Durham University e Google ha presentato DDRop, un attacco hardware capace di aggirare le protezioni della memoria di Intel TDX, Intel Scalable SGX e AMD SEV-SNP. Queste tecnologie proteggono i dati durante l'elaborazione nei server cloud, anche dall'operatore dell'infrastruttura. L'attacco richiede il controllo del software del server e un breve accesso fisico per inserire una scheda tra processore e modulo RAM: il circuito costa meno di 200 dollari.
Il bersaglio è una proprietà chiamata freshness, ossia la garanzia che il dato letto sia effettivamente l'ultimo scritto. Per proteggere grandi quantità di memoria, queste architetture rinunciano a tale verifica. DDRop sfrutta questa scelta impedendo che determinate scritture raggiungano la RAM: il contenuto precedente resta al suo posto e continua a essere decifrato correttamente. Il processore utilizza così un valore vecchio come se l'aggiornamento fosse avvenuto, senza che il motore di cifratura rilevi l'anomalia.
La scheda, chiamata interposer, opera sul bus della memoria a piena velocità DDR5. Per scartare una scrittura induce un errore sul bus dei comandi e interrompe il collegamento attraverso cui il modulo dovrebbe segnalarlo al processore. La RAM elimina quindi il comando in silenzio. Gli autori descrivono DDRop come il primo attacco attivo con interposer riuscito su DDR5: TEE.fail osservava passivamente il traffico, mentre Battering RAM modificava gli indirizzi sulle precedenti DDR4.
La promessa alla base dell'adozione del confidential computing negli ambienti virtualizzati è separare la fiducia nel gestore da quella nel carico di lavoro. Su TDX, i ricercatori hanno compromesso questa separazione colpendo le tabelle delle pagine, strutture che traducono gli indirizzi della memoria e sono gestite da firmware fidato. Bloccandone l'azzeramento durante la creazione, hanno conservato dati predisposti dall'attaccante, consentendo alla sua macchina virtuale di raggiungere indirizzi fisici arbitrari e leggere o modificare memoria protetta.
Da questo accesso sono derivati la lettura della memoria privata di una macchina vittima e l'attivazione della modalità debug, utilizzata per copiarne il contenuto in chiaro prima di ripristinare i dati originali. Il gruppo ha anche alterato la misura iniziale usata nell'attestazione remota, facendo apparire fidata una macchina controllata dall'attaccante. La lettura della memoria altrui e l'attivazione del debug sono state dimostrate nella modalità predefinita di TDX, detta integrità logica; secondo gli autori, l'integrità crittografica opzionale bloccherebbe questi due risultati.
Su SEV-SNP, il blocco delle scritture durante la funzione di rilocazione delle pagine ha invece permesso di copiare il contenuto di una pagina della vittima in un'altra. Le dimostrazioni relative al debug e alla falsificazione dell'attestazione riguardano TDX. Il precedente Intel Client SGX disponeva di un albero di integrità hardware capace di rilevare dati obsoleti. I ricercatori dichiarano di non avere prove dell'impiego di DDRop, o di interposer attivi comparabili, fuori dal laboratorio.
La correzione strutturale richiederebbe nuovo hardware di cifratura capace di garantire sia l'integrità sia la freschezza dei dati. Gli interventi software possono rendere l'attacco più difficile, lasciando però intatta la debolezza progettuale individuata. Il lavoro sarà presentato alla conferenza ACM CCS in novembre; il gruppo ha annunciato il rilascio su GitHub degli schemi dell'interposer, del firmware di controllo e del codice degli attacchi, insieme al documento di ricerca.
Aggiungi Tom's Hardware alle tue fonti preferite su Google