由 KU Leuven、ETH Zurich、Durham University 與 Google 的研究人員共同揭露的一項名為 DDRop 的硬體攻擊，揭示了當前雲端伺服器中「機密運算」（Confidential Computing）技術的關鍵缺陷。此攻擊能突破 Intel TDX 與 AMD SEV-SNP 等主流硬體保護機制，讓攻擊者在不觸發警報的情況下，操縱伺服器記憶體中的數據。
機密運算旨在保護數據在「使用中」的狀態，即便雲端服務提供商或擁有物理存取權限的人員，也只能看到加密後的亂碼。然而，DDRop 證明了僅靠加密是不夠的，如果缺乏對數據「新鮮度」（Freshness）的驗證，整個保護體系將會崩潰。
背景與技術缺陷：新鮮度缺失的問題
在雲端伺服器的設計中，為了處理海量的記憶體數據，Intel TDX（Trust Domain Extensions）與 AMD SEV-SNP（Secure Encrypted Virtualization-Secure Nested Paging）等技術雖然能確保記憶體內容是被加密的，但卻省略了對「新鮮度」的保證。
所謂新鮮度，是指處理器能夠確認目前讀取的加密數據確實是「最後一次寫入」的最新版本。在缺乏新鮮度檢查的設計中，處理器雖然能確認數據經過加密且解密正確，但無法分辨這份數據是剛寫入的，還是很久以前留下的舊版本。DDRop 正是利用這個漏洞，透過「丟棄寫入」（Dropping Writes）的操作，讓處理器在不知情的情況下讀取舊的加密數據，而將其誤認為是最新的更新。
DDRop 的運作方式：低成本的硬體干預
要執行 DDRop 攻擊，攻擊者需要擁有伺服器的軟體控制權，並能短暫地在物理層面接觸機器，在處理器與記憶體模組之間插入一個稱為 Interposer（中介板）的小型電路板。這個中介板的造價極低，零件成本僅約 159 美元，且可在數分鐘內完成安裝。
DDRop 與以往攻擊的不同之處在於它是「主動式」的。早期的 DDR5 攻擊（如 TEE.fail）僅能被動監聽匯流排，且需要昂貴的實驗設備並降低運作速度。而 DDRop 則能以 DDR5 全速運行。當中介板偵測到寫入指令時，它會強行在指令匯流排上製造錯誤，隨後立即切斷記憶體模組回報錯誤的線路。結果是記憶體模組悄悄地捨棄了該次寫入指令，而處理器完全沒有收到錯誤通知，以為寫入已成功，但記憶體中保留的依然是舊數據。
對 Intel TDX 的實務影響
研究人員在 Intel TDX 系統上展示了極其嚴重的後果。由於 TDX 的分頁表（Page Tables）是由受信任的韌體管理並加密的，攻擊者利用 DDRop 在韌體寫入空條目以初始化新分頁表時丟棄這些寫入，使得分頁表保留了攻擊者預先設定的舊數據。
這讓攻擊者能將自己的虛擬機（VM）對應到任何物理記憶體地址，進而讀取或修改其他受保護虛擬機的私有記憶體。研究人員成功將受害虛擬機切換至除錯模式（Debug Mode），以明文形式複製其記憶體，隨後恢復原狀使受害者毫無察覺。更嚴重的是，他們能偽造虛擬機的啟動度量（Launch Measurement），讓一個受攻擊者控制的惡意虛擬機，在遠端驗證中看起來像是一個受信任的合法狀態。
針對 AMD SEV-SNP 的影響則相對較小，主要體現為在頁面重定位（Page Relocation）過程中丟棄寫入，導致能將一個受害頁面的內容複製到另一個頁面，但無法實現如 TDX 那樣的除錯模式切換或度量偽造。
限制、防禦與產業回應
DDRop 的影響範圍主要集中在雲端伺服器。對於一般家用電腦或手機則不適用，且 NVIDIA 的機密運算 GPU 因為記憶體封裝在晶片內部，無法插入中介板而免受影響。此外，Intel 舊款的 Client SGX 因具備硬體完整性樹（Integrity Tree）可偵測陳舊數據，因此不受此攻擊影響，但該功能在後來的伺服器版本中被捨棄以換取擴展性。
目前此漏洞沒有簡單的軟體補丁，因為缺陷根植於硬體設計。要徹底解決需要開發能同時提供完整性與新鮮度檢查的新型記憶體加密硬體。目前的緩解措施僅能提高攻擊門檻，例如限制特定的記憶體管理功能、在啟動時偵測中介板，或在關鍵寫入後進行驗證。
對於此發現，Intel 與 AMD 均表示物理存取攻擊超出了其目前的威脅模型範圍。Intel 提到，部分 Xeon 處理器提供的「加密完整性」（Cryptographic Integrity）模式可阻擋部分 DDRop 攻擊，並計劃在未來晶片中引入「快取行版本控制」（Cache-line Versioning）來增加新鮮度檢查。
儘管目前沒有證據顯示 DDRop 已在現實環境中被利用，但它提醒了雲端用戶：即便依賴最強大的硬體加密，若供應鏈被篡改或數據中心內部出現惡意人員，機密運算的信任基礎仍可能被廉價的硬體設備瓦解。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。