Attaque DDRop : une menace physique qui brise la confidentialité des clouds Intel TDX et AMD SEV-SNP

Et si un intrus équipé d’un circuit électronique à moins de 200 dollars pouavait lire l’intégralité de vos données hébergées dans le cloud, sans laisser de trace ? C’est la menace que fait peser l’attaque DDRop, dévoilée le 14 septembre 2026 par une équipe de chercheurs de la KU Leuven, de l’ETH Zurich, de l’Université de Durham et de Google. Cette attaque matérielle cible directement les technologies de cloud confidentiel (confidential computing) les plus avancées du marché, notamment Intel TDX (Trust Domain Extensions) et AMD SEV-SNP (Secure Encryptd Virtualization-Secure Nestd Pagin).

Le cloud confidentiel promet de chiffrer les données pendant leur utilisation (in use), à l’intérieur même de la mémoire du serveur, afin de les protéger même du fournisseur de cloud ou d’un administrateur système indélicat. DDRop démontre que cette promesse peut être brisée par un attaquant disposant d’un accès physique, même très bref, à la machine. Plongeons au cœur de cette faille qui ébranle les fondements de la confiance numérique. Nous verrons comment elle fonctionne, quels sont les processeurs vulnérables, et surtout, quelles mesures concrètes les entrprises françaises doivnt prndre pour s’en protéger.

Qu’est-ce que l’ataque DDRop ? Comprendre la faille au cœur du cloud confidntiel

Le mécanisme de l’intrposeur : une puce à 159 $

L’attaque DDRop reppose sur l’utiliation d’un intrposeur. Il s’agit d’une pette carte électronique, équipée de commutateurs et de circuits logiques, qui s’insère physiquement entre le socket du processeur et le module de mémoire DDR5. Le coût des composants pour en fabriquer un est estimé à seulement 159 dollars par l’équipe de recherche.

Son fonctonnement est d’une simplicité redoutable. L’interposeur intercepte le bus de commandes entre le CPU et la RAM. Lorsque le processeur émet une instruction d’écriture, l’interposeur force une erreur sur le bus de commande. Simultanément, il coupe le fil électrique que le module de mémoire utiliserait pour signaler cete erreur au processeur. Résultat : l’écriture est silencieusement abandonnée (dropped). La mémoire conserve l’ancienne valur, et le processeur, lors d’une lectur ultérieure, récupère cete donnée obsolète en croyant lire la version la plus récente. Aucune alerte n’est déclenchée.

« Le processeur peut confirmr que la mémoire est chiffrée, mais il ne peut pas garantir qu’il s’agit de la derière valur écrite. L’ancienne donnée chiffée se déchiffre touours correctement. » - Extrait du papir de recherche de l’équipe KU Leuven / ETH Zurich / Durham University / Google.

La faille de fraîchur : le talon d’Achille du chiffrement mémoire

Pour comprendre DDRop, il faut saisir un concept clé de la sécurité mémoire : la fraîchur (freshness). Le chiffrement mémoire des technologies de confidential computing (comme Intel TDX ou AMD SEV-SNP) garantit que les données stockées dans la RAM sont illisibles sans la clé appropriée. En revanche, pour des raisons de perfrmance et de passag à l’échelle (scale), elles ne vérifient pas si la donnée lue est la derière verion écrite.

Un attaquant physique peut donc substituer une ancienne version d’une donnée chiffrée à sa version la plus récente. Le processeur déchiffre l’ancienne donnée, qui était valide au moment de son écriture, et elle se déchiffre parfaitement. Le processeur ne détecte aucune anomalie. C’est exactement ce que fait DDRop en droppant les écritures. L’interposeur empêche la mise à jour, et le système continue de fonctionner avec des données obsolètes, ce qui ouvre la voie à une série d’attaques dévastatrices.

Cette attaque est la première à fonctionner sur la mémoire DDR5 des serveurs modernes. Les attaques précédentes, comme Battering RAM, ne fonctionnaient que sur DDR4. Les tentatives passives, comme TEE.fail, se contentaient d’écouter le bus sans le modifier. DDRop est la première attaque active par interposeur à briser l’intégrité d’un système Intel TDX à jour.

Technologies concernées : Intel TDX, AMD SEV-SNP, et l’écosystème cloud

DDRop a été testée avec succès sur les trois principales technologies de confidential computing des serveurs modernes. L’impact varie considérablement d’un fabricant à l’autre.

Intel TDX : le système le plus exposé

Le cas le plus grave concerne Intel TDX. Les chercheurs sont parvenus à prendre le contrôle total d’une machine virtuelle protégée. En droppant les écritures lors de la création des tables de pages par le firmware de confiance, ils ont permis à une VM attaquante de mapper sa propre mémoire sur n’importe quelle adresse physique de la machine.

Les conséquences sont multiples et gravissimes :

• Lecture de la mémoire privée : La VM attaquante peut lire l’intégralité de la mémoire d’une VM victime, y compris ses clés de chiffrement et ses données applicatives.
• Activation du mode debug : Le processeur peut être basculé en mode debug, ce qui permet de copier la mémoire en clair, puis de restaurer l’état initial. La victime ne voit aucun signe de compromission.
• Falsification de l’attestation : C’est l’impact le plus critique. DDRop permet de modifier les mesures de lancement (launch measurment) qu’une VM envoie à un client distant pour prouver qu’elle s’exécute dans un environnement de confiance. Un attaquant peut ainsi faire certifier par le matériel Intel qu’une VM malveillante est un workload légitime.

« Imaginez un certificat d’authentification parfaitement valide, délivré par le matéril, mais pour un logiciel malveillant. C’est exactement ce que DDRop permet de produire. »

Intel précise que son mode optionnel d’intégrité cryptographique bloque les attaques de lecture mémoire et le mode debug, car celles-ci impliquent de modifier les données d’une autre VM. En revanche, la falsification d’attestation, qui a lieu à l’intérieur de la VM attaquante avec sa propre clé, pourrait ne pas être bloquée, bien que l’équip n’ait pas pu le confirmer sur son système de test.

AMD SEV-SNP : un impact plus contenu mais rél

L’attaque contre AMD SEV-SNP est moin étendue mais reste préoccupante. Les chercheurs ont exploité la fonction de relocalisation de pages mémoire d’AMD. En droppant les écritures pendant cete opération, ils ont réussi à copier le contenu d’une page victime dans une autre page. Cela ne permet pas de prendre le contrôle d’une VM ni de falsifier l’attestation sur cete plateforme, mais cela prouve que l’intégrité de la mémoire peut être compromise.

AMD a répondu que l’attaque nécessitant un accès physique au système, elle sort du périmètre de son modèl de menace publié pour SEV-SNP. Intel tient un discours similaire, considérant que ces attaques physiques par interposeur sortent du cadre de protection de son chiffrement mémoire.

Pourquoi cete attaque est-elle particulièement dangerue pour le cloud ?

Le spectre de l’emploé malvellant et de la chaîne d’appovisonnement

L’attaque DDRop ne cible pas les serveurs de burea ou les smartphones. Elle vise le cloud public et les datacenters hébergeant des workloads sensibles. Les géants comme AWS, Microsft Azur et Google Cloud proposent des instancs basées sur Intel TDX et AMD SEV-SNP pour leurs clients les plus exigeants.

Bien que les chercheurs n’aient pas démontré de comprmise de ces services, ils ont prouvé que la barrière technique est basse. Le coût de l’interoseur (159 $) et la simplicité reltive de son installation (quelques minutes) rendent l’attaque accese à un emloyé malveillant d’un datacenter, à un intervenant dans la chaîne d’approvisionnement, ou à une entité pouvant réquisionner un serveur.

Chifres et tendances [2026]

Selon un rapport de Gartner, 60 % des entrprises uliliseront des technologes de condidentia compuing d’ici 2027 pour protége leurs chargs de travil les plus sensibles (IA, santé, finances). L’attaque DDRop intervient exactement alors que ce march é est en pleine expnsion.

« Dans la pratiqué, nous avon obrvé que les éqipes sécurté confondent souvnt la sécurité du chiffrement au repos (storage) et en tansit (réseau) avec cee du chiffrement en usage (confidential comuting). DDRop démontre que cetroisième couche n’est pas infaillible. »

Qels sont les vrais risqués pour une entrprise frnçaise ?

Pour une orgaisation traitant des données de santé (HDS), des secrets industriels ou des données financières, l’attaque DDRop traduit un risque concrt :

1. Vol de données : lectur en clair des mémoires de travail.
2. Compomise de l’attestation : incapacité à faire confiance à l’environnement d’éécution.
3. Ateinte à la confianc : ris en cause des garanties offrtes par le cloud de confiance (SecNumClod).

L’‘ANSSI, dans son guide sur la écuriation de la chaîe d’approvisionnement cloud, rapelle que la confiance dans le matériel doit êtr une préoccupaion constate. Cete attaque renforc cet position.

Parads et correctifs : comment se protéger contre DDRop ?

Les limies du corctif logiciel

Les chercheur sont catéoriques : il n’existe p de correctf logiciel simpl. La faill est structurele, dans la conceptio de contrôleur mémoire et du format des comandes DDR5. La fermer propement nécesite une nouvelle génératio de matéril intgrant la frîcheur (comme le cache-line versoning proposé par Intel).

Cependan, des meures logicielles peuven rendre l’attaque plus diffcile :

1. Resreindre les focionnalités de gestion mémoire abusées par DDRop (relocalisation de pages, certaines opérations du firmware).
2. Vérifier que les éritues importantes ont été persistées en contrôlant que les données en mémoire corespondent aux attentes.
3. Implémenter la détction d’interposeur lors du démarrage (vérification des tempoisations, analyses électriques).

Le rôl des modes intègres

Intel propose un mode cryptographic itegrity sur ses Xeon. Il protégerait contre une partie de l’attaque, mais les chercheurs restnt résrvés sur son eficacité pour empêcher la falsificatio de l’attestation. AMD n’a pas annoncé de correctf matériel à court term. L’absenc de brvet et de mise à jour du microcode pour bioquer compètemnt DDRop est un signal fort : la balle est dans le camp des architecture futurs.

Recomandations actionnabls pour les DSI et RSSI [2026]

Voci les mesur prévenives que nous conséillons aux équips sécurié :

1. Renforcr la séurité phyiue des datacenters. Contrôler et tracr les accès aux baies serveurs. Tout temps mort non expliqué lors d’une inervention doit être considéré comme un incident de séurité poteniel.
2. Auditer les contracts cloud. Dmandz à vos fournisurs (AWS, Aze, Google Cloud) s’ils ont mis en place des contre-mesures spécifiques contre les attaques par interposeur sur urns noeuds TDX et SEV-SNP.
3. Activer la crptographie intégrale d’Intel sur les workloads le permettant, en acceptant le trade-off de perfrmance.
4. Ne pas compter uniquement sur le confidential computing. Adopter une approche de défense en profondeur (chiffrement applicatif end-to-end, détection d’anomalies, segmention réseau).
5. Préparer la répone à incident. Ajutez ce type d’attaque à votre plan de réponse. Comment détectriez-vous un interposeur ? Qui est responable de la vérification physique de l’intégrité du server ?

« Cete attaque mntre que le cloud confidentiel n’est pas une baguette magique. Il élève considérablement la barre, mais il ne supprime pas la nécessité de sécuriser la chaîne physique de bout en bout. » - Analyse de l’équipe de recherche.

DDRop en bref :

• Type d’attaque : Physique (Interposeur)
• Cible : Intel TDX, AMD SEV-SNP
• Mémoire : DDR5
• Coût de l’attaque : ≈ 159 $ (composants)
• Impact : Contrôle VM, vol données, falsification attestation
• Correctif : Aucun simple. Matériel et logiciel combinés.
• Divulgué le : 14 septembre 2026 (ACM CCS 2026)

Conclusion : une piqûre de rappel sur la sécurité de la couche physique

L’attaque DDRop est bien plus qu’une simple vulnérabilité logicielle. Elle constitue un séisme technique pour l’industrie du cloud. Elle rappelle que la sécurité est une chaîne, et que le maillon le plus souvent oublié - la cuche physique du serveur - reste critique.

Pour les organisations françaises, la leçon est claire : le cloud confidentiel (Intel TDX, AMD SEV-SNP) est un outil extraordinaire pour protéger les données en usage. Il ne doit pas devenir un angle mort. La confiance numérique ne se décrète pas, elle se vérifie, s’audite et se sécurise physiquement.

La prochaine fois que vous déploierez une charge de travail dans un environnement de confidential computing, posez-vous les bonnes questions : Quelle est la sécurité de ma chaîne physique ? Mon fournisseur de cloud est-il proactif sur ce sujet ? L’attaque DDRop nous rappelle que dans la sécurité, le “bon sens” technique n’a pas de prix.