Confidential Computing hält den Serverspeicher verschlüsselt, damit selbst jemand mit physischem Zugriff nur unlesbare Daten sieht. Um große Speichermengen abzudecken, verzichten diese Designs allerdings auf eine Eigenschaft namens Freshness: Der Prozessor kann prüfen, dass Speicher verschlüsselt ist, nicht aber, dass er den zuletzt geschriebenen Wert enthält – alte verschlüsselte Daten entschlüsseln weiterhin korrekt.
Genau diese Lücke nutzt DDRop. Verwirft der Interposer einen Schreibvorgang, bleibt der frühere Wert stehen, und der Prozessor liest ihn zurück, als sei die Aktualisierung erfolgt. Die Verschlüsselungs-Engine schlägt nicht an. Technisch erzwingt die Platine – ein kleines Board aus Schaltern, das mit voller DDR5-Geschwindigkeit auf dem Speicherbus arbeitet – einen Fehler auf dem Kommandobus und trennt anschließend die Leitung, über die das Speichermodul diesen Fehler melden würde. Das Modul verwirft den Befehl stillschweigend, der Prozessor erfährt nichts davon.
Frühere DDR5-Interposer-Angriffe wie TEE.fail arbeiteten passiv: Sie lauschten am Speicherbus und mussten ihn verlangsamen, um mit gebrauchtem Laborequipment zurechtzukommen. Aktive Angriffe wie Battering RAM funktionierten nur auf älterem DDR4, weil das neu gestaltete Kommandoformat von DDR5 den dort genutzten Adress-Tausch blockiert. DDRop umgeht das, indem es Schreibvorgänge verwirft.
Auf Intel TDX führte das Verwerfen von Schreibzugriffen zur vollständigen Kontrolle über eine geschützte virtuelle Maschine. TDX hält die Seitentabellen jeder VM verschlüsselt und unter Kontrolle vertrauenswürdiger Firmware. Schreibt diese Firmware leere Einträge für eine neue Seitentabelle, unterdrückt DDRop diese Schreibvorgänge – in der Tabelle bleiben zuvor platzierte, vom Angreifer gewählte Daten stehen. Damit kann eine eigene VM ihren Speicher auf beliebige physische Adressen abbilden und geschützten Speicher lesen oder verändern.
So lasen die Forscher den privaten Speicher einer Opfer-VM aus und versetzten sie in den Debug-Modus, was das Kopieren des Speichers im Klartext erlaubte; anschließend stellten sie die Originaldaten wieder her, sodass das Opfer keine Spur der Manipulation zeigte. Außerdem überschrieben sie die Launch-Messung, mit der eine VM einem entfernten Kunden ihren vertrauenswürdigen Startzustand nachweist – eine vom Angreifer kontrollierte VM könnte diese Prüfung damit bestehen.
Das Auslesen fremden Speichers und das Umschalten des Debug-Modus zeigten die Forscher nur im TDX-Standardmodus „logische Integrität". Der optionale, stärkere Modus „kryptografische Integrität" würde beides blockieren, da fremde Daten verändert werden. Das Fälschen der eigenen Attestierung funktioniere nach Einschätzung der Forscher auch dort, weil der Schreibvorgang innerhalb der Angreifer-VM und unter deren Schlüssel stattfindet; auch dieser Modus ergänze keine Freshness-Prüfung. Das Testsystem unterstützte ihn nicht, eine Bestätigung steht aus.
Bei AMD SEV-SNP fällt das Ergebnis schmaler aus: Über das Verwerfen von Schreibvorgängen während der Seiten-Umlagerung ließ sich der Inhalt einer Opfer-Seite in eine andere kopieren. Debug-Modus und Attestierungsfälschung sind TDX-spezifisch. Intels älteres Client SGX ist nicht betroffen, da es einen Hardware-Integritätsbaum nutzt, der veraltete Daten erkennt – Intel hat es inzwischen eingestellt. NVIDIAs Confidential-Computing-GPUs sind außer Reichweite, weil ihr Speicher im Chipgehäuse sitzt. Arms CCA testeten die Forscher nicht, halten es aber für möglicherweise betroffen.
Einen einfachen Patch gibt es nicht; die Schwäche liegt im Hardwaredesign. Softwareseitig ließe sich die Hürde erhöhen, etwa durch Einschränken der missbrauchten Speicherverwaltungsfunktionen, Nachprüfen wichtiger Schreibvorgänge und Suche nach einem Interposer beim Systemstart. Intel und AMD wurden im Rahmen koordinierter Offenlegung informiert und kündigten Sicherheitsbulletins an, ohne Gegenmaßnahmen oder Zeitpläne zu nennen. AMD erklärte gegenüber The Hacker News, der Angriff liege wegen des nötigen physischen Zugangs außerhalb des veröffentlichten Bedrohungsmodells für SEV/SNP; Intel vertritt dieselbe Position und plant keine CVE-Vergabe, beschreibt das Feld aber als „außerhalb des Umfangs, aber nicht außer Acht". An einem Vorschlag namens Cache-Line-Versioning arbeite Intel; ob er DDRop stoppen würde, ist laut den Forschern offen. Hinweise auf einen Einsatz außerhalb des Labors gibt es nach Angaben der Forscher nicht.