DDROP: Adapterstecker hebelt Confidential Computing aus

Eine Sicherheitslücke braucht heutzutage markige Marketingnamen. Für einen Angriff auf prozessorseitige Speicherverschlüsselung haben IT-Forscher sich nun „DDROP“ ausgedacht. Ein günstig herzustellender Zwischenstecker ermöglicht, Confidential Computing auszuhebeln und damit vermeintlich geschützte virtuelle Maschinen zu kompromittieren.

Auf einer eigens eingerichteten Webseite ddropattack.eu stellen die IT-Sicherheitsforscher ihre Attacke vor. Der Adapterstecker ermöglicht, ohne etwa Einfluss auf die Speichergeschwindigkeit zu nehmen, Schreibzugriffe auf den DDR5-RAM zu unterbinden. Das klingt erst mal unbrauchbar für Angriffe, schließlich geht es darum, an die vertrauenswürdigen Daten zu gelangen. Die IT-Forscher erklären jedoch, dass die alten Daten in den Speicherzellen erhalten bleiben, wenn Angreifer Schreibzugriffe unterbinden. Spätere Lesezugriffe entschlüsseln dann die Inhalte korrekt. Das System hat keine Möglichkeit festzustellen, dass das letzte Update auch im Speicher ankam. DDROP verhindert gezielt solche Schreibzugriffe, wodurch eine geschützte VM mit alten, von Angreifern ausgesuchten Inhalten weiterarbeitet – und die Verschlüsselungsroutinen der Prozessoren keine Fehler erkennen.

Anfällig für den Angriff sind laut der IT-Sicherheitsforscher die Speicherverschlüsselungsmechanismen Intel TDX, Intel Scalable SGX, AMD SEV-SNP und möglicherweise Arm CCA. Getestet wurde der Angriff jedoch nur gegen die x86-Prozessor-TEEs (Trusted Execution Environments). Die Auswirkungen sind dann gravierend, wenn sich IT-Verantwortliche auf das Marketing der Prozessorhersteller verlassen: Confidential Computing soll schließlich ermöglichen, Daten in beliebigen Umgebungen sicher hosten zu können, selbst, wenn den Admins der Rechenzentren nicht vertraut werden kann. Das Versprechen lässt sich nicht mehr halten.

Angriff mit einfachem Zwischenstecker

Der DDROP-Zwischenstecker lässt sich einfach zwischen Speicherriegel und Steckplatz auf dem Mainboard setzen; der Teensy-Microcontroller wird daran über einen Flachbandstecker angeschlossen. Der Adapter schleift die meisten Kontakte des DDR5-Busses einfach durch. Er kann jedoch die Fehlerbehandlung missbrauchen und Paritätsfehler erzeugen und die Rückmeldung dazu unterdrücken. Das Speichermodul verwirft dann den Befehl und der Prozessor bekommt nichts davon mit, dass etwas schiefgelaufen ist. Der Schreibzugriff wird dadurch schlicht komplett verworfen. Anders als frühere Angriffe ist kein unhandliches Equipment nötig, DDROP läuft zudem mit voller Busgeschwindigkeit und muss diese nicht künstlich bremsen, was Angriffe bemerkbar machen könnte.

Am Beispiel von Intels TDX erklärt das Team, wie dann der Angriff praktische Auswirkungen hat. TDX isoliert vertrauliche virtuelle Maschinen, von Intel Trusted Domains (TD) genannt, von einem potenziell kompromittierten Hypervisor auf dem Hostsystem. Das Mapping von Speicheradressen erfolgt in Secure Extended Page Tables (SEPT), die mit dem Schlüssel der TD verschlüsselt im Speicher liegen und nur von vertrauenswürdiger Firmware – also dem TDX-Modul – verwaltet werden; der Hypervisor kann die Daten dadurch nicht manipulieren.

Beim Belegen einer neuen SEPT-Page schreibt das TDX-Modul diese mit leeren Einträgen voll. DDROP verwirft diese Schreibzugriffe. Die Seite behält dadurch vorab erstellten, veralteten verschlüsselten Inhalt, der in bösartige Page-Table-Einträge übersetzt wird. Das funktioniere vollständig deterministisch und lässt eine von Angreifern kontrollierte TD ihren eigenen Speicher auf jede beliebige physische Speicheradresse verweisen. Im Standardmodus „Logical integrity“ (LI) von TDX ermöglicht das, die verschlüsselten Einträge von anderen TDs und ihrer Kontrollstrukturen zu lesen und zu verändern. Im stärkeren Cryptographic-Integrity-Modus (CI) ist die Manipulation über unterschiedliche Key-Domains nicht möglich, aber die Integritätsprüfung der eigenen TD (Attestation Measurement) können sie überlisten.

Konkret lässt sich DDROP nutzen, um etwa Prüfungen zur Boot-Zeit zu umgehen oder beliebige TDs in den Debug-Modus zu versetzen. Angreifer erhalten durch den Debug-Modus der Forschungsarbeit zufolge Zugriff auf den Klartext beliebiger Speicherbereiche einer Opfer-VM. Am Ende lassen sich die TDs vollständig kompromittieren, fassen die IT-Forscher zusammen. Als Angriffsszenarien listen die IT-Sicherheitsforscher etwa Manipulationen durch bösartige Technikmitarbeiter in Rechenzentren, Manipulationen in der Lieferkette oder Hardware-Zugang durch Strafverfolger oder Regierungen auf.

Das Forscher-Team hat AMD, Arm und Intel über die Erkenntnisse informiert. Die Prozessorschmieden bestätigten die Befunde, merkten jedoch dazu an: „Physische Angriffe auf DRAM sind ‚Out-of-Scope‘ der aktuellen Produkte“ – will heißen: Das gehört nicht zum Bedrohungsmodell und wird nicht behoben. Intel schränkte dazu jedoch ein, dass das zwar Out-of-Scope sei, jedoch nicht Out-of-Mind; das Unternehmen prüfe Speicherverschlüsselung der nächsten Generation mit stärkerem Hardwareschutz. Sowohl Intel als auch AMD haben eigene Sicherheitsmitteilungen zu dem Angriff veröffentlicht.

DDROP fußt auf älteren Forschungsarbeiten. Das Team benennt unter anderem den „BatteringRAM“-Angriff, die „BadRAM“-Attacke oder das aufbauende, rein softwareseitige „Download more RAM“.