メモリ書き込みを無効化して機密保護を突破するハードウェア攻撃「DDRop」が判明、Intel TDXやAMD SEV-SNPに影響

要点

• 機密コンピューティング環境のメモリ保護を突破する新たなハードウェア攻撃手法「DDRop」が公開された

• メモリモジュール間に200ドル未満の小型基板を挿入し、書き込み処理を破棄して古い暗号化データを読み込ませる仕組みとなっている

• 最新のDDR5メモリを採用するサーバーで動作し、Intel TDXやAMD SEV-SNPに影響を与える

• Intel TDX環境では保護された仮想マシンのメモリ読み取りや改ざん痕跡を残さない複製、起動証明の偽装などが実証された

• 攻撃コードや基板の設計情報はGitHubで公開されており、2026年11月のセキュリティ会議で詳細が発表される予定だ

• KU Leuven、ETH Zurich、Durham University、Googleの共同研究チームは、クラウドサーバーの機密コンピューティング環境を標的とした新たなハードウェア攻撃手法「DDRop」を発表した。プロセッサとメモリの間に安価な専用基板を配置することで、暗号化メモリ保護をすり抜けて保護領域の不正操作が可能になるという。本研究の詳細は、2026年11月に開催されるセキュリティ国際会議「ACM CCS 2026」にて発表される予定となっている。

メモリの「鮮度」検証の欠落を突くDDRopの仕組み

機密コンピューティングは、使用中のサーバーメモリを暗号化することで、クラウド事業者を含めた物理アクセスを持つ第三者から顧客データを保護するハードウェア技術だ。通常、メモリ上のデータは暗号化されているため、外部から直接読み取っても無意味な暗号文しか見えない。

しかし、広大なメモリ空間を扱うクラウドサーバーの設計上、メモリ内のデータが「最新の書き込み値であるか」を保証する鮮度（freshness）の検証機能は省略されている。プロセッサ側ではデータが暗号化されていること自体は確認できるものの、古い暗号化データであっても正常に復号されてしまうという仕様上の隙が存在していた。

DDRopはこの盲点を突く。攻撃者はサーバーのソフトウェアをあらかじめ掌握した上で、プロセッサとメモリモジュールの間に「インターポーザー（信号を中継・制御する小型回路基板）」と呼ばれる200ドル未満で製作可能な基板を物理的に挿入する。

インターポーザーはメモリへの書き込み指示を検知すると、コマンドバス上で意図的にエラーを発生させつつ、メモリモジュールがプロセッサへ異常を通知するための信号線を切断する。これにより、モジュール側は書き込み要求を静かに破棄し、プロセッサ側にはエラーが通知されないままとなる。結果としてメモリ上には過去の暗号化データが残り続け、プロセッサは更新が行われたものとして古いデータをそのまま読み込んでしまう。

DDR5環境を標的とした初のアクティブ攻撃

研究チームによると、DDRopは現在のクラウドサーバーで主流となっているDDR5メモリを対象に、信号の改変を行う「アクティブ（能動的）」なインターポーザー攻撃として初めて機能したものだという。

従来のDDR5向けハードウェア攻撃（「TEE.fail」など）は、メモリバスを流れる信号を傍受する「パッシブ（受動的）」な手法に限られており、解析機器を動作させるためにバスクロックを低下させる必要があった。一方で、メモリの挙動を直接操作するアクティブ攻撃（「Battering RAM」など）は旧世代のDDR4でしか動作せず、DDR5で導入された新設計のコマンド形式によって従来のアドレス書き換え手法は無効化されていた。

DDRopはアドレスの入れ替えではなく書き込み処理そのものを破棄する手法を採用したことで、DDR5の通常動作クロックのままメモリの完全性を破ることに成功している。

Intel TDX環境における仮想マシンの乗っ取り実証

研究チームは、Intelの仮想化保護技術「Intel TDX」を搭載した環境において、書き込み破棄を利用した広範な侵害を実証した。

Intel TDXでは、各仮想マシンのメモリ配置を管理する「ページテーブル（仮想アドレスと物理アドレスの対応表）」が暗号化され、信頼された専用ファームウェアによって管理されている。ファームウェアが新規ページテーブルの作成時にエントリを初期化（空データを書き込み）しようとする際、DDRopによってその書き込みを破棄させることで、攻撃者が事前に配置しておいた任意のデータをページテーブル内に残すことが可能になる。

この仕組みを悪用することで、攻撃者が管理する仮想マシンから任意の物理アドレスをマッピングし、保護対象の仮想マシンに対して以下のような操作が行われたという。

• 保護メモリの読み取り: 被害側の仮想マシンが保持するプライベートなメモリ領域への直接アクセス。
• デバッグモードの強制適用: 被害側の仮想マシンをデバッグ状態へ切り替え、平文でメモリ内容を複製した後に元の状態へ復旧させることで、改ざんの痕跡を残さずデータを奪取。
• 起動証明（アテステーション）の偽造: 仮想マシンが改ざんのない状態で起動したことを遠隔の顧客へ証明する「起動測定値」を書き換え、攻撃者側の仮想マシンを信頼された環境であるかのように偽装。

なお、メモリ読み取りとデバッグモードへの切り替えについては、Intel TDXの標準設定である「論理的完全性（logical integrity）」モード下で実証された。他者の仮想マシンに属するデータを変更できないようにする上位設定「暗号論的完全性（cryptographic integrity）」モードを有効にすればこれらは防御可能とされる。一方で、起動証明の偽造に関しては攻撃者自身の仮想マシン内部で自身の暗号鍵を用いて処理されるため、暗号論的完全性モードであっても防御できず成立する可能性が高いと研究チームは指摘している（検証環境の制約により実機確認は未実施）。

AMD SEV-SNPへの影響と研究コードの公開

AMDの仮想化保護技術「AMD SEV-SNP」に対してもDDRopの検証が行われた。AMD環境では、ページ再配置機能の実行中に書き込みを破棄させることで、被害側のページ内容を別のページへ複製できる動作が確認された。ただし、デバッグモードの悪用や認証情報の偽造といった高度な攻撃はIntel TDX固有の仕様に依存しており、AMD SEV-SNPでは再現しないと報告されている。

研究チームは、論文の公開と併せて、インターポーザーの基板回路図、制御用ファームウェア、攻撃検証用コード一式をGitHub上でオープンソースとして公開している。