来自 KU Leuven、ETH Zurich、Durham University 和 Google 的研究人员先向 Intel 和 AMD 通报了研究结果，随后于 2026 年 9 月 14 日披露了 DDRop。DDRop 是一种小型硬件插入器，接在服务器的 DDR5 内存总线上。它会悄无声息地丢弃选定的内存写入。机密虚拟机（confidential VM）的内存由硬件加密，写入被丢弃后，它读到的是仍能正确解密的旧数据。这项研究的论文已列入 2026 年 ACM Conference on Computer and Communications Security 的议程。[1]
研究人员表示，Intel Trust Domain Extensions（TDX）、Intel Scalable Software Guard Extensions（SGX）和 AMD Secure Encrypted Virtualization-Secure Nested Paging（SEV-SNP）的内存加密能保持数据机密，但不提供新鲜性（freshness）保证。他们表示，缺少新鲜性，处理器就无法判断内存中的值是否为最新。据他们报告，在 TDX 的默认完整性模式下，他们迫使受害虚拟机进入了调试模式，使虚拟机监控器（管理虚拟机的软件）能够读取其内存。他们还报告，即便在 TDX 更强的密码学完整性模式下，他们也改写了一台受其控制的恶意虚拟机的启动度量值。远程证明会报告启动度量值，即虚拟机启动时所加载软件的哈希值。他们表示，度量值被改写后，这台恶意虚拟机能以合法工作负载的身份通过远程证明。根据研究团队的物料清单（不含人工成本），按一批制作 10 台计算，每台插入器的零件成本为 159 美元。[1]
这一攻击假设攻击者控制着宿主机的操作系统、虚拟机监控器和 BIOS。攻击者还需要一次短暂的现场接触来安装设备。此后，攻击由软件执行。研究团队列出了几种接触硬件的可能途径：数据中心内部人员、供应链篡改，以及被迫开放访问。[1]
Intel 在公告中表示，这些场景超出了其标准威胁模型，也就是其机密计算技术在设计上要抵御的攻击范围。Intel 建议限制物理访问、保护供应链，并表示正在评估进一步的加固和检测方案。[2]AMD 在安全公告中表示，该技术超出了已公布的 SEV-SNP 威胁模型。公告称，AMD 不打算为其分配通用漏洞披露（CVE）编号，也不打算发布缓解措施。[3]研究人员表示，软件或固件更新可以提高攻击难度，但持久的解决方案需要兼具完整性和新鲜性保护的内存加密。[1]
来源
核查或更正本页
- 更正
- 提交更正请求 · 在 GitHub 编辑源文件 · 更正政策
