クラウド上の機密VMは、サーバー管理者からも処理中のデータを隠せることを強みにしています。その前提を、200ドル未満の小さな基板で崩す研究「DDRop」が2026年9月14日に公開されました。
DDRopはDDR5メモリへの書き込みを選んで消し、CPUに古い暗号化データを読ませる攻撃です。研究チームはIntel TDX、Intel Scalable SGX、AMD SEV-SNPを対象に実証し、IntelとAMDも同日に公式見解を出しました。
攻撃にはサーバーの物理作業と特権ソフトウェアの実行権限が必要です。家庭用PCをインターネット越しに乗っ取る脆弱性ではありません。一方、機密性の高い処理を第三者のデータセンターへ預ける組織にとっては、供給網と物理管理を含めて信頼境界を見直す材料になります。
DDRopの概要
DDRopの研究チームは、KU Leuven、ETH Zurich、Durham University、Googleの研究者で構成されています。論文は2026年11月のACM CCS 2026で発表予定で、回路図、基板データ、ファームウェア、攻撃コードも公開されました。
研究チームが作った装置は、CPUとDDR5 RDIMMの間に差し込む「メモリインターポーザー」です。部品代は約159ドルで、DDR5を低速化せず本来の転送速度で動きます。従来のDDR5向けインターポーザー研究は通信を観察する受動型が中心でしたが、DDRopはメモリバスの動作を変える能動型に当たります。
| 項目 | DDRopの条件・特徴 |
|---|---|
| 対象 | DDR5を使うIntel TDX／Scalable SGX、AMD SEV-SNP |
| 装置 | CPUとメモリモジュールの間に入れる小型基板 |
| 部品代 | 約159ドル、研究チームの表現では200ドル未満 |
| 必要な権限 | サーバーへの物理アクセスと特権ソフトウェア実行 |
| 操作 | 選択したDDR5書き込みコマンドを破棄 |
| 遠隔実行 | 不可 |
装置を取り付ける作業は一度で済み、その後はソフトウェアから制御できます。研究チームは、悪意あるデータセンター作業員、輸送・調達中の改変、管理権限を持つ攻撃者といった脅威を想定しています。
DDR5書き込みを消す仕組み
暗号化と鮮度の違い
Intel TDXやAMD SEV-SNPは、メモリ上のデータを暗号化して第三者による読み取りを防ぎます。ただし、大容量メモリを現実的な性能で扱う設計では、すべての値が「最後に書かれた最新の値か」を示す鮮度情報を保持していません。
古い暗号文も暗号としては正しいため、CPUは正常に復号できます。DDRopは新しい値を書き込む命令だけを消し、同じ場所に残った古い値をCPUへ返します。暗号を解読せず、更新が完了したというCPU側の認識と、実際のDDR5内の状態を食い違わせる仕組みです。
パリティエラーと通知の遮断
DDRopはDDR5のコマンドバスへ意図的にパリティエラーを起こします。メモリモジュールは異常な書き込みコマンドを破棄しますが、インターポーザーはエラー通知も遮断するため、CPUは失敗を認識できません。
研究チームは、この操作をページテーブルなどの重要な更新へ適用しました。攻撃対象のVMにソフトウェア上の欠陥がなくても、メモリ管理に使う正規の処理へ干渉できます。
Intel TDXへの影響
研究チームは第5世代Xeon ScalableプロセッサでIntel TDXとScalable SGXを評価しました。TDXでは、保護されたVMのページテーブル作成時にゼロを書き込む処理を落とし、攻撃者が用意した古い内容を残しています。これにより、攻撃側VMから任意の物理アドレスへ到達できる状態を作りました。
実証には、被害VMのメモリを平文でコピーする操作、デバッグモードへの切り替え、起動時の測定値を書き換えた偽のアテステーション生成が含まれます。標準の論理整合性モードで示された操作の一部は、対応Xeonが備えるオプションの暗号学的整合性モードで遮断できます。
Intelの公式告知は、物理アクセス、DDR5インターポーザーの設置、特権ソフトウェア実行の3条件を挙げ、遠隔からは実行できないと説明しています。Intelは今回の条件を現在の機密コンピューティングにおける標準脅威モデルの範囲外と評価しました。
AMD SEV-SNPへの影響
AMD側の実証にはEPYC 9005シリーズのTurinが使われました。研究チームはSEV-SNPのメモリ再配置用インターフェースと書き込み破棄を組み合わせ、被害VMのページを攻撃者が選んだ位置へ複製できると報告しています。
AMDのセキュリティ告知が示す対象製品は次のとおりです。
- EPYC 4004シリーズ
- EPYC 4005シリーズと4005 Embeddedシリーズ
- EPYC 8004シリーズと8004 Embeddedシリーズ
- EPYC 9004シリーズと9004 Embeddedシリーズ
- EPYC 9005シリーズと9005 Embeddedシリーズ
- Instinct MI300Aシリーズ
AMDも、特権ソフトウェア権限とマザーボードへの物理アクセスを伴うメモリバス攻撃はSEV-SNPの公開脅威モデルの範囲外と判断しました。そのためCVEの割り当てと今回の報告に対する緩和策の配布は予定していません。
IntelとAMDの対応方針
両社の判断は「研究が誤り」という意味ではなく、現在の製品が守ると定義した攻撃条件の外側にあるという整理です。Intelは追加のアーキテクチャ強化と検出手段を評価し、機密ワークロードを動かすハードウェアの物理的な所有者を遠隔側が確認するPlatform Owner Endorsementsも開発しています。
Intelが案内した運用対策は、サーバー室へのアクセス制限と監視、調達・輸送を含む安全なハードウェア管理、システムソフトウェアとファームウェアへの最小権限適用、最新セキュリティ更新の維持です。いずれもDDRop専用パッチではなく、インターポーザーを設置できる攻撃経路を狭める多層防御になります。
根本的に防ぐには、暗号化に加えて改ざん検出と鮮度管理をハードウェアへ組み込む必要があります。研究チームは、重要な書き込みがDDR5へ届いたかを再確認する方法や、起動時にインターポーザーを検出する方法も論文で検討しました。現在の仕組みへソフトウェアだけで完全な鮮度管理を追加するのは難しく、次世代のメモリ暗号化設計へ残された課題です。
利用者への影響
一般的なデスクトップPC、ノートPC、スマートフォンは今回の中心対象ではありません。装置を取り付けるには筐体を開けてサーバーのDDR5メモリへ触れる必要があり、さらに特権コードを動かす権限も要ります。
影響を直接検討すべきなのは、クラウド事業者を信頼せずに機密データを処理する目的でTDX、Scalable SGX、SEV-SNPを採用している組織です。医療、金融、政府、複数企業間の共同分析など、物理インフラの管理者とデータ所有者が異なる運用では、CPU機能の選択に加えて次の管理を確認する価値があります。
- サーバーラックへ入れる担当者と作業履歴の記録
- メモリ交換時の部品識別と封印、写真、二者承認
- 調達先から設置までの輸送経路と受け渡し記録
- ハイパーバイザー、管理VM、ファームウェアの権限分離
- 対応Xeonで利用できる整合性モードと性能要件の評価
クラウド利用者は、契約先へ機密VMのCPU世代、物理セキュリティ認証、部品交換手順、アテステーション方針を問い合わせると、DDRopが示した信頼境界を具体的に確認できます。
まとめ
DDRopはDDR5の暗号を解く攻撃ではなく、書き込みを消して暗号化された古い値を再利用させる攻撃です。200ドル未満の装置でIntel TDX、Scalable SGX、AMD SEV-SNPへの影響を示し、機密VMの保護には暗号化だけでなくデータの鮮度も必要だと実証しました。
遠隔攻撃ではなく、物理アクセスと特権実行を同時に要求するため、個人PCの緊急対応を促す内容ではありません。データセンター運用者と機密VMの利用企業は、物理作業、供給網、管理権限、アテステーションを一つの防御体系として点検しましょう。AMDのメモリ暗号化機能をさらに知りたい方は、Ryzen 9000のTSME解説も参考にしてください。