새로운 DDRop 공격, 인텔 TDX 및 AMD SEV-SNP 기밀 컴퓨팅 보호 무력화

연구자들이 DDRop이라 명명된 새로운 하드웨어 공격을 공개했다. 이 공격은 서버 메모리에 대한 쓰기를 무음으로 삭제하는 방식으로 인텔과 AMD의 기밀 컴퓨팅 메모리 보호를 깨뜨린다. 프로세서는 오래된 암호화 데이터를 최신 데이터인 것처럼 계속 읽게 된다.

공격에는 서버 소프트웨어를 이미 장악하고 있으며, 잠시 물리적으로 기기에 접근해 프로세서와 메모리 모듈 사이에 **인터포저(interposer)**라는 소형 회로 기판을 삽입할 수 있는 공격자가 필요하다.

인터포저 제작 비용은 200달러 미만이다. DDRop은 클라우드 서비스가 데이터 사용 중에도 — 심지어 클라우드 제공자로부터도 — 고객 데이터를 비공개로 유지하는 데 사용하는 하드웨어인 Intel TDX, Intel Scalable SGX, AMD SEV-SNP에 모두 동작한다.

기밀 컴퓨팅은 서버 메모리를 암호화된 상태로 유지하기 때문에, 물리적으로 기기에 접근하더라도 데이터가 뒤섞인 형태로만 보인다. 그러나 클라우드 서버가 사용하는 대용량 메모리를 보호하기 위해 이 설계들은 **신선도(freshness)**라는 보장을 생략한다. 프로세서는 메모리가 암호화됐는지는 확인할 수 있지만, 최신 값이 저장돼 있는지는 확인하지 못하며, 오래된 암호화 데이터도 여전히 올바르게 복호화된다.

DDRop은 바로 이 허점을 공격으로 전환한다. 인터포저가 쓰기를 삭제하면 이전 값이 메모리에 남고, 프로세서는 업데이트가 정상적으로 이루어진 것처럼 해당 값을 읽어 들인다. 암호화 엔진은 아무런 이상도 감지하지 못한다.

연구팀에 따르면 DDRop은 현재 클라우드 서버에 쓰이는 DDR5 메모리에서 동작하는 최초의 능동형 인터포저 공격이며, 단순히 데이터를 읽어내는 데 그치지 않고 최신 Intel TDX 시스템의 무결성 자체를 깨뜨린 첫 번째 사례다.

TEE.fail 같은 기존 DDR5 인터포저 공격은 수동형이었다. 메모리 버스를 감청하는 방식으로, 중고 실험 장비로 작동시키기 위해 버스 속도를 줄여야 했다. Battering RAM처럼 메모리가 보는 내용을 변경하는 능동형 공격은 구형 DDR4에서만 가능했고, DDR5의 재설계된 명령 형식이 해당 공격이 사용하던 주소 교체 기법을 차단한다. DDRop은 쓰기를 삭제하는 방식으로 이를 우회한다.

인터포저는 메모리 버스 위에 위치하는 소형 스위치 기판으로, 전체 DDR5 속도로 동작한다. 쓰기를 삭제하려면 명령 버스에 오류를 강제 발생시킨 뒤, 메모리 모듈이 오류를 보고하는 데 사용하는 선을 차단한다. 그러면 모듈은 조용히 명령을 버리고, 프로세서에는 아무런 통보도 가지 않는다.

DDRop은 KU Leuven, ETH Zurich, Durham University, Google의 연구자들이 발표한 연구로, 11월 ACM CCS 2026 컨퍼런스에서 발표될 예정이다. 연구팀은 인터포저 회로 설계, 컨트롤러 펌웨어, 공격 코드를 연구 논문과 함께 GitHub에 공개할 예정이라고 밝혔다.

Intel TDX 무력화

Intel TDX 환경에서 연구자들은 쓰기 삭제를 보호된 가상 머신의 완전한 제어권 획득으로 발전시켰다. TDX는 각 가상 머신의 페이지 테이블을 암호화하고 신뢰할 수 있는 펌웨어의 통제 하에 둔다.

펌웨어가 새 페이지 테이블을 설정하기 위해 빈 항목을 쓸 때 DDRop이 해당 쓰기를 삭제하면, 테이블에는 공격자가 사전에 심어놓은 데이터가 그대로 남는다. 이를 통해 공격자의 가상 머신이 자신의 메모리를 임의의 물리 주소에 매핑하여 보호된 메모리를 읽거나 변경할 수 있다.

이 접근 권한을 이용해 연구자들은 피해자 가상 머신의 비공개 메모리를 읽고, 피해자 머신을 디버그 모드로 전환해 메모리를 평문으로 복사한 뒤, 원래 데이터를 복구하여 피해자 측에 조작 흔적이 남지 않도록 했다.

또한 가상 머신이 원격 고객에게 신뢰할 수 있는 상태로 시작됐음을 증명하는 데 사용하는 시작 측정값(launch measurement)을 덮어쓰는 것도 가능했다. 이를 변경하면 공격자가 제어하는 가상 머신이 신뢰된 머신인 것처럼 해당 검사를 통과할 수 있다.

피해자 메모리 읽기와 디버그 모드 전환, 이 두 가지 결과는 TDX의 기본 모드인 논리적 무결성(logical integrity) 모드에서만 실증됐다. TDX의 선택적 강화 모드인 암호화 무결성(cryptographic integrity) 모드는 이 두 가지를 차단할 것이라고 연구자들은 밝혔는데, 두 공격 모두 다른 가상 머신에 속한 데이터를 변경하는 것을 수반하기 때문이다.

자체 증명 위조의 경우, 해당 쓰기가 공격자 자신의 가상 머신 내부에서 자신의 키로 이루어지므로 하드웨어가 여전히 해당 데이터를 유효한 것으로 표시하기 때문에, 강화 모드에서도 동작할 것이라고 연구자들은 주장한다. 암호화 무결성 역시 신선도 검사를 추가하지 않으므로 오래된 콘텐츠가 재사용됐는지 판별할 수 없다. 테스트 시스템이 해당 모드를 지원하지 않아 확인은 하지 못했다.

AMD SEV-SNP에서는 결과가 더 제한적이다. AMD의 페이지 재배치 기능 중에 쓰기를 삭제하면 한 피해자 페이지의 내용을 다른 페이지로 복사할 수 있었지만, 디버그 모드 및 증명 위조 공격은 Intel TDX에 특화된 것이다.

세 기술 모두 DDRop이 악용하는 신선도 검사 없이 메모리를 암호화하므로 모두 영향을 받는다. 인텔의 구형 Client SGX(일부 데스크탑·노트북 칩에 사용)는 영향을 받지 않는데, 오래된 데이터를 잡아내는 하드웨어 무결성 트리를 사용하기 때문이다. 단, 인텔은 이미 해당 제품을 단종시켰다.

NVIDIA의 기밀 컴퓨팅 GPU는 메모리가 칩 패키지 내부에 위치하여 인터포저를 삽입할 수 없으므로 영향을 받지 않는다. 연구자들은 Arm의 CCA는 테스트하지 않았으며, 영향을 받을 수 있다고 밝혔다.

이 공격의 대상은 가정용 컴퓨터나 휴대폰이 아닌 클라우드 서버다. Intel TDX, Scalable SGX, AMD SEV-SNP는 AWS, Microsoft Azure, Google Cloud를 포함한 주요 클라우드 플랫폼이 고객 워크로드 보호를 위해 제공하고 있다. DDRop은 이러한 서비스들이 실제로 침해됐음을 의미하지 않는다.

다만, 적절한 접근 권한과 저렴한 하드웨어를 갖춘 공격자가 이러한 서비스들이 의존하는 보호를 무력화할 수 있음을 보여준다.

연구자들은 The Hacker News와의 인터뷰에서 DDRop 또는 이와 유사한 능동형 인터포저가 실험실 외부에서 사용됐다는 증거는 없다고 밝혔다.

단순한 패치는 없다

단순한 패치는 존재하지 않는다. 연구자들은 이 약점이 하드웨어 설계에 있다고 말한다. 현재의 확장형 메모리 암호화는 대용량 메모리를 보호하는 대가로 신선도 검사를 포기하며, 이 격차를 완전히 해소하려면 무결성과 신선도를 모두 추가하는 새로운 메모리 암호화 하드웨어가 필요하다.

소프트웨어 변경으로 근본 원인을 제거하지 않으면서도 공격 난도를 높일 수는 있다. DDRop이 악용하는 메모리 관리 기능을 제한하고, 중요한 쓰기가 실제로 반영됐는지 확인하며, 부팅 시 인터포저 존재 여부를 탐지하는 방법 등이 있다.

인텔과 AMD는 조율된 공개(coordinated disclosure) 절차를 통해 DDRop에 대해 사전 통보를 받았으며, 두 회사 모두 연구 결과를 인정하고 공개일에 보안 공지를 발행하겠다고 밝혔다. 연구자들에 따르면 두 회사 모두 완화 지침이나 일정을 제시하지 않았다.

AMD는 The Hacker News에 이 공격이 시스템에 대한 물리적 접근을 필요로 하므로, SEV/SNP의 공개된 위협 모델 범위 밖이라고 밝혔다. 인텔도 서버 메모리에 대한 물리적 공격에 대해 동일한 입장을 취하고 있다.

인텔은 이러한 종류의 물리적 인터포저 공격이 자사 메모리 암호화가 제공하는 보호 범위 밖이며, 이러한 공격에 CVE를 부여할 계획이 없다고 별도로 밝혔다.

또한 인텔은 이 연구 영역을 "범위 밖이지만 관심 밖은 아니다(out of scope, but not out of mind)"라고 표현했다. 일부 현행 Xeon 프로세서에서 제공되는 인텔의 선택적 암호화 무결성 모드는 DDRop의 일부를 이미 차단하며, 인텔은 향후 칩을 위한 더 강력한 메모리 암호화 설계를 연구 중이라고 밝혔다.

그 중 하나인 **캐시 라인 버전 관리(cache-line versioning)**는 메모리 버스에 신선도 검사를 추가하는 방안이다. 연구자들은 이것이 DDRop을 차단할지 불분명하며, 인텔도 이에 대해 밝힌 바 없다고 말한다.

AMD는 DDRop에 관한 공지를 9월 14일 자사 제품 보안 페이지에 게시할 예정이라고 밝혔다. 인텔은 게재 전 논평 요청에 응하지 않았다.

인터포저 제작 비용은 저렴하다. 연구자들은 개발비나 인건비를 제외한 부품 비용을 약 159달러로 산정했으며, 몇 분 내에 장착할 수 있고 이후에는 소프트웨어만으로 완전히 구동할 수 있다고 밝혔다.

기기에 잠시만 접근하면 되기 때문에, 연구자들은 접근 기회가 불량 데이터센터 직원, 공급망 어딘가에서의 변조, 또는 법적 강제에 의한 하드웨어 압수 등을 통해 올 수 있다고 말한다.