‘DDRop’ 공격, Intel TDX·AMD SEV-SNP 기밀 컴퓨팅 무력화

DDR5 메모리 ‘DDRop’ 공격, 클라우드 기밀 컴퓨팅 무결성 근본 위협

KU Leuven·ETH Zurich·Durham University·Google 연구진이 DDR5 기반 서버를 노리는 하드웨어 공격 ‘DDRop’을 공개했다. 인텔 TDX·Scalable SGX와 AMD SEV-SNP의 메모리 보호를 우회해 암호화된 데이터의 최신성을 깨뜨리는 방식이다.
공격자는 서버 소프트웨어를 이미 장악한 뒤, CPU와 DDR5 메모리 모듈 사이에 ‘인터포저’ 보드를 삽입해 메모리 쓰기를 조용히 버린다. 그 결과 프로세서는 오래된 암호화 데이터를 현재 값으로 착각해 읽고, 암호화 엔진은 이상을 감지하지 못한다.
DDRop은 DDR5 환경에서 처음으로 성공한 능동형 인터포저 공격으로, 기존 TEE.fail 같은 수동형 공격과 달리 메모리 버스를 느리게 하지 않고 정상 속도로 동작한다. Battering RAM이 쓰던 DDR4 주소 바꾸기 기법을 대신해 쓰기를 삭제하는 전략을 취한다.
인터포저 보드는 제작비가 200달러 미만으로, 값싼 하드웨어와 물리적 접근만 있으면 인텔 TDX 보호 가상머신의 페이지 테이블 초기화를 왜곡해 공격자 임의의 물리주소 매핑을 만든다. 이를 통해 피해 VM 메모리 열람, 디버그 모드 전환, 원격 검증에 쓰이는 기동 측정값 위조까지 시연했다.
DDRop은 AWS·Azure·Google Cloud가 제공하는 인텔 TDX·Scalable SGX·AMD SEV-SNP 기반 기밀 컴퓨팅에 공통된 취약점인 ‘freshness 부재’를 짚어낸다. 대용량 메모리 암호화 설계가 무결성과 최신성 중 최신성을 희생해 확장성을 택한 구조적 선택이며, 근본 대응에는 무결성과 freshness를 모두 제공하는 신규 메모리 암호화 하드웨어가 요구된다.
연구팀은 ACM CCS 2026 11월 학회에서 결과를 발표하고, 보드 설계·펌웨어·공격 코드를 GitHub에 공개할 계획이라고 밝혔다. 이는 한국 클라우드 산업과 공공·국방 워크로드의 기밀 컴퓨팅 도입 시 하드웨어 설계 리스크를 평가하고, 물리·공급망 위협을 포함한 보안 기준을 재정립할 필요성을 시사한다.

국내 클라우드와 공공 인프라는 TDX·SEV-SNP 등 기밀 컴퓨팅 도입 시 DDRop이 짚은 ‘freshness 부재’를 전제로 위협 모델을 다시 설계해야 한다. 물리적 접근·운영자 내부자·공급망 공격을 포함한 통합 규제와 인증체계를 마련하고, 향후 하드웨어 설계 논의에 freshness 보장을 의무 기준으로 요구할 필요가 있다.

주요 용어: 기밀 컴퓨팅(클라우드 서버 메모리를 암호화해 운영자도 평문을 볼 수 없게 하는 기술), 인터포저(프로세서와 메모리 사이에 삽입해 신호를 조작하는 소형 회로 보드), freshness(데이터가 최신 기록값인지 검증하는 무결성 보장 속성)

출처: The Hacker News