Black Hat Europe 2025 | RMPocalypse: A Catch-22 Breaking AMDs Confidential Computing
三句話摘要
AMD SEV-SNP 的 RMP（Reverse Map Table）完整性保護機制存在微碼級漏洞，攻擊者可在初始化期間利用緩存不一致性推翻整個安全隔離。 RMPclips 漏洞展示了硬體隔離機制中時序與架構一致性的重要性—即使單個防禦層設計正確，層級之間的轉換視窗也可能成為致命的弱點。 Catch-22 的設計問題：RMP 表本身位於 DRAM 且自我保護（有指向自身的條目），但初始化時整個 RMP 為零，需要透過 PSP（Platform Security Processor）這個可信硬體單元來安全啟動。AMD 的解決方案在初期為 TMR（Trusted Memory Regions）屏障保護 RMP，但此屏障在初始化完成後移除，目的是讓後續的 x86 微碼能修改 RMP。
重點整理
重點- 1
Catch-22 的設計問題：RMP 表本身位於 DRAM 且自我保護（有指向自身的條目），但初始化時整個 RMP 為零，需要透過 PSP（Platform Security Processor）這個可信硬體單元來安全啟動。AMD 的解決方案在初期為 TMR（Trusted Memory Regions）屏障保護 RMP，但此屏障在初始化完成後移除，目的是讓後續的 x86 微碼能修改 RMP。
- 2
緩存一致性漏洞的發現過程：研究者花費 4.5-5 個月研讀文件後發現規範要求「初始化前 CPU 不應有指向 RMP 的 dirty cache lines」。透過多輪實驗發現：(a) 建立 dirty cache line 本身不足；(b) 需要在另一核心持續寫入 RMP，直到第一個核心的髒快取行最終被寫回；(c) 如將 RMP 標記為不可緩存則攻擊失效。這證實根本原因涉及緩存機制。
- 3
保護屏障的錯位架構：AMD Epic 使用晶粒架構，x86 核心透過 CCX（Core Compute Complex）、資料結構網、CS（Cache Coherent Slave）區塊、UMC（Unified Memory Controller）存取 DRAM。初始化期間 TMR 屏障位於 CS 與 UMC 之間，但初始化後屏障移至 x86 核心級別。在這個轉換窗口期，PSP 寫入 RMP 時 x86 核心可建立指向 RMP 的 dirty cache lines，而 CS 到 UMC 之間缺乏屏障來阻止回寫。
- 4
級聯破壞與實際影響：RMP 表的自引用條目（第一個條目保護 RMP 本身所在的頁面）本身就是一個 8 位元組的覆寫目標。一旦此條目被篡改，攻擊者可使該頁面變為可寫，進而破壞相鄰條目，形成級聯效應推翻整個 RMP。最終可篡改虛擬機的 Guest Context Page（含 VM ID、加密狀態雜湊、debug 位元等），破壞 SEV-SNP 的整個隔離保證。
實用技巧與重點
乾貨- 受影響對象：所有支援 SEV-SNP 的 AMD EPYC 處理器
- 技術代稱：RMPclips（Reverse Map Table - Catch 22 Limited Integrity Protection Sequencing）
- 相關 CVE：AMD 分配正式 CVE 編號追蹤此漏洞
- 修補時程：AMD 於 2025 年 8 月左右發布平台安全處理器（PSP）韌體與微碼補丁
- 漏洞存在期間：已存在相當長時間，影響多代 EPYC 處理器
- 防禦層級：涉及 Trusted Memory Regions（TMR）屏障、RMP 自引用保護、Guest Context Page 加密與完整性
- 根本修補方式：在初始化期間于 x86 核心級別增加額外屏障，確保 PSP 寫入 RMP 時無法產生 dirty cache lines
結論
結論“RMPclips 漏洞展示了硬體隔離機制中時序與架構一致性的重要性—即使單個防禦層設計正確，層級之間的轉換視窗也可能成為致命的弱點。”
完整解析
詳細機密運算的核心挑戰在於保護執行中的資料。傳統的磁碟加密與傳輸層加密都已成熟，但當資料在 CPU 與 GPU 中處理時，仍然暴露在作業系統、Hypervisor 甚至雲供應商的威脅下。AMD 的 SEV-SNP 技術透過在 CPU 層級加密記憶體並驗證完整性，消除對 Hypervisor 的信任。這個保證是透過 RMP（Reverse Map Table）實現的—一個龐大的 DRAM 表格，記錄每個記憶體頁面的安全屬性，CPU 硬體在每次記憶體存取時都會查詢它。
然而 RMP 本身也存儲在 DRAM 中，面臨一個先有雞先有蛋的困境：RMP 保護自己，但初始化時 DRAM 為空。AMD 的優雅解法是透過 PSP（Platform Security Processor）這個獨立的可信硬體單元來啟動 RMP。在初始化期間，PSP 使用 TMR（Trusted Memory Regions）屏障防止 x86 核心的寫入，然後安全地填充 RMP 內容。初始化完成後，屏障被移除到 x86 核心級別，以允許後續的微碼指令（如 RMP_UPDATE）修改 RMP。
研究者發現了這個轉換過程中的致命漏洞。他們觀察到規範要求初始化前「CPU 不應含有指向 RMP 的 dirty cache lines」，但硬體並未強制執行此約束。透過在另一個核心上執行緊密迴圈，持續寫入 RMP，研究者能在 PSP 初始化時製造競態條件，導致他們的快取寫入在屏障移除後才回寫到 DRAM，從而覆寫了 PSP 剛剛初始化的 RMP 內容。
最聰明的攻擊方式是針對 RMP 的自引用條目—RMP 中保護 RMP 本身所在記憶體頁面的條目。一個 8 位元組的覆寫可以將該頁面標記為可寫。攻擊者隨即可修改相鄰的 RMP 條目，創造級聯效應，最終完全破壞 RMP 的完整性保護。一旦 RMP 被控制，攻擊者可篡改虛擬機的元資料結構（Guest Context Page），包括禁用 debug 位元、修改 VM ID 或回放加密狀態雜湊，徹底瓦解 SEV-SNP 的隔離保證。
根本的架構缺陷在於保護屏障位置的時間錯位。初始化期間的 TMR 屏障位於 CPU 與記憶體控制器之間（CS 到 UMC），但轉移到 x86 核心級別後，快取層與記憶體控制器之間失去了防護。AMD 的修補方案是在初始化期間於核心層級也增加屏障，確保 PSP 寫入時 x86 的任何快取寫入都被硬體一致性機制自動回寫，而不會在屏障移除後才寫入。修補已於 2025 年 8 月發布，涉及 PSP 韌體與微碼更新。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
