L’année 2018 ne pouvait pas commencer plus intensément sur le marché de la technologie : et si l’on découvrait une vulnérabilité qui touchait fondamentalement tout processeur développé au cours des deux dernières décennies ? Eh bien, c’est exactement ce qui s’est passé.
Une grave faille de sécurité présente dans les puces Intel a fait la une de l’actualité : la vulnérabilité permet à une application commune d’avoir accès à des zones protégées de la mémoire du système d’exploitation, exposant ainsi des informations sensibles. Mais le problème est encore pire : il existe un fossé qui affecte également les processeurs de AMD, ARM et de presque tous les ordinateurs et serveurs du monde.
De plus amples informations sur cette affaire ont été publiées dans la nuit de mercredi à dimanche (3). Les chercheurs en sécurité de Google ont publié une étude détaillée sur deux brèches, connues sous le nom de Meltdown et Spectre. Ils ne sortent que maintenant, mais ont été découverts et signalés à Intel, AMD et ARM le 1er juin 2017.
Des tests de concept ont été effectués avec les processeurs Intel Xeon E5?1650 v3, AMD FX?8320, AMD PRO A8?9600 R7 et Qualcomm Snapdragon 808 (ARM Cortex-A57) dans le Nexus 5X, qui sont tous affectés par au moins une des variantes. Les deux variantes de Spectre atteignent presque tous les processeurs du marché et ne sont pas encore fixées ; pour l’instant, on pense que la fusion se limite aux puces Intel.
En savoir plus : Comment protéger votre PC et votre smartphone contre les pannes de Meltdown et de Spectre
Sommaire
Fonte : la sécurité d’Intel se dégrade
La fusion consiste à casser un mécanisme de sécurité sur les processeurs Intel qui empêche les applications d’accéder à la mémoire réservée au noyau du système d’exploitation. On l’appelle ainsi parce qu’il “fond”. la barrière de défense de la puce.
Comme le noyau est responsable de presque tout, servant de pont entre le logiciel et le matériel de la machine, la défaillance est considérée comme grave. En théorie, il permet à une application courante (y compris les logiciels malveillants ou même le code JavaScript s’exécutant dans le navigateur) d’avoir accès à des mots de passe et à d’autres informations restreintes.
L’échec a été testé sur les processeurs Intel lancés depuis 2011, mais devrait atteindre toutes les puces fabriquées par la société depuis 1995 (à l’exception de l’Intel Itanium, d’architecture différente, et de l’Intel Atom produit avant 2013). La fusion fonctionne sur les ordinateurs de bureau, les ordinateurs portables et les serveurs.
La correction du bogue est déjà mise en œuvre par des logiciels dans tous les systèmes d’exploitation du marché. Cependant, comme le patch consiste à isoler complètement les processus utilisateur et la mémoire du noyau, il est possible qu’il y ait une réduction des performances de 5 à 30%. Les anciens processeurs Intel ralentiront, tandis que les nouveaux processeurs (Skylake et plus) ne devraient pas subir de réduction significative de leurs performances.
Spectre : l’échec qui touche tout le monde
Spectre est un défaut plus difficile à corriger car, pour être entièrement résolu, il faudrait que les puces soient redessinées. Oui : il y a un défaut de conception dans presque tous les transformateurs modernes sur le marché. Cependant, les entreprises s’efforcent déjà d’atténuer le problème par des logiciels.
Le nom de Spectre est lié à la cause du problème, qui est l’exécution spéculative. Pour accélérer les performances des logiciels, les processeurs modernes essaient de deviner quel code sera exécuté ensuite. Si la prédiction est fausse, le résultat est simplement écarté ; si elle est juste, on gagne du temps.
Cependant, la technologie peut également inciter un processeur à effectuer une opération “devinée” qui ne serait pas effectuée dans des conditions normales. Cela permet à une application de divulguer des informations confidentielles à une autre application, en brisant divers mécanismes de sécurité des logiciels, comme le bac à sable de Chrome, qui sépare les onglets du site et le reste du système d’exploitation, par exemple.
Difficile à détecter
Sur la page officielle de Meltdown and Spectre, les chercheurs répondent à quelques questions fréquemment posées : oui, vous êtes très probablement touché ; non, il n’y a toujours pas de rapports indiquant que les failles ont été explorées ; et elles atteignent les ordinateurs de bureau, les ordinateurs portables, les serveurs, les smartphones et tout autre appareil à haute capacité.
Mais le plus effrayant est que, contrairement aux logiciels malveillants courants, les antivirus ne peuvent pas, en pratique, détecter aussi facilement une application qui tire parti de Meltdown ou de Spectre. En outre, l’exploitation des vulnérabilités ne laisse aucune trace sur le système, il est donc difficile de savoir si vous avez déjà été touché par les failles.
Ce que disent les entreprises
Intel a publié une déclaration disant qu’il est conscient du problème, mais a souligné que les failles ne se limitent pas à ses puces, citant nominalement AMD et ARM. Il indique également que “tout impact sur les performances dépend de la charge de travail et, pour l’utilisateur moyen, ne devrait pas être significatif”.
AMD a admis que ses puces sont vulnérables, mais à une échelle plus réduite. La menace et la réponse aux trois variantes diffèrent selon le fabricant du processeur, et la DMLA n’est pas sensible aux trois variantes. En raison des différences dans l’architecture d’AMD, nous pensons que le risque pour les processeurs d’AMD est presque nul à l’heure actuelle ?
Dans une nouvelle version, AMD indique qu’elle n’est pas sujette à la fusion ; une variante de Spectre a un risque presque nul d’être exploitée sur les puces de la marque en raison de différences architecturales ; et une autre variante de Spectre pourrait être atténuée par des correctifs logiciels, avec “un impact négligeable sur les performances”.
ARM confirme que certains noyaux Cortex-A (A8, A9, A15, A17, A57, A72, A73 et A75), principalement utilisés dans les smartphones équipés de puces Qualcomm, MediaTek et Samsung, sont touchés, mais pas Cortex-M, axé sur l’internet des choses. La méthode “nécessite un logiciel malveillant s’exécutant localement et peut entraîner l’accès aux données à partir d’une mémoire privilégiée” selon l’ARM.
Oui, si je travaille à onze heures du soir, c’est parce que cette bagasse est sérieuse.
Mise à jour à 0h31.
