Meltdown et Spectre: Une faille qui affecte les processeurs Intel, ARM et AMD

Divulgués récement par Google Project Zero, ces vulnérabilités affectent potentiellement tous les principaux processeurs, y compris ceux d’AMD, ARM et Intel indépendamment du système d’exploitation. Ces vulnérabilités matérielles ont été classées en deux attaques, nommées Meltdown (CVE-2017-5754) et Spectre (CVE-2017-5753 et CVE-2017-5715), qui pourraient permettre aux pirates de dérober des données sensibles qui sont actuellement traitées sur l’ordinateur.

Les deux attaques profitent d’une fonctionnalité dans les processeurs appelée «speculative execution», une technique utilisée par la plupart des processeurs modernes pour optimiser les performances.

Pour améliorer les performances, de nombreux processeurs peuvent choisir d’exécuter de manière spéculative des instructions basées sur des hypothèses considérées comme vraies. Lors de l’exécution spéculative, le processeur vérifie ces hypothèses, si elles sont valides, alors l’exécution continue. Si elles sont invalide, alors l’exécution est déroulée, et le chemin d’exécution correct peut être démarré en fonction des conditions réelles

Meltdown

https://www.youtube.com/watch?v=bReA1dvGJ6Y

Meltdown permet aux attaquants de lire non seulement la mémoire du noyau mais aussi toute la mémoire physique des machines cibles, et donc tous les secrets des autres programmes et du système d’exploitation.

Meltdown utilise l’exécution spéculative pour rompre l’isolation entre les applications utilisateur et le système d’exploitation, permettant à n’importe quelle application d’accéder à toute la mémoire système, y compris la mémoire allouée au noyau .

Spectre

Cette attaque brise l’isolation qui existe entre les différentes applications, permettant au programme contrôlé par l’attaquant de tromper les programmes sans erreurs en les forçant à accéder à des parties arbitraires de sa mémoire, qui peuvent ensuite être lues via un canal latéral. Il peut être utilisé pour transmettre des informations du noyau aux programmes utilisateur, ainsi que des hyperviseurs de virtualisation aux systèmes invités.

En plus de violer les limites d’isolation de processus à l’aide de code natif, les attaques de Spectre peuvent également être utilisées pour violer le sandboxing du navigateur, en les montant via un code JavaScript portable.

Selon les chercheurs, cette vulnérabilité affecte presque tous les systèmes, y compris les ordinateurs de bureau, les ordinateurs portables, les serveurs cloud, ainsi que les smartphones alimentés par des puces Intel, AMD et ARM.

Un correctif qui va ralentir les ordinateurs

Il s’avère que cette mise à jour des systèmes d’exploitation pourrait ralentir les performances du CPU de 5 à 30 % selon l’âge de la machine. Linux a déjà eu droit à un patch et celui pour Windows devrait arriver la semaine prochaine. Apple, de son côté, n’a pas encore officiellement réagi. On ne sait pas encore dans quelle mesure les ordinateurs concernés seront ralentis. L’attention se porte désormais sur Intel, qui devrait détailler dans les prochains jours les conséquences de la correction de cette faille sur les performances de ses puces.

Les conséquences risquent d’être nombreuses et douloureuses. Outre les particuliers, dont certain vont voir les performances de leurs machines baisser d’un tier, ce sont également les data center qui vont être touchés. La grande majorité d’entre eux tournent en effet à l’aide de processeur Intel. Il est tout à fait possible que les services en ligne ou dans le Cloud soient ralentis ou moins performants dans les prochains jours.

Intel est cependant dans l’impossibilité de corriger lui-même cette faille. Pour préserver la sécurité des utilisateurs, ce sont les éditeurs de système d’exploitation qui vont devoir mettre à jour le noyau de leur OS.

Ce que vous devez faire: Atténuation et correctifs

De nombreux fournisseurs disposent de correctifs de sécurité pour ces 2 attaques.

• Windows - Microsoft a publié une mise à jour de correctif hors bande pour Windows 10, tandis que d’autres versions de Windows seront corrigées le mardi 9 janvier 2018 sur le Patch traditionnel.
• MacOS - Apple avait déjà corrigé la plupart de ces failles de sécurité dans macOS High Sierra 10.13.2 le mois dernier, mais MacOS 10.13.3 améliorera ou complétera ces atténuations.
• Linux - Les développeurs du noyau Linux ont également publié des correctifs en implémentant l’isolation de la table de pages du noyau (KPTI) pour déplacer le noyau dans un espace d’adressage entièrement séparé.
• Android - Google a publié des correctifs de sécurité pour les utilisateurs de Pixel / Nexus dans le cadre de la mise à jour de correctif de sécurité Android de janvier.Les autres utilisateurs doivent attendre que leurs fabricants d’appareils publient une mise à jour de sécurité compatible.

Atténuation pour les utilisateurs de Chrome

Étant donné que cet exploit peut être exécuté via le site Web, les utilisateurs de Chrome peuvent activer la fonctionnalité d’isolation de site sur leurs appareils pour atténuer ces failles.

Voici comment activer l’isolation du site sur Windows, Mac, Linux, Chrome OS ou Android:

• Copiez chrome://flags/#enable-site-per-process et collez-le dans le champ URL situé en haut de votre navigateur Web Chrome, puis appuyez sur la touche Entrée.
• Recherchez l’isolation stricte du site, puis cliquez sur la case Activer.
• Une fois cela fait, appuyez sur Relancer maintenant pour relancer votre navigateur Chrome.

Il n’y a pas de solution unique pour ces deux attaques car chacune nécessite une protection indépendante.