Meltdown et Spectre : 8 points essentiels pour protéger vos systèmes

Presque tous les ordinateurs et appareils dans le monde ont été exposés à des failles de sécurité les rendant vulnérables aux attaques. Heureusement, aucune fuite d'informations n'a été signalée à ce jour, mais les bugs découverts pourraient être considérés comme l'une des pires failles de sécurité dans les processeurs.

1. Quelles sont ces failles ?

Il existe deux failles de sécurité similaires, baptisées Meltdown et Spectre.

Meltdown

Une vulnérabilité matérielle affectant les ordinateurs de bureau, portables et serveurs fonctionnant sur des processeurs Intel. Elle brise l'isolation fondamentale entre le système d'exploitation et les applications utilisateur, permettant à un programme d'accéder à la mémoire et donc aux secrets d'autres programmes.

Plus précisément, Meltdown exploite les effets de bord de l'exécution hors ordre sur les puces modernes afin de lire des emplacements de mémoire du noyau arbitraires. L'attaque ne repose sur aucune vulnérabilité du système d'exploitation ou des logiciels.

Une fois l'appareil affecté, Meltdown peut lire la mémoire d'autres processus ou machines virtuelles dans le cloud sans aucun privilège ni autorisation utilisateur, touchant pratiquement tous les utilisateurs de PC.

Spectre

Sa portée est plus large. Il affecte les ordinateurs, tablettes et smartphones propulsés par Intel, AMD et ARM. Il peut briser l'isolation entre différentes applications et permettre aux attaquants de tromper des programmes sans erreur pour qu'ils divulguent leurs données privées.

Spectre exploite l'« exécution spéculative » utilisée dans presque toutes les puces modernes. Il incite le processeur à exécuter spéculativement des séquences d'instructions qui n'auraient pas dû s'exécuter lors d'une exécution correcte du programme.

Outre la violation des frontières d'isolation des processus via du code natif, les attaques Spectre peuvent également être utilisées dans du code JavaScript s'exécutant dans un navigateur afin d'accéder à la mémoire dans le processus de l'attaquant.

Les deux failles utilisent des canaux auxiliaires pour extraire les données des emplacements de mémoire accédés. En les comparant, Spectre est beaucoup plus difficile à exploiter que Meltdown, mais aussi plus difficile à atténuer.

2. Quel type d'informations est en danger ?

Ces bugs peuvent divulguer des mots de passe dans un navigateur ou un gestionnaire de mots de passe, des frappes au clavier, des messages instantanés, des e-mails, vos photos personnelles et des données critiques pour l'entreprise.

3. Quels systèmes sont affectés et quelle est l'ampleur ?

Comme mentionné ci-dessus, la faille Meltdown ne s'applique qu'aux processeurs Intel (pas AMD ou ARM). Les chercheurs l'ont testée sur des CPU sortis dès 2011. Théoriquement, chaque processeur Intel publié après 1995 est une cible. Intel estime que ces failles n'ont pas le potentiel de modifier, corrompre ou effacer des informations.

La faille Spectre, en revanche, est bien plus grave : elle peut nuire à tous les appareils fonctionnant sur des processeurs Intel, AMD et ARM. De plus, selon la conception et l'infrastructure des fournisseurs de cloud, il pourrait être possible de voler des données sensibles d'autres clients. Des services comme LXC, Docker et OpenVZ sont à risque.

Donc, si vous vous demandez si votre appareil est affecté par ces bugs, la réponse est : très certainement oui.

4. Comment protéger vos ordinateurs ?

Toutes les entreprises concernées travaillent à publier des correctifs dès que possible. Heureusement, des correctifs logiciels sont disponibles pour Meltdown. Google, Microsoft et Mozilla publient des correctifs pour leurs navigateurs comme première ligne de défense.

Voici les étapes rapides à suivre :

1. Mettez à jour vers la dernière version de Chrome (prévue pour le 23 janvier) et Firefox 57.
2. Assurez-vous d'avoir installé KB4056892 pour Windows 10.
3. Les utilisateurs de Linux peuvent consulter KAISER.
4. Consultez le site du fabricant (OEM) pour les mises à jour de firmware et les informations de support, et appliquez-les rapidement.

Google indique avoir corrigé les problèmes pour ses appareils Android (Nexus et Pixel) avec les dernières mises à jour de sécurité.

Les chercheurs travaillent également à trouver une solution permanente contre l'exploitation future de Spectre. Comme ce n'est pas facile à corriger, cela va nous hanter pendant un certain temps.

5. Le correctif va-t-il ralentir votre appareil ?

Malheureusement, la réponse est oui. Certains chercheurs ont affirmé que tout correctif pourrait ralentir votre appareil jusqu'à 30 %. Cependant, Intel considère ces affirmations comme surestimées. Selon Intel, tout impact sur les performances dépend de la charge de travail ; pour les utilisateurs moyens, l'impact ne devrait pas être significatif.

Cela signifie que si vous utilisez votre ordinateur pour consulter vos e-mails et naviguer sur le web, vous ne ressentirez aucune différence.

6. Comment l'industrie technologique et le marché ont-ils réagi ?

Ce sont probablement l'un des pires bugs de processeur jamais découverts, et c'est un énorme enjeu pour toute l'industrie technologique. Elle devra repenser les systèmes d'exploitation et modifier l'architecture des processeurs.

Google a déclaré avoir informé les entreprises concernées du bug Spectre en juin 2017, puis du bug Meltdown en juillet.

En novembre 2017, le PDG d'Intel, Brian Krzanich, a vendu pour 24 millions de dollars d'actions. BusinessInsider a rapporté qu'il était au courant de la vulnérabilité des puces lorsqu'il a vendu ses parts.

Ces bugs font chuter l'action d'Intel, tandis que celle de son rival AMD s'envole.

Puisque Spectre et Meltdown révèlent des failles fondamentales dans la structure des processeurs informatiques, il y aura un impact sérieux et une remise en question sur la façon dont une telle technologie est développée à l'avenir.

7. Qui a signalé ces bugs ?

La faille Meltdown a été découverte et signalée par 3 équipes : des chercheurs de Cyberus Technology, de l'Université de technologie de Graz et de Google Project Zero.

Les mêmes chercheurs de Google Project Zero et de l'Université de technologie de Graz ont découvert et signalé Spectre.

8. Références officielles

Le CVE (Common Vulnerabilities and Exposures) est la norme pour les vulnérabilités de sécurité de l'information ; leurs noms et ID sont répertoriés dans le système MITRE et dans la base de données nationale des vulnérabilités des États-Unis.

La référence officielle pour Meltdown est CVE-2017-5754, tandis que pour Spectre, ce sont CVE-2017-5715 et CVE-2017-5753.