«Meltdown» et «Spectre». Des failles dans presque tous les processeurs

Le site The Register a annoncé que les puces Intel présentent un important problème de sécurité qui serait apparemment lié à une erreur de design au sein de la mémoire protégée du noyau.

De nombreux experts en cyber-sécurité affirment que ce problème de sécurité peut être une porte d’entrée qui permettrait à des programmes malveillants d'accéder à des informations dans la mémoire tampon du processeur et par répercution à l’ensemble de ses données (mots de passe, numéros de cartes bancaires etc.…).

Des milliards d’ordinateurs et de smartphones sont à priori affectés. Même s’ils ont voulu minimiser « les risques de piratage », certains fabricants de processeurs ont tout de même reconnu qu’ils pouvaient être vulnérables à une faille de sécurité. Cette annonce, qui ne devait être rendue publique que la semaine prochaine, a obligé les éditeurs de système d’exploitation à commencer à déployer des correctifs logiciels sans perdre de temps, qui malheureusement, risque de ralentir les machines. Alors, face aux fuites dans la presse, Intel et Google ont anticipé pour communiquer sur le sujet.

Google a confirmé sur son blog avoir découvert deux failles de sécurités, baptisées Meltdown et Spectre. Elles affectent le noyau du système d’exploitation et sa gestion mémoire et elles permettent de lire les mots de passe ou les clés de cryptage… D’après Google, les failles sont présentes sur les machines qui implémentent des puces de marques Intel, AMD et ARM et le géant du Web en aurait déjà informé les trois constructeurs le 1er juin 2017.

Une petite explication en vidéo vaut mieux qu’un grand discours...

Intel minimise l’impact en affirmant que même si elles peuvent permettre à des pirates d’accéder à des informations sensibles, les failles ne permettent pas de « corrompre, modifier ou effacer » des données stockées dans l’ordinateur. De son côté, ARM dit travailler avec Intel et AMD à la résolution du problème, alors même que le constructeur AMD, qui avait juré que ses puces n’étaient pas concernées, se rétracte en disant qu’il existait un risque, mais « quasi nul ». Malheureusement, il n’est pas possible de corriger ce défaut à l’aide d’une simple mise à jour du microcode, il faut que les constructeurs revoient physiquement les puces pour ajouter une fonction Kernel Page Table Isolation (KPTI).

Les clouds impactés

Apple, Microsoft et Google déploient déjà des mises à jour de leurs systèmes d’exploitation, mais selon « The Register », les modifications appliquées pourraient entraîner un ralentissement de nos ordinateurs allant de 5 à 30 %, selon les usages. Un impact important est donc attendu dans les datacenters et les fournisseurs de services cloud (Amazon EC2, Microsoft Azure, et Google Compute Engine).  Les hyperviseurs ne sont pas épargnés eux non plus car AWS a indiqué à ses clients qu’une opération de maintenance pour combler cette faille est programmée le vendredi 5 janvier 2018 sur ses hyperviseurs Xen.

Lire également cet article