Spectre et Meltdown : explication technique des 3 failles de sécurité et des mesures correctives

meltdown-spectre-intel
Depuis le 3 janvier 2018, les spĂ©cialistes de la sĂ©curitĂ© informatique n’ont que deux mots sur le bout de la langue : Meltdown et Spectre. En quoi consistent ces failles et peut-on s’en protĂ©ger ?

Au coeur de Meltdown, l’« l’exĂ©cution spĂ©culative »

L’existence de ces failles n’aurait pas dĂ» ĂȘtre dĂ©voilĂ©e au grand jour avant le 9 janvier 2018, mais comme cela se passe souvent dans le monde de l’informatique, l’information a rĂ©ussi Ă  passer entre les mailles du filet, que les grandes entreprises le veuillent ou non. Depuis le 3 janvier 2018, le monde n’arrĂȘte pas de parler de deux failles critiques, surnommĂ©es respectivement Meltdown et Spectre.

Ces failles, dĂ©couvertes par trois Ă©quipes de chercheurs travaillant indĂ©pendamment les unes des autres, sont trĂšs significatives dans la mesure oĂč elles concernent non pas des logiciels mais les processeurs eux-mĂȘmes. La premiĂšre, Meltdown, concerne « l’exĂ©cution spĂ©culative », Ă  savoir le procĂ©dĂ© durant lequel le processeur calcule proactivement diffĂ©rents scĂ©narios qu’il pourrait ĂȘtre amenĂ© Ă  exĂ©cuter. À la diffĂ©rence des Ă©changes « normaux » entre les logiciels et le processeur, soumis Ă  une vĂ©rification des droits d’accĂšs, les droits d’accĂšs ne sont pas contrĂŽlĂ©s lors de « l’exĂ©cution spĂ©culative » : il suffit d’Ă©crire un exploit, et l’ensemble des donnĂ©es de ce type transitant entre le processeur et les logiciels peuvent ĂȘtre captĂ©es.

Spectre, une version Big Brother de Meltdown

La vulnĂ©rabilitĂ© Spectre, quant Ă  elle, n’implique pas l’accĂšs au kernel (le « saint des saints d’un systĂšme d’exploitation »), mais permet Ă  toute personne ayant saisi un code spĂ©cifique d’accĂ©der Ă  l’ordinateur avec les privilĂšges Administrateur. En combinant ensuite l’exĂ©cution spĂ©culative et la « prĂ©diction de branchements » (une crĂ©ation prĂ©alable de consignes, dont chacune peut ĂȘtre dĂ©clenchĂ©e Ă  la suite d’un choix fait par l’utilisateur), il est donc possible de capter lĂ  aussi la quasi-totalitĂ© des donnĂ©es sur un ordinateur en utilisation.

Afin de permettre aux fabricants de processeurs et Ă©diteurs de logiciels de concevoir des « patchs », Intel (touchĂ© au premier chef), Firefox et Google, entre autres, ont convenu de ne pas diffuser des informations sur ces familles avant le 9 janvier, mais l’une des Ă©quipes qui les avaient identifiĂ©es les a devancĂ©s en expliquant le tout sur son propre site.

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Vous pouvez utiliser ces balises et attributs HTML : <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>