Plan du site  
pixel
pixel

Articles - Étudiants SUPINFO

Les failles de sécurité Meltdown et Spectre

Par Daniel HERRENSCHNEIDER Publié le 13/02/2018 à 18:59:19 Noter cet article:
(0 votes)
Avis favorable du comité de lecture

En ce début d’année, Google a révélé deux grandes failles de sécurité critiques qui touchent tous les processeurs Intel, AMD et ARM. Ces failles permettent d’accéder à des données confidentielles ou même exécuter des instructions étrangères. Cet article explique dans un premier temps les détails des deux failles puis les solutions pour s’en protéger.

Détails des failles

L’année dernière, en juin 2017, l’équipe de recherche ProjectZero de chez Google a découvert plusieurs failles de sécurité critiques. Ces derniers ont gardé l’information secrète pendant plusieurs mois travaillant avec les plus grands acteurs de la sécurité. Les failles Meltdown et Spectre n’ont été révélée au grand public que depuis le 3 janvier 2018. Mais en quoi consiste ces failles ?

Meltdown et Spectre sont des failles se situant au niveau des processeurs. Meltdown est une faille concernant que les processeurs Intel alors que Spectre concerne aussi les processeurs AMD et ARM. Ces deux failles détournent une fonctionnalité très utilisée, il s’agit de l’exécution out-of-order. Cette fonctionnalité permet de préparer les prochaines instructions du processeur pendant l’exécution d’une instruction. Les prochaines instructions sont stockées dans la mémoire cache du processeur. Les 2 failles arrivent à accéder à cette mémoire cache, ce que l’on croyait impossible.

La faille Meltdown consiste à récupérer l’intégralité de la mémoire cache, même ce qui devrait être inaccessible depuis le système d’exploitation. On peut accéder à un mot de passe en train d’être rentré par l’utilisateur et à d’autres données confidentielles. Tout cela est possible parce que la mémoire cache est non cryptée de base. Cette faille permet aussi d’exécuter directement des instructions étrangères, l’idéal pour un hacker.

La faille Spectre est un peu plus difficile à exploiter, mais elle reste redoutable. Avec cette faille, on peut aussi exécuter des instructions étrangères. Avec ces dernières, on peut notamment récupérer la mémoire cache du processeur comme la faille Meltdown mais l'accès est plus compliqué. En revanche, la faille permet d’accéder directement au contenu mémoire des autres processus, notamment des navigateurs internet. Ce qui fait que l’on peut quand même récupérer un mot de passe saisi par un utilisateur.

Les deux failles ne laissent aucunes traces, d’où l’importance de bien se protéger de ces failles.

Comment s'en protéger

Les protections ne sont pas encore parfaites à ce jour. Mais ne vous inquiétez pas, il existe des protections logicielles.

Concernant la faille Meltdown, il existe déjà des mises à jour. Pensez à faire des mises à jour de vos systèmes d’exploitation (Windows, Mac ou Linux) si elles ne sont pas automatiques (même Windows 7 a une mise à jour pour contrer cette faille). Mais ces mises à jour ont un coût. Elles réduiront les performances de votre processeur d'environ 5%, ce qui n’est pas remarquable pour le grand public mais notable pour les professionnels. Pour contrer ce risque de sécurité sans perte de performance, il faudra acheter des nouveaux processeurs Intel avec une conception intégrant mieux la sécurité.

Pour bloquer la faille Spectre, la correction matérielle n’est pas encore au point sur les nouveaux processeurs. Pour se protéger de cette faille, il faut mettre à jour les logiciels, principalement les navigateurs. Les dernières versions de Firefox et Chrome perdent très légèrement en performance mais elles sont protégées contre ce risque. Des nouvelles mises à jour arriveront pour concilier performance et sécurité. Il est aussi nécessaire de mettre à jour les outils de virtualisation, comme VMware.

Conclusion

Les failles Meltdown et Spectre sont des failles gigantesques pouvant provoquer d’énorme dégâts et leur utilisation reste invisible. Heureusement qu’il existe des mises à jour logiciel, mais les performances sont sacrifiées. Les prochaines mises à jour et prochains processeurs corrigeront tous ces problèmes. Ces failles soulèvent des questions troublantes notamment la question de l’importance de la sécurité pour les concepteurs des processeurs et de la sécurité générale des systèmes d’information.

Références

  • www.01net.com

  • www.macg.co

  • www.numerama.com

A propos de SUPINFO | Contacts & adresses | Enseigner à SUPINFO | Presse | Conditions d'utilisation & Copyright | Respect de la vie privée | Investir
Logo de la société Cisco, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société IBM, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Sun-Oracle, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Apple, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Sybase, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Novell, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Intel, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Accenture, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société SAP, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Prometric, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo de la société Toeic, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management Logo du IT Academy Program par Microsoft, partenaire pédagogique de SUPINFO, la Grande École de l'informatique, du numérique et du management

SUPINFO International University
Ecole d'Informatique - IT School
École Supérieure d'Informatique de Paris, leader en France
La Grande Ecole de l'informatique, du numérique et du management
Fondée en 1965, reconnue par l'État. Titre Bac+5 certifié au niveau I.
SUPINFO International University is globally operated by EDUCINVEST Belgium - Avenue Louise, 534 - 1050 Brussels