DERNIERE MINUTE

DERNIERE MINUTE

Informatique : faut-il avoir peur de Spectre et Meltdown ?

Vous lisez:

Informatique : faut-il avoir peur de Spectre et Meltdown ?

Informatique : faut-il avoir peur de Spectre et Meltdown ?
Taille du texte Aa Aa

La révélation faite mardi par un groupe de chercheurs en sécurité informatique a de quoi faire frémir. En effet, selon ces experts, des défauts dans la conception de la majeure partie des processeurs de nos machines peuvent être exploités à des fins malveillantes, comme la captation de nos données les plus sensibles. Les puces Intel, AMD et ARM mises sur le marché depuis le milieu des années 90 sont affectées par ces failles de sécurité.

Les chercheurs à l’origine de cette découverte, des scientifiques de l’université de Graz en Autriche et des experts du Project Zero de Google, ont déniché précisément deux failles dans les processeurs produits depuis des dizaines d’années. 

La première baptisée “Meltdown” ne concerne que les puces Intel. La seconde, “Spectre”, en plus d’Intel touche également les microprocesseurs mis au point par AMD et ARM. Autant dire des millions de machines... Sans oublier celles où sont hébergées les innombrables informations stockées dans le "Cloud", ces espaces de stockage en ligne.

Contrairement aux cyberattaques classiques, qui exploitent des failles dans les logiciels, ici, c’est donc un des composants physiques qui est ciblé, le microprocesseur (CPU en anglais). Cette pièce, “cerveau” de tout système informatique, est capable d’effectuer des millions d’opérations par seconde afin de faire fonctoinner la machine ou les logiciels installés sur celle-ci. Une multitude d'informations circulent, donc, dans ce point névralgique. Et ce sont précisément ces informations, censées être en sécurité, qui peuvent être obtenues en exploitant les failles mises au jour dans les processeurs. 

Similarités et différences entre les deux failles

Si les deux failles que les pirates peuvent exploiter sont assez similaires, Meltdown est bien plus plus dangereux puisqu'il est possible d’accéder au kernel, le noyau du système d’exploitation (tous sont concernés : Windows, iOS, Linux, Android). Et en simplifiant très fortement, toutes les données sensibles (mots de passe, photos, etc.) peuvent être dérobées via des logiciels malveillants utilisant cette faille.

Spectre, potentiellement plus répandu, puisqu'il concerne aussi d'autres fondeurs comme AMD et ARM, ne permet pas d’accéder au kernel. Ce dernier reste protégé. Mais il est possible de mettre la main, sans autorisation, sur les données d'autres logiciels que le système d'exploitation.  

Pour comprendre la différence entre les deux problèmes mis en évidence, Daniel Gruss, expert en sécurité informatique, membre du groupe à l'origine de cette découverte, fait une analogie entre le risque qui pèse sur nos équipements informatiques et le vol à la tire :

"J'aime comparer Meltdown et Spectre avec une situation où je veux voler quelque chose à quelqu'un, comme un sac contenant de l'argent. Dans le cas de Meltdown,  j'attrape rapidement ce sac et je vole ainsi très vite l'argent qu'il contient. La personne que j'ai volée ne peut pas réagir. Pour Spectre, j'hypnotise la victime pour qu'elle me donne volontairement son sac avec l'argent. C'est pourquoi il est vraiment compliqué de se protéger, parce qu'il est impossible de protéger quelqu'un qui donne volontairement son argent. La seule solution : arrêter l'hypnose".

FailleMeltdownSpectre
Processeurs touchésIntelIntel, AMD, ARM
Danger pour les informations stockéesNoyau des OS (Windows, iOS, Linux, Android)Logiciels installés
Comment se prémunirPatchs à téléchargerPas de solution encore stable

Une autre différence de taille entre les deux failles est qu'il est beaucoup plus simple de contrecarrer Meltdown, contrairement à Spectre pour qui aucune solution fiable n'a été identifiée à ce jour.

Pour Meltdown, des correctifs ont donc déjà été proposés, des "patchs" que l'on peut télécharger. Mais selon certaines sources, une fois installés, ces derniers pourraient gréver les performances des machines, jusqu'à 30%. Ce qu'Intel a formellement démenti.

Spectre risque d'être plus retors. En effet, pour ce dernier, la faille identifiée dans les processeurs est beaucoup plus profonde. Le nom choisi pour la caractériser n'est pas anodin puisque selon les chercheurs "comme cette faille n'est pas facile à corriger, elle va nous poursuivre pour un bon moment."

Dans l’immédiat, les impacts de ces deux failles restent difficilement quantifiables. Les chercheurs à l'origine de cette découverte devaient la rendre publique le 9 janvier prochain. Mais des "fuites" les ont contraint à précipiter leur publication. Une publication qui fait perdre 5% à l'action d'Intel.

Meltdown en action