Spectre et Meltdown à l'attaque de vos données
La faille qui a été annoncée mardi est du jamais-vu dans l'histoire de la cybersécurité. Elle concerne l'ensemble des ordinateurs de la planète, qu'il s'agisse de PC, de Mac ou de serveurs. Elle ne peut être facilement corrigée par une mise à jour logicielle car elle vient du processeur au coeur des machines.
Etienne Henri | La Quotidienne | 08 Janeiro 2018
L'année débute à peine et le monde de l'informatique est déjà en ébullition. Fondeurs de processeurs, gestionnaires de parcs informatiques, administrateurs de sites web et acteurs du cloud sont sur la brèche depuis le 3 janvier.
La raison? Une faille informatique géante dont l'annonce a sidéré l'ensemble de l'industrie. Des chercheurs en cybersécurité ont publié en début de semaine des informations sur une nouvelle faille. Jusqu'ici, rien d'alarmant: ces publications fréquentes de la part de ces hackers sont pour la bonne cause. Généralement, les failles se règlent avec des mises à jour logicielles (les fameux correctifs de sécurité qu'il est recommandé d'appliquer immédiatement). Parfois, ce sont des éditeurs de logiciels comme Adobe qui sont contraints de mettre à jour leurs applications.
Parfois, les failles concernent l'ensemble des utilisateurs d'un système d'exploitation comme Windows et MacOs. Dans ces cas les plus graves (car concernant des centaines de millions de postes), les mises à jour sont préparées au plus vite et appliquées silencieusement aux ordinateurs connectés à Internet.
L'annonce publique d'une faille est par conséquent habituellement synonyme de soulagement. Elle signifie que la faille a été identifiée, qu'un correctif est prêt, et que plus personne ne pourra s'en servir pour s'introduire dans les systèmes informatiques.
Ce scénario idéal n'a pas eu lieu cette semaine.
Quand toute l'industrie informatique tremble
La faille qui a été annoncée mardi est du jamais-vu dans l'histoire de la cybersécurité. Elle concerne l'ensemble des ordinateurs de la planète, qu'il s'agisse de PC, de Mac ou de serveurs. Elle ne peut être facilement corrigée par une mise à jour logicielle car elle vient du processeur au coeur des machines.
Pire encore, elle est liée à la conception-même des puces qui équipent les systèmes informatiques modernes. Intel, AMD, ARM : aucune architecture matérielle n'est épargnée. Aucun utilisateur non plus.
La faille présente sur les processeurs a ouvert deux trous de sécurité distincts, poétiquement nommés Spectre et Meltdown. Ils mettent à mal toutes les protections modernes contre les cyber-intrusions.
La fin du secret des données
Dans un ordinateur moderne, chaque programme n'a (normalement) accès qu'à ses propres données. Ce cloisonnement de l'information est absolument vital pour assurer la sécurité de vos données confidentielles.
Lorsque vous vous connectez sur le site de votre banque en ligne, votre mot de passe n'est visible que de votre navigateur Web. A contrario, votre navigateur ne sait pas si vous êtes en train de regarder des photos ou de remplir votre déclaration d'impôts sur un autre logiciel.
Les systèmes d'exploitation s'assurent que chaque logiciel n'a accès qu'aux données nécessaires, et à rien de plus.
C'est ce mécanisme de protection de l'information qui permet de savoir qu'un logiciel de Sudoku téléchargé un peu au hasard sur Internet ne pourra pas vous voler vos mots de passe bancaires. C'est ce même mécanisme qui rend les virus informatiques si durs à programmer : ils doivent contourner péniblement ces protections pour pouvoir espérer accéder aux informations au cas par cas.
Souvent, les virus ne fonctionnent que dans des situations très particulières : sur un système d'exploitation donné avec telle et telle applications installées.
Si l'informatique n'a jamais été inviolable, entrer de force dans des ordinateurs modernes demandait depuis quelques années des moyens importants.
Spectre et Meltdown permettent de contourner cette protection de l'information. Autrement dit, n'importe quel programme informatique malveillant qui embarquerait ces techniques pourrait accéder à l'ensemble des informations stockées sur l'ordinateur.
Pire encore, les chercheurs ont prouvé qu'il était possible d'utiliser ces failles depuis une page Web.
Tant que ces failles ne seront pas corrigées, une simple navigation sur Internet pourra conduire à l'infection d'une machine.
La cavalerie ne viendra pas pour Spectre et Meltdown
La gravité de ces failles n'est que leur moindre défaut. L'inquiétude généralisée vient du fait qu'aucun correctif ne sera disponible à court terme. Si la faille a été annoncée cette semaine, les grands acteurs de l'informatique mondiale travaillent dessus en secret depuis l'été dernier.
En plus de six mois, seules des "atténuations de risque" (sic) ont pu être proposées par les constructeurs.
Les failles étant, comme je vous le disais, liées au fonctionnement même des processeurs, il n'est absolument pas garanti que les machines actuelles puissent en être débarrassées un jour.
Plus embêtant encore, ces failles existent parce que les processeurs possèdent des optimisations pour améliorer leur rapidité.
Comme je vous le disais dans la Quotidienne dédiée à la 3D XPoint, les processeurs passent généralement le plus clair de leur temps à attendre. Pour ne pas s'ennuyer, ils effectuent des calculs "au hasard" dont ils gardent le résultat s'il est intéressant pour la suite des opérations.
En pratique, ces calculs prédictifs augmentent les performances des processeurs modernes d'environ 30%.
Si Intel et les autres fondeurs veulent proposer dans le futur des puces exemptes de ce défaut, une perte de puissance de calcul de cet ordre de grandeur est à craindre. Même les mesures d'atténuation de risque proposées par les constructeurs (qui sont, je le rappelle, imparfaites) conduisent déjà à des ralentissements de l'ordre de 10% sur certains logiciels.
Cette perte de puissance peut être tolérable pour des particuliers; elle ne le sera pas pour les grosses infrastructures où la puissance de calcul coûte cher.
Le cloud dans la tourmente
S'il est possible que les mesures correctives soient considérées comme présentant un risque acceptable pour les ordinateurs personnels, il n'en sera pas de même pour les gros data centers.
La plupart des hébergeurs fonctionnent sur un modèle de machines virtuelles, ou de nombreux services du cloud se partagent un même ordinateur physique. Avec Meltdown etSpectre, il va devenir trivial d'accéder à l'ensemble de la mémoire des data centers.
Imaginez qu'un individu malintentionné soit hébergé sur le même data center qu'une banque, un service de rencontre discrètes ou un espace de stockage d'informations industrielles sensibles ? Les opérateurs de data centers ne peuvent pas prendre le risque d'une perméabilité des données entre leurs différents clients.
Il faudra rétablir au plus vite la séparation des données, et cela se fera au prix d'une coûteuse réduction des performances — et peut-être même d'un remplacement total des machines concernées.
Quelles conséquences pour les fondeurs?
Suite à l'annonce de la faille, les yeux se sont évidemment tournés vers les fondeurs, Intel en tête. Brian Krzanich, le PDG du groupe, a eu la mauvaise idée de liquider la moitié de ses actions Intel et d'exercer ses stock-options en novembre. Il s'est en fait délesté du maximum possible, selon le Financial Times.
Un tel geste alors qu'Intel travaillait depuis près de quatre mois sur cette faille historique sans que le public ne soit encore au courant va certainement attirer la suspicion de la SEC, le gendarme de la Bourse américain. Même si la manoeuvre n'est finalement pas jugée illégale, elle reste de mauvais goût alors que le PDG ne pouvait ignorer la tempête qui se profilait.
Pourtant, difficile de dire aujourd'hui les conséquences qu'aura la nouvelle sur la santé d'Intel. Côté pile, l'ensemble du parc informatique mondial doit être renouvelé pour éliminer totalement le risque. L'effet d'aubaine est évident pour Intel, AMD et consorts.
Côté face, les fondeurs ne sont pas à l'abri d'actions en justice colossales. La mise en danger des données de l'ensemble de la planète va certainement donner des idées à nombre de cabinets d'avocats. Il existe donc un risque juridique encore difficile à évaluer.
Les grands gagnants seront les sociétés de cybersécurité. Leurs experts vont être submergés de travail dans les prochains mois pour tenter de limiter au maximum le risque causé par cette faille structurelle – en attendant que les fondeurs ne nous proposent une nouvelle architecture de processeurs.
Sem comentários:
Enviar um comentário