Meltdown et Spectre: Comment se protéger de ces deux nouvelles vulnérabilités qui font trembler le monde informatique

Récemment découverts, deux énormes vulnérabilités de processeurs appelés Meltdown et Specter ont pris d’assaut le monde entier.

Les problèmes s’appliquent à tous les processeurs modernes et affectent presque tous les systèmes d’exploitation (Windows, Linux, Android, iOS, macOS, FreeBSD, etc.), les smartphones et autres appareils informatiques fabriqués au cours des 20 dernières années.

Que sont Spectre et Meltdown?

En bref, Spectre et Meltdown sont les noms des vulnérabilités de sécurité trouvées dans de nombreux processeurs Intel, ARM et AMD qui pourraient permettre aux pirates de voler vos mots de passe, clés de chiffrement et autres informations privées/précieuses.

Les deux attaques abusent de l’exécution spéculative pour accéder à la mémoire privilégiée; y compris celles allouées au noyau à partir d’un processus utilisateur à faible privilège comme une application malveillante fonctionnant sur un périphérique.

Les deux attaques profitent d’une fonctionnalité dans les puces appelée «exécution spéculative», une technique utilisée par la plupart des processeurs modernes pour optimiser les performances.

Attaque Meltdown

Meltdown permet aux attaquants de lire non seulement la mémoire du noyau mais aussi toute la mémoire physique des machines cibles, et donc tous les secrets des autres programmes et du système d’exploitation.
« Meltdown est une attaque microarchitecturale liée qui exploite l’exécution dans le désordre afin de fuir la mémoire physique de la cible. »
Meltdown utilise l’exécution spéculative pour rompre l’isolation entre les applications utilisateur et le système d’exploitation, permettant à n’importe quelle application d’accéder à toute la mémoire système, y compris la mémoire allouée au noyau.
« Meltdown exploite une vulnérabilité d’escalade de privilèges spécifique aux processeurs Intel, en raison de laquelle les instructions exécutées de manière spéculative peuvent contourner la protection de la mémoire. »
Presque tous les ordinateurs de bureau, ordinateurs portables et cloud affectés par Meltdown.

Attaque Spectre

Spectre quant à lui n’est pas facile à corriger et va hanter les gens pendant un certain temps puisque ce problème nécessite des changements dans l’architecture du processeur afin de l’atténuer complètement.

L’attaque par spectre brise l’isolation entre différentes applications, permettant au programme contrôlé par l’attaquant de tromper les programmes sans erreurs en les forçant à accéder à des parties arbitraires de sa mémoire, qui peuvent ensuite être lues via un canal latéral.

Les attaques par spectre peuvent être utilisées pour transmettre des informations du noyau aux programmes utilisateur, ainsi que des hyperviseurs de virtualisation aux systèmes invités.

« En plus de violer les limites d’isolation de processus à l’aide de code natif, les attaques par Spectre peuvent également être utilisées pour violer le sandboxing du navigateur, en les montant via un code JavaScript portable.

Selon les chercheurs, cette vulnérabilité affecte presque tous les systèmes, y compris les ordinateurs de bureau, les ordinateurs portables, les serveurs cloud, ainsi que les smartphones alimentés par des puces Intel, AMD et ARM.

Ce que vous devez faire (Atténuation et correctifs)

De nombreux fournisseurs disposent de correctifs de sécurité pour l’une ou l’autre de ces attaques.

• Windows – Microsoft a publié une mise à jour de correctif (KB4056892) hors bande pour Windows 10, tandis que d’autres Windows 7 et 8 seront corrigées le mardi 9 janvier 2018 sur le Patch traditionnel. Mais si vous utilisez un logiciel antivirus tiers, il est possible que votre système n’installe pas les correctifs automatiquement. Par conséquent, si vous ne parvenez pas à installer la mise à jour de sécurité automatique, désactivez votre antivirus et utilisez Windows Defender ou Microsoft Security Essentials.

• MacOS – Apple a signifié dans son post, « Tous les systèmes Mac et les appareils iOS sont touchés, mais il n’y a pas d’exploits connus ayant un impact sur les clients en ce moment. »
  Pour aider à se défendre contre les attaques de Meltdown, Apple a déjà publié des atténuations dans iOS 11.2, macOS 10.13.2, et tvOS 11.2, a prévu de publier des atténuations dans Safari pour aider à se défendre contre Spectre dans les prochains jours.

• Linux – Les développeurs du noyau Linux ont également publié des correctifs pour le noyau Linux avec des versions incluant les versions 4.14.11, 4.9.74, 4.4.109, 3.16.52, 3.18.91 et 3.2.97, qui peuvent être téléchargées à partir de Kernel.org.

• Android – Les utilisateurs d’Android exécutant la dernière version du système d’exploitation mobile publiée le 5 janvier dans le cadre de la mise à jour de correctif de sécurité Android de janvier sont protégés, selon Google.
  Ainsi, si vous possédez un téléphone de marque Google, tel que Nexus ou Pixel, votre téléphone téléchargera automatiquement la mise à jour ou vous devrez simplement l’installer. Toutefois, les autres utilisateurs d’Android doivent attendre que les fabricants de leurs appareils lancent une mise à jour de sécurité compatible.
  Le géant de la technologie a également noté qu’il n’est pas au courant de l’exploitation réussie de Meltdown ou Specter sur les appareils Android basés sur ARM.

• Atténuation pour les utilisateurs de Chrome: Étant donné que cet exploit peut être exécuté via le site Web, les utilisateurs de Chrome peuvent activer la fonctionnalité d’isolation du site sur leurs appareils pour atténuer ces failles. Voici comment activer l’isolation du site sur Windows, Mac, Linux, Chrome OS ou Android:

1. Copiez chrome://flags/#enable-site-per-process et collez-le dans le champ URL situé en haut de votre navigateur Web Chrome, puis appuyez sur la touche Entrée.
2. Recherchez l’isolation stricte du site, puis cliquez sur la case Activer.
3. Une fois cela fait, appuyez sur Relancer maintenant pour relancer votre navigateur Chrome.

• Navigateur Web Firefox: Mozilla a publié la version de Firefox 57.0.4 qui inclut des atténuations pour les attaques de synchronisation de Meltdown et de spectre. Les utilisateurs sont donc invités à mettre à jour leurs installations dès que possible.
  « Comme cette nouvelle classe d’attaques implique de mesurer des intervalles de temps précis, nous réduisons ou réduisons la précision de plusieurs sources de temps dans Firefox, en tant qu’atténuation partielle et à court terme », a écrit Luke Wagner, ingénieur en logiciel Mozilla.

• VMware et Citrix: Leader mondial du cloud computing et de la virtualisation, VMware a également publié une liste de ses produits affectés par les deux attaques et les mises à jour de sécurité de ses produits ESXi, Workstation et Fusion pour corriger les attaques de Meltdown.
  D’un autre côté, un autre fournisseur de cloud computing et de virtualisation populaire, Citrix, n’a pas publié de correctifs de sécurité pour résoudre le problème. Au lieu de cela, l’entreprise a guidé ses clients et leur a recommandé de vérifier toute mise à jour des logiciels tiers pertinents.

Il n’y a pas de solution unique pour les deux attaques car chacune nécessite une protection indépendante.