Depuis mercredi, deux mots apparaissent sur les sites Web du monde entier, Meltdown et Spectre. Deux failles informatiques d’ampleur, qui ont été révélées au grand jour par un groupe de chercheurs en informatique.
Deux bugs critiques situés au niveau des processeurs de nos ordinateurs, smartphones et serveurs font trembler le monde de la cybersécurité depuis près de 5 jours maintenant.
Celles-ci toucheraient dans une très vaste mesure les processeurs de nos appareils, et particulièrement ceux fabriqués par le géant Intel depuis… peut-être dix ans. D’autres poids lourds du marché sont concernés, mais seulement par la faille Spectre : AMD, et les entreprises fabriquant des processeurs basés sur une architecture ARM. Sans ces puces, nous ne pourrions demander à nos ordinateurs ou smartphones d’exécuter des tâches et de stocker tout un tas de données. Elles sont en quelque sorte les cerveaux de nos machines.
Pour prendre un exemple plus concret, Meltdown et Spectre sont l’équivalent de petits tunnels creusés dans le mur d’une pièce supposée être sous haute sécurité. Cette pièce, c’est la chambre forte de notre maison, où l’on stocke notamment tout ce que l’on estime important et/ou sensible : mots de passe, fichiers cachés, documents personnels, informations bancaires… Le mur, lui, est en toute logique ce qui protège normalement toutes ces données sensibles. Les tunnels, enfin, permettent à quiconque de mal intentionné non seulement d’épier dans la pièce, mais aussi de s’y introduire pour y dérober dans la plus grande discrétion des choses qu’il juge de valeur, car exploitables. En langage informatique ces failles permettent l’accès à des informations stockées sur l’appareil ou le serveur, comme les mots de passe ou des clés de cryptage.
Heureusement que contrairement à Petya, et Wanacrypt, ces deux failles n’ont pas encore été utilisées par les pirates informatiques.
Certes, Meltdown et Spectre sont de même nature : il s’agit toutes deux de vulnérabilités hardware, en l’occurrence des processeurs. Mais elles sont différentes en plusieurs aspects.
Meltdown, elle, est relativement simple à exploiter. Elle ne concernerait que les processeurs produits par Intel. Techniquement, elle permet de fait “fondre” les protections entre les applications et le système d’exploitation (d’où son nom, de l’anglais to melt, fondre). Encore plus techniquement, on dit qu’elle offre la possibilité de dumper la mémoire de notre machine. “Mais pour cela, il faut tout de même que l’utilisateur accepte d’exécuter un code malveillant”, nuance Luis Delabarre. “Ce qui n’est pas si compliqué que ça, dans la mesure où ce code peut être dissimulé derrière une tâche en apparence anodine.”
Reprenons alors cette histoire de tunnel : une personne malintentionnée en a trouvé l’entrée et a compris qu’il donnait accès à notre chambre forte. Une fois dans la pièce, à nos côtés, cette même personne devra en revanche tâcher de ne pas se faire remarquer. Elle prendra alors la forme d’un interrupteur, que l’on allumera innocemment. Une fois libre d’agir à sa guise dans la pièce, elle dérobera ce qu’elle juge intéressant, et repartira par le passage. À l’heure actuelle, pour Meltdown, il existe déjà des patchs,
Pour Spectre, pas besoin d’ exécuter un code malveillant comme avec Melt pour accéder à nos données, soyez invisible comme un spectre. Sur le cloud par exemple un client douteux pourrait très bien exécuter en toute innocence une machine virtuelle pour exploiter la mémoire physique d’un serveur. Il récupérerait alors ce qu’il désire auprès des autres clients du serveur sans que personne ne s’en aperçoive. Toutefois, Spectre serait bien plus difficile d’accès que Meltdown, car beaucoup plus complexe.
Comme on le disait précédemment, De nombreux constructeurs (Microsoft, Amazon, Google, Mozilla, Apple…) diffusent depuis jeudi des correctifs pour atténuer les inquiétudes nées de la révélation de ces failles.
Rappelons que l’écrasante majorité des appareils électroniques et informatiques fabriqués ces dernières années dans le monde est équipée de puces de ce type. Selon certains experts, au sujet de la faille touchant la puce elle-même, physiquement, seul son remplacement par un micro-processeur conçu différemment permettrait de se prémunir durablement. Une perspective lourde de conséquences pour tout le secteur.