L’EPF révèle une faille dans l’architecture d’Intel
Des chercheurs de l'ETH Zurich ont découvert une grave faille de sécurité dans les processeurs Intel, qui permet d'accéder à des données sensibles au-delà des limites du processeur. La vulnérabilité affecte tous les processeurs Intel depuis 2018 et représente un risque sérieux pour les centres de données, les fournisseurs de cloud et les sites basés sur la technologie.
Le développement moderne d’un site repose sur des infrastructures numériques dont la sécurité est considérée comme allant de soi. Mais avec la découverte de la faille de sécurité « Branch Privilege Injection » par des chercheurs de l’ETH, il est clair que les risques liés aux technologies de CPU spéculatives sont plus graves que ce que l’on pensait. La vulnérabilité permet aux attaquants de lire les zones de mémoire privilégiées sur les processeurs partagés. Octets par octets, et ce à grande vitesse. Des millions de systèmes dans des centres de données privés et publics sont concernés dans le monde entier.
Une aubaine pour les performances, un risque pour la sécurité
L’origine de la vulnérabilité est un concept initialement introduit pour améliorer l’efficacité. Exécution spéculative. Le processeur calcule par anticipation des étapes de calcul, un mécanisme qui peut conduire à des erreurs d’autorisation à une cadence nanoseconde. Les attaquants utilisent ce que l’on appelle une condition de course dans le prédicteur de branche et passent ainsi outre les mécanismes de protection entre les différents utilisateurs.
Les environnements de cloud computing sont particulièrement exposés
La menace ne se limite pas aux appareils individuels. La vulnérabilité est particulièrement critique dans le cloud computing, où différents clients partagent les mêmes ressources matérielles. Le scénario d’attaque permet d’accéder aux zones de stockage d’autres utilisateurs. Un cauchemar pour tous ceux qui dépendent d’un stockage sécurisé des données. Le choix du site pour les entreprises numériques devient donc également une question d’architecture de sécurité informatique.
Faiblesse architecturale avec système
Depuis la découverte de Spectre et Meltdown en 2017, il est déjà clair que les exécutions spéculatives constituent un champ de mines en matière de sécurité. La faille actuelle s’inscrit dans une série de problèmes de conception systématiques. Kaveh Razavi, professeur à l’ETH, parle d’une erreur d’architecture fondamentale. De nouvelles voies d’attaque sont régulièrement découvertes et doivent être corrigées par des mises à jour de microcode coûteuses.