Meltdown et Spectre, deux failles qui font trembler le monde informatique au niveau mondial.
Ces deux failles visent les microprocesseurs, les composants physiques de votre ordinateur, votre smartphone, votre console. Meltdown et Spectre permettraient, pour celui qui connait la technique, d’infiltrer n’importe quel machine sous processeurs Intel. Le pirate est ainsi, capable de lire les données qui transitent par les puces de votre machine. Cela vise aussi bien les machines sous Windows, Linux ou les OS d’Apple. Les processeurs AMD et ARM sont aussi concernés. (Bref, tout le monde !)…
Meltdown, est une variante de Spectre qui ne touche que les puces Intel, confirme le Projet Zero, le groupe d’experts en sécurité informatique de Google.
Spectre vise l’ensemble des puces AMD et ARM. La vulnérabilité peut tromper les applications vulnérables et faire fuiter le contenu de leur mémoire. Si le premier “bug” possède un correctif, Spectre n’a pour le moment aucun correctif de disponible. Celui-ci peut être exploité via JavaScript et WebAssembly ce qui le rend encore plus critique.
Meltdown ou Spectre : comment s’en prémunir ?
Il est recommandé d’appliquer les mesures de mises à jour critiques, sans délai. sous Chrome, l’isolation du site. Mozilla Firefox déploie actuellement un correctif pour atténuer le problème tout en travaillant sur une solution à long terme. Microsoft fait des choses similaires pour Edge et Internet Explorer.
Le problème principal provient donc d’un défaut de conception des microprocesseurs qui peut permettre à des attaquants de vider le contenu de la mémoire de n’importe quel périphérique (Ordinateur personnel, smartphone, serveur cloud, etc.) en exposant les mots de passe et autres données sensibles.
Se protéger de Meltdown et Spectre sur Windows
Microsoft a déjà commencé à déployer une mise à jour de sécurité pour Windows. Toutefois, de nombreux antivirus continuent de la considérer comme malveillante ce qui empêche son installation. Le document de Microsoft continue d’être mis à jour avec la liste des antivirus compatibles. Pour les autres, il faut attendre que des collaborations avec Microsoft soient faites.
Pour vérifier que la mise à jour est installée, recherché dans la liste des mises à jour effectuées celle qui est estampillée KB4056892.
Vérifiez également que votre navigateur est à jour car il s’agit de la première protection contre les failles Meltdown et Spectre. Pour Mozilla Firefox, l’éditeur assure que la toute dernière version 57 contient déjà un correctif. Du côté de Microsoft, Internet Explorer et Microsoft Edge sont également protégées. En ce qui concerne la version 64 de Chrome, un correctif devrait être déployé autour du 23 janvier.
Enfin, vérifiez que les différents pilotes de votre ordinateur sont à jour : BIOS, carte mère…
A noter que ces mesures ne permettent que de se prémunir de la faille Meltdown. Spectre nécessite davantage de recherches et semble plus difficile à colmater.
Se protéger de Meltdown et Spectre sur Mac
Apple a récemment communiqué sur le sujet et a expliqué sur tous les appareils tournant sous macOS et iOS étaient concernés par les failles. Toutefois, la firme de Cupertino s’est montrée particulièrement réactive puisque Meltdown a déjà été corrigé via les mises à jour d’iOS 11.2, macOS 10.13.2 et tvOS 11.2. macOS Sierra et El Capitan ont également reçu des correctifs.
Les ordinateurs, iPhone et iPad tournant sous des versions antérieures ne sont pas protégés et le navigateur Safari n’a reçu aucun patch récent. Tout comme chez Microsoft, la faille Spectre est toujours d’actualité sur les appareils d’Apple et aucun correctif n’est disponible pour l’instant.
DxP pour Docline Xerox
Lire également :
SAN FRANCISCO (awp/afp) – Amazon, Google, Apple… : alors que la liste des géants technologiques touchés par deux failles de sécurité majeures -« Spectre » et « Meltdown »- s’allonge depuis mercredi, la course est lancée pour limiter les risques, qui restent très difficiles à évaluer.
Aucun piratage via ces failles -qui touchent les micro-processeurs, pièce centrale des systèmes électroniques- n’a pour l’instant été recensé où que ce soit mais le casse-tête est énorme pour le secteur technologique car ces puces potentiellement vulnérables équipent la quasi totalité des appareils électroniques et informatiques (ordinateurs, serveurs, smartphones…) fabriqués ces dernières années dans le monde.
Apple est la dernière grosse firme en date à avoir confirmé que ses produits étaient eux-aussi concernés (à l’exception de la montre Apple Watch): « tous les systèmes Mac et appareils (mobiles) iOS sont affectés », a fait savoir la firme à la pomme, dont les appareils sont généralement réputés pour leur sécurité.
« Spectre » et « Meltdown » concernent la quasi totalité des micro-processeurs fabriqués ces dix dernières années par les entreprises Intel, AMD et ARM. Aucun ordinateur, smartphone ou tablette ne pourrait fonctionner sans ces composants miniaturisés, sorte de centres nerveux qui exécutent les programmes informatiques.
Cela distingue ces deux failles des alertes de sécurité plus classiques, qui concerne généralement du « software », des logiciels, et non du « hardware », les pièces composant les appareils.
« Spectre » et « Meltdown » peuvent en théorie permettre d’accéder au « noyau » d’un système d’exploitation informatique, « exposant ainsi les informations critiques qui y seraient stockées », par exemple des mots de passe, explique dans une note Chris Morales, chef de l’analyse sécurité pour l’entreprise de cybersécurité américaine Vectra Networks.
Luke Wagner, ingénieur logiciel chez Mozilla, explique que la faille permettrait « à partir d’un contenu internet de venir lire les informations privées ».
Les grands noms du secteur technologique, tels Amazon, Google, Microsoft, Cisco ou encore Mozilla (Firefox), se sont donc lancés dans une course contre la montre pour limiter la casse, en annonçant la mise en place de correctifs logiciels.
Les fabricants de micro-processeurs, à commencer par le géant américain Intel, mais aussi ses concurrents AMD ou ARM, ont évidemment eux aussi commencé à diffuser des mises à jour de sécurité, Intel promettant en particulier pour la semaine prochaine des mises à jour « pour plus de 90% de (ses) processeurs sortis ces cinq dernières années ».
Pour éviter toute possibilité de piratage, Apple de son côté « conseille de ne télécharger des applications que depuis des sites sûrs, comme l’App Store ». Le groupe précise avoir lui aussi diffusé des correctifs pour limiter l’impact possible de la faille « Meltdown » et en annonce d’autres prochainement.
Des failles difficiles à exploiter
Selon certains experts, même si les correctifs sont efficaces pour limiter les risques, seul le remplacement du micro-processeur permettrait de se prémunir durablement, une perspective lourde de conséquences pour tout le secteur.
Ceci étant, expliquent-ils également, un piratage de ces processeurs exige un niveau technique très élevé, ce qui selon eux limite les risques.
L’agence américaine en charge de la cybersécurité (CERT) a indiqué « ne pas avoir connaissance » jusqu’ici de tentatives de piratage utilisant « Spectre » et « Meltdown ».
L’autorité allemande en charge de la sécurité informatique (BSI) n’a, elle non plus, pas constaté à ce jour d' »exploitation active » de ce problème de sécurité, mais a néanmoins recommandé aux acteurs du secteur de se protéger « le plus rapidement possible ».
Pour autant, Intel fait déjà l’objet de plaintes de consommateurs dans trois Etats américains, notamment en Californie, accusant le groupe de tromperie. Dans le système américain, pour être considérée comme recevable, une plainte déposée en « nom collectif » doit être validée comme telle par un juge.
L’alerte s’est doublée vendredi d’interrogations au sujet de ventes d’actions par le patron d’Intel.
Les chercheurs de Google ont indiqué avoir prévenu Intel (ainsi qu’AMD et ARM) de ces failles en juin 2017. Or au quatrième trimestre 2017, le PDG du groupe, Brian Krzanich, a vendu près de 900.000 actions Intel, abaissant de moitié sa participation au capital du groupe, selon l’agence financière Bloomberg.
Cette vente « n’a pas de lien » avec l’affaire des failles de sécurité, a assuré à Bloomberg un porte-parole de la société, assurant que M. Krzanich avait exercé des options selon un calendrier établi à l’avance, et automatisé.
L’action Intel a repris un peu de terrain en Bourse vendredi à New York, reprenant 0,70% après avoir nettement reculé mercredi et jeudi.
Voir également les cours de bourse des acteurs informatique.
