Spectre, encore une fois. Parce que nous savons que vous l'avez manqué...

Spectre et son cousin Meltdown sont parmi nous depuis 2018, et on pourrait penser que nous avons entendu tout ce qu'il y a à entendre sur ces vulnérabilités. Mais, nous voilà avec un autre billet sur Spectre.

Pourquoi Spectre continue-t-il à faire son apparition ? Le problème avec Spectre est que la vulnérabilité est essentiellement si large qu'elle équivaut à une catégorie de vulnérabilités plutôt qu'à une seule vulnérabilité.

De nouvelles versions de Spectre continuent d'apparaître - nous avons signalé au début de 2021 comment un nouveau code d'exploitation de Spectre était apparu dans un dépôt public.ainsi que sur deux CVE qui ont été enregistrées en raison de ce code.

Ainsi, avec cet article, nous abordons une autre nouvelle variante de Spectre. Nous vous expliquerons comment elle fonctionne, y compris le débat autour de la réponse d'Intel jusqu'à présent. Nous abordons également les points clés auxquels vous devez penser pour protéger vos opérations contre Spectre au sens large, ainsi que contre la dernière variante.

Sommaire :

1. Spectre et Meltdown - une mise au point
2. Comment fonctionne Spectre ?
3. Quelle est l'histoire derrière la dernière variante de Spectre... ?
4. ...Et qui est censé le réparer ?
5. Intel dit que ce n'est pas à eux de le faire
6. Est-ce juste une question de codage correct ?
7. Comment protéger votre charge de travail contre Spectre

Spectre et Meltdown - une mise au point

Les processeurs d'aujourd'hui s'appuient sur des algorithmes d'efficacité complexes pour améliorer leurs performances. L'un de ces algorithmes est l'exécution spéculative.

Pour simplifier, l'exécution spéculative consiste pour un processeur à effectuer un travail dont il pense qu'une application peut avoir besoin, sans savoir avec certitude si ce travail sera nécessaire. S'il s'avère que le travail était nécessaire, les résultats sont disponibles plus rapidement, ce qui accélère l'application. Dans le cas contraire, les résultats sont tout simplement rejetés.

En fait, l'exécution spéculative est un élément essentiel des processeurs modernes. Mais, il s'avère que l'exécution spéculative a des conséquences inattendues, et c'est là que Spectre entre en jeu. En 2018, une façon dont les acteurs malveillants peuvent abuser de l'exécution spéculative a été mise en lumière et a rapidement suscité une énorme inquiétude dans la communauté technologique.

COMMENT FONCTIONNE LE SPECTRE ?

Nous n'allons pas entrer dans les détails du fonctionnement de Spectre, ce guide de TechRepublic est un bon début.. En outre, chaque exploit Spectre fonctionne différemment. Mais, dans l'ensemble, Spectre et les exploits connexes manipulent les processeurs pour qu'ils aient accès aux données "rejetées" de l'exécution spéculative, ce qui signifie qu'un acteur malveillant peut indirectement avoir accès à des données non autorisées.

L'un des aspects "positifs" de Spectre est qu'il est assez difficile de concevoir une exploitation de Spectre - il est difficile d'essayer de concevoir une attaque par exécution spéculative dans le but de voler quelque chose de spécifique. Néanmoins, les pirates peuvent exploiter les vulnérabilités liées à Spectre pour essayer de siphonner des données qui peuvent s'avérer utiles ou non.

Cependant, un aspect inquiétant de Spectre est que même les données cryptées sont vulnérables à une attaque Spectre, car ces données peuvent être capturées dans leur état non crypté pendant qu'elles sont traitées par le processeur.

Au fur et à mesure que l'on en sait plus sur Meltdown et Spectre, divers correctifs ont été publiés pour atténuer les exploits dont les experts en sécurité avaient connaissance, même si aucun correctif n'a pu atténuer complètement toutes les vulnérabilités liées à Spectre. Une fois encore, cela s'explique par le fait que Spectre repose essentiellement sur un inconvénient de l'exécution spéculative plutôt que sur un bug en tant que tel.

QUELLE EST L'HISTOIRE DERRIÈRE LA DERNIÈRE VARIANTE DU SPECTRE... ?

Inutile de dire qu'un autre exploit Spectre a émergé - cette fois en mai 2021. Vous pouvez lire l'article complet d'Ars Technica ici.mais jetons tout de même un coup d'œil à certains des points clés. Tout d'abord, oui, il s'agit bien d'un nouvel exploit d'exécution spéculative. Cela prouve que les préoccupations soulevées par la communauté technologique en 2018 étaient valables - Spectre est une menace ouverte qui ne va pas disparaître rapidement.

Cette fois-ci, des chercheurs de l'Université de Virginie ont découvert une nouvelle attaque d'exécution qui contourne toutes les mesures d'atténuation publiées par Intel et AMD à ce jour. L'attaque vise un tampon du processeur qui sert de cache pour les "micro-ops", des commandes simplifiées dérivées d'instructions plus complexes. Là encore, la fonction micro-ops est utilisée dans un souci d'efficacité, afin que les programmes puissent s'exécuter plus rapidement.

Dans l'article, l'équipe explique comment un attaquant peut utiliser le cache des micro-ops dans le cadre d'une attaque "side-channel", c'est-à-dire comme un moyen de faire des observations sur les données stockées dans un système informatique. En observant de près le comportement de l'unité centrale, l'attaquant peut tirer des conclusions sur des données qu'il n'aurait pas pu voir autrement.

Là encore, il s'agit d'un exploit relativement compliqué à mettre en place, mais le problème existe néanmoins et ajoute une nouvelle dimension au drame de Spectre.

...ET QUI EST CENSÉ LE RÉPARER ?

Le nouvel exploit Spectre affecte les processeurs fabriqués par Intel et AMD, car tous deux dépendent d'un jeu d'instructions de processeur similaire. Pour l'instant, AMD n'a pas réagi à cette nouvelle vulnérabilité. La réponse d'Intel a été notée avec intérêt, cependant.

Les précédents exploits de Spectre ont été atténués par un mélange de correctifs matériels d'Intel et d'AMD, ainsi que de correctifs de systèmes d'exploitation. Encore une fois, il n'existe pas de correctif unique qui puisse prendre en charge tous les exploits liés à Spectre, mais les exploits individuels peuvent être gérés par des correctifs, tant au niveau matériel que logiciel.

La dernière variation de Spectre, cependant, brise toutes ces défenses. Naturellement, nous nous demandons quand un nouveau patch sera disponible pour corriger Spectre.

INTEL DIT QUE CELA NE DÉPEND PAS D'EUX

Cette fois, comme l'ont rapporté de nombreuses sources dont Ars Technica et ThreatpostIntel suggère essentiellement qu'aucun correctif ne sera publié pour le dernier exploit Spectre. Selon l'entreprise, il suffit d'adopter de bonnes pratiques lors du développement de logiciels pour que le dernier exploit Spectre ne présente aucun risque.

La société a déclaré à Threatpost :

"Intel a examiné le rapport et a informé les chercheurs que les mesures d'atténuation existantes n'ont pas été contournées et que ce scénario est traité dans nos conseils de codage sécurisé. Les logiciels qui suivent nos conseils ont déjà des protections contre les canaux accidentels, y compris le canal accidentel du cache uop. Aucune nouvelle mesure d'atténuation ou directive n'est nécessaire."

Bien sûr, personne ne s'opposera aux bonnes pratiques de codage - le codage sécurisé peut limiter ou annuler l'impact de nombreuses vulnérabilités et produire des logiciels plus sûrs, point final. L'un des points centraux du guide de codage sécurisé d'Intel est l'utilisation de la programmation en temps constant, mais c'est une technique qui est difficile pour les programmeurs, tout en ayant un impact sur les performances.

EST-CE SIMPLEMENT UNE QUESTION DE CODAGE CORRECT ?

Le code de preuve de concept dans le document de recherche ne respecte pas les principes de programmation suggérés par Intel, et Intel affirme donc qu'il ne s'agit pas d'une nouvelle vulnérabilité, mais d'un problème qui peut être évité en programmant simplement correctement. Un chercheur en sécurité a abondé dans le même sens, suggérant que le document incite à poursuivre le nettoyage des pratiques de programmation, même si cela implique une baisse des performances.

Les auteurs de l'article ont répondu que la vulnérabilité se trouve dans le processeur et qu'elle nécessite donc un correctif de microcode - ce qu'Intel a fourni pour atténuer les menaces Spectre dans le passé.

L'équipe affirme également que trop de logiciels utilisés au quotidien n'appliquent pas la programmation en temps constant et qu'elle ne s'attend pas à ce que cela change dans un avenir proche. Plus précisément, les auteurs de l'article soulignent que la programmation en temps constant n'est généralement utilisée que dans les routines de sécurité spéciales d'une application en raison de la surcharge que cette pratique implique.

Le débat se poursuit et, pour l'instant du moins, l'absence de correctif laisse la vulnérabilité Spectre à la disposition des attaquants, bien qu'aucun exploit n'ait été découvert jusqu'à présent.

COMMENT PROTÉGER VOTRE CHARGE DE TRAVAIL DU SPECTRE

L'un des problèmes frustrants des atténuations Spectre a toujours été l'impact sur les performances, car les correctifs Spectre modifient les outils d'efficacité du processeur, tels que l'exécution spéculative, afin de limiter les possibilités d'exploit.

Cet article récent de The Register décrit les compromis impliqués dans l'atténuation des vulnérabilités Spectre. Il soulève également un point crucial : bien que les exploits de Spectre soient très sérieux par nature, relativement peu de cas réels ont émergé d'un piratage réussi mené par un exploit de Spectre. Cela reflète ce que nous avons dit plus tôt dans cet article : il est difficile de concevoir une attaque basée sur les faiblesses de l'exécution spéculative.

Cela ne signifie pas que votre entreprise peut rester les bras croisés et ignorer Spectre et sa famille croissante d'exploits. Certains correctifs Spectre ont un impact plus important sur les performances que d'autres. Faites vos recherches et trouvez un équilibre entre l'application de correctifs contre Spectre et le maintien des performances.

Comme nous l'avons expliqué, il n'existe pas de correctif pour le dernier exploit Spectre. En fonction de votre charge de travail et de la possibilité de modifier le code qui la gère, vous pouvez suivre les meilleures pratiques suggérées par Intel pour protéger votre charge de travail contre les attaques dérivées des techniques décrites dans cet article.

La plupart des utilisateurs ne pourront cependant pas le faire. Votre meilleure option est de vous assurer que vous déployez les correctifs dès qu'ils sont publiés. l'application automatisée de correctifs en direct peut vous aider à le faire..

En attendant, gardez un œil sur le paysage des menaces et sur notre blog. Il y a de fortes chances que ce ne soit pas la dernière fois que nous écrivions sur Spectre.