Les menaces de sécurité logicielles et matérielles deviennent notre plus grande peur. Nous prenons connaissance des nouvelles failles de sécurité logicielle environ une fois par semaine et nous constatons que les éditeurs de logiciels se précipitent pour leur fournir des correctifs. Hier, deux nouvelles menaces de sécurité sont apparues, Meltdown et Spectre. Ces menaces génèrent beaucoup de chaleur parmi les passionnés d’informatique soucieux de la sécurité pour une raison simple : ce ne sont pas les bogues logiciels typiques auxquels nous sommes habitués. Au lieu de cela, ils affectent le matériel et plus particulièrement le microprocesseur.
Résoudre ces problèmes ne sera pas aussi simple que de trouver la ligne affectée dans le code source et de la modifier. Ils proviennent des profondeurs de l’architecture du processeur et affectent les processeurs de plus de 20 ans. Parce qu’il s’agit de défauts au niveau matériel, ils affectent également toutes les plates-formes logicielles, qu’il s’agisse de Windows, MacOS, Android ou autre.
Alors, nos androïdes sont-ils à l’abri des failles Spectre et Meltdown ? Lisez ci-dessous pour trouver plus d’informations sur Meltdown et Spectre, et les solutions possibles pour eux.
Comment Meltdown et Spectre fonctionnent
Ces menaces tirent parti d’une fonctionnalité de microprocesseur moderne connue sous le nom d’exécution d’instruction spéculative (SIE). Cette fonctionnalité permet à un processeur de « spéculer » le résultat d’une condition donnée et d’exécuter des instructions en conséquence. Si le résultat spéculé s’avère plus tard erroné, le processeur abandonne simplement les instructions exécutées. Bien que ce comportement semble étrange au premier abord, il peut considérablement accélérer les opérations. En effet, les résultats spéculés entrent dans le cache du processeur et sont plus rapides à accéder si nécessaire.
Cependant, il semble maintenant que SIE est vulnérable aux attaques de logiciels malveillants. Meltdown peut accéder aux données stockées dans le cache du processeur par SIE et permet aux programmes utilisateur de lire les données sensibles de la mémoire du noyau. Alors que les processeurs d’Intel, d’AMD et d’ARM utilisent tous SIE dans une certaine mesure, seuls les processeurs d’Intel semblent être vulnérables à Meltdown. Cela est dû à l’implémentation SIE d’Intel. AMD a officiellement déclaré que ses processeurs étaient sûrs. De plus, ARM a signalé que certains de ses processeurs pourraient être exposés et ils ont fourni des correctifs contre Meltdown au noyau ARM Linux.
L’effondrement peut être contrôlé, bien qu’il s’agisse d’une menace énorme. Les choses ne seront cependant pas faciles avec Spectre. Spectre effectue une attaque plus générale contre SIE, en utilisant des techniques de codage sophistiquées. Les processeurs Intel, AMD et ARM y sont tous vulnérables. Pour éviter les attaques Spectre, toutes les instructions du processeur doivent être exécutées sans aucune sorte de spéculation. Toutes les architectures de processeur prennent en charge cette configuration via des instructions supplémentaires, mais trouver le bon endroit pour mettre ces instructions dans le code du système d’exploitation ne sera pas une tâche facile. Il faudra sûrement un certain temps avant que les hacks logiciels pour protéger les utilisateurs de Spectre ne soient disponibles.
Votre Android est-il à l’abri des failles Spectre et Meltdown ?
Comme mentionné ci-dessus, les correctifs du noyau Linux contre Meltdown sont déjà disponibles. De plus, Google a déclaré que le correctif de sécurité du 5 janvier inclura un correctif pour Meltdown. Si vous utilisez un appareil Android qui reçoit toujours des mises à jour du fabricant, vous obtiendrez le correctif tôt ou tard. Si vous utilisez une ROM basée sur LineageOS, vous bénéficierez également d’une protection bientôt.
Il convient de mentionner que les processeurs ARM ne sont pas apparus vulnérables à Meltdown lors des tests de recherche. Ainsi, même si votre appareil ARM est assez ancien et ne reçoit pas de mises à jour, il peut être à l’abri de Meltdown. Nous avons cependant besoin de plus d’informations de la part d’ARM pour tirer des conclusions. Si vous utilisez Android sur un appareil Intel x86, vous serez sûrement exposé à moins que vous n’obteniez le correctif du noyau Linux.
Avec Spectre, les choses sont différentes. Il n’y a pas de correctif disponible au moment de la rédaction de cet article et il faudra un certain temps avant que les développeurs ne comblent cette faille de sécurité. Presque tous les appareils électroniques dotés d’un microprocesseur sont vulnérables à cette attaque. Si vous utilisez un appareil Android qui bénéficie de l’assistance du fabricant ou de la communauté, vous pourriez avoir de la chance et recevoir des mises à jour pour Spectre avant la fin du délai d’assistance.
Ce qui fournira en fait une solution complète à ces nouvelles menaces, c’est une refonte de SIE. Cela inclut les modifications au niveau matériel, et plus particulièrement le circuit du microprocesseur. Il faudra cependant du temps et de l’argent pour réussir cet effort. De plus, il n’y a aucune chance de rappel d’appareils, car ces problèmes affectent des milliards d’appareils. La seule véritable solution pour les utilisateurs consiste à mettre à niveau tous leurs appareils lorsque des conceptions matérielles sûres deviennent disponibles.