Intel confirme le problème de sécurité sur ses processeurs

Face à des informations selon lesquelles une faille de sécurité « majeure » a été découverte dans des millions de processeurs Intel vendus ces dix dernières années, Intel a réagi aux allégations, qualifiant le problème de faille de sécurité affectant « plusieurs processeurs de fournisseurs différents » et nécessitant une « attention de toute l’industrie pour résoudre les problèmes rapidement et efficacement ». »En raison de la nature des failles, des correctifs au niveau du noyau OS sont apparemment nécessaires et, dans certains cas, on s’attend à ce qu’ils diminuent sensiblement les performances de nombreux ordinateurs dans le monde entier.

Bien qu’Intel n’ait pas fourni de détails sur les problèmes que connaissent ses processeurs, des rapports médiatiques antérieurs affirment que les vulnérabilités permettent aux applications non sécurisées d’accéder à des parties « sécurisées » de la mémoire d’un ordinateur, y compris des zones où sont stockés des mots de passe et autres contenus privés. Une faille pourrait permettre à un code JavaScript malveillant exécuté dans un navigateur Web de voir des informations soi-disant protégées, compromettant ainsi l’ordinateur et son utilisateur.

La réponse d’Intel concède que les failles « ont le potentiel de collecter des données sensibles à partir de dispositifs informatiques fonctionnant normalement », mais note que la société « estime que ces failles ne peuvent corrompre, modifier ou supprimer des données » si cela peut réconforter quelqu’un. La note affirme qu’« Intel et d’autres fournisseurs avaient prévu de divulguer ce problème la semaine prochaine lorsque plus de mises à jour de logiciels et de firmware seront disponibles », mais a précipité la déclaration pour répondre aux « questions des médias et à leurs allégations actuelles et erronées ».

En dépit de la déclaration d’Intel, les chercheurs ont déclaré que les failles impactent « pratiquement toutes » les machines Intel, y compris les ordinateurs grand public, les ordinateurs d’entreprise et les serveurs cloud. Selon LWN.net, des correctifs équivalents sont également en cours de préparation pour les processeurs ARM, bien qu’on ne sache pas dans quelle mesure les périphériques ARM sont compromis. Un ingénieur d’AMD a suggéré que les puces de la société ne sont pas affectées, AMD a confirmé dans un communiqué que ses processeurs ne sont pas affectés dans deux des trois variantes suggérées par Google, et qu’une solution logicielle peut adresser la troisième variante. Google avait publié ce rapport concernant le problème de sécurité lorsque son équipe Project Zero a découvert la faille l’année dernière.

Côté logiciel, Intel note que « plusieurs fournisseurs de systèmes d’exploitation » travaillent sur des solutions. En effet, des rapports distincts ont suggéré qu’Apple, Microsoft et les développeurs de Linux préparent activement des correctifs pour remédier à la faille, y compris la technique AMD « kernel page-table isolation » (KPTI). Les correctifs fonctionnent en déplaçant la zone de mémoire sécurisée loin de la mémoire non sécurisée utilisée par les programmes.

Comme indiqué par The Register, les correctifs de KPTI ralentissent actuellement certains processus de 5 à 30 %, bien que la performance d’un ordinateur dépende de son processeur spécifique, de ses tâches et de son système d’exploitation. Les benchmarks synthétiques publiés par Phoronix montrent une réduction de performance de plus de 40 % sur les fonctionnalités d’I/O avec un processeur Intel i7-8700K, mais moins de 10 % d’impact lors du même test avec un processeur i7-6800K. Les performances de l’encodage vidéo et du gaming ne semblent pas affectées par les premières corrections.

Des correctifs pour résoudre le problème ont déjà été publiés pour certaines versions Linux et versions bêta de Windows ; le correctif de Windows 10 devrait être implémenté mardi prochain dans le cadre du programme de correctifs mensuel de Microsoft. Les développeurs Linux sont prévenus que des régressions de performances sont probables.

Apple corrige apparemment macOS pour résoudre le problème également d’après un nouveau tweet d’Alex Ionescu, qui a précédemment tweeté sur KPTI et Windows, AppleInsider a cité des sources anonymes chez Apple confirmant que la version actuelle de macOS (10.13.2) atténue le problème, avec des changements non spécifiés prévus pour le prochain 10.13.3. Selon AppleInsider, « les premières indications sont qu’il n’y a pas de ralentissements notables entre un système exécutant macOS High Sierra 10.13.1 et 10.13.2. »

The question on everyone's minds: Does MacOS fix the Intel #KPTI Issue? Why yes, yes it does. Say hello to the "Double Map" since 10.13.2 — and with some surprises in 10.13.3 (under Developer NDA so can't talk/show you). cc @i0n1c @s1guza @patrickwardle pic.twitter.com/S1YJ9tMS63

— Alex Ionescu (@aionescu) 3 janvier 2018