Suisse
Informatique

Des chercheurs de l'EPFZ mettent en garde contre une faille

epa06416864 A close-up photo showing an Intel computer circuit board displayed in Duesseldorf, Germany, 04 January 2018. Reports on 04 January 2018 state technology companies are rushing to fix two co ...
Des chercheurs de l'EPFZ ont découvert une faille de sécurité dans les processeurs des leaders du marché Intel et AMD.Image: Office fédéral du personnel (OFPER)

Des chercheurs de l'EPFZ mettent en garde contre une dangereuse faille

La faille de processeur «Retbleed» permettrait aux pirates informatiques d'accéder aux clés de cryptage et aux mots de passe. Microsoft, Google, Intel et AMD, entre autres, ont réagi.
16.07.2022, 11:52
Ann-Kathrin Amstutz / ch media
Plus de «Suisse»

Des chercheurs de l'Ecole polytechnique fédérale de Zurich (EPFZ) ont découvert une «grave faille de sécurité» dans le matériel informatique. La faille, appelée «Retbleed», concernerait les microprocesseurs des leaders du marché Intel et AMD.

En quoi consiste la faille?

Tous les systèmes d'exploitation disponibles dans le commerce et utilisant ces processeurs sont concernés, a fait savoir l'EPFZ mardi soir.

La faille de sécurité se produit dans les microprocesseurs qui exécutent les instructions d'un programme informatique et effectuent les calculs correspondants. Les unités centrales de calcul effectuent parfois des étapes qui raccourcissent le temps de calcul.

Selon les chercheurs de l'EPFZ, c'est justement là que réside le problème: ces étapes laisseraient des traces dans la mémoire, que les pirates pourraient exploiter «pour obtenir un accès non autorisé à n'importe quelle information dans le système», par exemple des codes de cryptage ou des mots de passe importants pour la sécurité.

Cela est particulièrement risqué dans les environnements de cloud computing, où plusieurs entreprises partagent des systèmes informatiques.

Qui est concerné?

Selon toute vraisemblance, les microprocesseurs Intel âgés de 3 à 6 ans ou les processeurs AMD âgés de 1 à 11 ans.

«Nous avons créé le code de preuve de concept pour Linux. Mais comme le problème fondamental se situe au niveau du matériel, les ordinateurs Microsoft et Apple avec le matériel concerné ont également ce problème»
Des chercheurs de l'EPFZSource: comsec.ethz.ch

Comme l'écrit encore l'EPFZ, le Centre national de cybersécurité (NCSC) à Berne considère la vulnérabilité comme «grave», car les processeurs concernés sont utilisés dans le monde entier. Mardi, le centre a mis en ligne les numéros CVE des processeurs concernés (voir l'infobox ci-dessous).

Quel est le risque pour les PC ordinaires?
Selon le portail technologique heise.de, Retbleed ne représente probablement «aucune menace supplémentaire pour les PC de bureau et les ordinateurs portables typiques équipés de Windows». Comme le montre la description de plus de 14 pages de la technique d'attaque Retbleed, celle-ci est très compliquée. Les attaques dites «par canal latéral» de type Spectre (rendues publiques en 2018) concernent en premier lieu les serveurs en nuage ainsi que les systèmes qui traitent des données très sensibles et qui sont fortement cloisonnés.

Les chercheurs de l'EPFZ écrivent que les utilisateurs de PC devraient installer les dernières mises à jour du système d'exploitation. Et ceux qui ont des «secrets sur des machines virtuelles avec du matériel partagé (par exemple dans le cloud)» devraient être conscients du problème. Mais il n'est pas bon pour la santé de se faire trop de soucis. (dsc)

Quelles sont les prochaines étapes?

Les fabricants ont déjà pris les premières mesures pour combler la faille de sécurité, indique l'EPFZ. Comme il est d'usage dans de tels cas, les fabricants concernés ont d'abord été informés avant que la faille de sécurité ne soit publiée.

Les entreprises Microsoft, Oracle, Google, Linux, Intel, AMD et ARM auraient déjà travaillé sur des mesures de protection.

Qui a découvert la faille?

La faille de sécurité a été découverte par le doctorant Johannes Wikner et Kaveh Razavi, professeur de sécurité informatique, tous deux à l'EPFZ. En février, ils auraient apporté la preuve que Retbleed représentait un problème sérieux.

Dans un article spécialisé, les deux chercheurs ont examiné la première approche des fabricants Intel et AMD pour résoudre le problème.

Pourquoi «Retbleed»?
Dans le communiqué de presse de l'EPFZ, on peut lire: «Parfois, un ordinateur saigne à partir de son cœur et révèle des informations privées au compte-gouttes» C'est le cas de la faille matérielle rendue publique mardi dernier. Elle se produit dans les microprocesseurs qui exécutent les instructions d'un programme informatique et effectuent les calculs correspondants.

Le Centre national de cybersécurité (NCSC) de Berne, en collaboration et en accord avec les chercheurs de l'EPFZ, a attribué à Retbleed les numéros CVE-
2022-29900
(pour les processeurs du fabricant AMD) et CVE-
2022-29901
(pour les processeurs du fabricant Intel).

(dsc)

Sources

(dsc/aargauerzeitung.ch)

Le cameraman d'Orelsan fait une chute brutale en plein concert
Video: watson
0 Commentaires
Comme nous voulons continuer à modérer personnellement les débats de commentaires, nous sommes obligés de fermer la fonction de commentaire 72 heures après la publication d’un article. Merci de votre compréhension!
Le pollen sera plus agressif en 2024 à cause de cet arbre
L'arrivée des beaux jours s'accompagne d'un élément indésirable qui va fortement embêter environ 20% de la population: le pollen. Ce printemps, les allergies de certains seront d'ailleurs plus fortes que d'habitude. Une experte de aha! Centre d'Allergie Suisse explique pourquoi.

Pourquoi les allergies seront-elles plus fortes en 2024?
Marie-Hélène Corajod: Pour deux raisons principales. Premièrement, car la saison pollinique a commencé avant l'heure cette année pour le noisetier et le bouleau. La floraison de ce dernier a débuté une à deux semaines plus tôt que d'habitude en raison des températures exceptionnellement élevées depuis début février. Secondement, car le bouleau produit énormément de pollen une année sur deux.

L’article