Greg Kroah-Hartman : à l’heure de Spectre et Zombieload « vous devez choisir entre la sécurité et les performances »
RIDL, Fallout, Zombieload, MDS… Pas un mois ne passe sans qu’apparaisse une nouvelle version de Spectre, cette faille qui exploite les mécanismes d’exécution spéculative des processeurs, et permet à une application malveillante d’extraire les données d’une autre application. « Nous allons vivre avec ces problèmes pendant longtemps », explique Greg Kroah-Hartman, l’un des principaux développeurs du noyau Linux, au cours d’une conférence donnée lors de l’Open Source Summit Europe, le grand raout de la fondation Linux.
RIDL et Fallout touchent la dernière génération de processeurs Intel, qui comprennent pourtant des garde-fous contre les failles touchant les mécanismes d’exécution spéculative. Contrairement aux attaques comme Spectre ou Foreshadow, qui concernent les caches des processeurs, RIDL et Fallout s’intéressent aux mémoires tampons internes aux processeurs. Autrement dit : un problème jugé « exceptionnel » l’an passé s’avère systémique.
Très intéressant comme billet. On comprend mieux pourquoi les fondeurs multiplient les cœurs. 8 cœurs sans HT passeront mieux que 4 sans quand il n’y aura d’autre solution que désactiver les cœurs virtuels.
Je pense que cela va être une tendance lourde effectivement : multiplier les coeurs et ne pas implémenter l'HT. Apple a une opportunité en développant ses propres CPU pour ses ordinateurs, et non plus seulement ses iPhone/iPad...
Il n’y a pas que ça...
Amd est clairement moins touché qu’intel et la prochaine génération sera touchée elle aussi alors qu’amd Ne l’est plus vraiment !
Il faut aussi prendre en considération que intel reste bloquée sur le 14nm et ne veut pas avouer qu’ils ont abandonné le 10nm parce qu’ils n’y arrivent pas !
Pour être au niveau d’amd, ils doivent augmenter leurs nombre de cœur !
Quand on voit qu’un 3600 est à la hauteur d’un 9700k (6 vs 8 cœurs quand même !!)
Et attendez ! Zen 3 apportera 4 cœurs virtuels par cœur !
Intel est vraiment dans la merde !
Je ne comprends pas pourquoi Apple persiste encore avec intel qui est à la ramasse et totalement insécurisé !
@Dimemas
A part quelques cas très particuliers il faut être un fanboy (et être fanboy d’une marque qui a abusé de sa position dominante pendant 10 ans et a refusé d’innover il faut le faire) pour monter un PC sous chipset Intel c’est clair. Quand on voit qu’AMD fait mieux pour moins cher sur tous les fronts et que Zen 3 va encore enfoncer le clou... Intel l’aura bien mérité, entre les grilles tarifaires abusives, les nouveaux chipsets tous les 6 mois et leur incapacité à produire autre chose que des radiateurs ces dernières années.
Maintenant il faut espérer qu’Apple se penche sur le cas Ryzen, leur partenariat sur les GPU laisse un espoir.
@krully37
J’ai cessé de lire ton commentaire interminable dès que j’ai lu le mot fanboy qui discrédite le tout. 😛
bah tu devrais pousser ta lecture parce qu'il est dans le vrai...
@ krully :
sache tout de même que j'ai fait un hackintosh sur un ryzen 3600 et qu'il marche du feu de dieu !
C'est pour ça qu'on a pas de cœurs virtuels sur les processeurs Apple?
Sur les Mac beaucoup de processeurs ont de l'hypertherding, une désactivation en vue?
@fousfous
Je pense qu'ils exécutent tout simplement moins de tâche simultanément que les intel
Très intéressant manque plus que Apple montre qu’ils penche sur le sujet eu aussi car l’ère des Mac sans virus est terminée depuis bien longtemps ...
@Dev
Nuance, sans malware...
Les virus (même chez Windows et Linux) ne sont qu’un vieux souvenir ou presque...
Je ne sais pas quel genre de cerveau peut comprendre totalement et surtout manipuler ces concepts.
Je suis totalement admiratif et tout aussi paumé quand on me parle de ses choses à la fois concrète et qui me paraissent totalement abstraites, quasi ésotériques.
Bon courage à ceux qui vo t nous concevoir les générations suivantes d'ordinateurs...
Si je comprends bien, il va falloir changer de point de vue : comme en sécurité routière, la sécurité informatique totale est une chimère, et il faut vivre avec un niveau de risque qu'il s'agit juste de rendre le plus acceptable possible.
Après, le ploitation de ces failles, c'est quand même réserve à une élite, non ?
@Bigdidou
« Après, le ploitation de ces failles, c'est quand même réserve à une élite, non ? »
Un élite large alors :)
Une fois une faille découverte (et là, il faut des cerveaux oui), on retrouve des kits prêts à l’emploi pour être utilisés à grande échelle...
@Bigidou : je pensais la même chose.
J'ajoute qu'à force, le seul moyen d'être "en sécurité", c'est de ne pas être connecté au réseau ? est-ce le truc d'avenir, avoir deux machines systématiquement, dont une non-raccordée ?
"est-ce le truc d'avenir, avoir deux machines systématiquement, dont une non-raccordée ?"
Absolument pas, même comme ça ya moyens d'extraire des données sur une machine qui n'a jamais été connectée à internet. C'est pas très rapide mais c'est quand même possible...
Très intéressant oui.
UN peu flippant aussi, car cela touche au hardware et c'est donc très embettant.
Car si on n'est plus a l'abri dans une VM ou un docker, c'est un peu flippant !
Apple a une carte à jouer, mais vu qu'ils ne communiquent pas, c'est compliqué de se prononcer.
Je crois très fort dans l'ipad pro et dans ce qu'il deviendra.
ARM étant touché par ces failles, est ce que quelqu'un sait si cela touche les SoC A12/A13 et consort ?
Je pense que le vrai souci est moins pour les utilisateurs lambda que nous sommes que pour les états et entreprises.
Le piratage d'un PC pour escroquer quelques centaines d'euro peut vite se résoudre par une bonne sauvegarde.
Alors que le piratage de serveurs d'état, de service d'état (ex : hôpitaux) ou d'entreprises devient un vrai risque pour nous tous.
Imaginer que les station de filtrage d'eau, de distribution d'électricité , ... soient piratées ... cela peut devenir une très grave crise humanitaire en quelques jours.
Des états, des groupes terroristes et des "mafia" sont les premiers clients des nombreux spécialistes prêt à vendre leur savoir.
@kafy28
C’est ça. Ça reste des failles « compliquées » à mettre en place. Alors un tel hack sur un serveur, c’est extrêmement intéressant, sur un ordi lambda... faut vraiment avoir une cible et une raison précise. Toutefois, ça reste très problématique, surtout parce qu’il n’y a as de vraies solutions.
"faut vraiment avoir une cible et une raison précise."
Comme un journaliste, un avocat ou un opposant politique ? :)
Ah, je vois bien la panne de courant à domicile et les compteurs Linky afficher un message de réseau piraté alors que ceux avec le bon vieux compteur traditionnel utilisant d'autres canaux de distribution à l'ancienne recevraient toujours la fée électricité....
Compteur pinky ou traditionnel, si les centrales nucléaires partent en cacahuète parce que leur contrôle/commande est piraté, on sera dans la même galère...
C'est Linky pas Pinky ;-)
« noyau Linux (dont Intel est, par une ironie cruelle, le premier contributeur) »
Euh.... en quoi est-ce ironique ?
Et en quoi cette ironie est-elle cruelle ?
Intel fabrique des processeurs, Linux est un OS, un composant indispensable pour les exploiter.
Où est l’ironie ??
Être le principal contributeur ça veut pas dire que tu t'occupes de tout dessus mais que tu commits le plus ou que t'ajoutes pas mal de ligne au noyau. Comme microsoft la fait une période pour ses propres techno.
S'il faut 100 commits à intel pour ajouter le support du nouveau cpu quand amd fait la même chose en 20... Ca fausse la donne.
Ou que tu commits un truc et que derrière t'as besoin de 3 autres pour rectifier des conneries que t'as fait dans ton code, ça augmente articifiellement ta place.
Cest pareil avec le nombre de ligne de code en plus, et comme on la déjà vu. Certains ont reprit des portions de code et on produit un résultat largement superieur en beaucoup - de ligne qu'à la base.
Commits beaucoup, en nombre de ligne de code ou en patch soumit, n'induit pas que le travail fait est qualitatif mais juste quantitatif. Si le plus gros fait de la merde, c'est pas une mauvaise chose de lui rappeler et ya aucun mal à ça. :)
J'explique surtout que la réponse est bidon.
Si intel ne contribue plus du tout au noyau, il ne va pas s'effronder et mourir juste après son départ. Et qu'il est assez simple d'obtenir la place de 1ière société contributrice si on veut juste gonfler son égo.
Surtout que si c'est comme ces dernières années le vrai 1ier contributeur, c'est les milliers de développeurs qui ne sont affiliés à aucune société et intel n'arriverait qu'en 2ème position. :)
@ Anthony Nelzin-Santos
Autant pour moi, j'avais pas retenu que le premier critique était "l’un des principaux développeurs du noyau Linux", d'autant plus que l'article cite aussi "l'équipe de recherche qui a découvert les failles exploitées par RIDL et Fallout"...
Concernant Apple,vous écrivez que la communauté Linux va s’inspirer de ce que va fare OpenBSD.
Or macOS est un système BSD...
HS : Au passage on voit que Linux n’est qu’une copie de véritables systèmes UNIX. bref.
@marc_os
La partie BSD est assez « haute » (ie en userland) dans OSX, qui repose sur un micronoyau XNU (qui a succédé à Mach), pas BSD (on peut pinailler sur les quelques modules BSD qui se retrouvent à tourner dans XNU pour des raisons de perfs, mais passons :)
OSX est parfois considéré comme un BSD parce qu’il emprunte à BSD son « package » de base (outils, Shell, libs...), mais le noyau n’est pas BSD.
Pour Linux, son créateur l’a écrit parce que sa fac n’avait pas les moyens de payer la licence ATT d’un UNIX System V (AiX, HP-UX...), même si depuis des distributions Linux ont obtenu la certification POSIX, ce qui a permis à pas mal d’acteurs de basculer facilement d’un monde à l’autre.
Maintenant, la plupart des développeurs développent sans savoir forcément sur quel os ou distribution tourneront leurs applis...
Perso, même si les processeurs Power ou Sparc me manquent (x86 j’ai jamais accroché) je ne regrette pas les archaïsmes des System V.
Tout cela repose sur du sable.
C'est un peu le principe de ces puces de silicium... 😔
Peut-être qu'un jour les grands systèmes dont certains parlent ici (centrales nucléaires etc.) ne seront plus reliées au réseau mondial. N'est-ce pas une solution, avec des contraintes j'imagine, mais qui règlerait beaucoup de problèmes ? est-ce envisageable un jour ou l'autre ?
Plus ça va plus ça devient n'importe quoi, l'internet. Quand c'est pas la CIA ou les agents russes ou chinois qui lisent mes cours et mes images sur mon ordi, ce sont des rigolos qui s'amusent. Je vais rebrancher mon Mac Plus avec mon DD de 20Mo et mon MacWrite/MacDraw II, ils verront comment je me protège !! ;-)
@smog
Ça m’étonnerait beaucoup que les centrales soient « sur l’Internet », comme vous semblez le penser.
À quel point leur réseau est-il isolé ? L’information ne semble pas être publique, et c’est sans doute mieux comme ça :)
Oui, je n'en sais rien, je me base sur les posts précédents en fait en n'ayant aucune connaissance du sujet. Mais j'aimerais bien en savoir plus. J'entends souvent que beaucoup de zones "sensibles" (hôpitaux justement, centrales, systèmes urbaine etc.) sont potentiellement attaquables via réseau : fausses rumeurs, fausses infos, mauvaises connaissances ou affabulations ?
Bon, ce dont je suis (quasi) sûr, c'est que mon Mac Plus est bien protégé, n'ayant pas de modem : vous me le confirmez ? ;-)
@smog
Je confirme : sans réseau, plus difficile de se faire pirater, même si c’est encore possible (si tu veux vraiment te faire peur, c’est ici : https://korben.info/espionnage-de-clavier-a-distance-ci-possible.html)
Pour répondre à ta première question, les techniciens réseau utilisent des équipements particuliers pour protéger les réseaux interconnectés : des pare-feu, ou firewall en anglais. Ces équipements ont pour tâche de regarder chaque paquet de données (appelées trames ou frames en anglais) et de décider s’il la « laisse passer » ou pas.
Ces décisions s’appuient sur des règles configurées par les administrateurs du réseau concerné.
C’est ce que fait ta box par défaut si tu n’y a pas touché : elle refuse toute requête depuis l’Internet vers le réseau privé, seules les requêtes « sortantes » (celles issues de tes équipements, ordi, TV, téléphones, consoles, webcam etc.) sont autorisées.