Les prochains processeurs Intel immunisés nativement contre Meltdown et Spectre v2
Nouveau point d’étape d’Intel sur les failles Meltdown et Spectre dévoilées au début de l’année. Le fondeur a maintenant distribué des correctifs logiciels pour l’intégralité de ses processeurs sortis ces cinq dernières années.
Des correctifs matériels vont être apportés à la prochaine génération de Xeon (Cascade Lake) et à la 8e génération de processeurs Core prévues pour le deuxième semestre 2018. Les changements matériels consisteront à mettre de nouveaux « murs » entre les applications et le noyau pour empêcher ces premières d’accéder à des données qui leur sont interdites.
Ces modifications d’architecture ne boucheront toutefois que deux failles sur trois, la variante 1 de Spectre devra toujours être colmatée de façon logicielle.
Apple n'a toujours diffusé aucun des correctifs publiés par Intel...
Ça n’est pas un mal vue la pauvre qualité des dits correctifs.
C'est toujours mieux que de rester avec des failles béantes et publiques...
@SyMich
https://www.macg.co/materiel/2018/01/meltdown-et-spectre-apple-prend-des-mesures-contre-les-failles-100962
Ça c'est juste le correctif du système d'exploitation. Elle est nécessaire (Windows, Linux... ont également intégré ces correctifs) mais n'est pas suffisante. Il est indispensable de corriger également le micro code des processeurs pour que les failles soient correctement comblées.
Microsoft a publié les correctifs de Windows (jusqu'à Windows 7) et les constructeurs de PC ont diffusé les patches développés par Intel et les procédures permettant de les appliquer.
Apple n'a rien fait pour déployer les correctifs d'Intel.
Admettons comme le soutient Apple que le correctif de macOS est suffisant, on se retrouve tout de même sans aucun correctif si on utilise le Mac sous Windows via Boot Camp.
@SyMich
Pour meltdown, les OS ont été patchés pour utiliser le mode kpti qui isole les espaces s’adressage virtuel ring 0 et user.
Donc problème contourné. La correction d’intel permettra de revenir au mode de fonctionnement historique.
Pour spectre la faille n’est pas corrigible côté OS. Les navigateurs ont été corrigés pour éviter l’exploit qui consiste à inspecter la mémoire du processus du navigateur à travers un script JavaScript.
Spectre non corrigé côte CPU reste un vrai problème de sécurité car de nombreux génies trouveront des moyens judicieux de l’exploiter.
@SyMich
«Il est indispensable de corriger également le micro code des processeurs pour que les failles soient correctement comblées.»
Non, il n'est pas possible de faire ça, le microcode est "gravé" dans la "pierre" et les tares de naissances des x86 sont definitives et rien ne le changera.
Le sujet est vraiment complexe et necessite des competences de specialistes pour etre bien compris, mais en resumée les patch d'Intel ne changent en rien le microcode mais installent juste en memoire un programme qui permet a l'OS de desactiver plus finement les acces utilisés par les methodes d'exploitations (demontrées par l'equipe de Google Zero). Et ce patch doit etre rechargé a chaque démarrage.
Microsoft de son coté a modifié son OS pour qu'il desactive les instructions susceptibles d'entrainer le fonctionnement speculatif dans les conditions decrites par la meme equipe Google Zero. En plus de cela Microsoft a integrer un systeme d'optimisation dans ses compilateurs qui empeche en theorie le branchement speculatif et qui est donc operant sur les logiciels qui seront produit dorénavant.
Toutes ces methodes permettent plus ou moins efficacement d'inhiber les exploitations démontrées par l'equipe de Google Zero et s'appliquent donc pour les attaques qui se situent au niveau de l'application ou de l'OS.
Le gros souci c'est les les failles se trouvent a un etage en dessous de l'OS. De fait il n'y a aucune protection logicielle possible face a une attaque qui passera sous l'OS.
Je vais pas me faire l'avocat d'Apple, mais vu la faible efficacité des patch d'Intel, leurs contraintes et le niveau auquel ils s'appliquent,... il n'est en rien garantie qu'ils soient plus efficace qu'un pur controle par l'OS (c'etait la voie initiale de Microsoft aussi).
Apple contrôlant plus ce qu'il y a autour de MacOS que Microsoft, la solution d'Apple peut etre d'une efficacité au moins egale.
Bref, le sujet est vraiment complexe mais il faut faire attention de ne pas donner de faux espoirs ou de pseudo rassurer les utilisateurs: Spectre et Meltdown affectent définitivement les processeur et représenteront toujours des dangers majeurs de securité.
La seule solution c'est le remplacement du processeur par un qui n'est pas affecté par ces failles... ce qui n'est le cas d'aucun processeur actuel et ne le sera pas jusqu'a ce que la preuve en soit faite.
Donc tout PC existant, acheté et qui pourrait etre achete dans le futur est touché irrémédiablement par ces failles. Il faut de dire et le repeter.
Comment ça pas possible de mettre à jour le micro code???
J'ai mis à jour un millier de PC (machines de bureau, laptops et serveurs)! Même si certains constructeurs ont dû être imaginatifs quand leurs cartes mère ne sont pas conçues pour cette mise à jour du processeur (sur certaines machines Lenovo c'est le processeur de la carte graphique qui gère le processus de réécriture du microcode du processeur principal), c'est parfaitement possible.
J'ai d'autre part sous les yeux, un mémo redigé par Microsoft France à destination des DSI des entreprises et qui déconseille de mettre à jour Windows sans mettre à jour simultanément le microcode fourni par Intel, les 2 correctifs étant conçus pour fonctionner de pair.
Du côté d'Apple, silence radio... et aucune réponse sur le risque pris à continuer à utiliser un Mac via BootCamp.
La solution retenue chez nous (grand groupe bancaire français) a été de supprimer la centaines de Macs que nos commerciaux et communicants utilisaient encore , tout comme on avait déjà supprimé les iPhones, remplacés par des Samsung Galaxy, en raison d'une app maison inutilisable sous iOS11 (en cause, les lags claviers rendant l'utilisation de cette app par nos conseillers horripilante avec de multiples erreurs de saisie) nous obligeant à rester sous iOS10 tant qu'Apple ne solutionne pas ce problème. iOS10 n'ayant pas corrigé la faille du protocole WPA2 il était inenvisageable de mettre en danger le réseau WiFi en laissant des iPhones sous iOS10 s'y connecter.
@SyMich
«J'ai mis à jour un millier de PC (machines de bureau, laptops et serveurs)!»
Demande a l'inge informaticien qui administre ton parc de PC qu'il t'explique en quoi consiste la mise a jours.
Et sans vouloir mettre en cause ses competences, appliquer a si large echelle les patch d'Intel vu les désastres des précédents c'est un peu téméraire. Mais bon vu ce que tu dis j'imagine que les cadres mettent la pression sur l'IT.
«J'ai d'autre part sous les yeux, un mémo redigé par Microsoft France à destination des DSI des entreprises et qui déconseille de mettre à jour Windows sans mettre à jour simultanément le microcode fourni par Intel, les 2 correctifs étant conçus pour fonctionner de pair. »
Oui c'est exactement ce que j'explique précédemment: le patch d'Intel donne - a l'OS - des moyens de mieux detourner le flux d'execution pour empecher les branchements predictif.
Apres, je comprend pas de quoi tu parles exactement, parce que les patch d'Intel sont diffusés dans la mise a jours de l'OS.
«Du côté d'Apple, silence radio... et aucune réponse sur le risque pris à continuer à utiliser un Mac via BootCamp. »
La réponse est simple: ce qui limite les exploitations connues c'est l'OS!
Je le repete le patch d'Intel est un outil qui offre un meilleur controle pour detourner le branchement predictif. La protection de la machine depend donc de l'OS. Et jusqu'a preuve du contraire le patch doit être rechargé au démarrage.
Donc en fait tout depend de l'OS.
Apple affirme de son coté que MacOS dispose de mecanismes suffisant pour eviter les exploitation publiées par Google Zero. Apres, le niveau auquel se situe le probleme fait que ce qui s'applique a MacOS ne peut pas l'etre a Windows (et pareil pour les Linux et Unix).
«La solution retenue chez nous (grand groupe bancaire français) a été de supprimer la centaines de Macs que nos commerciaux et communicants utilisaient encore»
Alors je sais pas de quelle societe tu parles, mais de mon experience, les decisions d'equipement se font sur des criteres prealables et - surtout dans le secteur bancaire - les phases de certification et migration vers une autre version et a fortiori un autre OS passe par un processus lent et qui se met en place de manière planifié longtemp a l'avance.
Les "grand comptes" ne passent jamais par Apple mais par des prestataires en contrat a long terme et qui sont certifiés ISO.
Je sais pas comment la direction et l'IT vous ont communiqué les choses, mais quand tu vois que des groupes a valeur strategiques ont planifié il y a 2 ans des achats de PC dans 3 ans et qui devront être downgradé vers Windows 7 - cela avec un prestataire qui est en contrat depuis plus de 20 ans-, j'ai du mal a croire que dans le groupe dont tu parles il ne soit pas de meme.
Apres, les gros groupes surtout dans ce secteurs sont tres cloisonnés - voire totalement etanches - et generalement ont des IT attitrés... ça explique peut etre cela
Désolé, mais celle qui gere le parc... c'est moi.
Les patch diffusés par Intel s'installent indépendamment de la mise à jour de l'OS via des processus qui sont propres à chaque constructeur (en fonction de la carte mère)
Quant à les appliquer à grande échelle, désolé mais compte tenu des infos que l'on manipule il n'était pas envisageable de ne pas les appliquer sur l'ensemble du parc.
Quant à supprimer la centaine de Mac qui restaient pour les remplacer par des tablettes PC Hp, c'était pas une décision compliquée à prendre sachant que ces matériels étaient déjà utilisés, les contrats cadre existants, les applications disponibles et validées, puisqu'utilisees depuis des années par la plupart des employés (les Mac étaient plutôt une exception héritée du passé)
Idem quand on a supprimé les iPhones pour les remplacer par des Galaxy, ces modèles étant déjà largement utilisés, les apps internes existant tant en version iOS qu'Android.
@SyMich
«Désolé, mais celle qui gere le parc... c'est moi.»
Etrange qu'une avocate travaillant dans un cabinet gere un parc informatique d'une societe bancaire... le 27/02/2018 tu as ecrit:
SyMich | 27/02/2018 à 15:12
Je suis avocate... et ce n'est pas mon cabinet qui a poussé qui que ce soit, mais des associations de consommateurs qui nous ont mandatés.
Tu serais avocate dans un cabinet et ingenieure informatique administrant un parc d'un millier de machine?
Comment fais tu?
Il vaut qu'on change de pseudo...
Derrière SyMich, on est 2. Sylvie, DSI dans un grand groupe bancaire français et Michèle avocate spécialisée en droit de la consommation.
On va se créer chacune notre pseudo, ce sera plus simple. Désolée de la confusion.
«
Il vaut qu'on change de pseudo...
Derrière SyMich, on est 2. Sylvie, DSI dans un grand groupe bancaire français et Michèle avocate spécialisée en droit de la consommation.
On va se créer chacune notre pseudo, ce sera plus simple. Désolée de la confusion.
»
Une avocate et une ingénieure qui écrivent sous le meme pseudo...
C'est a n'en pas douter un grand écart qui est - pour le moins - cause de confusions.
@C1rc3@0rc
"La seule solution c'est le remplacement du processeur par un qui n'est pas affecté par ces failles... ce qui n'est le cas d'aucun processeur actuel et ne le sera pas jusqu'à ce que la preuve en soit faite."
Oui et tu as raison de le préciser. Cela dit les prochaines générations auront des failles aussi (comme tout dans l'informatique) jusqu'au jour où un petit malin mettra le doigt dessus.
Les futurs CPU Intel "immunisés" vont être mis à rude épreuve lors de leur lancement.
Intel dans ses patchs (incomplets) et dans ses nouvelles CPU, ne traite que les moyens d'exploiter la bug de conception, pas celle-ci.
La bug de conception est un problème de side-channel du cache L1, qui va perdurer longtemps.
je dois acheter un ordinateur d'ici quelques mois... Je vais essayer de temporiser au maximum en espérant pouvoir tenir jusqu'à cet automne ! En espérant le renouvellement des macbook (pro) avec ces nouveaux cpu !
@BooBoo
Heu on a ici une promesse d'Intel avec un calendrier pondu par Intel, on peut donc rajouter une bonne annee et encore il faudra evaluer l'efficacité du colmatage sur piece...
Ce que fait Intel est juste un colmatage, cela ne resoud pas le probleme de base qui pourrait toujours permettre une exploitation.
La bequille mise en place par Intel a quand meme un avantage c'est qu'elle devrait avoir un faible impact sur les performances et donc les processeurs qui en beneficieront ne devraient pas etre beaucoup plus lent que les actuels.
Pour une resolution du probleme de base il va falloir qu'Intel revoit integralement son architecture processeur... on ne sait meme pas si c'est possible donc impossible de savoir quand cela se fera.
Bref il est urgent de repousser le plus possible l'achat d'un ordinateur equipé de x86 (ou tablette, enfin tout ce qui contient un processeur x86, sachant qu'AMD est aussi touché)
@ForzaDesmo
Merci.
Je ne fais ici que reporter ce qui est ecrit dans l'annonce d'Intel et rappeler les faits auxquels est habitué Intel.
J'aurais meme pu aller plus loin puisque dans le papier d'Intel il n'est question que d'empecher les exploitations publiée par les chercheurs de Google...
Et le papier se termine par la reconnaissance du fait que la suppression du probleme de fond est un travail de longue haleine et systemique, ce qui en terme Intelien veut dire qu'ils ont aucune idee du temps que cela prendra...
On note aussi la pepite dans le papelard d'Intel: «Our goal is to offer not only the best performance, but also the best secure performance.»
Donc ils ont maintenant pour objectifs de fournir les meilleures performances tout en assurant la securité...
On rappellera au passage que le probleme de fiabilité de fonctionnement des processeurs Intel n'est pas une nouveauté et qu'Intel a ete condamné a une amende de 500 millions de dollars au debut des annees 90 parce que le processeur d'alors produisait des resultat de calculs faux... cela parce que la vitesse d'execution avait deja pris le dessus par rapport a la fiabilité du resultat...
@foezadesmo :
T'as pas les yeux en face des trous : Circetc un expert ? C'est un geek qui glane à droite et à gauche des infos pour en faire une synthèse aléatoire, mâtinée d'un parti pris anti-Apple compulsif. Avec l'habitude tu t'apercevras qu'il n'y entrave que dalle et dit des bêtises énormes.
@C1rc3@0rc
Je ne vois pas en quoi le colmatage des failles sus-cité nécessite une ré architecture des processeurs.
Il faut juste que dans certaines conditions le cache soit vidé pour éviter les time-attack.
Le problème de fond est : baisse de performance.
Jusqu'à la prochaine faille... je vous rappelle que cette feuille a été découverte alors qu'elle existe depuis des années??
Franchement il ne manquerait plus que le contraire !
@frankm
Oui ;)
Mais plus rien ne m'étonnes.
La generation 8 des Intel core est déjà disponible (sauf sur mac) c'est plutôt la gen9 qui sera concernée par les correctifs matériels non ? à moins que ce soit un n-ième Refresh de la gen actuelle ce qui rajoutera de la confusion à la gamme. Et temps qu'Intel bosse sur ses vulnérabilités hardware, qu'il en profite aussi pour revoir l'IME, voir de l'enlever carrément.
Je n'achèterai pas d'ordinateur avant 2021 ou 2022, sachant que Meltdown & Spectre sont à peine colmatés chez les processeurs Intel. D'ailleurs, j'en ai moins besoin qu'avant sachant que l'intelligence est déportée sur les serveurs. J'attends juste qu'Apple intègre un clavier OLED complet.
https://www.theverge.com/circuitbreaker/2018/2/27/17058616/apple-patent-oled-screen-keyboard-macbook-pro-touch-bar
Un clavier OLED complet... tu veux dire dans la continuité de la Touch bar?
Je crains que ce soit mort...
Tu devrais alller voir les exploits de Samuel Groß a la conference Pwn2Own https://twitter.com/5aelo
D'ailleurs il est interressant de voir ou en est la securité des OS d'Apple et Safari https://www.zerodayinitiative.com/blog/2018/3/14/welcome-to-pwn2own-2018-the-schedule