Une faille similaire à Spectre découverte : nos CPUs vont encore souffrir !
Mauvaise nouvelle pour commencer la semaine : il s'avère qu'une faille de sécurité similaire à Spectre vient d'être découverte au sein des processeurs Intel et AMD. Une grande partie des ordinateurs à l'échelle mondiale sont vulnérables.
Trois ans après la découverte de Spectre, l'histoire semble se répéter. Des chercheurs en sécurité de l'Université de Virginie et de l'Université de Californie ont découvert une faille de sécurité qui touche les processeurs Intel et AMD. Pour exploiter cette vulnérabilité, il faut s'appuyer sur le cache micro-op implémenté dans une grande partie des processeurs des dix dernières années. En effet, AMD intègre cette instruction depuis 2017 tandis qu'Intel le fait depuis 2011. Concrètement, on parle de quelques milliards de machines...
De nos jours, il est difficile de se passer de ce cache micro-op dans nos processeurs, car il améliore grandement les performances des processeurs. Il sert notamment à mettre en mémoire des instructions simples dans le but de permettre aux processeurs d'être plus efficace et rapide dans l'exécution des tâches concernées.
Il serait préjudiciable de reproduire la situation du passé : les correctifs déployés par les fabricants pour contrer la vulnérabilité Spectre et les attaques associées avaient eu un impact non négligeable sur les performances des CPUs. Bien sûr, un impact négatif avec une perte de performances.
Dans le cas présent, d'après les chercheurs, ce ne sera pas simple de corriger la faille de sécurité. Ce serait même plus difficile qu'avec Spectre. Le chercheur Xida Ren, précise que si un correctif désactive le cache micro-op ou stoppe l'exécution spéculative, cela reviendrait à retirer des innovations importantes dans la plupart des processeurs modernes d'Intel et d'AMD. L'impact sur les performances serait alors très important ! Il faut se rendre à l'évidence : ce n'est tout simplement pas faisable.
Ils précisent également que la faille est difficile à exploiter, mais cela ne veut pas dire qu'il ne faut pas s'en protéger. Certains secteurs y seront plus sensibles que d'autres 😉.
