Depuis quelques mois, tous les acteurs de l’industrie informatique ont surveillé de près une nouvelle catégorie d’attaques de sécurité qui exploitent un défaut de conception des processeurs informatiques actuels. Ce problème qui touche l’ensemble de l’industrie, ne concerne pas un système d’exploitation, ni un hyperviseur ou une application en particulier. Trois vulnérabilités distinctes ont été identifiées et signalées par différentes équipes de sécurité : Spectre (variantes 1 et 2) et Meltdown (variante 3).
Depuis leur annonce publique, beaucoup de choses ont été dites sur ces failles, et souvent de manière imprécise. Alors que les trois variantes sont bien distinctes, les rapports publiés ne permettent généralement pas de s’en rendre compte. De plus, ces vulnérabilités ont un impact sur les couches inférieures de la pile de protocoles, moins connues des administrateurs en charge des logiciels exécutés dans les couches supérieures.
Les failles Meltdown et Spectre ont déjà fait couler beaucoup d’encre. Les trois variantes identifiées pourraient permettre à un code non privilégié d’accéder à des emplacements mémoire privilégiés. Il est toutefois important de les différencier, étant donné que les mesures permettant de les contrer sont spécifiques à chacune d’entre elles. Le tableau ci-dessous récapitule les informations dont nous disposons à ce jour :
Quelles sont les particularités qui rendent ces failles uniques ?
Attaque au niveau du matériel – la vulnérabilité se situe dans le matériel, soulevant certains défis ne pouvant être résolus à l’aide d’un simple patch. Plusieurs éditeurs, dont Citrix, s’efforcent de résoudre ce problème matériel au niveau logiciel. Pour l’éliminer à la racine, il serait nécessaire de modifier la logique des processeurs modernes, mais également de fabriquer, distribuer et intégrer de nouvelles puces dans tous les ordinateurs, ce qui serait extrêmement onéreux. C’est la raison pour laquelle ces efforts sont gérés au niveau du système d’exploitation ou de l’hyperviseur, plutôt qu’en modifiant le matériel proprement dit.
Vulnérabilité invisible – ce type de vulnérabilité lance une attaque par canal latéral. Cette attaque (ou plus exactement cette extraction de données) utilise des informations provenant de l’implémentation physique des systèmes informatiques, et non de bugs logiciels. Dans ce cas particulier, l’extraction de données se base sur le temps : les données en cache sont renvoyées plus rapidement que les données non mises en cache. Les failles Meltdown et Spectre exploitent cette technique, ce qui rend leur détection très difficile avec des outils traditionnels.
Impact sur les performances – la résolution de ces vulnérabilités matérielles au moyen de correctifs logiciels a des effets négatifs : sur le plan des performances, ces mesures sont plus gourmandes que les réparations matérielles. Nous avons vu plusieurs évaluations et rapports préliminaires, mais il convient d’en souligner la valeur limitée dans la mesure où la situation n’est pas encore stabilisée et où les correctifs sont encore en cours de développement ou de mise à jour. La première génération de correctifs à chaud s’attaque aux problèmes de sécurité en cours et pourrait ne pas être assez efficace en termes de performances. Une fois la menace de sécurité maîtrisée, nous allons probablement assister à l’apparition de nouveaux correctifs plus optimisés. Par ailleurs, compte tenu du nombre de variables en jeu, chaque situation présentera des résultats différents.
L’une des erreurs les plus couramment commises consiste à confondre ces différentes variantes. Chacune requiert une approche différente et aura un impact différent sur les charges de travail. Seule la variante 2 de Spectre nécessite une mise à jour du firmware, la variante 1 et Meltdown pouvant être corrigées au niveau logiciel. De plus, la faille Spectre nécessitera probablement de combiner des mises à jour du système d’exploitation, des processeurs et des compilateurs, ainsi que la recompilation des applications.
Au lieu d’attendre que tous les correctifs soient disponibles, il serait plus prudent pour les entreprises de commencer à planifier et déployer des correctifs existants. En effet, ceux des variantes 1 et 3 sont déjà disponibles et aucune mise à jour du microcode n’est nécessaire.
Pour accompagner au mieux nos clients et partenaires, nous procédons à des tests en interne et prévoyons d’actualiser nos conseils et recommandations. Nous sommes à disposition pour évoquer comment les différentes variables peuvent avoir un impact sur la performance de vos charges de travail et vous donner des conseils permettant de minimiser cet impact.
Le bulletin de sécurité consacré aux produits Citrix concernés et aux mesures applicables est disponible en cliquant ici. Pour recevoir des notifications de bulletins de sécurité et d’autres mises à jour, cliquez ici.
