Depuis des mois maintenant, Intel tente de corriger les failles matérielles de ses puces qui peuvent divulguer des données confidentielles à partir d'un PC ou d'un serveur.
Mais Intel ne parvient toujours pas à corriger les problèmes, selon les chercheurs en sécurité.
Mardi, deux groupes distincts d'universitaires ont déclaré qu'ils étaient en mesure d'exploiter les failles de la puce sur les processeurs Intel Cascade Lake de 9e génération, censés être conçus pour arrêter de telles attaques.
"Malheureusement, tant que la pression publique / industrielle n'est pas suffisante, Intel ne semble guère incité à changer de cap, laissant le public avec un faux sentiment de sécurité", selon les chercheurs du groupe VUSec de la Vrije Universiteit Amsterdam.
Le problème concerne deux failles matérielles, appelées ZombieLoad et RIDL (Rogue In-flight Data Load).
En mai, les chercheurs ont révélé les vulnérabilités et ont averti qu'elles pourraient être exploitées pour extraire des informations sensibles telles que les données d'historique du navigateur et les mots de passe des ordinateurs des utilisateurs.
Cela pourrait être fait par le biais d'un logiciel malveillant ou même d'un code Javascript exécuté sur le navigateur Web d'un PC.
À l'époque, Intel a déclaré que les puces de huitième et neuvième générations de la société avaient été conçues pour parer à la menace.
Mais mardi, le groupe de chercheurs qui a découvert la vulnérabilité ZombieLoad a déclaré avoir développé une nouvelle variante de la même attaque capable de contourner les protections Intel.
Le même jour, les chercheurs ont affirmé que la version existante de leur attaque RIDL découverte n'avait jamais été entièrement corrigée par Intel, même s'ils avaient informé le fabricant de puces de la faille en septembre 2018.
"Le 25 octobre 2019, nous avons testé la dernière mise à jour du microcode d'Intel.
, et a encore vu des fuites , ont écrit les chercheurs dans un message.
Les failles continuent de hanter les processeurs Intel car ils concernent l'architecture même du silicium de l'entreprise.
Pour augmenter la vitesse, les processeurs Intel ont été conçus pour prédire et pré-extraire les instructions informatiques au fur et à mesure que le système fonctionne.
Mais cela peut avoir un coût.
Selon les chercheurs en sécurité, vous pouvez également inciter les mêmes processus à pré-extraire des données confidentielles de la machine avant de les divulguer.
En janvier 2018, des chercheurs en sécurité ont surnommé le lot initial de failles Meltdown et Spectre, et ont averti qu'ils pourraient essentiellement éliminer les barrières qui empêchent un processus logiciel d'accéder à un autre.
Les failles ZombieLoad et RIDL peuvent obtenir les mêmes effets en faisant fuir les données des tampons internes d'un processeur.
En réponse, Intel a défendu mardi ses tentatives de correction des vulnérabilités.
D'une part, la société a admis que les atténuations actuelles ne sont pas parfaites; certaines données continueront de fuir.
Néanmoins, les protections existantes peuvent toujours réduire la surface d'attaque potentielle et les clients peuvent s'attendre à ce que des correctifs supplémentaires arrivent à l'avenir.
Nous améliorons continuellement les techniques disponibles pour résoudre ces problèmes et apprécions les chercheurs universitaires qui se sont associés à Intel, a déclaré la société dans un article de blog.
Recommandé par nos rédacteurs
La bonne nouvelle est que la communauté de la sécurité n'a encore rencontré aucun pirate informatique exploitant les failles.
En réalité, il est beaucoup plus facile pour un cybercriminel d'utiliser des logiciels malveillants conventionnels pour prendre le contrôle de votre PC, plutôt que de concevoir une attaque visant le processeur de votre ordinateur.
Mais ne t'attends pas Intel pour résoudre complètement ces défauts de sitôt.
"Si les processeurs sont devenus si complexes que les fournisseurs de puces ne peuvent pas garder leur sécurité sous contrôle, les vulnérabilités matérielles seront le nouveau terrain de chasse pour les attaquants sophistiqués", ont déclaré les chercheurs de VUSec.
"Et nous n'avons peut-être aucune idée du nombre de vulnérabilités matérielles zero-day (auparavant inconnues) qui sont encore à gagner."
Depuis des mois maintenant, Intel tente de corriger les failles matérielles de ses puces qui peuvent divulguer des données confidentielles à partir d'un PC ou d'un serveur.
Mais Intel ne parvient toujours pas à corriger les problèmes, selon les chercheurs en sécurité.
Mardi, deux groupes distincts d'universitaires ont déclaré qu'ils étaient en mesure d'exploiter les failles de la puce sur les processeurs Intel Cascade Lake de 9e génération, censés être conçus pour arrêter de telles attaques.
"Malheureusement, tant que la pression publique / industrielle n'est pas suffisante, Intel ne semble guère incité à changer de cap, laissant le public avec un faux sentiment de sécurité", selon les chercheurs du groupe VUSec de la Vrije Universiteit Amsterdam.
Le problème concerne deux failles matérielles, appelées ZombieLoad et RIDL (Rogue In-flight Data Load).
En mai, les chercheurs ont révélé les vulnérabilités et ont averti qu'elles pourraient être exploitées pour extraire des informations sensibles telles que les données d'historique du navigateur et les mots de passe des ordinateurs des utilisateurs.
Cela pourrait être fait par le biais d'un logiciel malveillant ou même d'un code Javascript exécuté sur le navigateur Web d'un PC.
À l'époque, Intel a déclaré que les puces de huitième et neuvième générations de la société avaient été conçues pour parer à la menace.
Mais mardi, le groupe de chercheurs qui a découvert la vulnérabilité ZombieLoad a déclaré avoir développé une nouvelle variante de la même attaque capable de contourner les protections Intel.
Le même jour, les chercheurs ont affirmé que la version existante de leur attaque RIDL découverte n'avait jamais été entièrement corrigée par Intel, même s'ils avaient informé le fabricant de puces de la faille en septembre 2018.
"Le 25 octobre 2019, nous avons testé la dernière mise à jour du microcode d'Intel.
, et a encore vu des fuites , ont écrit les chercheurs dans un message.
Les failles continuent de hanter les processeurs Intel car ils concernent l'architecture même du silicium de l'entreprise.
Pour augmenter la vitesse, les processeurs Intel ont été conçus pour prédire et pré-extraire les instructions informatiques au fur et à mesure que le système fonctionne.
Mais cela peut avoir un coût.
Selon les chercheurs en sécurité, vous pouvez également inciter les mêmes processus à pré-extraire des données confidentielles de la machine avant de les divulguer.
En janvier 2018, des chercheurs en sécurité ont surnommé le lot initial de failles Meltdown et Spectre, et ont averti qu'ils pourraient essentiellement éliminer les barrières qui empêchent un processus logiciel d'accéder à un autre.
Les failles ZombieLoad et RIDL peuvent obtenir les mêmes effets en faisant fuir les données des tampons internes d'un processeur.
En réponse, Intel a défendu mardi ses tentatives de correction des vulnérabilités.
D'une part, la société a admis que les atténuations actuelles ne sont pas parfaites; certaines données continueront de fuir.
Néanmoins, les protections existantes peuvent toujours réduire la surface d'attaque potentielle et les clients peuvent s'attendre à ce que des correctifs supplémentaires arrivent à l'avenir.
Nous améliorons continuellement les techniques disponibles pour résoudre ces problèmes et apprécions les chercheurs universitaires qui se sont associés à Intel, a déclaré la société dans un article de blog.
Recommandé par nos rédacteurs
La bonne nouvelle est que la communauté de la sécurité n'a encore rencontré aucun pirate informatique exploitant les failles.
En réalité, il est beaucoup plus facile pour un cybercriminel d'utiliser des logiciels malveillants conventionnels pour prendre le contrôle de votre PC, plutôt que de concevoir une attaque visant le processeur de votre ordinateur.
Mais ne t'attends pas Intel pour résoudre complètement ces défauts de sitôt.
"Si les processeurs sont devenus si complexes que les fournisseurs de puces ne peuvent pas garder leur sécurité sous contrôle, les vulnérabilités matérielles seront le nouveau terrain de chasse pour les attaquants sophistiqués", ont déclaré les chercheurs de VUSec.
"Et nous n'avons peut-être aucune idée du nombre de vulnérabilités matérielles zero-day (auparavant inconnues) qui sont encore à gagner."
