二つの脆弱性、メルトダウンとスペクターが見つかったわけですが、内容は結構似ています。どちらともほぼすべての近代CPUが採用している、｢投機的実行｣という高速化のプロセスを悪用するものです。このプロセスは、実行されるであろう処理を先回りして実行することで、その一つ前の処理の結果が出るまでの時間を有効活用しよう、という最適化技法。問題となっているのは、処理に必要なメモリ枠の管理が完璧じゃなかったこと。 メルトダウンは、メモリの任意の箇所 （OSの中枢機能を保持す … Ces vulnérabilités seront corrigées sur Chrome 64 autour du 23 Janvier.Il est toutefois possible d'activer des contre-mesure sur Chrome 63.Pour cela, Les produits VMWare ne seraient vulnérables qu'à Spectre : https://blogs.vmware.com/security/2018/01/vmsa-2018-0002.html, VMSA-2018-0007 au 08/02/2018 avec des patchs de mitigation : https://www.vmware.com/security/advisories/VMSA-2018-0007.html. Il semblerait que pour le patch d'Ubuntu, des problèmes de démarrage de GNU/Linux ont été signalés par la suite. A partir de là, on peut imaginer un second programme qui va effectuer les opérations suivantes : Si l'exécution est rapide, on peut en déduire que l'information se trouve dans le cache du processeur et donc que la première lettre du mot de passe Wifi est bien un "S".On peut alors répéter l'opération pour en déduire le mot de passe Wifi entier. Si sa sécurité est compromise, les données de tous les internautes risquent d’être dérobées. De son côté, Intel nie farouchement tout défaut de conception ou dysfonctionnement dans la mesure où, selon les termes de Brian Kraznich, « le système fonctionne comme il doit fonctionner ». Les correctifs contre Spectre et Meltdown, Cas du KB4056894 avec les antivirus et AMD, EDIT - Reptoline pour améliorer les performances, Sauvegarder & restaurer ses données Windows 10, Se protéger sur internet et éviter les piratages, Les meilleurs gestionnaires de mots de passe, Comment désactiver les bloqueurs de publicité sur un site internet, Certains processeurs AMD peuvent être vulnérables à Spectre, SPECTRE & MELTDOWN: TAPPING INTO THE CPU'S SUBCONSCIOUS THOUGHTS, http://blog.frizk.net/2018/03/total-meltdown.html, BSOD STOP 0x000000c4 après la mise à jour KB4056894, https://source.android.com/security/bulletin/2018-01-01, Redhat - Kernel Side-Channel Attacks - CVE-2017-5754 CVE-2017-5753 CVE-2017-5715, https://blogs.vmware.com/security/2018/01/vmsa-2018-0002.html, https://www.vmware.com/security/advisories/VMSA-2018-0007.html, Understanding the performance impact of Spectre and Meltdown mitigations on Windows Systems. La protection dans le navigateur internet est implémenté, en quelque sorte, de la manière suivante : On s'assure que la publicité ne peut lire au delà de sa fin de zone de mémoire (end) à travers la condition if, si c'est le cas, une erreur est renvoyée. Il est possible que ces découvertes soient effectuées par des chercheurs, mais elles pourraient aussi tomber directement entre les mains de criminels. D’ordinaire, ce n’est pas un problème en termes de sécurité. Quelles nouvelles mesures prépare le gouvernement ? The only good news is that the Spectre bug appears to affect fewer Intel chips. Spectre est assez similaire à Meltdown mais plus difficile à exploiter mais vise tous les processeurs modernes. Meltdown（メルトダウン）とは、コンピュータ、スマートフォン、IoT家電など、マイクロプロセッサ（CPUなど）を使用する電子機器に幅広く存在するハードウェアレベルの脆弱性のひとつである。 Ouvrez un nouvel onglet dans l'adresse copier/collez : ESXi 5.5, 6.0, et 6.5 (il faut installer les patchs sivants : ESXi550-201709101-SG, ESXi600-201711101-SG, ESXi650-201712101-SG; ESXi 5.5), Workstation 12.x (mettre à jour vers 12.5.8). Après une journée de spéculation chez les informaticiens mercredi, le numéro un mondial des puces électroniques pour serveurs et PC a reconnu dans la nuit que la très grande majorité de ses processeurs était bien affectée par deux failles de sécurité. et donc, tout comme Meltdown, on mesure le temps pour accéder au premier pixel.Si la réponse est rapide, nous savons qu'il y a un B à la position 100000000. Mozilla indique que la version 57 de Firefox (publié en Novembre) possède des contre-mesures.On ne sait pas encore quand les correctifs seront disponibles. Les failles Spectre et Meltdown, qui affectent les processeurs Intel mais aussi ceux de AMD et ARM pourraient être une catastrophe pour le cloud. Le système d'exploitation prévoit de ne pas donner accès à certaines zones de mémoire RAM, l'application A ne peut pas accéder à la zone mémoire de l'application B.Toutefois, le processeur lui a accès à la zone entière de mémoire et peut filtrer certaines accès par la suite.La vulnérabilité Meltdown tire partie de ce fonctionnement et de la fonction speculative execution qui a accès à toute la zone mémoire sans aucun filtrage.Le but ici est de savoir si une information se trouve dans le cache du processeur pour en déduire son contenu. Les principaux fournisseurs cloud ont déjà pris les mesures nécessaires, mais il est impossible d’éradiquer cette menace à 100%. “Researchers Discover Two Major Flaws in the World’s Computers”, https://www.nytimes.com/2018/01/03/business/computer-flaws.html, “Intel’s processors have a security bug and the fix could slow down PCs”, https://www.theverge.com/2018/1/3/16844630/intel-processor-security-flaw-bug-kernel-windows-linux, Linux Gaming Performance Doesn't Appear Affected By The x86 PTI Work - Phoronix, https://www.wired.com/story/critical-intel-flaw-breaks-basic-security-for-most-computers/, x86/cpu, x86/pti: Do not enable PTI on AMD processors, https://pc.watch.impress.co.jp/docs/news/1099687.html, http://www.itmedia.co.jp/news/articles/1801/04/news009.html, http://itpro.nikkeibp.co.jp/atcl/news/17/010402924/, Security flaws put virtually all phones, computers at risk, Negative Result Reading Kernel Memory from user Mode, Meltdown and Spectre: 'worst ever' CPU bugs affect virtually all computers, https://pc.watch.impress.co.jp/docs/news/1104573.html, https://news.mynavi.jp/article/safespec-1/, Google: Almost All CPUs Since 1995 Vulnerable To "Meltdown" And "Spectre" Flaws, https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr, https://www.androidauthority.com/meltdown-spectre-kpti-827527/, https://www.raspberrypi.org/blog/why-raspberry-pi-isnt-vulnerable-to-spectre-or-meltdown/, Potential CPU Security Issue - IBM PSIRT Blog, Processor Speculative Execution Research Disclosure, Securing Azure customers from CPU vulnerability, http://blog.cyberus-technology.de/posts/2018-01-03-meltdown.html, https://newsroom.intel.com/news/root-cause-of-reboot-issue-identified-updated-guidance-for-customers-and-partners/, Microsoft issues emergency Windows update for processor security bugs, Microsoft pushing out emergency fix for newly disclosed processor exploit, Windows Client Guidance for IT Pros to protect against speculative execution side-channel vulnerabilities, “Windows Meltdown-Spectre patches: If you haven't got them, blame your antivirus”, http://www.zdnet.com/article/windows-meltdown-spectre-patches-if-you-havent-got-them-blame-your-antivirus/, Important information regarding the Windows security updates released on January 3, 2018 and anti-virus software, https://japan.zdnet.com/article/35112848/, https://news.mynavi.jp/article/20180109-meltdown_sol/, KAISER: hiding the kernel from user space, The current state of kernel page-table isolation, https://www.suse.com/support/kb/doc/?id=7022512, https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown, https://source.android.com/security/bulletin/2018-01-01, https://www.gizmodo.jp/2018/01/all-about-meltdown-and-spectre.html, https://blog.google/topics/google-cloud/what-google-cloud-g-suite-and-chrome-customers-need-know-about-industry-wide-cpu-vulnerability/, https://support.google.com/chrome/answer/7623121?hl=ja, https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180104-cpusidechannel, Potential Impact on Processors in the POWER family - IBM PSIRT Blog, https://us.answers.acer.com/app/answers/detail/a_id/53104, https://www.asus.com/News/YQ3Cr4OYKdZTwnQK, http://www.dell.com/support/article/jp/ja/jpbsd1/sln308587/%E3%83%9E%E3%82%A4%E3%82%AF%E3%83%AD%E3%83%97%E3%83%AD%E3%82%BB%E3%83%83%E3%82%B5%E3%83%BC%E3%81%AE%E3%82%B5%E3%82%A4%E3%83%89%E3%83%81%E3%83%A3%E3%83%8D%E3%83%AB%E6%94%BB%E6%92%83-cve-2017-5715-cve-2017-5753-cve-2017-5754-%E3%83%87%E3%83%AB%E8%A3%BD%E5%93%81%E3%81%B8%E3%81%AE%E5%BD%B1%E9%9F%BF%E9%9F%BF?lang=ja, http://www.dell.com/support/article/jp/ja/jpbsd1/sln308588/%E3%83%9E%E3%82%A4%E3%82%AF%E3%83%AD%E3%83%97%E3%83%AD%E3%82%BB%E3%83%83%E3%82%B5%E3%83%BC%E3%81%AE%E3%82%B5%E3%82%A4%E3%83%89%E3%83%81%E3%83%A3%E3%83%8D%E3%83%AB%E6%94%BB%E6%92%83-cve-2017-5715-cve-2017-5753-cve-2017-5754-%E3%83%87%E3%83%ABemc%E8%A3%BD%E5%93%81-dell-enterprise%E3%82%B5%E3%83%BC%E3%83%90%E3%83%BC-%E3%82%B9%E3%83%88%E3%83%AC%E3%83%BC%E3%82%B8%E5%8F%8A%E3%81%B3%E3%83%8D%E3%83%83%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AD%E3%83%B3%E3%82%B0-%E3%81%B8%E3%81%AE%E5%BD%B1%E9%9F%BF?lang=ja, http://www.fmworld.net/biz/common/info/20180109/, http://www.fujitsu.com/global/support/products/software/security/products-f/jvn-93823979e.html, http://intl.getac.com/aboutgetac/activities/activities_2018011042.html, http://www.itmedia.co.jp/enterprise/articles/1801/12/news051.html, https://akiba-pc.watch.impress.co.jp/docs/sp/1101498.html, https://ja.wikipedia.org/w/index.php?title=Meltdown&oldid=79396608, オペレーティングシステムに対するパッチは、Power版Linuxは各ディストリビューターよりリリース済。, Row hammer – an unintended side effect in dynamic random-access memory causing memory cells to interact electrically. Au fil des années, de nouvelles variantes de Spectre risquent d’être découvertes, et de nouvelles façons d’exploiter la faille pourraient également émerger. Rappelons en effet que le cloud permet à des dizaines d’utilisateurs de partager les ressources informatiques d’un même serveur.eval(ez_write_tag([[468,60],'lebigdata_fr-medrectangle-3','ezslot_9',107,'0','0'])); Profitez de 2 To à vie de stockage en ligne avec pCloud. Meltdown vs Spectre. Meltdown and Spectre: Which systems are affected by Meltdown? « À l'heure actuelle, il n'est pas clair si les processeurs ARM et AMD sont également affectés par Meltdown », selon les documents mis en ligne par les chercheurs de Google. Cette vulnérabilité permet donc d'outrepasser toutes les protections comme les bac à sables et accéder à des informations interdites. Enfin, l'attaque peut-être menée en parallèle afin de trouver plus rapidement les informations mémoire. Il ne s'agit pas d'un accès directe à la mémoire RAM mais plutôt d'une déduction du contenu de celle-ci à travers a mémoire en cache sur le processeur. Les failles Spectre et Meltdown, qui affectent les processeurs Intel mais aussi ceux de AMD et ARM pourraient être une catastrophe pour le cloud. The Register記事：Kernel-memory-leaking Intel processor design flaw forces Linux, Windows redesign 最初にこの件を報じたのは、英国の”The Register”と言う技術系のニュースサイトでした。投稿日時は現地時間の1月2日19時29分（日本時間：1月3日3時29分）です。Intel製CPUにハードウェ設計上の欠陥が見つかり、OS側の修正により5～30%も処理性能が … source : SPECTRE & MELTDOWN: TAPPING INTO THE CPU'S SUBCONSCIOUS THOUGHTS. D'après les experts, la faille Spectre serait due à un défaut de conception des microprocesseurs. Cloud computing Spectre is still a problem that cannot be resolved with a software patch though Intel is stating otherwise. Le groupe a dû reconnaître que « des acteurs malveillants » pouvaient accéder aux informations de l'ordinateur. De nombreuses entreprises font pleinement confiance à AWS ou Google Cloud, et stockent des informations extrêmement sensibles sur leurs serveurs. Il a ajouté que le groupe était au courant « depuis quelque temps » du problème, et travaillait dessus, mais attendait le bon moment pour communiquer. Même certaines agences de sécurité gouvernementales conservent leurs mots de passe et d’autres données sensibles sur les serveurs cloud.eval(ez_write_tag([[336,280],'lebigdata_fr-medrectangle-4','ezslot_5',108,'0','0'])); Face à cette terrifiante menace, les principaux fournisseurs de cloud ont déjà commencé à prendre les mesures nécessaires. Ces failles pourraient donc se révéler particulièrement lucractives pour les hackers. 2018年の年明け早々から話題となったCPUの脆弱性「Spectre」と「Meltdown」について、想定される悪用の手順とこれからの取り組みについて考えます。 Deux vulnérabilités nommées Meltdown et Spectre affectent les processeurs Intel depuis 1995. Des correctifs efficaces contre Meltdown ont déjà été diffusés pour les ordinateurs sous Linux, Windows et OS X. Chaque jour, la rédaction des Echos vous apporte une information fiable en temps réel. Les différents éditeurs se doivent de publier des correctifs concernant ces deux vulnérabilités. It allows a rogue process to read all memory, even when it is not authorized to do so. Un tel cas de figure serait catastrophique pour le cloud. Meltdown concerne tous les processeurs Intel qui équipent les ordinateurs et les serveurs, notamment utilisés pour les services de cloud, et ce depuis 1995. Cette vulnérabilité a été trouvée par Google et publiée le 3 Janvier 2018.Beaucoup d'éditeurs (dont Google) n'ont pas encore publiés de correctifs. La mise à jour des pilotes des cartes graphiques Nvidia GeForce driver 390.65 corrige la vulnérabilité Spectre. La rumeur s'est finalement confirmée et Intel commence mal l'année. Sur Windows 7, la mise à jour peut provoquer un BSOD STOP 0x000000c4 après la mise à jour KB4056894 au démarrage. Physique quantique et Big Data : le futur de la Data Science ? Les patchs correctifs ne permettraient que de combler la faille à court terme. [TEST] pCloud : un service de stockage Cloud avec abonnement à vie, Pourquoi apprendre Python, le langage de programmation du futur, Reconfinement : les chatbots et l'IA peuvent préserver votre santé mentale. GUIDERENOVATION.FRLe guide ultime pour la rénovation de votre habitat, GUIDEDESPRIX.NETVotre guide des prix travaux et rénovation, APPEL-DOFFRE.COMAppels d'offres privés travaux et chantiers, Intel : les failles Spectre et Meltdown sont une catastrophe pour le cloud, sur Intel : les failles Spectre et Meltdown sont une catastrophe pour le cloud, Zone Téléchargement : Découvrez l'URL à jour et qui marche ✅, Zone Annuaire : le successeur de Zone-Téléchargement. Des mises à jour de sécurité ont déjà commencé à être diffusées afin d'atténuer le problème. En exploitant ces vulnérabilités, des hackers pourraient s’emparer des données de tous les utilisateurs d’un même serveur. SpectreとMeltdownの今後 2018年10月、Intelは新型CPU（2019年に発売が予定されている世代）では、SpectreとMeltdownに対するハードウェアレベルでの保護を搭載すると発表しました（英語記事）。しかし、これは「基本的な」脆弱 L'accès à la mémoire RAM est un peu plus lente que le processeur.Afin de ne pas être handicapé, les constructeurs de processeur ont créé une mémoire cache sur le processeur qui contient les informations les plus régulières.Le but est ainsi de ne pas avoir à accéder à la mémoire RAM est ainsi gagner en vitesse. Ainsi un malware pourrait lire des informations stockées par les applications dont des mots de passe.Ces vulnérabilités tirent partie de la fonction d'exécution spéculative sur les processeur Intel, de ce fait, il s'agit de de vulnérabilités de canal latéral exécution spéculative.Cette fonction tente de prédire le prochain calcul du processeur selon les actions effectuées par les applications et d'effectuer le calcul en avance afin d'optimiser les performances.Pour un aperçu du principe de ces vulnérabilités, lire le paragraphe suivant. Les numéros des alertes de sécurité : CVE-2017-5753, CVE-2017-5715 (Spectre), et CVE-2017-5754 (Meltdown).Enfin, un site informatif regroupant toutes les informations a aussi été créé : https://meltdownattack.com/. Sur Windows 8 et Windows 7 (PC de 2015 en Haswell et anciens CPU), les utilisateurs ne devraient se rendre compte de rien. Commentaires fermés sur Intel : les failles Spectre et Meltdown sont une catastrophe pour le cloud. Selon Mounir Hahad de Juniper Networks, ces failles de sécurité pourraient permettre à un utilisateur de service cloud d’accéder aux données d’un utilisateur du même service hébergé sur le même serveur. source: Understanding the performance impact of Spectre and Meltdown mitigations on Windows Systems. La seconde faille de sécurité, Meltdown, pourrait affecter tous les processeurs Intel depuis 1995. Notez que les smartphone Samsung n'utilisent pas de processeur Intel et ne sont donc pas touchées par ces vulnérabilités. D'autres benchmark sont disponibles notamment celui-ci sur le jeu BattleField : D'après ce tweet, ces vulnérabilités sont déjà exploitées par un malware qui a permis de récupérer plus de 100k mots de passe de compte en ligne. 日本でCPUの脆弱性について報道されたのは、1月4日のことです。 1. Ces derniers affirment avoir alerté Intel le 1er juin dernier. Seul le renouvellement des appareils permettrait aux entreprises concernées de se prémunir durablement, précise Gérôme Billois, expert cybersécurité au cabinet Wavestone. Microsoft a publié un bulletin de sécurité concernant Windows : KB4073119 et KB4072699 (pour les Windows Serveur).Les correctifs corrigent le bug Meltdown et une partie des bugs Specture.Pour ce dernier, une mise à jour CPU-firmware peut-être nécessaire. Voici quelques informations autour de ces vulnérabilités Meltdown et Spectre. Potentiellement, un cyber-attaquant qui exploiterait ces vulnérabilités pourrait dérober des données hautement sensibles sur un ordinateur (pseudos, mots de passe, numéros de cartes bancaires, etc.). Intel 製プロセッサを使用中の場合、そうした環境でハイパースレッディングを無効にすることをお勧めします。 SQL Server のパッチは、次のスケジュールされた更新期間で通常のパッチ処理ポリシーの一部としてインストールする必要があり 5 Les applications mobiles pour smartphones, les services de streaming comme Netflix et Spotify… tout l’internet moderne dépend du cloud. Windows Serveur, sur les applications avec IO intensifs, une baisse des performances devraient être constatée si vous activez l'isolation et mitigation de codes inconnus. Pour cause, même si les utilisateurs sont sur le même serveur, leurs instances logicielles sont bien séparées et rien ne permet de passer d’une instance à l’autre. Vulnérabilités Meltdown et Spectre visant les processeurs Intel... [Clôt] Mon portable HP Spectre ne sort aucun son en HDMI... Contourner le blocage de Windows Update pour les nouveaux processeurs... Dessinez un texte (ou une publicité ou ce que vous voulez) sur l'écran, On lit et écrit des informations dans le cache mémoire afin que celui-ci soit remplit, On lit la première lettre du mot de passe Wifi qui est en mémoire du système d'exploitation, Si cette première est un "S", on lit le premier pixel en mémoire de notre texte à l'écran.