Spectre, Meltdown... 4 questions pour comprendre les failles qui menacent les PC et smartphones

Un vent de panique souffle sur le monde de l'informatique depuis mardi. Un article du magazine spécialisé britannique The Register a mis le feu aux poudres le 2 janvier en dévoilant qu'une faille de sécurité affecte depuis leur conception les millions de microprocesseurs - les unités de calcul dans le noyau des ordinateurs - fabriqués par Intel depuis une décennie. L'entreprise américaine détient près de 80% du marché des puces informatiques.

Cette faille met potentiellement en danger la confidentialité des données conservées par les ordinateurs qui les utilisent et sa réparation a de grandes chances de réduire les performances de certaines machines.

Mercredi 3 janvier, un groupe de chercheurs en sécurité a finalement révélé qu'il existait deux variantes de la faille. Connues sous le nom de Meltdown et Spectre, elles concernent également les processeurs ARM et AMD, les autres principaux fabricants de processeurs. Au final, ces vulnérabilités impactent directement presque tous les ordinateurs, PC ou Mac, et de nombreux appareils mobiles dans le monde.

1 - Que sont Meltdown et Spectre ?

Tous les ordinateurs fonctionnent avec un processeur, ou CPU en anglais. Ils sont aussi utilisés dans les serveurs fournissant des services de cloud, comme Linux, et dans les appareils mobiles, comme les smartphones et les tablettes. Ces puces informatiques sont utilisées pour traiter les données et exécuter des tâches simultanées en temps réel. Leur mémoire virtuelle est normalement protégée pour compartimenter les tâches et sécuriser les données qu'elles font transiter. 

Les failles Meltdown et Spectre sont dues à un défaut dans la conception de l'architecture des processeurs, et plus particulièrement dans le design de la gestion de leur mémoire. Elles permettent à des pirates d'y accéder par l'intermédiaire de logiciels malveillants. 

Meltdown fait fondre les barrières de protection entre les applications et le système d'exploitation de l'ordinateur. De son côté, Spectre rompt l'isolation entre les différentes applications et permet à un pirate, après des manipulations complexes, de récupérer les données qu'elles contiennent en passant directement de l'une à l'autre sans se faire remarquer, comme un fantôme entre les murs.

2 - Pourquoi ces failles sont dangereuses ?

Ces deux failles sont critiques. Elles donnent accès à une partie de la mémoire du processeur censée être inaccessible car elle contient toutes les informations transitant par l'ordinateur comme les mots de passe (y compris ceux qui sont stockés dans un gestionnaire de mots de passe), les mails, les photos, les documents personnels et professionnels, etc. Le péril est d'autant plus important que les serveurs de données utilisés par les services de cloud sont également concernés. En cas de piratage, ces données peuvent être utilisées pour tenter d'accéder à d'autres services.

On ignore si des pirates ont déjà tiré profit de ces vulnérabilités. Les chercheurs en sécurité n'en n'ont pas la connaissance pour l'instant. Leur exploitation est complexe. Pour profiter de Meltdown, un pirate doit installer un logiciel malveillant sur l'ordinateur d'un particulier en le dissimulant derrière un mail de phishing ou une application. Selon les chercheurs, Spectre est plus difficile d'accès. Mais son exploitation serait pour l'instant impossible à détecter.

Face à ces menaces, il est plus que jamais recommandé de respecter les principes de sécurité informatique les plus élémentaires, à savoir ne pas télécharger une application qui n'est pas vérifiée, choisir des mots de passe complexe pour accéder à ses différents services en ligne, ne pas communiquer de données sensibles à des destinataires dont l'identité n'est pas vérifiée, installer dès que possible les mises à jour des éditeurs et effectuer des copies de ses documents les plus importants.

3 - Quelles sont les conséquences pour mon ordinateur ?

Les chercheurs à l'origine de la découverte des deux failles le disent sans détour, votre ordinateur a de grandes chances d'être concerné. Meltdown impacte toutes les puces Intel utilisées par les ordinateurs personnels, de bureau et les serveurs depuis le milieu des années 1990. Les chercheurs n'ont pas encore établi si les puces ARM et AMD le sont également. Pour sa part, Spectre touche les ordinateurs, les smartphones et les serveurs utilisant des architectures de processeurs Intel, ARM, AMD et IBM. 

Autre quasi-certitude, les patchs disponibles pour combler la faille Meltdown devraient altérer les performances des ordinateurs sur lesquels ils sont installés. Selon les premières estimations, il faut s'attendre à une baisse de performance comprise entre 5% et 30%. Un ralentissement peu perceptible pour les processeurs les plus récents, mais beaucoup plus préjudiciable pour les plus anciens.

4 - Comment se protéger ?

Les entreprises touchées par Meltdown ont été prévenues avant la révélation de la faille, dès le mois de juin, afin de travailler au déploiement d'un patch pour la corriger. Des mises à jour majeures doivent être déployées dans l'architecture des systèmes d'exploitation utilisant ces processeurs, comme Windows, Linux et macOS. 

Microsoft a annoncé le mise en ligne d'un correctif pour le système d'exploitation Windows 10 le 4 janvier et dans les prochains jours pour les versions antérieures. Mais le patch peut provoquer des interférences avec certains antivirus. Utilisé par de nombreux ordinateurs de bureau et services de cloud, le système d'exploitation Linux a déjà mis en ligne un correctif. Amazon Web Service, Azure et OVH ont annoncé le déploiement d'un patch. 

Apple a confirmé jeudi que ses appareils sont affectés par la faille. La marque à la pomme a déjà modifié son système d'exploitation pour Mac macOS et assure que ces réparations n'altèrent pas les performances des appareils. Google doit publier une mise à jour de sécurité pour Android d'ici la fin de la semaine. Mais on ignore quand les différents constructeurs de smartphones utilisant ce système d'exploitation l'intégreront à leurs propres mises à jour. Les navigateurs Chrome et Firefox travaillent aussi en ce sens.

En revanche, il n'existe pas de correctif connu pour Spectre car la faille est matérielle. Elle concerne l'architecture même des puces informatiques et remet en cause les standards de conception des processeurs et des noyaux des ordinateurs. Les experts estiment qu'elle ne sera totalement réparée qu'une fois le matériel renouvelé. Lorsque les fabricants auront modifié leurs méthodes de conception des puces informatiques et que ces dernières seront utilisées par la majorité des ordinateurs en circulation.

L’actualité par la rédaction de RTL dans votre boîte mail.

Grâce à votre compte RTL abonnez-vous à la newsletter RTL info pour suivre toute l'actualité au quotidien

Je créé mon compte Se connecter

S’abonner à la Newsletter RTL Info