Menace Nouvelle faille informatique mondiale

Des scientifiques de l'EPFL, en collaboration avec des chercheurs d'IBM, ont identifié une faille de sécurité informatique généralisée. Elle concerne les ordinateurs portables, les ordinateurs de bureau et le matériel serveur.

L'année dernière, les failles de sécurité «Spectre» et «Meltdown», qui touchent les CPU («central processing units» ou processeurs) Intel de la plupart des ordinateurs portables et de bureau et des serveurs, ont défrayé la chronique, a indiqué mercredi l'Ecole polytechnique fédérale de Lausanne (EPFL) dans un communiqué.

Aujourd'hui, les chercheurs des laboratoires HexHive et PARSA de l'EPFL, en collaboration avec le centre de recherche IBM de Zurich, ont identifié une nouvelle attaque similaire, appelée SMoTherSpectre.

En jargon informatique, SMoTherSpectre est une «attaque spéculative par canal auxiliaire». Autrement dit, elle permet à un agresseur potentiel de détourner des données en profitant d'une technique d'optimisation du CPU dans laquelle les instructions sont exécutées de manière «spéculative» après une branche (point de décision) dans le code.

«Canal auxiliaire»

Les CPU modernes traitent de nombreuses instructions simultanément, mais plutôt que d'attendre que l'exécution des instructions de la branche soient terminées, ces CPU «supposent» quelle cible va être utilisée et exécutent ces instructions de manière spéculative.

Si la supposition est exacte, les instructions exécutées de manière spéculative sont prises en compte, ce qui améliore la performance; sinon, elles sont ignorées. Malheureusement, les suppositions inexactes génèrent un «canal auxiliaire» qui permet à un agresseur de détourner des informations.

Les attaques Meltdown et Spectre ont également exploité le principe de l'exécution spéculative, mais l'approche unique des chercheurs de l'EPFL cible l'origine même de ces failles de sécurité: la contention de port, qui survient lorsque des séries d'instructions devant être exécutées simultanément sur un CPU sont retardées en raison de conflits de planification.

Une attaque SMoTherSpectre met à profit une contention de port pour déterminer les instructions qui ont été exécutées de manière spéculative. «SMoTherSpectre chronomètre les séquences d'instructions exécutées de manière spéculative, ce qui permet à l'auteur de l'attaque de déduire quelles séquences d'instructions ont été exécutées et d'identifier les exécutions en cours», explique Mathias Payer, responsable d'HexHive et professeur à l'EPFL, cité dans le communiqué.

Faille difficile à corriger

Mathias Payer ajoute que cette faille de sécurité est particulièrement difficile à corriger parce qu'elle touche le matériel CPU et non les logiciels.

«Même si un programme logiciel est totalement protégé contre les attaques, il peut être affecté en raison de cette vulnérabilité. Les solutions sont toutes difficiles à implémenter et ont toutes un impact sur la performance et les coûts», dit-il, en précisant que les versions futures du matériel Intel devront être mises à jour pour résoudre ce problème.

Le Pr Payer note que la distinction entre vulnérabilité matérielle et vulnérabilité logicielle est précisément ce qui différencie SMoTherSpectre d'une autre attaque développée simultanément: PortSmash. Cette dernière permet de dérober des informations sur des instructions CPU exécutées régulièrement en présence d'un bug logiciel, mais le problème est résolu une fois la faille logicielle réparée.

Les chercheurs ont révélé l'attaque SMoTherSpectre à Intel, AMD, OpenSSL et IBM. Ils ont publié l'intégralité de leur étude dans la base de données en ligne arXiv et posté une description technique détaillée dans un blog.

Protégez votre carte de crédit sans contact!

Voir 15 autres images

Vol de données NFC: protégez vos cartes de crédit sans contact

Le paiement sans contact via carte de crédit fait des émules: des millions de consommateurs utilisent déjà cette technologie pour payer de petits montants en quelques secondes.

Photo: iStock

Les distributeurs de cartes de crédit en font activement la promotion: la plupart des nouvelles cartes de crédit sont équipées d'une puce NFC (Near Field Communication, ou Communication dans un champ proche).

Photo: iStock

Il suffit de chercher le symbole WLAN/Wi-fi pour déterminer si la carte est équipée de la fonctionnalité de paiement sans contact. Il ne reste plus qu'à apposer la carte sur le terminal pour envoyer le paiement. Cependant, ce confort a un prix.

Photo: iStock

Les fraudeurs ont désormais développé de nouvelles méthodes leur permettant d'accéder aux données stockées sur ces cartes équipées de la puce NFC. Ils peuvent ainsi s'enrichir au détriment de la victime.

Photo: iStock

Nous vivons à une époque où l'argent n'est plus dérobé de façon conventionnelle. Il est beaucoup plus lucratif de mettre directement la main sur les informations de la carte de crédit de la victime.

Photo: iStock

Aujourd'hui, grâce aux cartes de crédit équipées du paiement sans contact, cette manipulation dure à peine quelques secondes. Les fraudeurs ont simplement besoin d'un scanner RFID, qu'il est possible de se procurer en ligne pour environ 40 francs.

Photo: iStock

Les données de la carte de crédit de la victime sont captées à travers la poche, le sac à dos ou le porte-monnaie. C'est ainsi que le numéro de carte et la date d'expiration sont transmis au fraudeur.

Photo: iStock

Ces informations sont amplement suffisantes pour passer de petites commandes dans certains magasins en ligne. Ainsi, le criminel peut faire ses emplettes avec les données volées.

Photo: iStock

En outre, il se peut que ce piratage ne nécessite même plus de scanner, étant donné que toujours plus de Smartphones disposent d'une puce NFC intégrée pour pouvoir utiliser le paiement sans contact.

Photo: iStock

On peut imaginer que les fraudeurs utilisent un logiciel malveillant pour déclencher le lecteur NFC, activer la carte de la victime et transférer les données récupérées sur Internet.

Photo: iStock

Si vous remarquez des transactions suspectes sur votre relevé bancaire, contactez immédiatement votre banque ou votre fournisseur de carte afin, si nécessaire, de faire opposition.

Photo: iStock

Néanmoins, comment réagir avant qu'il ne soit trop tard? Au final, le vol de données ne se remarque même pas sur le moment.

Photo: iStock

On peut douter de l'efficacité des coques en aluminium censées protéger des «ondes manipulatrices». Toutefois, dans ce cas de figure, l'aluminium est une bonne solution. Si la carte a été fabriquée en cette matière, le fraudeur n'a aucune chance.

Photo: iStock

Entre-temps, de nouveaux porte-monnaie avec «protection-RFID» intégrée ont vu le jour (Alpine Swiss en a produit un modèle). Le contenu de ces porte-monnaie est protégé du vol de données.

Photo: Alpine Swiss

D'autres documents équipés de la technologie NFC sont vulnérables, tels que le SwissPass émis par les CFF. En revanche, les éventuels fraudeurs ne peuvent rien faire de ces données, vu qu'elles sont sauvegardées par les CFF sur des serveurs sécurisés.

Photo: SBB