L’attaque via SolarWinds, un éditeur de logiciels, restera dans les annales (avant de passer à la méga-attaque suivante). Une bourde de cet éditeur a conduit à une attaque à la fois sophistiquée, étendue, et particulièrement grave. Beaucoup de commentaires suivront, mais regardons les grandes lignes.
Continuer la lectureArchives de catégorie : Actualités
FireEye piratée
Arroseur arrosé ou cible particulièrement intéressante ? FireEye est une société réputée et performante dans le domaine de la sécurité informatique, notamment dans la réponse à incident (Madiant étant une des sociétés du groupe), mais aussi dans la protection contre les menaces même les plus avancées. Et pourtant, fin 2020, elle a été ciblée et l’attaque a abouti.
Continuer la lectureBGP
BGP est un protocole méconnu mais structurant d’internet, Facebook1 ne dira pas le contraire (même si le DNS a aussi son rôle à jouer2). « La meilleure définition est que c’est le protocole de routage qui fait fonctionner Internet »3 selon LeMagIT. Rien de moins. Et pourtant il s’appuie sur des mécanismes anciens qui datent du temps où tout le monde était gentil sur internet…
Continuer la lectureCovid 19
Difficile de rester confiné pendant plusieurs semaines sans ronger son frein. Je vais essayer de comptabiliser ici les bonnes et les mauvaises initiatives durant cette période. Les bonnes sont les gestes d’entraide, les mauvaises sont les attaques profitant du sujet.
Continuer la lectureCrypto AG
Beaucoup de bruit pour rien… On découvre en 2020 que les espions espionnent. Si je m’attendais à ça…
Continuer la lectureBrèves (mai 2019)
Conteneurs Docker
Excellent : après la découverte d’une grosse boulette sur les distributions Alpine Linux, dont les images Docker permettaient l’accès root sans mot de passe (durant 3 ans !), les chercheurs ont poussé leur recherche dans les 1000 images les plus utilisées1. Au total 194 images (sur 1000) sont dans le même cas (root sans mot de passe).
Source
Responsabilité partagée
Bien que n’ayant pas tous les détails, voici un bel exemple d’illustration de ce qu’est la responsabilité partagée, quand on est dans le cloud.
Une base de données non protégée, hébergée chez AWS, a fait fuiter des millions d’informations sur des « influenceurs » d’Instagram2 (qui appartient à Facebook…) y compris des données privées. Or c’est au propriétaire de la base, une société nommée Chtrbox, qu’il appartient de sécuriser sa base de données.
Patch XP et Windows 7
Bien que le support de ces versions de Windows soit théoriquement terminé (au moins pour le grand public), Microsoft a sorti des patchs de sécurité sur ces produits en mai 20193456.
Pourquoi ?
En raison d’une faille de sécurité sur RDP (Remote Desktop Protocol) si grave qu’on redoute un nouveau WannaCry, rien de moins (à savoir un programme malveillant se propageant sous la forme de ver réseau).
Sources
- CVE-2019-0708 (Microsoft)
Trop triste réalité
J’en voulais aux Shadow Brokers d’avoir publié certains outils de la NSA, rendant ainsi facile l’attaque par des personnes ignares et non qualifiées, telles que les Anonymous.
Trop triste : dans la série « les espions espionnent », il s’avère que des pirates chinois1 ont utilisé ces outils… un an plus tôt !
Antivirus accablants
Voilà comment réduire un titre pour lui faire dire ce qu’on veut : il paraît que les antivirus sont nuls sur Android. En 2020, on les a même transformés en « logiciels dévastateurs ». Mouais.
Continuer la lectureSpoiler
Les gestionnaires de mots de passe faillibles ?
Vraiment ? L’actualité court sur tous les sites web (enfin, quelques uns) pour indiquer que les gestionnaires de mots de passe comme KeePass ou 1Password laisseraient des informations critiques en clair.
Continuer la lectureSources d’information
Voici mes différentes sources d’information, en ce qui concerne l’actualité.
| next.ink | https://next.ink | Actualité IT, cybersécurité, numérique et réglementation | Média de presse indépendant | B[1] | Rédaction identifiée et travail journalistique, mais reste une source secondaire. |
| ANSSI | https://cyber.gouv.fr | Alertes, recommandations, doctrine et publications officielles de cybersécurité | Agence nationale de la sécurité des systèmes d’information | A | Source institutionnelle primaire, forte redevabilité et expertise reconnue. |
| CNIL | https://www.cnil.fr | Protection des données, conformité, sanctions et doctrine RGPD | Commission nationale de l’informatique et des libertés | A | Autorité publique de référence sur les données personnelles. |
| ThreatPost | https://threatpost.com | Actualité cybersécurité, failles, menaces et analyses | Média spécialisé cybersécurité | B | Média spécialisé généralement sérieux, à recouper pour les sujets sensibles. |
| SANS Institute | https://www.sans.org | Formation, recherche, veille et ressources SSI | SANS Institute | B | Organisation reconnue et experte, mais pas une autorité publique. |
| SANS Internet Storm Center | https://isc.sans.edu | Veille incidents, journaux d’analyse, détection et tendances d’attaque | SANS Internet Storm Center | B | Production experte et technique, habituellement solide. |
| AlienVault OTX | https://otx.alienvault.com | Threat intelligence, IOC, campagnes et partage communautaire | Open Threat Exchange / AlienVault | C | Très utile mais partiellement communautaire; la qualité varie selon les contributeurs. |
| IBM X-Force | https://www.ibm.com/security/xforce | Threat intelligence, rapports, IOC et analyses de menaces | IBM X-Force | B | Équipe de recherche identifiée, bonne qualité globale, biais éditeur possible. |
| Dark Reading | https://www.darkreading.com | Actualité et analyse cybersécurité | Média spécialisé | B | Média établi, généralement fiable, à recouper sur les scoops. |
| Cyberguerre / Numerama | https://cyberguerre.numerama.com | Cyberguerre, géopolitique cyber et actualité sécurité | Numerama | B | Rédaction identifiée; bon niveau de vulgarisation et d’actualité. |
| Recorded Future | https://www.recordedfuture.com | Threat intelligence, rapports et veille sur les menaces | Recorded Future | B | Acteur réputé du renseignement cyber; intérêt commercial à garder en tête. |
| TechRepublic | https://www.techrepublic.com | IT pro, sécurité, outils et tendances | Média professionnel | B | Source sérieuse pour l’IT pro, plutôt secondaire que primaire. |
| InformatiqueNews | https://www.informatiquenews.fr | Actualité IT et sécurité | Média français B2B | B | Presse professionnelle généralement fiable. |
| CSO Online | https://www.csoonline.com | Sécurité des SI, gouvernance, risques et conformité | Média professionnel IDG/Foundry | B | Média reconnu côté RSSI/CISO, fiable mais secondaire. |
| SecurityWeek | https://www.securityweek.com | Actualité cybersécurité, incidents, produits et recherche | Média spécialisé | B | Bonne réputation dans l’écosystème sécurité. |
| 01Net | https://www.01net.com | Actualité informatique grand public et pro, parfois cybersécurité | Média tech français | B | Rédaction connue; niveau variable selon les sujets. |
| ZDNet France | https://www.zdnet.fr | Actualité informatique, cybersécurité et transformation numérique | Média tech professionnel | B | Source installée et globalement sérieuse. |
| BleepingComputer | https://www.bleepingcomputer.com | Incidents, malware, correctifs, failles et guides pratiques | Média spécialisé | B | Très suivi en cyber; bon niveau factuel, à recouper pour les analyses plus larges. |
| LeMagIT | https://www.lemagit.fr | Actualité IT entreprise et sécurité | Média professionnel français | B | Publication B2B reconnue. |
| TechCrunch | https://techcrunch.com | Actualité tech, startups, produits et parfois sécurité | Média technologique | B | Fiable sur l’actualité entreprise/écosystème, moins spécialisé en cyber. |
| CNET France | https://www.cnetfrance.fr | Actualité tech grand public et sécurité | Média tech | C | Peut être utile mais pas spécialisé; profondeur variable. |
| Ubergizmo FR | https://fr.ubergizmo.com | Actualité tech grand public et gadgets, parfois sécurité | Média tech | C | Peu spécialisé en cybersécurité; fiabilité correcte sans plus. |
| Ars Technica | https://arstechnica.com | Analyse technique, sécurité, science et technologie | Média technologique | B | Très bonne qualité rédactionnelle et technique. |
| NewsNow | https://www.newsnow.co.uk | Agrégation de liens d’actualité | Agrégateur | F | Agrège des sources tierces; la fiabilité dépend entièrement de la source d’origine. |
| The Hacker News | https://thehackernews.com | Actualité cybersécurité, menaces, failles et attaques | Média spécialisé | C | Très réactif mais parfois sensationnaliste; recoupement recommandé. |
| UnderNews | https://www.undernews.fr | Actualité et billets orientés sécurité / culture cyber | Site éditorial indépendant | C | Peut contenir de bonnes informations, mais validation éditoriale moins transparente. |
| Security Affairs | https://securityaffairs.com | Actualité cybersécurité et renseignement sur les menaces | Blog / média spécialisé | B | Publication reconnue dans le secteur, habituellement fiable. |
| Le Big Data | https://www.lebigdata.fr | Big data, IA, cloud et parfois cybersécurité | Média spécialisé data/IA | C | Pas centré sur la cyber; fiabilité correcte mais profondeur variable. |
| Krebs on Security | https://krebsonsecurity.com | Enquêtes, cybercriminalité, incidents et sécurité | Brian Krebs | B | Auteur identifié, solide réputation d’enquête, mais reste une source individuelle. |
| Schneier on Security | https://www.schneier.com | Analyses sécurité, politique publique et cryptographie | Bruce Schneier | B | Auteur de référence, très crédible, mais blog personnel. |
| Zataz | https://www.zataz.com | Actualité cyber, fuites, enquêtes et brèves | ZATAZ / site indépendant | D | Historique ancien et réseau de sources, mais approche parfois sensationnelle. |
| Korben | https://korben.info | Culture tech, sécurité, outils et billets personnels | Korben | C | Blog influent mais hétérogène et non spécialisé uniquement cyber. |
| bortzmeyer.org | https://www.bortzmeyer.org | Réseaux, DNS, sécurité, standards et billets techniques | Stéphane Bortzmeyer | B | Auteur expert identifié; contenu technique de bon niveau. |
| Observatoire FIC | https://observatoire-fic.com | Interviews, replays, conférences et veille sécurité | Forum InCyber / Observatoire FIC | B | Source événementielle sérieuse, bonne qualité mais pas toujours primaire. |
| CyberEdu | https://www.cyberedu.fr | Formation et sensibilisation cybersécurité | CyberEdu | B | Projet de sensibilisation/formation utile et généralement sérieux. |
| Supports pédagogiques ANSSI | https://www.ssi.gouv.fr/entreprise/formations/cyberedu/ | Supports pédagogiques de formation cyber | ANSSI | A | Documents officiels de formation produits par l’autorité nationale. |
| Hack Academy | https://www.hack-academy.fr | Formation offensive, pentest et sécurité applicative | Hack Academy | B | Organisme identifié spécialisé; contenu généralement fiable dans son domaine. |
| SecNumAcadémie | https://secnumacademie.gouv.fr | Sensibilisation et formation de base en cybersécurité | ANSSI | A | Plateforme officielle de sensibilisation gouvernementale. |
| skillset.com | https://www.skillset.com | Quiz et apprentissage sécurité | Plateforme privée de formation | F | Plateforme peu contextualisée ici et difficile à estimer en tant que source de référence. |
| OWASP | https://owasp.org | Guides, référentiels, sécurité applicative et bonnes pratiques | OWASP Foundation | B | Référence communautaire majeure, très utile, même si non institutionnelle. |
| edX | https://www.edx.org | MOOC, cours universitaires et techniques | edX / plateforme de cours | B | Qualité dépend du cours, mais plateforme globalement sérieuse. |
| Trail of Bits | https://github.com/trailofbits | Recherche sécurité, outils et ressources techniques | Trail of Bits | B | Acteur réputé en recherche offensive et outils sécurité. |
| PluralSight | https://www.pluralsight.com | Formation vidéo IT et cybersécurité | Pluralsight | B | Plateforme connue; qualité globalement correcte mais variable selon le cours. |
| Damn Vulnerable Web Application | https://www.dvwa.co.uk | Application volontairement vulnérable pour apprentissage | DVWA project | B | Projet pédagogique bien connu pour l’entraînement. |
| Zenk Security | https://www.zenk-security.com | Tutoriels, articles et ressources sécurité offensive | Site communautaire / indépendant | C | Utile pour la pratique, mais niveau éditorial et fraîcheur variables. |
| Bugtraq Team | https://www.bugtraq-apps.com | Outils, formations et ressources sécurité offensive | Bugtraq Team | C | Source orientée pratique; à manier avec recoupement. |
| Root-Me | https://www.root-me.org | Challenges, apprentissage et exercices de sécurité | Association Root-Me | B | Plateforme reconnue de formation pratique. |
| Hack The Box | https://www.hackthebox.com | Entraînement offensif, labs et challenges | Hack The Box | B | Plateforme de référence pour la pratique offensive. |
| VulnHub | https://www.vulnhub.com | Machines vulnérables pour entraînement | VulnHub | B | Très utile en laboratoire; contenu pédagogique plutôt fiable. |
| CMD Challenge | https://cmdchallenge.com | Exercices shell/CLI | CMD Challenge | B | Projet simple et pédagogique, fiable dans son périmètre. |
| TryHackMe | https://tryhackme.com | Formation gamifiée et labs cyber | TryHackMe | B | Plateforme très utilisée; qualité globalement bonne. |
| WeChall | https://www.wechall.net | Répertoire de sites de challenges et scoring | WeChall | C | Annuaire utile mais agrège d’autres contenus. |
| Naked Security | https://nakedsecurity.sophos.com | Articles, menaces, sensibilisation et analyses sécurité | Sophos | B | Blog éditeur sérieux; biais commercial possible mais contenu souvent utile. |
Échelle OTAN de fiabilité de la source : A totalement fiable, B habituellement fiable, C assez fiable, D rarement fiable, E non fiable, F fiabilité non estimable.
- L’incontournable nextinpact.com devenu next.ink, site web d’info parlant régulièrement de sécurité et des sujets liés (et c’est un groupe de presse indépendant) ;
- la newsletter de l’ANSSI (que je ne peux pas reproduire telle quelle ici) mais les sites de l’ANSSI et de la CNIL sont d’excellentes sources d’informations ;
- la newsletter de ThreatPost, un site spécialisé dans la sécurité informatique ;
- la newsletter du Sans Institute, organisation de recherche et de formation sur la SSI (ou sinon leur site web, par exemple la page InfoSec Diary Blog Archive – SANS Internet Storm Center) ;
- AlienVault OTX, base de connaissance de Threat Intelligence ;
- IBM X-Force, division d’IBM dédiée à la sécurité informatique, avec une base du même genre qu’OTX mais complémentaire ;
- Dark Reading ;
- https://cyberguerre.numerama.com/
Dans le registre des newsletters :
- Recorded Future ;
- TechRepublic ;
- InformatiqueNews ;
- CSO Online ;
- Threat Post (qui propose aussi des newsletters quotidiennes) ;
- SecurityWeek Briefing.
Côté sites d’informations informatiques, ayant souvent de bons articles sur la SSI :
- 01Net ;
- ZDNet ;
- BleepingComputer ;
- LeMagIt ;
- TechCrunch ;
- CNET ;
- Ubergizmo ;
- ArsTechnica ;
- newsnow.co.uk…
- TheHackerNews
- Undernews
- Security Affairs
- Le Big Data
Côté blogs, voici :
- Krebs On Security ;
- Bruce Schneier ;
- Zataz ;
- Korben ;
- bortzmeyer.org ;
Chaînes d’infos, webinars, etc. :
Pour ce qui est des sources de formation, voici ce que j’ai en stock :
- CyberEdu et surtout ses supports pédagogiques à disposition sur le site de l’ANSSI ;
- Hack Academy ;
- SecNumAcademie;
- skillset.com ;
- OWASP ;
- edx.org ;
- Trail of Bits ;
D’autres bons sites, payants :
- PluralSight ;
Pour tout casser (et expérimenter des techniques d’attaque) :
- Damn Vulnerable Web Application;
- Zenk Security;
- Bugtraq Team ;
- root-me.org ;
- Hack The Box ;
- VulnHub ;
- cmd Challenge ;
- tryhackme.com ;
- wechall.net (répertoire de sites).
De nombreux éditeurs et fournisseurs ont des rubriques sécurité (Microsoft, Intel, AWS…)
Les éditeurs de solutions de sécurité ont aussi souvent des pages intéressantes (base des virus, études, livres blancs, etc.)
- Naked Security (Sophos)
Intel, des failles (ter)
Non, il ne faut pas croire que cela m’amuse de recenser les failles matérielles sur les processeurs (Intel ou autre). Au contraire : cela m’inquiète au plus haut point, sans m’étonner outre mesure, car la complexité des processeurs est devenue telle qu’il devient quasi-impossible de maîtriser l’ensemble de sa conception. En sécurité informatique, plus c’est complexe, plus c’est dur à sécuriser.
Nouvelle faille : Foreshadow
Traduisons ce qu’on trouve sur le site dédié (rappel : un site dédié avec un joli nom de faille et un beau logo sont les minimum syndicaux pour toute faille qui se vend respecte).
Foreshadow is a speculative execution attack on Intel processors which allows an attacker to steal sensitive information stored inside personal computers or third party clouds. Foreshadow has two versions, the original attack designed to extract data from SGX enclaves and a Next-Generation version which affects Virtual Machines (VMs), hypervisors (VMM), operating system (OS) kernel memory, and System Management Mode (SMM) memory.
Foreshadow est une attaque de type exécution spéculative (comme Spectre et Meltdown) touchant les processeurs Intel (les pauvres !) permettant à un attaquant de dérober des informations sensibles stockés sur des ordinateurs personnels ou dans le cloud (il est écrit third party, mais en vérité cela touche toute infrastructure, interne ou externe, cloud ou pas, qui compte sur un [[Évasion de machine virtuelle|hyperviseur]] de virtualisation pour isoler des environnements et des machines, cf juste en dessous).
Foreshadow a deux versions : l’attaque originale, conçue pour extraire des données des enclaves SGX (censées justement éviter cela…) et une nouvelle génération « NG » (de l’attaque) qui affecte les machines virtuelles, les hyperviseurs VMM (Virtual Machine Manager, hyperviseur utilisé dans le cloud Azure), la mémoire du noyau du système d’exploitation et la mémoire utilisée par le mode « management de système » (SMM).
Encore du Meltdown ?
Foreshadow est une variante de Meltdown1, de type exécution spéculative, dont la source a fini par être identifiée par Intel dans le cache L1 (L1TF, L1 Terminal Fault). Hélas, une fois ce constat réalisé, Intel a remarqué que cela avait d’autres conséquences2, d’où la création de deux variantes appelées « NG ».
Composants impactés
Virtual Machines Manager
Les bulletins ne sont pas très clairs sur ce point, car ils parlent de VMM sans trop de précision. D’après ce qu’en dit OVH3, les failles touchent bien les hyperviseurs en général, et non uniquement le VMM d’Azure.
Système d’exploitation
Idem pour l’OS, quasiment jamais mentionné dans les publications. Toutefois Linux est bel est bien touché lui aussi, cf les publications des différents éditeurs. Il n’y a pas que Windows…
System Management Mode
Il s’agit d’un mode spécial d’exécution du processeur, dont les caractéristiques sont :
- Se situe dans une mémoire spéciale et séparée (SMRAM) ;
- Peut accéder à l’ensemble du système et des entres/sorties, y compris la mémoire de l’OS et d’un hyperviseur ;
- Est appelé par une interruption spécifique (SMI, System Management Interrupt) ;
- Possède un gestionnaire logiciel (SMI handler) pour exécuter des opérations basées sur différentes SMI.
C’est un peu technique mais en gros ça signifie qu’il s’agit d’un mode qui a accès à tout, et qu’on l’imagine réservé pour un usage spécifique et bien délimité.
SGX
SGX est une enclave sécurisée, présente dans certains processeurs Intel, et conçue pour que personne ne puisse venir y lire le contenu : cela permet de cacher des informations très sensibles, comme des clés de chiffrements, dans une infrastructure tierce.
Conditions d’exploitation
Maigre consolation : la faille se situe au niveau core, c’est-à-dire qu’un processus ne peut utiliser cette vulnérabilité que contre un autre processus s’exécutant sur le même cœur du processeur4. Cela concerne les processeurs récents (ce qui est le cas de tous les processeurs SGX), de génération Sandy Bridge ou suivantes, car Intel assigne un cache L1 dédié pour chaque cœur5.
Logiquement, avec un processeur 4 cœurs, il n’y a qu’une chance sur 4 de subir l’attaque, et il est peu probable (impossible ?) pour un processus, qui plus est lancé dans une machine virtuelle, de choisir le processeur sur lequel il s’exécute.
Multiplié par le nombre de cœurs et de machines virtuelles, la probabilité baisse encore, surtout que la difficulté sera surtout de réussir à exécuter le programme d’attaque sur le même cœur de processeur que la cible. Après, une machine virtuelle peut demander à s’exécuter sur plusieurs processeurs virtuels, donc sur plusieurs cores, mais ça se paye. Et dans un environnement mutualisant des milliers de processeurs, ça peut devenir coûteux.
Correctifs
On peut renforcer l’isolation par les mesures suivantes :
- En s’assurant qu’un core n’est pas partagé entre plusieurs machines virtuelles en même temps ;
- Lorsque deux machines se suivent séquentiellement sur un core, alors on s’assure que le cache L1 est bien effacé ;
- En ayant un environnement dédié (hyperviseur dédié chez AWS) pour empêcher le partage des CPU.
En ce qui concerne SMM, une mise-à-jour de microcode et de firmware semble nécessaire6.
Sinon désactiver l’hyperthreading est un moyen (coûteux à mon avis) d’empêcher l’exploitation de la faille ; on ne le réactivera qu’avec précautions, mais tout cela est bien expliqué sur le site de Xen.
Liens utiles
- The latest security information on Intel® products
- Foreshadow/L1TF: What You Need to Know sur SecurityWeeks.
- Attaques connues sur le SMM
- Understanding the Windows SMM Security Mitigation Table
- Fonction du cache des CPU (en anglais) et un très complet et très technique article sur lwn.net (également en anglais)
- Intel® 64 and IA-32 Architectures Optimization Reference Manual (gloups)
- Un autre papier sur une attaque SGX
- Recensement des vulnérabilités liées à Spectre et Meltdown sur BleepingComputers
Sur Linux
- Ubuntu : https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/L1TF et https://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-3646.html
- Red Hat : https://access.redhat.com/security/vulnerabilities/L1TF
- Suse : https://www.suse.com/support/kb/doc/?id=7023077
RedHat propose une présentation rapide de Foreshadow, assez bien faite.
Liens internes
- [[Évasion de machine virtuelle|Evasion de machine virtuelle]]
- Intel, des failles ([[Intel, des failles|première vague]], [[Intel, des failles (bis)|deuxième vague]])
Site officiel
- https://foreshadowattack.eu/
Intel, des failles (bis)
Je me répète, non ? La plaie Spectre & Meltdown n’est pas encore fermée (et l’hémorragie n’est même pas encore arrêtée) que voilà poindre de nouvelles variantes, De l’avis d’Intel, quatre des huit vulnérabilités mises au jour sont plus critiques que la vulnérabilité Spectre initiale. Gloups.
Voici, par ordre d’apparition
Nouvelles variantes
Variante 3a
CVE-2018-3540. Impact sur des hyperviseurs.
Variante 4
Les principaux intéressés travaillent d’arrache-pied pour atténuer les impacts de la faille, mais comme les variantes précédentes, cela peut affecter les performances12 des processeurs. Elle reçoit le doux nom de Speculative Store Bypass.
Toutefois, les correctifs de versions précédentes ont l’air d’atténuer3 la portée de cette variante.
Variantes 1.1 et 1.2
Des chercheurs4 ont trouvé de nouvelles variantes de Spectre ; ils ont été récompensé dans le cadre d’un Bug Bounty d’Intel.
NetSpectre
Passée relativement inaperçue5, cette variante a été découverte en mars 20186, et corrigée selon le protocole informel de la divulgation responsable, ou responsible disclosure, en juillet 2018 par Intel7.
Sources
Pour les variantes 3a et 4
- Communication officielle de Microsoft (ADV180012)
- Page Google Zero (Issue 1528)
- Communication ARM, avec un intéressant tableau de vulnérabilité selon les familles de processeurs
- Communication Intel
- Communication AMD
- Communication RedHat
- Communication VMWare
- Communication Xen (advisory 263)
- CVE-2018-3639
Autres sources web
- http://www.guru3d.com/news-story/eight-new-spectre-variant-vulnerabilities-for-intel-discovered-four-of-them-critical.html
- https://www.developpez.com/actu/205147/Spectre-Meltdown-de-nouvelles-failles-dans-les-processeurs-elles-permettent-de-lire-les-registres-internes-la-memoire-kernel-et-celle-de-l-hote/
- https://www.heise.de/ct/artikel/Super-GAU-fuer-Intel-Weitere-Spectre-Luecken-im-Anflug-4039134.html
- https://www.cnet.com/news/intel-microsoft-reveal-new-variant-on-spectre-meltdown-chip-security-flaws/
- https://www.us-cert.gov/ncas/alerts/TA18-141A
- https://www.techrepublic.com/article/spectre-isnt-dead-here-are-2-new-variants-it-should-patch-against/
Pour les variantes 1.1 et 1.2
- https://www.developpez.com/actu/214640/Encore-deux-nouvelles-vulnerabilites-de-classe-Spectre-decouvertes-elles-affectent-des-processeurs-Intel-ARM-et-probablement-AMD/
Voir aussi
Insolite
Août 2018
- Les shadow brokers avaient déjà balancé les outils de la NSA, pour réchauffer l’ambiance. Maintenant on balance ses petits collègues, entre pirates de bonne compagnie1.
- Un pirate peut infiltrer votre réseau avec… un fax !
KRACK
Un petit incident concernant le protocole utilisé dans quasiment tous les réseaux wifi actuels, auquel on a donné le nom évocateur de KRACK, est apparu (c’est-à-dire qu’on a communiqué publiquement dessus) aujourd’hui (16 octobre 2017).
En quelques mots : une personne (un équipement) captant physiquement le signal wifi WPA2 d’un réseau, même chiffré en bonne et due forme, peut déchiffrer tout le trafic, et donc lire tout ce qui y passe : la couche de protection WPA2 devient inutile. Si les informations qui transitent sur le réseau ciblé sont en clair, alors on peut les lire sans que vous ne vous en aperceviez. Par contre ce qui est chiffré au niveau supérieur (https, ssh, etc) reste tel quel, avec le niveau de protection attendu.
Il s’agit du genre de problème de sécurité1 énorme dont la célébrité lui vaut d’avoir son site web dédié, ses articles de presse et même un tweet du Ministère de l’Intérieur français. Quant aux solutions, elles seront longues à mettre en place car le protocole lui-même est en cause : même en le suivant scrupuleusement et sans erreur, votre implémentation est à risque. Et comme il est mis en place massivement depuis 15 ans, imagions ensemble le nombre d’équipements (réseaux et ordinateurs) à mettre à jour.
Patch à droite ou à gauche ?
Je n’arrive pas à voir clair pour le moment : je ne sais pas s’il suffit de mettre à jour le client pour éviter le problème, ou s’il faut que le client et le serveur (routeur) soient tous les deux corrigés. Je suppose que pour une correction totale incluant le protocole, il faudra que l’ensemble des équipements soient mis à niveau. Mais il semblerait que patcher le client suffise. A suivre.
Windows
Côté Windows, la mise-à-jour de sécurité semble dater du 10 octobre 2017, soit quelques jours avant la publication des premières infos sur le sujet. Le détail ne sera publié que le 1er novembre, le temps que les correctifs se diffusent. Un article détaillé (paper) est toutefois déjà disponible. S’il décrit en détail le problème, je n’ai pas vu de détail sur les exploitations possibles ; seuls quelques scénarios sont esquissés (en attendant l’ACM Conference on Computer and Communications Security du 1er décembre).
Dans sa mise-à-jour d’octobre, Microsoft a corrigé la vulnérabilité suivante : CVE-2017-13080. Après, une bonne douzaine de CVE ont été réservées pour la description de tous les problèmes identifiés, donc ça semble un peu peu. On verra par la suite…
WPA3
En juin 20182, une nouvelle version de la norme WPA, estampillée 3, voit le jour sous sa forme finale, avec la promesse de combler les failles présentes dans la version 2, ainsi que la limitation des attaques par dictionnaire. WPA3 n’est pas encore obligatoire, et un dispositif WPA2 pourra se connecter sur du WPA3. Espérons que cela n’introduise pas de faille du genre Freak.
Voir aussi
AMD, des failles
Allez, mettons tout le monde d’accord : AMD aussi à ses failles, tout comme Intel. Et son site dédié, sans quoi une faille n’est pas une faille. Comme souvent, les détails ne sont pas dévoilés1 immédiatement, tant qu’on n’a pas essayé de remédier à ces problèmes, mais cela reste inquiétant.
Continuer la lectureIntel, des failles
Jeu de mot facile, mais les petits gars d’Intel nous gâtent avec Spectre & Meltdown ! Heureusement, la NSA ne connaissait pas ces failles1. Nous voilà rassurés.
Continuer la lecture