Une faille de sécurité découverte chez Intel
Une équipe de recherche internationale avec la participation d'une professeure de l'EPFZ a pu mettre au jour une faille dans l'architecture de sécurité des processeurs Intel. Les produits Microsoft et Google étaient également concernés jusqu'en juillet.
Il y a quelques années, Intel, le leader mondial des microprocesseurs pour PC, a introduit une nouveauté qui promet une plus grande sécurité des données : les Software Guard Extensions (SGX). Il s'agit de mécanismes de contrôle basés sur le matériel qui garantissent la sécurité des données même si le système d'exploitation d'un ordinateur présente des lacunes ou est attaqué.
"Les systèmes d'exploitation doivent remplir un nombre énorme de fonctions et sont très complexes", explique Shweta Shinde, professeure assistante au département d'informatique de l'ETH Zurich. C'est pourquoi il est judicieux de protéger les applications contenant des données sensibles du système d'exploitation. Les Software Guard Extensions permettent cela grâce à ce que l'on appelle des enclaves : certaines zones servent à protéger le code de programme des applications auxquelles le système d'exploitation ne doit pas avoir accès.
Shinde et ses collègues de la National University of Singapore (NUS) et de la National University of Defense Technology (NUDT) chinoise ont découvert une faille dans cette architecture de sécurité. Ils ont non seulement réussi à extraire des données de ces enclaves, mais aussi à y appliquer leur propre code. Les chercheurs ont fait cette découverte début mai 2021 et ont immédiatement informé les deux entreprises concernées qu'ils connaissaient, Intel et Microsoft. Cela correspond à la procédure habituelle dans de tels cas. A la mi-juillet, les deux entreprises ont corrigé le problème à l'aide de patchs logiciels. L'attaque programmée par les chercheurs au cours de plusieurs mois de travail s'appelle "SmashEx" et est documentée dans un document qui a déjà été publié. publié en tant que preprint est en cours. Il sera présenté le 15 novembre lors de la conférence ACM CC.
Pas de quoi paniquer, mais une leçon
La vulnérabilité est évaluée par Intel lui-même avec un score CVSS de 8,2 sur 10. Ce score indique, à l'aide de différents indicateurs, le degré de gravité des vulnérabilités. Selon Shweta Shinde, il devrait être aussi élevé dans le cas présent, notamment parce que le problème concernait un nouveau matériel et un nombre potentiellement important d'entreprises et de particuliers - les processeurs Intel avec les Software Guard Extensions concernées sont très répandus. Les produits Google, entre autres, ont ainsi été touchés. Les enclaves Intel SGX sont en outre souvent utilisées lorsque l'infrastructure informatique est partagée entre différentes parties ou lorsque des données sensibles sont en jeu - par exemple dans le secteur bancaire ou de la santé.
"Le fait que la faille concerne une technologie spécialement conçue pour les données sensibles doit nous faire réfléchir", déclare Shinde, "mais ce n'est pas une raison pour paniquer". Selon lui, les correctifs logiciels ont permis de résoudre le problème dans un premier temps. Shinde plaide toutefois pour une adaptation matérielle des futures générations de processeurs afin de les rendre durablement plus sûrs.
