Les attaques Spectre et Meltdown documentées en 2018 par des chercheurs de Google et autres éditeurs de solutions de sécurité peuvent exploiter les failles de conception des microprocesseurs. Les effets néfastes de ces deux menaces sont potentiellement le vol de mots de passe et autres informations sensibles et confidentielles. Ce type d’action malveillante est aussi connu sous le nom d’attaque par canal auxiliaire. Maria Mushtaq, chercheuse en cybersécurité à Télécom Paris pointe ce type de risque et explique qu’il est dû au mode d’exécution prédictif de l’architecture des microprocesseurs, dont ceux d’Intel ou d’ARM pour les smartphones, pour anticiper les tâches à venir, afin d’améliorer les performances. De son côté l’Anssi (Agence nationale de la sécurité des systèmes d’information) explique que les défaut de conception exploitables par les attaques Spectre et Meltdown ne permettent cependant pas de modifier les informations et précisent qu’aucune exploitation malveillante de ces vulnérabilités n’a été à ce jour prouvée.
L’agence ajoute néanmoins que les fournisseurs de services cloud hébergent régulièrement sur un seul serveur physique, utilisant un processeur, les données de plusieurs clients. Conséquence redoutable, la mise à profit de ce type de vulnérabilité permettrait à un pirate d’accéder à l’intégralité des données en mémoire. Un des aspects les plus pernicieux réside dans le fait que les attaques Spectre, Meltdown et autres malwares ne laissent aucune trace dans le système d’information des ordinateurs et serveurs. Les concepteurs de microprocesseurs ont principalement fait porter leurs efforts sur l’accroissement des performances de leurs composants électroniques au détriment de la sûreté de leurs produits. Maria Mushtaq, d’autres chercheurs et l’Anssi plaident pour un équilibre entre les performances et les exigences de sécurité.
Le vol de frappes clavier par enregistrement sonore potentiellement réalisables
Les « keyloggers » à savoir les enregistreurs de frappe des touches clavier ne sont pas une source récente de menaces mais elles ont évolué depuis les années 2000. Les menaces d’aujourd’hui sont favorisées par l'abondance d'appareils, ordinateurs et smartphones, munis de microphones qui peuvent réaliser des captures audio de haute qualité et qui se révèlent beaucoup plus dangereuses que prévu, avec une précision de 95 % d’exactitude. En cause, les méthodes d’apprentissage automatique appliquées aux actions de l’utilisateur via les interfaces d’un ordinateur. Contrairement aux attaques par canal auxiliaire, elle ne nécessitent pas des conditions spéciales telles que les limitations de débit de données et de distance.Jake Moore, Global Security Advisor chez ESET expliques que ces techniques d’exploitation des failles hardware cohabitent avec d’autres vecteurs d’attaques qui demandent plus de moyens aux pirates "L'obtention des mots de passe des utilisateurs peut être réalisée par des attaques beaucoup plus simples, telles que l'hameçonnage ou le forçage brutal, ce qui en fait un vecteur "coûteux" réalisable principalement pour des attaques ciblées de haut niveau."
La lutte contre les menaces via les failles des microprocesseurs passe par un dialogue avec les fabricants de ces composants. Des discussions qui semblent avancer comme nous l’indiquions en 2018 dans cet article d’IT SOCIAL.
