Failles de sécurité : Meltdown et Spectre

Bonjour,

Depuis le 4 janvier,  le monde de l'Internet s'agite aux noms de Meltdown et Spectre. Deux failles de sécurité matérielles critiques sur certaines gammes de  processeurs ont en effet été découvertes. Vous retrouverez le bulletin d'alerte du CERTA qui a été publié dans l'extranet DRI (www.produhost.net) en date du 4 janvier : https://www.cert.ssi.gouv.fr/alerte/CERTFR-2018-ALE-001/

Ces failles de sécurité trouvent racine dans certains processus d'optimisation de calcul opérés par les processeurs. Meltdown est spécifique aux processeurs INTEL et est assez facile à exploiter même si aucune attaque à partir de cette faille n'est actuellement recensée. Spectre est une faille plus complexe à exploiter mais qui touche la quasi-totalité des processeurs produits depuis 1995.  Nous vous invitons à consulter ce très bon article si vous souhaitez comprendre plus en détail ces failles de sécurité et leurs impacts : https://www.macg.co/materiel/2018/01/meltdown-et-spectre-tout-savoir-sur-les-failles-historiques-des-processeurs-100954

A ce jour, comme tous ses confrères, DRI est concerné par ces failles car nous exploitons quasi-exclusivement des processeurs INTEL dans nos datacenters. Dès réception de l'alerte, DRI a établi un diagnostic et un plan d'action pour travailler à un plan d'action au regard des informations connues. DRI est un hébergeur infogérant c’est-à-dire que pour la majorité de nos clients, nous sommes les seuls à accéder aux environnements systèmes. Meltdown et Spectre ne sont pas directement exploitable à l'aveugle à partir d'Internet. Il est en effet nécessaire d'installer au préalable du code malveillant grâce à des droits adéquats d'un utilisateur ou via une autre faille. Hors, les clients DRI ne disposent pas des accès administrateurs de leurs environnements. Seuls quelques-uns de nos utilisateurs identifiés (webmasters, clients finaux) disposent d'accès suffisants pour installer du code pouvant exploiter ces failles dans un deuxième temps. Cette première barrière n'est pas suffisante en soi mais complique sérieusement l'exploitation de ces failles dans l'environnement DRI. Le risque n'est donc pas nul mais limité sur les plate-formes Dri

En pratique nous testons d'abord les correctifs. Les correctifs Spectre ne sont en effet pas encore finaux, et leur application a un impact sur la performance des applications hébergées (entre 5 et 30%) mais on manque encore de recul sur ce point. Par ailleurs, l'application des patchs nécessite un reboot des serveurs. Vous serez donc informés des opérations des plages de maintenance pouvant impacter votre environnement sur notre extranet et notre site web dans les rubriques Informations Techniques.

Toute l'équipe DRI est bien sûr mobilisée pour traiter ces failles d'ampleur mondiale et à votre disposition pour tout support.