La soci\u00e9t\u00e9 Google a publi\u00e9 plusieurs prototypes d'exploits montrant la possibilit\u00e9 d'exploiter les vuln\u00e9rabilit\u00e9s de la classe Spectre lors de l'ex\u00e9cution de code JavaScript dans le navigateur, contournant ainsi les m\u00e9thodes de protection pr\u00e9c\u00e9demment mises en place. Les exploits peuvent \u00eatre utilis\u00e9s pour acc\u00e9der \u00e0 la m\u00e9moire du processus traitant le contenu web dans l'onglet actuel. Pour tester le fonctionnement de l'exploit, le site leaky.page a \u00e9t\u00e9 lanc\u00e9, et le code d\u00e9crivant la logique de travail est disponible sur GitHub. <\/p>\n
Le prototype propos\u00e9 est con\u00e7u pour attaquer des syst\u00e8mes \u00e9quip\u00e9s de processeurs Intel Core i7-6500U dans un environnement avec Linux et Chrome 88. Pour utiliser l'exploit dans d'autres environnements, des modifications sont n\u00e9cessaires. La m\u00e9thode d'exploitation n'est pas sp\u00e9cifique aux processeurs Intel ; apr\u00e8s une adaptation appropri\u00e9e, l'exploitation a \u00e9t\u00e9 confirm\u00e9e sur des syst\u00e8mes avec des CPU d'autres fabricants, y compris Apple M1 bas\u00e9 sur l'architecture ARM. Avec quelques ajustements mineurs, l'exploit est \u00e9galement op\u00e9rationnel sur d'autres syst\u00e8mes d'exploitation et dans d'autres navigateurs bas\u00e9s sur le moteur Chromium. <\/p>\n
Dans un environnement bas\u00e9 sur Chrome 88 et des processeurs Intel Skylake, une fuite de donn\u00e9es a \u00e9t\u00e9 obtenue \u00e0 partir du processus responsable du traitement du contenu web dans l'onglet actuel de Chrome (renderer process), \u00e0 une vitesse de 1 kilooctet par seconde. De plus, des prototypes alternatifs ont \u00e9t\u00e9 d\u00e9velopp\u00e9s, par exemple, un exploit qui permet d'augmenter la vitesse de fuite \u00e0 8kB\/s en r\u00e9duisant la stabilit\u00e9 en utilisant un timer performance.now() avec une pr\u00e9cision de 5 microsecondes (0,005 millisecondes). Un variant fonctionnant avec une pr\u00e9cision de timer d'une milliseconde a \u00e9galement \u00e9t\u00e9 pr\u00e9par\u00e9, qui pouvait \u00eatre utilis\u00e9 pour acc\u00e9der \u00e0 la m\u00e9moire d'un autre processus \u00e0 une vitesse d'environ 60 octets par seconde. <\/p>\n
Le code de d\u00e9monstration publi\u00e9 se compose de trois parties. La premi\u00e8re partie effectue l'\u00e9talonnage du timer pour \u00e9valuer le temps d'ex\u00e9cution des op\u00e9rations n\u00e9cessaires \u00e0 la r\u00e9cup\u00e9ration des donn\u00e9es restantes dans le cache du processeur en raison de l'ex\u00e9cution sp\u00e9culative des instructions du CPU. La deuxi\u00e8me partie d\u00e9termine la disposition de la m\u00e9moire utilis\u00e9e lors du placement d'un tableau JavaScript. <\/p>\n
La troisi\u00e8me partie exploite directement la vuln\u00e9rabilit\u00e9 Spectre pour d\u00e9terminer le contenu de la m\u00e9moire du processus actuel en cr\u00e9ant des conditions pour l'ex\u00e9cution sp\u00e9culative de certaines op\u00e9rations, dont les r\u00e9sultats sont rejet\u00e9s par le processeur apr\u00e8s la d\u00e9tection d'une pr\u00e9vision \u00e9chou\u00e9e, mais les traces d'ex\u00e9cution s'accumulent dans le cache g\u00e9n\u00e9ral et peuvent \u00eatre r\u00e9cup\u00e9r\u00e9es \u00e0 l'aide de m\u00e9thodes de d\u00e9termination du contenu du cache par des canaux lat\u00e9raux, analysant le changement du temps d'acc\u00e8s aux donn\u00e9es mises en cache et non mises en cache. <\/p>\n
La technique d'exploitation propos\u00e9e permet de se passer de minuteries de haute pr\u00e9cision, accessibles via l'API performance.now(), et sans supporter le type SharedArrayBuffer, qui permet de cr\u00e9er des tableaux en m\u00e9moire partag\u00e9e. L'exploit comprend un gadget Spectre, entra\u00eenant une ex\u00e9cution sp\u00e9culative contr\u00f4l\u00e9e d'un code, et un analyseur de fuite par canaux lat\u00e9raux, d\u00e9terminant les donn\u00e9es mises en cache obtenues lors de l'ex\u00e9cution sp\u00e9culative. <\/p>\n
Le gadget est implant\u00e9 \u00e0 l\u2019aide d\u2019un tableau JavaScript, dans lequel une tentative d'acc\u00e8s \u00e0 une zone en dehors des limites du tampon est r\u00e9alis\u00e9e, affectant l'\u00e9tat du bloc de pr\u00e9diction des branches \u00e0 cause d'un contr\u00f4le de taille de tampon ajout\u00e9 par le compilateur (le processeur effectue sp\u00e9culativement l'acc\u00e8s, mais r\u00e9tablit l'\u00e9tat apr\u00e8s v\u00e9rification). Pour analyser le contenu du cache en raison d'une pr\u00e9cision insuffisante du minuteur, une m\u00e9thode trompant la strat\u00e9gie d'\u00e9viction de donn\u00e9es du cache Tree-PLRU utilis\u00e9e dans les processeurs est propos\u00e9e, permettant d'augmenter consid\u00e9rablement la diff\u00e9rence de temps lors de la restitution d'une valeur du cache par rapport \u00e0 une absence de valeur dans le cache en raison d'un nombre accru de cycles. <\/p>\n
Il est \u00e0 noter que Google a publi\u00e9 un prototype d'exploit afin de montrer la r\u00e9alit\u00e9 des attaques utilisant des vuln\u00e9rabilit\u00e9s de la classe Spectre et pour inciter les d\u00e9veloppeurs web \u00e0 appliquer des techniques minimisant les risques de telles attaques. Google estime qu'il est impossible de cr\u00e9er des exploits universels, pr\u00eats non seulement pour la d\u00e9monstration, mais aussi pour une utilisation g\u00e9n\u00e9ralis\u00e9e, sans une refonte substantielle du prototype propos\u00e9. <\/p>\n
Pour r\u00e9duire les risques, il est recommand\u00e9 aux propri\u00e9taires de sites d'utiliser les en-t\u00eates r\u00e9cemment mis en \u0153uvre tels que la Cross-Origin Opener Policy (COOP), la Cross-Origin Embedder Policy (COEP), la Cross-Origin Resource Policy (CORP), le Fetch Metadata Request, les X-Frame-Options, les X-Content-Type-Options et le SameSite Cookie. Ces m\u00e9canismes ne prot\u00e8gent pas directement contre les attaques, mais ils permettent d'isoler les donn\u00e9es du site pour \u00e9viter leur fuite dans des processus pouvant ex\u00e9cuter du code JavaScript malveillant (la fuite provient de la m\u00e9moire du processus actuel, o\u00f9, en plus du code malveillant, des donn\u00e9es d'un autre site ouvert dans le m\u00eame onglet peuvent \u00eatre trait\u00e9es). L'id\u00e9e principale est de s\u00e9parer l'ex\u00e9cution du code du site des codes externes provenant de sources non fiables, par exemple, ceux int\u00e9gr\u00e9s via des iframe.
![\"Lire](\"https:\/\/img.youtube.com\/vi\/V_9cQP60ZGI\/hqdefault.jpg\")
\r\n