Sécurité IT : quand les pirates jouent à cache-cache

Un peu de JavaScript… et une exploitation originale de la mémoire cache intégrée aux puces Intel. Ainsi pourrait-on décrire l’attaque informatique mise en oeuvre par quatre chercheurs de l’université Columbia.

Yossef Oren, Vasileios P. Kemerlis, Simha Sethumadhavan et Angelos D. Keromytis ont fondé leurs travaux sur la technique du « Side Channel Analysis », qui consiste à extraire des informations en analysant des signaux physiques au moment où une machine réalise une opération de calcul.

Mise en oeuvre dès la Seconde Guerre mondiale par les agences de renseignement, cette méthode aurait notamment permis à la Russie d’espionner des machines à écrire aux Etats-Unis en enregistrant, grâce à des microphones, le bruit de la frappe sur le ruban ou la marguerite (ce qui permettait de déterminer quelle touche avait été pressée).

Dans l’univers du PC, on a d’abord filmé les diodes des disques durs et de divers périphériques tels les modems. Aujourd’hui, on examiner plutôt l’activité des processeurs, de la mémoire et des différentes interfaces de communication.

Le modèle mis en place par les quatre chercheurs se fonde sur un élément : la mémoire cache, qui fait l’intermédiaire entre le processeur et la RAM pour réduire les temps d’accès aux données. Il a permis d’enregistrer tous les mouvements d’une souris, ainsi que l’activité sur le réseau local auquel était connecté l’ordinateur ciblé.

Pour exploiter le cache intégré à un processeur, un pirate informatique doit généralement se trouver à proximité de la machine visée ou bien pouvoir y injecter un logiciel malveillant. Dans le cas présent, l’attaque se déroule entièrement dans un navigateur Web… A une condition : que celui-ci prenne en charge le HTML5.

De même, seules les machines dotées d’un processeur Intel suffisamment récent sont concernées. Comme l’expliquent les quatre chercheurs dans leur rapport (document PDF, 14 pages), les puces AMD ne sont pas exposées à cette vulnérabilité.

AMD épargné

Cette différence entre les deux architectures tient à la hiérarchisation des niveaux de cache.

Le principe général, pour le CPU, est d’accéder d’abord au cache pour rechercher un élément, avant d’aller voir dans la RAM. Lorsqu’un élément n’existe pas en RAM, de la place doit être libérée dans le cache pour l’y ajouter.

Sur la microarchitecture d’Intel, tous les éléments du cache de premier niveau (L1, rapide mais offrant peu d’espace) doivent aussi se trouver en L2 (moins rapide, mais offrant davantage d’espace) et en L3. Réciproquement, un élément supprimé du cache L3 l’est également des caches L2 et L1. C’est l’inverse qui se produit sur les puces AMD.

Yossef Oren, Vasileios P. Kemerlis, Simha Sethumadhavan et Angelos D. Keromytis se sont concentrés sur le cache L3, dont la structure est décrite plus en détail dans leur rapport (document PDF, 14 pages).

Ils en ont conclu à la fragilité de cette partie du CPU, qui permet de contourner l’ensemble des couches de protection (sandbox, mémoire virtuelle, hyperviseur…), car elle constitue le point d’interaction de tous les processus, de tous les utilisateurs et de tous les coeurs du processeur.

Une simple publicité détournée peut suffire à exécuter une attaque JavaScript sur le cache L3 (dernier niveau jusqu’à l’architecture Intel « Ivy Bridge » ; avant-dernier niveau avec « Haswell »). Un processus espion va alors examiner les données qui transitent par le cache.

En calculant, grâce au navigateur Web, le temps nécessaire pour exécuter diverses opérations, les chercheurs ont pu découvrir des informations sur des processus en cours d’exécution, mais sur d’autres utilisateurs connectés à la même machine. Ils auraient également pu récupérer des informations sensibles comme des clés de chiffrement… voire compromettre une machine virtuelle exécutée sur le même hôte.

Au regard de la démonstration avancée, on peut considérer que cette attaque touche potentiellement 80 % du parc informatique mondial. Elle reste toutefois délicate à mettre en place.

Crédit photo : rawcaptured – Shutterstock.com