Apple ne considère pas la menace hardware pour les Mac M-series

Des chercheurs en sécurité ont identifié de nouvelles vulnérabilités touchant les appareils Apple équipés des puces M2 et A15, permettant potentiellement aux attaquants d’accéder à des données sensibles. Ce problème hardware, plutôt qu’un logiciel, expose des failles liées à l’exécution spéculative des instructions. Quelle en sera la suite pour les utilisateurs ?

Des chercheurs en sécurité ont découvert de nouvelles vulnérabilités affectant les appareils Apple dotés des puces M2 ou A15 et ultérieurs. Cela inclut les iPhones, iPads, ordinateurs portables Mac et ordinateurs de bureau Mac. Les failles, surnommées SLAP et FLOP et rapportées pour la première fois par Bleeping Computer, pourraient permettre aux attaquants de lire des informations depuis les onglets web ouverts d’un utilisateur. Selon les onglets ouverts, cela pourrait mettre en danger des données sensibles comme des mots de passe et des informations bancaires.

Ce n’est pas un problème logiciel, mais plutôt une défaillance hardware qui affecte les CPU et les rend vulnérables aux attaques par canaux auxiliaires. Ce type d’exploitation mesure l’activité du CPU et utilise des facteurs comme la consommation d’énergie, le temps et le son pour déduire des informations sur le comportement de l’utilisateur. Les failles Spectre et Meltdown de 2018 fonctionnaient de manière similaire.

C’est assez complexe, mais l’élément essentiel est que cela permet aux attaquants d’accéder à des informations sensibles même lorsqu’elles sont correctement protégées par le logiciel de votre PC. La cause de ces faiblesses n’est pas uniquement un problème d’Apple, mais plutôt une optimisation de performance utilisée sur la plupart des CPU modernes.

Les programmes informatiques sont simplement une longue série d’instructions que le CPU exécute, mais comme il existe tant de résultats différents à couvrir, ces instructions se dispersent en différentes branches. “Si A alors faire X, si B alors faire Y,” ou “Si A se produit, revenir au point X” — dans un grand programme, des millions de décisions comme celles-ci se produisent pour progresser.

Pour accélérer les choses, il est maintenant courant de prédire quel chemin le CPU devrait suivre et de commencer à exécuter des instructions plus loin dans la ligne. De cette manière, plus de travail peut être effectué en même temps, plutôt que chaque instruction attendant son tour dans l’ordre approprié.

Cette optimisation est appelée exécution spéculative ou prédiction de branche, et parce qu’elle repose sur des prédictions, cela ne se passe pas toujours bien. C’est lorsque ces prédictions échouent que nous obtenons ces vulnérabilités matérielles que les attaquants peuvent exploiter.

Les noms complets des nouvelles failles sont “Attaques de spéculation de données via la prédiction d’adresse de chargement sur Apple Silicon (SLAP)” et “Casser le CPU Apple M3 via de fausses prédictions de sortie de chargement (FLOP).” Elles causent essentiellement le même problème, mais alors que SLAP est limité au navigateur Safari, FLOP fonctionne également avec Chrome.

La recherche prouve par des démonstrations que des attaques basées sur ces failles sont possibles, mais il n’y a actuellement aucune preuve que des cybercriminels les utilisent. Les chercheurs ont partagé leurs conclusions avec Apple l’année dernière et ont indiqué que l’entreprise a répondu en déclarant qu’elle comptait résoudre les problèmes. Cependant, des mois ont passé et depuis la publication des articles, le seul commentaire officiel d’Apple (à BleepingComputer) est le suivant :

“Nous tenons à remercier les chercheurs pour leur collaboration car ce proof of concept fait progresser ce compréhension de ces types de menaces. D’après ce analyse, nous ne pensons pas que ce problème pose un risque immédiat pour les utilisateurs.”

Bien que ces attaques n’impliquent pas de logiciels malveillants, elles commencent toujours par une visite sur un site web malveillant. Comme toujours, le meilleur moyen de vous protéger jusqu’à l’obtention de mises à jour de sécurité est de faire attention aux liens et URLs suspects lors de votre navigation.