Intel n'a pas informé les autorités américaines des failles Meltdown et Spectre, Réactions à la publication du 23/02/2018

[Lionel]

Reuters rapporte que les autorités américaines se sont émues qu'Intel ne les ait pas informé des failles Spectre et Meltdown avant qu'elles ne soient rendues publiques.
Elles considèrent que la société aurait dû le faire dès qu'elle en a pris connaissance étant donné leur implication sur la "sécurité nationale".
Intel a déclaré ne pas avoir fait d'analyses sur les risques à de hauts échelons de sécurité mais en a informé ses partenaires.

On se demande si l'on doit voir là une trahison de la part d'Intel ou une décision de ne pas donner aux Américains les clés d'une arme potentielle.
En tout cas il serait surprenant que les agences spécialisées dans les écoutes n'en aient été informées très tôt, peut-être même avant Intel.

Lien vers le billet original

[_Panta]

On pourrait même imaginer si on était un peu comme Pixelux adepte des théories fumeuses, que la faille est la à la demande de la NSZ (où autre agence), et que contractuellement Intel est bloqué par une loi scélérate et secrete voté par un cabinet obscur post-911

[iAPX]

On pourrait même imaginer si on était un peu comme Pixelux adepte des théories fumeuses, que la faille est la à la demande de la NSZ (où autre agence), et que contractuellement Intel est bloqué par une loi scélérate et secrete voté par un cabinet obscur post-911

Je ne parierais pas là-dessus, au contraire, le problème du side-channel du cache L1 est commun à de nombreuses architectures et issue du design de celui-ci, documenté, étudié, et pareil pour "l'empoisonnement" du cache de prédiction de branchement, implémenté tel que décrit dans de nombreuses études, partagé avec d'autres architectures aussi.

Il se passe que la sécurité n'a pas été considéré au plus haut niveau, mais les usages étaient différents au début des années 90, et que les mêmes modules ont évolué pour plus de performances, sans être remis en question totalement.

@Raoulito oui je pense que perso je pourrais dormir sur mes deux oreilles une fois tout ça patché, car il reste un problème sur le retour de sous-routine (RET) sur Skylake et suivants, mais bien plus compliqué à exploiter. En même temps il suffit d'un bout de code, un seul, qui réussi à le faire, pour que tous s'en emparent sur la durée et alors...
Un problème d'ailleurs rencontré avec les malware de la NSA, qui se sont retrouvé "dans la nature" et utilisés par des groupes mafieux, avec celle-ci qui faisait comme si elle ne savait rien

Un dernier point sur la NSA, elle a payé cher pour faire créer des système d'empreintes avec des failles, comme md5, sha qu'il a fallu rapidement transformer en sha-1 (ajout d'une première étape de bit shuffling) car cassé tout de suite, mais aussi pour faire descendre le niveau de sécurité par défaut de communication sécurisées, on le sait pour la compagnie RSA qui fourni des solutions de sécurité à de nombreuses entreprises et organismes gouvernementaux (y-compris aux États-Unis bien sûr), affaiblissant ainsi leur niveau de sécurité!

Ce message a été modifié par iAPX - 23 Feb 2018, 13:54.

[linus]

Il se passe que la sécurité n'a pas été considéré au plus haut niveau, mais les usages étaient différents au début des années 90, et que les mêmes modules ont évolué pour plus de performances, sans être remis en question totalement.

Cela me fait penser à internet qui a été conçu en faisant l'impasse totale sur la sécurité pendant que, en France et en Europe, on tentait de mettre au point un réseau intégrant la sécurité. Avec cette contrainte en moins Internet a évidemment pris ses concurrents de vitesse mais on a vu le résultat !

[Patounet1]

Il se passe que la sécurité n'a pas été considéré au plus haut niveau, mais les usages étaient différents au début des années 90, et que les mêmes modules ont évolué pour plus de performances, sans être remis en question totalement.

Cela me fait penser à internet qui a été conçu en faisant l'impasse totale sur la sécurité pendant que, en France et en Europe, on tentait de mettre au point un réseau intégrant la sécurité. Avec cette contrainte en moins Internet a évidemment pris ses concurrents de vitesse mais on a vu le résultat !

Moi je constate surtout qu'ils ont fait le bon choix, Chez moi on dit que : << le mieux est l'ennemi du bien >>