La Couronne de Cuivre

Plop all,


Un message a but informatif avant tout. En ce début d'année, 2 failles EXTREMEMENT CRITIQUES ont été dévoilées au public. Il s'agit des failles nommées Meltdown et Spectre. Toutes deux s'attaquent aux processeurs, à une partie normalement inaccessible de la mémoire (genre là où sont stocké les mot de passe).

Pour résumé vite fait :

- Meltdown est une faille qui ne touche QUE les processeur Intel.
- Spectre est plus violent, care il touche TOUS les processeurs : Intel, AMD et même ARM (donc même les smartphones/tablettes sont touchés).
- Les 2 failles sont indépendantes de l'âge du processeur (autrement dit, matériel récent ou ancien....tous les proc' sont touchés !).
- Meltdown peut être corrigés ; des patches sont déjà sortis/en cours pour corriger la faille. Malheureusement, le patch fera ramer un peu plus l'ordinateur touché (de l'ordre de 5% à 30% plus lent suivant si c'est du matériel neuf ou ancien).
- Spectre ne peut PAS être corrigé actuellement. La faille de Spectre est MATERIELLE. Elle sera un peu colmaté avec des patches, mais pour s'en débarasser réellement, il faut que les constructeurs de processeurs sortent de nouveaux processeurs avec un correctif matériel à cette faille. Autrement dit...tous les processeurs actuels sont 100% vulnérable à cette faille.

https://www.numerama.com/tech/318576-me ... seurs.html

Ca fait quand même vachement peur.

D'après ce que j'ai lu, le correctif actuel ferait baisser les perfs de tout ce qui est serveurs/cloud... Les particuliers ne que peu ou prou impacté.

Bon, moi ça m'ennuie parce que je comptais remplacer mon portable ce mois-ci...

Est-ce que ça veut dire qu'il faut reporter tout achat d'ordinateur à... quelques années, ou bien est-ce que ça ne vaut pas le coup parce que ça va prendre des plombes avant qu'ils ne trouvent une solution ? Je dois dire que la réponse du commercial avec lequel j'ai discuté (il n'avait même pas l'air au courant, haha) m'a fait bien rire (" la vie, madame, c'est prendre des risques ! Si vous ne voulez pas prendre des risques, il faut revenir à la machine à écrire") (j'adore les crétins condescendants, c'est toujours un plaisir).

Joli le commercial. Rassures-moi, il était armé de son gourdin et de sa peau d'ours aussi, nah ?

Sinon bah...la solution est déjà trouvé ; les constructeurs doivent développer de nouveaux processeurs qui comblent les failles. Ce qui va être cher ET long avant d'être disponible.
Si tu veux vraiment être sûre de ne pas acheter de nouveau matériel avec les failles, il vaut mieux repousser ton achat en effet. A mon avis, je penche pour de nouveaux processeurs dispo pour fin 2018/début 2019...par contre, j'ai peur qu'ils se servent de cette belle excuse de failles ultra critique, pour gonfler un peu les prix de futures processeurs "sécurisés".

Pour ma part, je ne pense pas que ces failles soient ultra dérangeantes pour l'utilisateur commun. Il faut aussi se dire, que si ces failles sont "violentes" dans leur applications, il est aussi très difficile de les exploiter. On est loin encore de se retrouver face à un apocalypse informatique, où n'importe quel "pirate script kiddy" peut de choper toutes tes infos persos entre 2 wizz MSN (oh mon dieu, la référence de vieux ).


@chal : c'est effectivement plus dommageable pour les services de cloud/serveurs, puisqu'ils tournent déjà souvent au taquet d'utilisation. Le patch évite au processeur de chercher des fonctions "rapides" de mémoire, qui sont "attaquées" par les failles. On contourne donc le problème en faisant patiner un peu le proc'.
Un utilisateur lambda avec un proc' assez récent ne verra pas trop l'impact puisque le CPU n'est pas régulièrement mis à forte contribution. Par contre, un utilisateur qui possède du matériel plus ancien ou "juste", risque de le sentir un peu plus. Enfin ça c'est la théorie.

Donc ce sont des étrennes pas terribles, pour 2018... Du coup je pense aussi reporter mon achat de fixe... Mais j'aimerais autant que ça ne dépasse pas quelques mois ! mes P'tit Pépère 2 et 3 vont encore bosser comme des malades (qu'ils ne sont heureusement pas pour l'instant, touchons du silicium).

Ca me fait horriblement penser à une obsolescence programmée.

On arrive un peu au bout de ce qu'ils peuvent faire avec la technologie actuelle, (y a qu'a voir, j'ai un proc de 6 ans et il gère toujours de la fougère) et là paf la faille que personne n'avait vu en dix ans qui va obliger presque tout le monde à changer d'ordinateur.

Féérune a écrit :Donc ce sont des étrennes pas terribles, pour 2018... Du coup je pense aussi reporter mon achat de fixe... Mais j'aimerais autant que ça ne dépasse pas quelques mois ! mes P'tit Pépère 2 et 3 vont encore bosser comme des malades (qu'ils ne sont heureusement pas pour l'instant, touchons du silicium).

Je ne pense pas que ce soit obligatoire d'attendre. Différents patchs sont déjà déployés ou en cours de déploiement. Et d'après les premiers benchs, finalement les impacts performances pour l'utilisation faite par un particulier seront très faible.

Chalindra Pharn a écrit :Ca me fait horriblement penser à une obsolescence programmée.

Nan, j'en doute car c'est aussi un gros souci pour les constructeurs qui vont devoir trouver une autre méthode de gravage. Ca veut dire qu'ils vont perdre du temps sur leur R&D pour sécurisé le gravage, au lieu de faire un gravage plus fin, comme ils tentaient actuellement.
C'est un très gros risque niveau sécurité, mais aussi le public ayant connaissance maintenant du problème risque d'être plus frileux à l'achat de nouveau joujoux tech'. Ca pourrait plomber un peu quelques marchés (je pense notament aux smartphones).


Par contre.....le patron de Intel a étrangement vendu ces actions en novembre 2017. Comme c'est bizarre hein.

Dans ce cas, il est très con, car si on prouve qu'il était au courant, il peut facilement aller au tribunal pour un truc qu'on appelle "délit d'initié". Ça peut aller loin...

Concernant les ordinateurs, bah. Des failles, il y en a toujours eu, il y en aura toujours... reste à savoir si c'est intéressant à exploiter. Le PC de tout le monde, ça n'a pas grand intérêt. C'est plutôt pour les ordinateurs qui contrôlent des trucs sensibles qu'il faut s'inquiéter, comme pour des systèmes de défense, de centrales nucléaires, etc. Ou éventuellement des serveurs, pourquoi pas... enfin, si ça peut faire sauter les serveurs de Google, je m'achète directement du pop-corn

Ah mais c'est déjà prouvé qu'il était au courant avant même la vente. Intel (et autres constructeurs) est au courant des failles depuis juin 2017 en réalité.
Et le PDG d'Intel a commencé la procédure de vente de ces stock-actions en octobre, pour commencer à vendre en novembre.

Y a déjà des class actions, et le SEC qui regarde le tout. Et c'est clairement normal, car le gars a vendu 245 000 de ses 250 000 actions, comme ça.
https://www.extremetech.com/computing/2 ... tdown-flaw

Chalindra Pharn a écrit :D'après ce que j'ai lu, le correctif actuel ferait baisser les perfs de tout ce qui est serveurs/cloud... Les particuliers ne que peu ou prou impacté.

Je confirme.

Sans partir dans les détails techniques trop pointus, seules certaines opérations réalisées par le processeur sont impactées par le correctif, opérations qui peuvent être très fréquentes sur certains types de serveurs (qui pourront voir jusqu’à 30% de perte de performances sur certaines opérations) mais sont beaucoup plus rares dans un usage "courant".
Pour un joueur par exemple, une perte de performances de 5% est déjà dans la partie haute de la fourchette.

Avis à ceux qui voudraient éviter de mettre à jour leur système pour grapiller 1~2% de performances : c’est une très mauvaise idée ! Sauf bien sûr si vous ne voyez par exemple aucun souci à ce que les mots de passes enregistrés dans votre navigateur soient accessibles au premier "script kiddy" venu

Concrètement, comment fait-on cette mise à jour ? Elle est proposée par les mainteneurs de notre OS, ou il faut l'effectuer manuellement ?

Moi j'ai rien vu apparaitre dans la liste de mes mise à jour pour le moment.

Ce qui m'étonne, c'est que mon Administration chérie et préférée n'a pas fait autre chose que diffuser les patchs de sécurité habituels... Avant j'avais quelques informaticiens sous la main et je pouvais les cuisiner pour avoir des infos, mais maintenant ce n'est plus le cas.

Les fournisseurs d'accès Internet n'ont pas communiqué des masses non plus, d'ailleurs... Et les heureux propriétaires d'ipieds et autres "téléphones intelligents" n'ont pas l'air trop stressés.

Soit le truc est tellement énorme qu'il ne faut pas affoler le bon peuple, soit ça ne touchera pas les particuliers. Pour mon Administration, je suppose qu'on est dans la discrétion habituelle. J'enverrai mon syndicat aux nouvelles, comme d'hab.

Sur Windows, les mises à jour se font SI votre antivirus est accepté par Microsoft.
Apparemment, certains antivirus sont incompatibles avec la mise à jour et provoque des écrans bleus : https://support.microsoft.com/fr-fr/hel ... s-software

Voici une liste d'antivirus compatible ou non, daté du 5 janvier :


Pour Linux, il y a déjà des patches de sortie pour Meltdown (dénommé KPTI).
Pour Apple, les dernières versions des systèmes (iOS, MacOS, tvOS) sont déjà patchés.

Les navigateurs internet se patches eux aussi petits à petits ; FireFox, IE, Edge sont déjà corrigés. Safari ça viendra dasn quelques jours et Chrome le 23/01.

https://blog.avast.com/fr/meltdown-et-s ... s-du-monde



[Edit : pour ma part je viens de faire une recherche de MaJ pour mon Windows 7 et j'ai le correctif dispo. Il semble s'agir du correctif KB4056894. J'ai même une update de mon processeur intel. ;p ]

Moi avec mon vieux OS X 10.6 Snow Leopard, je suis cuite... Apple ne va jamais le patcher, et mon ordi ne supporte pas la dernière version... Obsolescence programmée peut-être pas, mais cuite quand même

Une bonne occasion de passer cet ordi sous un système GNU/Linux

Mornagest a écrit :Concrètement, comment fait-on cette mise à jour ? Elle est proposée par les mainteneurs de notre OS, ou il faut l'effectuer manuellement ?

C’est le job des mainteneurs de ton OS, Anios nous a d’ailleurs fait un bon résumé de l’état des lieux.

bon..... je vais ressortir mon bon vieux IMAC tournesol à processeur PPC sous mac os 10.3

La première faille reste l'humain. Si on ne pas sur des sites louches et si on ne clique pas sur n'importe quel mail, les risques sont déjà moindres.

Ca fait presque six ans que je n'ai pas eu de virus et je n'ai pas d'anti virus...

Quand on regarde comment on surf et surtout où on peut trainer, ça diminue presque à 0 le risque.

Eleglin a écrit :La première faille reste l'humain. Si on ne pas sur des sites louches et si on ne clique pas sur n'importe quel mail, les risques sont déjà moindres.

Ce qui n'a strictement rien à voir avec les failles Spectre/Meltdown. Surtout Spectre. On parle d'une faille de TOUS les processeurs. On est tous exposés, quoique tu fasses avec ton ordinateur.
Et puis, l'idée que seul les site louches sont blindés de virus est tellement dépassée. Des publicités avec du code malicieux pourris, ça existe. Même sur des sites "recommandables" (y a pas si longtemps, j'ai lu qu'il y en avait sur Gamekult).
Le risque 0, ça n'existe pas.

Bref, c'est hors sujet car de toute façon faille ≠ virus.

Sinon le patch de Google semble bien corriger la majeure partie des 2 failles, sans problème de ralentissement :
http://www.zdnet.fr/actualites/faille-s ... 862704.htm

Moi j'ai toujours pas accès au patch, malgré que je sois à jour selon windows. (je n'avais plus fait de mise à jour depuis 2015 )

Et je n'ose pas installer le patch manuellement.

C'est étrange alors. La majorité des patches ont été lancé déjà pourtant.

Tu n'avais vraiment fait aucune MaJ depuis si longtemps ? Parce que si oui, tu risques de beaucoup patiner sur windows update, pour avoir les MaJ. Ca doit faire un gigantesque goulot d'étranglement (déjà que WU est loin d'être rapide).
Si ça trouve, il faudrait que tu laisses mouliner WU pendant plusieurs heures (pour ma part, j'avais un retard sur des MaJs depuis 1 mois, et il m'a bien fallu 1 nuit complète pour que WU me télécharge et installe tout).

T'as bien vérifié si la KB4056894 n'était pas déjà installée ?
(et aussi, tu es avec un proc' intel ou AMD ? car je crois que AMD ne propose pas encore le patch pour cause d'instabilité avec Windows)

Si non, bah....tu peux attendre de toute façon. Ce n'est pas comme si soudain le monde entier allait subir des attaques spectre v2 et qu'il était urgent de patcher le système. (pour le moment aucune attaque meltdown ou spectre v1/v2 n'ont encore été vu)

J'ai un intel I7.

Et la grosse maj m'a pris une heure et 10 minutes pour redémarrer mon pc.

Après j'en ai fait deux autres mais pas eu besoin de redémarrer.

Et j'ai vérifier plusieurs fois pour la numérotation de la maj.

Juste pour le fun

Attention aussi à ce que vos anti-virus soient à jour, sous peine d'écran bleu. Sous W10, les anti-virus doivent valider une clé dans la base de registre afin de dire à WU qu'ils sont compatibles avec le patch.

Etat des lieu au 11 janvier : https://docs.google.com/spreadsheets/d/ ... g&sle=true