Comment se protéger contre les défauts de processeur Meltdown et Spectre

Mercredi, des chercheurs ont révélé de graves failles dans les processeurs modernes qui pourraient affecter pratiquement tous les ordinateurs Intel sortis au cours des deux dernières décennies, ainsi que les puces AMD et Arm de vos ordinateurs portables, tablettes et téléphones. Et le 21 mai, les chercheurs ont trouvé une quatrième variante.

Lire la suite ici.

La bonne nouvelle: Intel, AMD et Arm pensent qu'ils peuvent résoudre - ou du moins atténuer - les failles de Meltdown et Specter avec correctifs logiciels. Microsoft, Apple et Google ont déjà publié certaines de ces atténuations. (AMD affirme que certaines des failles n’affectent pas du tout ses processeurs.)

Mais comme d'habitude, vous devrez faire preuve de diligence pour appliquer vous-même ces patchs!

Donc, voici tout ce que nous savons à partir du 22 janvier sur la façon de vous protéger. (Nous mettrons à jour ce guide à mesure que de nouveaux correctifs seront disponibles.)

Mise à jour du 22 janvier: Si vous envisagiez de mettre à jour votre BIOS avec un correctif pour votre processeur Intel, attendez peut-être un peu? Intel affirme que ses propres correctifs rendent certains ordinateurs instables et redémarrent de manière inattendue, et vous conseille d’arrêter de faire des correctifs pour le moment. Attention, nous parlons ici de mises à jour manuelles du BIOS - vous devriez laisser Windows Update activé.

Téléphones Android

Selon Google, une nouvelle mise à jour de sécurité datée du 5 janvier inclura des "mesures d'atténuation" pour protéger votre téléphone, et les mises à jour futures incluront d'autres correctifs.

Si vous avez un téléphone de marque Google, tel que le Nexus 5X ou le Nexus 6P, vous n'avez pas grand chose à faire. À un moment donné, votre téléphone devrait télécharger automatiquement la mise à jour et vous devrez simplement l'installer. . Avec le Pixel (350 $ sur Amazon) et le Pixel 2 (649 $ sur Google Store) (et leurs variantes XL), c'est encore plus simple: l'installation est automatique.

Théoriquement, il en va de même pour les autres téléphones Android, mais de nombreux fabricants et opérateurs de téléphonie mobile peuvent être un peu lents à patcher. Vous voudrez peut-être contacter le fabricant de votre téléphone et votre opérateur de téléphonie mobile (en particulier dans les lieux publics) pour vous assurer qu'ils sont mis à jour rapidement. Les roues qui grincent prennent la graisse.

Nous mettrons à jour cette histoire au fur et à mesure que les fabricants s'engagent à mettre à jour. Consultez également les instructions relatives au navigateur Web Google Chrome sous Android.

iPhones et iPads (et iPod touch)

Si vous avez déjà installé la dernière version iOS 11.2 sur votre iPhone ou votre iPad, vous devriez déjà être protégé contre certaines des vulnérabilités découvertes par les chercheurs le mois dernier. Apple indique que cette version, publiée le 2 décembre, incluait un certain nombre de mesures d'atténuation, et qu'Apple avait promis de développer davantage de protections dans les futures mises à jour.

Pour vérifier, accédez à Paramètres> Général> À propos de et recherchez la version pour vérifier que vous êtes sur 11.2 ou une version ultérieure. Sinon, vous pouvez probablement accéder à Paramètres> Général> Mise à jour de logiciels pour télécharger la dernière version.

Apple affirme que les correctifs n'affectent pas les performances de manière mesurable et continuera à développer davantage de mesures d'atténuation pour les futures mises à jour.

PC sous Windows

Microsoft affirme avoir publié mercredi une mise à jour de sécurité pour aider à résoudre le problème. Si vous utilisez Windows 10, le logiciel devrait être automatiquement téléchargé et installé - mais cela pourrait dépendre des paramètres de votre PC.

Pour vous assurer que votre PC est protégé, accédez à Paramètres> Mise à jour et sécurité pour vérifier si le correctif de sécurité est en attente dans votre file d'attente de mise à jour. Sinon, cliquez sur Historique des mises à jour ou Afficher l' historique des mises à jour installées pour voir s'il était déjà installé. Selon la date de la dernière mise à jour de Windows 10, le correctif logiciel peut porter l’un des noms les plus différents, mais vous recherchez une mise à jour de sécurité pour Windows (KB4056892) si la mise à jour de Fall Creators est déjà installée.

Si vous ne le voyez pas à un endroit ou à un autre, vous aurez envie de cliquer ici et de lire ce post: Nous discutons des autres noms sous lesquels il pourrait apparaître, ainsi que des façons d'installer manuellement le correctif si tout le reste échoue.

Macs

Comme pour les iPhones et les iPads, Apple indique qu'un certain nombre de solutions pour remédier à ces vulnérabilités ont déjà été déployées dans une mise à jour pour les iMac, les MacBook, les Mac Pros et le Mac Mini du mois dernier. La mise à jour Mac OS High Sierra 10.13.2, publiée le 6 décembre, incluait des correctifs pour certaines des failles. Le 23 janvier, Apple a également apporté ces mesures d’atténuation à Mac OS Sierra et à El Capitan, versions antérieures du système d’exploitation.

Appuyez sur le bouton de menu Pomme dans le coin supérieur gauche de votre écran et sélectionnez À propos de ce Mac pour voir si vous possédez la dernière version. Sinon, vous pouvez ouvrir l' application App Store, cliquer sur l'onglet Mettre à jour et mettre à jour votre système d'exploitation.

Apple affirme que les correctifs n'affectent pas les performances de manière mesurable et continuera à développer davantage de mesures d'atténuation pour les futures mises à jour.

Navigateur Web Google Chrome

Le 23 janvier, une nouvelle version de Google Chrome devrait également inclure des mesures d'atténuation visant à protéger votre ordinateur de bureau et votre téléphone contre les attaques Web. Mais si vous ne voulez pas attendre, Google indique qu'une fonctionnalité expérimentale appelée Site Isolation peut vous aider immédiatement.

Au lieu de regrouper différents sites Web, vous naviguez ensemble au sein d'un même processus, ce qui permet notamment d'économiser la mémoire de votre ordinateur. L'isolation de site semble permettre à chaque site Web d'utiliser sa propre instance du navigateur Chrome. De cette manière, il est plus difficile pour un site Web malveillant d'accéder aux données d'autres sites Web que vous consultez (en utilisant ces nouveaux exploits de processeur) et potentiellement de mauvaises actions.

Pour activer l’isolation de site sous Windows, Mac, Linux, Chrome OS ou Android:

Saisissez ou copiez-collez chrome: // flags / # enable-site-per-process dans le champ URL en haut de votre navigateur Web Chrome, puis appuyez sur la touche Entrée.
Recherchez l’ isolation de site stricte, puis tapez ou cliquez sur la case intitulée Activer .
Si votre travail est enregistré, cliquez sur Relancer maintenant . Sinon, enregistrez votre travail, puis quittez et relancez Chrome.

Pour Chrome sur iOS (iPhone, iPad), Google indique que Apple apportera les correctifs nécessaires.

D'autres navigateurs

Mozilla, Microsoft et Apple ont chacun annoncé qu'ils mettraient à jour leurs navigateurs Web afin de réduire la menace des nouvelles méthodes d'attaque. Mozilla a commencé à mettre à jour son Firefox 57 actuel et Microsoft modifiera à la fois son navigateur Internet Explorer et ses nouveaux navigateurs Edge.

Le travail ne commence que pour Microsoft. "Nous continuerons d'évaluer l'impact des vulnérabilités de la CPU ... et d'introduire des mesures d'atténuation supplémentaires en conséquence dans les futures versions de maintenance", a déclaré le chef du produit Edge, John Hazen, dans un article de blog.

Mozilla a déjà publié le premier de deux correctifs à court terme dans la version actuelle de Firefox, et il travaille sur le second maintenant. La version de support technique de Firefox, moins mise à jour fréquemment, n'est pas aussi sensible aux nouvelles attaques, mais Mozilla prévoit une mise à jour pour la prochaine version de Firefox ESR le 23 janvier.

"Dans les prochains jours, nous prévoyons de publier des mesures d'atténuation dans Safari afin de nous aider à nous défendre contre Spectre", a écrit Apple dans un article de la base de connaissances publié jeudi.

Google Chromebooks

À quelques rares exceptions près, les Chromebooks de Google sont, ou seront, automatiquement protégés contre ces failles, selon Google. La société affirme que les Chromebooks équipés de puces ARM ne sont pas du tout affectés, et que ceux dotés d'autres processeurs (généralement Intel) incluent des mesures d'atténuation à partir de la version 63 de Chrome OS, qui a commencé à être commercialisée à la mi-décembre.

Pour l'instant, vous pouvez activer l'isolation de site dans Chrome OS (voir les instructions ci-dessus) et vous devez savoir que quelques Chromebooks ne sont pas destinés à recevoir le correctif (en général, car ils sont assez anciens). Vous pouvez trouver une liste complète ici; Cherchez "non" dans la colonne la plus à droite.

Apple TV

Comme avec les Mac, les iPhones et les iPads, Apple a pu insérer discrètement des correctifs dans sa mise à jour logicielle de décembre pour l'Apple TV. tvOS 11.2, publié le 4 décembre, inclut un certain nombre de correctifs. Il est possible que votre Apple TV ait automatiquement mis à jour son logiciel, mais si ce n’est pas le cas, vous devrez aller dans Paramètres> Système> Mises à jour du logiciel et choisir Mettre à jour le logiciel .

Apple Watch

Apple dit que l'Apple Watch n'est pas affectée par le Meltdown. Quant à Specter, il travaillera sur des mesures d’atténuation dans les futures versions de son watchOS.