Une recherche a mis en évidence une faille de sécurité présente sur presque tous les processeurs. Elle permet de voler les données personnelles des utilisateurs en copiant ce qu'ils tapent sur un site Web, quand certaines conditions sont remplies.

Spontanément, quand on pense à une faille de sécurité, on imagine un logiciel ou un navigateur Web le plus souvent. Mais c'est parfois les composants de nos appareils qui sont vulnérables. Parmi eux, les processeurs sont touchés plus souvent qu'on ne le croit. Chez AMD, la faille Zenbleed est toujours en attente de correction sur de nombreux modèles. Intel n'est pas en reste avec une brèche dans ses processeurs fabriqués après 2015. Des chercheurs en ont révélé une autre, et cette fois-ci elle touche les CPU des 6 principaux fabricants : Qualcomm, Arm, Apple, Nvidia, AMD et Intel.

L'exploitation de la faille est particulière. Elle permet au site d'un domaine (exemple.com) de lire les données écrites sur un site Web d'un autre domaine (exemple.org), comme les identifiants, les mots de passe ou les coordonnées bancaires. Le principe est celui du “vol de pixels” : les pirates vont reconstituer petit à petit ce que vous avez tapé pour obtenir l'information. Normalement, c'est impossible. Les sites Web d'un domaine intègrent un système qui isole leurs contenus de leurs autres domaines.

Une faille dans les processeurs permet à un site frauduleux de lire vos informations personnelles

Que viennent faire les processeurs là-dedans ? Et bien ce sont eux qui permettent de passer outre la sécurité mise en place sur les sites. Les CPU utilisent tous une technologie pour compresser certaines données afin d'améliorer les performances. Ce faisant, ils permettent ce qu'on appelle une attaque par canal auxiliaire pour voler les pixels. Heureusement, il y a plusieurs conditions à remplir pour que cela fonctionne.

Ça commence par l'ouverture d'un site frauduleux sur Chrome ou Edge uniquement. Ce site intègre un iframe (un bloc) avec un lien vers le site dont il veut lire les informations. Ce dernier ne doit pas intégrer la sécurité mentionnée, ce qui est par exemple le cas de Wikipedia. La page infectée lit ensuite ce qui s'écrit sur l'autre. Au final, le risque est faible pour l'utilisateur.

Lire aussi – AMD contraint de réduire les performances de ses processeurs à cause d’une faille de sécurité

Les fabricants de processeurs estiment que la faille ne se situe pas sur leurs produits, mais sur les navigateurs Web et les sites concernés. Intel et Qualcomm ont déjà répondu qu'il n'y aurait pas de correctif à leur niveau, et il est donc probable que cela viendra plutôt de Chrome et Edge. Firefox et Safari fonctionnent de manière à empêcher cette attaque par défaut, même sur un site non sécurisé.

Source : Ars Technica