Elles étaient là, depuis deux décennies, tranquillement installées au cœur des processeurs informatiques Intel. Et personne ne s’en doutait. Pourtant, les failles informatiques critiques Meltdown et Spectre représentent une menace de cyberattaque sans précédent. La première pourrait permettre de subtiliser tous types d’informations sur l’utilisateur, et la seconde hante les processeurs, nécessitant de modifier l’architecture même de ceux-ci pour s’en débarrasser. Voilà ce qui a mené de nombreux chercheurs à tomber dessus tout d’un coup.

Yuval Yerom, l’éclaireur australien

En tête de l’article académique qui raconte la découverte de Spectre figure notamment le nom de Yuval Yarom. Pourtant, ce chercheur de l’université d’Adélaïde en Australie n’a pas mené de recherches sur le sujet dernièrement. À vrai dire, ses travaux datent de 2005. Si personne ne se doutait de rien à l’époque, ses trouvailles contiennent plusieurs idées de base qui ont servi à exploiter les faiblesses des processeurs modernes. Il marquait alors inconsciemment le début de l’épisode Spectre, qui allait mener à un scandale planétaire.

KASLR & KAISER

2013. Ça devient sérieux : la faille KASLR (Kernel Address Space Layout Randomization) est découverte. Cette vulnérabilité permet aux pirates d’accéder au modèle du noyau puis au système d’exploitation d’un autre utilisateur – mais pas aux données personnelles. Toutefois, c’est un bon début, qui servira d’ailleurs de base pour une bonne partie des découvertes effectuées quatre ans plus tard, en 2017. En guise de parade, les chercheurs de l’université de Graz dévoilent alors KAISER. Ce moyen de protection des processeurs masque simplement la position de la mémoire de l’ordinateur pour brouiller les pistes et éviter les attaques. Ça marche, certes, mais cela réduit grandement les performances du processeur.

Google, Amazon et Microsoft entrent dans la danse

Alors qu’on pensait pouvoir dormir sur nos deux oreilles grâce à KAISER, les évènements prennent une autre tournure. En juillet 2017, Anders Fogh, un chercheur indépendant, publie sur son blog un article on ne peut plus sceptique quant à la prétendue sécurité des processeurs. Et le temps lui donnera raison, puisqu’il avait décelé sans le savoir les failles Spectre et Meltdown, alors que tout le monde partait du principe que si une telle faille existait, les fabricants l’auraient corrigée. Coïncidence ou pas, à l’automne de la même année, Google, Amazon et Microsoft jettent leur dévolu sur le patch KAISER, sans pour autant expliquer pourquoi. De quoi attirer la suspicion des chercheurs de Graz,  qui prennent alors connaissance des travaux d’Anders Fogh et se mettent à flipper : leur patch, qu’ils pensaient suffisant, était en fait utilisé pour maquiller une faille autrement plus dangereuse que KASLR. Ils créent ensuite un programme informatique pour mettre en évidence cette vulnérabilité et parviennent sans mal à récupérer des informations censées être introuvables depuis l’ordinateur d’un individu. Plus tard, ce programme sera nommé Meltdown.

Intel savait déjà

Ils contactent alors Intel en urgence, avant d’apprendre une semaine plus tard qu’ils n’étaient pas les premiers, mais les quatrièmes sur le coup. Le premier à avoir mis la main, en juin 2017, sur ce qui allait devenir Meltdown et Spectre se nomme Janh Horn. Il a 22 ans et travaille chez Google, sur le fameux Project Zero, qui est justement chargé de détecter ce genre de failles. Alors qu’il s’intéressait aux processeurs Intel pour son projet, il remarque une immense vulnérabilité au fur et à mesure de sa lecture du mode d’emploi – oui, c’est aussi simple. Celle-ci pourrait permettre à des informations censées rester secrètes de se retrouver par accident dans le cache du processeur et ainsi d’être récupérées. Il met alors, lui aussi, une technique qui exploite cette faille critique : Spectre. Au mois de juin, il prévient Intel, AMD et ARM (les trois grands fabricants de processeurs) de la faille Meltdown, qu’il avait découverte quelques semaines plus tôt – et ne contacte qu’Intel pour Spectre, puisqu’il est le seul concerné. D’où l’intérêt soudain de Google, Amazon et Microsoft, sans doute à leur tour informé par les fabricants.

La question qui se pose désormais est de savoir qui était au courant et n’a rien dit ? La NSA, vers qui les regards se tournent, s’est vite dédouanée auprès du Washington Post. Quant aux autres agences, impossible de le savoir pour le moment.