Composants

Inscrivez-vous

Deux chercheurs polonais d'Invisible Things Labs ont réussi à compromettre la sécurité de la technologie de virtualisation matérielle vPro d'Intel. Pour ce faire, ils ont exploité deux failles du système.

Rafal Wotjczuk et Joanna Rutkowska, deux chercheurs polonais des laboratoires d'Invisible Things, viennent de trouver une méthode pour s'attaquer à la plateforme de virtualisation sur processeur vPro d'Intel. Ils affirment avoir écrit un programme qui compromet l'intégrité de logiciels chargés via la fonction Trusted Execution Technology (TXT) implantée dans vPro. Or, le rôle même de cet outil est de protéger les logiciels installés dans une machine virtuelle, par exemple, en empêchant qu'ils ne soient visibles ou accessibles par les autres applications présentes sur la machine physique.

L'attaque se déroule en deux étapes. Elle s'appuie d'abord sur une vulnérabilité du logiciel système d'Intel que les deux chercheurs ne souhaitent pas dévoiler publiquement avant qu'elle soit corrigée. Ensuite, le processus exploite un défaut de conception au sein de TXT. Ce dernier semble le point le plus difficile à éviter : « il n'est pas évident de dire la façon dont Intel devrait régler le problème exploité dans la seconde partie de notre attaque, insiste Joanna Rutkowska. Ils affirment pouvoir y arriver par une mise à jour des spécifications de TXT. »

Les deux chercheurs présenteront leur découverte plus en détail lors de la prochaine conférence Black Hat sur la sécurité qui aura lieu du 16 au 19 février prochain à Washington. D'ici là, ils collaborent avec Intel pour trouver une solution et se veulent rassurants. La combinaison TXT/vPro n'est commercialisée que depuis un an et peu de programmes sont pour l'instant compatibles. Donc, peu d'ordinateurs sont susceptibles d'être compromis par cette attaque. En revanche, elle crée un précédent fâcheux pour la réputation de vPro et pourrait inciter d'autres hackers, peut être plus attirés par le profit que par l'exploit intellectuel, à s'y intéresser.

0 commentaires postés	>> Tous les commentaires