Google a mis en ligne un code de preuve de concept (PoC) qui exploite la vulnérabilité Spectre au sein de Chrome, et ce afin d'aider les développeurs web à atténuer les attaques par canal latéral dans le navigateur.
Cette initiative fait suite à la note d’intention rédigée le mois dernier par Mike West, ingénieur sécurité chez Google, à destination du W3C - le consortium international définissant tous les standards de la navigation web. Il semblerait que ce dernier ait enfin approuvé officiellement les recommandations de M. West.
"Bien que les développeurs de systèmes d'exploitation et de navigateurs Web aient mis en place d'importantes protections intégrées dans la mesure du possible, la conception des API Web existantes permet toujours aux données de circuler par inadvertance dans le processus conçu par tout hacker", ont expliqué Stephen Röttger et Artur Janc, en soutien à leur collègue.
- Meilleurs antivirus 2021 : quelle solution gratuite, premium ou business choisir ?
- En complément de votre antivirus, optez pour les meilleurs VPN | VPN Jeux en ligne | VPN Télétravail | VPN gratuits
- Quels sont les meilleurs Chromebooks de 2021 ?
A l'épreuve de Spectre
D’après nos trois experts, les vulnérabilités de type Spectre sont répandues sur tous les navigateurs Web modernes. Ils expliquent que le PoC permet de démontrer l'aspect pratique des exploits à canal latéral contre les moteurs JavaScript.
Ils ont également élaboré un site Web pour illustrer de manière interactive la façon dont les attaques par canal latéral entraînent des fuites de données. Les ingénieurs de Google notent que si le site démo laisse échapper des données à une vitesse de 1 ko/s sur Chrome 88 via un processeur Intel Skylake, ils l'ont également testé sur plusieurs autres processeurs, y compris l'Apple M1. Avec des fuites de données pouvant atteindre un débit de 60 kb/s. Le PoC déployé a été choisi en raison de son "temps de configuration négligeable".
"Si nous ne croyons pas que ce PoC particulier puisse être réutilisé à des fins néfastes sans modifications importantes, il sert de démonstration convaincante aux risques générés par Spectre. Nous espérons qu'il constitue un signal clair pour les développeurs d'applications Web, leur indiquant qu'ils doivent prendre en compte ce risque dans leurs évaluations de sécurité et prendre des mesures actives pour protéger leurs sites", concluent les développeurs gardiens du web.
Via: The Register
