Failles processeurs, AMD prend la parole et explique la situation

AMD vient d’apporter de nouvelles informations autour des initiatives prises suite à la découverte des failles de sécurité touchant les processeurs modernes.

L’annonce a été faite par Mark Papermaster,  Senior Vice President and Chief Technology Officer de la firme. Elle concerne les choix faits en fonction des trois variantes connues.

« La divulgation publique le 3 janvier sur la découverte, par plusieurs équipes de chercheurs, de problèmes de sécurité quant à la façon dont les processeurs modernes gèrent l’exécution spéculative ont mis sur le devant de la scène la vigilance constante dont il faut faire preuve pour protéger et sécuriser les données. Ces menaces cherchent à contourner l’architecture microprocesseur qui garantit la sécurité des données.

Pour AMD, la sécurité est la première des priorités et nous travaillons continuellement pour nous assurer que nos clients restent en sécurité alors que de nouveaux risques émergent. C’est dans cet esprit de vigilance que je souhaite informer la communauté des actions que nous entreprenons pour remédier à la situation.

GPZ ( Google Project Zero) Variante 1

Google Project Zero (GPZ) Variante 1 (Bounds Check Bypass or Spectre) s’applique aux processeurs AMD.

Nous pensons que cette menace peut être contenue par un patch du système d’exploitation (OS) et nous avons travaillé avec les concepteurs d’OS pour résoudre ce problème. Microsoft distribue en ce moment des patchs pour la majorité des systèmes AMD. Nous travaillons étroitement avec eux pour corriger un souci ayant mis en pause un peu plus tôt dans la semaine la distribution de patchs pour d’anciens processeurs AMD (familles AMD Opteron, Athlon et AMD Turion X2 Ultra). Nous nous attendons à ce que le problème soit corrigé très rapidement et Microsoft devrait reprendre les mises à jour pour ces anciens processeurs d’ici la semaine prochaine. Pour les détails les plus récents, merci de consulter le site web de Microsoft.

Les vendeurs Linux déploient actuellement des patchs à destination des produits AMD.

GPZ Variante 2

GPZ Variante 2 (Branch Target Injection or Spectre) s’applique aux processeurs AMD.

Tandis que nous pensons que l’architecture des processeurs AMD rend difficile l’exploitation de la variante 2, nous continuons à travailler étroitement avec le reste de l’industrie sur cette menace. Nous avons défini des étapes additionnelles via une combinaison de mises à jour de microcode et de patchs OS qui seront mis à disposition des clients et partenaires d’AMD afin de mitiger davantage la menace.

AMD rendra disponible cette semaine des mises à jour optionnelles de microcodes pour nos clients et partenaires à l’attention des processeurs Ryzen et EPYC. Nous prévoyons de rendre des mises à jour disponibles pour notre précédente génération de produits dans les semaines à venir. Ces mises à jour logicielles seront distribuées par les fournisseurs de systèmes et les vendeurs d’OS ; merci de vérifier avec votre fournisseur pour les dernières informations quant aux solutions pour votre configuration et vos besoins.

Les vendeurs Linux ont démarré le déploiement de patchs pour les systèmes AMD et nous travaillons étroitement avec Microsoft sur le timing de la distribution des patchs. Nous sommes également très proche de la communauté Linux quant au développement des solutions logicielles « return trampoline » (Retpoline) visant à mitiger les risques.

GPZ Variante 3

GPZ Variante 3 (Rogue Data Cache Load or Meltdown) ne s’applique pas aux processeurs AMD.

Nous pensons que les processeurs AMD ne sont pas concernés par cette attaque en raison de notre utilisation de niveaux de protection avec privilège dans notre architecture paginée. Aucune atténuation n’est requise.

Il y a également eu des questions sur les architectures de nos GPU. Les architectures AMD Radeon n’utilisent pas l’exécution spéculative et ne sont donc pas susceptibles d’être concernées par ces menaces.

Nous proposerons des informations additionnelles alors qu’AMD et l’industrie continuent de travailler conjointement sur des solutions d’atténuation pour protéger les utilisateurs de ces dernières menaces de sécurité.”