Apple Les puces de la série M présentent une grave faille de sécurité, dont la correction se traduira par une baisse des performances

Une équipe de chercheurs a découvert une grave faille de sécurité, baptisée "GoFetch", dans le silicium de la série M de Apple, dont la réputation n'est plus à faire. Les chercheurs ont créé une application également appelée GoFetch qui peut extraire des clés pour des méthodes de cryptographie, y compris des clés RSA de 2048 bits, DH-2048, Kyber-512 et Dilithium-2 dans des délais allant de moins d'une heure à environ 10 heures. La faille affecterait particulièrement les puces M1 et M2 de Appleet exploite ce que l'on appelle un "canal latéral" dans la manière dont les puces exécutent des extractions de clés de bout en bout liées à des scripts de sécurité typiques, y compris des tâches d'authentification qui requièrent des clés de sécurité et du cryptage.

Apple la Commission européenne a créé un outil appelé CryptoKit pour aider les développeurs à déployer plus facilement des contrôles de sécurité pour leurs applications, mais le problème n'est pas lié au logiciel de Apple, mais à la microarchitecture des puces. Par conséquent, un attaquant peut extraire des clés autrement secrètes pour décrypter des données. La vulnérabilité étant intégrée dans le silicium et dans la manière dont certaines tâches cryptographiques sont traitées, le seul moyen de la corriger est que Apple publie un correctif logiciel. Toutefois, comme le souligne Ars Technica, ce correctif se traduira par une baisse significative des performances.

La vulnérabilité au niveau de la puce rappelle les vulnérabilités de sécurité au niveau du silicium telles que Meltdown et Spectre qui ont affecté certaines puces Intel, AMD, IBM et certaines puces basées sur Arm. Lors d'un test, après l'application d'un correctif pour corriger Spectre-V2, une puce Intel Core i9-12900K (Alder Lake) a connu des baisses de performances entre 14,5 % et 26,7 %. Apple n'a pas encore répondu officiellement aux affirmations des chercheurs, mais ces derniers ont alerté Apple sur le problème et un correctif devrait être appliqué prochainement, si Apple ne l'a pas déjà fait.