AMD : Ryzenfall, Chimera, Masterkey… Failles de déstabilisation massive

Sans vouloir rentrer dans le conspirationnisme basique, la méthode employée par la société en question, CTS Lab, est au mieux choquante. Au pire ? On peut se demander si ce labo de sécurité complètement inconnu n’est tout simplement pas le porte flingue de quelqu’un cherchant à déstabiliser AMD.

Petit rappel des faits pour ce que nous en savons. CTS Labs est une jeune société de sécurité¹ qui s’est retrouvée sous les feux des projecteurs cette semaine par une annonce fracassante.

Ido Li On, le PDG de CTS Labs

Avec un petit personnel, six employés seulement, CTS Labs lance l’équivalent d’un bloc de 10 tonnes dans une petite mare aux canards. Les nouveaux processeurs et chipsets d’AMD seraient tous atteint de failles de sécurité majeures. Pour accentuer la pression, le laboratoire baptise ces failles de jolis noms angoissants : Ryzenfall, Fallout, Chimera et Masterkey. S’en suit un document de 20 pages qui détaille par le menu pas moins de neuf failles qualifiées de majeures au sujet de ces circuits.

Mieux encore, pour accentuer le coup, le laboratoire propose un site web tout neuf avec un nom de domaine sans équivoque « AMDFlaws.com » soit « AMDdéfauts.com » en français qui explique ces découvertes. Y sont présentés des vidéos, des schémas et des éléments destinés à savoir si les utilisateurs sont susceptibles d’êtres affectés par ces problèmes de sécurité.

Quelques heures plus tard, un analyste financier du nom de Viceroy Research indique que les éléments qu’il a pu analyser concernant ces failles signent la mise à mort boursière d’AMD et conseille donc de vendre au plus vite ses titres et de se tenir éloigné de l’action. Les termes sont choisis avec soin et la situation est qualifiée de « fatale » au  « niveau commercial ». L’analyste annonce qu’AMD ne vaut plus rien et n’a d’autres choix que « la banqueroute. » Des mots qui sont autant de coups de poignards au niveau boursier pour la marque.

Première interrogation, comment Viceroy Research a t-il pu analyser aussi vite ces documents qui ne sont pas du pipi de chèvre en termes de technique et proposer ensuite une analyse de 25 pages d’un point de vue financier ? Le cabinet se retranche derrière la réception anticipée d’un email anonyme. Elle a eu le temps d’analyser les documents grâce à une fuite. Même si cela est vrai, comment savoir si ce n’est pas une fuite organisée ?

Malgré ces éléments et un fort trading sur l’action d’AMD, celle-ci ne s’écroule pas.

Tout cela pose beaucoup de questions mais, pour le moment, il n’y a pas grand chose à y redire.

Sauf que les méthodes de CTS Labs sont étonnantes. D’abord le calendrier de publication ne correspond pas à l’usage. Il n’y a pas de règles en la matière et pas plus de lois. CTS Labs n’a rien fait d’illégal en diffusant ces failles, on peut le considérer comme un lanceur d’alerte en terme de sécurité informatique. Ce qui pose soucis c’est la manière de faire et le calendrier.

AMD a été prévenu de ces découvertes 24 heures seulement avant leur publication. La règle tacite de ces laboratoires de sécurité est de laisser un certain temps aux sociétés ayant des failles informatiques pour qu’elles puissent élaborer une solution afin de proposer une mise à jour permettant de contre balancer leur effet négatif. 24 Heures entre l’alerte d’AMD et la publication de l’ensemble de ces failles au public, c’est évidemment trop peu. Et CTS Labs se transforme donc de société de sécurité en société d’insécurité.

C’est comme si un type dans la rue vous criait au visage « Attention ça va piquer » juste avant de vous asperger les yeux avec une bombe lacrymo. C’est sympa de sa part de prévenir par rapport au simple fait de juste vous asperger mais on aurait peut être préféré qu’il prévienne largement à l’avance pour qu’on puisse se protéger. La plupart des sociétés de sécurité laissent en général 30, 60 ou 90 jours avant publication. Cette deadline est saine car elle permet aux concepteurs des éléments touchés de coller une rustine sur les problèmes rencontrés avant que cela ne s’ébruite et soit donc susceptible d’intéresser des pirates. En même temps, ce délai force les sociétés impliquées à réagir rapidement car sans un correctif au bout du délai annoncé le couperet tombe et la sanction peut être sévère.

Mais avec 24 heures de délai seulement, aucune chance de développer un patch quelconque. CTS Labs fournit donc les moyens à des personnes peu scrupuleuses de porter atteinte à des systèmes informatiques au lieu d’empêcher que cela arrive. Ce qui est l’inverse de son rôle en tant que société de sécurité. C’est encore pire à la lumière des faits. Le nom de domaine AMDFlaws.com a été acheté le 22 février et le temps de créer les documents exposés sur ses pages a dû être assez important. CTS a même été jusqu’à faire vérifier ses découvertes par un cabinet indépendant (et dont l’analyse est fort coûteuse) en amont. Si on résume la situation, en imaginant que le personnel de CTS ait eu le réflexe d’acheter un nom de domaine immédiatement après avoir découvert la première faille, le laboratoire aurait pu prévenir AMD dès ce 22 février. On imagine que le brainstorming nécessaire à l’invention des noms Ryzenfall ou Chimera, ou le réglage des lumières de leur vidéo interview du personnel de la boite ne leur a pas laissé le temps de passer un coup de fil ou d’envoyer un email à AMD.

On peut donc clairement se demander qui est le client de CTS Labs, car c’est un autre détail pas anodin de cette histoire, ce laboratoire ne travaille que sur commande. Leur examen des puces AMD a été fait à la demande d’un client non identifié. C’est probablement ce client qui a choisi ce calendrier si spécifique et c’est probablement cette information manquante – le laboratoire n’a pas identifié son client – qui va être le plus éclairant. Je  ne sais pas quelles seront les suites juridiques de cette aventure. Est-ce que AMD va alerter un quelconque gendarme boursier pour demander une enquête sur une manipulation de son cours de bourse.

Beaucoup de monde pointe du doigt Intel en estimant que le concurrent de toujours serait le plus à même de profiter de cette révélation suite aux failles de ses propres puces. Cela me parait un peu facile et surtout trop dangereux pour Intel. Un tel scénario serait catastrophique en terme d’image et pourrait donner suite à un procès où il y aurait plus à perdre qu’à y gagner. Par contre le fait que le titre n’ait pas dévissé, c’est à dire qu’il y ait des gens qui aient acheté toutes les actions vendues par les personnes ayant paniqué à la suite de cette révélation fait sens. Quelqu’un a bien profité de cette histoire pour renforcer sa position et cela juste avant la sortie de la nouvelle gamme de puces Ryzen…

D’autres, enfin, parlent de la jeunesse du laboratoire et de sa volonté de se faire un nom. Cette jeunesse est t-elle une explication suffisante pour expliquer les méthodes employées ? Cela parait difficile à croire.

RyzenFall ou RyzenFail ? Techniquement, ces failles sont t-elles si terribles ?

Non.

Très clairement non. Attention, cela ne veut pas dire que les failles n’existent pas. Ryzenfall, Chimera, Fallout et Masterkey sont bel et bien réelles. Mais pour pouvoir les exploiter, il faut déjà être logiciellement maître de la machine qui emploie les processeurs incriminés. C’est donc très différent des failles Meltdown ou Spectrre par exemple. Quand on est maitre d’une machine, quand on possède tous les accès, le fait de pouvoir utiliser ces failles est un détail. On peut déjà effacer toutes les données présentes, les copier, les envoyer où on veut ou installer n’importe quel type de mouchard.

Pour prendre un exemple plus parlant :

Est-ce que vous vous inquiéteriez d’avoir un moteur AMD dans votre voiture si il permettait à un voleur qui aurait déjà pénétré dans l’habitacle et mis le contact sans réveiller l’alarme, de jouer avec le clignotant ?

Si un pirate est déjà root, ces failles ne l’intéressent plus. Est-ce que Ryzenfall, Chimera, Fallout ou Masterkey permettent de devenir root ? De prendre le contrôle total de la machine ? Non. Pas de panique donc. Je vous conseille, à ce sujet, de lire le papier de Hardware.fr qui rentre dans le détail des différentes failles. C’est technique mais c’est très intéressant.

After the Ryzenfall : Que conclure ?

La première chose et la plus intéressante à remonter serait de connaitre le nom du commanditaire de cette analyse de sécurité effectuée par CTS Labs. Les six employés de ces experts n’ont pas décidé de leur chef d’acheter des tas de processeurs et de cartes mères AMD pour s’amuser à la pause déjeuner. Découvrir ce type de faille demande des ressources et de payer des salaires d’ingénieurs chevronnés. Quelqu’un a payé CTS Labs et on aimerait bien savoir qui.

Qui a acheté ces actions vendues par les actionnaires d’AMD suite à cette annonce, quand le volume d’échange a explosé ?

Qui a envoyé un email à Viceroy Research en amont d’une communication à AMD ?

Plus que des interrogations de sécurité, ce sont des questions sur la façon de faire de CTS Labs qui m’interpellent aujourd’hui.

Bonus (presque) rigolo

La vidéo ci dessus a été tournée sur fond vert par CTS Labs. C’est une mise en scène totale de leur personnel dans des locaux purement fictifs.

On peut y voir, par exemple, à 2’12 ce monsieur parler devant un immense bureau vide. Les employés étant au nombre de six on peut se demander pourquoi de tels locaux ? Une recherche avec un moteur d’analyse par image est assez éclairant.

Il s’agit d’un cadrage sur une image disponible en ligne sur de nombreux sites partout dans le monde. Je suppose qu’elle provient d’une banque d’images quelconque.

On la retrouve, par exemple, employée ici dans une communication Française…

Je n’ai pas retrouvé ce fond mais l’éclairage de cette image laisse également penser qu’il s’agit également d’une vidéo sur fond vert. Le décor est donc totalement virtuel.

Le fond vert tout moche !

Pareil pour la scène devant des serveurs en activité, ce sont typiquement des images que l’on peut acheter à une banque de vidéos libre de droits contre une poignée de dollars. Cela ne me choque pas plus que cela, les locaux de CTS Labs sont surement moins présentables et le labo veut faire bonne impression. Ce qui me pose soucis, c’est le temps accordé à ces détails techniques : capture d’images et prises de son, réglage des éclairages, fond vert, recherche dans des banque d’images, montage et publication sur Youtube… Sans prendre le temps d’avertir AMD.

C’est comme si Pasteur mettait 15 jours à faire les boutiques pour être super chic le jour où il présente son vaccin contre la rage à ses collègues. Pendant que la maladie continue bien sûr de faire des ravages dans la population.

C’est ce grand écart qui est problématique. Pourquoi crier haut et fort à la découverte de failles majeures dans ces processeurs, tout en passant autant de temps à des activités ne permettant à personne de les corriger ? Est-ce là le rôle d’une boite de sécurité informatique ?

1. Ce qui n’est pas une tare, on peut être jeune et exceller dans ce genre de job mais il est bon de rappeler cette jeunesse au vu de cette histoire, tant pour expliquer un manque d’expérience que pour éclairer certaines pratiques.