iLeakage : attaque spéculative sans temporisation, basée sur le navigateur, contre les appareils Apple

• Cet article présente « iLeakage », une attaque par canal auxiliaire d’exécution transitoire visant le navigateur web Safari sur les appareils Apple.
• iLeakage montre que l’attaque Spectre reste exploitable malgré près de six ans d’efforts d’atténuation.
• Cette attaque consiste à amener Safari à rendre une page web arbitraire, puis à utiliser l’exécution spéculative pour en récupérer des informations sensibles.
• Si Safari autorise une page web malveillante, cette attaque peut récupérer des secrets de cibles à forte valeur, comme le contenu d’une boîte de réception Gmail.
• L’article montre également la récupération de mots de passe lorsqu’ils sont remplis automatiquement par un gestionnaire d’identifiants.
• Cette attaque peut récupérer des identifiants Instagram, le contenu d’une boîte de réception Gmail et l’historique de visionnage YouTube.
• L’équipe derrière iLeakage est composée de chercheurs de Georgia Tech, de l’Université du Michigan et de l’Université de la Ruhr.
• L’article propose aussi une section FAQ répondant aux questions de base sur iLeakage, son importance, les mécanismes de défense et la possibilité de le détecter.
• Cette recherche a été soutenue par plusieurs organismes, dont l’Air Force Office of Scientific Research (AFOSR), la Defense Advanced Research Projects Agency (DARPA) et la National Science Foundation.
• L’article précise que les opinions et conclusions exprimées sont celles des auteurs et ne représentent pas la politique officielle du gouvernement des États-Unis.

[GN⁺]

Commentaires Hacker News

• Discussion d’un article sur l’attaque par exécution spéculative « iLeakage »
• L’attaque peut récupérer des identifiants automatiquement remplis sur une page web.
• L’utilisation d’un gestionnaire d’identifiants ne modifie pas significativement le risque lié à cette attaque.
• Des questions sont soulevées pour savoir s’il s’agit d’une vulnérabilité de WebKit ou de Safari, et si l’activation du mode Lockdown atténue la vulnérabilité.
• Les chercheurs ont divulgué leurs résultats à Apple le 12 septembre 2022, soit 408 jours avant l’annonce publique.
• L’attaque atteint une précision presque parfaite sur Safari, Firefox et Tor.
• L’attaque via window.open() n’était pas propre à WebKit, mais WebKit était le seul moteur étudié en profondeur dans cette recherche.
• De la confusion subsiste quant à la gravité du problème et à la raison pour laquelle le correctif se trouve derrière le menu debug.
• L’article suggère que les atténuations des canaux auxiliaires ne sont pas efficaces et qu’il n’est pas sûr d’exécuter du code non fiable, même dans un sandbox.
• Le site web d’iLeakage mentionnait un correctif, mais cette mention a été supprimée.
• L’attaque affecte les appareils exécutant macOS ou iOS avec des CPU Apple de série A ou M. Cela inclut les iPhone, iPad ainsi que les ordinateurs portables et de bureau Apple depuis 2020.
• L’attaque est difficile à exécuter et nécessite des connaissances avancées sur les attaques par canaux auxiliaires basées sur le navigateur ainsi que sur l’implémentation de Safari.
• Le site web sur cette vulnérabilité de sécurité nécessite JavaScript pour les sections repliables, ce que certains utilisateurs trouvent ironique compte tenu de la nature de la vulnérabilité.