Intel travaille depuis longtemps avec les développeurs de logiciels et fait des progrès dans le renforcement des protections des systèmes d'exploitation et des logiciels fonctionnant sur les systèmes informatiques modernes. La fonction de sécurité "Control-flow Enforcement Technology" (CET) d'Intel sera dorénavant prise en charge sur les navigateurs basés sur le moteur chromium, tels que Microsoft Edge et Google Chrome, afin d'éviter un grand nombre de vulnérabilités.La fonction de sécurité CET d'Intel est conçue pour protéger les données des utilisateurs contre les attaques de la programmation orientée retour (ROP) et de la programmation orientée saut (JOP). Ces attaques de type ROP et JOP sont dangereuses et particulièrement difficiles à détecter ou à prévenir, car elles modifient le comportement normal d’un programme pour exécuter le code malveillant. Intel a collaboré activement avec Microsoft et d'autres partenaires industriels pour lutter contre ces types d’attaques en utilisant la technologie CET comme complément aux précédentes solutions implémentées.
Avec ROP, le cybercriminel s'appuie sur l'instruction RET (return) pour assembler un flux de code malveillant, récupère l'adresse de l'instruction suivante dans la pile et exécute les instructions à partir de cette adresse. Dans le cas d'attaques basées sur des ROP, l'acteur de la menace recherche a priori l'exécution d'une séquence d'octets dans le code du programme existant en analysant le programme sur le disque ou en mémoire. La figure ci-dessous montre un exemple de flux d'instructions.
Cet exemple montre trois instructions exécutées dans une séquence (notons qu'il n'y a pas d'instructions RET dans cette séquence) et les octets du programme correspondants dans les cases bleues ci-dessous. Le même ensemble d'octets, lorsqu'il est interprété à partir d'un décalage erroné, peut également signifier un autre ensemble d'instructions qui font que la séquence se termine par une RET comme le montre la figure ci-dessous où les octets dans les cases rouges correspondent à une séquence d'instructions différente et dans cet exemple, chaque instruction est suivie de C3 qui correspond à l'instruction de retour.
Selon Intel, en plaçant soigneusement les adresses de départ de ces autres jeux d'instructions qui se terminent tous par l'instruction RET, l’acteur de la menace peut exécuter des flux de code arbitraires qui n'étaient pas prévus dans le programme de base en utilisant des octets déjà exécutables du programme de base. Ainsi, avec une attaque ROP, l’acteur de la menace peut exécuter un code arbitraire composé par des jeux d’instructions en utilisant le programme existant, héritant de toutes les permissions du programme. Ce qui rend ces attaques efficaces et difficiles à détecter. Puisque ROP repose sur des instructions RET, où l'adresse de la prochaine instruction à exécuter est extraite d'une pile, l'altération de la pile joue un rôle critique dans les attaques ROP.
La fonction de sécurité CET n'est pas seulement faite pour Microsoft Edge et Google Chrome. Elle est conçue de telle manière qu'elle peut être activée sur tous les navigateurs basés sur Chromium. Mozilla Firefox envisagerait également d'utiliser cette fonction de sécurité pour faire face aux vulnérabilités et aux attaques de type phishing. Windows 10 prend en charge la fonction de sécurité CET d'Intel grâce à un exécutable appelé "Hardware-enforced Stack Defense". Dans un tweet, Johnathan Norman, le responsable de l'étude des vulnérabilités de Microsoft Edge, a laissé entendre que Microsoft Edge 90 prend en charge la technologie CET d'Intel dans les procédures sans moteur de rendu.
En début de cette année, Microsoft a amorcé le déploiement de Microsoft Edge 88 avec de nouvelles fonctionnalités axées sur la confidentialité, notamment un moniteur d'informations d'identification et un générateur de mot de passe intégré. Grâce à la dernière version de Microsoft Edge, basée sur l'architecture open source Chromium, lorsque les utilisateurs créent un nouveau compte sur un site Web, Edge génère automatiquement un mot de passe fort pour l'utilisateur, qui est ensuite automatiquement enregistré et synchronisé sur leurs appareils.
La première de ces fonctionnalités, Password Monitor est disponible pour les utilisateurs de Windows 7, 8 et 10. Password Generator est disponible pour les mêmes utilisateurs Windows, en plus d'être disponible sur macOS. Les deux fonctionnalités nécessitent que les utilisateurs soient connectés à Edge avec un compte professionnel ou scolaire et que la synchronisation des mots de passe soit activée.
Le 10 février, Microsoft a annoncé la fin de vie de son navigateur Microsoft Edge Legacy. L’entreprise a indiqué qu’elle publiera un correctif de sécurité mensuel qui supprimera l'ancienne version d'Edge des ordinateurs Windows 10 et installera la nouvelle version basée sur Chromium le 13 avril. « Pour remplacer cette application en fin de vie, nous annonçons que le nouveau Microsoft Edge sera disponible dans le cadre de la mise à jour de sécurité mensuelle cumulative de Windows 10 autrement appelée mise à jour du mardi (ou "B"
le 13 avril 2021 », avait indiqué Microsoft sur son blog. « Lorsque vous appliquerez cette mise à jour à vos appareils, l'application de bureau Microsoft Edge Legacy, qui n'est plus prise en charge, sera supprimée et le nouveau Microsoft Edge sera installé », a précisé Microsoft. Comme complément d’information, l'entreprise a indiqué que la mise à jour du 13 avril 2021 ne concernera que les versions de Windows 10 ci-dessous :- Windows 10, version 1803, toutes les éditions (avril 2018) ;
- Windows 10, version 1809, toutes les éditions (octobre 2018) ;
- Windows 10, version 1903, toutes les éditions (mai 2019) ;
- Windows 10, version 1909, toutes les éditions (octobre 2019) ;
- Windows 10, version 2004, toutes les éditions (mai 2020) ;
- Windows 10, version 20H2, toutes les éditions (octobre 2020).
Google Chrome et Microsoft Edge 90 obtiendront le support d'Intel à la fin du premier trimestre de l'année 2021.
Source : Johnathan Norman
Et vous ?
Quel navigateur utilisez-vous ? Quel est votre avis sur le travail effectué par Microsoft pour améliorer son navigateur ?Voir aussi
Google Chrome 88 est disponible avec des demandes d'autorisation moins intrusives et supprime la prise en charge des URL FTP, ainsi que le support de Mac OS X Yosemite 10.10 Microsoft annonce la fin de vie du navigateur Microsoft Edge Legacy pour le 13 avril 2021, le nouveau Microsoft Edge est construit avec Chromium de Google Microsoft Edge basé sur Chromium sera bientôt disponible sur Linux, conformément à la feuille de route communiquée par l'éditeur Microsoft Edge 88 est livré avec de nouvelles fonctionnalités de sécurité, parmi lesquelles un générateur de mot de passe et un outil pour contrôler si vos informations de connexion ont fuité