Les commentaires des chercheurs sont assez “assassins” quant aux développeurs de openssl, qui globalement selon eux ont fait “n’importe quoi”.

Il est aussi important que les développeurs de ces librairies "sécu" les cadrent correctement quant aux mécanismes de protection contre les vols de donnée sensibles.      


Il existe (a priori) des dispositifs explicites pour "bloquer" les utilisations de vol de secrets via la prediction de branchement ou ces fameuses attaques "side-channel". Sauf que si le développeur oublie de se mettre en bulle sécurisée pour le traitement de des données sensibles, le kernel/OS les laissera libres d'accès ou de visibilité.      


Car globalement, hormis les clés privés, peu d'information sensible est utile à aller deviner via ces attaques qui sont particulièrement lentes (et complexes) à mettre en oeuvre.      

On retrouve les mêmes maux que pour Spectre et Meltdown, cette faille n'en n'est pas réellement une, il s'agit "juste" d'un comportement pas idéal, mais logique au vu du fonctionnement même d'un microprocesseur.      


Et leur exploitation n'est qu'une des conséquences au fait que les développeurs ne comprennent plus réellement comment fonctionne le transistor sur lequel ils sont.      

Effet de bord de la "génération java" sans doute :(    

Extrait de Ars:&nbsp Ars Technica





Paul Kocher, the cryptography security expert who discovered Spectre, agreed that a key weakness that makes PortSmash so alarming was the way OpenSSL carried out sensitive operations using branch instructions that’s based on secret values.

“This kind of leakage is something that crypto library authors already understand pretty well and know they need to protect against,” Kocher wrote in an email “E.g. it’s typically assumed that any situation where secrets to affect the control flow, such as the condition for a branch, needs to be avoided. As a result, I’d say that this work describes an OpenSSL bug that can be exploited using well-known issues with hyperthreading (and perhaps other ways as well, e.g. branch predictor state).”