Une équipe de recherche conjointe composée de chercheurs de l'Université KU Leuven en Belgique et de l'institut EURECOM a publié un article technique détaillé présentant une nouvelle innovation de sécurité appelée « SecDMP », un système matériel spécialement conçu pour remédier aux vulnérabilités de sécurité associées aux unités de prélecture dépendant de la mémoire (Data Memory-Dependent Prefetchers ou DMP) dans les processeurs informatiques.
Les unités de prélecture de données reposent sur la anticipation des données dont le processeur aura besoin à l'avenir et leur chargement préalable pour améliorer la vitesse d'exécution. Cependant, ce type d'optimisation architecturale ouvre la porte à des failles de fuite d'informations sensibles via des canaux cachés (Side-Channels). Les chercheurs ont démontré, en mettant en œuvre les premières unités DMP open-source sur un processeur d'architecture RISC-V, que les mécanismes de défense actuels qui tentent de préserver l'efficacité des performances sont incapables de protéger des catégories entières de ces fuites de sécurité.
Que change concrètement le système SecDMP ?
Le nouveau système introduit une classification architecturale précise des fuites des unités de prélecture et catégorise avec une exactitude minutieuse les attaques existantes et nouvelles. La solution « SecDMP » repose sur une idée fondamentale qui consiste à marquer clairement les données secrètes dans la mémoire, garantissant ainsi que les unités de prélecture ne codent ou ne traitent jamais ces secrets au sein de la microarchitecture du processeur, tout en préservant pleinement les performances des données publiques sans aucun impact négatif.
Sécurité et restauration des normes durcies
Les chercheurs ont prouvé, mathématiquement et ingénieusement, que le système SecDMP n'introduit aucune fuite supplémentaire par rapport aux modèles de base dépourvus d'unités de prélecture. Plus important encore, l'intégration de cette solution avec les mécanismes de défense actuels contre l'exécution spéculative (Speculative Execution) rétablit une sécurité complète de la microarchitecture pour le code fonctionnant à temps constant (Constant-Time Code), dépassant ainsi les limites de sécurité précédentes.
Résultats de l'évaluation expérimentale
Les tests pratiques et opérationnels menés par l'équipe de recherche ont confirmé que la technologie SecDMP réussit à prévenir toutes les formes de fuite associées aux unités de prélecture, tout en enregistrant un coût minime en termes de ressources matérielles et d'impact sur les performances, ouvrant ainsi la voie au développement de processeurs sécurisés et résistants aux attaques par canaux cachés à l'avenir.