Parce qu’on n’imaginait pas à l’époque le genre d’attaques par canaux cachés que l’on imagine à présent.
Peut-être que les ingénieurs de l’époque étaient nuls, peut-être qu’ils étaient tous achetés par la NSA. Ou peut-être qu’ils n’avaient pas le bénéfice des quinze dernières années de recherche.
Enfin, les recherches sur les canaux cachés ne sont pas neuves non plus.
Mon sentiment sur cet épisode regrettable :
Sans avoir idée des moyens de les mettre à profit, une énumération à froid de tout ce qui n'est pas effacé lors des changements de contexte suffirait à savoir ce qui est à risque et ce qu'il faut protéger en particulier. Pour les canaux cachés (enfin pas tant que ça, quand on parle de cache), tout ce qui n'est pas explicitement permis devrait être interdit. Facile à dire, je le concède, mais le principe est simple.
Dans l'industrie manufacturière, on a un mantra : "sécurité d'abord". Pour l'informatique, c'est "sûreté d'abord" mais on a franchement l'impression que les fondeurs n'ont pas cherché à suivre les nouveautés en matière de sécurité. Et on ne parle pas de petite startup avec 3 pelés et pas de moyens. La réflexion de Torvalds me paraît amplement méritée.
[^] # Re: Bug (ou fonctionnalité ?)
Posté par JN . En réponse à la dépêche Deux failles critiques : Meltdown et Spectre. Évalué à 3.
Enfin, les recherches sur les canaux cachés ne sont pas neuves non plus.
Mon sentiment sur cet épisode regrettable :
Sans avoir idée des moyens de les mettre à profit, une énumération à froid de tout ce qui n'est pas effacé lors des changements de contexte suffirait à savoir ce qui est à risque et ce qu'il faut protéger en particulier. Pour les canaux cachés (enfin pas tant que ça, quand on parle de cache), tout ce qui n'est pas explicitement permis devrait être interdit. Facile à dire, je le concède, mais le principe est simple.
Dans l'industrie manufacturière, on a un mantra : "sécurité d'abord". Pour l'informatique, c'est "sûreté d'abord" mais on a franchement l'impression que les fondeurs n'ont pas cherché à suivre les nouveautés en matière de sécurité. Et on ne parle pas de petite startup avec 3 pelés et pas de moyens. La réflexion de Torvalds me paraît amplement méritée.