Le code source du BIOS d’Intel Alder Lake a été divulgué – devriez-vous vous inquiéter ?

C'est officiel – le code source du BIOS Intel Alder Lake a été divulgué et Intel l'a confirmé. Un total de 6 Go de code utilisé pour créer le code source BIOS/UEFI est maintenant disponible dans la nature, après avoir été publié sur GitHub et 4chan.

Intel ne semble pas trop inquiet, mais les chercheurs en sécurité sont maintenant à pied d'œuvre pour voir si cela peut être utilisé de manière malveillante. Si vous possédez un processeur Alder Lake , devriez-vous vous inquiéter ?

Je n'arrive pas à croire : les MSR NDA-ed, pour le tout nouveau processeur, quelle bonne journée… pic.twitter.com/bNitVJlkkL

— Mark Ermolov (@_markel___) 8 octobre 2022

La nouvelle de la fuite a éclaté il y a quelques jours lorsque le code a été trouvé dans un référentiel public GitHub, ainsi que partagé sur 4chan. Le fichier de 6 Go contient certains des outils et du code qu'Intel a utilisés pour créer le BIOS/UEFI dans ses processeurs Alder Lake. Étant donné qu'il s'agit de certains des meilleurs processeurs actuellement disponibles, cela pourrait potentiellement mettre en danger de nombreux clients d'Intel.

Le code source BIOS/UEFI est responsable de l'initialisation du matériel avant même que le système d'exploitation ait la possibilité de se charger. En tant que tel, il est chargé d'établir des connexions sécurisées avec des mécanismes importants au sein de l'ordinateur, tels que le module de plateforme sécurisée (TPM). Le BIOS joue un rôle important dans n'importe quel ordinateur, il n'est donc certainement pas bon que le code source de celui-ci puisse maintenant être entre les mains d'acteurs malveillants néfastes.

Au départ, il n'était pas certain que le fichier divulgué soit la vraie affaire, mais Intel lui-même a maintenant confirmé que c'était le cas. Dans un communiqué adressé à Tom's Hardware , Intel a déclaré :

"Notre code UEFI propriétaire semble avoir été divulgué par un tiers. Nous ne pensons pas que cela expose de nouvelles vulnérabilités de sécurité car nous ne nous appuyons pas sur l'obscurcissement des informations comme mesure de sécurité. Ce code est couvert par notre programme de primes de bogues dans le cadre de la campagne Project Circuit Breaker, et nous encourageons tous les chercheurs susceptibles d'identifier des vulnérabilités potentielles à les porter à notre attention via ce programme. Nous contactons à la fois les clients et la communauté des chercheurs en sécurité pour les tenir informés de cette situation.

La déclaration d'Intel implique que les données les plus sensibles avaient déjà été effacées du code source avant d'être diffusées à des partenaires externes. Le code source contient de nombreuses références à Lenovo, notamment "Lenovo String Service", "Lenovo Cloud Service" et "Lenovo Secure Suite". Bleeping Computer note que tout le code a été développé par Insyde Software Corp.

Bien que cette fuite semble plutôt mauvaise, Intel ne semble pas trop inquiet – même s'il est bon qu'il renvoie tout le monde à son programme de primes aux bogues. De nombreux chercheurs en sécurité recherchent déjà des fissures dans le code, et certaines des conclusions sont moins optimistes.

La société de sécurité matérielle Hardened Vault a déclaré à Bleeping Computer : « L'attaquant/chasseur de bogues peut énormément bénéficier des fuites même si l'implémentation [du fabricant] divulguée n'est que partiellement utilisée dans la production. La solution d'Insyde peut aider les chercheurs en sécurité, les chasseurs de bogues (et les attaquants) à trouver la vulnérabilité et à comprendre facilement le résultat de l'ingénierie inverse, ce qui s'ajoute au risque élevé à long terme pour les utilisateurs.

Étant donné qu'une clé de chiffrement privée KeyManifest a été trouvée dans la fuite, il est possible que des pirates l'utilisent pour contourner la sécurité matérielle d'Intel. Même ainsi, c'est encore un plan assez long, vous n'avez donc probablement pas à vous inquiéter trop.

Dans tous les cas, cela vaut la peine de vous protéger avec un logiciel antivirus pour vous assurer qu'aucun attaquant ne peut accéder à votre ordinateur, et par la suite, au BIOS.