+ Répondre à la discussion Actualité déjà publiée
Page 1 sur 4 1234 DernièreDernière
  1. #1
    Chroniqueur Actualités

    Homme Profil pro
    Rédacteur technique
    Inscrit en
    mars 2017
    Messages
    375
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Madagascar

    Informations professionnelles :
    Activité : Rédacteur technique
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : mars 2017
    Messages : 375
    Points : 9 541
    Points
    9 541

    Par défaut Les processeurs Intel x86 souffriraient d'un défaut

    Les processeurs Intel x86 souffriraient d'un défaut
    Qui exposerait la mémoire noyau et impacterait surtout le marché serveur

    Des rapports circulant depuis quelques jours sur la toile font état d’une vulnérabilité qui affecterait de manière spécifique (c’est encore spéculatif) les processeurs modernes de l’entreprise américaine Intel (génération ≥ Pentium Pro). Cette vulnérabilité pourrait être considérée comme majeure parce qu’elle mettrait en exergue un éventuel problème de sécurité sur les processeurs Intel suffisamment grave pour obliger Microsoft et Linus Torvalds à produire à la hâte des patchs spécifiques pour leurs OS respectifs.

    Si au départ la vulnérabilité, telle qu’elle avait été rapportée, avait pu faire croire que l’ensemble des processeurs exploitant l’architecture x86 64-bits étaient concernés, une déclaration récente d’AMD a permis de voir un peu plus clair dans cette affaire.

    « Les processeurs AMD ne sont pas concernés par les attaques contre lesquelles les techniques d’isolation de la table du noyau protègent. La microarchitecture AMD n’autorise pas les références mémoire, y compris les exécutions spéculatives, qui tentent d’accéder à des données à privilèges plus élevés alors qu’elles s’exécutent dans un mode privilégié inférieur quand cet accès est susceptible d’entraîner une erreur », pouvait-on lire dans le communiqué de la firme de Sunnyvale.

    On pourrait donc supposer que la firme de Sunnyvale dispose d’informations encore sous embargo pour clamer ne pas être concernée même s’il faut éviter de tirer des conclusions hâtives tant que toute la lumière n’aura pas été faite sur cette affaire et les détails rendus publics. Au passage, il faut signaler que les processeurs basés sur les architectures ARM/RISC ne semblent pas être affectés.

    Nom : Intel-New-x86-uArch-Featured-Image-740x416.jpg
Affichages : 5520
Taille : 61,2 Ko

    L’exécution spéculative est essentiellement une forme de préemption qui tente de prédire quel code va être exécuté après un branchement, puis de l’extraire et de l’exécuter avant que l’ordre réel n’arrive. Les processeurs modernes ont une architecture en pipeline : ils traitent un grand nombre d'instructions simultanément, en avançant un petit peu dans chacune à chaque cycle. Si un branchement est mal prédit, tout le pipeline doit être vidé : la perte en performance est loin d'être négligeable. Cette technique a ses avantages, mais elle présente également un risque non négligeable pour la sécurité, car aucune vérification de privilège n’est présente au niveau du noyau du système d'exploitation.

    Le problème réside dans le fait que vous pouvez exploiter cette fonctionnalité pour exécuter de manière spéculative un code qui devrait être normalement bloqué en stoppant l’exécution du code avant qu’une vérification puisse être effectuée. Cela signifie en gros qu’une application de niveau 3 (droits normaux) peut lire les données du noyau de niveau 0 (réservé à l'exécution du noyau) en utilisant une exécution spéculative, car la vérification de privilège ne sera pas effectuée avant que le code ne soit exécuté.

    Tout serait parti d’un article de blog paru en juillet 2017. Son auteur y décrivait une expérience dans laquelle il tente d’accéder à la mémoire protégée utilisée par le noyau à partir de l’espace utilisateur, l’espace mémoire utilisé par les programmes classiques, en exploitant les mécanismes d’exécution spéculative intégrés dans les CPU x86 64-bits modernes.

    Ces processeurs disposent d’unités spécialisées dans la gestion de la mémoire (MMU) qui permettent de contrôler les accès qu’un CPU fait à la mémoire de l’ordinateur. Ils peuvent fonctionner suivant au moins deux modes de fonctionnement, dont un mode noyau qui n’impose pas de restrictions sur les instructions exécutées, et un mode utilisateur qui limite ce que peuvent faire les instructions.

    Habituellement, le système d’exploitation met en œuvre cette distinction en faisant fonctionner les autres programmes en mode utilisateur et en se réservant le mode noyau. Cette distinction entre espace utilisateur et espace noyau est à la base du contrôle d’accès qui empêche les instructions des applications de l’espace utilisateur d’accéder à une zone mémoire ne leur appartenant pas. On parle aussi de lecture d’une adresse mémoire non autorisée lorsque ce dysfonctionnement survient. Cette situation débouche rapidement sur une trappe du noyau et, en général, la fermeture du programme incriminé. Il faut noter que la trappe est déclenchée par une interruption matérielle et le mécanisme de protection mémoire ne peut être implémenté efficacement de façon logicielle.

    Nom : 350px-Gestionnaire_de_mémoire.svg.png
Affichages : 5511
Taille : 39,2 Ko

    L’auteur du blog a essayé de s’attaquer à ce mécanisme en tentant d’exploiter l’intervalle de temps pendant lequel une instruction non autorisée est exécutée et génère une interruption. Même s’il a précisé ne pas avoir réussi à lire la mémoire protégée grâce à sa méthode, il s’est rendu compte que le chargement mémoire interdit est bel et bien effectué par le CPU même si le processeur ne copie jamais l’information dans le registre. Il a remarqué que l’exécution spéculative se poursuivait dans les unités d’exécutions internes du CPU jusqu’à ce que l’interruption soit effective et que cette situation pouvait favoriser la survenue d’attaques potentielles basées, par exemple, sur les temps d’exécution des instructions pour déterminer les adresses mémoires utilisées par le noyau.

    Qu’il soit possible, à partir d’un programme utilisateur, de déterminer les adresses mémoire utilisées par le noyau est une situation qui ne devrait pas se produire. Différentes techniques ont d’ailleurs été mises au point depuis des années pour respecter ce principe, l’une des méthodes les plus efficaces à l’heure actuelle étant l’ASLR (Address Space Layout Randomization). Cette dernière attribue un caractère aléatoire aux adresses mémoires utilisées par les applications et le noyau.

    Cette « vulnérabilité matérielle » (parce que liée au fonctionnement spécifique des CPU modernes d’Intel comme semble le confirmer le mémo d’AMD) permettrait d’exploiter des processus en espace utilisateur en contournant la MMU et d’accéder à la mémoire noyau. Le problème étant matériel, dans la partie non reconfigurable du processeur, il ne serait apparemment pas envisageable de recourir à un patch via microcode pour corriger cette faille de sécurité.

    La seule façon de contourner cette fonctionnalité au niveau logiciel serait d’utiliser une technique d’isolation de la table de correspondance (entre les adresses en mémoire virtuelle et en mémoire physique) du noyau (en anglais, KPTI) : cela rendrait le noyau complètement aveugle et le retirerait de l’espace mémoire virtuel jusqu’à ce qu’un appel système survienne. Il faudrait donc laisser aux éditeurs d’OS le soin de concevoir ces patchs via le système d’exploitation pour leurs produits respectifs.

    À ce propos, il faut signaler que, durant ces derniers mois, KAISER, une nouvelle solution de sécurité proactive dédiée au noyau Linux, a vu le jour. Cette solution, qui a été renommée par la suite KPTI (Kernel Page Table Isolation), est censée limiter de manière significative l’impact d’éventuelles failles présentes ou à venir et mieux protéger les espaces mémoire du noyau. Il permettrait notamment de séparer les tables qui pointent vers les pages mémoires utilisées par le noyau de toutes les autres. Le 30 décembre dernier, Linus Torvalds a intégré KPTI directement dans la version 4.15-rc6 du noyau Linux et recommandé l’intégration de ce patch dans tous les noyaux encore maintenus, ce qui pourrait laisser penser que le problème devait être suffisamment grave pour que de telles mesures soient adoptées. Microsoft aurait également préparé des correctifs similaires à KPTI pour le noyau de Windows depuis novembre dernier.

    Le problème avec ces patchs, c’est qu’ils introduisent une pénalité de temps pour le système et qu’ils ont un impact non négligeable sur les performances de certains types d’applications. Celles qui effectuent beaucoup d’appels aux instructions système devraient être les plus affectées. Pour une utilisation non serveur, tout semble pointer vers un impact nul ou infinitésimal. Côté serveur l’impact serait plus large et pourrait affecter massivement les infrastructures cloud où la virtualisation, très gourmande en appels système, est largement utilisée.

    Source : Cyber WTF, AMD, Twitter info patch Windows, WccfTech

    Et vous ?

    Qu’en pensez-vous ?

    Voir aussi

    Les processeurs Intel x86 souffrent d'un défaut qui permet d'installer des logiciels malveillants dans l'espace protégé des puces
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    Expert éminent Avatar de disedorgue
    Homme Profil pro
    Ingénieur intégration
    Inscrit en
    décembre 2012
    Messages
    2 525
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France

    Informations professionnelles :
    Activité : Ingénieur intégration
    Secteur : High Tech - Opérateur de télécommunications

    Informations forums :
    Inscription : décembre 2012
    Messages : 2 525
    Points : 7 006
    Points
    7 006

    Par défaut

    A priori, AMD est ARM sont aussi concernés:
    http://www.cnetfrance.fr/news/faille...e-39862204.htm
    Cordialement.

  3. #3
    Membre averti
    Profil pro
    Inscrit en
    septembre 2009
    Messages
    120
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : septembre 2009
    Messages : 120
    Points : 303
    Points
    303

    Par défaut

    Ce n'est plus du tout spéculatif. Google a publié les papiers de recherche qui expliquent les vulnérabilités ont étés publiés. La plus grave (Meltdown), n'affecte que les processeurs Intel tandis que la moins facilement exploitable (Spectre) fonctionne sur pas mal de processeurs (Intel, AMD et ARM).

    Lien: Spectre et Meltdown

    En bonus, la mauvaise fois ultime d'Intel. Juste pour ça, mon prochain CPU sera un AMD, car foirer un design sur un CPU c'est déjà pas génial mais répondre "Intel believes its products are the most secure in the world and that, with the support of its partners, the current solutions to this issue provide the best possible security for its customers." le jour de la publication de la faille c'est juste nous prendre pour des cons.

  4. #4
    Membre confirmé
    Avatar de RyzenOC
    Homme Profil pro
    NR
    Inscrit en
    juin 2013
    Messages
    3 482
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Suisse

    Informations professionnelles :
    Activité : NR
    Secteur : Aéronautique - Marine - Espace - Armement

    Informations forums :
    Inscription : juin 2013
    Messages : 3 482
    Points : 541
    Points
    541
    Billets dans le blog
    8

    Par défaut

    Depuis ce matin il semble que ce problème impacte aussi les cpu ARM et IBM Power 8/9.
    AMD serait aussi un peu touché (Spectre) mais moins que intel.

    A titre personnel je n'appliquerais pas le patch sur mes serveur linux. La perte de perf est trop importante et la faille est quand même difficilement exploitable pour un hacker. Il faut réunir quand même pas mal de condition pour l'exploiter.
    =>Comment jouer sur xbox one à moindre coût ?
    Achetez un notebook de 2010 à 50€ sur leboncoin, installez steam, connectez le pc à un écran, branchez une manette xbox au pc
    Enjoy

  5. #5
    Membre averti
    Profil pro
    Inscrit en
    septembre 2009
    Messages
    120
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : septembre 2009
    Messages : 120
    Points : 303
    Points
    303

    Par défaut

    Si tu parles de Meltdown, j'ai pas l'impression que la faille soit dur a exploiter, il suffit juste d'un programme en user-space. Si tu as des données un tant soit peu importante c'est stupide de ne pas appliquer le patch.

  6. #6
    Expert confirmé
    Avatar de Ryu2000
    Homme Profil pro
    Étudiant
    Inscrit en
    décembre 2008
    Messages
    2 540
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 29
    Localisation : France, Doubs (Franche Comté)

    Informations professionnelles :
    Activité : Étudiant

    Informations forums :
    Inscription : décembre 2008
    Messages : 2 540
    Points : 4 737
    Points
    4 737

    Par défaut

    Citation Envoyé par Christian Olivier Voir le message
    Qu’en pensez-vous ?
    Il parait qu'après la correction la perte de performance peut être entre 5 et 30%.

    Avec un peu de chance Intel va baisser le prix de ces processeurs.
    Je me trouverais bien un Intel Core i7-7700K (4.2 GHz / Quad Core / Cache 8 Mo).
    Mais 330€ ça fait encore une peu mal ^^

    Avec ça Dolphin devrait bien tourner j'imagine.

    Ou alors un AMD Ryzen 7 1700X (3.4 GHz / Octo Core / Cache 20 Mo).
    Mais les performances monocœurs sont moins bonnes.
    "Alors il entrait le type et il disait une baguette pas trop cuite" Émile.
    Aidez la chaîne Nolife, abonnez-vous : http://www.nolife-tv.com/

  7. #7
    Chroniqueur Actualités
    Avatar de Michael Guilloux
    Homme Profil pro
    Consultant
    Inscrit en
    juillet 2013
    Messages
    1 685
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 27
    Localisation : Côte d'Ivoire

    Informations professionnelles :
    Activité : Consultant
    Secteur : High Tech - Éditeur de logiciels

    Informations forums :
    Inscription : juillet 2013
    Messages : 1 685
    Points : 49 107
    Points
    49 107
    Billets dans le blog
    2

    Par défaut Les grands éditeurs et fournisseurs de cloud s'activent pour patcher leurs produits

    Les grands éditeurs et fournisseurs de cloud s'activent pour patcher leurs produits
    contre les vulnérabilités dans les puces d'Intel et autres fabricants

    AWS, Microsoft et Google ainsi que d'autres fournisseurs ont informé leurs clients qu'ils risquent d'être confrontés à des interruptions et à une dégradation de performance à cause de leurs efforts pour accélérer la correction des bogues critiques présents dans de nombreux processeurs. Les bogues en question sont causés par des problèmes de conception de microprocesseurs qui pourraient potentiellement permettre à un code malveillant de lire le contenu de la mémoire du noyau d'un ordinateur. Ces problèmes affectent notamment les puces Intel qui dominent le marché des serveurs cloud, mais également des puces conçues par AMD et ARM, contrairement à ce que l’on pensait au début.

    Ce problème a été découvert « tard l’année dernière » par l’équipe Project Zero de Google. Les principaux fournisseurs, qui ont été informés des vulnérabilités, ont eu également le temps de préparer des correctifs pour leurs produits et commencer à les déployer, mais il reste encore du travail à faire. Avec la divulgation de ces failles hier, elles n’ont plus donc le temps d’aller à leur rythme, mais doivent accélérer le processus pour éviter que des hackers commencent à exploiter les failles. Dans différents communiqués, AWS, Microsoft et Google ont informé leurs clients de ce qui a déjà été fait à leur niveau et d’éventuelles précautions à prendre.

    Google

    Dans un communiqué, Google affirme que depuis la découverte de la vulnérabilité affectant les microprocesseurs modernes, ses équipes d'ingénierie s'efforcent de protéger les clients contre la vulnérabilité de l'ensemble de la gamme de produits Google, y compris Google Cloud Platform (GCP), les applications G Suite et les produits Google Chrome et Chrome OS. Google dit également avoir collaboré avec les fabricants de matériel et de logiciels de l'industrie pour protéger leurs utilisateurs et le Web en général.

    En ce qui concerne ses produits en particulier, Google affirme que « toutes les applications G Suite ont déjà été mises à jour pour bloquer tous les vecteurs d'attaque connus. Les clients et les utilisateurs de G Suite n'ont besoin d'aucune action pour se protéger de cette vulnérabilité. GCP a également déjà été mis à jour pour éviter toutes les vulnérabilités connues », mais « les clients qui utilisent leurs propres systèmes d'exploitation avec les services GCP pourraient avoir besoin d'appliquer des mises à jour supplémentaires à leurs images ». Enfin, Google fait savoir que les clients qui utilisent le navigateur Chrome, y compris G Suite ou GCP, peuvent tirer parti de la fonctionnalité d'isolation de sites pour renforcer leur sécurité sur les plateformes de bureau, y compris Chrome OS.

    Amazon

    Concernant la vulnérabilité, AWS indique qu'elle existe depuis plus de 20 ans dans les architectures de processeurs modernes telles que Intel, AMD et ARM sur des serveurs, desktops et périphériques mobiles ; avant d'ajouter que « tout sauf un petit pourcentage à un chiffre des instances de la flotte Amazon EC2 est déjà protégé ». Pour ce qui est des instances restantes, leur protection sera terminée « dans les prochaines heures » d'après Amazon. Le géant du cloud précise toutefois que si les mises à jour effectuées par AWS protègent l'infrastructure sous-jacente, afin d'être entièrement protégées contre ces problèmes, les clients doivent également patcher les systèmes d'exploitation de leur instance. Au passage, des mises à jour pour Amazon Linux sont disponibles et des instructions pour la mise à jour des instances existantes sont fournies.

    Microsoft

    Alors que Microsoft publiait son communiqué hier, la firme de Redmond a tenu à préciser qu'elle n'a reçu aucune information indiquant que ces vulnérabilités ont été utilisées pour attaquer les clients Azure. Et d'ajouter que « la majorité de l'infrastructure Azure a déjà été mise à jour pour corriger cette vulnérabilité. Certains aspects d'Azure sont toujours en cours de mise à jour et nécessitent un redémarrage des machines virtuelles des clients pour que la mise à jour de sécurité soit appliquée », explique Microsoft.

    Beaucoup des clients Azure ont reçu une notification au cours des dernières semaines à propos d'une maintenance planifiée sur Azure et ont déjà redémarré leurs machines virtuelles pour appliquer le correctif. Pour ceux-ci, aucune autre action n'est requise. Avec la divulgation publique de la faille de sécurité mercredi, Microsoft a accéléré son calendrier de maintenance planifiée et a déjà commencé à redémarrer automatiquement les machines virtuelles restantes, comme l'entreprise l'a annoncé hier.

    La majorité des clients Azure ne devraient pas voir d'impact notable sur les performances avec cette mise à jour. Seul « un petit groupe » de clients peut avoir un impact sur les performances de mise en réseau, mais cela peut être résolu en activant Azure Accelerated Networking (Windows, Linux), qui est une fonctionnalité gratuite disponible pour tous les clients Azure. Microsoft précise aussi que cette mise à jour de l'infrastructure Azure corrige la vulnérabilité révélée au niveau de l'hyperviseur et ne nécessite pas de mise à jour de vos images de machine virtuelle Windows ou Linux.

    En ce qui concerne Windows, Microsoft a également réagi rapidement avec une mise à jour pour toutes les versions de Windows. Ce qu'il est important de savoir, cependant, c'est que seul Windows 10 reçoit automatiquement la mise à jour aujourd'hui, tandis que Windows 7 et Windows 8.1 se verront proposer la mise à jour avec le Patch Tuesday, la semaine prochaine. Les utilisateurs peuvent aussi l'installer manuellement via Microsoft Update Catalog.

    DigitalOcean

    DigitalOcean, un autre fournisseur cloud travaille également pour la protection de ses clients. « Depuis que nous avons appris ce problème, nous avons activement analysé et suivi l'activité du noyau Linux et notre équipe de développement a travaillé avec diligence pour obtenir autant d'informations que possible d'Intel. Malheureusement, l'embargo strict imposé par Intel a considérablement limité notre capacité à établir une compréhension globale de l'impact potentiel. »

    « Sur la base de nos investigations et des informations que nous avons reçues jusqu'à présent, nous pensons qu'il peut être nécessaire de redémarrer les Droplets des clients affectés. Si les redémarrages s'avèrent être la bonne marche à suivre pour les utilisateurs de DigitalOcean, nous planifierons la maintenance urgente et aviserons les clients touchés. Nous continuons à surveiller cette situation et travaillons avec Intel pour obtenir plus de détails. »

    Linux

    La bonne nouvelle pour les linuxiens est que les développeurs de Linux ont déjà corrigé le noyau pour y faire face. Mais il y a aussi une mauvaise nouvelle ; c'est que le correctif va entraîner une baisse de performance d'au moins 5 %, et les applications peuvent voir leurs performances être beaucoup plus impactées. C'est le cas par exemple de PostgreSQL, comme cela est expliqué dans un message dans sa liste de diffusion.

    « Les versions à venir du noyau Linux (et apparemment aussi de Windows et autres) incluront une nouvelle fonctionnalité qui a apparemment été implémentée avec hâte pour contourner un bogue matériel Intel. Le correctif va être fusionné dans la prochaine version du noyau Linux et est en train d'être intégré dans les anciennes versions. Intégrer une nouvelle entité complexe et envahissante dans une ancienne version indique que cela concerne un problème important », explique Andres Freund de l'équipe de développement de PostegreSQL. Avant d'annoncer que « le correctif entraînera malheureusement des régressions de performances » pour la base de données populaire. En ce qui concerne l'impact exact, dans certains cas, PostgreSQL pourrait connaitre un ralentissement d'au moins 17 % d'après des tests d'Andres Freund.

    Sources : Google, AWS, Microsoft, Liste de diffusion PostgreSQL, DigitalOcean

    Et vous ?

    Qu'en pensez-vous ?
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  8. #8
    Membre éprouvé
    Homme Profil pro
    Développeur informatique
    Inscrit en
    juillet 2007
    Messages
    553
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 35
    Localisation : France, Loire Atlantique (Pays de la Loire)

    Informations professionnelles :
    Activité : Développeur informatique
    Secteur : High Tech - Opérateur de télécommunications

    Informations forums :
    Inscription : juillet 2007
    Messages : 553
    Points : 940
    Points
    940

    Par défaut

    il suffit juste d'un programme en user-space
    Oui enfin c'est surtout que techniquement c'est assez difficile à exploiter, il semble falloir analyser tous l'espace d'adressage pour réussir à déterminer des adresse noyau (et a priori faire planter son programme des millions de fois) et ensuite arriver à comprendre qu'est-ce qu'il y a derrière ces adresses... la pluspart des malware n'ont pas envie de se casser la tête avec ça, il y a d'autres failles à exploiter plus facilement avant. Récupérer les données bancaires leur suffit
    Par contre pour ceux qui se pencheront dessus, l'avantage que cela procure au programme c'est de pouvoir alors avoir un accès root mais plus que ça, pouvoir s'installer dans le système d'amorçage de l'ordinateur ou en mémoire noyau à un endroit ou il ne pourra pas être détecter par un anti-virus qui lui tourne en espace utilisateur (en root).
    Alors il est vrai que ce n'est pas la peine de paniquer car ce sera peu exploiter et pas tout de suite mais ceux qui l'exploiteront auront tous de même un sacré avantage.
    Tout ce que j'écris est libre de droits (Licence CC0) et je vous incite à faire de même.

  9. #9
    Membre confirmé
    Avatar de RyzenOC
    Homme Profil pro
    NR
    Inscrit en
    juin 2013
    Messages
    3 482
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Suisse

    Informations professionnelles :
    Activité : NR
    Secteur : Aéronautique - Marine - Espace - Armement

    Informations forums :
    Inscription : juin 2013
    Messages : 3 482
    Points : 541
    Points
    541
    Billets dans le blog
    8

    Par défaut

    Citation Envoyé par codec_abc Voir le message
    Si tu parles de Meltdown, j'ai pas l'impression que la faille soit dur a exploiter, il suffit juste d'un programme en user-space. Si tu as des données un tant soit peu importante c'est stupide de ne pas appliquer le patch.
    comme la dit abriotde c'est pas aussi simple.
    le bogue ne semble pas permettre une lecture directe des données dans l'espace d'adressage réservé au noyau, mais il permet en revanche de déduire du comportement du CPU, lorsqu'il exécute une séquence de code bien particulière et en observant le temps qui lui est nécessaire pour l'exécuter, s'il y a ou non des données du noyau à une adresse virtuelle.

    De là à en tirer une exploitation ( "exploit" ) pratique pour lire des informations précises (clefs, mots de passe) ou encore modifier les données du noyau, il y a encore beaucoup de boulot...

    Bref, la rustine de contournement (qui impacte les performances de *tous* les appels système et de *toutes* les interruptions matérielles) est très largement inutile


    Il faut comprendre que ce genre de problème ne date pas d'hier

    - attaque: buffer-overflow + accès en mémoire (appli, lib, kernel, driver ...)
    - solution: isolation de la mémoire user et de la mémoire kernel (switch de mode)

    - problème: cette solution est lente (switch de mode => reset des caches mémoires)
    - solution: on supprime l'isolation mais on controle les accès en mémoire kernel (privilèges).

    - attaque: buffer-overflow + contournement de privilège + accès aux structures du kernel
    - solution KASR (Kernel ASR): impossible de prédire l'adresse des structures du kernel...

    - bug: (sous embargo) on peut "prédire" les adresses des structures du kernel
    - solution: on revient au mode isolation kernel/user

    - problème: cette solution est toujours aussi lente :transpi:
    - solution: ???
    =>Comment jouer sur xbox one à moindre coût ?
    Achetez un notebook de 2010 à 50€ sur leboncoin, installez steam, connectez le pc à un écran, branchez une manette xbox au pc
    Enjoy

  10. #10
    Membre averti
    Profil pro
    Inscrit en
    septembre 2009
    Messages
    120
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : septembre 2009
    Messages : 120
    Points : 303
    Points
    303

    Par défaut

    Citation Envoyé par abriotde Voir le message
    Oui enfin c'est surtout que techniquement c'est assez difficile à exploiter, il semble falloir analyser tous l'espace d'adressage pour réussir à déterminer des adresse noyau (et a priori faire planter son programme des millions de fois) et ensuite arriver à comprendre qu'est-ce qu'il y a derrière ces adresses... la pluspart des malware n'ont pas envie de se casser la tête avec ça, il y a d'autres failles à exploiter plus facilement avant. Récupérer les données bancaires leur suffit
    Par contre pour ceux qui se pencheront dessus, l'avantage que cela procure au programme c'est de pouvoir alors avoir un accès root mais plus que ça, pouvoir s'installer dans le système d'amorçage de l'ordinateur ou en mémoire noyau à un endroit ou il ne pourra pas être détecter par un anti-virus qui lui tourne en espace utilisateur (en root).
    Alors il est vrai que ce n'est pas la peine de paniquer car ce sera peu exploiter et pas tout de suite mais ceux qui l'exploiteront auront tous de même un sacré avantage.
    Comme dit dans le papier, il existe des techniques qui permettent de supprimer l'exception qui fait planter le programme, donc non le programme de plantera pas des millions de fois.

    Aussi, il n'y pas pas besoin de dumper toute la mémoire car et la plupart des programmes (surtout natif) ont souvent des patterns d'allocations bien déterministe ce qui rend beaucoup plus rapide la recherche et l'analyse de la mémoire pour un programme malveillant. Bref, Meltdown n'est pas clairement pas impossible a mettre en œuvre, loin de la même. Pour rappel on a déjà eu Stuxnet qui consistait quand même a faire un virus qui reprogrammais les automates des centrifugeuses des centrales iraniennes pour ralentir leur programme nucléaire. Donc ça m'étonnerait que certaines organisation ne s'intéresse pas à cette faille qui leur laisse la porte ouverte a tout PC équipé d'un CPU Intel de moins de 10 ans.

  11. #11
    Membre émérite

    Profil pro
    Grand Timonier des Chats
    Inscrit en
    décembre 2011
    Messages
    690
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations professionnelles :
    Activité : Grand Timonier des Chats

    Informations forums :
    Inscription : décembre 2011
    Messages : 690
    Points : 2 723
    Points
    2 723

    Par défaut

    Citation Envoyé par codec_abc Voir le message
    Ce n'est plus du tout spéculatif. Google a publié les papiers de recherche qui expliquent les vulnérabilités ont étés publiés. La plus grave (Meltdown), n'affecte que les processeurs Intel tandis que la moins facilement exploitable (Spectre) fonctionne sur pas mal de processeurs (Intel, AMD et ARM).

    Lien: Spectre et Meltdown

    En bonus, la mauvaise fois ultime d'Intel. Juste pour ça, mon prochain CPU sera un AMD, car foirer un design sur un CPU c'est déjà pas génial mais répondre "Intel believes its products are the most secure in the world and that, with the support of its partners, the current solutions to this issue provide the best possible security for its customers." le jour de la publication de la faille c'est juste nous prendre pour des cons.
    "Moins facile à exploiter", c'est vite dit. Spectre requiert certes un ralentissement qui sera visible de l'utilisateur, et un code complexe, mais potentiellement un JavaScript executé dans le browser sans rien demander à l'utilisateur pourrait piller des cookies d'authentification ou des mots de passe. Et pour le ralentissement (qui ferait sans doute rebooter sa machine à l'utilisateur lambda), les papiers précisent qu'il "y a de la place pour optimiser". Et encore heureux que ce soit difficile à executer, parce que ce n'est pas loin d'être la faille ultime.

  12. #12
    Membre éprouvé Avatar de Nudger
    Homme Profil pro
    Directeur de projet
    Inscrit en
    octobre 2010
    Messages
    501
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 41
    Localisation : France, Paris (Île de France)

    Informations professionnelles :
    Activité : Directeur de projet
    Secteur : High Tech - Produits et services télécom et Internet

    Informations forums :
    Inscription : octobre 2010
    Messages : 501
    Points : 1 060
    Points
    1 060

    Par défaut

    Citation Envoyé par RyzenOC Voir le message
    Depuis ce matin il semble que ce problème impacte aussi les cpu ARM et IBM Power 8/9.
    AMD serait aussi un peu touché (Spectre) mais moins que intel.

    A titre personnel je n'appliquerais pas le patch sur mes serveur linux. La perte de perf est trop importante et la faille est quand même difficilement exploitable pour un hacker. Il faut réunir quand même pas mal de condition pour l'exploiter.
    Si vous êtes sur une machine dédiée et dont l'accès est suffisamment sécurisé, il n'y a pas trop d'inquiétude.
    L'exécution d'un code qui exploite cette faille pourra difficilement se faire.

    En revanche pour une machine virtuelle dans le cloud, c'est pas la même histoire : sur une même machine physique tourne plusieurs VM et rien ne dit qu'il n'y a pas un voisin malveillant qui va vouloir exploiter cette faille sur les CPU pour tenter de récupérer des données de votre propre VM.
    https://www.nudge-apm.com Surveillez vos applications Java et PHP et diagnostiquez facilement les problèmes de performance.

  13. #13
    Expert éminent Avatar de disedorgue
    Homme Profil pro
    Ingénieur intégration
    Inscrit en
    décembre 2012
    Messages
    2 525
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France

    Informations professionnelles :
    Activité : Ingénieur intégration
    Secteur : High Tech - Opérateur de télécommunications

    Informations forums :
    Inscription : décembre 2012
    Messages : 2 525
    Points : 7 006
    Points
    7 006

    Par défaut

    Perso, je trouve ça tellement beau que l'on devrait titrer:

    Le hardware qui vient en aide au software


    Cordialement.

  14. #14
    Membre confirmé Avatar de athlon64
    Profil pro
    Inscrit en
    février 2009
    Messages
    225
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : février 2009
    Messages : 225
    Points : 479
    Points
    479

    Par défaut

    Ces failles sont probablement déjà exploitées par des Etats et organismes, vu que des processeurs d'il y a 10 ans sont aussi concernés.

  15. #15
    Membre émérite

    Homme Profil pro
    Justicier
    Inscrit en
    avril 2006
    Messages
    624
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 77
    Localisation : France

    Informations professionnelles :
    Activité : Justicier
    Secteur : Service public

    Informations forums :
    Inscription : avril 2006
    Messages : 624
    Points : 2 634
    Points
    2 634
    Billets dans le blog
    1

    Par défaut

    Citation Envoyé par disedorgue Voir le message
    Le hardware qui vient en aide au software
    Pas sûr de bien comprendre ici, à moins que cela soit dans le sens "même plus besoin de failles logicielles, le CPU s'en charge" ?

    En tout cas je me demande si une mise à jour du microcode sera capable de corriger le problème. Si oui, on n'a plus qu'à l'attendre, et se contenter des patchs qui contournent le problème au prix des performances en attendant.

    En tout cas, la faille me paraît si critique et si répandue qu'il faudrait immédiatement pendre ou lapider les responsables qualité de chez Intel.

  16. #16
    Chroniqueur Actualités

    Homme Profil pro
    Rédacteur technique
    Inscrit en
    mars 2017
    Messages
    375
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Madagascar

    Informations professionnelles :
    Activité : Rédacteur technique
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : mars 2017
    Messages : 375
    Points : 9 541
    Points
    9 541

    Par défaut Bogues critiques touchant les CPU modernes : Google a informé Intel depuis des mois

    Bogues critiques touchant les CPU modernes : Google a informé Intel depuis des mois
    Et confirmé qu’ils affectent plus Intel et ARM qu’AMD

    Les chercheurs de Google ont découvert que la temporisation du cache de données des processeurs modernes peut être utilisée de manière abusive pour récupérer illégalement les informations sur un ordinateur. Cette fonctionnalité est utilisée par la plupart des processeurs modernes pour optimiser les performances, mais elle peut également occasionner de graves problèmes de sécurité, car des attaquants pourraient tirer parti de l’exécution spéculative afin de lire le contenu de la mémoire du noyau d’un ordinateur qui en temps normal aurait dû leur être inaccessible.

    Contrairement aux premières informations indiquant que ces vulnérabilités critiques causées par des problèmes de conception de microprocesseurs affectent uniquement les CPU Intel, la firme de Santa Clara n’est pas le seul acteur du marché des microprocesseurs à être touché par ce problème. Intel l’a d’ailleurs confirmé dans un communiqué paru récemment sur son site Web.

    La réponse d’Intel au sujet des vulnérabilités critiques

    Le fondeur de Santa Clara estime que « ces exploits n’ont pas le potentiel de corrompre, modifier ou supprimer des données ». L’entreprise technologique américaine a tenu à préciser qu’il est incorrect de penser que les failles dont il est question n’affectent que ses produits, et insisté sur le fait que « de nombreux dispositifs informatiques équipés d’une grande variété de processeurs et de systèmes d’exploitation développés par différents fournisseurs sont sensibles à ces exploits ».

    La firme de Santa Clara « avait prévu de divulguer ce problème la semaine prochaine », mais aurait été prise de cours par l’apparition de rapports médiatiques inexacts. Elle a assuré collaborer avec les autres acteurs de l’industrie technologique concernés par ce problème, notamment AMD, ARM et les éditeurs d’OS populaires comme Android, les distributions Linux ou Windows, afin de trouver dans les meilleurs délais une solution constructive à ce problème.

    Les premières informations fournies par certains rapports laissaient supposer que les correctifs qui seront déployés par la suite pour régler le problème pourraient causer des baisses de performances non négligeables sur les machines concernées (jusqu’à 30 %). Mais de l’avis d’Intel, « les impacts sur les performances dépendent de la charge de travail et, pour l’utilisateur moyen d’un ordinateur, ils ne devraient pas être significatifs et seront atténués au fil du temps ».

    Intel a recommandé aux utilisateurs de se référer aux consignes des vendeurs et des éditeurs d’OS pour obtenir plus de détails en ce qui concerne la procédure à suivre. L’entreprise a également tenu à rassurer en déclarant que « ses produits sont les plus sécurisés au monde et que, avec le soutien de ses partenaires, les solutions actuelles à ce problème offrent la meilleure sécurité possible à ses clients ».

    Intel était au courant depuis le 1er juin 2017 et son PDG a décidé de vendre ses actions

    Cependant, la firme de Santa Clara était au courant depuis plusieurs mois déjà de l’existence de cette situation, et ce serait Google qui aurait pris soin de l’en informer. À ce propos, l’éditeur d’Android a confirmé sur son site qu’il a prévenu AMD, ARM et Intel de cette situation depuis le 1er juin 2017 et clarifié les détails relatifs à cette affaire en fournissant une liste des différentes variantes de la faille critique dont il est question.

    Il faut souligner que le 29 novembre dernier, le PDG d’Intel, Brian Krzanich, a vendu les actions qu’il possédait dans la firme américaine pour 24 millions USD. Cette opération est survenue après qu’Intel a été informé par Google de vulnérabilités majeures affectant ses puces, celles-là mêmes qui ont été rendues publiques cette semaine. La société affirme que cette vente d’actions n’était pas liée à la découverte de la faille en question, mais qu’elle faisait partie d’un programme de cession planifié. Le PDG, dans son opération de vente, n’aurait conservé que 250 000 actions au sein du groupe, le strict minimum que l’entreprise lui exige de posséder en vertu de son contrat de travail.

    Les résultats des investigations menées par Google

    Grâce aux précisions fournies par une étude menée par le projet Zero de Google, on sait désormais que les vulnérabilités critiques touchant les CPU modernes affectent non seulement les CPU x86 64-bits d’Intel, mais aussi les puces basées sur l’architecture ARM. Les processeurs conçus par AMD sont aussi concernés, mais dans une moindre mesure seulement puisque Google estime le risque proche de 0 pour les CPU du fondeur de SunnyVale. Red Hat a prévenu de son côté que même certains CPU IBM sont concernés par cette annonce. Même si les entreprises AMD et ARM sont désormais affectées par cette faille de sécurité, leurs CPU sont beaucoup moins gravement touchés que ceux d’Intel.

    Il existe trois variantes principales des exploits que Google a détaillées avec leurs mécanismes d’action respectifs dans un article : variante 1 (CVE-2017-5753), variante 2 (CVE-2017-5715), variante 3 (CVE-2017-5754). Deux d’entre elles ont été respectivement baptisées Meltdown et Spectre, elles affecteraient les processeurs depuis 1995. La variante 1 affecte presque tous les processeurs modernes (AMD, ARM et Intel notamment), alors que les variantes 2 et 3 de la faille affectent principalement les CPU Intel et une partie des CPU ARM. Google estime que « Spectre est plus difficile à exploiter que Meltdown, mais qu’il est également plus difficile à atténuer ».

    Alors qu'AMD avait affirmé que ses processeurs n'étaient pas affectés par les vulnérabilités critiques évoquées, la société précise maintenant que « l'ampleur de la menace et la nature des mesures à adopter concernant les trois variantes diffèrent selon le fabricant de microprocesseurs considéré, et AMD n'est pas sensible aux trois variantes ». La firme de SunnyVale soutient également que le risque serait quasi nul pour ses processeurs les plus récents.

    ARM, de son côté, a reconnu que la fonctionnalité d’exécution spéculative de nombreux processeurs haute performance modernes, bien que fonctionnant comme prévu, présente également un risque non négligeable pour la sécurité. La société a précisé avoir développé des patchs spécifiques qu’elle recommande d’utiliser. En outre, ARM a inclus des informations au sujet d’une variante notée 3a qui figure dans le tableau ci-dessous. Ce tableau liste les puces ARM et les variantes de la faille susceptibles de les affecter.
    Nom : 0.jpg
Affichages : 3425
Taille : 28,7 Ko

    Source : Intel, AMD, Google Project Zero, ARM, Business Insider

    Et vous ?

    Qu’en pensez-vous ?

    Voir aussi

    Les grands éditeurs et fournisseurs de cloud s'activent pour patcher leurs produits contre les vulnérabilités dans les puces d'Intel, AMD et ARM
    Les processeurs Intel x86 souffrent d'un défaut qui permet d'installer des logiciels malveillants dans l'espace protégé des puces
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  17. #17
    Expert éminent Avatar de disedorgue
    Homme Profil pro
    Ingénieur intégration
    Inscrit en
    décembre 2012
    Messages
    2 525
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France

    Informations professionnelles :
    Activité : Ingénieur intégration
    Secteur : High Tech - Opérateur de télécommunications

    Informations forums :
    Inscription : décembre 2012
    Messages : 2 525
    Points : 7 006
    Points
    7 006

    Par défaut

    Citation Envoyé par Chuck_Norris Voir le message
    Pas sûr de bien comprendre ici, à moins que cela soit dans le sens "même plus besoin de failles logicielles, le CPU s'en charge" ?
    Oui, c'est bien dans ce sens là
    Cordialement.

  18. #18
    Membre averti
    Homme Profil pro
    Technicien réseau
    Inscrit en
    décembre 2014
    Messages
    98
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Rhône (Rhône Alpes)

    Informations professionnelles :
    Activité : Technicien réseau

    Informations forums :
    Inscription : décembre 2014
    Messages : 98
    Points : 362
    Points
    362

    Par défaut

    Il a bien fait de revendre ses actions, le big boss d'Intel, même si - bien sûr - cela n'a rien à voir. Il pourrait même postuler pour devenir ministre du travail en France...
    Blague à part, je me pose des questions sur les brevets et les passages de salariés d'une entreprise à une autre (Intel, AMD, ARM). Comment cette faille se retrouve-t-elle dans trois entreprises : point de brevet déposé dans cette affaire ?

    Correction : et IBM aussi ?

  19. #19
    Responsable Qt


    Avatar de dourouc05
    Homme Profil pro
    Ingénieur de recherches
    Inscrit en
    août 2008
    Messages
    22 590
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Val de Marne (Île de France)

    Informations professionnelles :
    Activité : Ingénieur de recherches
    Secteur : Enseignement

    Informations forums :
    Inscription : août 2008
    Messages : 22 590
    Points : 125 680
    Points
    125 680

    Par défaut

    Citation Envoyé par Chuck_Norris Voir le message
    En tout cas je me demande si une mise à jour du microcode sera capable de corriger le problème. Si oui, on n'a plus qu'à l'attendre, et se contenter des patchs qui contournent le problème au prix des performances en attendant.
    Justement, ça semble être dans une partie en dur du processeur, pas dans ce qui est accessible par microcode (https://www.pcworld.com/article/3245...ts-pc-mac.html, commentaires de https://linuxfr.org/users/pied/journ...bon-chez-intel). Ça aurait du sens : le problème semble être dans l'exécution des microopérations, alors que le microcode s'occupe plutôt de la décomposition d'une instruction en microoopérations ; si c'était du microcode, Intel aurait déjà pu corriger le problème avant le tollé actuel. Maintenant, d'autres sources disent le contraire (https://www.pcworld.com/article/3245...ernel-bug.html). Quelqu'un a lu tous les articles fiables sur sujet et aurait une réponse définitive ?
    Vous souhaitez participer aux rubriques Qt ou PyQt (tutoriels, FAQ, traductions), HPC ? Contactez-moi par MP.

    Créer des applications graphiques en Python avec PyQt5
    Créer des applications avec Qt 5.

    Pas de question d'ordre technique par MP !

  20. #20
    Chroniqueur Actualités
    Avatar de Patrick Ruiz
    Homme Profil pro
    Rédacteur technique
    Inscrit en
    février 2017
    Messages
    381
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Cameroun

    Informations professionnelles :
    Activité : Rédacteur technique
    Secteur : Communication - Médias

    Informations forums :
    Inscription : février 2017
    Messages : 381
    Points : 12 319
    Points
    12 319

    Par défaut Vulnérabilités Meltdown et Spectre : état des lieux des navigateurs

    Vulnérabilités Meltdown et Spectre : état des lieux des navigateurs
    Chrome, Mozilla et Edge face au vecteur d’exploitation JavaScript

    2018 démarre sur des chapeaux de roue avec la panoplie de publications relatives aux vulnérabilités baptisées Meltdown et Spectre. Après les déclarations hâtives de certains fondeurs, il est désormais établi que tous sont concernés par ces développements.

    En substance, Google a publié une PoC de Meltdown pour une plateforme Intel. D’après des publications de recherche mises à disposition par la firme de Mountain View cependant, il est possible de faire pareil sur les architectures ARM et AMD moyennant quelques réglages. Dans le cas de Spectre par contre, des preuves de concept ont été mises sur pied pour les trois architectures. De plus, d’après ce qui ressort de la documentation relative à cette dernière, il suffit à un attaquant de disposer d’un navigateur pour lancer une attaque au travers de JavaScript.

    Luke Wagner, un ingénieur de Mozilla le confirme via un billet de blog. « Plusieurs articles récemment publiés ont amené des vulnérabilités (Meltdown et Spectre) qui affectent les processeurs modernes à la lumière du jour. D’après des tests menés en interne, il est possible d’utiliser des techniques similaires sur du contenu Web pour accéder à des informations sensibles », a-t-il déclaré.

    Un rapport du Microsoft Vulnerability Research vient éclairer le propos de Wagner. D’après ce dernier, l’exploitation desdites failles ouvre la voie à une violation plus aisée de la protection Same-Origin Policy dont les navigateurs sont équipés. En d’autres termes un script JavaScript malicieux chargé sur une page sait extirper des cookies d’authentification ou autres mots de passe d’une autre plus facilement. Pire, les données privées du navigateur lui-même sont à la merci du code malicieux, d’après ce que rapporte l’équipe sécurité de la firme de Redmond.

    Microsoft a, par le biais de Windows Update, déployé la mise à jour KB4056890 pour les utilisateurs du navigateur Edge au sein de la Fall Creators Update en date du 3 janvier. Pour ce qui est de Mozilla, une version mise à jour de Firefox Quantum (la 57.0.4) est désormais disponible. Navigateurs différents, mais mesures communes adoptées dans les méandres par les deux entreprises. C’est désormais connu, les vulnérabilités dont il est question reposent sur la capacité du logiciel malveillant à abuser de la temporisation du cache des données des processeurs. Elles reposent sur l’aptitude à effectuer des mesures précises du temps. Pour ces raisons, Firefox et Edge seront sevrés du tampon de données binaires SharedArrayBuffer. Parallèlement la méthode JavaScript performance.now() voit sa résolution passer de 5 à 20 microsecondes. D’après les firmes, il s’agit de solutions de contournement temporaires. Elles poursuivent les investigations qui déboucheront sur des solutions additionnelles en temps opportun.

    Quant à Google Chrome, la version 63 intègre le mécanisme de protection Strict Site Isolation. D’après la firme, son activation permet d’assigner à chaque site Web un espace d’adressage distinct. Google recommande d’en faire usage jusqu’à ce que Chrome 64, attendu le 23 janvier, sorte. Il est prévu que l’entreprise s’aligne avec les mesures actuellement adoptées par ses concurrents dans le cadre de cette release.

    Sources

    Microsoft

    Mozilla

    Google

    Votre opinion

    Quels stratagèmes additionnels proposez-vous pour se prémunir de la vulnérabilité Spectre ?
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

Discussions similaires

  1. Réponses: 13
    Dernier message: 08/01/2018, 16h00
  2. Les processeurs Intel x86 souffrent d’un défaut de conception
    Par Michael Guilloux dans le forum Sécurité
    Réponses: 26
    Dernier message: 15/08/2015, 17h27
  3. Réponses: 13
    Dernier message: 07/12/2011, 10h54
  4. Réponses: 0
    Dernier message: 15/09/2011, 00h15
  5. Roadmap : Les détails sur les futurs plans pour les processeurs Intel
    Par Pierre Louis Chevalier dans le forum Actualités
    Réponses: 0
    Dernier message: 14/07/2009, 05h36

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo