La sécurité de tous les utilisateurs, une priorité de Google
Vous avez certainement entendu parler des failles Meltdown et Spectre découvertes récemment et pouvant affecter les CPU récents.
Google et la sécurité :
A l’origine de ces découvertes se trouve l’équipe “Project Zero” de Google, une équipe d’experts en sécurité informatique chargée de trouver des vulnérabilités de type “Zero day”, et ce, quel que soit le logiciel ou l’infrastructure utilisée. Car pour Google, la sécurité de ses utilisateurs est primordiale, même si cela ne concerne pas ses propres solutions.
Pourquoi ne l’apprend-on que seulement maintenant ?
Les failles décelées par l’équipe “Project Zero” ne sont dans un premier temps signalées qu’à l’éditeur du logiciel ou au fabricant de la solution afin de pouvoir publier un correctif le jour de son annonce officielle.
Meltdown, Spectre, et leur impact sur la Google Cloud Platform :
Le problème a été résolu (ou n’était pas un problème en premier lieu) pour de nombreux produits Google, dont la Google Cloud Platform.
A la différence d’une solution On Premise, la Google Cloud Platform vous protège de toute attaque de type Meltdown ou Spectre.
Vous êtes sûr de bénéficier du meilleur niveau de sécurité possible. En effet, la Google Cloud Platform est à la base même des solutions proposées par Google. Comme pour la qualité de service, la disponibilité et la réactivité, la sécurité est un des points sur lesquels Google porte une attention toute particulière. Là où une solution On Premise vous demande de patcher vous mêmes votre infrastructure, la Google Cloud Platform ne vous demande aucune intervention de votre part. Vous ne vous concentrez que sur ce qui compte vraiment pour vous, vos applications, et n’avez pas besoin de vous soucier du reste.
Pour les utilisateurs de la Google Cloud Platform, voici un récapitulatif des différents produits et services proposés et les actions prises à ce jour par Google ou à mener :
- Google Cloud Infrastructure : L’infrastructure étant totalement protégée, aucune action supplémentaire n’est requise de votre part.
- Google App Engine : Aucune action supplémentaire n’est requise de votre part.
- Google Compute Engine : L’hyperviseur de la GCP a été mis à jour de manière transparente. Par contre, si vos VMs utilisent des OS non patchés, il faut les mettre à jour. Plus d’informations ici.
- Google Kubernetes Engine : Les utilisateurs doivent mettre à jour leur environnement de production afin que les applications soient protégées les unes des autres. Plus d’informations ici.
- Google Cloud Launcher : Les utilisateurs utilisant actuellement des images doivent les mettre à jour en suivant les recommandations des éditeurs de leur système d’exploitation.
- Google Cloud Machine Learning Engine : Les utilisateurs de tâches fonctionnant actuellement doivent redémarrer leurs tâches une fois que des images mises à jour sont disponibles.
- Google Cloud Dataflow : Les utilisateurs doivent mettre à jour tout type de flux de streaming lancé avant le 5 janvier 2018 et redémarrer les flux de batchs lancés avant cette même date. Plus d’informations ici.
- Google Cloud Dataproc : Les utilisateurs qui font fonctionner plusieurs tâches considérées comme “non-sûres” en parallèle doivent mettre à jour ces clusters partagés. Plus d’informations ici.
- Google Cloud Datalab : Les utilisateurs doivent mettre à jours leurs instances déjà créées pour être protégés des attaques issues des autres utilisateurs de l’instance.
- Tous les autres produits et services Google Cloud : Aucune action supplémentaire n’est requise de votre part.
En termes de performances, Google indique que, selon leurs propres tests, l’impact des correctifs ne devrait être que marginal. Chaque utilisateur pourra se faire sa propre idée, en fonction de l’utilisation qu’il fait de la Google Cloud Platform, mais cela ne devrait pas altérer la qualité de service offert par Google.
Google va continuer à résoudre les différentes vulnérabilités liées aux failles Meltdown et Spectre dans les jours à venir. Les services offerts par la Google Cloud Platform apportent un niveau de confort pour les utilisateurs très élevé par rapport aux infrastructures On Premise, les patchs appliqués par Google résolvant une très grande partie des failles des CPU. L’intervention de l’utilisateur final n’en est que plus réduite, si ce n’est principalement des mises à jours de logiciels tiers.
Pour plus d’informations mises à jour continuellement, nous vous conseillons de lire :
- le blog Sécurité de Google : https://security.googleblog.com/2018/01/todays-cpu-vulnerability-what-you-need.html
- et les détails des solutions mises en oeuvre et leur statut de déploiement par Google dans la rubrique Aide : https://support.google.com/faqs/answer/7622138
The post Failles CPU Meltdown et Spectre : Pourquoi vous n’avez rien à craindre avec la Google Cloud Platform appeared first on SFEIR Mag.