B1 · Episode 1 · 4:51
Meltdown and Spectre Vulnerabilities Explained
This episode explains the Meltdown and Spectre hardware vulnerabilities affecting nearly all modern processors, how they expose sensitive data like passwords and encryption keys, and the trade-offs involved in software-based fixes—including significant performance slowdowns and unresolved risks.
Source：Qu'est-ce que Tu GEEKes ? · License：CC BY-SA 4.0
Transcript
Salut Flo! Salut Tom!
Hi Flo! Hi Tom!
Salut à tous! Aujourd'hui nous allons vous parler d'un truc de ouf,
Hello everyone! Today we’re going to talk about something absolutely mind-blowing,
mais vraiment un truc de ouf.
truly mind-blowing!
Et ça va faire mal à pas mal de monde.
And it’s going to cause serious trouble for many people.
Tous ceux qui utilisent des ordinateurs,
Everyone who uses computers,
des téléphones ou des appareils avec des processeurs dedans.
phones, or any devices containing processors.
Il y a donc pas mal de chances pour que vous soyez concernés.
So there’s a good chance you’re affected too.
Allez, générique!
Let’s go—opening credits!
Ce dont on va vous parler concerne donc les processeurs.
What we’ll discuss today concerns processors.
Le processeur, c'est un des composants principaux de nos ordinateurs,
The processor is one of the main components of our computers,
c'est lui qui fournit la puissance de calcul.
and it supplies the computing power.
Et depuis hier, internet s'agite autour des mots- clés processeur,
Since yesterday, the internet has been buzzing with the keywords ‘processor’,
meltdown et spectre.
‘Meltdown’, and ‘Spectre’.
Ces mots- clés concernent un gros problème de sécurité dans potentiellement tous les
These keywords refer to a major security issue affecting potentially all,
processeurs actuels, et ce depuis au moins dix ans.
current processors—and one that may have existed for at least ten years.
Et ce n'est pas n'importe quel problème,
And this isn’t just any problem—
c'est une faille au niveau de la conception du matériel qui ne peut pas être comblée
it’s a flaw built into the hardware design itself,
en mettant à jour le logiciel du processeur.
which cannot be fixed by updating the processor’s software.
La première mauvaise nouvelle, c'est qu'il y a deux failles:
The first bad news is that there are two flaws:
la première nommée meltdown et la seconde nommée spectre.
the first named ‘Meltdown’, the second ‘Spectre’.
Pour faire simple, ces
Simply put, these two flaws,
deux failles permettent à un utilisateur malveillant de consulter l'espace de
allow a malicious user to access the processor’s working space,
travail du processeur.
i.e., its working memory area.
Et ça, c'est très problématique,
And that’s highly problematic,
car l'espace de travail du processeur voit toutes les données passées qui sont
because the processor’s working space handles all data processed on the computer,
utilisées au sein de l'ordinateur.
including all previously handled data.
Toutes les données, et en clair.
All the data—and in plain text.
Donc ça concerne les mots de passe, les codes de carte bleue,
So this affects passwords, bank card PINs,
les clés de chiffrement, etc.
encryption keys, and so on.
Tout ce que vous voudriez garder secret, et le reste aussi.
Everything you’d want to keep secret—and everything else too.
La deuxième mauvaise nouvelle,
The second piece of bad news is that
c'est que spectre concerne quasiment tous les processeurs du marché.
‘Spectre’ affects nearly all processors on the market.
Meltdown, c'est seulement Intel.
‘Meltdown’ affects only Intel processors.
Bon, Intel. C'est juste la société numéro un dans la conception des processeurs.
Well, Intel—the world’s top processor design company.
Donc comme on vous l'a dit en intro,
So, as mentioned in the introduction,
c'est bien quelque chose qui concerne tout le monde.
this truly affects everyone.
Meltdown est en cours de correction.
‘Meltdown’ is currently being patched.
Enfin, on a trouvé un palliatif.
In fact, we’ve found a workaround.
Il faut modifier les systèmes d'exploitation pour qu'ils n'utilisent plus le
Operating systems must be modified to stop using
mécanisme problématique du processeur.
the processor’s problematic mechanism.
Mais le truc c'est que ça a des conséquences.
But here’s the catch: it has consequences.
Ce n'est pas une modification anodine.
This is no trivial change.
Comme on ne peut pas se servir du processeur comme prévu,
Since we can’t use the processor as intended,
on doit faire des opérations différentes qui sont coûteuses en temps.
we must perform alternative operations that take more time.
Et ça, ça se traduit par une baisse de performance.
And this translates into reduced performance.
Les chiffres avancés oscillent entre 5 et 30 %.
Reported slowdowns range from 5% to 30%.
Donc ça c'est une troisième mauvaise nouvelle.
So this is the third piece of bad news.
Et l'ultime mauvaise nouvelle, et pas des moindres,
And the ultimate—and most serious—bad news is that
c'est qu'on ne sait pas comment combler la faille Spectre.
we don’t yet know how to fix the ‘Spectre’ vulnerability.
Donc soit on ressort des processeurs d'il y a 15 ans,
Either we revert to processors from 15 years ago,
soit on attend que les services de R&D pondent un nouveau processeur exempt de
or we wait for R&D teams to develop a new processor free of this flaw.
problème. Mon spectre, c'est extrêmement problématique,
My ‘Spectre’ vulnerability is extremely problematic,
et on ne peut rien y faire aujourd'hui.
and right now, there’s nothing we can do about it.
C'est un peu différent pour meldon.
It's a bit different for Meltdown.
À ce stade, on ne sait pas exactement à quel point nos ordinateurs vont être
At this stage, we don’t yet know
affectés. Ce qui est sûr, c'est que pour des sociétés qui ont des fermes de
exactly how much our computers will be affected.
serveurs, c'est- à- dire des milliers de serveurs,
For companies operating server farms—
une baisse de performance qui pourrait aller jusqu'à 30% aurait des conséquences
that is, thousands of servers—
considérables.
a performance drop of up to 30% would have serious consequences.
Et ce sont ces fermes qui hébergent les services délivrés sur Internet,
And it’s these server farms that host
comme les sites web par exemple.
internet-based services, such as websites.
Bon, on pourrait se dire qu'on ne fait pas la correction pour conserver nos
Well, one might think: skip the fix to preserve performance.
performances. Mais légalement, les sociétés ne peuvent pas se le permettre.
But legally, companies aren’t allowed to do that.
La loi exige que les sociétés fassent leur possible pour ne laisser aucune faille de
The law requires companies to do everything possible
sécurité dans leur système.
to leave no security vulnerability in their systems.
Pour vous aider à estimer la gravité de la situation,
To help you gauge how serious this is,
le CEO d'Intel a vendu quasiment la moitié de ses stock options le 29 novembre 2017.
Intel’s CEO sold nearly half his stock options on November 29, 2017.
Et les chercheurs qui ont trouvé la faille avaient communiqué vers Intel bien avant
And the researchers who discovered the flaw
cette date. Pour résumer, il y a deux failles graves qui nous concernent tous,
had already informed Intel well before that date.
qui au mieux vont faire baisser les performances de nos ordinateurs,
In short, two serious flaws affect us all:
et au pire nous faire racheter un ordinateur d'ici six mois tout en nous laissant
at best, they’ll slow down our computers;
exposés à des attaques d'ici là.
at worst, we’ll need to buy new computers within six months—while remaining exposed to attacks until then.
Alors comment réagir sans tomber dans l'extrême?
So how should we respond—without going to extremes?
Bah éteignez votre ordinateur et ouvrez un bouquin.
Well, turn off your computer and open a book.
Ouais, alors c'est une solution, mais on avait dit sans l'extrême.
Yeah, that’s one solution—but remember, we said: no extremes.
Alors plus sérieusement, on peut considérer que nos mots de passe ne sont plus
More seriously, we must assume our passwords are no longer secret.
secrets. La solution la plus simple à mettre en place est d'activer la double
The simplest practical step is to enable
authentification sur les sites qui le permettent.
two-factor authentication on sites that support it.
Les sites web critiques, banques, emails, réseaux sociaux,
Critical websites, banks, email services, and social networks,
le permettent presque tous.
almost all support it.
La double authentification, ça veut dire qu'en plus du mot de passe,
Two-factor authentication means that, in addition to your password,
il vous sera demandé un code que vous obtiendrez soit par SMS,
you’ll also be asked to enter a verification code,
soit par une application qui génère des mots de passe uniques et temporaires.
which you’ll receive either via SMS or through an app that generates unique, time-limited passwords.
Et ce qui est très important, c'est que ce second facteur d'authentification
And what’s very important is that this second authentication factor,
provienne d'un autre appareil, votre téléphone par exemple.
must come from a separate device—your phone, for example.
Et vous pouvez aussi utiliser du matériel spécifique pour cela,
You can also use dedicated hardware for this purpose,
par exemple une Yubikey.
for example, a YubiKey.
On va vous mettre toutes les infos qu'il faut là- dessus dans la description.
We’ll include all the necessary information about this in the video description.
Enfin, on peut se poser quelques questions.
Finally, we can ask ourselves a few questions.
Imaginez si un Amazon, un Google ou un Facebook,
Imagine if Amazon, Google, or Facebook—
ou même un Deezer ou un Dailymotion doivent augmenter ces infrastructures de 30%,
or even platforms like Deezer or Dailymotion—had to expand their infrastructure by 30%:
vont- ils répercuter ces coûts sur nous ou est- ce que les services vont ralentir?
Would they pass these costs on to us, or would the services slow down?
On peut aussi se demander si les constructeurs de processeurs vont subir les plus
We might also wonder whether chipmakers will face
gros procès de leur histoire,
the biggest lawsuits in their history,
ou si le CEO d'Intel va prendre un procès pour délit d'initié.
or whether Intel’s CEO will face insider-trading charges.
Alors les nouvelles des prochains jours s'annoncent croustillantes,
So news over the next few days promises to be explosive,
alors gardez les yeux ouverts et faites les mises à jour que vous pouvez.
so keep your eyes open and install all updates you can.
merci à tous d'avoir pris le temps de regarder cette vidéo c'était le deuxième
Thanks to everyone for taking the time to watch this video—it’s our second ‘Hot Take’ episode.
épisode à chaud alors si ça vous a plu tippez mettez un pouce en l'air partagez sur
If you enjoyed it, please give it a thumbs-up and share it on social media,
les réseaux abonnez vous écrivez nous un commentaire et si vous voulez en savoir
subscribe to our channel, and leave us a comment telling us what you think;
plus allez lire les articles que l'on vous met dans la description
and if you’d like to learn more, check out the articles we’ve linked in the description.
C'était Tom et Flo pour Qu'est- ce que tu geeks?
I’m Tom and Flo, from ‘What Are You Geek?’
Salut!
Hi!