Windows Vista : réseau et sécurité

Introduction

En quelques années, Internet est devenu incontournable et la majorité des entreprises, ainsi qu’un grand nombre de foyers, sont désormais connecté au réseau des réseaux. Le succès d’Internet a entraîné une déferlante de virus et de programmes malicieux en tout genre, dont la cible préférée n’est autre que Windows. Mal préparé pour combattre ces maux, les systèmes de Microsoft ont acquis une mauvaise réputation en terme de sécurité, réputation dont l’éditeur aimerait se défaire.

Avec Windows Vista, Microsoft a tenté de rattraper son retard sur les systèmes Linux/Unix dans la gestion des utilisateurs. De cet effort est né l’UAC, fonction particulièrement critiquée depuis la mise à disposition des préversions de Vista du fait de sa présence trop fréquente. Mais avant de nous attarder sur les fonctions de sécurité du système, nous vous proposons de retrouver les avancées de la nouvelle pile réseau et de la Windows Filtering Plateform, un ensemble d’API destiné à la création d’outils de filtrage (pare-feu, antivirus).

Vous pourrez retrouver toutes les illustrations de ce dossier dans l’album photos qui lui est consacré.

Nouvelle pile réseau : IPv6

Avant de nous intéresser au remaniement de la pile réseau et à tout ce qui en découle, vous serez peut-être ravis d’apprendre que Microsoft a ajouté le support du Wi-Fi directement dans la pile réseau et en a profité pour implémenter des fonctions spécifiques à ce mode de connexion. Les réseaux dont le SSID (identifiant) est caché devraient être mieux supportés et les réseaux devraient être plus simples à découvrir. Par ailleurs, le WPA2 (successeur du mécanisme de sécurité WPA, utilisant un chiffrement AES) est intégré et est utilisable en mode infrastructure (connexion à un point d’accès) ou ad-hoc (connexion directe à une autre machine), de même que la fonction d’itinérance qui permet de changer de point d’accès rapidement sans perte de données. Enfin, notez la possibilité de virtualiser la carte pour se connecter à plusieurs réseaux sans fil simultanément.

Intégration de IPv6

Windows Vista, et son homologue destiné aux serveurs Windows Server Code Name Longhorn, incluent une nouvelle implémentation de la pile TCP/IP, connue sous le nom de Next Generation TCP/IP Stack ou encore Pile réseau de nouvelle génération. Actuellement, Windows XP, Windows Server 2003 et leurs prédécesseurs utilisent un modèle de pile pour le protocole TCP/IP qui date des années 1990. Par ailleurs, si Windows XP et Server 2003 gèrent la version 6 du protocole IP, c’est grâce à l’adjonction d’une pile supplémentaire. De son côté, Windows Vista possède une pile unique où sont implémentés les versions 4 et 6 du protocole IP. Il faut savoir qu’IPv6 est activée par défaut pour chaque connexion, mais est facilement désactivable dans les propriétés de l’interface réseau. Rappelons que la version 6 du protocole IP, qui succède à la version 4, apporte entre autre :

• Passage de 2^32 à 2^128 adresses disponibles grâce à codage des adresses sur 128 bits (16 octets) au lieu de 32 bits (4 octets) auparavant ;
• IPsec (protocole de chiffrement et d’authentification des donnnées) et QoS (technologie de gestion des ressources réseau) sont intégrés au protocole ;
• Les en-têtes des paquets sont simplifiées, ce qui simplifie le routage.

Même si la migration vers IPv6 est inévitable et proche, la majorité des utilisateurs est encore loin d’avoir accès à une connexion internet utilisant ce protocole. Mais dans certains cas, ils peuvent être amenés à se connecter à distance à un réseau IPv6. Plusieurs technologies existent et Microsoft propose de son côté Teredo. Cette technologie a été introduite avec le SP1 de Windows XP et est désormais activée par défaut sous Windows Vista. Elle consiste à encapsuler des paquets IPv6 dans des paquets UDP IPv4 et à les envoyer à un serveur NAT Teredo qui assure la connexion au réseau IPv6.

Nouvelle pile réseau : plus simple

La programmation réseau simplifiée

D’après Microsoft, la nouvelle pile réseau facilite la programmation réseau en mode noyau grâce à Winsock Kernel, une NPI (Network Programming Interface ou Interface de Programmation Réseau) dédiée aux clients TDI (Transport Driver Interface) et s’exécutant en espace noyau. Il convient de préciser qu’une TDI est une interface utilisée par les pilotes pour communiquer avec différents protocoles réseau. Cela permet aux services de rester indépendants des protocoles de transports utilisés.

Weak Host Model, Strong Host Model

Lorsqu’un hôte reçoit un paquet de type unicast (point-à-point, soit une connexion entre deux machines), le protocole IP doit déterminer si la destination du paquet est locale (i.e. si sa destination correspond à une adresse assignée à une interface de l’hôte). Il existe deux implémentations d’IP, qui se conduisent de deux façons différentes dans cette situation.

• Weak Host model : l’hôte accepte tous les paquets à destination locale, indépendamment de l’interface par laquelle le paquet est arrivé ;
• Strong Host model : l’hôte n’accepte le paquet que si l’adresse de destination du paquet correspond à une adresse gérée par l’interface par laquelle le paquet est arrivé.

Actuellement, l’implémentation d’IPv4 dans Windows XP et Windows Server 2003 utilise le Weak Host Model. La Next Generation TCP/IP Stack supporte le Strong Model pour IPv4 et IPv6 et c’est d’ailleurs le modèle qui est utilisé par défaut. Il est possible d’utiliser l’autre modèle, mais Microsoft indique que, si le Weak Host Model permet une meilleure connectivité, il rend les hôtes plus sensibles aux attaques par le réseau.

Les différentes fonctionnalités de sécurité de l’actuelle pile TCP/IP ont été remplacées par un framework dénommé Windows Filtering Platform (WFP). Nous y reviendrons plus tard. De plus, la pile devrait être plus résistante face aux attaques, comme celles de déni de service.

Réseau : une amélioration des performances

En plus d’ajouter des nouvelles fonctions, cette pile réseau propose un certain nombre d’améliorations censées augmenter les performances.

NDIS 6.0

Vista inclut la version 6.0 de NDIS (Network Device Interface Specification) qui est en fait la couche faisant le lien entre les pilotes et les couches réseau plus basses. Les versions 5.1 et antérieures limitent le traitement des données reçues à un seul processeur et cette limitation peut réduire les performances d’une station de travail ou d’un serveur lors du traitement d’une grosse quantité de données. Enfin, cette nouvelle version apporte un nouveau modèle de pilotes, le Lightweight Filter (LWF), présenté comme plus simple à mettre en œuvre et plus performant.

Sachez qu’il est désormais possible d’insérer et d’enlever des pilotes de la pile réseau, sans pour autant interrompre les connexions. De même, si certains changements demandaient encore un redémarrage de la machine, ces cas ne devraient plus se retrouver que très rarement.

TCP Chimney et RSS

TCP Chimney (chimney signifie cheminée) est né d’une initiative de Microsoft qui doit permettre au matériel compatible de décharger le processeur dans le traitement du trafic TCP. Cette fonction est particulièrement utile pour les applications dont les performances dépendent du traitement des données TCP. Le terme « cheminée » vient du fait que les transferts de données se font directement entre la couche haute et la couche basse de la pile. L’architecture de TCP Chimney comprend trois cheminées :

• TCP Chimney qui permet donc de décharger la pile du traitement du traffic TCP ;
• IPSec Chimney qui s’occupe d’IPSec ;
• RDMA Chimney (Remote Direct Memory Access), qui permet de transférer des données directement de la mémoire d’une machine vers une autre, sans passer par le CPU.

À titre informatif, sachez que lors de la sortie du nForce4, NVIDIA avait fortement insisté sur le fait de sa puce supportait cette technologie.

La version 6 de NDIS introduit également le RSS (Receive-Side Scaling) qui permet de répartir le traitement du trafic entrant sur les machines équipées de plusieurs processeurs. Cette technologie permet logiquement d’améliorer de façon sensible les performances des serveurs web ou de fichiers par exemple. Dans le cas d’une machine comportant un grand nombre de processeurs, il est possible de n’utiliser qu’une partie des processeurs.

Réseau : performances et sécurité

Quelques préférences TCP

Voici quelques autres améliorations introduites avec l’arrivée de la nouvelle pile réseau :

• Certaines préférences TCP sont automatiquement ajustées. Par exemple, la fenêtre de réception TCP est constamment réajustée en fonction de l’environnement réseau (jusqu’à 2 Mo soit 16 Mb).

• L’envoi de grosses quantités de données sur un réseau peut être pénalisant pour les utilisateurs, et Microsoft a décidé d’intégrer le protocole Compound TCP qui permet de tirer parti au maximum des connexions à large bande passante. Un test en interne chez l’éditeur a permis de constater que le temps avait été réduit de moitié lors de l’envoi de gros fichiers avec une connexion de 1 Gb/s et un round trip delay time (RTT) de 50 ms, contre 100 ms par défaut. Le RTT correspond au temps que met un signal pour parcourir un circuit fermé ou pour effectuer un aller-retour. Cette valeur est importante pour les systèmes fonctionnant sur le principe de la question-réponse (téléphonie, transferts HTTP…).

• Le support de l’ECN (Explicit Congestion Notification) : de nos jours, lorsque qu’un segment TCP n’arrive pas à destination, la raison la plus probable est qu’il y a congestion au niveau d’un routeur, plutôt qu’une erreur dans le paquet. L’émetteur réduit alors sa fenêtre d’émission TCP et lance alors un contrôle de congestion, ce qui réduit évidemment le taux de transfert de l’utilisateur. Grâce à l’ECN, les routeurs congestionnés marquent les paquets lorsqu’ils les font suivre. Les autres périphériques qui reçoivent ces paquets réduisent alors leur taux de transfert pour prévenir les pertes de paquets. Cette fonction est intégrée depuis la RC1 de Vista, mais elle est désactivée par défaut.

• Vista suit aussi plusieurs spécifications RFC qui tendent à optimiser les connexions sans fil, qu’elles soient Wi-Fi, Bluetooth ou encore GPRS ou UMTS.

Sécurité et portabilité

En ce qui concerne la sécurité, les équipes de Redmond ont fait en sorte qu’une table de routage différente soit associée à chaque utilisateur. Cette compartimentation est appelée Routing Compartments.

Enfin, Microsoft a implémenté sa pile de telle façon qu’elle est facilement portable sur d’autres systèmes d’exploitations, comme celui de la XBOX, mais aussi Windows CE et Windows Embedded.

Windows Filtering Plateform

Contrairement à ce que le nom peut laisser à penser, Windows Filtering Plateform (WFP) n’est pas un pare-feu. Il s’agit d’un ensemble de services et d’API utiles pour le développement de pare-feux, par Microsoft ou une autre entreprise. Le pare-feu intégré dans Vista, nommé Windows Firewall et successeur de l’Internet Connection Firewall (ICF) de Windows XP (ou Windows Firewall pour Windows XP SP2), utilisera WFP. Mais WFP n’est pas destiné exclusivement aux applications de Microsoft, contrairement à ce qu’on a pu lire récemment ; tous les éditeurs de solutions de sécurité ont accès à la documentation permettant de se servir de cet outil afin de développer leur propre produit.

Observons comment s’articulent WFP et la pile réseau grâce à l’image ci-dessous :

• Le Generic Filtering Engine est un composant en espace noyau intégré à la nouvelle pile réseau et qui stocke les filtres créés. A la réception d’un paquet, ce composant vérifie, grâce aux filtres et à des modules, si le paquet peut être traité ou au contraire rejeté.
• Les Callout modules sont utilisés par le Generic Filtering Engine à la réception d’un paquet. Ainsi, en plus des règles basiques de filtrage, le flux peut être analysé par un antivirus, par un NAT ou par un logiciel de contrôle parental.
• Le Base Filtering Engine est un composant s’exécutant en espace utilisateur et qui implémente les requêtes demandes de filtrage des applications en connectant les filtres au Generic Filter Engine.
• Les API, placées au dessus du Base Filtering Engine qui permettent aux applications d’utiliser ce moteur de filtrage. Une application peut utiliser WPF de deux façons :
• En implémentant une simple application en espace utilisateur. Ce moyen est préconisé dans le cas où l’application ne fait que filtrer les paquets.
• Dans le cas où l’application doit analyser le paquet en profondeur, Microsoft préconise la création d’une application en espace utilisateur, mais aussi d’un ou plusieurs modules qui effectueront les analyses supplémentaires.

À propos des antivirus

Depuis quelques semaines, on a pu lire que certains éditeurs de solutions de sécurité n’étaient pas du tout convaincus par la Kernel Patch Protection (PatchGuard) puisque leurs produits ont besoin d’avoir un accès à l’espace noyau pour fonctionner. Certains sont même allés jusqu’à considérer que Microsoft essayait de leur nuire en empêchant leurs produits de faire leur travail. Microsoft, de son côté, a toujours assuré que l’accès au noyau était désormais impensable, qu’il avait mis des solutions alternatives en place et que les éditeurs n’avaient pas besoin d’accéder au noyau pour que leurs produits fonctionnent. De là est née la polémique dont nous vous avons parlé sur Presence PC et Infos-du-Net. Microsoft a fini par céder en divulguant les sources du noyau pour la version 64 bits de son système. Mais si Symantec et McAfee continuaient de blâmer l’éditeur jusqu’à très récemment, on peut signaler que d’autres éditeurs de solutions de sécurité, tels Kaspersky, Trend et ALWIL Software, ont développé leur propre solution sans recevoir plus d’aide que les autres.

Dès lors, on peut s’interroger sur les motivations des différents camps. Est-ce une tentative de déstabilisation de la part d’un camp ou une tentative de nuisance de la part de l’autre camp ? Microsoft prépare-t-il le terrain pour sa suite sécuritaire ? Nous n’avons pas toutes les informations pour y répondre, mais vous devez savoir que Microsoft est censé se servir des mêmes API que les autres éditeurs, comme c’est le cas pour son nouveau pare-feu qui utilise WFP.

Windows Firewall, bilan

Windows Firewall

Maintenant que nous avons vu de quelle manière est implémenté le nouveau pare-feu de Windows Vista, il est temps de voir les nouveautés qu’il apporte par rapport à celui de Windows XP.

• Filtrage entrant et sortant alors que le pare-feu de Windows XP ne filtre que les paquets entrants.
• Nouvelle interface de gestion intégrée dans la console de gestion (Microsoft Management Console)
• La configuration du pare-feu et d’IPsec (un ensemble de standards qui permet de crypter le trafic IP)
• Les règles et exceptions peuvent être configurées pour les comptes et services Active Directory, pour des adresses IP source ou destination, pour un numéro protocole IP, pour un port TCP et/ou UDP, pour les services ou encore pour ICMP et ICMPv6.

En théorie ce nouveau pare-feu a l’air bien plus complet que le précédent. Espérons juste qu’il soit aussi plus performant.

Bilan

Vous avez pu le constater depuis le début de cette partie, Microsoft a tenté de rattraper son retard par rapport aux systèmes d’exploitation de la famille Unix, notamment en rafraichissant la pile réseau (empruntée à BSD). Par ailleurs, le développement de WFP devrait apporter un vrai plus, avec une possibilité d’intégration plus poussée des logiciels des éditeurs tiers et donc un gain de performance et de stabilité. Quant au nouveau pare-feu, il sera complété, en cas de défaut de protection, par l’UAC et Windows Defender. Même si Vista semble bien mieux protégé que ses prédécesseurs, la prudence reste de mise, et qu’importe les déclarations (avérées ou non) de certaines personnes influentes, un antivirus et un bon pare-feu restent indispensables.

UAC : gestion des utilisateurs

Outre l’application Windows Firewall, que nous avons évoquée dans notre partie sur le réseau, qui se charge de la sécurité en rapport avec le réseau, les équipes de Microsoft ont développé des fonctions destinées à accroitre la sécurité de nos chères machines de travail. Vous en connaissez déjà certaines, comme Windows Defender que vous avez peut-être testé, ou encore l’UAC dont on a beaucoup parlé.

L’UAC est le nom de la fonction de gestion des droits utilisateurs introduite avec Vista. Conçue pour être compatible avec les applications antérieures, cette fonction devrait apporter la sécurité qui fait actuellement défaut sur les autres versions.

Pourquoi l’UAC ?

Lors de l’installation de Windows XP, par défaut, tous les comptes créés possèdent les droits administrateurs locaux. Ce type de compte permet d’avoir un accès total au système : permission de lecture/écriture sur toutes les ressources, tous les privilèges. Ainsi, un utilisateur qui est inclus dans le groupe des administrateurs possède tous les privilèges, qu’il ne faut pas confondre avec les permissions, qui s’appliquent aux objets. Les privilèges sont collectés et maintenus dans un jeton d’accès spécifique à chaque utilisateur. Windows utilise ces jetons d’accès pour connaître les ressources auxquelles l’utilisateur peut accéder. Chaque ressource a accès à l’ACL (Acces Control List) qui est une liste qui contient les permissions d’accès de tous les utilisateurs.

Il y a plusieurs raisons pour lesquelles les comptes sont pour la plupart configurés avec des droits administrateur, et principalement dans les entreprises :

• pour installer des applications, les mettre à jour ou les désinstaller
• pour exécuter des contrôles ActiveX particuliers (surtout présents dans les entreprises)
• pour réduire les coûts de maintenance, en laissant les utilisateurs installer les applications auxquelles ils sont habitués.

Jusqu’à présent, il n’existait pas de possibilité pour les utilisateurs aux droits restreints, d’acquérir les privilèges nécessaires pour effectuer une action particulière. Il était cependant possible de configurer un compte pour qu’il ait plus de droits (opérateur de sauvegarde par exemple), mais cela ne réglait pas tous les problèmes. En réponse aux demandes des utilisateurs et des entreprises qui souhaitaient assurer une sécurité minimale sur leurs postes, Microsoft a développé un nouveau système de gestion des privilèges et des comptes utilisateurs, le User Account Control.

L’UAC en détail

Tout commence à l’ouverture de la session, où Windows vérifie les droits de l’utilisateur qui se connecte à la machine. Si en apparence rien ne différencie l’ouverture d’une session sur Windows XP de celle sur Windows Vista, le fonctionnement en arrière-plan a quelque peu changé. Quand un administrateur ouvre une session, il reçoit deux jetons d’accès : un pour l’accès total en administrateur, l’autre pour un accès restreint en utilisateur standard. Par défaut, les privilèges administrateur sont désactivés, ce qui signifie que l’administrateur se retrouve avec les droits standards. Ce jeton d’accès standard est utilisé pour lancer Explorer.exe, le parent des processus utilisateurs. Dès lors, les programmes chargés par l’utilisateur possèderont les mêmes droits restreints. Si une application requiert des droits plus importants, l’UAC rentre en jeu et propose à l’utilisateur d’élever les droits de celle-ci.

Le service Application Information Service

Ce service est un service système (autrement dit lancé par le système et pas par un utilisateur) qui donne aux applications les droits dont elles ont besoin. En fait, il crée un nouveau processus pour l’application, mais lui donne cette fois-ci les droits administrateurs. Pour simplifier, lorsqu’une application requiert les droits administrateur pour s’exécuter, le service AIS est sollicité et demande à l’utilisateur l’autorisation pour élever les droits.

Un peu de virtualisation

En plus de ces protections, Microsoft a implémenté un système de « virtualisation ». Ne pensez pas que Windows va utiliser la dernière technologie à la mode de votre processeur (retrouvez notre dossier sur la virtualisation). En fait, cette technologie permet de faire fonctionner des applications requérant des droits administrateur et qui ne sont pas compatibles avec l’UAC. Quand une application de ce type tente d’écrire dans un répertoire protégé ou dans la base de registre, la commande est interprétée par l’UAC qui la redirige vers le répertoire « VirtualStore » ou l’arborescence « HKEY_CLASSES_ROOT/VirtualStore » de la base de registres. Cette copie est maintenue dans le répertoire personnel de l’utilisateur. Quand l’application demande l’accès aux données stockées, Windows lui fournit ces dernières.

Fonctionnement de l’UAC

Comment ça marche ?

Après avoir lu cette partie, vous vous serez sans doute demandé comment Windows sait quand il doit demander des droits plus élevés au lancement d’une application, comme un installateur. Les applications classiques sont livrées avec un manifeste XML qui renseigne le système sur les droits requis. En ce qui concerne les installeurs, Windows utilise une analyse heuristique (basée sur des critères empiriques) pour les détecter. Elle s’applique aux programmes 32 bits et ne requérant pas de droits particuliers. Avant que le processus 32 bits ne soit créé, Windows analyse le nom du programme pour voir s’il ne contient pas « install », « setup », « update », etc., analyse les propriétés du fichier pour repérer des fournisseurs connus et analyse d’autres détails qui « trahissent » ces programmes.

Suivant le type de l’application (éditeur, signature numérique), l’UAC affiche une confirmation différente (voir l’image).

L’UAC dans la pratique

A la sortie de la bêta 2, beaucoup de personnes, dont notre équipe, avaient critiqué la trop grande présence de cette fonction et de ses avertissements. Microsoft semble en avoir tenu compte puisque les avertissements sont désormais moins nombreux et seules les autorisations importantes bloquent le système, les autres se contentant de bloquer l’application concernée. Bien sûr on peut se demander la raison pour laquelle il faut être administrateur pour changer l’heure, mais c’est aussi la solution retenue sur les systèmes Linux et Unix. Si elle désorientera sans doute bon nombre d’utilisateurs des versions précédentes de Windows, cette fonctionnalité améliorera certainement la sécurité du système et préviendra quelques actions maladroites. Et pour ceux qui ne pourront plus supporter les demandes plutôt fréquentes (dans certains cas) du système, il est possible de la désactiver, mais ce sera à leurs risques et périls.

Quelques autres protections

Windows Service Hardening

Cette nouvelle fonction, qui est un complément à l’UAC, empêche les services de Windows de réaliser des opérations qu’ils ne sont pas censés faire. Chaque service se voit attribuer un identificateur de sécurité, le SID ce qui permet de gérer les contrôles d’accès. Par ailleurs, les services peuvent utiliser l’ACL pour vérifier qu’ils ont effectivement les droits pour accéder à certaines ressources. De même, ils sont désormais lancés dans des comptes bénéficiant de privilèges moindres comme Service Local ou Service Réseau à la place de System. Enfin, l’écriture dans les ressources ne pourra se faire que si le service en a l’autorisation, et seules les ressources devant être modifiées seront accessibles en écriture, ce qui devrait empêcher certains services douteux de modifier les ressources d’autres services.

Windows Resource Protection

WRP est le successeur de Windows File Protection présent sous Windows XP et Windows 2000. Cette fonction s’occupe de protéger les fichiers sensibles. Ainsi, même Windows Installer saute les fichiers protégés par WRP et le mentionne dans le journal d’installation sans pour autant afficher une erreur, ce qui n’était pas toujours le cas sous Windows XP/2000. Mais WRP peut aussi protéger les clés de la base de registres. Si un fichier ou une clé protégé est modifié par un utilisateur ou un logiciel non autorisé, WRP restaure ce qui a été modifié.

Network Access Protection

Derrière ce nom se cache une fonction visant à écarter d’un réseau un poste qui, n’étant pas à jour, peut présenter un risque pour ce réseau. Les administrateurs système peuvent définir un certain nombre de critères qu’un client réseau devra respecter pour entrer sur un réseau : dernières mises à jour installées, antivirus à jour, présence ou non d’un pare-feu… Dès lors, les clients qui ne respectent pas les conditions définies au préalable ne pourront pas communiquer avec les autres postes et auront un accès restreint au réseau. Cette fonction est à mettre en rapport avec le Network Access Protection de Cisco.

Encore d’autres protections

Isolation de la Session 0

Sous Windows XP, Windows Server 2003 et leurs prédécesseurs, tous les services fonctionnent dans la même session que celle du premier utilisateur qui se connecte au système. Cette session est appelée Session 0. Le fait de faire fonctionner les applications de l’utilisateur et les services dans une seule et même session est risqué car certains programmes malintentionnés peuvent se servir des services (lesquels ont, rappelons-le, des privilèges plus élevés que les applications de l’utilisateur) pour élever leurs droits. Sous Windows Vista, la Session 0 est uniquement réservée aux services. Le premier utilisateur qui se connecte à la machine entre donc dans la Session 1. En résumé, les services ne se retrouvent plus dans la même session que celle d’un utilisateur, ce qui limite les risques d’attaque. En conséquence, les pilotes WMDF évolueront dans la Session 0. Par contre, les services qui vérifient qu’ils sont bien lancés dans une session utilisateur risquent de ne plus fonctionner.

User Interface Privilege Isolation

Associé à l’isolation de la Session 0, l’UIPI sert à bloquer certaines attaques comme les injections de code ou injection de threads. Désormais, une application avec des droits élevés peut envoyer des messages à une application disposant de moins de privilèges, mais l’inverse n’est plus possible.

Windows Defender

On ne pouvait pas ignorer Windows Defender. Cette application joue le rôle d’antispyware et est intégrée au système. Sa configuration s’effectue à partir du Panneau de Configuration et Windows Update télécharge régulièrement une mise à jour de la base de définitions. Cette application contrôle aussi les programmes lancés au démarrage et peut en bloquer certains, attendant une confirmation de l’utilisateur.

Internet Explorer 7 pour Vista

La version d’Internet Explorer n’est pas exactement la même que celle qui est proposée pour Windows XP. Si elle reprend la même interface et les mêmes fonctions, elle profite néanmoins de deux avancées intéressantes. Grâce à l’UAC, le navigateur est exécuté par défaut dans un environnement protégé, c’est-à-dire qu’il est isolé du reste du système. Il a seulement accès à des répertoires bien spécifiques comme son cache, ses cookies et son répertoire de plugins. L’impact d’une faille devrait donc être bien moins important. Enfin, le comportement du navigateur peut être influencé par les règles du contrôle parental.

BitLocker Drive Encryption

BitLocker est le nom de la fonction de Vista qui s’occupe de crypter entièrement un volume. Précisons que cette fonction n’est incluse que dans les versions Entreprise et Intégrale de Windows Vista. Afin de crypter et décrypter le volume, il existe trois méthodes. Les deux premières requièrent la présence d’une puce TPM (Trusted Platform Module version 1.2 ou plus) et d’un BIOS compatible, tandis que la dernière ne demande qu’une clé USB.

Dans le premier cas, tout s’effectue de manière totalement transparente pour l’utilisateur grâce à la puce TPM. La clé utilisée pour crypter le disque est stockée dans la puce et est communiquée au lanceur du système seulement si les principaux fichiers de démarrage ne semblent pas avoir été modifiés. Dans le deuxième cas, l’utilisateur doit en plus s’authentifier pour démarrer le système. Deux modes d’authentification sont prévus : un code PIN ou un périphérique USB contenant une clé valide. La troisième solution ne nécessite donc pas de puce TPM mais une simple clé USB qui sera lue à l’allumage de la machine pour permettre le démarrage du système.

Pour utiliser BitLocker, il faut disposer de deux partitions au format NTFS au minimum. L’une d’elle est la partition qui héberge le système d’exploitation tandis que l’autre, la partition système (1,5 Go au minimum), contient BitLocker et d’autres utilitaires. La partition système ne devrait pas contenir de données sensibles puisqu’elle ne sera pas cryptée. Notez que cette fonction ne chiffre que la partition contenant le système. Pour chiffrer les autres partitions NTFS, la solution préconisée est toujours l’EFS (Encrypting File System), qui se charge du chiffrement des données en temps réel sous Windows.

Contrôle parental et bilan

Le contrôle parental

Le contrôle parental rentre dans la catégorie des utilitaires dédiés à la sécurité tant les manipulations de certaines personnes peuvent se révéler aussi néfastes qu’un virus ou un programme malintentionné. Grâce à une interface simple, l’administrateur d’un poste peut appliquer quelques restrictions à un compte utilisateur :

• restrictions de la navigation sur Internet avec des filtres sur les adresses et sur les fichiers autorisés au téléchargement,
• restrictions sur le temps maximum d’utilisation grâce à des plages horaires,
• restriction sur les programmes autorisés à être exécutés.

Les actions de l’utilisateur peuvent aussi être enregistrées dans un journal détaillé. Notez enfin que le contrôle parental n’est pas inclus dans les version Professionnelle et Entreprise de Windows Vista.

Bilan

Une meilleure protection du système passe logiquement par la réduction des privilèges de l’utilisateur. C’est donc ce que Microsoft a mis en pratique, tout en corrigeant certaines faiblesses des versions précédentes de Windows. L’UAC est bien entendu la fonction la plus visible puisqu’elle interagit directement avec l’utilisateur. Mais vous avez pu constater que les autres changements ne sont pas dénués d’intérêt.

Au risque de nous répéter, ne soyez pas trop téméraires, ce n’est pas parce que Vista semble être plus sécurisé que les autres versions de Windows qu’il peut se passer d’un bon antivirus et d’un pare-feu efficace. Enfin, la solution de Microsoft n’est pas forcément la meilleure, et les programmes la composant n’ont pas (en principe) accès à des fonctions du système auxquelles les autres n’ont pas accès.

Conclusion

Une nouvelle pile réseau plus simple et plus performante, un ensemble d’API destiné à la création de solutions de filtrage… Microsoft a soigné la partie réseau de son système et celle-ci est désormais aussi fonctionnelle que celle de Linux. Mais l’éditeur ne s’est pas arrêté en si bon chemin, puisque la gestion des utilisateurs a aussi été revue. En témoigne l’UAC, qui permet à Windows de fonctionner d’une manière similaire à MacOS X ou Linux. Si les utilisateurs fidèles aux systèmes de Microsoft seront probablement un temps dépaysés, les autres retrouveront leurs marques. Vous avez pu constater que l’UAC n’est pas la seule nouveauté et que la réduction des privilèges s’est faite à tous les niveaux.

A la veille de sa sortie, vous avez déjà pu vous faire une idée sur un grand nombre de nouveautés introduites avec Windows Vista. Afin que ce tour de Vista soit le plus complet, nous terminerons notre dossier la semaine prochaine en nous arrêtant sur les fonctions destinées à améliorer les performances du système puis, nous ferons un rapide détour par le Framework .NET 3.