AVIS D’EXPERT – Windows 10, la sécurité la plus avancée depuis 10 ans !

Windows 10 apporte d’importantes améliorations en matière de sécurité. Microsoft n’avait pas osé aller aussi loin depuis Windows Vista et son “User Account Control”. En résumé, voici les principales avancées de la sécurité du tout-dernier système d’exploitation décrites par Eyal Dotan, expert en sécurité et architecture Windows. Il est fondateur & CTO chez Trustware et Cameyo.

 

Mots de passe : “Sésame, ouvre-toi” ne suffit plus

Microsoft veut en finir avec les mots de passe comme seul moyen d’authentification, et le remplacer par un système d’authentification multi-facteurs. En effet, en plus du login et mot de passe, l’utilisateur devra désormais utiliser un moyen supplémentaire pour s’authentifier. Cela peut être un code PIN, une authentification biométrique, ou bien un smartphone qui pourra agir en tant que smartcard. A en croire Microsoft, ces informations, qui seront forcément communiquées depuis les stations de travail vers les serveurs lors du processus d’authentification, seront gardées dans une zone protégée de la mémoire, non accessible y compris par le noyau du système, et donc en théorie par d’éventuels rootkits et autres malwares avancés.

Un dispositif contre la fuite d’informations

L’autre grande innovation en termes de sécurité, et non des moindres, c’est le nouveau dispositif contre la fuite d’informations (DLP). Là aussi, Microsoft est allé loin : les données sont scindées en deux : données personnelles / données entreprise. Les fichiers entreprise seront automatiquement cryptés lors de leur création (sauvegarde sur disque) et le resteront, y compris lors de copie et transfert vers d’autres medias, grâce à un mécanisme IRM. Microsoft est même allé jusqu’à incorporer des règles d’accès VPN par type d’application. Jusque-là, ce type de protections était offert seulement par des produits de sécurité assez pointus. L’entrée de Microsoft dans ce domaine est à la fois surprenante et prévisible. En effet, d’autres systèmes d’exploitation tels que Android 5 ont relevé la barre dans ce domaine, devenu essentiel pour des scénarios de travail à distance et de BYOD. Il sera intéressant de voir comment ce dispositif de sécurité sécurise les applications génératrices de données elles-mêmes. En effet, sous Windows il existe de nombreux moyens d’incursions au sein de programmes légitimes. Donc, si par exemple Microsoft Office a le droit d’accéder à des fichiers cryptés et d’en générer, reste à savoir si des extensions ou DLLs qui “vivent” dans l’espace-mémoire d’Office ne représentent pas un danger pour ce système.

 

Un verrouillage intensif

Certaines entreprises n’ont pas besoin d’offrir à leurs utilisateurs toute la flexibilité d’un système d’exploitation. En effet, à quoi bon permettre aux utilisateurs d’ajouter ou d’installer de nouveaux logiciels dans une banque ou dans un service de point de vente (POS). Pour ce genre d’utilisation, Windows 10 inclut un système de verrouillage par “white-listing” qui interdit toute introduction de nouveau logiciel mis à part ceux signés par certains éditeurs (voire l’entreprise elle-même). Ce système de white-listing aurait dû être proposé depuis longtemps. Mieux vaut tard que jamais !

Device Guard obligatoire

Une modification qui fait parler d’elle, c’est l’activation de “Device Guard”, un système de sécurisation du processus de boot qui n’a rien de nouveau, si ce n’est que Microsoft a décidé de rendre obligatoire son activation. Cela posera problème pour des scénarios multiboots sur lequel est installé par exemple Linux (dont les distributions ne supportent pas toutes le multiboot), mais Microsoft a tapé du poing sur la table en le rendant obligatoire. Ce sera donc aux développeurs des autres OS à s’adapter.

Disparition du Patch Tuesday

Le fameux “Patch Tuesday” est quant à lui voué à disparaître. Pour comprendre ce changement, posez-vous la question suivante : lorsqu’un patch de sécurité est prêt mercredi, à quoi bon attendre 6 jours jusqu’au mardi suivant ?

L’impact réel de Windows 10 sur la sécurité en entreprise…

La version 10 de Windows semble être allée plus loin que les précédentes, au moins depuis une décennie. Le principal défi reste désormais son implémentation, ce qui est loin d’être une évidence. En effet, il existe toujours un compromis entre sécurité et facilité d’usage. L’envergure de ces changements risque de forcer bon nombre d’entreprises à ne pas activer ces fonctionnalités de sécurité le temps de se préparer à leur configuration et leur mise en place. Si tel est le cas, ces fonctions risquent de rester théoriques. Les entreprises possédant de larges départements IT apprendront sûrement à activer ces dispositifs dès leur migration vers Windows 10. Mais ce sont également ces grandes entreprises qui ont d’ores et déjà des solutions (ou la possibilité d’en acheter) pour les problèmes de sécurité évoqués ci-dessus. L’impact réel de Windows 10 sur la sécurité en entreprise devra donc être mesuré par son implémentation chez les petites et moyennes entreprises. Enfin, même si Microsoft y fait un pas important (et courageux), n’oublions pas que la sécurité informatique reste un domaine extrêmement large et que ces avancées ne suffisent pas et ne prétendent pas éliminer tous les risques liés au poste de travail.