crédit : Thomas Hawk
La fin juillet marque le début de la diffusion de Windows 10 via le mécanisme de « mise à niveau en ligne gratuit » offert à tout possesseur de licences W 7 et 8.1. Une édition marquée par d’importantes modifications dans le modèle de sécurité du noyau.
A commencer par, effectivement, cette « gratuité » de la mise à niveau, mettant ainsi l’édition 10 au même niveau d’une « silent release » des temps anciens. Cette gratuité permet de régulariser le parc de versions « grises » de Seven et de 8.1, et surtout devrait servir à accélérer les délais de migration d’une version vers l’autre, délais généralement supérieurs à 2 ou 3 ans, voir considérablement plus, surtout dans les secteurs professionnels et industriels. Or, une édition qui ne veut pas mourir non seulement coûte cher à l’éditeur en termes de maintenance, mais pose de singuliers problèmes de sécurité. D’ailleurs, quel développeur, quel ingénieur système pourrait fantasmer sur l’avenir florissant d’un poste consacré à la maintenance d’un Windows 98 (plus de 15 ans d’activité post-mortem) ou d’un Windows XP, doyen des versions « NT kernel » ?
Autre entrave à la migration, la rumeur publique. A chaque nouvelle édition du système Microsoft se multiplient les « on dit » à propos de flicage intégré, de défauts d’ergonomie, de lourdeurs système, fondées ou non, propos qui ralentissent le mouvement d’adoption. Il faut dire que, des décennies durant, tout passage d’une édition à la version n+1 pouvait coûter fort cher, tant en termes de déploiement que de changement de parc. S’ajoute à ça qu’en matière de faire-savoir, la transmission du message sécurité chez Microsoft (Digital Right Management, drivers signés, trusted platform etc.) a été confiée à de très mauvais communicants. Mots en « isme », attitudes dogmatiques sur l’air du « c’est bon pour vous, ne discutez pas », rodomontades à la sauce « notre plateforme est devenue quasi inviolable » n’ont pas franchement amélioré le dialogue avec les clients potentiels. Alors, à l’heure où, pour le commun des mortels, le meilleur (sic) noyau s’appelle Android, il fallait que Microsoft s’adapte, que son discours reste à la portée des usagers, et que son attitude impérieuse adopte un profil bas.
La mort d’I.E. et autres boucliers
La meilleure des nouvelles, à propos de l’édition 10, concerne la mort d’Internet Explorer et son remplacement par Edge. Bonne nouvelle à plus d’un titre. A commencer par le « nid de bugs » que constituait ce vieux code qui, à lui seul, pesait plus en termes de failles et d’alertes CVE déclarées que l’ensemble des alertes Microsoft. Edge connaîtra sans l’ombre d’un doute son lot de failles et de défauts, mais ces défauts devraient être moins nombreux « by design ». Bonne nouvelle également pour la concurrence car, jusqu’à présent, Edge ne supporte pas encore les « extensions ». Ce qui fait de Firefox et de Chrome des outils privilégiés pour les amoureux des gadgets et les afficionados des accessoires sécurité à la sauce plug-in.
Autre grand changement, la disparition à terme du Patch Tuesday, du moins pour les éditions grand public et les petites structures qui n’utilisent pas de serveurs de déploiement. La mise à niveau et le colmatage des failles s’effectuera « non stop ». Voilà qui va traumatiser les Adobe et autres Oracle qui venaient à peine de synchroniser leur jour des bouchons avec celui de Microsoft. Pour l’utilisateur isolé, cela ne change rien, sinon peut-être l’assurance de voir réduite encore la taille de la fenêtre de vulnérabilité d’une attaque potentielle critique. Mais parfois (et l’on pense immédiatement à certains pilotes USB) cette mise à jour automatique décidée par Microsoft risque de provoquer des conflits homériques si l’on ne gère pas ce genre de hiatus au coup par coup. Pour les moyennes structures qui maîtrisent mal le déploiement de patchs et les phases de test de non-régression, c’est là peut-être aussi un risque de défauts de fonctionnement provoqués à des moments totalement imprévisibles. Dans le vocabulaire de certains, cette situation se résume par la formule « seul l’avenir nous le dira ». En jargon de « faisant office de RSSI », la traduction ressemblera plutôt par « Attention à MS-DDoS »
WiFi ? Non, faux !
Mais le point de sécurité qui fait couler le plus d’encre, c’est WiFi Sense, un protocole qui offre la possibilité à tous les contacts Skype, Facebook ou Outlook, de se connecter au réseau WiFi du LAN exploité par un utilisateur Windows 10. Chaque contact se voit offrir une version chiffrée du mot de passe WiFi. Il ne peut donc pas en connaître le contenu, mais il pourra tout de même se raccorder au réseau. Une édition commerciale de Pass the Hash, en quelques sortes. Disons le tout net, cette fonction, active par défaut, peut être rendue invalide via le panneau de configuration. En outre, l’ajout de l’extension _optout dans le SSID du réseau bloque cette possibilité. Si l’on ajoute l’option _nomap pour ne pas voir le point d’accès cartographié par Google, cela allonge déjà de 13 caractères la longueur de l’identifiant réseau. A quand les options _no2400, _noBSD ou_noWinXP ? La lecture des SSID est déjà une forme de profilage utilisateur qui en dit déjà assez long sur ses connaissances en informatique et ses opinions en matière de politique industrielle. Il faut lire à ce sujet le billet de Brian Krebs, qui est vent debout contre cette caractéristique. Mais il faut avouer que les Lignes Chaudes de Microsoft et des fournisseurs d’accès seront moins encombrés d’appels d’impétrants WiFistes.
Gadgets et blindages
Windows 10, c’est également la généralisation de l’authentification multi-facteurs associant les moyens traditionnels et une reconnaissance biométrique. Soit un lecteur d’empreintes digitales, soit une interface de reconnaissance faciale (webcam avec éclairage infra-rouge). En matière de protection périmétrique, le noyau est enrichi par un « Antimalware Scan Interface » (Amsi), une coquille qui supervise l’exécution de logiciels de protection (antivirus par exemple) de quelque provenance que ce soit. A quoi il faut ajouter Advanced Threat Analytics (ATA), un outil de deep packet inspection qui analyse le trafic des Active Directories et peut même récupérer des données provenant d’autres outils de gestion d’évènements de sécurité de type SIEM. ATA, après une phase d’apprentissage, dresse des profils comportementaux des utilisateurs, des périphériques et des ressources réseau et en dressera une cartographie des différentes interactions entre ces trois composantes.
