Seule la théorie sera abordée, pour la pratique, à savoir la gestion à proprement dites des utilisateurs, voir Gestion des utilisateurs sous Windows.
Les Comptes utilisateurs : kezako?
Pour accéder à Windows (et d'autres systèmes), nous nous identifions par un compte utilisateur.
Un compte utilisateur est un couple identifiant/mot de passe que nous devons généralement saisir (mais ce n'est pas obligatoire).
Selon le groupe auquel appartient votre compte utilisateur, vous pourrez ou non modifier certains éléments de configuration Windows, écrire dans tel ou tel dossier système ou non etc.
Pour résumer, les comptes utilisateurs permettent donc :
* de s'identifier sur Windows
* être reconnu et vous donner les accès sur le système et dossiers/fichiers auxquels vous avez droit.
Voici la page de bienvenue de Windows XP où l'on choisit son utilisateur et tape son mot de passe.
Plus d'informations : Gestion des utilisateurs sous Windows.
Les Groupes utilisateurs
Sous Windows, par défaut, trois accès sont possibles :
Administrateurs : Accès complet sur le système, ce compte est normalement utilisé pour :
* Installer le système d'exploitation et ses composants (comme les pilotes de matériel, les périphériques du système et ainsi de suite).
* Installer Service Packs et Windows Packs.
* Mettre à niveau le système d'exploitation.
* Réparer le système d'exploitation.
* Configurer des paramètres critiques du système d'exploitation (tels que la stratégie de mot de passe, le contrôle d'accès, la stratégie d'audit, la configuration du pilote en mode noyau et ainsi de suite).
* S’approprier des fichiers devenus inaccessibles.
* Gérer les journaux d'audit et de sécurité.
* Sauvegarder et restaurer le système.
Utilisateurs avec pouvoir :
Les personnes dont le compte utilisateur appartient à ce groupe peuvent :
** installer des programmes qui ne modifient pas les fichiers du système d'exploitation ou installer des services système ;
** personnaliser des ressources système, telles que les imprimantes, l'heure, la date, les options d'énergie et d'autres ressources du Panneau de configuration ;
** créer et gérer des comptes d'utilisateurs et des groupes locaux ;
** arrêter et démarrer les services système qui ne sont pas démarrés par défaut.
mais :
Les Utilisateurs avec pouvoir n'ont pas l'autorisation de s'ajouter eux-mêmes au groupe Administrateurs. Les Utilisateurs avec pouvoir n'ont pas accès aux données des autres utilisateurs, sauf lorsque ces utilisateurs leur accordent l'autorisation.
Utilisateurs :
Les personnes dont le compte utilisateur appartient à ce groupe peuvent : seulement exécuter les applications installées sur l'ordinateur.
Elles ne peuvent en installer de nouvelles, modifier la configuration ou les fichiers systèmes.
La personne peut écrire dans certains dossiers de son profil (Documents & Settings).
Voici le résultat obtenu lors de la tentative d'installation d'un logiciel par un utilisateur n'ayant pas les droits suffisants :
Les compteurs utilisateurs doivent être configurés judicieusement, il ne faut par exemple pas donner trop de pouvoirs à une personne qui ne maîtrise pas l'ordinateur, car il peut supprimer des fichiers système ou installer des applications néfastes.
Les impacts en matière de sécurité sur le système sont très importants.
Les impacts sur la sécurité
Les mauvaises habitudes sur Windows...
Sur les ordinateurs vendus, Windows est généralement préinstallé (enfin généralement, toujours puisque vous avez pas le choix), un assistant vous conduit à une préconfiguration et enregistrement de votre copie de Windows.
En général, il est demandé si vous souhaitez créer un ou plusieurs utilisateurs qui sont à l'arrivé automatiquement administrateurs, dès lors:
* Tous les utilisateurs peuvent écrire dans tous les dossiers.
* Tous les utilisateurs peuvent modifier les fichiers système Windows.
* Tous les utilisateurs peuvent installer n'importe quelle application qui leur tombe sous la main.
* etc..
Il en découle beaucoup de problèmes de sécurité à savoir :
* Impossible de mettre en place un minimum d'interdiction. Par exemple, vous êtes parents, vous désirez que votre enfant évite d'installer tout et n'importe quoi (MSN, Emule etc..), votre réflexe sera certainement d'installer un contrôle parental.
* Tout le monde peut aller dans les documents des autres, si une personne désire avoir un minimum de confidentialité sur son ordinateur et garder certains documents confidentiels, il aura certainement recours encore un logiciel tiers de cryptage ou ajouts de mot de passe sur les dossiers.
* Une personne qui débute peut très facilement planter l'ordinateur puisqu'elle a un accès complet sur le système, elle peut modifier/supprimer les fichiers système, modifier la configuration de l'ordinateur.
* Dans le cas où plusieurs utilisateurs ont accès au PC, difficile de garder l'ordinateur dans un état connu. Lorsque vous voulez identifier sur l'ordinateur, vous pouvez être confronté aux retombées des actions effectuées par l'utilisateur précédent.
Enfin et surtout votre ordinateur est vulnérable sur la toile.
Les malwares aiment les comptes administrateurs..
Les logiciels malveillants ou virus n'étant que des programmes, il est facile pour un logiciel malveillant de s'installer sur le système si vous surfez avec les droits administrateurs, tout comme il est simple d'installer une application en double-cliquant sur le setup...
* Une page infectée qui exploite une vulnérabilité permet l'infection du système..
* Une clef USB infectée.... un simple double-clic sur la lettre de votre clef USB et c'est l'infection..
* La simple exécution d'un fichier infectieux et c'est l'infection...
* etc...
En pratique, si nous prenons l'infection Backdoor.Win32.Rbot.cpm - http://www.DC1566_jpeg-hotmail.com qui abuse l'utilisateur en utilisant le social engineering en proposant de fausses photos, en exécutant les dites photos, l'infection s'installe... (plus d'informations sur les infections MSN, voir l'article: Infection par MSN, Explications, prévention, désinfection)
Voici ce que nous obtenons si nous exécutons le fichier piégé :
* sur une session avec les privilèges administrateur.
Après execution du fichier, deux fichiers sont créés serv5.exe & wplayer.exe qui composent l'infection...
Deux nouvelles lignes O4 sont ajoutées sur HijackThis permettant à l'infection de se charger à chaque démarrage de Windows.
Votre ordinateur est alors un PC zombi à la merci des pirates
* sur une session avec un compte limité.
Si nous exécutons le "faux album de photos" sous le nom de fichier http://www.DC1566_jpeg-hotmail.com sur une session limitée, nous constatons que le fichier http://www.DC1566_jpeg-hotmail.com est en cours d'exécution, mais rien ne se passe.
De même, aucune nouvelle ligne sur le rapport HijackThis.
Comme expliqué dans la page Pourquoi et comment je me fais infecter?... Pour s'installer dans le système un malware a besoin d'être exécuter avec les droits administrateur puisqu'il écrit des fichiers dans le dossier system32, modifie les clefs du registre pour se charger au démarrage de l'ordinateur, d'autres créent de nouveaux services ou installent des drivers etc..
L’exécution de n'importe quel programme issu d'internet peut s'avérer potentiellement dangereux dès lors qu'on l’exécute avec les droits administrateurs, le seul barrage reste alors votre antivirus ou antispyware qui est loin d'être infaillible !
Avec un compte limité, toutes ces modifications sont interdites, vous êtes alors protégé des malwares.
Vista : virage à droite!
Microsoft est très critiqué ces dernières années pour les problèmes de sécurité. Dans sa nouvelle version de Windows, Microsoft a mis l'accent sur la sécurité.
L'une des fonctionnalités ajoutées en matière de sécurité est le contrôle utilisateur (UAC).
Nous l'avons vu sous Windows XP, lorsque vous vous connectez avec les droits administrateur, toutes les actions que vous effectuez, applications que vous exécutez héritent de ces droits. Sous Windows Vista, il en est autrement; lorsqu'un administrateur ouvre une session sur un ordinateur Windows Vista, le jeton d'accès administrateur complet de l'utilisateur est divisé en deux jetons d'accès : un jeton d'accès administrateur complet et un jeton d'accès utilisateur standard.
Toutes les actions effectuées le sont sous le jeton utilisateur standard, si une action nécessite des droits plus élevés, l'UAC vous demande si vous voulez réellement effectuer ces modifications, vous passez alors en jeton administrateur.
le contrôle utilisateur (UAC) permet donc de protéger des modifications silencieuses de la configuration Windows, puisqu'une alerte s'affichera si un logiciel malveillant tente d'effectuer des modifications, vous pourrez alors bloquer ces modifications.
Les limites de l'UAC :
* Beaucoup d'utilisateurs se plaignent du nombre trop important d'alertes produites par l'UAC, certains utilisateurs ont donc tendance à désactiver le contrôle utilisateur (UAC), on revient alors au schéma Windows XP, voir l'article viruslist.com Vista : trop de sécurité tue la sécurité
* l'UAC ne protège pas un utilisateur qui ne connaît pas bien son système ou ne sait pas ce qu'il fait et qui a tendance à dire oui à toutes les fenêtres
* L'UAC ne protège pas du social engineering, l'UAC ne protège par exemple, pas des infections Magic.Control ou des faux codecs qui demandent l'installation d'un programme présenté comme légitime.
Pour ces deux derniers points, la protection passe par l'éducation des internautes.
Pour plus d'informations sur l'UAC, voir la page UAC : Pourquoi ne pas le désactiver
Conclusion
En général, les internautes pensent que la protection de leur PC repose sur le choix d'un bon Antivirus ou Antispyware, voire on tendance à multiplier les protections (voir Phénomène de sur-multiplication des logiciels de protection, alors que comme nous venons de le voir, le simple fait de ne pas surfer avec un compte ayant les droits administrateur permet d'augmenter de manière plus que sensible la sécurité de votre ordinateur.
Ajoutées à cela, une bonne méfiance et une bonne politique de téléchargement et votre ordinateur sera bien mieux protégé que n'importe quel antivirus qui s'avère souvent être en pratique que le dernier barrage devant les menaces.
La configuration utilisateur permet aussi de mieux séparer les documents de chaque utilisateur de l'ordinateur.
Enfin, veillez à ne donner les droits administrateurs qu'à des personnes qui ont un minimum de connaissance informatique.
Pour gérer vos utilisateurs, reportez-vous à la page du site: Gestion des utilisateurs sous Windows.
Et enfin pour sécuriser Windows : Comment Sécuriser son Windows.