La rédaction, 01net., le 17/11/2003 à 07h00
Cyril Voisin, chef de programme Sécurité chez Microsoft
Infection et intrusion sont aujourd'hui des menaces qui frappent à la porte de tous les ordinateurs. Et en premier lieu des machines équipées des systèmes d'exploitation de Microsoft, cibles privilégiées des pirates. L'éditeur se retrouve donc en première ligne à chaque nouvelle arrivée de virus ou de cheval de Troie. Depuis 2002, Microsoft a donc lancé son initiative « Trustworthy computing » (« l'informatique qui donne confiance »), sans résultats flagrants pour l'instant.
Médaillé d'or de l'Ensam (Ecole nationale supérieure des arts et métiers), Cyril Voisin a débuté sa carrière chez Microsoft en faisant de l'avant-vente technique téléphonique. Il s'est occupé ensuite de l'accompagnement des partenaires de Microsoft sur le plan du support technique, avant de devenir chef de programme Sécurité au sein de la direction Technologie et Sécurité de Microsoft France.
Bonsoir à toutes et à tous, nous avons le plaisir d'accueillir Cyril Voisin !
Bonsoir à toutes et à tous.
pierredh : Bonjour Cyril. En quoi consiste le programme sécurité de Microsoft ?
En quelques mots, il s'agit d'aider les utilisateurs des technologies Microsoft à se sécuriser et à rester sécurisés. Cela comprend des outils et des documentations.
The Taulier : Pourquoi Windows ne possède-t-il pas son propre antivirus intégré ? Cela ne permettrait-il pas d'éviter des bugs parfois irréversibles ?
Aujourd'hui, l'offre d'antivirus par des éditeurs est riche et permet de trouver un logiciel antivirus contribuant à la protection. Microsoft a récemment fait l'acquisition de technologies antivirus afin de pouvoir améliorer Windows (la capacité pour un antivirus à bien fonctionner). Quoi qu'il en soit, un antivirus est seulement un élément dans le dispositif de protection. Il faut aussi se protéger des vulnérabilités et des attaques réseau. Un antivirus seul est insuffisant.
Zebiwe : Microsoft n'incite-t-elle pas, de par sa politique et son (quasi) monopole, le piratage des ordinateurs équipés de Windows ? Et sinon, comment se fait-il que les ordinateurs Unix soient moins touchés. Sont-ils mieux protégés ?
Le fait que les machines Windows soient plus visées est lié à la part de marché de Windows. Les systèmes Unix ont une longue tradition de sécurité liée à leur philosophie et au fait que ce sont des systèmes qui s'adressent essentiellement à des ingénieurs. Toutefois, si on regarde le nombre de vulnérabilités dans les systèmes d'exploitation, on constate que Windows en a moins (par ex : 35 pour toutes les versions de Windows sur les 10 premiers mois de 2003 et 179 pour Linux Debian). On peut, aujourd'hui, sécuriser un Windows pour résister aux attaques.
megahard ;0) : Quel firewall conseillez-vous pour Windows ?
Vous êtes totalement libre de votre choix. Si vous utilisez Windows XP, alors vous pouvez utiliser celui qui est intégré. Si vous le voulez, vous pouvez demander l'avis de la communauté des utilisateurs Microsoft sur le newsgroup sécurité news://news.microsoft.com/microsoft.public.fr.securite. Des pare-feu personnels plus élaborés que celui de Windows XP existent comme Kerio, Zone Alarm. Ils sont aussi plus compliqués à utiliser.
power : Comment sera sécurisé Windows LongHorn ? Y aura-t-il des améliorations ?
Oui, comme toujours. L'effort va continuer à porter sur l'amélioration du code source afin de faire tendre le nombre de vulnérabilités vers zéro. Ceci concerne donc le fait d'être moins attaquable. Il y aura aussi des améliorations dans les fonctionnalités de sécurité, dont certaines ont été annoncées lors de la PDC (conférence des développeurs sur plate-forme Microsoft, fin de mois dernier). Par exemple, le pare-feu saura donner accès à un utilisateur particulier venant d'Internet et n'ouvrir le trafic réseau associé que pour cet utilisateur authentifié. Ce qui facilitera le peer to peer sécurisé.
Thirrouard : Ne pensez-vous pas que les problèmes de sécurité de Windows viennent du fait que Linux embarque un pare-feu dans son noyau ?
Dans Windows XP, il y a un pare-feu personnel intégré. Celui-ci sera activé par défaut dès le Service Pack 2 qui arrivera durant le premier semestre 2004.
denis : Quels sont les meilleurs sites pour s'informer de la sécurité de son PC ? Protection, prévention, réparation. Lesquels consultez-vous ??? Merci.
Il y en a beaucoup qui sont excellents. Pour suive les vulnérabilités, il y a bugtraq, secuser.com... et d'autre. La plupart sont en anglais. Le site microsoft.com/france/securite ou microsoft.com/security relaie les infos concernant Microsoft.
Ghorg : Que pensez-vous de l'initiative TCPA / Palladium qui débute aux Etats-Unis ?
Palladium est le nom de code d'un projet interne à Microsoft portant sur la réalisation d'une plate-forme sécurisée de nouvelle génération (son nouveau nom est NGSCB). Le nom de code venait du nom de la statue qui, dans la mythologie grecque, apportait protection, intégrité et sécurité à la ville qui la possédait. NGSCB est un effort pour proposer aux utilisateurs en entreprise qui en ont besoin une intégrité de leur PC qui leur garantit que certaines applications tourneront de manière sécurisée, à l'abri des virus, du système d'exploitation et des autres logiciels. Cela consiste à la création d'un environnement d'exécution parallèle au système classique. Tout ce qui tourne aujourd'hui tournera encore sur des systèmes NGSCB. Plus d'infos sur www.ossir.org.
freddy : Pouvez-vous nous résumer rapidement votre parcours professionnel ? Histoire de mieux vous connaître... et quel est votre rôle exact chez Microsoft ?
Je me suis intéressé à la sécurité et au respect de la vie privée assez tôt lorsque j'ai écrit des applications de gestion de données médicales. Mon rôle est de coordonner les actions de Microsoft sur la sécurité en France, de faire connaître nos initiatives et de remonter vos retours auprès de nos équipes de développement.
|asakura| : Il paraîtrait que Palladium violerait certaines lois sur la confidentialité. N'avez-vous pas peur que la sécurité abusive détruise après tout la liberté ??
C'est une excellente question. D'une manière générale, le respect absolu de la vie privée passe par l'anonymat total. Or, ce même anonymat est incompatible avec la sécurité. Exemple : quand vous faites un virement bancaire, c'est bien qu'on sache que c'est vous qui le faites (pour des questions de traçabilité et d'éventuelles réclamations). NGSCB (ex. Palladium) ne définit pas la politique de sécurité. C'est le propriétaire de la machine qui fixe la position du curseur entre sécurité et respect de la vie privée. Quoi qu'il en soit, de part ses technologies de chiffrement avancées, NGSCB permet un niveau de vie privé jamais égalé.
Java51 : A force de trop vouloir sécuriser - je pense notamment au projet Windows LongHorn, Palladium, etc. -, n'avez-vous pas peur de faire fuir les clients, puisqu'ils n'auront plus le contrôle de ses fichiers et logiciels ?
Avec NGSCB, le propriétaire de la machine a le contrôle sur ses données et sur les logiciels qui fonctionnent. C'est un des principes fondateurs de NGSCB. C'est une technologie optionnelle (et désactivée par défaut) et qui s'adresse uniquement à ceux qui en ont besoin afin de réaliser des opérations qui, aujourd'hui, en l'état actuel des choses, seraient trop risquées.
Thirrouard : Pourra-t-on désactiver NGSCB ?
Oui. Il sera même désactivé par défaut. Chaque fonction est ensuite gérable individuellement par le propriétaire de la machine. NGSCB est prévu pour être proposé en version 1 aux entreprises en 2005-2006.
Master : Doit-on s'inquiéter de nouvelles attaques virales ?
C'est probable. Il y a aujourd'hui environ 60 000 virus recensés et il en sort chaque jour. Il est pourtant possible de se protéger en suivant trois étapes simples et préventives : utiliser un pare-feu, installer les mises à jour de sécurité, utiliser un antivirus à jour. Pour Windows XP, cela signifie activer le pare-feu intégré, régler le composant de Mise à jour automatique et utiliser un antivirus. Pour plus d'infos, je vous encourage vivement à visiter www.microsoft.com/france/protection.
manu : Quid de l'interaction entre NGSCB et les différents logiciels tels que Explorer ou WMP ?
Dans Windows LongHorn, NGSCB ne sera pas requis.
reponse: J'ai vu une démo permettant à l'aide d'un programme téléchargé à l'insu de l'utilisateur d'écouter ce que l'utilisateur tape sur son navigateur Internet bien que l'utilisateur utilise le protocole https et un antivirus ! Quelles sont les solutions simples pour aller consulter son compte bancaire en toute discrétion ?
Le logiciel en question est un logiciel espion (keylogger), probablement introduit via un autre programme appelé Cheval de Troie. Pour éviter cela, il faut appliquer les trois étapes : pare-feu, mises à jour de sécurité et antivirus. Ensuite, vous pouvez, de temps en temps, passer un logiciel anti-espions comme SpyBot ou Ad-Aware. Pour atteindre un niveau de sécurité supérieur, il faut des innovations dans le matériel du type de celles introduites par NGSCB.
LinuxUser : Que pensez-vous des déboires de SCO, des menaces allant à l'encontre des entreprises ? Est-ce bon pour vous et le développement de Windows sur le domaine des serveurs ? Quel est, actuellement, votre objectif dans ce domaine et pensez-vous que vous pouvez affirmer que la sécurité des produits Microsoft orientés serveur pourra être un élément pour faire face aux systèmes alternatifs ?
Sur les aspects juridiques, je ne suis pas compétent pour vous répondre. Pour ce qui est de faire de la sécurité un avantage compétitif, la réponse est oui. J'ajoute qu'il faut non seulement pouvoir atteindre un niveau de sécurité mais il faut aussi pouvoir le maintenir dans le temps, et ce de manière simple.
ILP : Est-ce que, avec LongHorn, il sera plus facile de savoir quels sont les programmes résidents et les services lancés au démarrage ?
Je ne sais pas. Dans Windows XP, vous pouvez utiliser msconfig.exe pour avoir une liste de ce qui va être lancé au démarrage.
sango : Question de novice, mais comment mettre tous les atouts de son côté pour protéger son PC en utilisation familiale ?
Les trois étapes !! L'antivirus sert à détecter les fichiers contenant des virus connus (que vous avez sur un CD, une disquette...). L'application des mises à jour de sécurité (ou correctifs) permet d'éviter que votre machine demeure vulnérable et qu'une personne puisse exploiter un défaut sur votre machine pour y faire ce qu'elle veut. Enfin, le pare-feu bloque tout trafic réseau non sollicité qui viendrait d'Internet (ou d'un réseau sans fil wi-fi) afin de vous protéger des attaques de vers futurs.
mirtouf : La sécurité d'un ordinateur passe, bien sûr, par sa bonne protection, mais quid de l'information des utilisateurs à propos de règles simples : comme ne jamais accepter de mails en html, ne jamais exécuter un fichier dont on n'est pas sûr de la source, travailler avec un utilisateur disposant de droits restreints...
Tout à fait. La sécurité ne s'obtient pas qu'en utilisant des technologies. Le comportement de l'utilisateur et le respect de certaines procédures comptent tout autant. Ces règles sont évoquées sur le site www.microsoft.com/france/securite. En outre, nous avons lancé une campagne d'information "Protégez votre PC" qui reprend les trois étapes et incitera, nous l'espérons, les utilisateurs à s'informer mieux sur le sujet. Nous allons également introduire de nouvelles fonctions dans le Service Pack 2 de Windows XP, en particulier sur la protection du navigateur, de la messagerie (e-mail ou messenger), le pare-feu et la protection de la mémoire.
JerryCrazy : Il doit quand même y avoir une raison pour que les gens cherchent à pirater ou envoyer des virus à tout le monde, qu'en pensez-vous ? Croyez-vous que les gens le font pour leur amusement ?
C'est une question pour un psychologue
Le stéréotype de l'auteur de virus est un garçon de 19-25 ans, célibataire, qui n'a pas de rendez-vous avec les filles. Mais une étude de la BBC dit que ce n'est pas le profil exact. Plus sérieusement, il y a la volonté de prouver à ses pairs qu'on arrive à faire quelque chose de techniquement intéressant ou de très couvert médiatiquement. Il y a aussi parfois la volonté de nuire à des pays, des communautés, des entreprises. Quoi qu'il en soit, il faut arrêter de penser que les auteurs de virus sont des petits génies. La plupart ne font que des actes de vandalisme.
nico3522 : Comment faire au cas où on reçoit une centaine de virus par jour (c'est mon cas) ?
Le virus Swen et ses dérivés repèrent des adresses de messagerie électronique et y envoient des messages infectés par le virus. La solution consiste à filtrer au niveau du serveur de messagerie les messages comportant le virus et à les détruire. Si vous posez cette question dans le newsgroup sécurité que j'ai évoqué tout à l'heure, la solution vous sera proposée explicitement. La recommandation pour celles et ceux qui ne sont pas encore touchés est de ne pas utiliser une adresse e-mail valide en allant dans les newsgrousp.
manu : Le lot de logiciels « imposés » dans XP apporterait, selon certains, des failles parfois inutiles, ou du moins des ports sur la machine qui les utilise ; à quand des programmes tiers "désinstallables" ?
Pour se protéger au niveau des ports, l'utilisation du pare-feu est recommandée. Quoi qu'il en soit, vous avez raison de souligner que moins on fait tourner de choses moins on a de chance d'avoir à gérer des problèmes. C'est ce que nous appelons la surface d'attaque. La réduction de la surface d'attaque est une de nos préoccupations. Elle commencera avec le SP2 de Windows XP et se poursuivra dans LongHorn.
JLM : Pour l'instant, les méthodes de protection sont plutôt de type « curative » ou « défensive », il n'existe pas de méthodes « proactives » ?
Oui, il en existe. La première, c'est d'éliminer les vulnérabilités du code source (ce que nous faisons; il y a des améliorations mais celles-ci sont encore insuffisantes et nous poursuivons nos efforts). Nous avons également un programme de recherche sur le « blocage comportemental » (behavio blocking). Il s'agit d'essayer de repérer des comportements anormaux de vos programmes afin de les bloquer. Par exemple, si votre traitement de texte se connecte d'un seul coup à votre banque sans que vous n'ayez rien fait, c'est probablement un cheval de Troie. Il reste encore beaucoup de perspectives dans ce domaine.
asakura : Le principe de LongHorn n'est pas à l'origine de sécuriser le Net et, par conséquent, de le filtrer ??? N'est-ce pas là une atteinte à la liberté personnelle ?
Ce n'est pas le principe de LongHorn. LongHorn est un système d'exploitation Windows.
Merci beaucoup Cyril Voisin, le mot de la fin ?
Merci à toutes et à tous. N'oubliez pas de visiter le site www.microsoft.com/france/protection pour les étapes de protection à mettre en oeuvre. Je vous invite également à venir poser vos questions sur le newsgroup sécurité de Microsoft cité plus haut. Bonne fin de semaine. Ciao
