Comparaison politique de sécurité Windows-linux

[gauthierv]

Bonjour à tous,

De grâce, ne nous énervons pas à la seule lecture de l'intitulé de ce message, lisez posément, j'aimerais que tout cela ne vire pas à l'émotionnel...

Je suis un utilisateur heureux de Linux depuis bientôt 10 ans ; je n'avais pas de formation préalable en informatique avant d'aborder cela, j'ai été attiré initialement par la curiosité et la philosophie qui m'en paraissait sympathique, à une époque ou windows 3.1 devait être rebooté trois fois tous les soirs.

Ce système a complètement satisfait mes besoins et j'ai naturellement perdu pied avec ce qui se passe sous windows ; je ne veux pas jouer les faux ingénus, mais j'ignore tout des derniers développements d'XP. En fait, je l'utilise dans le cadre professionnel (de la simple bureautique) mais l'administration en est en toute logique verrouillée. Je n'ai donc jamais installé ou administré ce système. Le seul reliquat Windows à mon domicile est un PC windows 95 dont j'ai acheté le CD 1 euro sur une brocante et qui sert à faire jouer les enfants des invités.

Quand je dis que je suis un utilisateur heureux, c'est que j'écoute les conversations autour de moi et que je suis sidéré des pertes de temps monumentales qui accaparent le commun des mortels pour éradiquer virus, chevaux de Troie, ré-installer périodiquement la totalité de leur système et de leurs logiciels pour tenter de résoudre des comportments inexplicables, et j'en passe.

Par comparaison avec ce qui m'est connu, je demande à l'occasion à ces malheureux s'ils disposent des droits d'administrateur sous l'identité avec laquelle ils travaillent ordinairement. Ce qui est TOUJOURS ! le cas. Je leur explique donc que sous "mon" système, le b.a.ba d'un comportement sécurisé est de dissocier les fonctions d'administration des autres utilisations, ce qui limite en théorie la propagation des dégâts éventuels (soyons modeste).

Mais je suis surpris de n'avoir rien lu de comparable dans la presse informatique ou la littérature informatique généraliste en ce qui concerne WinXP.

Est-ce que oui ou non, à présent que WinXP est devenu un système multi-utilisateur avec un système de fichier un peu perfectionné, le fait de travailler avec une identité aux droits restreints sous windowsXP permet(trait ?) de limiter la virulence des attaques de virus ou toute autre opération malveillante ?

Merci d'avance pour tout éclaircissement.

Gauthier

[Fesch]

ReBonjour

Ton post est vraiment intéressant. Moi, je suis utilisateur Windows, mais depuis quelques années je suis en train de migrer lentement vers Linux. Affaire difficile, à voir impossible, car au boulot il me faut obligatoirement Windows :-/ et j'ai pas trop envie de perdre du temps à rebooter toutes les heures mon système sous un autre OS.

Mais bon ...

Est-ce que oui ou non, à présent que WinXP est devenu un système multi-utilisateur avec un système de fichier un peu perfectionné, le fait de travailler avec une identité aux droits restreints sous windowsXP permet(trait ?) de limiter la virulence des attaques de virus ou toute autre opération malveillante ?

Oui, cela existe bien sous Windows, mais comme tout utilisateur Windows est paresseux, il s'en passe de cela. Par contre, je ne sais pas à quel point cela protège un système Windows. Ce qui est clair en tout cas, c'est que le virus tournera alors avec les droits de l'utilisateur restreint, mais bon ...

[tomtom]

Hum,

je suis loin loin d'etre un expert en windows, et encore moins en XP.
Ce qui est sur, c'est que oui le multiutilisateur est coorect maintenant.
Oui, le file system (NTFS) permet une gestion très très fine des droits, bien plus que les simples droits Unix.

De mon experience, le gros problème vient du fait que les systèmes WIndows ne sont tout simplement pas administrés. Qui prend le temps de durcir sotn OS, qui se coltine la verification des milliers de droits sur le FS ? Personne. Et comme les droits apr défaut sont assez mauvais (ce qui semble moins le cas avec 2K3), ben ca pose quelque sproblèmes. Ceci étant, c'est la même chose sous unix.

Pour ce qui est de l'utilisation en utilisateur courant/admin, le problème vien plutot du fait qu'il est impossible de réaliser plein d'operations en simple utilisateur. N'importe quel installeur à 2 balles ecrit des clefs dans le registre, et donc nécessite des droits importants. D'ou une observation assez courante de voir les gens administrateurs de leur système en permanence.
De plus, beaucoup beaucoup de services tournent avec un comte dit "Service Local", ce qui fait que l'exploitation d'une faille dans ces services donne tous les droits sur la machine, d'ou le nombre d'exploits critiques que l'on trouve. (Quand on ne voit pas des services reseaux demarrés avec un compte admin du domaine )

t.

[gauthierv]

Re-bonjour,

Pour ce qui est de l'utilisation en utilisateur courant/admin, le problème vien plutot du fait qu'il est impossible de réaliser plein d'operations en simple utilisateur. N'importe quel installeur à 2 balles ecrit des clefs dans le registre, et donc nécessite des droits importants.
t.

Si ce n'est que cela, ça serait acceptable ; il me semble logique de devoir être administrateur le temps d'installer un programme.

Ce pour quoi je n'ai pas de réponse claire, c'est "l'héritage" des droits ; un utilisateur linux transfère ses droits au programme qu'il utilise, lequel n'a donc pas accès aux répertoires/fichiers inaccessibles.
Pour contourner cela, il faut que le programme soit installé avec le bit Suid (si je me souviens bien , je ne poste pas depuis mon PC), donc que ce programme lui-même ait été installé par un administrateur.

Sur un poste windows "out of the box", un programme quelconque installé par un utilisateur aux droits restreints ne pourrait donc pas modifier des clés de registres, des binaires ou des librairies système ?

Si c'est le cas, les ennuis de 95% des utilisateurs pourraient donc simplement être évités, et la situation devient vraiment grotesque.

[frost]

Ce pour quoi je n'ai pas de réponse claire, c'est "l'héritage" des droits ; un utilisateur linux transfère ses droits au programme qu'il utilise, lequel n'a donc pas accès aux répertoires/fichiers inaccessibles.

Tout comme dans l'administration linux, quand un utilisateur démarre un logiciel Windows avec ses droits limités (il n'est pas administrateur de son poste, ni même utilisateur avec pouvoir), il ne peut modifier ni les fichiers systémes ni les librairies dynamiques. Pour pouvoir executer un programme qui nécessite des droits plus importants il est possible de faire un runas sous msdos ou sous windows de faire un 'éxecuter en tant que...'. Je me permets de rebondir sur cela pour vous dire que par rapport à Windows 2000, Windows 2003 par défaut limite les droits & accés des utilisateurs ! (cf. "on interdit et ensuite on donne accés")

A cela il est tout aussi facile de savoir combien de fois le compte administrateur est utilisé et surtout sur quelle(s) machine(s). Bref de faire un audit vraiment détaillé !!!!

Sur un poste windows "out of the box", un programme quelconque installé par un utilisateur aux droits restreints ne pourrait donc pas modifier des clés de registres, des binaires ou des librairies système ?

Un utilisateur ayant des droits limités ne peut installer de soft, si il y arrive il doit avoir connaissance d'un compte ayant des droits équivalents ou presque à ceux de l'administrateur (cf. utilisateur avec pouvoirs !)

[popoch]

Le systeme multi-utilisateur fonctionne tres bien sous windows et on peut durcir un os sans trop trop de difficultes... Le probleme, ce n est pas l os, mais les softs.... En effet, beaucoup de soft, mal developpe necessite des droits d admins pour etre execute...

Si les softs etaient dev correctement, alors les systemes windows seraient bcp plus securises...

EDIT : en ce qui concerne les virus, je dirais oui... Les virus se lancent avec le compte utilsateur courant. Si c est compte est utilisateur et que la base de registre et le systeme de fichier est correctement configure, les degats seront reduits, ou en tout cas limite...

[Krapul]

Salut,

Pour apporté ma petite pierre à l'édifice :

Tout d'abord l'utilisateur Windows n'était pas sensibilé aux problèmes de sécurité (dont une partie vient des comptes) ça le fait donc ch** de changer compte quand il devrai installe (un clique droit 'executé en tant que' --> trop compliqué) il en comprend pas l'utilitée (Artisans...)

Lorsqu'on installe Windows XP fam : il vous demande des noms de compte (papa, maman, le grand frer, la grande soeur...) ils vont tous être administrateur de l'ordinateur...

Sur XpPro c'est quasiment pariel...

A l'inverse sous Linux avec le choix d'un niveau de sécurité élevé (Mandrake), il est impossible de se connecté avec le compte root... Il faudrai ce genre de solution sous Windows, qu'elle soit imposé en démarrage normal au moins (et qu'on puisse la désactivée)

Dans certaines entreprise dans le quel j'ai été, les postes clients n'ont pas de mot de passe pour l'administrateur... D'ailleurs ce genre de droit sont distribué pour un oui ou un non. Mais certaines applications même MS nécessite ce genre de droit.

Je ne suis pas completement sûr de ceci donc on voudra bien me corrigé si il y a une erreur :

Lors de l'installation par GPO, le système ne va pas prendre un compte d'administration, il garde celui de l'utilisateur du domaine, il faut donc que cet utilisateur soit admin de la machine... c'est pratique mais moyen au niveau sécu...

Je vais regarder en ce qui concerne UNIX (euh MAC OS)...

@+

[bad_trips]

Bonjour,

Je ne suis pas tout a fait d'accord avec se que vous dites, je m'explique certe Windows peut avoir plusieur utilisateur mais contrairement a Linux il ne peuvent pas etre connecter en même temps sur le même post de travail. Je ne suis pas un grand connaisseur que se soit en Windows ou en Linux mais j'estime que linux est multiutilisateur et que windows gere plusieur utilisateur ce qui n'est pas pareil.

En espérant ne pas avoir dit une trop grosse bétise (c'est ce que nos profs de BTS insister et faisait une grande différence qui est compréhensible) bonne journée.

[popoch]

Eh bien moi je te peux t affirmer le contraire...

Je peux tres bien ouvrir une session en tant qu utilisateur et ouvrir par la suite une invite de commande msdos en tant qu admin... C est tout a fait possible et cela s appelle "runas" :

Code: Tout sélectionner

Syntaxe de RUNAS :

RUNAS [/noprofile] [/env] [/netonly] ]
        /user:<Nom_utilisateur> programme

RUNAS [/noprofile] [/env] [/netonly] ]
        /smartcard [/user:<Nom_utilisateur>] programme

   /noprofile        spécifie que le profil de l'utilisateur ne devrait pas êtrechargé.
                     Cela permet le chargement plus rapide de l'application, mais
                     peut provoquer le dysfonctionnement de certaines applications.
   /profile          spécifie que le profil de l'utilisateur devrait être chargé.
                     Il s'agit de l'option par défaut.
   /env              pour utiliser l'environnement en cours à la place de
                   celui de l'utilisateur.
   /netonly          à utiliser si les informations d'identification spécifiées
                   sont pour l'accès
                     à distance uniquement.
   /savecred         pour utiliser les informations d'identification précédemment sauvegardées par l'utilisateur.
                     Cette option n'est pas disponible sur Windows XP Édition familiale
                     et sera ignorée.
   /smartcard        utiliser si les informations d'identification sont fourniesà partir d'une carte à puce.
   /user             <NomUtilisateur> sous la forme UTILISATEUR@DOMAINE ou DOMAINE\UTILISATEUR
   program         ligne de commande pour EXE. Voyez les exemples ci-dessous

Exemples :
> runas /noprofile /user:MonOrdinateur\administrateur cmd
> runas /profile /env /user:MonDomaine\admin "mmc %windir%\system32\dsa.msc"
> runas /env /user:utilisateur@domaine.microsoft.com "notepad \"fichier.txt\""

Remarque : n'entrez le mot de passe utilisateur que lorsqu'il
vous est demandé.
Remarque : utilisateur@domaine n'est pas compatible avec /netonly.
REMARQUE : /profile n'est pas compatible avec /netonly.


[tomtom]

C'est faux, RDP permet de se connecter à plusieurs sur une workstation (et encore on ne parle pas des serveurs citrix dédiés à ça).

t.

[bad_trips]

Oui ca je sais mais toi tu es un seule utilisateur derriere 1 ecran 1souris et un clavier, je parle de multi-utilisateur avec 1tour mais le reste en double ou plus ce que windows gère très difficilement.
De plus tu ne peut pas faire les deux en même temps tu est un temps admin un autre temps utilisateur.

[Squastana]

C'est faux, RDP permet de se connecter à plusieurs sur une workstation (et encore on ne parle pas des serveurs citrix dédiés à ça).

t.

En fait, ce n'est pas tout à fait exact :

Windows XP Professionel permet à un utilisateur distant de se connecter à distance, mais dans ce cas, l'utilisateur local sera déloggué. Une évolution à 2 utilisateurs était à l'origine prévue dans le Service Pack 2 pour le support des écran Smartdisplay mais cela ne s'est pas fait.

Windows 2000 Server supporte en mode administration 2 utilisateurs (admin) simultanés en TS.
Windows 2000 Server supporte en mode administration 3 utilisateurs (admin) simultanés en TS, le troisième utilisant le switch /console


Maintenant pour en revenir à l'utilisation de comptes utilisateurs Windows qui n'auraient pas de privilèges administrateurs (ce qui est vraiment la bonne façon de faire pour limiter les risques), je vous encourage à regarder la présentation suivante :

Principe du moindre privilège en action
http://download.microsoft.com/download/ ... action.ppt