RECOMMANDÉ: Cliquez ici pour corriger les erreurs Windows et optimiser les performances du système
Les utilisateurs reçoivent chaque semaine de nouveaux bulletins de sécurité pour Windows 7 leur rappelant les attaques Internet, les logiciels malveillants téléchargés et bien d’autres attaques que les utilisateurs utilisent pour accéder à un ordinateur. Ce qui est rarement mentionné et non moins important, ce sont les attaques physiques auxquelles un utilisateur est exposé quand quelqu’un essaie d’attaquer son ordinateur.
Take par exemple – vous avez un ordinateur au travail et un à la maison et vous avez parfois besoin d’emporter votre travail à la maison et d’avoir des fichiers très importants stockés sur votre ordinateur à la maison, ou vous ne voulez tout simplement pas que quelqu’un accède à votre ordinateur. L’utilisateur moyen a une ligne de défense pour empêcher les gens de se connecter à votre ordinateur et de faire ce qu’ils veulent avec vos fichiers. Les utilisateurs avancés connaissent d’autres méthodes telles que la définition d’un mot de passe via le BIOS, mais la plupart des utilisateurs n’ont aucune idée que vous pouvez le faire.
Il y a deux semaines, j’ai écrit un programme qui permet à un utilisateur de remplacer le bouton Ease Of Access sur l’écran de connexion. Ceci a été conçu comme un moyen de donner plus de flexibilité aux utilisateurs, car certains utilisateurs n’utilisent pas le bouton Ease Of Access. (16)
En compilant cette application, je suis tombé sur quelque chose par hasard. Un petit changement dans le code sur mon application, et non seulement un utilisateur pourrait remplacer le bouton Ease Of Access, mais l’utilisateur pourrait l’utiliser comme un moyen d’accéder à l’ordinateur de quelqu’un à partir de l’écran de connexion. Tout ce que vous aviez à faire était de remplacer le bouton Ease Of Access par un outil Windows natif spécial !
This would possibly allow a user to bypass all user passwords and allow the user to connect a flash drive … ; and remove everything he wanted from the computer. Cela permettrait non seulement à l’utilisateur de supprimer des fichiers, mais aussi de supprimer, modifier ou déplacer n’importe quel fichier sur l’ordinateur, détruisant essentiellement le système d’exploitation, ce qui nécessiterait une réinstallation.
Ci-dessous vous trouverez des captures d’écran de mon application modifiée au travail :
Test compte utilisateur, protégé par mot de passe
Ma clé USB insérée. Indique qu’il n’y a pas de fichiers sur le lecteur
Quand je navigue dans le compte de test, trois fichiers que j’ai créés pour tester sont sélectionnés et copiés.
Copié sur la clé USB.
Connexion, avec les fichiers que j’ai copiés sur le lecteur de pouce
(2)
  ;
J’ai été en contact avec Microsoft par le biais de plusieurs courriels expliquant le problème, j’ai également fourni à Microsoft tous les détails et le code que j’utilise, et jusqu’à présent la réponse n’a pas été très positive, car l’employé à qui j’ai parlé ne semble pas penser qu’il s’agit d’un problème. J’attends toujours leur prochaine réponse pour voir quelles mesures Microsoft peut prendre pour résoudre ce problème et j’espère qu’ils prendront le problème au sérieux.
C’est la réponse des représentants de Microsoft :
Il y a quelques comportements qui font de ce problème un problème que nous ne considérerions pas comme une vulnérabilité d’après ma compréhension de votre rapport.
- Pour exécuter un exécutable autre qu’Admin, le fichier à modifier doit être modifié par un Admin. L’utilitaire modifié peut alors également représenter l’attribut Utilisateur par défaut lors de la connexion, mais le changement doit être effectué par un utilisateur administrateur.
- L’accès physique au système est nécessaire pour effectuer ce comportement. Il y a beaucoup de choses malveillantes qu’un utilisateur peut faire avec l’accès physique à un système, et bien que nous publions les meilleures pratiques pour la sécurité physique des ressources informatiques, nous ne pouvons pas nous protéger de l’accès physique dans son intégralité.
Le lien suivant a été fourni par Microsoft, indiquant que le problème était
#3 et (1)#6 sur cette liste : 10 Invariant laws of security
Ce que le représentant Microsoft n’a pas compris, c’est qu’un utilisateur n’avait pas besoin d’être un administrateur pour exécuter le code. Il peut être utilisé par toute personne ayant des connaissances suffisantes
Mon point vers Microsoft est simple. Remplacer le bouton Ease Of Access ne devrait pas être aussi facile. De meilleures mesures auraient dû être prises pour s’assurer que quelque chose d’aussi important ne peut pas être changé parce qu’il s’agit d’un élément central de l’écran de connexion. S’ils ne peuvent pas le garantir, il devrait y avoir une option pour ne pas afficher ce bouton.
Si d’autres pensent que c’est un problème sérieux, veuillez contacter security (at) microsoft (dot) com et exprimer vos préoccupations.
RECOMMANDÉ: Cliquez ici pour dépanner les erreurs Windows et optimiser les performances du système
