Fonctionnalités de sécurité liées à la PKI Windows
Les services de sécurité avancés de la PKI ont longtemps été freinés par la crainte qu’un tel système soit lourd à gérer. Aujourd’hui les améliorations sur la gestion de ces services sont nombreuses, par exemple la PKI Microsoft s’interface aisément à l’Active Directory pour diffuser les certificats aux ordinateurs et utilisateurs. En outre, les solutions bâties sur les cartes à puce apportent une réponse industrielle et facilitent l’utilisation de la solution par les utilisateurs.Disponible par défaut avec Windows 2000 ou 2003 Server, les services PKI apportent de nombreuses fonctionnalités supplémentaires :
• Cryptage de fichiers avec le système EFS sous Windows XP
• Services d’authentification forte (SmartCard logon, WireLess…)
• Mise en place de réseau privé virtuel (VPN)
• Sécurisation des échanges avec IPSEC
• Messagerie sécurisée avec signature et cryptage S/MIME
• Signatures numériques (applications, macros, utilisateurs…)
Conseils pour sécuriser les portables
Il est fort probable que les portables de votre entreprise contiennent des informations sensibles que vous ne pouvez pas vous permettre de perdre. Trop souvent pourtant, les pros des technologies de l’information ne ferment la porte de l’écurie qu’après que le cheval se soit échappé. Vous devez donc prendre les mesures nécessaires pour protéger les portables et l’information qu’ils contiennent avant de la perdre. Voici les 10 étapes les plus importantes de sécurisation des portables.
Lire l'article
Les Microsoft TechDays 2008 : « c’est votre évènement »
Pour la première fois, parmi les 16 thèmes abordés, est prévu un parcours dénommé « Innovation Feuille de Route 2015 ». Il traitera uniquement de l’état de la recherche au sein de Microsoft, via le laboratoire MS Research, et abordera tous les sujets dans ce domaine à l’horizon de 5 à 10 ans. Pour concrétiser […]
Lire l'article
Quand le moindre … peut le plus
Ici, un administrateur surfant sur le Web télécharge par mégarde du code malveillant. Là, un développeur Windows écrit du code qui, pour fonctionner correctement, exige des privilèges Administrator. Ces pratiques dangereuses ont en commun de transgresser l’un des concepts les plus fondamentaux de la sécurité : le principe du moindre privilège. Il stipule qu’il faut donner à un utilisateur ou à un fragment de code, uniquement les privilèges dont il a besoin pour faire un certain travail. Rien de moins, et surtout rien de plus.Un code malveillant peut faire beaucoup plus de ravages quand il évolue dans le contexte de sécurité d’un compte hautement privilégié, et les processus hautement privilégiés, une fois compromis, ont une plus grande capacité de nuisance.
Le moindre privilège a été pendant longtemps un principe prôné et respecté dans le monde UNIX, mais Microsoft n’a commencé à le prendre au sérieux qu’avec Windows XP et Windows 2000. Le support du LUA (Least-Privileged User Account) est un thème de sécurité majeur de Microsoft Vista (précédemment Longhorn) mais, pour l’instant, XP et Win2K offrent plusieurs outils permettant d’honorer le moindre privilège.
Utilisez-les pour exécuter les processus et applications Windows à partir d’un compte LUA ou non-administrateur. Et, surtout, mettez la sécurité au premier plan.
Les fonctions de sécurité de IE 7.0
Quand vous lirez ces lignes, il est probable que Microsoft aura présenté une version bêta publique de IE (Internet Explorer) 7.0, son prochain navigateur Web. Il offre de nombreuses améliorations par rapport aux versions IE 6.x actuelles, comme une interface de navigation à onglets, une meilleure gestion des plug-ins du navigateur et une meilleure prise en charge des standards Web.Mais, cette fois, la grande nouveauté concerne la sécurité : IE 7.0 s’appuie sur la version plus sûre de IE que Microsoft a livrée avec Windows XP Service Pack 2 (SP2) l’année dernière. Voici ce qu’il faut savoir sur les fonctions de sécurité de IE 7.0.
Lire l'article
WS-SECURITY : rôle et fonctionnement
Au début des services Web, leurs fournisseurs considéraient que la sécurité serait entièrement gérée au niveau de la couche transport, au moyen de SSL/TLS (HTTPS). C’est pourquoi les standards de services Web initiaux n’abordaient pas la sécurité. Mais celle-ci a pris de l’importance dès lors que les services Web se sont multipliés. Une transaction de service Web passe souvent par de nombreuses mains, dont chacune a besoin d’accéder à certaines parties de la transaction mais pas à d’autres.En 2002, IBM, Microsoft et VeriSign ont proposé un standard de sécurité pour répondre à ces besoins. Appelé WS-Security, la spécification résultante est vaste et compliquée parce qu’elle couvre un large éventail d’aspects de sécurité des services Web. En 2004, apparaissait la version 1.1 du standard, plus dépouillée et plus puissante que le premier jet, mais encore volumineuse.
Heureusement, vous pouvez utiliser le standard dans vos applications de services Web sans le comprendre entièrement. WebSphere Application Server (WAS) 5.0 et ultérieure supportent WS-Security et se chargent virtuellement de tout l’aspect configuration. D’autres environnements de développement de services Web ont des fonctionnalités comparables. Une fois que vous aurez compris ce qu’apporte WS-Security et comment il fonctionne, vous pourrez commencer votre propre expérience.
AccessEnum
La prolifération des logiciels malveillants et la popularité des systèmes Windows Terminal Services à utilisateurs partagés, rend la sécurité Windows plus importante que jamais. Mais le modèle de sécurité Windows, avec ses DACL (discretionary ACL) souples est parfois difficile à gérer. En effet, Windows ne possède aucun outil intégré permettant de déterminer rapidement à quels fichiers, répertoires et sous-clés de registres les utilisateurs particuliers peuvent accéder.Et il n’est pas non plus facile de savoir si les utilisateurs ont des accès non autorisés à des répertoires sensibles ou à des sous-clés de registres profondément enfouies dans le système. Et c’est là qu’intervient AccessEnum de Sysinternals. Cet outil gratuit scrute un volume, un sous-répertoire ou une clé de registre spécifié pour déceler les maillons faibles potentiels dans vos paramètres de sécurité.
Lire l'article
10 étapes pour verrouiller les postes de travail
A contre-courant de l’opinion dominante, je pense que Windows est l’un des OS les plus sûrs aujourd’hui. Ses fonctions de sécurité sont du domaine du rêve pour les autres OS. Par exemple, quel autre OS vous offre les outils de management permettant de contrôler toute l’activité d’un utilisateur final ? Quel autre OS a un outil comme les stratégies de groupe, permettant d’activer et de désactiver des services sur l’ensemble des PC par quelques clics de souris ?Quel autre OS a 14 permissions de sécurité que l’on peut configurer pour chaque fichier et dossier ? Il est vrai qu’il manque à Windows une meilleure sécurité par défaut. Nous allons voir comment tirer parti du potentiel de Windows en matière de gestion de la sécurité et comment verrouiller les postes de travail. Si vous suivez mon conseil, vos ordinateurs seront parmi les postes de travail Windows les plus sûrs et les prédateurs électroniques renonceront à votre entreprise pour traquer des victimes plus vulnérables.
Lire l'article
Comprendre les éléments de sécurité reconnus, 1ere partie
Si vous n’avez pas utilisé les éléments de sécurité reconnus Windows, vous n’avez peut-être pas conscience de leur puissance et de leur complexité. Comme Microsoft en a ajouté de nouveaux à Windows Server 2003, il est bon de commencer à utiliser ce moyen pour administrer les paramètres de contrôle d’accès.Mais, avant d’entrer dans le détail de leur administration, j’aimerais passer en revue brièvement les éléments de sécurité en général et les éléments de sécurité reconnus particulièrement. La deuxième partie de cet article appronfondira l’administration de ces entités complexes.
Un élément de sécurité Windows est une entité authentifiée qui utilise les ressources (fichiers, imprimantes, etc.), les applications ou services qu’un ordinateur Windows héberge. Un élément de sécurité peut être un utilisateur, un ordinateur ou un groupe d’utilisateurs ou d’ordinateurs. Chaque élément de sécurité a un identificateur unique appelé SID.
Les éléments de sécurité reconnus sont une catégorie spéciale des éléments de sécurité. Ils représentent les entités spéciales que le sous-système de sécurité Windows prédéfinit et contrôle. Parmi quelques exemples, on retiendra Everyone, Authenticated Users, System, Self et Creator Owner.
Contrairement aux éléments de sécurité classiques, il n’est pas possible de renommer ou de supprimer les éléments de sécurité reconnus. Vous ne pouvez pas non plus créer les vôtres : ce sont les mêmes sur chaque système Windows, bien que la liste des éléments de sécurité reconnus disponibles varie légèrement selon la version de l’OS. Un élément de sécurité reconnu a également le même SID sur chaque système Windows. Par exemple, SID S-1-5- 10 représente toujours le élément de sécurité bien connu Self et SID S-1-3-0 représente toujours le principal Creator Owner.
10 outils d’évaluation de la sécurité du réseau à posséder absolument !
Les professionnels qui veulent évaluer la sécurité de leur réseau disposent de nombreux outils - littéralement, des milliers à la fois commerciaux et open-source. La difficulté est d’avoir le bon outil pour le bon travail, au bon moment, et de pouvoir lui faire confiance. Pour réduire l’éventail du choix, je décris mes dix outils gratuits favoris pour l’évaluation de la sécurité du réseau.L’évaluation de la sécurité du réseau passe par quatre phases fondamentales : reconnaissance, énumération, évaluation et exploitation. La phase de reconnaissance concerne la détection des appareils du réseau par un scanning en direct via ICMP (Internet Control Message Protocol) ou TCP. Pendant les phases d’énumération et d’évaluation, l’évaluateur de sécurité détermine si un service ou une application tourne sur un hôte particulier et analyse ses éventuelles faiblesses. Dans la phase d’exploitation, l’évaluateur utilise une ou plusieurs vulnérabilités pour obtenir un certain niveau d’accès privilégié à l’hôte et utilise cet accès pour mieux exploiter l’hôte ou pour élever le privilège sur l’hôte ou le réseau, ou le domaine.
Lire l'article
Sécuriser votre réseau sans fil
Des sociétés de toutes tailles utilisent aujourd’hui des réseaux sans fil. Dans les petites et moyennes entreprises (PME), leur faible coût et leur facilité de déploiement peuvent les rendre préférables aux réseaux câblés. Pour les grandes entreprises, les réseaux sans fil ont plusieurs usages : réunion d’employés munis de portables dans des salles, des halls d’hôtels, et même des cafétérias, connectés aux réseaux.Les mérites des réseaux sans fil induisent un fort besoin de sécurité. Des réseaux sans fil non protégés offrent aux pirates et à ceux qui veulent simplement se connecter gratuitement à Internet, un libre accès à votre intranet. Il n’est pas rare de voir des réseaux sans fil sauvages dans de grandes entreprises.
En effet, les groupes de travail ou les utilisateurs finaux ignorent parfois le règlement intérieur et installent des points d’accès (AP, Access Points) pour répondre à un besoin ponctuel. Mais, ce faisant, ils font courir un grand risque à tous Songez à cela : des adeptes du spam et du phishing particulièrement astucieux savent maintenant utiliser des réseaux sans fil non sécurisés pour envoyer des messages de courriel en masse. Ils circulent dans les zones urbaines et dans les quartiers d’affaires, à la recherche de réseaux sans fil vulnérables.
Quand ils en trouvent un, ils configurent leurs systèmes mobiles pour s’y connecter, obtenir une location DHCP avec une adresse IP valide, DNS, et une information de passerelle par défaut ; puis pour envoyer leurs messages. Si vous avez déjà utilisé un outil tel que NetStumbler ou les outils de gestion sans fil intégrés que l’on trouve sur la plupart des portables et des PDA, vous avez sûrement rencontré des réseaux sans fil non sécurisés dans votre voisinage, autour de votre bureau, voire dans votre propre entreprise.
Les propriétaires de réseaux non sécurisés courent de nombreux risques : perte de bande passante sur leur connexion Internet, infection virale, voire une responsabilité pénale ou civile si leurs réseaux sans fil non sécurisés servent à lancer des attaques contre autrui.
Voyons quelques étapes pratiques permettant de sécuriser vos réseaux sans fil, les méthodes d’automatisation du déploiement des paramètres de configuration, et les outils permettant de repérer la présence de réseaux sans fil non sécurisés et non autorisés.
Cachez bien vos secrets
Le cryptage, ou chiffrement, est une science fascinante qui mêle les mathématiques, l’intrigue et, de nos jours, l’informatique. Bien que le cryptage consiste à rendre l’information secrète, il n’y a rien de secret dans le processus de cryptage. En fait, plus un algorithme de cryptage est soumis à l’examen public, plus il est jugé sûr. Si le cryptage est exécuté correctement, la seule chose à garder secrète est la clé de cryptage.Permettez-moi donc de vous présenter cette technique et de montrer l’importante différence qui existe entre le cryptage par clé symétrique et le cryptage par clé publique/privée. Nous conclurons par une brève discussion sur les protocoles de cryptage courants en usage aujourd’hui et comment les diverses composantes Windows utilisent le cryptage.
Lire l'article
Sécuriser votre base de données avec le point de sortie Open Database File
Établir, appliquer et maintenir une politique de sécurité de la base de données, voilà qui devrait figurer tout en haut de votre liste de priorités. L’i5 offre de nombreuses fonctions de sécurité et de préservation des données. Je présente ici le point de sortie Open Database File et explique comment il permet de combler des lacunes potentielles du système de sécurité de la base de données i5.
Lire l'article
Une question d’intégrité : guide pratique des transactions sur bases de données
Le traitement transactionnel est au coeur de la plupart des applications i5. Une application est une opération logique unique qui consiste généralement à lire ou à mettre à jour une ou plusieurs tables de bases de données (plus banalement, des fichiers). Quelle que soit l’action des utilisateurs : saisir des commandes, planifier des réservations d’hôtel, ou exécuter des transactions financières, une application doit être conçue de telle sorte que toutes les transactions satisfassent au test « ACID »« ACID » :
• Atomicité (Atomicity) : Tous les effets d’une transaction réussissent ou tous échouent.
• Cohérence (Consistency) : La base de données reste dans un état cohérent vis-à-vis de ses règles d’intégrité, et cela qu’une transaction s’exécute correctement ou échoue.
• Isolation : Les effets d’une transaction sont isolés des effets des transactions effectuées au même moment par d’autres applications et utilisateurs.
• Durabilité (Durability) : Les effets d’une transaction bien « committed » persistent même en cas de défaillance du système.
Sans la puissance et la sophistication de i5/OS et de DB2, il serait pratiquement impossible de s’assurer que les applications remplissent tous les critères ACID. Heureusement, il est facile d’effectuer des transactions fiables sur le i5 quand les applications bénéficient de la journalisation et du contrôle de commitment : deux fonctions intégrées dans l’architecture i5 depuis le S/38.
Deux de ces critères, la cohérence et la durabilité, sont plutôt simples et assurés automatiquement, pour la plupart, par DB2. Pour maintenir la cohérence de la base de données, DB2 rejette les mises à jour qui violent les contraintes suivantes d’une table : clé primaire, unique, clé étrangère, ou vérification. Les développeurs d’applications n’ont que deux choses à faire :
• Définir les contraintes appropriées sur l’instruction Create Table SQL ou sur la commande CL Add Physical File Contrainst (AddPfCst).
• Ajouter le code applicatif nécessaire pour détecter et traiter les erreurs d’I/O, y compris les violations de contraintes.
La durabilité est instaurée quand une table est journalisée: c’est ce qui se passe par défaut quand on crée une table avec une instruction SQL Create Table. On peut aussi utiliser la commande CL JrnPf pour journaliser une table (ou un fichier physique non-SQL). Quand une table est journalisée, le système écrit une entrée dans un récepteur du journal et l’envoie de force en stockage auxiliaire avant que la table de base de données associée ne soit physiquement modifiée. Quand une table est ouverte sous le contrôle de commitment, le système écrit aussi les entrées du journal pour les opérations commit et rollback.
Si une table est endommagée, vous pouvez récupérer ses mises à jour en restaurant la table à l’aide de la sauvegarde la plus récente puis en appliquant les entrées du journal pour amener la table au niveau de la dernière opération de mise à jour ou de la dernière transaction « committed ». La journalisation des tables est une bonne pratique que l’on devrait appliquer systématiquement pour la plupart des tables de base de données. (Vous trouverez de la documentation sur la journalisation dans la rubrique Systems ManagementIJournal Management dans le V5R4 Information Center.) DB2 prend aussi en charge le principe de « toutes ou aucune » transactions (c’est-à-dire l’atomicité) et plusieurs niveaux d’isolation des transactions. Bien que ce soient des aspects distincts du support des transactions, sur l’i5 ils sont tous assurés par l’environnement de contrôle de commitment i5/OS. Le contrôle de commitment, à son tour, compte sur la journalisation pour garantir le principe « toutes ou aucune » tra
Partager l’information en toute sécurité
Dans l’article « Cachez bien vos secrets » (octobre 2005), je vous présentais le cryptage par clé partagée et par clé publique/privée. Je soulignais que le cryptage par clé partagée est adapté au cryptage de masse de grandes quantités de données, que le cryptage par clé publique/privée convient mieux pour échanger des informations entre des interlocuteurs, et que l’on peut combiner les deux avec bonheur.J’expliquais aussi comment on peut combiner le cryptage par clé publique/privée avec le hashing, pour créer des signatures numériques qui prouvent à la fois l’identité de l’envoyeur d’un message et le fait que les données n’ont pas été modifiées depuis leur signature. Le cryptage par clé publique/privée est un moyen souple et efficace de prouver l’identité et de partager des informations sécurisées entre des gens qui ne se connaissent peut-être pas.
Mais il y a un autre détail important : les utilisateurs doivent pouvoir obtenir les clés publiques d’autrui avec la certitude que la clé publique d’un utilisateur est vraiment la sienne et pas celle d’un imposteur. Pour instaurer cette confiance, on a besoin d’une infrastructure qui facilite la publication des clés publiques. Ca tombe bien, une telle technologie existe : c’est PKI (public key infrastructure).
Automatiser MBSA
Vous êtes un administrateur système chargé d’évaluer et de recueillir une grande variété de données de sécurité concernant les systèmes de votre réseau. Vous aimeriez bien scruter vos systèmes chaque fois qu’ils redémarrent puis présenter les résultats ainsi obtenus, sur un site Web où vous et vos collaborateurs pourriez les examiner (et, éventuellement, remédier aux vulnérabilités). Pour créer un programme de scanning automatisé du réseau, vous pouvez utiliser Microsoft Baseline Security Analyzer 1.2.1 conjointement à des exemples de scripts MBSA de Microsoft.
N’allez surtout pas compter sur le seul MBSA pour la sécurité de votre réseau : il n’est pas à la hauteur de cette responsabilité. Mais vous verrez qu’il est capable de quelques trucs étonnants et qu’il peut vous fournir des données très utiles pour sécuriser le réseau.Si vous voulez des informations plus élémentaires sur MBSA avant d’entreprendre ce projet, voyez l’encadré exclusif Web « MBSA Introduction » (www.itpro.fr Club abonnés)
Commençons par diviser notre projet en trois tâches :
1. Télécharger MBSA et l’installer sur chaque ordinateur cible manuellement ou par une méthode automatisée telle qu’un GPO (Group Policy Object) d’installation de logiciel. Télécharger des modèles de scripts MBSA.
2. Ecrire un script de démarrage qui exécute l’utilitaire ligne de commande MBSA (mbsacli. exe) à chaque redémarrage de l’ordinateur et qui sauvegarde les résultats du scanning dans un partage de réseau.
3. Exécuter une tâche planifiée quotidiennement qui utilise un modèle de script MBSA pour traiter les données sur le share du réseau et les transformer en rapports HTML visibles sur un serveur Web.
Chaque réseau étant différent, vous devrez adapter cet exemple à votre cas particulier. Ainsi, ces étapes supposent que les utilisateurs ne sont pas des administrateurs locaux et qu’ils ne peuvent donc pas exécuter les scripts sous leurs permissions utilisateur. Il en découle que la plus grande partie de l’installation et du scanning de MBSA se produit via les GPO AD (Active Directory) fonctionnant avec des privilèges élevés.
MIIS, la gestion des identités par Microsoft
De nos jours, les utilisateurs des systèmes d’information d’entreprise – comme les administrateurs – doivent jongler entre plusieurs identités (ou comptes utilisateur) afin d’accéder aux différentes ressources, que ce soient la messagerie, les partages (de fichiers ou d’imprimantes) ou encore les PGI. Du côté des administrateurs, la difficulté est de maintenir l’ensemble de ces bases utilisateurs hétérogènes à jour et de rendre les accès aussi « invisibles » que possible aux utilisateurs.
Pour répondre à cette problématique, Microsoft propose, depuis environ 4 ans, MIIS (Microsoft Identity Integration Server), serveur d’intégration des identités. Cette solution est disponible en 2 versions, dont une gratuite. Microsoft Identity Integration Server est le successeur de Microsoft MetaDirectory Services 2.xx.
Interface d’ajout d’utilisateur – USERADD
Lors de l’embauche d’une nouvelle personne dans une société, la première chose demandée au service informatique est la création d’un compte de domaine. Cette tâche bien que très simple, possède un impact important sur la sécurité. Voici comment se déroule à peu près le processus de création de compte. Une demande contenant les noms des personnes est soumise au service informatique par les ressources humaines ou bien par un chef de service.
Suivant la procédure, le compte est créé en respectant les règles de nommage (longueur du compte de connexion, format,…), de mot de passe par défaut (aléatoire la plupart du temps, longueur, complexité) et de droit en général (en utilisant les groupes de domaines). Cette partie ne pose en général pas de problème et peut être automatisée.
Gros plan sur le SCW
Le SCW (Security Configuration Wizard) est le dernier membre de la famille des outils de configuration de sécurité de Microsoft. Il est inclus dans Windows Server 2003 Service Pack 1 (SP1), dont la diffusion est prévue dans la première moitié de 2005. SCW guide les administrateurs dans leur travail de configuration, de modification, d’application, et de rappel des stratégies de sécurité sur les serveurs Windows 2003 SP1.Plus particulièrement, il durcit les serveurs chargés de rôles particuliers, comme Microsoft IIS et Microsoft Exchange Server. Voyons donc quelle est la place de SCW parmi les autres outils de configuration de sécurité de Microsoft et pourquoi vous pourriez l’adopter.
Lire l'article
Quelques conseils pour resserrer la sécurité des comptes utilisateur
Windows essuie beaucoup de critiques sur son manque de sécurité. Pourtant, en réalité, la plate-forme Windows possède tous les ingrédients d’un système d’exploitation sûr. Qu’on en juge : puissantes fonctions de gestion des utilisateurs et des groupes, mécanismes de contrôle d’accès détaillés, séparation des droits très poussée, et de robustes moyens d’authentification et de cryptage. Mais il ne suffit pas de posséder tous ces moyens : pour optimiser la sécurité système, les administrateurs et les applications doivent utiliser réellement les fonctions.L’accès utilisateur constitue l’un des problèmes les plus courants. L’authentification de l’utilisateur est à la base du mécanisme de sécurité de Windows. Ainsi, si un intrus découvre un mot de passe Administrator et se connecte en se faisant passer pour cet utilisateur, il s’appropriera l’accès administratif de la machine. De plus, si un utilisateur peut déplacer son compte dans le groupe Administrators, il pourra alors accéder à toutes les machines auxquelles le groupe a droit. Par conséquent, la sécurisation de Windows passe en grande partie par celle des comptes utilisateur. Voici les mesures à prendre pour cela.
Lire l'articleLes plus consultés sur iTPro.fr
- Quel impact d’une cyberguerre sur les organisations ?
- Menaces cyber sur le secteur énergétique européen !
- Les stratégies IA pour la survie de l’entreprise !
- Protégez l’accès non authentifié de vos réunions
- Télécommunications et durabilité : les défis d’une transition verte dans un secteur en mutation
