Chaque semaine, les utilisateurs reçoivent de nouveaux bulletins de sécurité pour Windows 7 rappelant les attaques via Internet, les logiciels malveillants téléchargés et bien d'autres attaques utilisées par les utilisateurs pour accéder à certains ordinateurs. Ce dont on parle rarement et qui est tout aussi important, ce sont les attaques physiques auxquelles un utilisateur doit faire face lorsque quelqu'un tente d'attaquer son ordinateur.
Par exemple, vous avez un ordinateur au travail et un autre à la maison et vous devez parfois emporter votre travail chez vous et stocker des fichiers très importants sur votre ordinateur à la maison, ou vous ne voulez vraiment pas que quelqu'un accède à votre ordinateur. L'utilisateur moyen dispose d'une seule ligne de défense pour empêcher les personnes de se connecter à votre ordinateur et de faire ce qu'elles veulent pour vos fichiers, à savoir la définition d'un mot de passe d'utilisateur. Les utilisateurs plus avancés connaissent d'autres méthodes, telles que la définition d'un mot de passe via le BIOS, mais la plupart des utilisateurs ne savent pas que vous pouvez le faire.
Il y a deux semaines, j'ai écrit un programme qui permet à un utilisateur de remplacer le Bouton Facilité d'accès sur l'écran d'ouverture de session. Ceci était conçu comme un moyen de donner aux utilisateurs plus de flexibilité, certains utilisateurs n’utilisant pas le bouton Facilité d’accès.
En mettant cette application ensemble, je suis tombé sur quelque chose de purement par accident. Une petite modification du code de mon application peut non seulement remplacer le bouton Facilité d’accès, mais également l’utiliser pour accéder à l’ordinateur de quelqu'un via l’écran de connexion. Il suffisait de remplacer le bouton de facilité d'accès par «un outil Windows natif particulier“!
Cela permettrait potentiellement à un utilisateur de contourner tous les mots de passe des utilisateurs et de lui permettre de connecter un lecteur flash… et de supprimer tout ce qu'il souhaite sur l'ordinateur. Non seulement cela permettrait à l'utilisateur de supprimer des fichiers, mais un utilisateur pourrait supprimer, modifier ou déplacer n'importe quel fichier de l'ordinateur en détruisant essentiellement le système d'exploitation, auquel cas vous auriez besoin de le réinstaller.
Voici des captures d'écran de mon application modifiée au travail:
Compte utilisateur test, protégé par mot de passe.
Ma clé USB insérée. Indique qu'il n'y a aucun fichier sur le lecteur.
En parcourant le compte de test, sélectionnez et copiez trois fichiers que j'ai créés pour tester.
Copié sur la clé USB.
Connecté, montrant les fichiers que j'ai copiés sur la clé USB.
Voici la réponse des représentants de Microsoft:
There are a couple of behaviors that make this an issue that we would not consider a security vulnerability from my understanding of your report.
- To run a different executable as admin, the file to be changed has to be changed by an admin. The changed utility may then be available to even standard users at logon, but the change must be done by an admin user.
- Physical access to the system is necessary in order to carry out this behavior. There are many malicious things a user can do with physical access to a system and while we do publish best practices for physical security of computing resources, we cannot protect against physical access in it entirety.
Le lien suivant a été fourni par Microsoft, indiquant que le problème se classait (2) n ° 3 et (1) n ° 6 sur cette liste: 10 lois immuables de la sécurité.
Ce que le représentant de Microsoft n'a pas compris, c'est qu'un utilisateur n'a pas besoin d'être un administrateur pour exécuter le code. Il peut être géré par quiconque ayant suffisamment de connaissances.
Mon point à Microsoft est simple. Le remplacement du bouton de facilité d'accès ne devrait pas être aussi simple. De meilleures mesures auraient dû être prises pour s'assurer que quelque chose de ce point critique ne pourrait pas être modifié car il s'agit d'un élément essentiel de l'écran d'ouverture de session. S'ils ne peuvent pas le faire, il devrait y avoir une option pour ne pas afficher ce bouton.
Si d’autres pensent que le problème est grave comme je le crois, veuillez contacter security (at) microsoft (dot) com et exprimer vos préoccupations.
Articles Similaires:
- Microsoft Surface Diagnostic Toolkit vous aide à exécuter des diagnostics de matériel
- Récupération du mot de passe Windows: Récupérez le mot de passe Windows perdu et oublié
- Comment changer l'arrière-plan de l'interface utilisateur de connexion dans Windows 7
- Outils de test gratuits des performances des navigateurs Web
- Meilleurs gestionnaires de mots de passe gratuits pour Windows 10/8/7
