Microsoft promet pour Windows 7 un contrôle des comptes d'utilisateurs (user account control ou UAC) moins envahissant sans toutefois porter préjudice à la sécurité. Il semblerait toutefois qu'il y ai encore du chemin à parcourir, puisque certes ces invites de confirmation sont désormais plus discrètes, mais elles sont aussi et surtout victimes d'une vulnérabilité les rendant inutiles.
Le panneau de configuration permet effectivement de paramétrer la manière dont se comporte l'UAC. Par défaut, ce dernier ne se manifeste plus lorsque l'utilisateur, ou un logiciel malveillant en l'occurrence, tente de modifier les paramètres de Windows, ceux de l'UAC y compris.
Un simple script Visual Basic suffirait ainsi à le désactiver, ouvrant la porte à d'autres intrusions dans le système d'exploitation. Windows n'est effectivement pas capable de différencier une action réellement effectuée par l'utilisateur d'une action automatiquement programmée. C'est d'ailleurs la raison pour laquelle l'UAC s'exécute dans un environnement dit sécurisé, bloquant théoriquement l'interaction avec d'autres applications.
Rafael Rivera, l'un des testeurs qui a découvert cette faille, a publié sur son blog un script de 14 lignes permettant de désactiver silencieusement l'User Account Control. Quelques lignes supplémentaires suffiraient à lancer un logiciel malveillant. Cette vulnérabilité serait en fait une fonctionnalité by design découlant de la manière dont le système est conçu et de la volonté de rendre l'UAC moins intrusif, à en croire les réponses des équipes de Microsoft sur les forums de la rubrique Connect, réservée aux testeurs de Windows 7. Il n'est donc pas prévu qu'il soit corrigé dans la version finale.
Trois solutions existent : paramétrer l'UAC à son niveau maximal, le rendant aussi envahissant qu'il ne l'est sous Vista, utiliser son ordinateur avec un compte utilisateur n'ayant pas les droits d'administrateur, ou encore faire attention aux logiciels qu'on se procure.
Le panneau de configuration permet effectivement de paramétrer la manière dont se comporte l'UAC. Par défaut, ce dernier ne se manifeste plus lorsque l'utilisateur, ou un logiciel malveillant en l'occurrence, tente de modifier les paramètres de Windows, ceux de l'UAC y compris.
Un simple script Visual Basic suffirait ainsi à le désactiver, ouvrant la porte à d'autres intrusions dans le système d'exploitation. Windows n'est effectivement pas capable de différencier une action réellement effectuée par l'utilisateur d'une action automatiquement programmée. C'est d'ailleurs la raison pour laquelle l'UAC s'exécute dans un environnement dit sécurisé, bloquant théoriquement l'interaction avec d'autres applications.
Rafael Rivera, l'un des testeurs qui a découvert cette faille, a publié sur son blog un script de 14 lignes permettant de désactiver silencieusement l'User Account Control. Quelques lignes supplémentaires suffiraient à lancer un logiciel malveillant. Cette vulnérabilité serait en fait une fonctionnalité by design découlant de la manière dont le système est conçu et de la volonté de rendre l'UAC moins intrusif, à en croire les réponses des équipes de Microsoft sur les forums de la rubrique Connect, réservée aux testeurs de Windows 7. Il n'est donc pas prévu qu'il soit corrigé dans la version finale.
Trois solutions existent : paramétrer l'UAC à son niveau maximal, le rendant aussi envahissant qu'il ne l'est sous Vista, utiliser son ordinateur avec un compte utilisateur n'ayant pas les droits d'administrateur, ou encore faire attention aux logiciels qu'on se procure.
-
Auteur
-
Origine
