Windows Vista - grave faille de sécurité.

L’experte en sécurité Joanna Rutkowska récidive. Elle a encore découvert une vulnérabilité critique dans le système d’exploitation dont Microsoft vante la sécurité.
Windows Vista - grave faille de sécurité.

En juin 2006, elle avait mis en évidence une grave faille dans Windows Vista par laquelle s’engouffrait son rootkit "Blue Pill". Microsoft avait mis trois mois à trouver un palliatif réducteur, mais il s’agissait des versions "beta" de Windows Vista donc peu de gens s’en sont inquiété.

Cette fois, la vulnérabilité qu’elle annonce sur son blog porte sur la version définitive, celle qui est vendue partout dans le monde. La faille est d’autant plus grave qu’elle porte sur une fonction d’usage fréquent par les utilisateurs.

Pour limiter les risques de sécurité, les usagers de Windows Vista sont censés utiliser par défaut un "compte utilisateur" géré par le "User Account Control" (UAC) qui ne permet que le fonctionnement de logiciels avec des privilèges restreints et sert à bloquer certaines attaques comme les injections de code ou injection de threads malveillants selon un procédé baptisé "User Interface Privilege Isolation" (UIPI). Celui-ci empêche les processus d’utiliser les APIs utilisateur en mode d’intégrité élevée.

« Un trou très grave dans la conception de l’UAC »

Joanna Rutkowska a découvert que Windows Vista bascule automatiquement en "mode administrateur" lorsqu’il détecte l’exécution du fichier d’installation d’un logiciel qu’il reconnaît grâce à un système heuristique basé sur des mots comme “setup”. A l’ouverture de la fenêtre de dialogue, l’utilisateur a la possibilité de renoncer à l’exécution du programme ou d’autoriser son installation, mais dans ce cas avec tous les privilèges élevés et la possibilité d’accéder au "noyau". Il y a donc « élévation » du niveau d’intégrité - " Integrity access levels" (IL).

Joanna Rutkowska ... Je trouve gênant que Vista suppose automatiquement que tous les programmes d’installation devraient être exécutés avec des privilèges d’administrateur ... Cela signifie que si vous téléchargez un jeux de Tetris gratuit, vous devrez exécuter son installation comme administrateur, lui donnant non seulement le plein accès à tout les fichiers système et au Registre, mais également lui permettant de charger les drivers du noyau !

Quoiqu’il soit possible de neutraliser la détection heuristique dans les paramètres locaux du système, cela ne semble pas fonctionner pour les installateurs qui forcent manifestement leur exécution comme administrateur.

Je vois en cette isolation (UIPI) un trou très grave dans la conception de l’UAC.

Les logiciels qui auront de cette manière un accès au Registre et au noyau ne seront pas tous des installateurs de Tetris ou d’applications innocentes.

Le soin de répondre semble avoir été confié à Mark Russinovitch (ex-Sysinternals) passé depuis quelques mois avec ses excellents utilitaires dans le camp de Microsoft.

Mark Russinovitch ... Windows Vista a été conçu pour permettre un équilibre entre sécurité et convivialité. ... Les voies potentielles d’attaque, quel que soit leur niveau de simplicité ou leur champ d’application, ne sont en aucun cas des failles de sécurité

On était habitué à beaucoup mieux de la part de l’auteur du fameux RootkitRevealer qui est mieux placé que personne pour savoir que ce type d’ouverture facilitera l’infiltration de nombreux malwares. Si ce n’est pas une faille de sécurité, qu’est-ce donc ?

« Vista Security Model - A Big Joke ? »

A son tour, Joanna Rutkowska a répliqué dans son blog par un article ou elle porte le doute sur le sérieux de la réponse faite par Mark Russinowitch.

Joanna Rutkowska ... Je comprends que l’implantation de l“UAC“, de la “UIPI“ et des mécanismes “IL“ au sommet du Windows Vista existant soit une rude tâche. Il serait beaucoup plus facile de concevoir un nouveau système d’exploitation en totalité, à partir de zéro, ce que Microsoft ne peut pas faire pour diverses raisons. Je comprends tout cela, mais ça ne veut pas dire que les gens de Microsoft l’ont également compris et ils tournent tout ça en grosse plaisanterie.

Si Microsoft ne change pas rapidement son attitude, dans deux mois la sécurité de Vista (du point de vue des malware typiques) sera égale à la sécurité du système XP actuel (ce qui signifie, pas trop impressionnant).

Pas plus sécurisé que XP ce Windows Vista ? C’est d’autant plus grave que les logiciels de défense contre les malwares de Microsoft sont très insuffisants et que ceux que les éditeurs indépendants ont dû adapter ont en fait été fragilisés.

Combien de temps faudra-t-il à Microsoft pour réagir et fournir à ses clients une solution sécurisée ?