Guide de sécurité Windows Vista
Chapitre 3 : Protéger les données sensibles
Paru le 08 novembre 2006
Chaque année, à travers le monde, des centaines de milliers d'ordinateurs ne disposant pas de systèmes de protection appropriés sont perdus, volés ou mis hors service alors qu'ils ne le devraient pas. Une étude menée en 2006 par le Computer Crime and Security du CSI/FBI (étude sur la sécurité et la criminalité informatique) a montré que l'année précédente, les coûts liés à la perte des données avaient augmenté de 65 pour cent.
L'une des principales demandes faites à Microsoft par les consommateurs était d'introduire dans Windows Vista™ des services et des fonctionnalités technologiques efficaces pour lutter contre le vol ou l'exposition de données. Ceci est en partie dû au fait que des utilisateurs malveillants sont souvent en mesure d'exécuter un système d'exploitation différent sur un ordinateur client, de déplacer son lecteur de disque vers un autre ordinateur ou d'utiliser d'autres méthodes d'attaque hors connexion pour visualiser les données sur des ordinateurs perdus ou volés. Dans de nombreux cas, la législation récente et les réglementations gouvernementales destinées à protéger la vie privée et les informations des consommateurs ont fait de la sécurisation des données une obligation légale.
C'est pour ces raisons de sécurité que Microsoft a développé de nouvelles fonctionnalités et de nouveaux services et en a amélioré d'autres afin d'aider les organisations à mieux protéger les données présentes sur leurs ordinateurs clients. Les fonctionnalités et services traités dans ce chapitre sont conçus pour protéger les données des ordinateurs clients exécutant Windows Vista dans l'environnement Client Entreprise. La configuration de ces fonctionnalités dépend de votre environnement et de vos exigences. Ce chapitre vous indique une méthode de conception permettant de définir une configuration pour les fonctionnalités et les services suivants afin de mieux répondre à vos besoins en matière de protection des données :
| BitLocker Drive Encryption™ | |
| Système de fichiers EFS (Encrypting File System) | |
| Services RMS (Right Management Services) | |
| Contrôle de périphérique |
Vous pouvez utiliser BitLocker, EFS, RMS et le contrôle de périphérique pour protéger les données sensibles de l'entreprise. Cependant, chaque technologie/méthode a ses fonctions propres pour contribuer à la sécurisation des données. En fait, toutes ces technologies et méthodes sont des éléments complémentaires à la protection des données et Microsoft recommande vivement de les utiliser dans le cadre de la stratégie de sécurité globale d'une entreprise. Vous pouvez utiliser chacun de ces éléments séparément ou ensemble, en fonction des besoins de votre organisation en matière de sécurité. Le tableau suivant donne des exemples de fonctionnement de ces technologies et méthodes pour protéger les différents scénarios mis en œuvre dans une entreprise.
Tableau 3.1 Comparaison de technologies de protection des données dans Windows Vista
| Scénario | BitLocker | EFS | RMS | Contrôle des périphériques |
| Protection des données des ordinateurs portables |  |
|
|
|
| Protection des données du serveur de filiale | |
|
||
| Protection des dossiers et des fichiers mono-utilisateur en local | |
|
||
| Protection des données des ordinateurs de bureau | |
|
|
|
| Protection des dossiers et des fichiers des ordinateurs partagés | |
|||
| Protection des dossiers et des fichiers des ordinateurs à distance | |
|||
| Protection de l'administrateur d'un réseau non fiable | |
|||
| Application d'une stratégie documentaire à distance | |
|||
| Protection du contenu lors du transit | |
|||
| Protection du contenu au cours d'un échange entre collaborateurs | |
|||
| Protection contre le vol de données | |
Sur cette page
.gif){kind=icon} |
BitLocker Drive Encryption |
|
Système de fichiers EFS (Encrypting File System) |
|
Services RMS (Right Management Services) |
|
Contrôle de périphérique |
|
Plus d'informations |
BitLocker Drive Encryption
BitLocker Drive Encryption aide à protéger les données présentes sur un ordinateur client. Le volume de Windows dans son intégralité est crypté pour empêcher les utilisateurs non autorisés de franchir les protections du système et des fichiers ou de visualiser des informations, hors connexion, sur le lecteur protégé. Au début du processus de démarrage, BitLocker vérifie l'intégrité du système et l'intégrité matérielle de l'ordinateur client. Si BitLocker constate qu'il y a eu tentative de violation de données ou de fichiers du système, l'ordinateur client ne terminera pas le processus de démarrage.
BitLocker contribue à empêcher une personne malveillante qui lance un autre système d'exploitation ou exécute un outil d'attaque de logiciels, de contourner les protections du système et des fichiers ou de visualiser, hors connexion, des fichiers stockés sur le disque protégé.
BitLocker Drive Encryption peut verrouiller la séquence de démarrage normal jusqu'à ce que l'utilisateur fournisse un code PIN (numéro d'identification personnel) ou insère un lecteur flash USB contenant les clés de décryptage appropriées. Le taux de protection maximal est obtenu lorsque l'ordinateur possède un Module de plate-forme sécurisée (TPM 1.2) pour protéger les données utilisateur et s'assurer qu'un ordinateur client exécutant Windows Vista ne puisse pas être falsifié lorsque le système n'est pas connecté. Pour obtenir des informations sur la technologie TPM, reportez-vous aux spécifications et aux documents du site Web Trusted Computing Group (cette page peut-être en anglais). Si aucun TPM n'est disponible, BitLocker peut tout de même vous aider à protéger les données, mais aucune validation de l'intégrité du système n'est effectuée.
BitLocker est disponible dans les versions Windows Vista Enterprise et Windows Vista Ultimate du système d'exploitation pour les ordinateurs clients.
Remarque BitLocker fournit une protection pour la partition Windows et ne remplace pas EFS. BitLocker ne crypte pas les données stockées en dehors de la partition Windows mais il renforce la sécurité d'EFS en cryptant les clés EFS dans la partition Windows.
Évaluation des risques
Les ordinateurs portables sont en général exposés à des environnements qui ne sont pas sécurisés et dans lesquels le risque d'être perdus ou volés est plus élevé. Si des utilisateurs malveillants prennent le contrôle physique d'un système, ils peuvent contourner de nombreuses mesures de sécurité conçues pour protéger le système et les données. Les ordinateurs de bureau dans les environnements publics ou partagés peuvent également courir un danger non négligeable. Le principal risque que BitLocker vise à réduire est le vol de données à partir d'ordinateurs portables volés ou perdus.
Lorsqu'un utilisateur malveillant prend le contrôle physique d'un ordinateur, les conséquences peuvent être les suivantes :
| L'utilisateur malveillant peut ouvrir une session sur Windows Vista et copier des fichiers. | |||||||||
L'utilisateur malveillant peut redémarrer l'ordinateur client sous un autre système d'exploitation pour :
|
Même si les fichiers sont cryptés à l'aide d'EFS, un utilisateur négligent pourrait déplacer ou copier un fichier d'un emplacement crypté vers un emplacement non crypté, laissant les données de fichiers en clair. Des membres du service informatique non informés pourraient également ne pas prendre soin de crypter des dossiers cachés, dans lesquels se trouvent des copies de sauvegarde de fichiers en cours de traitement. Les risques de fonctionnement, tels que l'intrusion de personnel non autorisé et la modification de fichiers système et de démarrage, peuvent également empêcher le système de fonctionner normalement.
Réduction des risques
Pour réduire ces risques, l'ordinateur doit protéger la séquence de démarrage afin que le système ne puisse démarrer que s'il y est autorisé. De plus, les fichiers du système d'exploitation et de données doivent être protégés.
Considérations de réduction
BitLocker peut réduire les risques définis dans la section précédente relative à l'évaluation des risques. Cependant, avant que vous n'utilisiez BitLocker, il est important de prendre en compte les exigences suivantes et d'envisager les bonnes pratiques pour cette fonctionnalité de protection des données :
| Afin d'utiliser BitLocker dans sa configuration optimale, la carte-mère de l'ordinateur client doit fournir un processeur TPM 1.2 qui comporte l'implémentation d'un BIOS conforme au Trusted Computing Group. De plus, une clé de démarrage est éventuellement requise et constitue un facteur d'authentification supplémentaire. La clé de démarrage peut être une clé matérielle supplémentaire (lecteur flash USB avec clé lisible par la machine écrite sur le lecteur) ou une entrée de code PIN que l'utilisateur définit. Des protocoles d'ouverture de session utilisateur et de mot de passe doivent être efficaces.? | |||||
| Pour utiliser BitLocker, vous devez partitionner correctement le disque dur de l'ordinateur. Deux volumes de lecteur NTFS sont nécessaires à BitLocker : l'un pour le volume du système et l'autre pour le volume du système d'exploitation. La partition du volume du système doit être d'au moins 1,5 Go. | |||||
| Les configurations de BitLocker qui ne bénéficient pas de l'authentification de la clé externe peuvent être sujets à des attaques du matériel. | |||||
| Si vous utilisez BitLocker avec une clé USB ou un code PIN, vous devez établir des procédures pour traiter le problème des clés perdues et des codes PIN oubliés. | |||||
| BitLocker a certes un léger effet sur les performances du système, mais celui-ci est généralement imperceptible. Cependant, si la performance du système importante, par exemple sur un serveur, vous devez soigneusement tester la configuration afin de vous assurer que la charge supplémentaire occasionnée par BitLocker n'affecte pas les performances de manière significative. | |||||
| En fonction du fournisseur de l'ordinateur, les outils de gestion TPM peuvent nécessiter des étapes manuelles pour configurer l'état du périphérique TPM et un mot de passe administrateur BIOS lors du processus de construction. Ceux-ci pourraient empêcher le déploiement et la mise à niveaux des systèmes de script ou entièrement automatisés. | |||||
| Pour utiliser un périphérique TPM, il faut que des informations de paire de clés de type EK (Endorsement Key) y soient appliquées. Ces informations peuvent être fournies par le vendeur de l'ordinateur, par un Revendeur à valeur ajoutée (RVA) ou par le personnel de support technique informatique après livraison du système. La paire de clés EK (EndorsementKey) doit être stockée de façon sécurisée et faire l'objet d'un suivi lorsque l'ordinateur est utilisé. | |||||
| S'il n'y a pas de TPM, l'ordinateur doit prendre en charge les périphériques USB lorsqu'il utilise une clé de démarrage pour déverrouiller le volume lors de la séquence de démarrage. | |||||
BitLocker peut avoir un impact sur les procédures de distribution de vos logiciels si les mises à jour logicielle ou de système sont distribuées à distance et pendant la nuit et si vous redémarrez les ordinateurs sans que l'utilisateur ne soit présent. Par exemple :
|
|||||
| Les mises à jour des microprogrammes BIOS/TPM distribuées par les OEM peuvent affecter les ordinateurs compatibles avec BitLocker. Vous aurez besoin de revoir les instructions d'installation OEM afin de déterminer si les données de récupération (clés et mots de passe de récupération) seront conservées après la mise à jour et si les protections supplémentaires (codes PIN ou clés de démarrage) seront également conservées. | |||||
| Les mises à jour d'applications peuvent affecter les ordinateurs compatibles avec BitLocker. Si l'installation ou la mise à jour entraînent des modifications dans le gestionnaire de démarrage ou dans les fichiers que BitLocker mesure, le système ne pourra pas démarrer et l'ordinateur se mettra en mode récupération. Avant d'installer ou de mettre à jour des applications qui affectent l'environnement de démarrage Windows Vista, testez-les sur les ordinateurs compatibles avec BitLocker. | |||||
Tous les contrôleurs de domaine dans le domaine doivent exécuter Microsoft® Windows Server® 2003 avec le Service Pack 1 (SP1) ou version ultérieure. Remarque Windows Server 2003 nécessite que vous étendiez le schéma pour prendre en charge le stockage des informations de récupération BitLocker dans le service d'annuaire Active Directory®. |
Processus de réduction
Utilisez le processus de réduction des risques suivant pour évaluer comment configurer au mieux BitLocker et vous aider à protéger les données sensibles des ordinateurs clients que vous gérez.
Pour utiliser ce processus de réduction
|
Utilisation de la stratégie de groupe pour réduire les risques pour BitLocker
Il existe deux modèles de stratégie de groupe que Microsoft recommande d'utiliser pour gérer la configuration de BitLocker. Ces modèles vous permettent de gérer la configuration du TPM séparément du reste du BitLocker. Le tableau suivant indique les paramètres de stratégie de groupe disponibles pour BitLocker dans le modèle VolumeEncryption.admx. Vous pouvez configurer ces paramètres à l’emplacement suivant dans l’Éditeur d’objets de stratégie de groupe :
Configuration ordinateur\Modèles d'administration\Composants Windows\BitLocker Drive Encryption
Tableau 3.2 Paramètres de BitLocker Drive Encryption
| Paramètre de stratégie | Description | Valeurs par défaut de Windows Vista |
| Activer la sauvegarde BitLocker pour les services de domaine Active Directory | Active la sauvegarde des données de récupération BitLocker dans Active Directory. Ces informations de récupération comprennent le mot de passe de récupération et des données d'identification uniques. | Non configuré |
| Installation du panneau de configuration : configurer le dossier de récupération | Définit si l'Assistant Installation de BitLocker demande à l'utilisateur d'enregistrer la clé de récupération dans un dossier. Spécifie le chemin par défaut qui s'affiche lorsque l'Assistant Installation de BitLocker invite l'utilisateur à entrer l'emplacement d'un dossier dans lequel enregistrer la clé de récupération. | Non configuré |
| Installation du panneau de configuration : configurer les options de récupération | Définit si l'Assistant Installation de BitLocker demande à l'utilisateur de créer un mot de passe de récupération. Le mot de passe de récupération est une séquence à 48 chiffres générée de façon aléatoire. | Non configuré |
| Installation du panneau de configuration : Activer les options de démarrage avancées | Définit si l'Assistant Installation de BitLocker demande à l'utilisateur de créer un code PIN sur l'ordinateur. Le code PIN est une séquence de 4 à 20 chiffres que l'utilisateur tape chaque fois que l'ordinateur démarre. Vous ne pouvez pas utiliser de stratégie pour définir le nombre de chiffres. | Non configuré |
| Configurer la méthode de cryptage | Configure l’algorithme de cryptage et la taille de la clé que BitLocker utilise. Ce paramètre de stratégie s'applique à un disque entièrement décrypté. Si le disque est déjà crypté ou si le cryptage est en cours, le fait de changer la méthode de cryptage n'a aucun effet. | Non configuré |
| Configurer le profil de validation de la plate-forme du TPM | Définit la manière dont le TPM sécurise la clé de cryptage du volume de disque. Ce paramètre de stratégie ne s'applique pas si l'ordinateur ne dispose pas d'un TPM compatible et le changement de stratégie n'affecte pas non plus les copies existantes de la clé de cryptage. | Non configuré |
Le tableau précédent fournit une description simplifiée de chaque paramètre. Pour plus d'informations sur un paramètre spécifique, reportez-vous à l'onglet Explication du paramètre dans l'Éditeur d'objets de stratégie de groupe.
Le tableau suivant décrit les paramètres de stratégie de groupe disponibles pour le TPM dans le modèle TPM.admx. Vous pouvez configurer ces paramètres à l’emplacement suivant, dans l’Éditeur d’objets de stratégie de groupe :
Configuration ordinateur\Modèles d'administration\Système\Services module de plate-forme sécurisée
Tableau 3.3 Paramètres du module de plate-forme sécurisée
| Paramètre de stratégie | Description | Valeurs par défaut de Windows Vista |
| Activer la sauvegarde TPM pour les services de domaine Active Directory | Gère la sauvegarde des informations de récupération TPM dans Active Directory. Ces données de récupération comprennent une dérivation cryptographique du mot de passe du propriétaire du TPM. | Non configuré |
| Configurer la liste des commandes TPM bloquées | Gère la liste de stratégie de groupe des commandes TPM bloquées par Windows. | Non configuré |
| Ignorer la liste de commandes TPM bloquées | Gère l'application de la liste par défaut des commandes TPM bloquées de l'ordinateur. | Non configuré |
| Ignorer la liste locale de commandes TPM bloquées | Gère l'application de la liste locale des commandes TPM bloquées de l'ordinateur. | Non configuré |
Ce tableau fournit une description simplifiée pour chaque paramètre. Pour plus d'informations sur un paramètre spécifique, reportez-vous à l'onglet Explication du paramètre dans l'Éditeur d'objets de stratégie de groupe.
Vos stratégies de sécurité doivent prendre en charge de manière efficace la gestion du mot de passe et de la clé BitLocker. Ces stratégies doivent être suffisamment complètes pour sécuriser les informations, mais pas restrictives au point rendre la prise en charge de BitLocker difficile. La liste suivante comprend des exemples de stratégie :
| Exigez toujours la sauvegarde des mots de passe de récupération dans Active Directory. | |
| Exigez toujours la sauvegarde des informations du propriétaire du TPM dans Active Directory. | |
| Utilisez des clés de récupération ainsi que des mots de passe de récupération comme sauvegarde ou comme méthode de récupération alternative. | |
| Si vous utilisez un TPM et un code PIN ou des clés de démarrage USB, modifiez-les à intervalles réguliers. | |
| Sur des ordinateurs compatibles avec le TPM, utilisez un mot de passe administrateur BIOS pour en interdire l'accès. | |
| Assurez-vous que les utilisateurs ne stockent pas du matériel important comme les clés de démarrage USB avec l'ordinateur. | |
| Enregistrez les clés de récupération à un emplacement central pour pouvoir les récupérer en cas de sinistre. | |
| Sauvegardez le matériel de récupération pour sécuriser le stockage hors connexion. |
Haut de page
Système de fichiers EFS (Encrypting File System)
Vous pouvez utiliser le système de fichiers EFS pour crypter des fichiers et des dossiers pour protéger les données contre les accès non autorisés. EFS est intégré au système de fichiers NTFS et son fonctionnement est complètement transparent pour les applications. Lorsqu'un utilisateur ou un programme tente d'accéder à un fichier crypté, le système d'exploitation essaie automatiquement d'acquérir une clé de décryptage pour le contenu, puis effectue le cryptage et le décryptage en mode silencieux à la place de l'utilisateur. Les utilisateurs qui disposent de clés autorisées peuvent accéder et travailler sur des fichiers cryptés exactement comme ils le feraient pour n'importe quel autre fichier, alors que les autres utilisateurs n'y ont pas accès. Windows Vista contient un grand nombre de nouvelles fonctionnalités de sécurité, de performance et de gestion pour EFS. Ci-après de nouvelles fonctionnalités de Windows Vista pour EFS :
| Vous pouvez stocker des clés Utilisateurs sur des cartes à puce. | |
| Vous pouvez stocker des clés de récupération sur des cartes à puce, ce qui permet de sécuriser la récupération des données sans disposer d'une station de récupération dédiée, même lors des sessions Bureau à distance. | |
| Vous pouvez crypter le fichier de mise en page Windows à l'aide d'EFS avec une clé qui est générée lorsque le système démarre. Cette clé est détruite à l'extinction du système. | |
| Vous pouvez crypter le cache des fichiers hors connexion avec EFS. Dans Windows Vista, cette fonctionnalité de cryptage utilise la clé de l'utilisateur plutôt que la clé système. Ainsi, chaque fichier dans le cache de fichiers hors connexion n'est accessible qu'à l'utilisateur pour le compte duquel il a été mis en cache. | |
| Un grand nombre d'options de configuration nouvelles sont fournies dans la stratégie de groupe pour vous aider à appliquer les stratégies d'entreprise. | |
| EFS prend en charge une plus large gamme de certificats et de clés utilisateur. |
Un grand nombre de nouvelles options de stratégie de groupe a été ajouté à Windows Vista pour aider les administrateurs à définir et à implémenter des stratégies organisationnelles pour EFS. Ces options intègrent la capacité à exiger des cartes à puce pour EFS, à appliquer le cryptage des fichiers de mise en page, à stipuler les longueurs de clé minimales pour EFS et à appliquer le cryptage du dossier Documents de l'utilisateur.
Remarque Microsoft recommande l'utilisation conjointe de BitLocker et d'EFS pour maximiser la protection des données.
Évaluation des risques
Un accès non autorisé aux données peut compromettre les processus commerciaux et la rentabilité de l'entreprise. Les données risquent particulièrement d'être compromises lorsque plusieurs utilisateurs ont accès au même système où si vous utilisez des systèmes informatiques portables. EFS a pour vocation de réduire les risques liés au vol ou à la mise en danger des données dus à la perte ou au vol d'ordinateurs portables ou à l'exposition de données par un initié. Les données des ordinateurs partagés encourent également ce risque.
Lorsqu'un utilisateur malveillant prend le contrôle physique d'un ordinateur contenant des données non-cryptées, les conséquences possibles incluent les éléments suivants :
| L'utilisateur malveillant pourrait redémarrer l'ordinateur et élever ses privilèges utilisateur jusqu'au niveau Administrateur local pour accéder aux données de l'utilisateur. Un utilisateur malveillant pourrait également télécharger des outils pour monter une attaque en force et obtenir le mot de passe de l'utilisateur, de façon à pouvoir ouvrir une session en tant qu'utilisateur et accéder à ses données. | |
| L'utilisateur malveillant pourrait tenter d'ouvrir une session dans Windows Vista et de copier toutes les données accessibles à l'utilisateur vers un périphérique amovible, les envoyer par courrier électronique, les copier sur le réseau ou les transmettre via FTP vers un serveur à distance. | |
| L'utilisateur malveillant pourrait redémarrer l'ordinateur client sous un autre système d'exploitation et copier les fichiers directement à partir du disque dur. | |
| L'utilisateur malveillant pourrait connecter l'ordinateur à un autre réseau, démarrer l'ordinateur volé, puis s'y connecter à distance. | |
| Si un utilisateur met ses fichiers réseau en cache dans des fichiers hors connexion, un utilisateur malveillant peut élever les privilèges au niveau Administrateur/LocalSystem et examiner le contenu du cache des fichiers hors connexion. | |
| Un collaborateur curieux pourrait ouvrir des fichiers sensibles appartenant à d'autres utilisateurs sur un ordinateur partagé. | |
| Un utilisateur malveillant pourrait redémarrer l'ordinateur en utilisant un autre système d'exploitation, lire le contenu du fichier de mise en page et découvrir des copies en clair de documents en cours de traitement. |
Réduction des risques
Pour réduire ces risques potentiels de compromission des données, vous pouvez crypter les données lorsqu'elles sont stockées sur le disque dur. Les améliorations apportées à la technologie EFS dans Windows Vista vous aident à réduire les risques dans les cas suivants :
| Vous pouvez utiliser EFS pour empêcher un utilisateur malveillant de lire des fichiers cryptés via un autre système d'exploitation en exigeant qu'il se procure une clé capable de décrypter le contenu. Vous pouvez stocker cette clé sur une carte à puce pour renforcer la sécurité. | |
| Vous pouvez appliquer la puissance de cryptage qu'utilise EFS via la stratégie de groupe. | |
| Vous pouvez bloquer un utilisateur malveillant qui tente d'accéder aux données d'un utilisateur par le mot de passe en stockant les clés d'EFS de l'utilisateur sur une carte à puce. Vous pouvez également utiliser BitLocker et EFS conjointement pour empêcher l'utilisateur malveillant d'accéder aux hachages de mot de passe et aux informations d'identification mises en cache de l'utilisateur. | |
| Vous pouvez empêcher un utilisateur malveillant d'accéder aux données confidentielles d'un autre utilisateur en appliquant le cryptage du dossier Documents via la stratégie de groupe. Une autre alternative consiste à appliquer le cryptage d'autres emplacements ou de l'intégralité de la partition des données de l'utilisateur via un script d'ouverture de session. | |
| Vous pouvez utiliser EFS pour permettre le cryptage de données sur plusieurs lecteurs et partages réseaux. | |
| Vous pouvez utiliser EFS pour protéger le contenu du fichier de mise en page du système et du cache des fichiers hors connexion. |
Considérations de réduction
Vous pouvez utiliser EFS dans Windows Vista pour réduire les risques décrits dans la section précédente relative à l'évaluation des risques. Cependant, avant de déployer EFS, prenez en compte les éléments suivants :
| Vous devez mettre en palce des procédures testées pour pour la gestion de clés et de récupération de données. En l'absence de procédures correctement définies et sûres, les données sensibles risquent de ne plus être accessibles en cas de perte des clés. | |||||
| Dans le cadre d'une utilisation normale, la charge supplémentaire occasionnée par EFS est imperceptible. Cependant, si les performances du système sont très importantes, vous devez procéder à des tests approfondis afin de vous assurer qu'EFS n'affecte pas les performances de manière négative. | |||||
| Si vous activez EFS sur un volume, vous ne pouvez pas compresser des fichiers sur ce même volume. | |||||
| Si nécessaire, déployez et testez des scripts supplémentaires pour crypter les emplacements des fichiers sensibles. | |||||
Les utilisateurs et le personnel informatique doivent être correctement formés pour éviter des problèmes tels que :
|
|||||
| Testez soigneusement votre configuration EFS pour vous assurer que le cryptage fonctionne sur tous les emplacements de fichiers sensibles, y compris sur Documents, sur le Bureau et sur les dossiers temporaires. |
Remarque Vous ne pouvez déployer EFS que dans les versions de Windows Vista suivantes : Business, Enterprise, et Ultimate.
Processus de réduction
Utilisez le processus de réduction des risques suivant pour configurer au mieux EFS et protéger les données sensibles des ordinateurs clients que vous gérez.
Pour utiliser ce processus de réduction
| 1. |
|
Étapes de réduction des risques spécifiques à EFS
Plusieurs paramètres de sécurité qui permettent d'utiliser la stratégie de groupe afin de gérer EFS sont disponibles à cet emplacement :
Configuration ordinateur\Paramètres Windows\Paramètres de sécurité\Stratégies de clé publique\Système de fichiers EFS
Pour ajouter ou créer un agent de récupération des données (DRA), cliquez avec le bouton droit sur Système de fichiers EFS, puis cliquez sur Propriétés pour ouvrir la boîte de dialogue Propriétés du système de fichiers EFS.
.gif)
Figure 3.1 Boîte de dialogue Propriétés du système de fichiers EFS
Il existe également quatre modèles de stratégie de groupe qui comprennent des paramètres EFS répertoriés dans le tableau suivant.
Tableau 3.4 Paramètres de stratégie de groupe EFS
| Modèle et paramètre | Chemin et description | Valeurs par défaut de Windows Vista |
|
GroupPolicy.admx
Traitement de la stratégie de récupération EFS |
Configuration ordinateur\ Modèles d'administration\ Système\Stratégie de groupe Détermine à quel moment les stratégies de cryptage sont mises à jour. |
Non configuré |
|
EncryptFilesonMove.admx
Ne pas crypter automatiquement les fichiers déplacés vers des dossiers cryptés |
Configuration ordinateur\ Modèles d'administration\ Système\ Empêche l'Explorateur Windows de crypter des fichiers qui sont déplacés vers un dossier crypté. |
Non configuré |
|
OfflineFiles.admx
Crypter le cache des fichiers hors connexion |
Configuration ordinateur\ Remarque Dans Windows XP, ces fichiers sont cryptés avec la clé système alors que dans Windows Vista, ils sont cryptés avec la clé de l'utilisateur. |
Non configuré |
|
Search.admx
Permettre l'indexation des fichiers cryptés |
Configuration ordinateur\ Remarque Des problèmes relatifs à la sécurité des données peuvent survenir si les fichiers cryptés sont indexés et que l'index n'est pas protégé de façon adéquate par EFS ou par d'autres moyens. |
Non configuré |
Ce tableau fournit une description simplifiée pour chaque paramètre. Pour plus d'informations sur un paramètre spécifique, reportez-vous à l'onglet Explication du paramètre dans l'Éditeur d'objets de stratégie de groupe.
Haut de page
Services RMS (Right Management Services)
Les services RMS (Right Management Services) sont conçus pour permettre l'application d'une protection de sécurité et une stratégie d'utilisation pour le courrier électronique sensible, les documents, le contenu Web et d'autres types d'informations. RMS protège les informations en les cryptant de manière permanente afin que lorsqu'un fichier ou un message électronique est transmis via l'entreprise ou par Internet, seuls les personnes qui sont authentifiées et explicitement autorisées accéder à ces messages puissent le faire. Il existe trois composants RMS :
| Serveur RMS. Windows Vista nécessite les services RMS Microsoft Windows pour Windows Server 2003 ou version ultérieure. | |
| Client RMS. Celui-ci est inclus dans Windows Vista. | |
| Plate-forme ou application RMS. Il s'agit d'une plate-forme ou d'une application conçue pour crypter et contrôler l'utilisation des informations qu'elle gère. |
Évaluation des risques
Dans une organisation, les services RMS peuvent réduire le risque que le personnel non autorisé visualise des informations sensibles. Ces informations peuvent avoir été distribuées ou rendues accessibles à des utilisateurs non autorisés, par erreur ou par malveillance. Voici des exemples spécifiques de ce type de risque :
| Des utilisateurs non autorisés détectent le réseau, accèdent aux lecteurs flash USB et aux lecteurs de disques durs de portables ou accèdent aux stockages et aux partages de serveur qui ne sont pas suffisamment protégés. | |
| Les utilisateurs autorisés envoient des informations sensibles à des destinataires non autorisés au sein ou en dehors de l'organisation. | |
| Des utilisateurs autorisés copient ou envoient des données sensibles vers des emplacements ou des applications non autorisés ou d'un périphérique autorisé vers un périphérique non autorisé tel qu'un périphérique de stockage amovible. | |
| Des utilisateurs autorisés permettent, par accident, à des destinataires non autorisés, d'accéder à des informations sensibles via des technologies peer-to-peerl (P2P) ou de messagerie instantanée. | |
| Des utilisateurs autorisés impriment des fichiers sensibles et des utilisateurs non autorisés trouvent ces documents imprimés qui sont alors distribués, copiés, faxés ou envoyés par courrier électronique. |
Réduction des risques
Pour protéger efficacement les informations que les utilisateurs partagent et échangent quel que soit le mécanisme qu'ils utilisent, Microsoft recommande de sécuriser directement les informations via RMS afin qu'elles soient protégées de façon transparente lors de leur transmission entre hôtes, périphériques et partages.
Considérations de réduction
Vous pouvez utiliser RMS pour réduire les risques décrits dans la section précédente « Évaluation des risques ». Cependant, avant de déployer RMS, prenez en compte les éléments suivants :
| RMS requiert les services RMS Microsoft Windows pour Windows Server 2003 ou version ultérieure tels que le serveur RMS et les applications dont vous détenez les droits installées sur l'ordinateur client. | |
| Microsoft SharePoint® Server est nécessaire si vous souhaitez utiliser l'intégration RMS SharePoint (lorsque RMS protège des documents et des informations situés sur les sites SharePoint). | |
| Si vous souhaitez bénéficier de l'intégration optionnelle de cartes à puce de la solution RMS, assurez-vous que chaque ordinateur client que vous utilisez pour accéder au contenu est compatible avec les cartes à puce. | |
| Pour utiliser des applications basées sur le Web telles qu'Outlook Web Access (OWA) avec RMS, le module complémentaire de gestion des droits pour Internet Explorer est nécessaire. | |
| Le personnel informatique aura besoin d'être formé pour déployer, prendre en charge et résoudre correctement les problèmes des services RMS. |
Processus de réduction
Utilisez le processus de réduction des risques suivant pour configurer au mieux RMS et protéger les données sensibles des ordinateurs clients que vous gérez.
Pour utiliser ce processus de réduction
|
Gestion de RMS à l'aide de la stratégie de groupe
Les paramètres de stratégie de groupe pour la configuration de RMS ne font pas partie de l'installation de Windows Vista. RMS est essentiellement une solution basée sur serveur. C'est pourquoi la configuration régissant le comportement des services doit être définie sur le serveur RMS.
De plus, les applications qui reconnaissent RMS peuvent avoir des paramètres individuels qui régissent la façon dont elles gèreront le contenu protégé par RMS. Par exemple, il existe des paramètres liés à RMS pour Microsoft Office 2003 ou une version ultérieure et des applications comme Microsoft Outlook® et Microsoft Word. Pour plus d'informations sur ces paramètres, reportez-vous à la page Outils de planification de déploiement et fichiers de modèle de stratégie Office 2003 (cette page peut être en anglais).
Haut de page
Contrôle de périphérique
La possibilité qu'ont les utilisateurs d'ajouter du nouveau matériel Plug-and-Play sur leurs ordinateurs client comme des clés USB ou autres périphériques de stockage amovibles génère des problèmes de sécurité importants pour les administrateurs informatiques. Non seulement ces types de périphériques peuvent compliquer la maintenance des ordinateurs client lorsque les utilisateurs y installent du matériel qui n'est pas pris en charge, mais ils peuvent également représenter une menace pour la sécurité des données.
Un utilisateur malveillant peut éventuellement utiliser un périphérique de stockage amovible pour voler la propriété intellectuelle d'une entreprise. Un utilisateur malveillant pourrait également utiliser un périphérique de stockage amovible sur lequel seraient configurés des logiciels malveillants comprenant un script « autorun » (exécution automatique) afin d'installer des logiciels malveillants sur un ordinateur client non protégé.
Windows Vista permet aux administrateurs informatiques d'utiliser la stratégie de groupe pour gérer l'installation des périphériques non pris en charge ou non autorisés. Par exemple, vous pouvez autoriser les utilisateurs à installer des classes de périphériques complètes (comme des imprimantes), mais interdire tout type de périphérique de stockage amovible. L'administrateur peut être autorisé à passer outre ces stratégies pour installer du matériel autorisé.
Cependant, il est important de comprendre qu'un périphérique est installé pour un ordinateur et non pour des utilisateurs particuliers. Une fois qu'un utilisateur a installé un périphérique, celui-ci est en général accessible à tous les utilisateurs de l'ordinateur. Windows Vista prend désormais en charge les contrôles d'accès utilisateur en ce qui concerne l'accès en lecture et en écriture aux périphériques installés. Par exemple, vous pouvez permettre un accès total en lecture et en écriture à un périphérique installé, comme un lecteur flash USB, pour un compte utilisateur spécifique, mais ne permettre qu'un accès en lecture pour un autre compte utilisateur du même ordinateur.
Pour plus d'informations sur le contrôle des périphériques et leur configuration, reportez-vous à la page Guide pas à pas du contrôle de l'installation et de l'utilisation des périphériques avec la stratégie de groupe (cette page peut être en anglais).
Évaluation des risques
L'ajout ou la suppression de périphériques représente un risque élevé en matière de sécurité car cela peut permettre à un utilisateur malveillant d'exécuter des logiciels, de supprimer des données et d'ajouter des données indésirables. La liste suivante comprend quelques exemples :
| Un utilisateur autorisé peut copier des fichiers sensibles d'un périphérique autorisé vers un périphérique de stockage amovible non autorisé, volontairement ou non. Ceci peut inclure la copie d'un fichier d'un emplacement crypté vers un emplacement non crypté sur un périphérique amovible. | |
| Un utilisateur malveillant peut ouvrir une session sur Windows Vista et copier des données vers un périphérique de stockage amovible. | |
| Un utilisateur malveillant pourrait utiliser un périphérique de stockage amovible qui transporterait des logiciels pour utiliser un script autorun (exécution automatique) pour installer des logiciels malveillants sur un ordinateur client non protégé. | |
| Un utilisateur malveillant pourrait installer un périphérique de connexion à clé non autorisé qui pourrait être utilisé pour enregistrer les informations d'un compte utilisateur, qui, à leur tour, pourraient être utilisées pour lancer une autre attaque. |
Réduction des risques
Afin de réduire ces risques, Microsoft recommande de protéger les systèmes informatiques que vous gérez contre l'installation et l'utilisation de périphériques non autorisés. Vous pouvez utiliser les paramètres de stratégie de groupe pour contrôler l'utilisation des périphériques PnP (Plug-and-Play) comme les lecteurs flash USB et autres périphériques de stockage amovibles.
Considérations de réduction
Vous pouvez utiliser la stratégie de groupe dans Windows Vista pour réduire les risques décrits dans la section précédente « Évaluation des risques » en utilisant les paramètres d'installation de périphériques. Cependant, avant de déployer le contrôle des périphériques pour les ordinateurs clients de votre environnement, prenez en compte les considérations de réduction suivantes :
| Le fait de restreindre l'accès à des périphériques peut empêcher des utilisateurs légitimes mobiles ou partageant des fichiers, de travailler de façon efficace. | |
| Le fait de restreindre l'accès à des périphériques peut vous empêcher d'utiliser une clé USB dans le cadre du processus de cryptage de lecteur BitLocker. Par exemple, si le paramètre de stratégie Disques amovibles : Refuser l'accès en écriture est activé pour un utilisateur, même si cet utilisateur est un administrateur, le programme d'installation BitLocker ne pourra pas écrire sa clé de démarrage sur un lecteur flash USB. | |
| Certains périphériques s'identifient avec un ID « stockage amovible » et un ID « stockage en local » ; ce peut être le cas de certains lecteurs flash amorçables. Il est donc important de bien tester vos objets GPO afin de vous assurer que les périphériques appropriés sont restreints et autorisés. |
Processus de réduction
Utilisez le processus de réduction des risques suivant pour configurer au mieux le contrôle de périphérique et protéger les données sensibles sur les ordinateurs clients que vous gérez.
Pour utiliser ce processus de réduction
|
Utilisation de la stratégie de groupe pour contrôler l'installation de périphériques
Pour gérer le contrôle de l'installation de périphériques, Microsoft recommande d'utiliser le modèle de stratégie de groupe DeviceInstallation.admx. Le tableau 3.5 décrit les paramètres de stratégie de groupe disponibles dans ce modèle. Vous pouvez configurer ces paramètres à l’emplacement suivant de l’Éditeur d’objets de stratégie de groupe :
Configuration ordinateur\Modèles d'administration\Système\Installation de périphériques\Restrictions d'installation de périphériques
Tableau 3.5 Paramètres de contrôle de périphérique
| Paramètre de stratégie | Description | Valeurs par défaut de Windows Vista |
| Permettre aux administrateurs de passer outre les stratégies d'installation de périphériques | Permet aux membres du groupe Administrateurs d'installer et de mettre à jour les pilotes pour n'importe quel périphérique, quels que soient les autres paramètres de stratégie. Dans le cas contraire, les administrateurs sont soumis à toutes les stratégies qui restreignent l'installation de périphériques. | Non configuré |
| Permettre l'installation de périphériques à l'aide des pilotes qui correspondent à ces classes de périphériques. | Indique une liste de GUID de classes d'installation de périphériques décrivant les périphériques que les utilisateurs peuvent installer, sauf si les paramètres de stratégie suivants les en empêchent spécifiquement : Empêcher l'installation des périphériques correspondant à ces ID de périphériques. Empêcher l'installation des périphériques correspondant à ces classes de périphériques. Empêcher l'installation de périphériques amovibles. N'utilisez ce paramètre que lorsque le paramètre Empêcher l'installation de périphériques non décrits par d'autres paramètres de stratégie est activé. |
Non configuré |
| Empêcher l'installation de périphériques à l'aide des pilotes qui correspondent à ces classes de périphériques. | Spécifie un message personnalisé qui s'affiche pour l'utilisateur dans le titre de la bulle de notification lorsque cette stratégie empêche l'installation d'un périphérique. | Non configuré |
| Afficher un message personnalisé lorsque la stratégie empêche l'installation (titre de la bulle) | Ce paramètre spécifie un message personnalisé qui s'affiche pour l'utilisateur dans le titre de la bulle de notification lorsqu'un paramètre de stratégie empêche une installation. | Non configuré |
| Afficher un message personnalisé lorsque la stratégie empêche l'installation (texte de la bulle) | Ce paramètre indique un message personnalisé qui s'affiche pour l'utilisateur dans le texte de la bulle de notification lorsque la stratégie empêche l'installation d'un périphérique. | Non configuré |
| Permettre l'installation des périphériques correspondant à l'un de ces ID de périphériques. | Indique une liste des ID de matériels Plug-and-Play et des ID compatibles qui décrivent les périphériques qui peuvent être installés, à moins que les paramètres suivants ne les en empêchent spécifiquement : Empêcher l'installation des périphériques correspondant à ces ID de périphériques. Empêcher l'installation des périphériques correspondant à ces classes de périphériques. Empêcher l'installation de périphériques amovibles. N'utilisez ce paramètre que lorsque le paramètre Empêcher l'installation des périphériques non décrits par d'autres paramètres de stratégie est activé. |
Non configuré |
| Empêcher l'installation des périphériques correspondant à l'un de ces ID de périphériques. | Indique une liste des ID matériels Plug-and-Play et des ID compatibles correspondant aux périphériques que les utilisateurs ne peuvent pas installer. Remarque ce paramètre de stratégie est prioritaire sur n'importe quel autre paramètre de stratégie qui permet l'installation d'un périphérique. |
Non configuré |
| Empêcher l'installation de périphériques amovibles | Si vous activez ce paramètre, les utilisateurs ne peuvent pas installer de périphériques amovibles, et les périphériques amovibles existants ne peuvent pas recevoir de mises à jour des pilotes. Remarque ce paramètre de stratégie est prioritaire sur n'importe quel autre paramètre de stratégie qui permet l'installation d'un périphérique. Pour que cette stratégie s'applique, les pilotes du périphérique doivent pouvoir vérifier que le périphérique est amovible. Pour plus d'informations, reportez-vous au Guide pas à pas du contrôle de l'installation et de l'utilisation des périphériques avec la stratégie de groupe (cette page peut être en anglais). |
Non configuré |
| Empêcher l'installation de périphériques non décrits par d'autres paramètres de stratégie | Si vous activez ce paramètre, tout périphérique qui n'est pas décrit par les paramètres suivants ne peut mettre ses pilotes à jour : Permettre l'installation de périphériques correspondant à ces ID de périphériques. Permettre l'installation de périphériques correspondant à ces classes de périphériques. |
Non configuré |
Ce tableau fournit une description simplifiée de chaque paramètre. Pour plus d'informations sur un paramètre spécifique, reportez-vous à l'onglet Explication du paramètre dans l'Éditeur d'objets de stratégie de groupe.
Utilisation de la stratégie de groupe pour contrôler l'utilisation des périphériques
En plus de vous aider à contrôler l'installation des périphériques, Windows Vista vous permet de contrôler le niveau d'accès à des classes de périphériques particulières dont disposent les utilisateurs une fois ces périphériques installés. Il existe deux autres modèles décrits dans les tableaux suivants contenant des paramètres qui peuvent affecter le comportement des périphériques : RemovableStorage.admx contient le paramètre suivant pour les périphériques de stockage amovibles et est situé à l'emplacement suivant dans l'Éditeur d'objets de stratégie de groupe :
Configuration ordinateur\Modèles d'administration\Système\Accès au stockage amovible
Tableau 3.6 Paramètres du périphérique
| Paramètre de stratégie | Description | Valeurs par défaut de Windows Vista |
| Toutes les classes de périphériques de stockage amovibles : Refuser tout accès | Configure l'accès à toutes les classes de périphériques de stockage amovibles. | Non configuré |
| Tous les périphériques de stockages amovibles : Permet un accès direct lors des sessions à distance | Ce paramètre accorde un droit d'accès des comptes utilisateur standard aux périphériques de stockage amovibles lors des sessions à distance. La configuration par défaut ne permet pas cet accès aux sessions à distance. | Non configuré |
| CD-ROM et DVD : Refuser l'accès en lecture | Ce paramètre refuse l'accès en lecture à la classe de périphériques de stockage amovible CD-ROM et DVD. Le paramètre par défaut permettra l'accès en lecture. | Non configuré |
| CD-ROM et DVD : Refuser l'accès en écriture | Ce paramètre refuse l'accès en écriture à la classe de périphériques de stockage amovible CD-ROM et DVD. Le paramètre par défaut permettra l'accès en écriture à cette classe de périphérique. | Non configuré |
| Classes de périphériques personnalisés : Refuser l'accès en lecture | Ce paramètre refuse l'accès en lecture aux classes de périphériques personnalisés. Le paramètre par défaut permet l'accès en lecture. | Non configuré |
| Classes de périphériques personnalisés : Refuser l'accès en écriture | Ce paramètre refuse l'accès en écriture aux classes de périphériques personnalisés. Le paramètre par défaut permet l'accès en écriture à cette classe de périphérique. | Non configuré |
| Lecteurs de disquette : Refuser l'accès en lecture | Ce paramètre refuse l'accès en lecture aux lecteurs de disquette. Le paramètre par défaut permet l'accès en lecture. | Non configuré |
| Lecteurs de disquette : Refuser l'accès en écriture | Ce paramètre refuse l'accès en écriture aux lecteurs de disquette. Le paramètre par défaut permet l'accès en écriture à cette classe de périphérique. | Non configuré |
| Disques amovibles : Refuser l'accès en lecture | Ce paramètre refuse l'accès en lecture aux lecteurs de disque amovibles. Le paramètre par défaut permet l'accès en lecture. | Non configuré |
| Disque amovible : Refuser l'accès en écriture | Ce paramètre refuse l'accès en écriture aux lecteurs de disque amovibles. Le paramètre par défaut permet l'accès en écriture à cette classe de périphérique. | Non configuré |
| Lecteurs de bande : Refuser l'accès en lecture | Ce paramètre refuse l'accès en lecture aux lecteurs de bande. Le paramètre par défaut permet l'accès en lecture. | Non configuré |
| Lecteurs de bande : Refuser l'accès en écriture | Ce paramètre refuse l'accès en écriture aux lecteurs de bande. Le paramètre par défaut permet l'accès en écriture à cette classe de périphérique. | Non configuré |
| Périphériques WPD : Refuser l'accès en lecture | Ce paramètre refuse l'accès en lecture aux périphériques portables Windows comme les lecteurs multimédias et les téléphones portables. Le paramètre par défaut permet l'accès en lecture. | Non configuré |
| Périphériques WPD : Refuser l'accès en écriture | Ce paramètre refuse l'accès en écriture aux périphériques portables Windows comme les lecteurs multimédias et les téléphones portables. Le paramètre par défaut permet l'accès en écriture à cette classe de périphérique. | Non configuré |
Ce tableau fournit une description simplifiée pour chaque paramètre. Pour plus d'informations sur un paramètre spécifique, reportez-vous à l'onglet Explication du paramètre dans l'Éditeur d'objets de stratégie de groupe.
Utilisation de la stratégie de groupe pour contrôler la lecture automatique et l'exécution automatique
Le modèle Autoplay.admx contient les paramètres suivants qui affectent le comportement de lecture automatique et d'exécution automatique des périphériques de stockage amovibles et des supports amovibles dans Windows Vista. Vous pouvez trouver les paramètres correspondant à ce modèle à l'emplacement suivant dans l'Éditeur d'objets de stratégie de groupe :
Configuration ordinateur\Modèles d'administration\Composants Windows\Stratégies de lecture automatique
Tableau 3.7 Paramètres de stratégie de lecture automatique
| Paramètre de stratégie | Description | Valeurs par défaut de Windows Vista |
| Désactiver la lecture automatique | Vous permet de désactiver la fonctionnalité de lecture automatique pour les lecteurs de CD-ROM de DVD-ROM et les lecteurs amovibles ou tous les lecteurs. | Non configuré ‡ |
| Comportement par défaut pour l'exécution automatique | Ce paramètre configure le comportement par défaut des commandes d'exécution automatique. Par défaut, Windows Vista invite l'utilisateur à confirmer s'il souhaite que la commande d'exécution automatique s'exécute ou non. | Non configuré |
Ce tableau fournit une description simplifiée pour chaque paramètre. Pour plus d'informations sur un paramètre spécifique, reportez-vous à l'onglet Explication du paramètre dans l'Éditeur d'objets de stratégie de groupe.
Ces paramètres apparaissent également dans la configuration de l'utilisateur, à l’emplacement suivant dans l’Éditeur d’objets de stratégie de groupe :
Configuration utilisateur\Modèles d'administration\Composants Windows\Stratégies de lecture automatique
Si les paramètres de contrôle de périphérique sont en conflit, le paramètre de la configuration de l'ordinateur est prioritaire par rapport au paramètre de configuration de l'utilisateur.
Remarque certains paramètres de stratégie spécifient l'utilisation de GUID de classes d'installation de périphériques et d'autres l'utilisation de GUID de classes d'installation de périphériques Plug-and-Play. Pour plus d'informations, reportez-vous à la page sur la Procédure de sélection des pilotes (cette page peut être en anglais).
Haut de page
Plus d'informations
Pour des informations supplémentaires sur les nouvelles fonctionnalités et technologies améliorées en matière de sécurité pour vous aider à protéger les données sensibles dans Windows Vista, reportez-vous aux ressources suivantes :
|
|
|
|
|
|
|
|
|
|
Haut de page
Dans cet article
- Présentation
- Chapitre 1 : Implémentation de la ligne de base de sécurité
- Chapitre 2 : Se défendre contre les programmes malveillants
- Chapitre 3 : Protéger les données sensibles
- Chapitre 4 : Compatibilité des applications
- Chapitre 5 : Sécurité spécialisée – Fonctionnalité limitée
- Annexe A : Paramètres de stratégie de groupe de sécurité
Télécharger
Accéder au Guide de sécurité Windows Vista
Notifications de mise à jour
S'inscrire pour être averti des mises à jour et des nouvelles versions
Commentaires