Présentation technique de la sécurité de Windows Server 2003
Sur cette page
.gif){kind=icon}
Présentation technique de la sécurité de Windows Server 2003
Synthèse
Introduction
Avantages
Authentification
Types d’authentification
Sécurité des services IIS (Internet Information Services)
Ouverture de session interactive
Authentification réseau
Signature unique
Authentification à deux facteurs
Cartes à puce
Ouverture d’une session sur un domaine à l’aide d’une carte à puce
Contrôle d’accès reposant sur l’utilisation d’objets
Principes du contrôle d'accès
Autorisations
Propriétaire d’un objet
Héritage des autorisations
Autorisations effectives
Droits d’utilisateur
Audit d'objets
Stratégie de sécurité
Gestionnaire de configuration de la sécurité
Configuration et analyse de la sécurité
Analyse de la sécurité
Configuration de la sécurité
Audit
Établissement d’une stratégie
Événements courants à auditer
Implémentation d’une stratégie d’audit
Active Directory et sécurité
Protection des données
Système de fichiers EFS (Encrypting File System)
Cryptage et décryptage
Caractéristiques du système de fichiers EFS
Cryptage des données transitant par un réseau TCP/IP
Cryptage et décryptage des données à l’aide du système de fichiers EFS
Sauvegarde et récupération de données cryptées
Signatures numériques
CAPICOM
Protection des données réseau
Sécurité du protocole Internet
Routage et accès distant
Service d’authentification Internet (IAS, Internet Authentication Service)
Infrastructure de clés publiques (PKI, Public Key Infrastructure)
Opportunités d’accès non autorisé
Questions critiques
Qu'est-ce qu'une infrastructure de clés publiques (PKI) ?
Raisons justifiant le déploiement d'une infrastructure de clés publiques (PKI)
Implémentation d’une infrastructure de clés publiques (PKI)
Certificats
Services de certificats
Modèles de certificat
Inscription automatique des certificats
Pages d’inscription Web
Prise en charge des cartes à puce
Stratégies de clé publique
Approbations
Direction des approbations
Types d’approbations
Approbation unidirectionnelle
Approbation bidirectionnelle
Relations d’approbation
Avantages des approbations de forêt
Relations des approbations de forêt
Résumé
Présentation technique de la sécurité de Windows Server 2003
>
Synthèse
>
Les entreprises ont développé le modèle traditionnel du réseau local (LAN) en y associant des intranets, des extranets et des sites Internet. C’est pourquoi, il est plus important que jamais de renforcer la sécurité des systèmes informatiques. Microsoft® Windows® Server 2003 propose de nombreuses fonctions qui s’associent pour former une plate-forme commerciale plus sécurisée.
Cet article traite des outils et des procédures qui renforcent la sécurité au sein des entreprises déployant Windows Server, notamment en matière d’authentification, de contrôle d’accès, de stratégie de sécurité, d’audit, de Active Directory®, de protection des données, de protection des données sur le réseau, d’infrastructure à clés publiques (PKI) et d'approbations.
Introduction
>
L’informatique digne de confiance
Les virus sont une réalité. C’est pourquoi, assurer la sécurité des logiciels est un problème continu. Pour y faire face, Microsoft a mis au point un programme essentiel pour tous ses produits, appelé "L’informatique digne de confiance". L’informatique digne de confiance est une méthodologie permettant de développer des périphériques dépendant d’ordinateurs et de logiciels aussi sécurisés et fiables que les appareils domestiques que vous utilisez au quotidien à la maison. S’il n’existe pas de plate-forme informatique entièrement digne de confiance à ce jour, le remaniement de base qu’a subi Windows Server a toutefois permis de réaliser un pas de géant vers la concrétisation de cette vision.
CLR (Common Language Runtime)
Le moteur logiciel CLR (Common Language Runtime) est un élément clé de Windows Server qui améliore la fiabilité des environnements informatiques et contribue à en garantir la sécurité. Il réduit le nombre de bogues et de failles de sécurité causés par des erreurs de programmation courantes et, par conséquent, le nombre de vulnérabilités que les pirates peuvent exploiter.
CLR vérifie que les applications sont capables de s’exécuter sans erreur et contrôle que les autorisations de sécurité sont correctes, afin de garantir que le code n’effectue que des opérations appropriées. Pour ce faire, il vérifie divers points, notamment l’emplacement depuis lequel le code a été téléchargé ou installé, l’existence d’une signature numérique issue par un développeur approuvé et l’application éventuelle de modifications au code depuis la signature numérique.
Code sécurisé
Dans le cadre de ses efforts visant à promouvoir un environnement informatique fiable et sécurisé, Microsoft a passé en revue toutes les lignes de code formant les produits de la famille Windows Server en vue d’identifier les failles et les faiblesses potentielles exploitables.
Avantages
>
Windows Server fournit une plate-forme professionnelle qui est à la fois plus sûre et plus économique.
Avantage |
Description |
|---|---|
| Réduction des coûts | La réduction des coûts provient de la simplification des procédures de gestion de la sécurité, notamment des listes de contrôle d’accès, du gestionnaire d’informations d’identification et de l’infrastructure de clés publiques. |
| Implémentation de normes ouvertes | Le protocole IEEE 802.1X facilite la protection des réseaux locaux sans fil contre les intrusions au sein de votre environnement d'entreprise.
Pour plus d'informations sur les normes prises en charge, voir les normes RFC 2459, 3280, 2797, 2527, ainsi que les normes de cryptographie de clés publiques (PKC) 1, 5, 8, 10, 12. |
| Protection des ordinateurs portables et d’autres nouveaux périphériques | Les fonctions de sécurité, comme le système de fichiers EFS (Encrypting File System), les services de certificats et l’inscription de carte à puce automatique, facilitent la sécurisation de toute une gamme de périphériques. Le système de fichiers EFS est la technologie centrale qui sert à crypter et décrypter les fichiers stockés sur des volumes NTFS. Seul l’utilisateur cryptant un fichier protégé peut ouvrir le fichier et l’utiliser. Les services de certificats font partie du système d’exploitation central. Ils permettent à une entreprise de jouer le rôle de sa propre autorité de certification pour émettre et gérer des certificats numériques. Les fonctions d'inscription de certificats automatique et d'autorité d'auto-enregistrement fournissent une sécurité améliorée pour les utilisateurs en entreprise en ajoutant une couche d'authentification supplémentaire et ce, parallèlement aux processus de sécurité simplifiés, pour les organisations soucieuses de la sécurité. |
Le renforcement de la sécurité obtenu en déployant la famille Windows Server provient des fonctions traitées dans les sections suivantes.
Authentification
>
L’authentification est le processus qui consiste à vérifier l’identité d’une entité ou d’un objet. Il s’agit par exemple de confirmer l’origine et l’intégrité des informations, notamment de vérifier une signature numérique ou encore l’identité d’un utilisateur ou d’un ordinateur.
L’authentification est un aspect fondamental de la sécurité système. Elle vérifie l’identité de tout utilisateur tentant de se connecter à un domaine ou d’accéder aux ressources du réseau. L’authentification de la famille Windows Server permet d’effectuer une signature unique pour accéder à toutes les ressources du réseau. Grâce à ce processus, un utilisateur n’a besoin de se connecter au domaine qu’une seule fois, en utilisant un mot de passe unique ou une carte à puce, pour s’authentifier sur n’importe quel ordinateur du domaine.
Types d’authentification
>
Pour tenter d’authentifier un utilisateur, vous pouvez utiliser différents types d’authentification standard, selon divers facteurs. Les types d’authentification pris en charge par la famille Windows Server sont les suivants :
Protocoles d’authentification |
Description |
|---|---|
| Authentification Kerberos V5 | Protocole faisant appel à un mot de passe ou une carte à puce pour une ouverture de session interactive. Il s’agit également de la méthode d’authentification réseau par défaut pour les services. |
| Authentification SSL/TLS (Secure Sockets Layer/Transport Layer Security) | Protocole utilisé lorsqu’un utilisateur tente d’accéder à un serveur Web sécurisé. |
| Authentification NTLM | Protocole utilisé lorsqu’un client ou un serveur utilise une version antérieure de Windows. |
| Authentification Digest | L’authentification Digest transmet les informations d’identification via le réseau sous forme de hachage MD5 ou de message résumé. |
| Authentification Passport | L’authentification Passport est un service d’authentification des utilisateurs qui offre un service de signature unique. |
Sécurité des services IIS (Internet Information Services)
>
Lorsque vous utilisez les services IIS (Internet Information Services), la sécurité dépend beaucoup de l’authentification.
IIS 6.0 est un serveur Web complet qui forme une base solide pour Microsoft .NET Framework et les applications et services Web existants. Il a été optimisé pour pouvoir exécuter des applications et des services Web dans un environnement d’hébergement. Il comprend désormais de nombreuses nouvelles fonctions visant à en renforcer la sécurité, la fiabilité, la gérabilité et les performances.
Les services IIS vous permettent d’isoler une application Web particulière ou plusieurs sites au sein d’un processus de services Web autonome qui communique directement avec le noyau. Ces processus de services Web autonomes empêchent une application ou un site de perturber les services Web ou les autres applications Web sur le serveur. Les services IIS fournissent également des fonctions d’analyse d’état capables de détecter des défaillances au niveau des applications Web, de les résoudre et de les prévenir.
Comme il est important de prendre la sécurité en compte pour un serveur Web, vous pouvez utiliser IIS pour protéger votre serveur Web des attaques menées par des pirates informatiques. Les services IIS offrent une plate-forme solide qui contient l’ensemble des outils et fonctions nécessaires pour gérer un serveur sécurisé en toute simplicité.
Ouverture de session interactive
Une ouverture de session interactive permet de confirmer l’identité d’un utilisateur à l’ordinateur local de l’utilisateur ou à son compte Active Directory.
Authentification réseau
L’authentification réseau confirme l’identité d’un utilisateur à tout service réseau auquel l’utilisateur tente d’accéder. Pour assurer ce type d’authentification, le système de sécurité comprend les mécanismes d’authentification suivants :
Kerberos V5
Certificats de clés publiques
Résumé SSL/TLS (Secure Sockets Layer/Transport Layer Security)
NTLM (pour la compatibilité avec les systèmes Windows NT® 4.0)
Signature unique
La signature unique permet aux utilisateurs d’accéder à des ressources sur le réseau sans avoir besoin d’entrer plusieurs fois leurs informations d’identification. Dans le cas de la famille Windows Server, les utilisateurs n’ont besoin de s’authentifier qu’une seule fois pour accéder aux ressources du réseau. Les authentifications suivantes s’effectuent de façon transparente, sans aucune intervention de l’utilisateur.
Authentification à deux facteurs
Dans la famille Windows Server, l’authentification comprend également un processus à deux facteurs, comme les cartes à puce.
Cartes à puce
Les cartes à puce constituent un mode de sécurité inviolable et portable pour les tâches telles que l’authentification de clients, l’ouverture d’une session sur un domaine de la famille Windows Server, la signature de code et la sécurisation du courrier électronique.
La prise en charge des cartes à puce cryptographiques est une caractéristique essentielle de l’infrastructure de clés publiques (PKI) que Microsoft a intégrée à Windows XP et aux produits de la famille Windows Server.
Les cartes à puce remplissent les rôles suivants :
Mode de stockage inviolable pour la protection des clés privées et d’autres types d’informations personnelles.
Isolation des opérations informatiques essentielles à la sécurité, telles que l’authentification, les signatures numériques et l’échange de clés avec d’autres parties de l’ordinateur qui n’ont pas besoin d’accéder à certaines données. Ces opérations s’effectuent au niveau de la carte à puce.
Portabilité des informations d’identification et d’autres informations privées entre ordinateurs au bureau, à la maison ou en déplacement.
Les ouvertures de session sur un réseau à l’aide d’une carte à puce sont un mode d’authentification très fiable, car elles font appel à une identification reposant sur l’utilisation de la cryptographie et requièrent une pièce justificative pour valider l’authentification d’un utilisateur sur un domaine.
Par exemple, si une personne malveillante obtient le mot de passe d’un utilisateur, elle peut prendre l’identité de l’utilisateur sur le réseau en utilisant simplement le mot de passe. Les utilisateurs choisissent souvent des mots de passe faciles à mémoriser, qui deviennent ainsi faciles à deviner et une proie aisée pour les attaques.
Dans le cas des cartes à puce, le pirate aurait à la fois besoin d’obtenir la carte à puce et le code confidentiel de l’utilisateur pour se substituer à ce dernier. Il est bien sûr beaucoup plus difficile d’attaquer ce système, car il faut posséder une couche d’informations supplémentaire pour se substituer à l’utilisateur.
Ce système présente également l’avantage de verrouiller la carte à puce lorsque le pirate tente d’entrer successivement quelques codes confidentiels erronés. Il est par conséquent extrêmement difficile de lancer une attaque contre une carte à puce en se servant d’un dictionnaire (notez que le code confidentiel ne doit pas nécessairement être un code numérique, il peut aussi contenir des caractères alphanumériques).
Les cartes à puce protègent également des attaques non détectées, car la personne malveillante doit obtenir la carte, ce qu’elle ne peut guère faire à l’insu d’un utilisateur.
Ouverture d’une session sur un domaine à l’aide d’une carte à puce
Pour se connecter à un domaine à l’aide d’une carte à puce, les utilisateurs n’ont pas besoin d’appuyer sur CTRL+ALT+SUPPR. Il leur suffit d’insérer la carte à puce dans le lecteur de cartes à puce pour qu’une invite leur demandant leur code confidentiel (au lieu de leurs nom d’utilisateur et mot de passe) s’affiche.
Contrôle d’accès reposant sur l’utilisation d’objets
Parallèlement à l’authentification des utilisateurs, les administrateurs sont autorisés à contrôler l’accès aux ressources ou aux objets sur le réseau. Pour ce faire, les administrateurs affectent des descripteurs de sécurité aux objets stockés dans Active Directory. Un descripteur de sécurité dresse la liste des utilisateurs et des groupes autorisés à accéder à un objet, ainsi que les autorisations particulières qui leur sont accordées. Il indique également les différents événements d’accès à auditer pour un objet (utilisateur, ordinateur ou unité organisationnelle, par exemple). En administrant les propriétés sur les objets, les administrateurs peuvent définir des autorisations, attribuer des appartenances et surveiller les accès des utilisateurs.
Ils peuvent non seulement contrôler l’accès à un objet donné, mais aussi l’accès à un attribut particulier de cet objet. Par exemple, en configurant correctement le descripteur de sécurité d’un objet, ils peuvent autoriser un utilisateur à accéder à un sous-ensemble d’informations, par exemple le nom et le numéro de téléphone des employés, mais pas leur adresse.
Pour sécuriser un ordinateur et ses ressources, vous devez prendre en considération les droits des utilisateurs.
Vous pouvez sécuriser un ou plusieurs ordinateurs en accordant aux utilisateurs et aux groupes des droits d’utilisateur particuliers.
Vous pouvez sécuriser un objet, tel qu’un fichier ou un dossier, en attribuant des autorisations permettant à des utilisateurs ou des groupes d’effectuer des actions particulières sur cet objet.
Principes du contrôle d'accès
Les principaux concepts à la base du contrôle d'accès sont présentés ci-après.
Autorisations
Les autorisations définissent le type d’accès accordé à un utilisateur ou un groupe pour un objet ou une propriété d’un objet. Par exemple, le groupe Finances peut posséder des autorisations en lecture et en écriture sur un fichier appelé Salaires.dat.
Les autorisations peuvent s’appliquer à tous les objets sécurisés, tels que des fichiers, des objets Active Directory ou des objets du Registre. Vous pouvez accorder des autorisations à des utilisateurs, des groupes ou des ordinateurs, bien qu’il soit recommandé de les accorder à des groupes.
Vous pouvez accorder des autorisations sur les objets à :
des groupes, des utilisateurs et des identités particulières d’un domaine ;
des groupes et des utilisateurs au sein de ce domaine et de tous les domaines approuvés ;
des groupes locaux et des utilisateurs sur l’ordinateur sur lequel l’objet réside.
Les autorisations liées à un objet dépendent du type de l’objet. Par exemple, les objets qu’il est possible de joindre à un fichier sont différents de ceux qui peuvent être liés à une clé de Registre.
Autorisations communes. Certaines autorisations sont toutefois partagées par la majorité des types d’objets. Ces autorisations communes sont les suivantes :
Autorisations de lecture
Autorisations de modification
Changement de propriétaire
Suppression
Définition des autorisations. Définir des autorisations revient à spécifier le niveau d’accès accordé aux groupes et aux utilisateurs. Par exemple, vous pouvez autoriser un utilisateur à lire le contenu d’un fichier, autoriser un autre utilisateur à modifier le fichier et interdire l’accès au fichier à tous les autres utilisateurs. Vous pouvez également définir des autorisations similaires pour les imprimantes pour que certains utilisateurs puissent configurer une imprimante, tandis que les autres peuvent uniquement imprimer à partir de cette dernière.
Modification des autorisations. S'il vous faut modifier les autorisations sur un objet particulier, vous pouvez démarrer l'outil approprié pour modifier les propriétés de cet objet. Par exemple, pour modifier les autorisations sur un fichier, vous pouvez exécuter l'Explorateur Windows, cliquer avec le bouton droit sur le nom du fichier, puis cliquer sur Propriétés. L’onglet Sécurité vous permet ensuite de modifier les autorisations affectées au fichier.
Propriétaire d’un objet
Lors de la création d’un objet, un propriétaire lui est attribué. Par défaut, il s’agit du créateur de l'objet. Quelles que soient les autorisations définies sur l’objet, son propriétaire peut toujours les modifier.
Héritage des autorisations
L’héritage permet aux administrateurs d’attribuer des autorisations et de les gérer en toute simplicité. Grâce à cette fonction, les objets d'un conteneur héritent automatiquement des autorisations héritables de ce conteneur. Par exemple, lors de leur création, les fichiers d'un dossier héritent des autorisations du dossier. Seules les autorisations définies comme pouvant être héritées peuvent être transmises.
Autorisations effectives
L’onglet Autorisations effectives est une nouvelle option avancée de Windows Server. Il vous permet d’afficher toutes les autorisations qui s’appliquent à l’entité de sécurité d’un objet donné, notamment les autorisations provenant de l’appartenance à des groupes de sécurité. L’onglet Autorisations effectives est illustré à la figure 1 ci-dessous.
.gif)
Figure 1 : Définition des autorisations effectives
Pour afficher les autorisations effectives d’un utilisateur ou d’un groupe
Sous l’onglet Autorisations effectives, cliquez sur le bouton Sélectionner pour ouvrir la boîte de dialogue de sélection d’un utilisateur ou d’un groupe.
Dans la zone Nom, tapez le nom de l’entité de sécurité intégrée, du groupe ou de l’utilisateur dont vous souhaitez afficher les autorisations effectives.
Si vous le souhaitez, cliquez sur le bouton Types d’objet, puis sélectionnez Entités de sécurités intégrées, Groupes ou Utilisateurs.
Cliquez sur OK.
Remarque Si l’entité de sécurité se trouve sur le réseau, vous pouvez cliquer sur Emplacements et sélectionner une destination ou vous pouvez taper directement le nom du domaine suivi du nom du groupe, par exemple reskit\utilisateurs.
Il est important de spécifier les types d’objets et les emplacements corrects au cours de la recherche. Dans le cas contraire, un message d’erreur s’affiche et vous êtes invité à affiner vos critères de recherche avant de relancer une recherche.
Droits d’utilisateur
Les droits d’utilisateur accordent des privilèges et des droits de connexion particuliers aux utilisateurs et aux groupes de votre environnement informatique.
Audit d'objets
Vous pouvez auditer l’accès des utilisateurs aux objets, puis afficher les événements liés à la sécurité dans le journal de sécurité à l’aide de l'Observateur d'événements.
Stratégie de sécurité
Vous pouvez contrôler la sécurité sur votre ordinateur local ou sur plusieurs ordinateurs en définissant les éléments suivants : stratégies des mots de passe, stratégies de verrouillage des comptes, stratégies Kerberos, stratégies d’audit, droits des utilisateurs et d’autres stratégies.
Pour créer une stratégie à appliquer à l’ensemble du système, vous pouvez utiliser des modèles de sécurité, appliquer des modèles à l’aide du composant logiciel enfichable Configuration et analyse de la sécurité ou modifier les stratégies sur l’ordinateur local, l’unité organisationnelle ou le domaine.
Gestionnaire de configuration de la sécurité
L’outil Gestionnaire de configuration de la sécurité vous permet de créer, d’appliquer et de modifier les variables de sécurité de votre ordinateur local, de votre unité organisationnelle ou de votre domaine.
Outil Gestionnaire de configuration de la sécurité
Composants |
Description |
|---|---|
| Modèles de sécurité | Définit une stratégie de sécurité dans un modèle. Vous pouvez appliquer ces modèles à la stratégie de groupe ou à votre ordinateur local. |
| Extension des paramètres de sécurité à la stratégie de groupe | Modifie des paramètres de sécurité individuels sur un domaine, un site ou une unité organisationnelle. |
| Stratégie de sécurité locale | Modifie des paramètres de sécurité individuels sur votre ordinateur local. |
| Commandes Secedit | Automatise les tâches de configuration de la sécurité à une invite de commandes. |
Configuration et analyse de la sécurité
Le composant logiciel enfichable Configuration et analyse de la sécurité est un outil qui sert à analyser et à configurer la sécurité système locale.
Analyse de la sécurité
L’état du système d’exploitation et des applications sur un ordinateur évolue en permanence. Par exemple, il vous faudra peut-être modifier temporairement les niveaux de sécurité pour pouvoir résoudre sur-le-champ un problème d’administration ou réseau. Cependant, vous ne rétablirez peut-être pas le paramétrage d’origine. Cela signifie qu’un ordinateur peut ne plus satisfaire aux exigences de l’entreprise en matière de sécurité.
En exécutant régulièrement une analyse dans le cadre d’un programme de gestion des risques au sein de l’entreprise, l’administrateur peut effectuer le suivi du niveau de sécurité pour s’assurer qu’il est correct sur chaque ordinateur. Il peut alors affiner les niveaux de sécurité et, de surcroît, détecter toutes les failles de sécurité qui pourraient survenir dans le système au fil du temps.
L’outil Configuration et analyse de la sécurité vous permet d’examiner rapidement les résultats de l’analyse de la sécurité. Il propose des recommandations à mettre en œuvre parallèlement aux paramètres système actuels et fait appel à des indicateurs visuels ou des remarques pour indiquer les secteurs dans lesquels les paramètres actuels ne correspondent pas au niveau de sécurité suggéré. L’outil Configuration et analyse de la sécurité permet également de résoudre les incohérences détectées au cours de l’analyse.
Configuration de la sécurité
L’outil Configuration et analyse de la sécurité peut également servir à configurer directement la sécurité système locale. Pour ce faire, il utilise des bases de données personnelles, par l’intermédiaire desquelles vous pouvez importer des modèles de sécurité créés avec l’outil Modèles de sécurité et appliquer ces modèles à l’ordinateur local. Cette procédure permet d’appliquer immédiatement les niveaux spécifiés dans le modèle à la sécurité système.
Audit
Les audits vous permettent d’effectuer le suivi de problèmes de sécurité potentiels, vous aident à contrôler les responsabilités des utilisateurs et fournissent des preuves en cas de violation de la sécurité.
Pour effectuer correctement un audit, vous devez mettre en place une stratégie d’audit. Pour ce faire, il vous faut définir les catégories d’événements, ainsi que les objets et les accès à auditer.
Établissement d’une stratégie
Votre stratégie doit reposer sur une politique. Par exemple, vous pouvez être intéressé par la liste de tous les utilisateurs ayant accédé au système ou à des données particulières sur le système. Vous pouvez également souhaiter détecter les tentatives non autorisées de modification du système d’exploitation.
Événements courants à auditer
Les types d’événements à auditer les plus courants sont les suivants :
utilisateurs ouvrant et fermant une session sur le système ;
gestion des comptes d’utilisateur et des groupes ;
accès aux objets, tels que les fichiers et les dossiers.
Implémentation d’une stratégie d’audit
Pour implémenter une stratégie d’audit, procédez comme suit :
Définissez votre stratégie d’audit. Décidez des comportements à auditer.
Sélectionnez les catégories d’audit qui correspondent à votre stratégie d’audit, en écartant toute catégorie superflue.
Sélectionnez une taille et une stratégie de rétention appropriées pour le journal de sécurité. Pour afficher le journal de sécurité et en définir la taille et la stratégie de rétention, utilisez l’Observateur d’événements, comme indiqué à la figure 2 ci-dessous.
Si vous avez décidé d’auditer l’accès aux services d’annuaire ou aux objets, déterminez les objets à surveiller dans le cadre de la stratégie. Déterminez également le nombre minimal d’accès à auditer pour remplir les objectifs de votre stratégie. Il est essentiel de ne pas auditer plus d’objets ou d’accès que nécessaire, car les journaux d’audit se rempliront sinon très rapidement sur un poste très utilisé.
Déployez votre stratégie. Pour ce faire, utilisez l’outil Stratégie de sécurité locale sur un poste autonome ou l’outil Stratégie de groupe sur un domaine.
Consultez régulièrement les journaux de sécurité. Il ne sert à rien d’effectuer des audits si vous ne consultez jamais les journaux. Pour faciliter l’administration de cette tâche, vous pouvez faire appel à un système de recueil des journaux d’événements.
Ajustez votre stratégie comme il convient. Cette procédure peut consister à ajouter ou supprimer des objets ou des accès de la stratégie d’audit, ou encore à activer ou désactiver des catégories d’audit. Après avoir passé les journaux en revue, vous constaterez peut-être que vous avez recueilli trop ou pas assez d’informations.
Figure 2 : Définition de la taille et de la stratégie de rétention du journal de sécurité
Active Directory et sécurité
Le service Active Directory permet aux administrateurs de gérer simplement et efficacement l’authentification des utilisateurs et le contrôle d’accès.
Active Directory permet de stocker de façon sécurisée les informations des comptes d’utilisateur et des groupes grâce au contrôle d’accès sur les objets et aux informations d’identification des utilisateurs. Étant donné que Active Directory stocke non seulement les informations d’identification des utilisateurs mais aussi les informations de contrôle d’accès, les utilisateurs qui ouvrent une session sur le réseau obtiennent à la fois l’authentification et l’autorisation nécessaires pour accéder aux ressources du système. Par exemple, lorsqu’un utilisateur ouvre une session sur le réseau, le système de sécurité l’authentifie grâce aux informations stockées dans Active Directory. Lorsque l’utilisateur tente ensuite d’accéder à un service sur le réseau, le système vérifie les propriétés définies dans la liste de contrôle d’accès discrétionnaire (DACL) de ce service.
Les administrateurs peuvent gérer la sécurité du système plus efficacement grâce aux comptes de groupe que Active Directory leur permet de créer. Par exemple, un administrateur peut autoriser tous les utilisateurs d’un groupe à lire un fichier en modifiant les propriétés de ce dernier. Avec cette méthode, l’accès aux objets dans Active Directory repose sur l’appartenance à des groupes.
Protection des données
Vous pouvez protéger les données stockées (en ligne ou hors connexion) à l’aide du système de fichiers EFS (Encrypting File System) et de signatures numériques. La sécurité des données stockées dépend de la possibilité de stocker les données sur un disque sous forme cryptée.
Système de fichiers EFS (Encrypting File System)
Le système de fichiers EFS permet de crypter les données au moment de leur stockage sur le disque. Il crypte les données NTFS locales à l’aide de clés publiques.
Cryptage et décryptage
Le cryptage consiste à convertir les données dans un format qu’un autre utilisateur ne peut pas lire. Une fois qu’un utilisateur a crypté un fichier, le fichier reste dans cet état tant qu’il se trouve sur le disque.
Le décryptage consiste à reconvertir les données cryptées dans leur format d’origine. Une fois qu’un utilisateur a décrypté un fichier, le fichier reste dans cet état tant qu’il se trouve sur le disque.
Caractéristiques du système de fichiers EFS
Le système de fichiers EFS se caractérise comme suit :
Les utilisateurs peuvent crypter leurs fichiers lorsqu’ils les stockent sur le disque. Le processus de cryptage est très simple : il suffit d’activer une case à cocher dans la boîte de dialogue Propriétés du fichier, comme illustré à la figure 3 ci-dessous.
Figure 3 : Cryptage de contenu pour la sécurisation des données
L’accès aux fichiers cryptés est rapide et simple. Lorsque les utilisateurs accèdent aux données depuis le disque, les données s’affichent sous forme de texte brut.
Le cryptage des données s’effectue automatiquement sans que les utilisateurs n’aient besoin d’intervenir.
Les utilisateurs peuvent expressément décrypter un fichier en désactivant la case à cocher du cryptage dans la boîte de dialogue Propriétés du fichier.
Les administrateurs peuvent récupérer des données cryptées par un autre utilisateur. Cette fonction garantit que les données restent accessibles si l’utilisateur responsable du cryptage n’est pas disponible ou s’il a perdu sa clé privée.
Cryptage des données transitant par un réseau TCP/IP
Le système de fichiers EFS crypte également les données lorsqu’elles sont stockées sur le disque. Pour crypter des données pendant qu’elles transitent sur un réseau TCP/IP, il existe deux fonctions : la sécurité du protocole Internet (IPSec) et le cryptage PPTP.
Cryptage et décryptage des données à l’aide du système de fichiers EFS
Vous pouvez utiliser le système de fichiers EFS pour effectuer les opérations suivantes :
cryptage de données ;
accès à des données cryptées ;
copie, déplacement ou modification du nom de données cryptées ;
décryptage de données.
Cryptage des données. La configuration par défaut du système de fichiers EFS ne nécessite aucune administration, car les utilisateurs peuvent commencer à crypter des fichiers immédiatement. Le système de fichiers EFS génère automatiquement une paire de clés de cryptage pour un utilisateur, s’il n’en existe encore aucune.
EFS peut utiliser deux algorithmes de cryptage au choix, à savoir DESX (Expanded Data Encryption Standard) ou 3DES (Triple-DES).
Les services de cryptage sont accessibles à partir de l’Explorateur Windows. Les utilisateurs peuvent également crypter un fichier ou un dossier à l’aide de la fonction de ligne de commande cipher. Pour plus d’informations sur la commande cipher, tapez cipher /? à l’invite de ligne de commande.
Pour crypter un fichier ou un dossier, les utilisateurs doivent définir la propriété de cryptage des fichiers et des dossiers de la même façon qu’ils définiraient tout autre attribut (lecture seule, compressé ou masqué, par exemple). Si un utilisateur crypte un dossier, tous les fichiers et sous-dossiers créés dans le dossier crypté ou ajoutés à ce dossier sont automatiquement cryptés. Il est recommandé de définir le cryptage au niveau des dossiers.
Il est impossible de crypter des fichiers ou des dossiers compressés. Si un utilisateur définit la propriété de cryptage sur des fichiers ou des dossiers compressés, ces derniers sont décompressés. En outre, les dossiers sur lesquels la propriété de cryptage est définie ne sont en fait pas réellement cryptés. Seuls les fichiers qu’ils contiennent, ainsi que les nouveaux fichiers qui y sont ajoutés ou transférés, le sont.
Accès à des données cryptées. Les utilisateurs peuvent accéder aux fichiers cryptés de la même façon qu’à tout autre fichier non crypté. Par conséquent, lorsqu’un utilisateur accède à un fichier crypté stocké sur le disque, il peut en lire le contenu normalement. Lorsque l’utilisateur stocke de nouveau le fichier sur le disque, le système de fichiers EFS crypte de nouveau le fichier de façon transparente.
Copie, déplacement et modification du nom de données cryptées. Lorsque vous copiez ou transférez des fichiers décryptés dans un dossier crypté, ces derniers sont automatiquement cryptés. En revanche, l’opération inverse ne décrypte pas automatiquement les fichiers. Les fichiers conservent la propriété de cryptage jusqu’à ce qu’ils soient explicitement décryptés ou transférés vers un volume non-NTFS. De manière similaire, renommer un fichier crypté ne change pas la propriété de cryptage.
Décryptage des données. Vous pouvez décrypter un fichier en désactivant la case à cocher du cryptage dans la boîte de dialogue Propriétés du fichier. Une fois décrypté, le fichier reste dans cet état jusqu’à ce que vous le cryptiez de nouveau. Il n’existe pas de fonction de recryptage automatique des fichiers, même si les fichiers se trouvent dans un répertoire affecté de la propriété de cryptage.
Les utilisateurs peuvent décrypter un fichier en désactivant la case à cocher du cryptage dans la boîte de dialogue Propriétés du fichier ou à l’aide de la commande cipher.
Sauvegarde et récupération de données cryptées
Voici la liste des tâches administratives principales associées à EFS :
sauvegarde et restauration de fichiers cryptés ;
récupération de données cryptées ;
configuration d’une stratégie de récupération.
Sauvegarde et restauration de fichiers cryptés. Les copies de sauvegarde des fichiers cryptés sont également cryptées, à condition que vous utilisiez un programme de sauvegarde conçu pour Windows XP.
Après restauration de données cryptées, les données restent cryptées.
Récupération de données cryptées. Le processus de récupération de données consiste à décrypter un fichier sans disposer de la clé privée de l’utilisateur responsable de son cryptage.
Vous serez amené à récupérer des données à l’aide d’un agent de récupération dans les cas suivants :
Un utilisateur a quitté la société.
Un utilisateur a perdu sa clé privée.
Un organisme officiel fait une demande.
Pour récupérer un fichier, l’agent de récupération :
sauvegarde les fichiers cryptés ;
transfère les copies de sauvegarde vers un système sécurisé ;
importe leur certificat de récupération et leur clé privée sur ce système ;
restaure les fichiers de sauvegarde ;
décrypte les fichiers à l’aide de l’Explorateur Windows ou de la commande cipher du système de fichiers EFS.
Configuration d’une stratégie de récupération. Vous pouvez utiliser le composant logiciel enfichable Stratégie de groupe pour définir une stratégie de récupération des données pour les serveurs membres du domaine, ou encore pour les serveurs autonomes ou de groupe de travail. Vous pouvez soit demander un certificat de récupération, soit exporter et importer vos certificats de récupération.
Il est recommandé de confier l’administration de la stratégie de récupération à un administrateur désigné. En autorisant plusieurs administrateurs à tenir le rôle d’agents de récupération, vous aurez toujours à disposition une personne capable d’effectuer une récupération en cas de besoin. Notez cependant qu’il est conseillé de limiter le nombre d’utilisateurs autorisés à récupérer des données cryptées.
Signatures numériques
Une signature numérique permet de garantir l’intégrité et l’origine des données. Elle prouve que les données n’ont pas été modifiées depuis l’attribution de la signature et confirme l’identité de la personne ou de l’entité ayant signé les données. Elle assure donc deux fonctions de sécurité primordiales, à savoir l’intégrité des données et la non-répudiation, qui sont essentielles pour la sécurisation des transactions de commerce électronique.
Les signatures numériques sont généralement utilisées lors de la distribution de données sous forme de texte en clair ou non crypté. Dans ce cas de figure, même si les données ne sont pas suffisamment confidentielles pour justifier le cryptage, il peut être nécessaire de s’assurer qu’elles n’ont pas été falsifiées ni envoyées par un imposteur. En effet, une fois distribué dans un environnement informatique, le texte en clair peut potentiellement être lu ou modifié par toute personne sur le réseau qui dispose d’un accès approprié, qu’il soit autorisé ou non.
CAPICOM
Windows Server assure la prise en charge de CAPICOM 2.0. Ceci permet aux développeurs d’applications de tirer parti des fonctions fiables de certificat et de cryptographie disponibles dans CryptoAPI en utilisant une interface COM simple d’emploi. À l’aide de cette fonctionnalité, les développeurs d’applications peuvent facilement incorporer des fonctions de signature numérique et de cryptage à leurs applications. CAPICOM étant fondé sur COM, les développeurs d’applications peuvent accéder à cette fonctionnalité dans différents environnements de programmation, notamment l’outil de développement Visual C# ®, le système de développement Visual Basic® .NET, ainsi que les logiciels de développement Visual Basic®, Visual Basic Script, Jscript®.
Rôles de CAPICOM
Apposition d’une signature numérique et vérification de données arbitraires à l’aide d’une carte à puce ou d’une clé logicielle
Apposition d’une signature numérique et vérification de fichiers exécutables à l’aide de la technologie Authenticode®
Hachage de données arbitraires
Affichage graphique d’une sélection de certificats et d’informations détaillées
Gestion des magasins de certificats CryptoAPI et recherche dans ces magasins
Cryptage et décryptage des données à l’aide d’un mot de passe, de clés publiques et de certificats
Protection des données réseau
Le protocole d’authentification assure la sécurité des données réseau au sein de votre site (réseau local et sous-réseaux). Pour fournir un niveau de sécurité supplémentaire, vous pouvez crypter les données réseau au sein d’un site. À l’aide de la sécurité du protocole Internet, vous pouvez crypter toutes les communications réseau de clients particuliers ou de tous les clients d’un domaine.
Les utilitaires suivants peuvent servir à sécuriser les données réseau transitant sur votre site (par l’intermédiaire des intranets, des extranets ou d’une passerelle Internet) :
Sécurité du protocole Internet (IPSec) : ensemble de services de protection reposant sur l’utilisation de la cryptographie et de protocoles de sécurité.
Routage et accès distant : configure le routage et les protocoles d’accès à distance.
Service d’authentification Internet (IAS) : assure la sécurité et l’authentification des utilisateurs d’accès à distance.
Sécurité du protocole Internet
IPSec représente l’avenir de la sécurité des réseaux. Il s’agit d’un ensemble de protocoles de sécurité et de services de protection reposant sur l’utilisation de la cryptographie. Il ne nécessite pas d’apporter des modifications aux applications ou aux protocoles. Par conséquent, vous pouvez facilement le déployer sur des réseaux existants.
IPSec assure l’authentification au niveau des ordinateurs, ainsi que le cryptage des données, pour les connexions aux réseaux privés virtuels (VPN) utilisant le protocole L2TP (Layer Two Tunneling Protocol). IPSec est négocié entre votre ordinateur et un serveur VPN faisant appel au protocole L2TP avant l’établissement d’une connexion L2TP. Cette négociation porte à la fois sur les mots de passe et les données.
Le protocole L2TP fait appel à des protocoles d’authentification PPP standard, comme les protocoles EAP (Extensible Authentication Protocol), MS-CHAP (Microsoft Challenge Handshake Authentication Protocol), MS-CHAP version 2, CHAP, SPAP (Shiva Password Authentication Protocol) et PAP (Password Authentication Protocol) avec IPSec.
Le cryptage est effectué par l’association de sécurité IPSec. Une association de sécurité est une combinaison formée d’une adresse de destination, d’un protocole de sécurité et d’une valeur d’identification unique appelée "index des paramètres de sécurité (SPI, Security Parameters Index)". Les types de cryptage disponibles sont les suivants :
DES (Data Encryption Standard), qui utilise une clé à 56 bits ;
3DES (Triple DES), qui utilise trois clés à 56 bits et est conçu pour les environnements de haute sécurité.
Routage et accès distant
Le service Routage et accès distant de la famille Windows Server est un routeur logiciel complet qui forme une plate-forme ouverte pour le routage et les réseaux d’interconnexion. Il assure les services de routage pour les entreprises dans des environnements de réseau local (LAN) ou étendu (WAN), ou encore via Internet, par l’intermédiaire de connexions VPN.
Le service Routage et accès distant a l’avantage de s’intégrer à la famille Windows Server. Il propose de nombreuses fonctions économiques et est compatible avec une large gamme de plates-formes matérielles et des centaines de cartes réseau. Il peut en outre être étendu à l’aide d’interfaces de programmation d’applications (API). Ces API peuvent servir aux développeurs à créer des solutions de réseau personnalisées et aux nouveaux éditeurs à pénétrer le marché en pleine croissance des réseaux d’interconnexion ouverte.
Service d’authentification Internet (IAS, Internet Authentication Service)
Le service IAS de Windows Standard Server, Windows Enterprise Server et Windows Datacenter Server correspond à l’implémentation Microsoft d’un proxy et d’un serveur RADIUS (Remote Authentication Dial-in User Service).
En qualité de serveur RADIUS, le service IAS effectue de manière centralisée l’authentification des connexions, l’autorisation et l’administration des comptes pour plusieurs types d’accès réseau, notamment les connexions sans fil, les connexions passant par un commutateur d’authentification, les connexions d’accès à distance et les connexions VPN.
En qualité de proxy RADIUS, le service IAS transfère les messages d’authentification et des comptes à d’autres serveurs RADIUS. RADIUS est une norme définie par le groupe de travail IETF (Internet Engineering Task Force).
Infrastructure de clés publiques (PKI, Public Key Infrastructure)
Les réseaux informatiques ne sont désormais plus des systèmes fermés dans lesquels l’existence d’un utilisateur sur le réseau est une preuve d’identité suffisante. À l’ère de l’interconnexion des informations, le réseau d’une entreprise peut se composer d’intranets, de sites Internet et d’extranets, pouvant tous être la cible de personnes malveillantes non autorisées souhaitant consulter ou modifier les données numériques de l’entreprise.
Opportunités d’accès non autorisé
Il existe bon nombre de manières d’accéder de façon non autorisée à des informations sur un réseau. Une personne peut tenter de surveiller ou de modifier les flux d’informations, tels que le courrier électronique, les transactions de commerce électronique et les transferts de fichiers. Votre entreprise peut travailler en collaboration avec des partenaires sur des projets confidentiels à durée limitée, avec des employés dont vous savez peu de choses, mais qui doivent néanmoins avoir accès à vos sources d’informations. Si vos utilisateurs doivent mémoriser une multitude de mots de passe pour accéder à différents systèmes sécurisés, ils auront tendance à choisir un même mot de passe pour tous les systèmes ou des mots de passe faciles à deviner de sorte à pouvoir les mémoriser facilement. Cela permet non seulement à un pirate de décoder facilement le mot de passe, mais cela lui donne également accès à plusieurs systèmes sécurisés à la fois et aux données stockées.
Questions critiques
Comment un administrateur système peut-il s’assurer de l’identité d’une personne accédant à des informations et, en fonction de cette identité, contrôler les informations auxquelles elle a accès ? De plus, comment un administrateur système peut-il distribuer et gérer les informations d’identification au sein de l’entreprise de manière simple et sécurisée ? La réponse à ces questions passe par la mise en place d’une infrastructure de clés publiques.
Qu'est-ce qu'une infrastructure de clés publiques (PKI) ?
Une infrastructure de clés publiques (PKI, Public Key Infrastructure) est un système de certificats numériques, d'autorités de certification et d'autres autorités d'enregistrement destinés à vérifier et à authentifier la validité de chaque partie impliquée dans une transaction électronique par l’intermédiaire de la cryptographie de clés publiques. Les normes des infrastructures de clés publiques évoluent encore, bien qu'elles soient devenues une composante fondamentale du commerce électronique.
Raisons justifiant le déploiement d'une infrastructure de clés publiques (PKI)
Une entreprise peut choisir de déployer une infrastructure de clés publiques sous Windows pour plusieurs raisons :
Renforcement de la sécurité : les cartes à puce offrent une authentification très fiable. Vous pouvez également conserver la confidentialité et l’intégralité des données transmises sur les réseaux publics à l’aide de IPSec, et protéger la confidentialité de vos données stockées à l’aide de EFS.
Simplification de l’administration : votre entreprise peut émettre des certificats et, en conjonction avec d’autres technologies, éliminer la nécessité d’utiliser des mots de passe. Vous pouvez révoquer des certificats à votre convenance, publier des listes de révocation de certificats, déployer des relations d’approbation au sein d’une entreprise à l’aide de certificats, tirer parti de l’intégration des Services de certificats avec Active Directory et les stratégies et mapper des certificats aux comptes d’utilisateur.
Autres possibilités : vous pouvez échanger des fichiers et des données en toute sécurité sur des réseaux publics, comme Internet. Vous avez la possibilité de sécuriser le courrier électronique à l’aide d’extensions S/MIME (Secure Multipurpose Internet Mail Extensions) et les connexions Web à l’aide des protocoles SSL (Secure Sockets Layer) et TLS (Transport Layer Security). Vous pouvez également renforcer la sécurité sur les réseaux sans fil.
Implémentation d’une infrastructure de clés publiques (PKI)
La famille Windows Server comporte des fonctions aidant votre entreprise à implémenter une infrastructure de clés publiques.
Certificats
Un certificat consiste en une déclaration numérique émise par une autorité qui se porte garante de l’identité du détenteur du certificat. Il lie une clé publique à l’identité de la personne, de l’ordinateur ou du service titulaire de la clé privée correspondante. Les certificats sont utilisés par un large éventail de services et d’applications de sécurité à clés publiques assurant l’authentification, l’intégrité des données et la sécurisation des communications entre réseaux, tels qu’Internet.
X.509v3 : il s’agit du format de certificat standard utilisé par les processus Windows reposant sur l’emploi de certificats. Un certificat X.509 inclut des informations sur la personne ou l’entité pour laquelle le certificat a été émis, des informations sur le certificat, ainsi que des informations facultatives sur l’autorité de certification ayant émis le certificat. Les informations du sujet du certificat peuvent comprendre le nom de l’entité, la clé publique et l’algorithme de la clé publique. L’entité recevant le certificat constitue le sujet du certificat. L’émetteur et le signataire du certificat représentent l’autorité de certification.
Gestion des certificats : les utilisateurs peuvent gérer les certificats à l’aide de la console MMC (Microsoft Management Console) Certificats, comme illustré à la figure 4 ci-dessous. Ils peuvent également autoriser l’inscription automatique des certificats pour que la gestion de leurs certificats soit automatique.
Figure 4 : Gestion des certificats à l’aide de la console MMC Certificats
Utilisation des certificats : il est possible d’émettre des certificats pour diverses fonctions, telles que l’authentification des utilisateurs sur le Web, l’authentification des serveurs Web, la sécurisation du courrier électronique (Secure/Multipurpose Internet Mail Extensions ou S/MIME), la sécurité du protocole Internet (IPSec), le protocole TLS (Transport Layer Security) et la signature de code. Les certificats peuvent également être émis d’une autorité de certification à une autre pour établir une hiérarchie de certification.
Composants des certificats : les certificats contiennent généralement les informations suivantes :
la valeur de la clé publique du sujet ;
les informations d’identification du sujet (nom et adresse électronique, par exemple) ;
la période de validité (durée pendant laquelle le certificat est considéré comme étant valide) ;
les informations d’identification de l’émetteur ;
la signature numérique de l’émetteur, qui atteste de la validité de la liaison entre la clé publique du sujet et les informations d’identification du sujet.
Un certificat n’est valide que pour la période qu’il spécifie ; chaque certificat contient des dates Valide à partir de et Valide jusqu’au, qui définissent la plage de validité. Une fois la période de validité passée, le sujet du certificat expiré doit demander un nouveau certificat.
Annulation d’une liaison : lorsqu’il faut annuler la liaison établie dans un certificat, le certificat peut être révoqué par son émetteur. Chaque émetteur administre une liste de révocation de certificats dont les programmes peuvent se servir lorsqu’ils vérifient la validité d’un certificat donné.
Établissement d’une approbation : l’un des avantages majeurs des certificats tient au fait que l’hôte n’a plus besoin d’administrer un jeu de mots de passe pour les sujets individuels devant être authentifiés pour obtenir un accès. Au lieu de cela, il suffit à l’hôte d’établir une relation de confiance avec un émetteur de certificats.
Lorsqu’un hôte, tel qu’un serveur Web, désigne un émetteur en tant qu’autorité racine approuvée, il approuve implicitement les stratégies que cet émetteur a utilisées pour établir les liaisons des certificats qu’il émet. Dans la pratique, l’hôte considère que l’émetteur a vérifié l’identité du sujet du certificat. Un hôte désigne un émetteur en tant qu’autorité racine approuvée en plaçant le certificat émis et signé par l’émetteur lui-même (qui contient sa propre clé publique) dans le magasin de certificats de l’autorité de certification racine approuvée de l’ordinateur hôte. Les autorités de certification intermédiaires ou subordonnées sont seulement approuvées si elles disposent d’un chemin de certification valide depuis une autorité de certification racine approuvée.
Services de certificats
L’outil Services de certificats est le composant de la famille Windows Server qui sert à créer et gérer les autorités de certification. Une autorité de certification est chargée d’établir l’identité des détenteurs de certificats et de s’en porter garante. Elle s’occupe également de révoquer les certificats s’ils ne sont plus considérés comme étant valides et publie les listes de révocation de certificats dont les vérificateurs de certificats doivent se servir.
Le modèle d’infrastructure de clés publiques le plus simple ne comporte qu’une seule autorité de certification racine. Dans la pratique, la majorité des entreprises déployant une infrastructure de clés publiques utilise cependant plusieurs autorités de certification organisées sous forme de hiérarchies de certification.
Les administrateurs peuvent gérer les Services de certificats à l’aide de la console MMC Autorité de certification.
Modèles de certificat
Les certificats sont émis par l’autorité de certificats en fonction des informations fournies dans la demande de certificat et des paramètres figurant dans un modèle de certificat. Un modèle de certificat consiste en un ensemble de règles et de paramètres appliqués à des demandes de certificat. Il faut configurer un modèle de certificat pour chaque type de certificat qu’une autorité de certification d’entreprise peut émettre.
Les modèles de certificat sont personnalisables dans les autorités de certification d’entreprise de Windows Enterprise Server et Windows Datacenter Server. Ils sont stockés dans Active Directory pour que toutes les autorités de certification de la forêt puissent y accéder. Ceci permet aux administrateurs de choisir un ou plusieurs modèles par défaut installés avec les Services de certificats ou de créer des modèles adaptés à des tâches ou des rôles particuliers.
Les administrateurs peuvent gérer les modèles de certificat à l’aide de la console MMC Modèles de certificat, comme illustré à la figure 5.
Figure 5 : Gestion des modèles de certificat à l’aide de la console MMC Modèles de certificat
Inscription automatique des certificats
L’inscription automatique permet aux administrateurs de configurer les sujets de sorte à ce qu’ils effectuent automatiquement les opérations suivantes : inscription pour des certificats, récupération des certificats émis et renouvellement des certificats arrivant à expiration, sans intervention des sujets. Pour ce faire, le sujet n’a pas besoin d’effectuer quelque opération que ce soit sur les certificats, sauf si le modèle de certificat est configuré pour interagir avec le sujet ou si le fournisseur des services cryptographiques (CSP) demande une interaction (dans le cas d’un fournisseur de services utilisant une carte à puce, par exemple). Cette approche simplifie considérablement l’utilisation des certificats pour les clients et réduit au minimum les tâches d’administration.
Les administrateurs peuvent définir l’inscription automatique en configurant la console Modèles de certificat et les paramètres des autorités de certification.
Pages d’inscription Web
Les pages d’inscription Web sont un composant distinct des Services de certificats. Ces pages Web sont installées par défaut lors de la configuration d’une autorité de certification et permettent aux demandeurs de certificats de soumettre leurs demandes par l’intermédiaire d’un navigateur Web.
Il est en outre possible d’installer les pages Web des autorités de certification sur les serveurs Windows sur lesquels aucune autorité de certification n’est installée. Dans ce cas, les pages Web servent à acheminer les demandes de certificat à une autorité de certification, à laquelle vous ne souhaitez pas que les demandeurs accèdent directement, pour quelque raison que ce soit.
Si vous choisissez de créer des pages Web personnalisées pour que votre entreprise accède à une autorité de certification, vous pouvez vous servir des pages Web fournies avec Windows Standard Server comme exemples. Pour plus d’informations sur la personnalisation des Services de certificats et des pages Web pour des autorités de certification, reportez-vous au kit de développement de la plate-forme Microsoft.
Prise en charge des cartes à puce
Windows prend en charge les ouvertures de session par l’intermédiaire de certificats sur les cartes à puce, ainsi que l’utilisation de cartes à puce pour stocker des certificats et des clés privées. Les cartes à puce peuvent servir à l’authentification Web, à la sécurisation du courrier électronique, aux réseaux sans fil et à d’autres activités liées à la cryptographie de clés publiques.
Stratégies de clé publique
Vous pouvez utiliser la Stratégie de groupe de Windows pour distribuer automatiquement des certificats aux sujets, établir des autorités de certification approuvées communes et gérer les stratégies de récupération pour EFS.
Approbations
La famille Windows Server prend en charge les approbations de domaine et de forêt. Les approbations de domaine permettent à un utilisateur de s’authentifier pour accéder aux ressources d’un autre domaine. Pour établir et gérer les relations d’approbation entre domaines, vous devez tenir compte de la direction des approbations.
Direction des approbations
Le type d’une approbation et la direction qui lui est attribuée ont un impact considérable sur le chemin d’approbation utilisé lors de l’authentification. Un chemin d’approbation est constitué d’une série de relations d’approbation que les demandes d’authentification doivent suivre entre deux domaines.
Pour qu’un utilisateur puisse accéder à une ressource figurant sur un autre domaine, le système de sécurité des contrôleurs de domaine Windows Server doit d’abord déterminer si le domaine d’approbation (domaine contenant la ressource à laquelle l’utilisateur tente d’accéder) possède une relation d’approbation avec le domaine approuvé (domaine de connexion de l’utilisateur). Pour ce faire, le système de sécurité détermine le chemin d’approbation entre un contrôleur de domaine du domaine d’approbation et un contrôleur de domaine du domaine approuvé. Dans la figure 6 ci-dessous, les chemins d’approbation sont représentés par des flèches indiquant la direction de l’approbation :
Figure 6 : Chemins d’approbation indiquant la direction de l’approbation
Toutes les relations d’approbation de domaine contiennent seulement deux domaines : le domaine d’approbation et le domaine approuvé.
Types d’approbations
La communication entre les domaines s’effectue grâce aux approbations. Les approbations sont les canaux d’authentification nécessaires pour que les utilisateurs d’un domaine puissent accéder aux ressources d’un autre domaine.
Approbation unidirectionnelle
Une approbation unidirectionnelle est un chemin d’authentification à sens unique créé entre deux domaines. Cela signifie que dans une approbation unidirectionnelle entre un domaine A et un domaine B, les utilisateurs du domaine A peuvent accéder aux ressources du domaine B, mais ceux du domaine B ne peuvent pas accéder aux ressources du domaine A.
Les relations unidirectionnelles peuvent être transitives ou non, selon le type d’approbation que vous créez.
Remarque Une approbation transitive passe par un ensemble de domaines, telle qu’une arborescence de domaines, et forme une relation entre un domaine et tous les domaines qui l’approuvent. Par exemple, si le domaine A approuve le domaine B et que le domaine B approuve le domaine C, alors le domaine A approuve le domaine C. Les approbations transitives peuvent être unidirectionnelles ou bidirectionnelles et sont obligatoires pour l’authentification Kerberos et la réplication de Active Directory.
Une approbation non transitive se limite à deux domaines dans une relation d’approbation. Par exemple, si le domaine A approuve le domaine B et que le domaine B approuve le domaine C, il n’y a pas pour autant de relation d’approbation entre le domaine A et le domaine C. Les approbations non transitives peuvent être unidirectionnelles ou bidirectionnelles.
Approbation bidirectionnelle
Toutes les approbations de domaine d’une forêt Windows sont des approbations bidirectionnelles transitives. Lors de la création d’un domaine enfant, une approbation bidirectionnelle transitive se crée automatiquement entre le nouveau domaine enfant et le domaine parent. Considérons une approbation bidirectionnelle dans laquelle le domaine A approuve le domaine B et le domaine B approuve le domaine A. Cela signifie que les demandes d’authentification peuvent être transmises entre les deux domaines dans n’importe quel sens.
Les relations bidirectionnelles peuvent être transitives ou non, selon le type d’approbation que vous créez.
Relations d’approbation
Un domaine Windows peut établir une approbation unidirectionnelle ou bidirectionnelle avec les éléments suivants :
domaines Windows d’une même forêt ;
domaines Windows d’une autre forêt ;
domaines Windows NT 4.0 ;
domaines Kerberos V5.
Approbations de forêt
Dans une forêt Windows Server, les administrateurs peuvent créer une approbation de forêt pour étendre la transitivité bidirectionnelle à une deuxième forêt Windows Server. En d’autres termes, les approbations de forêt vous permettent de lier deux forêts Windows Server indépendantes en établissant une relation d’approbation bidirectionnelle transitive entre chaque domaine des deux forêts.
Avantages des approbations de forêt
Les approbations de forêt apportent les avantages suivants :
simplification de la gestion des ressources entre deux forêts Windows Server en réduisant le nombre d’approbations externes nécessaires pour partager des ressources avec une deuxième forêt ;
relations d’approbation bidirectionnelle complètes entre tous les domaines de chaque forêt ;
Utilisation possible de l’authentification des noms d’utilisateur principaux (UPN) entre deux forêts ;
Utilisation possible des protocoles d’authentification Kerberos et NTLM pour améliorer la fiabilité des données d’autorisation transférées entre deux forêts ;
souplesse de l’administration : les administrateurs peuvent choisir de partager la délégation des tâches avec d’autres administrateurs dans des unités d’administration couvrant toute une forêt ;
isolation de la réplication de l’annuaire au sein de chaque forêt : les modifications apportées au schéma et à la configuration, et l’ajout de nouveaux domaines à une forêt ont un impact sur la forêt concernée uniquement, et non pas sur une forêt d’approbation.
Relations des approbations de forêt
Vous ne pouvez créer des relations d’approbation qu’entre deux forêts. Par conséquent, ces relations ne s’appliquent pas implicitement à une troisième forêt. Cela signifie que si vous créez une approbation de forêt entre la forêt 1 et la forêt 2 et une autre approbation entre la forêt 2 et la forêt 3, il n’existe pas d’approbation implicite entre la forêt 1 et la forêt 3.
Remarque Sous Windows 2000, si les utilisateurs d’une forêt ont besoin d’accéder aux ressources d’une deuxième forêt, un administrateur peut créer une relation d’approbation externe entre les deux domaines. Les chemins d’approbation peuvent uniquement s’étendre à un autre domaine lorsqu’ils sont explicitement configurés pour cela, car les approbations externes sont par défaut unidirectionnelles et non transitives.
Résumé
Plus que jamais aujourd’hui, il est important qu’une entreprise utilise un système informatique en réseau efficace et sécurisé pour rester compétitive. Windows Server vous permet de tirer parti de vos ressources informatiques existantes et d’en faire profiter vos partenaires commerciaux, vos clients et vos fournisseurs en déployant des fonctions primordiales, telles que les approbations entre forêts et l’intégration Passport.
Windows Server propose des services formant un environnement commercial plus sécurisé. Le cryptage des données confidentielles est simple et des stratégies de restriction sur les logiciels peuvent prévenir les dommages causés par les virus et les chevaux de Troie. Windows Server représente en outre la meilleure solution pour déployer une infrastructure de clés publiques. Ses fonctions automatiques d’inscription et de renouvellement facilitent le déploiement de cartes à puce et de certificats au sein de toute l’entreprise.
Dans le cadre de ses efforts visant à promouvoir un environnement informatique fiable et sécurisé, Microsoft a passé en revue toutes les lignes de code formant les produits de la famille Windows Server en vue d’identifier les failles et les faiblesses potentielles exploitables. De plus, Windows Server comprend le service Secure Windows Update, qui permet aux entreprises de profiter des mises à jour critiques dès leur disponibilité.
Une sécurité à long terme
Microsoft s’engage à faire le nécessaire pour aider ses clients à assurer la sécurité de leurs systèmes informatiques à long terme. La meilleure façon de procéder consiste à appliquer les dernières mises à jour de sécurité dès leur disponibilité.
Inscription au service de notification de sécurité de Microsoft
Il s’agit d’un service de notification gratuit par courrier électronique qui vous informe exactement des failles de sécurité et vous protège des attaques malveillantes.
Vous pouvez également consulter les bulletins de sécurité et d’autres informations sur la sécurité des produits Microsoft sur le site TechNet.
Les informations contenues dans ce document représentent le point de vue actuel de Microsoft Corporation sur les points cités à la date de publication. Microsoft s’adapte aux conditions fluctuantes du marché et cette opinion ne doit pas être interprétée comme un engagement de la part de Microsoft. En outre, Microsoft ne garantit pas la véracité des informations présentées après la date de publication.
Ce document est publié à des fins purement informatives. MICROSOFT EXCLUT TOUTE GARANTIE, EXPRESSE OU IMPLICITE, QUANT AUX INFORMATIONS CONTENUES DANS CE DOCUMENT.
L'utilisateur est tenu d'observer la réglementation relative aux droits d'auteur applicable dans son pays. Sans limitation des droits issus des droits d'auteur, aucune partie de ce document ne peut être reproduite, stockée ou incluse dans un système de récupération de données ou transmise, à quelque fin ou par quelque moyen que ce soit, (électronique, mécanique, photocopie, enregistrement ou autre) sans la permission expresse et écrite de Microsoft Corporation.
Les produits mentionnés dans ce document peuvent faire l’objet de brevets, de dépôts de brevets en cours, de marques, de droits d’auteur ou d’autres droits de propriété intellectuelle et industrielle de Microsoft. Sauf stipulation expresse contraire d’un contrat de licence écrit de Microsoft, la fourniture de ce document n’a pas pour effet de vous concéder une licence sur ces brevets, marques, droits d’auteur ou autres droits de propriété intellectuelle.
Microsoft, Active Directory, Authenticode, Visual C#, Windows, le logo Windows et Windows NT sont soit des marques commerciales, soit des marques déposées de Microsoft Corporation aux États-Unis et/ou dans d’autres pays.
Les noms de produits et de sociétés réels mentionnés dans la présente documentation sont des marques de leurs propriétaires respectifs.
Dernière mise à jour le vendredi 22 août 2003
Pour en savoir plus