Si toute entreprise de haut vol doit composer avec l'incident de sécurité occasionnel, plusieurs téléphones ont sonné dans les couloirs de Microsoft au cours des dernières 48 heures. En premier lieu, une fuite a libéré au public plus de 30 téraoctets de builds internes, ainsi que le code source de certains pilotes, ce qui pourrait ouvrir la voie à des attaques ciblées. En second lieu, le Windows 10 S « super-sécurisé » est tombé de son piédestal face à une macro malveillante de Word en à peine plus de trois heures. Ouch.
Le bilan sécuritaire de Microsoft a toujours laissé à désirer, malgré ses progrès récents. Bien sûr, toutes les attaques ne sont pas de la responsabilité de l'entreprise, un détail mis en évidence après l'incident WannaCry. Néanmoins, on garde l'impression qu'aucun effort suffisant n'est fourni, et la situation devient plus grave lorsque des fuites internes surgissent. Combien de builds de Windows ont été divulgués sur le Web ? Pour être honnête, on ne peut pas les compter. Tout doute à ce sujet a été levé ce week-end, après que le portail BetaArchive a reçu 32 téraoctets de données remplies d'images privées du système d'exploitation, ainsi qu'un morceau de son code source.
Une fuite massive de données internes
Plusieurs de ces images appartiennent à des builds de Windows pour serveurs, ainsi qu'à des éditions 64 bits compatibles avec l'architecture ARM. Elles contiennent également des symboles de débogage, qui fournissent des informations beaucoup plus détaillées sur l'exécution du code et son comportement. Le code divulgué est ce que l'on appelle le Shared Source Kit, généralement fourni à des tiers. Les piles WiFi, USB, stockage et Plug and Play s'y trouvent. Il s'agit de code très privilégié au sein du système d'exploitation, et tout élément malveillant possédant les compétences nécessaires pourrait créer une exploitation. Enfin, la dernière partie de la fuite inclut de multiples copies du Windows 10 Mobile Adaptation Kit, qui, comme son nom l'indique, est un ensemble d'outils pour adapter Windows 10 aux appareils mobiles.
Windows 10 S, la sécurité en échec
Si cela semble peu, Windows 10 S a subi son premier revers majeur en matière de sécurité. Microsoft a déclaré début juin qu'aucune variante connue de ransomware ne peut fonctionner sur cette version, soulignant sa résistance aux infections comme WannaCry. Les gens de ZDNet ont contacté la société de sécurité Hacker House pour tester cette affirmation, et les résultats ont été décevants. En un peu plus de trois heures, Windows 10 S a accordé un accès distant avec des privilèges élevés, grâce à une macro dans Word. La fonctionnalité Vue protégée empêche l'exécution de la macro, mais si le document est chargé depuis un emplacement de confiance, Word propose d'ouvrir la macro depuis une barre supérieure, ce qui est très tentant pour un utilisateur peu méfiant. Quelle est la position de Microsoft ? Elle a rejeté la démonstration et a déclaré que sa déclaration précédente reste valide, tout en ajoutant qu'elle « continuera de travailler avec des chercheurs responsables » pour offrir « l'expérience la plus sûre » à ses clients. (?)
ZDNet
