Windows Phone 7 : une mise à jour de sécurité prévue le 3 mai

La firme de Redmond est en train de préparer une mise à jour de sécurité pour son système d'exploitation mobile Windows Phone 7. Cette mise à jour serait diffusée le 3 mai sur l'ensemble des téléphones sans restrictions liées à un opérateur ou à un constructeur.

La mise à jour de sécurité s'appliquera à la version mobile d'Internet Explorer et à la couche de communication HTTPS (utilisée par d'autres applications Microsoft ou proposées sur le Marketplace) du système mobile afin de révoquer neuf certificats de sécurité frauduleux. Les certificats de sécurité permettent, en théorie, l'établissement d'une communication sécurisée avec le serveur via le protocole HTTPS. Toutefois, l'un des éditeurs - Comodo - qui émettent ces certificats de sécurité a été la victime d'une attaque début mars avec pour conséquence le vole de plusieurs d'entre eux touchant d'importants sites web.

Microsoft indique que des personnes mal intentionnées peuvent utiliser ces différents certificats de sécurité afin d'usurper votre identité, exécuter des attaques de phishing (faux site web ressemblant au site web officiel afin de récupérer votre code de carte bancaire ou vos identifiants) ou réaliser des attaques directement contre les utilisateurs finaux. Bien qu'aucune attaque n'est été recensée, Microsoft a déjà publié une mise à jour de sécurité pour l'ensemble des plateformes Windows afin de révoquer définitivement les certificats concernés et ainsi limiter considérablement les risques.

Voici les sites web touchés par les certificats frauduleux :

• login.live.com
• mail.google.com
• www.google.com
• login.yahoo.com (3 certificats)
• login.skype.com
• addons.mozilla.org
• « Global Trustee »

De part la taille réduite de cette mise à jour, Windows Phone supportant les mises à jour incrémentales, elle devrait être la première diffusée avec le mécanisme Over The Air (OTA). Ce mécanisme permet le téléchargement et l'installation automatique de la mise à jour par les téléphones directement depuis les réseaux des opérateurs mobiles et sans obligation de relier le téléphone au lecteur multimédia Zune. La mise à jour s'installe ensuite silencieusement.

Ce mécanisme est prévu par Microsoft afin de pouvoir diffuser rapidement des mises à jour de sécurité ou urgentes (bug important par exemple) sur l'ensemble des terminaux. Ce processus de mise à jour ne nécessite pas de validation de la mise à jour par les différentes opérateurs et constructeurs. Toutefois, les utilisateurs qui auront désactivé la « connexion de données » dans les paramétrages du téléphone pourront la récupérer via le lecteur multimédia Zune comme les mises à jour traditionnelles.

Espérons que cette première utilisation de ce processus de mise à jour ne mette pas en lumière de nouveaux problèmes comme lors des deux précédentes mises à jour publiées en février et en mars. En effet, il serait préférable qu'elle soit transparente pour l'ensemble des utilisateurs et qu'elle ne fasse pas parler d'elle en négatif. L'image de l'éditeur ainsi que celle de son système mobile étant en jeu tant au niveau de la capacité de production de mises à jour de qualité que de réaction face à la correction de problèmes liés à la sécurité. Réponses dans deux semaines.