Windows 11 est sorti le 4 octobre 2021. Auparavant, sa version de test avait suscité beaucoup d’engouement. Un simulateur avait même été créé. Nous tenons à préciser que cet article a été rédigé avant la sortie officielle de la nouvelle version du système d’exploitation. Certaines fonctions ont pu être modifiées, supprimées ou améliorées entre-temps, comme cela s’est produit par exemple avec la configuration système minimale.
À l’origine, Windows 11 n’était pas destiné à tout le monde (des processeurs Intel de 8e génération au minimum étaient requis). Cependant, la communauté Windows a trouvé un moyen de contourner le blocage de l’installation. Microsoft a décidé de ne pas intervenir pour restreindre les installations. Dans son billet de blog, l’entreprise a décliné toute responsabilité concernant d’éventuels problèmes, notamment ceux liés aux pilotes sur les anciens PC.
En savoir plus : Meilleurs outils de sécurité pour serveurs en 2021
Nouvelles fonctionnalités de sécurité de Windows 11
À chaque nouvelle version de Windows, Microsoft affirme vouloir mettre l’accent sur la sécurité et la stabilité du système d’exploitation. Cette fois encore, cela s’est vérifié. La configuration requise a été revue à la hausse.
Cela concerne non seulement la puissance de calcul, mais aussi le matériel du PC. Microsoft semble vouloir protéger ses utilisateurs contre les vulnérabilités qui ont permis aux rançongiciels et autres logiciels malveillants dangereux de se propager au cours des dernières années.
Trusted Platform Module 2.0
Le TPM, ou module de plateforme sécurisée, est un composant de sécurité facultatif. Il peut stocker des informations sous forme protégée (la spécification n’est pas entièrement divulguée). Dans le cas de Windows, il contribue au stockage des clés de chiffrement BitLocker.
Le module est fourni soit soudé à la carte mère, soit sous la forme d’un élément physique séparé. Dans ce second cas, il faut tenir compte de la compatibilité de la carte mère. De nombreux processeurs modernes disposent d’un programme permettant d’émuler ce dispositif. Et c’est là que les choses deviennent intéressantes : pour installer Windows 11, ce module est requis, mais sa forme n’est pas précisée.
Étant donné qu’il existe déjà des programmes accessibles au public capables de deviner le mot de passe BitLocker, Microsoft a dû renforcer la protection.
Il faut donc soit un module, soit un nouveau processeur. Étant donné qu’il existe déjà des programmes accessibles au public capables de deviner le mot de passe BitLocker, Microsoft a dû renforcer la protection et tenter d’empêcher les fuites de données.
Mais, d’un autre côté, l’entreprise n’a pas laissé le choix aux autres utilisateurs qui stockent leurs données dans le cloud ou ne se préoccupent pas de leur sécurité ou de leur confidentialité. Cela vaut également pour les entreprises qui ne suivent pas le rythme et qui viennent seulement d’achever leur passage à Windows 10.
Quoi qu’il en soit, il est utile de vérifier si le module TMP est présent sur votre ordinateur. Pour cela, vous pouvez appuyer sur « Win+R » et saisir « tpm.msc ». La fenêtre « Gestion du module de plateforme sécurisée (TPM) sur l’ordinateur local » s’ouvrira. Si un module est présent, ses paramètres s’afficheront.
Le numéro de version s’affiche dans l’angle inférieur droit de la fenêtre et ne doit pas, conformément aux exigences, être inférieur à 2.0. Si ce n’est pas le cas, le programme d’émulation du BIOS est désactivé ou il sera impossible d’installer Windows 11 de manière légitime.
Nous pouvons également dire qu’avec l’émulation du TPM et la virtualisation du processeur activées, Windows 11 peut être installé sans problème sur des machines virtuelles.
En savoir plus : Sécurité cloud pour les machines virtuelles et les conteneurs
PC Windows Secured-Core
Les tentatives visant à créer l’appareil Windows le plus sécurisé du marché ne sont encore que des tentatives. Mais c’est ainsi que Panasonic décrit les PC Windows Secured-Core. Qu’est-ce que Secured-Core ? En réalité, il n’y a pas véritablement de Core : ce n’est que le nom. La protection est répartie entre différents services. Elle se compose de deux parties :
- Protection basée sur les logiciels Windows
- Protection basée sur le matériel et ses composants
La partie logicielle comprend à son tour les éléments suivants :
- Sécurité basée sur la virtualisation (VBS)
- Intégrité du code protégée par l’hyperviseur (HVCI)
- Démarrage sécurisé, racine de confiance dynamique pour la mesure (DRTM)
- Windows Hello
La protection matérielle repose principalement sur le TPM 2.0. Chaque fabricant décide indépendamment des méthodes de protection à appliquer et coopère avec Microsoft pour faire fonctionner l’ensemble (biométrie, empreintes digitales, etc.).
Ces PC prêts à l’emploi sont livrés avec tous les éléments préinstallés et configurés. Windows 11 sera également intégré à ce dispositif. Cependant, on ne voit pas très bien pourquoi les éléments précédents sont présentés parmi les nouvelles fonctionnalités de sécurité du système d’exploitation. Rien de tout cela n’est vraiment nouveau.
En savoir plus : Utiliser la sécurité Zero Trust pour protéger les applications et les bases de données
Windows Hello
Chez Microsoft, on estime que les mots de passe traditionnels ne sont pas sécurisés, car ils sont difficiles à retenir. Les utilisateurs choisissent donc soit des mots de passe faciles à deviner, soit les notent quelque part. Windows Hello est conçu pour fournir une protection « sans mot de passe » des PC et des comptes.
Windows Hello est conçu pour fournir une protection « sans mot de passe » des PC et des comptes.
Windows Hello est en réalité un outil biométrique. De nombreux ordinateurs portables, ultrabooks et autres appareils mobiles sont équipés de caméras spéciales ou de lecteurs d’empreintes digitales. Cependant, en pratique, cette technologie présente plusieurs inconvénients :
- Vous devez tout de même définir et mémoriser le mot de passe. Celui-ci doit être une combinaison cryptographiquement robuste. Pourtant, à l’heure actuelle, il s’agit de la dernière couche de protection.
- En cas d’échec de la lecture des données biométriques, Windows vous invite à saisir un code PIN composé de chiffres. En raison du nombre limité de caractères (il n’y en a que 10), il n’est pas très difficile de lancer une attaque par force brute et de deviner le code PIN. Et nous savons que les utilisateurs emploient souvent des combinaisons simples.
- Cette solution s’adresse davantage aux particuliers qu’aux entreprises ; autrement, de nombreuses sociétés devront équiper leurs PC de bureau de lecteurs biométriques.
Il convient également de noter que cette approche fait depuis longtemps partie de Windows 10. Il est donc étrange de la qualifier de « nouvelle ».
Microsoft Azure Attestation
Azure Attestation est un mécanisme de vérification de l’intégrité et de la fiabilité des logiciels. Cette vérification a lieu lorsque vous ajoutez un fournisseur. Vous pouvez en savoir plus ici. La description de ce système date du second semestre 2020.
Télémétrie de Windows 11
La télémétrie de Windows fait l’objet de rumeurs depuis la sortie de la version 10. Beaucoup pensent que Microsoft collecte des données sensibles permettant d’identifier une personne. C’est en partie vrai, mais en partie seulement.
Selon l’entreprise, Microsoft utilise les données de télémétrie pour identifier les problèmes de sécurité et de fiabilité. Cela lui permet d’analyser et de corriger les problèmes logiciels, ainsi que d’améliorer la qualité de ses produits à l’avenir. En d’autres termes, la télémétrie correspond aux données système chargées par le composant Connected User Experience and Telemetry, également appelé Universal Telemetry Client (UTC). Cette fonctionnalité s’exécute sous la forme d’un service appelé DiagTrack.
Avant de passer à la description de la télémétrie dans Windows 11, nous devons déterminer si Microsoft peut réellement identifier une personne.
Lors de l’installation de Windows, vous pouvez choisir les données qui seront transmises sous forme de télémétrie. Si la plupart des paramètres sont activés, oui, Windows collecte suffisamment de données pour connaître presque tout de l’utilisateur.
Si vous réduisez les paramètres de télémétrie, le processus de collecte est structuré de manière à ce que le composant concerné tente d’éviter de recueillir des informations permettant d’identifier directement une personne. Mais lorsque Windows ou une application plante ou se bloque, le contenu mémoire du processus à l’origine du plantage est inclus dans le rapport de diagnostic, qui peut contenir des informations sensibles.
Lors de l’installation de Windows 11, vous pouvez désactiver l’envoi des données suivantes :
- Localisation
- Données de diagnostic
- Saisie manuscrite et au clavier
- Données de diagnostic personnelles
- Identifiant publicitaire
Il s’avère que si vous ne désactivez pas la transmission de ces données de télémétrie, Microsoft connaîtra la localisation de l’utilisateur, les sites visités, les données saisies au clavier, ses préférences, etc. Mais là encore, Windows 10 nous y avait déjà préparés.
Si vous ne désactivez pas la majeure partie de la télémétrie, vous pouvez suivre la liste des connexions ouvertes à l’aide du programme TCPView.
Si vous comparez les connexions ouvertes dans Windows 11 et Windows 10, vous pouvez clairement voir un ensemble stable de connexions impliquant des adresses IP 20.190.120.*. Une recherche Whois indique qu’elles appartiennent toutes à Microsoft. De temps à autre, plusieurs connexions apparaissent puis se ferment rapidement.
Bien sûr, il ne faut pas oublier que « svchost.exe » est responsable de presque tous les transferts de données, comme le téléchargement des mises à jour. Cependant, après une longue observation des deux versions de Windows, on peut constater des transferts de données associés à DiagTrack.
En savoir plus : Logiciels de bureau virtuel Windows
Les fonctionnalités de sécurité de Windows 11 ne sont pas nouvelles
Dans cet article, nous avons analysé les fonctionnalités de sécurité annoncées pour Windows 11. À notre avis, le terme « nouvelles » ne peut pas réellement leur être appliqué. Il n’y a pas d’innovations significatives (comme Windows Defender dans la version 10).
Nous avons analysé les fonctionnalités de sécurité annoncées pour Windows 11. À notre avis, le terme « nouvelles » ne peut pas réellement leur être appliqué.
Windows 11 pourrait devenir plus stable, Microsoft ayant réduit la liste des processeurs autorisés, mais cela ressemble davantage à une compétition avec Apple en matière de stabilité et de performances. Les deux entreprises créent désormais des logiciels pour du matériel spécifique.
En ce qui concerne la télémétrie, tout reste identique à Windows 10. Elle peut être partiellement désactivée. Si vous souhaitez la désactiver complètement, vous devrez intercepter le transfert de données et le bloquer à l’aide d’un logiciel tiers.
En outre, Microsoft déclare implicitement que certaines données de diagnostic sont obligatoires et que leur transmission ne peut pas être désactivée. Tout est transmis sous forme chiffrée ; Microsoft devrait donc être le seul à savoir ce que contiennent ces paquets.
À lire ensuite : Meilleures solutions logicielles de data fabric en 2021