Résumé

Windows 8, une plate-forme mobile sécurisée

Capitalisant sur le socle de Windows 7, Windows 8 s’enrichit de nouveaux mécanismes de protection visant à sécuriser les postes de travail et tablettes d’entreprise, toujours plus mobiles en raison de la perméabilité des périmètres personnel et professionnel.

Que vous soyez administrateur de postes de travail, ingénieur systèmes et réseaux ou responsable sécurité, cet ouvrage détaille les scénarios de mobilité des PC en entreprise et vous aide à prévenir les risques liés aux nouveaux postes de travail nomades et à évaluer les réponses techniques disponibles dans Windows 8.

Au programme, de nombreuses technologies comme UEFI SecureBoot, BitLocker, AppLocker, Windows To Go, les cartes à puce virtuelles, SmartScreeen, DirectAccess, les bureaux à distance…

Au sommaire

Contraintes du poste de travail mobile • Postes d’entreprise versus postes personnels • Portables, tablettes et hybrides. Périphériques connectés. Stockage interne et externe (Cloud). Fin du cloisonnement (dépérimétrisation) • Risques pour les postes nomades • Perte et vol d’informations. Vol d’identité. Hameçonnage ciblé (spear phishing). Infection persistante avancée (APT). Intelligence économique • Principaux vecteurs de menace • Démarrage sécurisé • Firmware • TPM (module de plate-forme sécurisée) • Unités fonctionnelles du TPM : registres de configuration de la plate-forme (PCR), clé d’endossement (EK), mot de passe de propriétaire, clé principale de stockage (SRK), clés d’attestation d’identité (AIK). Measured Boot • Secure Boot • Validation des images UEFI. Implémentation. Administration • Early-Launch of Anti-Malware (ELAM) • Intégrité du code • Mécanismes d’ouverture de session • Authentification des utilisateurs • Types de comptes reconnus par Windows 8. Types de mots de passe acceptés. Authentification forte. Cartes à puce • Contrôle d’accès • Jeton d’accès. Descripteur de sécurité • Contrôle de compte utilisateur • Isolation des applications Windows 8 • AppContainers • Protection contre le code malveillant • Windows Defender, anti-malware. MAPS. Windows SmartScreen. System Center 2012 Endpoint Protection. WSUS. Agent Endpoint Protection et technologie HIPS • Contrôle des applications • Applications de bureau et Windows Apps • Mises à jour automatiques • Windows Update. Téléchargement des fichiers avec BITS. Période de maintenance. Historique. Gestion des redémarrages • Contrôle des applications autorisées et bloquées • AppLocker • Protection des données • BitLocker • Protection quand Windows 8 est éteint. Activation avant l’installation. Modification du mot de passe. Disques auto-chiffrants. Déverrouillage par le réseau. Récupération en ligne avec SkyDrive • Intégration dans Active Directory. Supports amovibles. Automatiser BitLocker avec PowerShell • Contrôle d’accès dynamique • Donner l’accès au SI aux populations nomades • Identité et authentification forte • Contrôle de conformité • Solutions d’accès distant côté serveur • Réseaux privés virtuels. Bureaux à distance. DirectAccess. Forefront Unified Access Gateway (UAG) 2010 • Publication d’applications et de bureaux distants • Infrastructure de bureaux virtuels • Topologie de déploiement d’une passerelle • Configuration • Installation du rôle RD Gateway sur Windows Server 2012. Stratégies d’autorisation. Stratégies CAP et RAP • RD Web. Déploiement sur le poste client. Flux RSS • Réseaux privés virtuels (VPN) • Configuration avec Windows Server 2012 • Surveillance • Configuration manuelle • Création d’un kit de connexion • DirectAccess pour les postes gérés • Architecture • IPv6. Flux réseaux externes et internes. ISATAP. NAT64/DNS64. Mécanismes de transitions IPv6 vers IPv4. IPsec. Serveur d’emplacement réseau. Serveurs d’infrastructure • Topologie déploiement • Comparaison par implémentation • Administration d’un poste connecté en DirectAccess • Windows To Go, environnement mobile • Scénarios d’utilisation. Bring Your Own Device (BYOD) et télétravail. Partage de PC • Configurations matérielles compatibles. Données utilisateur. Administration distante • Créer un support Windows To Go • Le Windows Store.

À qui s’adresse cet ouvrage ?

– Aux directeurs des systèmes d’informations (DSI) et aux responsables de la sécurité des systèmes d’information (RSSI) souhaitant limiter les risques pesant sur leurs postes de travail nomades ;

– Aux ingénieurs systèmes et réseaux, consultants et architectes.

Biographie auteur

A. Jumelet

Ingénieur en informatique diplômé de l’ESIEA et spécialisé dans les domaines de la sécurité de l’information et les architectures Cloud, Arnaud Jumelet travaille à la direction Technique chez Microsoft France où il est entré en 2007 en tant que consultant en sécurité. Il est certifié CISSP, ITIL Foundations et CCSK.

S. Quastana

Stanislas Quastana a été consultant Infrastructure et Sécurité chez Microsoft quatre ans en 2000, avant de devenir architecte Infrastructure dans la division DPE. Spécialisé dans les infrastructures Windows, la sécurité des systèmes d’information, la virtualisation et le Cloud, il est certifié CISSP, ISO 27001 Lead Auditor, ITIL Foundations, CCSK et MCSE.

P. Saulière

Après dix années passées comme architecte sécurité à la direction Technique chez Microsoft France, Pascal Saulière a rejoint en 2012 la division DPE en tant qu’architecte Infrastructure et Sécurité. Ses domaines d’expertise sont Windows Server et client, la sécurité des systèmes d’information et d’Internet, la virtualisation et le Cloud. Il est certifié CISSP depuis 2004 et CCSK.

www.editions-eyrolles.com

Sécurité
et mobilité

Windows 8

pour les utilisateurs nomades

UEFI • BitLocker et AppLocker • DirectAccess • VPN
• SmartScreen • Windows Defender…

Arnaud Jumelet
Stanislas Quastana
Pascal Saulière

Préface de Bernard Ourghanlian

ÉDITIONS EYROLLES

61, bd Saint-Germain

75240 Paris Cedex 05

www.editions-eyrolles.com

Remerciements à Anne Bougnoux pour sa relecture.

En application de la loi du 11 mars 1957, il est interdit de reproduire intégralement ou partiellement le présent ouvrage, sur quelque support que ce soit, sans l’autorisation de l’Éditeur ou du Centre Français d’exploitation du droit de copie, 20, rue des Grands Augustins, 75006 Paris.

© Groupe Eyrolles, 2013, ISBN : 978-2-212-13642-5

Chez le même éditeur

Préface

« La sécurité est un voyage… »

SEHOP, DEP, UAC, ASLR, LUA, SRP, Applocker, Bitlocker, AppContainer, SDL… voici une liste non exhaustive des cailloux qui sont venus progressivement paver le long chemin de Windows vers une meilleure sécurité depuis plus de 10 ans.

Voici, sans attendre ce qui sera détaillé dans cet ouvrage, la signification de ces différents sigles et acronymes. SEHOP : Structured Exception Handling Overwrite Protection. DEP : Data Execution Prevention. UAC : User Account Control. ASLR : Address Space Layout Randomization. LUA : Least-privilege User Account. SRP : Software Restriction Policies. AppLocker : pour appliquer des listes blanches ou des listes noires d’applications dans un environnement d’entreprise, peut être utilisé pour permettre ou empêcher l’exécution d’un logiciel en fonction du nom, du numéro de version ou de l’éditeur. BitLocker : chiffrement des volumes disque. AppContainer : fonctionnalité de Windows 8 faisant fonctionner les applications du Windows Store dans un « bac à sable ». SDL : Security Development Lifecycle.

Qu’il me soit permis de revenir brièvement sur quelques-unes de ces étapes. Nous sommes le 15 janvier 2002 et Bill Gates envoie son désormais célèbre e-mail à l’ensemble des collaborateurs de Microsoft, lançant l’initiative pour l’informatique de confiance. Y sont détaillées les qualités premières d’une plate-forme digne de confiance (disponibilité,...

Avant-propos

Il y a à peine quelques années, le « poste de travail » portait bien son nom : PC fixe, fidèle au poste, immobile sur le bureau de l’utilisateur. La sécurité était relativement simple à appréhender : il y avait le réseau interne, la périphérie et le reste du monde. Le poste de travail, comme les serveurs, était du bon côté de la barrière.

C’est un lieu commun de dire que l’utilisateur d’aujourd’hui est mobile, travaille chez lui, dans le train ou les aéroports, et pas uniquement sur un PC : la tablette et le smartphone sont plus que des périphériques compagnons d’un PC portable. L’utilisateur a aussi son propre matériel et entend l’utiliser, ou, dans certains cas, fait un usage personnel d’un matériel fourni par la DSI.

Il faut donc tenir compte des appareils variés, maîtrisés ou non, personnels ou non, mobiles dans tous les cas, et toujours en faisant en sorte que le bon niveau de sécurité soit appliqué en fonction des risques. Le contexte étant posé, nous allons exposer dans cet ouvrage les réponses de Windows 8 et quels éléments il apporte dans le nécessaire équilibre à trouver entre les nouveaux usages et la maîtrise des données de l’entreprise.

...

1

Les contraintes du poste de travail mobile

Si on demande aux utilisateurs professionnels les caractéristiques idéales de leur futur poste de travail, la majorité des réponses devrait être : léger, autonome, ultraconnecté, beau et suffisamment puissant.

La même question posée à des responsables de parc informatique se verra complétée par : sécurisé, administrable, avec un coût raisonnable.

Ce chapitre a pour objectif de faire un état des lieux du poste de travail nomade moderne avec ses défis en termes de besoins utilisateur versus sécurité, administration et coût.

Postes d’entreprise vs postes personnels

La consumérisation de l’informatique est une tendance selon laquelle les utilisateurs professionnels font usage de matériels, logiciels ou services personnels pour leur travail dans l’entreprise. Le résultat de cette utilisation « sauvage » de technologies est une véritable pression sur les responsables des systèmes d’information et sur les responsables de la sécurité des systèmes d’information (RSSI) !

Le terme consumérisation n’est pas nouveau (il a été popularisé en 2001, Gartner en parlait déjà en 2005), mais le fort développement des services de Cloud Computing et de la mobilité a beaucoup accéléré le développement de cette tendance.

En août 2011, le cabinet Gartner a publié son célèbre Hype Cycle for Emerging Technologies, dans lequel ses analystes estiment que la consumérisation mettra 5 à 10 ans à imposer son potentiel dans les systèmes d’information.

Il ne faut pas se voiler la face : aujourd’hui, de plus en plus d’employés utilisent pour leur travail quotidien des équipements personnels inconnus des services informatiques. Au-delà des clés USB, disques durs externes et autres smartphones, c’est aujourd’hui les PC et tablettes tactiles qui entrent dans nos systèmes d’information.

Le phénomène n’est pas nouveau (cela fait déjà quelques années que des netbooks ont fait leur apparition sur les bureaux), mais il subit désormais une forte accélération pour plusieurs raisons.

• Les PC portables sont de plus en plus puissants et attrayants, et de moins en moins chers. Un PC portable avec processeur multicœur, 4 Go de mémoire, lecteur de DVD… se trouve facilement à moins de 400 euros.

• Dans certains parcs vieillissants d’entreprises, les employés doivent encore travailler sur des PC d’un autre âge (écrans cathodiques, moins de 1 Go de RAM…) avec des systèmes inconnus des jeunes enfants ; il existe encore des professionnels utilisant en production des serveurs Windows NT 4.0 et...

2

Démarrage sécurisé

Un système d’exploitation moderne tel que Windows 8 tire avantage des caractéristiques matérielles (UEFI, TPM) pour établir un cadre de confiance.

Ce chapitre rappelle les fondamentaux comme le rôle du firmware et la complémentarité du module cryptographique TPM (Measured Boot) lors du démarrage de la plateforme. Ensuite est présenté et détaillé le mécanisme de démarrage sécurisé (Secure Boot) qui contrôle la séquence de démarrage. Enfin, en amont de l’initialisation de Windows 8, les avantages du lancement anticipé d’un anti-malware (ELAM) sont décrits.

Qu’est-ce qu’un firmware ?

Tous les ordinateurs possèdent un firmware. Il s’agit du premier programme qui s’exécute sur un ordinateur lors de sa mise sous tension électrique.

Le rôle du firmware est d’abord d’identifier les composants de l’ordinateur, de les initialiser, d’en vérifier le bon fonctionnement, puis de transférer l’exécution au programme stocké sur le premier périphérique de démarrage disponible.

Les réglages du firmware sont sauvegardés dans une petite mémoire interne de type CMOS ou NVRAM.

Grâce à ce mécanisme, l’ordinateur est capable d’exécuter un programme d’amorçage depuis un disque dur, un support optique (CD ou DVD), un support amovible de type clé USB ou bien sur un serveur accessible depuis le réseau local.

Avec Windows To Go, une nouveauté disponible dans l’édition Enterprise de Windows 8, il est désormais possible d’exécuter Windows 8 directement depuis une clé USB sans installation préalable. Pour cela, il faut que le firmware soit paramétré pour reconnaître une clé USB comme un périphérique de démarrage prioritaire par rapport à un disque dur.

L’ordre de priorité des périphériques de démarrage (boot device) est un réglage important qui détermine et régit le comportement de l’ordinateur lorsqu’il s’allume. Ce réglage est déterminant pour le fonctionnement de Windows To Go.

Le firmware permet aux logiciels, et surtout aux programmes de démarrage, d’interagir avec le matériel par l’intermédiaire d’interfaces de programmation standardisées. Lors de son démarrage, Windows s’appuie sur les services du firmware pour dialoguer avec le matériel.

Les types de firmwares

Il existe deux types de firmwares.

• BIOS (Basic Input Output System)
Le premier type de firmware disponible pour les ordinateurs est le BIOS. Pour rappel, il est apparu au début des années 1980 avec les ordinateurs ayant une architecture compatible PC.

• UEFI (Unified Extensible Firmware Interface)
Le second type de firmware est UEFI, dont la spécification est apparue en 2005. Elle apporte un lot d’améliorations sur les performances et la sécurité afin de remplacer les firmwares de type BIOS. Le service de sécurité (Secure Boot) est détaillé dans ce chapitre.
La spécification UEFI a été conçue pour fonctionner avec des disques de très grande capacité en utilisant un nouveau type de partitionnement, le GPT (GUID Partition Table). Ce dernier lève les limitations de l’ancien modèle de partitionnement, MBR (Master Boot Record), qui imposait des tailles de partitions inférieures à 2,2 téraoctets. Avec le modèle GPT, la taille d’une partition peut atteindre 9,4 zettaoctets (1 Zo = 1 000 000 000 To).

Un ordinateur certifié Windows 8 possède un firmware de type UEFI. Sous Windows 8, la prise en charge du standard UEFI est faite sur le numéro minimal de version 2.3.1 (publié en avril 2011), ainsi que sur les architectures ARM et 64 bits.

Démarrage d’un ordinateur sous Windows 8

On distingue quatre grandes étapes lors de la mise sous tension d’un ordinateur équipé de Windows 8.

1 Exécution du firmware (BIOS ou UEFI).

2 Exécution du gestionnaire de démarrage (Boot Manager).

3 Exécution du chargeur de démarrage (Winload.exe).

4 Exécution du système d’exploitation (Ntoskrnl.exe).

Les sections suivantes détaillent les étapes de démarrage d’un ordinateur selon le type de firmware.

CONVERSION

Si Windows 8 est déjà installé en utilisant le BIOS, il ne peut pas être converti en UEFI. Une nouvelle installation en mode UEFI est dans ce cas nécessaire.

Démarrage d’une plate-forme compatible BIOS

Un ordinateur compatible BIOS s’initialise et suit la séquence de démarrage décrite ci-après.

Figure 2–1
La séquence de démarrage de Windows 8 sur une plate-forme compatible BIOS

5 Le BIOS identifie les périphériques connectés à la carte mère (disque dur, clé USB, lecteur optique, etc.), charge en mémoire le premier secteur du périphérique de démarrage disponible et sélectionné...

3

Mécanismes d’ouverture de session

Ce chapitre décrit les principales nouveautés concernant l’ouverture de session dans Windows 8 puis, après avoir rappelé les mécanismes de contrôle d’accès sous Windows, présente comment les applications modernes sont isolées entre elles et du reste du système.

Windows 8 ajoute de nouveaux usages à Windows, au travers des tablettes, du Windows Store et des applications dites modernes. Ces nouveaux usages et la connectivité quasi permanente à Internet supposent un nouveau modèle de confiance, auquel les quelques briques techniques présentées dans ce chapitre participent. Nous allons en effet nous intéresser ici à quelques fonctionnalités de base dans le modèle de sécurité de Windows 8, comme l’ouverture de session, le contrôle d’accès et l’isolation des applications Windows 8.

Authentification des utilisateurs

Ouverture de session

L’ouverture de session est un mécanisme crucial du système d’exploitation, quel qu’il soit. Cela n’a pas toujours été le cas. En effet, les plus anciens se souviendront qu’à l’époque des débuts de MS-DOS, au début des années 1980, la notion n’existait pas : il suffisait d’allumer son ordinateur et, quelques secondes ou minutes plus tard, on pouvait lancer l’application dont on avait besoin. Petit à petit, la connectivité réseau et les environnements multi-utilisateurs ont naturellement rendu nécessaire de distinguer les utilisateurs. Depuis Windows NT dans les années 1990 et jusqu’à aujourd’hui, chaque utilisateur doit en principe fournir un nom et un mot de passe pour accéder à son ordinateur. Dans la pratique, cette obligation est la norme en entreprise. En revanche, ce n’est pas toujours le cas sur un système personnel qui, souvent, est utilisé par une seule personne, laquelle n’est pas prête à entrer un mot de passe complexe plusieurs fois par jour. Dans certains foyers, l’ordinateur est partagé entre plusieurs personnes, mais tous utilisent la même session utilisateur.

Les usages, même personnels, évoluent et la mobilité des tablettes par exemple exige un minimum de précautions. Si vous perdez votre tablette personnelle et si rien n’empêche un inconnu d’accéder à vos e-mails ou à votre compte Facebook, vous regretterez de ne pas avoir mis en place une ouverture de session avec au moins un mécanisme simple comme un code PIN. De même, les usages connectés comme les réseaux sociaux sont simplifiés si, par exemple, chaque utilisateur du PC ou de la tablette familiale utilise sa propre session isolée des autres membres de la famille.

L’ouverture de session est donc le mécanisme indiquant au système quel est l’utilisateur qui s’en sert, autrement dit sous quelle identité vont s’exécuter les programmes, quels comptes de réseaux sociaux ou de services en ligne utiliser, etc.

Pour décrire le processus d’ouverture de session, il faut présenter l’écran de verrouillage (lock screen), l’écran d’ouverture de session (sign-in screen), les trois types de comptes utilisateur et les trois types de mots de passe acceptés par Windows 8.

L’écran de verrouillage

L’écran de verrouillage (lock screen) est le premier écran présenté à l’utilisateur. Il affiche une image personnalisable, l’heure et la date courantes. En plus de cela, des notifications de deux types sont affichées sous la date.

• On trouve tout d’abord des notifications propres au système, comme la connectivité réseau et l’état de charge de la batterie.

• Si une session est déjà ouverte, des notifications propres à l’utilisateur peuvent s’y ajouter, comme un indicateur de messages reçus ou le prochain rendez-vous. Ces notifications utilisateur sont personnalisables et l’utilisateur peut choisir quelles applications sont autorisées à utiliser cette fonction.

Figure 3–1
Configuration de l’écran de verrouillage et des applications qui peuvent afficher des notifications sur celui-ci

Figure 3–2
Écran de verrouillage, sans session ouverte

Figure 3–3
Écran de verrouillage, avec une session ouverte : l’application Courrier indique combien de messages attendent d’être lus.

À partir de l’écran de verrouillage, par défaut, il suffit de taper une touche quelconque du clavier pour accéder à l’écran d’ouverture de session. Sur un écran tactile comme celui d’une tablette, il suffit de faire un balayage vers le haut.

La combinaison de touches Ctrl+Alt+Suppr

Les plus perspicaces auront remarqué que, là où il était coutume de taper la combinaison de touches Ctrl+Alt+Suppr pour accéder à la fenêtre ou l’écran d’ouverture de session, il suffit maintenant de taper une touche quelconque ou de toucher l’écran. Un peu d’histoire s’impose ici afin de comprendre l’évolution du système sur ce point.

Windows 8 est l’héritier de Windows NT, dont les premières versions remontent à 1993. Les principales versions ont été Windows NT 3.51 en 1995, Windows NT 4.0 en 1996, Windows 2000 en 1999, Windows XP en 2001, Windows Vista en 2006, Windows 7 en 2009 et enfin Windows 8 en 2012.

Avant Windows XP, deux familles de Windows existaient : d’un côté, la famille professionnelle avec Windows NT puis Windows 2000 et, de l’autre, la famille grand public avec Windows 3.x, Windows 95, Windows 98, Windows 98 SE puis Windows Me.

Les deux familles étaient clairement séparées et, du côté professionnel, les impératifs de certification de sécurité étaient primordiaux. Ainsi l’ouverture de session dans cette gamme était nécessairement protégée par un mécanisme appelé SAS (Secure Attention Sequence). Ce terme désigne la combinaison de touches Ctrl+Alt+Suppr : le principe est que le système est conçu de telle façon que cette combinaison précise de touches ne peut en aucun cas être interceptée par un programme autre que celui...

4

Protection contre le code malveillant

La cybercriminalité est aujourd’hui une réalité à laquelle quiconque naviguant sur le Web est exposé. Windows 8 a été conçu pour protéger les utilisateurs contre les menaces d’Internet en bloquant les programmes malveillants connus et en aidant les utilisateurs à prendre la bonne décision face à un programme inconnu.

Ce chapitre détaille les mécanismes de protection apportés par Windows Defender. Ensuite, il explique le principe de fonctionnement de Windows SmartScreen. Enfin, à l’échelle d’une entreprise, les apports de la solution SCEP 2012 sont détaillés.

Protection contre les programmes malveillants

Windows Defender et Windows SmartScreen aident à lutter contre les virus, les programmes espions et autres codes malveillants.

Dès le démarrage du système, Defender analyse les fichiers en temps réel et les compare à une base de signatures afin de s’assurer qu’ils ne sont pas connus pour avoir un comportement potentiellement dangereux. Ce logiciel de protection contre les programmes malveillants offre le même niveau de protection que Microsoft Security Essentials (disponible gratuitement en téléchargement).

À RETENIR Protection antivirus

SmartScreen et Defender sont intégrés à Windows 8 et Windows RT, et ils protègent l’ordinateur en temps réel contre les virus, les logiciels espions et autres codes malveillants.

SmartScreen est une nouveauté de Windows 8 qui vise à protéger l’ordinateur contre les nouveaux programmes malveillants qui ne seraient pas encore détectés par les antivirus du marché. En effet, cette application aide les utilisateurs à prendre la bonne décision avant d’exécuter des programmes téléchargés depuis Internet. SmartScreen est un service en ligne de type cloud, dont le principe de fonctionnement repose sur la réputation ou, plus précisément, sur l’absence de réputation.

Windows Defender, l’anti-malware de Windows 8

Sous Windows 8, Defender offre une protection complète contre tous les types de programmes malveillants et ceux potentiellement indésirables. Il s’agit là d’une évolution majeure par rapport aux versions précédentes, qui se limitaient au blocage des programmes espions (spywares).

Defender est compatible avec la technologie ELAM. De plus, il s’exécute automatiquement en arrière-plan dès le démarrage du système, grâce au service Windows WinDefend.

Il affiche une interface graphique uniquement si des actions...

5

Contrôle des applications

Avec les Windows Apps, Windows 8 prend en compte les nouveaux usages dans lesquels les utilisateurs souhaitent travailler tout en gardant le contact avec la sphère privée. Bien entendu, les applications traditionnelles continuent à s’exécuter sur le Bureau.

Ce chapitre décrit brièvement ce qui distingue les applications traditionnelles et celles dites modernes. Ensuite, il explique comment utiliser Windows Update pour télécharger et installer automatiquement les dernières mises à jour. Enfin, la technologie App Locker est détaillée afin de restreindre et contrôler l’accès aux applications.

Les applications Windows 8

Les applications de Bureau

Les applications de Bureau sont des programmes Windows 8 qu’on installe et configure comme sur les versions précédentes du système. Traditionnellement, les développeurs parlent d’applications Win32 qui s’exécutent sur le Bureau de l’utilisateur.

Les applications de Bureau sont pour la plupart fournies en tant que fichiers *.msi et utilisent la technologie Windows Installer pour installer l’ensemble des fichiers nécessaires à l’exécution de l’application. Certaines applications sont également livrées sous la forme de fichiers exécutables (*.exe) qui embarquent une technologie d’installation spécifique.

Les Windows Apps

Communément connus sous le nom d’applications Modern UI, plus simplement Windows Apps ou encore Windows Store Apps, les Apps sont des applications modernes et exclusives aux plates-formes Windows 8 et Windows RT. Elles sont téléchargées ou achetées sur le Windows Store, puis directement installées à travers Internet, et mises à disposition sur l’écran de démarrage Modern UI à travers des vignettes ; il suffit de cliquer sur ces vignettes (ou de les toucher sur les écrans tactiles) pour lancer leur exécution.

Ces programmes sont disponibles sous forme packagée (*.appx) et utilisent le service Windows Installer pour s’installer sur l’ordinateur.

Les Windows Apps sont installables par un utilisateur standard, contrairement à certaines applications de Bureau qui nécessitent parfois des privilèges d’administrateur pendant la phase d’installation.

Dans le contexte d’une organisation, les Apps peuvent être développées en interne et déployées par le réseau à travers un outil de télédistribution comme System Center Configuration Manager.

Pour installer des Apps de confiance développées en interne ou par des développeurs tiers, il faut activer le paramètre Autoriser l’installation des applications approuvées se trouvant dans la stratégie de groupe : Configuration Ordinateur > Modèles d’administration > Composants Windows > Déploiement de package Appx.

Mises à jour automatiques sous Windows 8

Avec les mises à jour automatiques, il est inutile de rechercher les correctifs critiques de Windows éventuellement manquants sur votre ordinateur. Windows Update installe automatiquement les mises à jour importantes dès qu’elles sont disponibles.

...

7

Donner l’accès au SI aux populations nomades

Ce chapitre présente les technologies à mettre en œuvre pour offrir des accès distants sécurisés au système d’information.

Figure 7–1
Une vision un peu extrême du travail en situation de mobilité, mais techniquement possible

Quelles technologies d’accès ?

Accéder à Internet est désormais possible depuis quasiment n’importe où, grâce à :

• l’extension de la couverture d’Internet haut débit via l’ADSL, le câble ou la fibre ;

• le développement des réseaux de type hotspot Wi-Fi ;

• la mise à disposition d’accès Wi-Fi dans les trains et avions ;

• l’expansion rapide de la couverture de l’Internet mobile (3G et 4G) ;

• la démocratisation des PC portables, ultrabooks, netbooks, tablettes et autres équipements communicants.

Les entreprises encouragent de plus en plus (de manière plus ou moins forcée en fonction de l’actualité) à travailler à distance et cela avec les avantages et inconvénients associés.

Tout cela...

8

Publication d’applications et de Bureaux distants

Ce chapitre décrit l’organisation et le fonctionnement d’une passerelle Bureau à distance pour donner aux postes nomades (gérés ou non par l’administrateur) un accès transparent et sécurisé au système d’information de l’entreprise.

Infrastructure de Bureaux virtuels

Windows Server 2008 R2 et 2012 permettent, via les services de Bureau à distance, de publier directement des Bureaux distants (Remote Desktop) ou des applications distantes (RemoteApps).

Ces technologies s’appuient sur le protocole de connexion Bureau à distance (RDP, Remote Desktop Protocol) et consistent principalement à déporter sur le poste client l’affichage d’une application (ou d’un Bureau complet) qui, elle, est exécutée sur un serveur.

Figure 8–1
Principe général des services de Bureau à distance

L’accès en situation de nomadisme au Bureau à distance (complet ou RemoteApp) se fait au travers de la passerelle Bureau à distance (RD Gateway).

Figure 8–2
Architecture basique d’accès distants aux services de Bureaux/applications distants

Une passerelle Bureau à distance offre aux utilisateurs hors du réseau de l’entreprise (et disposant d’une connexion Internet) un accès transparent aux services de Bureaux distants, sans nécessiter l’établissement d’une connexion réseau de type réseau privé virtuel (VPN : Virtual Private Network).

Les flux réseau RDP sont encapsulés de différentes manières :

• dans du RPC lui-même encapsulé dans du HTTPS ;

• dans du HTTPS : pour les clients compatibles RDP 8.0 connectés à une passerelle Bureau à distance Windows Server 2012 ;

• dans de l’UDP sécurisé : pour...

9

Réseaux privés virtuels

Ce chapitre traite de la mise en œuvre d’accès distants au travers de réseaux privés virtuels pour les postes gérés ou non par l’administrateur. Il comprend l’installation des composants de serveur sur Windows Server 2012 et la configuration de ces connexions sur un poste Windows 8.

Fonctionnement

Windows Server 2008 R2 et 2012 contiennent un rôle appelé RRAS (Remote and Routing Access Server) pour utiliser le serveur en tant que passerelle de réseaux privés virtuels (VPN, Virtual Private Network).

Cette passerelle donne aux clients VPN (qu’ils soient gérés ou non par le service informatique de l’entreprise) une connectivité réseau IP, complète ou limitée via des filtres, au système d’information. Chaque client VPN connecté se voit attribuer une adresse IP supplémentaire utilisable dans le système d’information, ainsi que les informations de routage...