Les autorisations d'accès de disque NTFS pour les supports amovibles ou externes pourraient être contournées.

INTRODUCTION

Nous sommes conscients des informations détaillées et des outils qui peuvent être utilisés pour accéder aux fichiers sur des périphériques amovibles. Ces outils peuvent contourner les autorisations de fichiers NTFS sur les distributions non serveur de Microsoft Windows. Nous sommes conscients que ce problème peut affecter les disques internes, les disques durs considérés comme amovibles ainsi que les supports externes tels que les périphériques USB, les contrôleur Firewire et E-SATA, les cartes SD et d'autres supports amovibles. Nous sommes conscients de situations dans lesquelles les disques, sur certains contrôleurs de stockage, peuvent être marqués comme étant « amovibles » quelle que soit leur position physique à l'intérieur ou à l'extérieur du boîtier de l'ordinateur, ou le type de connexion utilisé par le disque. 

Ce problème n'affecte pas le volume du système primaire (c'est-à-dire l'appareil à partir duquel Windows est actuellement exécuté).

Les systèmes qui sont affectés dans une configuration par défaut sont plus exposés. Cela inclut par exemple les systèmes à plusieurs disques qui exécutent Windows Vista, Windows 7 et Windows 8.

Plus d'informations

Résolution

Nous recommandons aux clients souhaitant préserver des autorisations de disque au niveau de système d'exploitation pour des disques secondaires marqués comme étant « amovibles » de procéder à l'une des méthodes de renforcement suivantes :

• Activer Microsoft Bitlocker (recommandé).

• Activer les contrôles pour l'accès en lecture et en écriture aux supports ou périphériques amovibles.

Aidez-moi

Forum Aux Questions

• Pourquoi Windows propose-t-il des stratégies de sécurité différentes pour différents types de supports de stockage ?
  Windows prend en charge de nombreux périphériques de stockage, des disques durs traditionnels tels que les lecteurs de disque dur et les disques SSD, aux disques amovibles tels que les cartes SD et les lecteurs flash USB. La prise en charge de nombreux périphériques de stockage permet aux clients d'utiliser Windows dans de nombreux cas de figure avec le riche écosystème de matériel compatible Windows. Cela inclut les périphériques grand public tels que les caméras, téléphones portables, etc. Windows fournit une excellente expérience de bout en bout dans tous ces cas de figure et pour tous ces périphériques, dans tous les différents environnements sur lesquels Windows est déployé, de la maison à la société en passant par la petite entreprise. 
  
  Concevoir Windows afin qu'il prenne en charge ces différents cas de figure demande une certaine compréhension des diverses exigences et priorités associées à chaque cas de figure. Citons notamment un ensemble de considérations telles que le confort d'utilisation, la sécurité, la facilité de gestion et d'autres fonctionnalités. Par conséquent, il existe des différences dans la manière dont certaines catégories de périphériques de stockage sont gérées du point de vue de la sécurité. Cela reflète de nombreux facteurs. Ils comprennent l'environnement dans lequel le périphérique est utilisé (qu'il s'agisse, par exemple, d'un environnement principalement domestique ou d'un environnement d'entreprise) et si le périphérique sera utilisé parmi d'autres. Ils comprennent des périphériques non basés sur Windows. 
  

• Quelle est la cause du problème ?
  Dans le domaine des stratégies de sécurité, la principale différence réside dans les disques traditionnels, durs et amovibles.
  
  Par défaut, l'accès aux données stockées sur un disque dur traditionnel est limité par les listes de contrôle d'accès (ACL) du système, qui requièrent des autorisations d'administration élevées. Cette spécificité permet de fournir un niveau de sécurité approprié dans différents environnements. Elle vaut tant pour les systèmes utilisateur unique que pour les systèmes multi-utilisateur. Dans la plupart des ordinateurs, le disque dur contient les données importantes telles que le système d'exploitation, et les ACL requièrent des informations d'identification d'administration élevées pour accéder à ces données. Windows fournit différents outils de gestion afin que cette stratégie puisse être contrôlée de manière plus détaillée, si nécessaire. Ceux-ci incluent Bitlocker, la stratégie de groupe et des ACL supplémentaires. Sur les disques durs, les utilisateurs non administratifs ne peuvent pas exécuter d'outils de niveau volume, tels que le formatage, ou disposer d'un accès direct de niveau bloc aux contenus du système de fichiers.  
  
  Les supports amovibles, en revanche, sont essentiellement conçu pour être transportés entre différents périphériques. Il s'agit notamment d'appareils électroniques grand public et de périphériques non basés sur Windows, tels que des caméras et des téléphones mobiles. Par défaut, l'accès aux données stockées sur un support amovible ne requiert pas d'autorisations d'administration élevées. Ces périphériques sont généralement associés à des appareils électroniques grand public. Vous devez vous assurer que les données sur ces périphériques sont faciles d'accès et aisément gérables. Par exemple, si le système de fichiers d'un périphérique amovible est corrompu, l'utilisateur peut exécuter chkdsk et tenter de réparer le dommage. Dans les environnements dans lesquels une sécurité accrue est primordiale, les clients peuvent implémenter des contrôles supplémentaires afin d'empêcher l'accès aux supports amovibles, ou exiger que tous les supports amovibles soient chiffrés. Cela limite l'utilisation de supports amovibles dans le cadre des exigences de sécurité. 
  

• Comment déterminer si ma configuration est vulnérable ?
  Les utilisateurs peuvent déterminer s'ils disposent de périphériques amovibles dans leur environnement à l'aide de l'icône d'accès rapide « Retirer le périphérique en toute sécurité » dans la zone de notification du bureau. Si un périphérique est répertorié dans ce menu, cela signifie qu'il est marqué comme étant « amovible ».
  
  Les utilisateurs peuvent également accéder à une liste des périphériques amovibles via le Panneau de configuration. Par exemple, ouvrez Tous les Panneaux de configuration, ouvrez Périphérique et imprimantes, puis cliquez sur l'onglet Périphériques tab.
  
  Reportez-vous à la section « Comment savoir si votre environnement est affecté » pour plus d'informations sur l'utilisation de Windows PowerShell et déterminer si votre configuration est vulnérable.
  

• Quels sont les systèmes d'exploitation Windows affectés dans les configurations par défaut ?
  Windows Vista, Windows 7 et Windows 8 sont affectés dans les configurations par défaut.
  

• Quels sont les risques potentiels de la mise en œuvre d'accès en lecture et en écriture sur un support amovible via la stratégie de groupe ? 
  La restriction d'accès aux périphériques de stockage amovibles via la stratégie de groupe peut entraîner l'échec de certaines applications ou le besoin en autorisations élevées. Par exemple, votre logiciel de sauvegarde peut ne pas effectuer de sauvegarde vers ou depuis les périphériques amovibles. De même, toute vérification de disque (chkdsk) ou activité de type formatage de disque requiert des autorisations d'administration. Cela entraîne potentiellement l'échec du logiciel de manipulation et de gestion de disque en mode d'exécution limité.
  

• Quels sont les risques potentiels de Bitlocker ?
  BitLocker est la solution recommandée pour la sécurité des données avec des périphériques amovibles. L'utilisation de Bitlocker entraîne une légère baisse des performances lorsqu'il chiffre et déchiffre des données. 
  

• Que pourrait faire un utilisateur malveillant en exploitant cette vulnérabilité ?
  Une personne malveillante disposant d'accès non administratifs pourrait lire ou écrire un disque, qu'il soit un administrateur local ou non. Une personne malveillante disposerait d'accès arbitraires en lecture et en écriture au système de fichier et de périphériques. Cela pourrait mener à des divulgations d'informations ciblées.
  

Accusés de réception

Microsoft remercie les personnes suivantes de leur collaboration pour protéger les clients :

• George Georgiev Valkov, pour avoir collaboré avec nous sur ce problème.