INTRODUCTION
Nous avons connaissance d’informations détaillées et d’outils qui peuvent être utilisés pour accéder aux fichiers sur des périphériques amovibles. Ces outils peuvent contourner les autorisations de fichiers NTFS sur les distributions autres que serveur de Microsoft Windows. Nous sommes conscients que ce problème peut affecter les disques internes, les disques fixes marqués comme amovibles, ainsi que les supports externes tels que USB, Firewire, E-SATA, SD et d’autres supports amovibles. Nous avons connaissance de situations dans lesquelles les disques de certains contrôleurs de stockage peuvent être marqués comme « amovibles », quelle que soit leur position physique à l’intérieur ou à l’extérieur du boîtier de l’ordinateur ou le type de connexion utilisé par le disque.
Ce problème n’affecte pas le volume système principal (c’est-à-dire le périphérique à partir duquel Windows est en cours d’exécution).
Les systèmes concernés par une configuration par défaut sont principalement exposés. Par exemple, cela inclut les systèmes à plusieurs disques qui exécutent Windows Vista, Windows 7 et Windows 8.
Informations supplémentaires
Comment savoir si votre environnement est affecté
- Ouvrez une fenêtre d’invite de commandes avec élévation de privilèges. Pour ce faire, cliquez sur Démarrer, tapez CMD, cliquez avec le bouton droit sur Cmd.exe, puis cliquez sur Exécuter en tant qu’administrateur.
- Tapez la commande suivante à l’invite de commandes avec élévation de privilèges, puis appuyez sur Entrée :
PowerShell - Tapez la commande suivante à l’invite de Windows PowerShell :
Get-WmiObject - Classe Win32_DiskDrive | Format-Table nom, modèle, MediaType
Ce script retourne un résultat semblable à ce qui suit :
| Name (Nom) | Modèle | MediaType |
|---|---|---|
| \\.\PHYSICALDRIVE0 | ST31000528AS | Support de disque dur fixe |
| \\.\PHYSICALDRIVE3 | Périphérique USB WD Ext HDD 1021 | Support de disque dur externe |
| \\.\PHYSICALDRIVE4 | Périphérique USB Corsair Voyager 3.0 | Média amovible |
Si le MediaType renvoyé est « Média amovible » ou « Support de disque dur externe », la configuration est affectée par le problème décrit dans cet article.
Résolution
Nous recommandons aux clients qui souhaitent conserver les autorisations de disque au niveau du système d’exploitation pour les disques secondaires marqués comme « amovibles » d’effectuer l’une des étapes de renforcement suivantes :
- Activez Microsoft Bitlocker (recommandé).
- Activez les contrôles d’accès en lecture et en écriture aux périphériques ou supports amovibles.
Activer les contrôles d’accès en lecture et en écriture aux périphériques ou supports amovibles
Pour activer les contrôles d’accès en lecture et en écriture aux périphériques ou supports amovibles, procédez comme suit :
- Appuyez sur la touche Windows et R pour ouvrir le menu Exécuter .
- Tapez MMC.exe, puis appuyez sur Entrée.
- Dans le menu Fichier, cliquez sur le composant logiciel enfichable Add-Remove (CTRL+M), puis sélectionnez Éditeur d’objets de stratégie de groupe. Cliquez sur OK.
- Cliquez sur Parcourir, cliquez sur l’onglet Utilisateurs , puis double-cliquez sur Non-administrateurs.
- Cliquez sur Terminer, puis sur OK.
- Dans le volet de navigation, développez Ordinateur local\Stratégie non-administrateurs, Configuration utilisateur, Modèles d’administration, Système, puis cliquez sur Accès au stockage amovible.
- Double-cliquez sur Toutes les classes de stockage amovibles : Refuser tout accès, puis cliquez pour sélectionner l’option Activé .
- Cliquez sur Appliquer, puis sur OK.
Si vous ne pouvez pas effectuer ces étapes de renforcement de la sécurité, nous vous recommandons de ne pas stocker d’informations sensibles sur les disques ou les périphériques concernés. Par exemple, ne stockez pas d’informations personnelles ou d’authentification lorsque différents utilisateurs partagent un poste de travail ou de sauvegardes du système de fichiers. Pour plus d’informations, contactez le fabricant du matériel de votre contrôleur de disque.
Des solutions automatisées de correction Microsoft sont disponibles pour configurer automatiquement les systèmes afin d’interdire l’accès en lecture et en écriture aux périphériques amovibles.
Afin que nous puissions résoudre ce problème pour vous, consultez la section « Aidez-moi ».
Résolution automatique
Solutions de réparation pour Windows 7 ou Windows 8
Pour activer ou désactiver cette solution Fixit, cliquez sur le bouton ou le lien Réparer sous l’en-tête Activer ou Désactiver . Cliquez sur Exécuter dans la boîte de dialogue Téléchargement de fichier , puis suivez la procédure indiquée par l’Assistant Réparer.
| propriété | Disable |
|---|
Solutions de réparation pour Windows Vista
Pour activer ou désactiver cette solution Fixit, cliquez sur le bouton ou le lien Réparer sous l’en-tête Activer ou Désactiver . Cliquez sur Exécuter dans la boîte de dialogue Téléchargement de fichier , puis suivez la procédure indiquée par l’Assistant Réparer.
| propriété | Disable |
|---|
Notes
- Il se peut que ces assistants ne soient disponibles qu’en anglais. Toutefois, les correctifs automatiques fonctionnent également pour d’autres versions linguistiques de Windows.
- Si vous n’utilisez pas l’ordinateur concerné, vous pouvez enregistrer la résolution automatique sur un lecteur flash ou sur un CD-ROM et ensuite l’exécuter sur l’ordinateur concerné par le problème.
FAQ
Pourquoi Windows a-t-il des stratégies de sécurité différentes pour différents types de supports de stockage ?
Windows prend en charge de nombreux périphériques de stockage, depuis les disques fixes classiques, tels que les disques durs et les disques SSD, jusqu’aux disques amovibles, tels que les cartes mémoire Secure Digital et les lecteurs USB. La prise en charge de nombreux périphériques de stockage permet aux clients d’utiliser Windows pour de nombreux scénarios avec le riche écosystème de matériel compatible Windows. Cela inclut les appareils grand public tels que les appareils photo, les téléphones portables, etc. Windows offre une excellente expérience de bout en bout pour tous ces scénarios et appareils dans tous les différents environnements où Windows est déployé, du domicile à la petite entreprise en passant par l’entreprise.La conception de Windows pour prendre en charge ces différents scénarios nécessite de comprendre les différentes exigences et priorités associées à chaque scénario. Il s’agit notamment d’une série de considérations telles que la facilité d’utilisation, la sécurité, la facilité de gestion et d’autres fonctionnalités. Par conséquent, il existe des différences dans la façon dont certaines catégories de dispositifs de stockage sont gérées du point de vue de la sécurité. Cela reflète de nombreux facteurs. Il s’agit notamment de l’environnement dans lequel l’appareil sera utilisé (par exemple, principalement à la maison ou dans un environnement d’entreprise) et si l’appareil sera utilisé entre différents appareils. Cela inclut les appareils qui ne sont pas basés sur Windows.
Qu’est-ce qui a causé ce problème ?
La principale différence de stratégie de sécurité existe entre les disques fixes traditionnels et les disques amovibles.Par défaut, l’accès aux données stockées sur un disque dur classique est limité par des listes de Access Control système (ACL) pour nécessiter des autorisations administratives élevées. Cela fournit un niveau de sécurité approprié dans différents environnements. Cela permet d’avoir à la fois des systèmes mono-utilisateur et des systèmes multi-utilisateurs. Dans la plupart des PC, le disque dur est l’endroit où se trouvent des données importantes, telles que le système d’exploitation, et les listes de contrôle d’accès nécessitent des informations d’identification administratives élevées pour accéder à ces données. Windows fournit différents outils de gestion pour permettre de contrôler cette stratégie de manière plus détaillée, si nécessaire. Cela inclut Bitlocker, la stratégie de groupe et d’autres ACL. Sur les disques durs, les utilisateurs non administrateurs ne peuvent pas exécuter d’outils de niveau volume, tels que le formatage, ou avoir un accès direct au contenu du système de fichiers.
Les supports amovibles, en revanche, sont essentiellement conçus pour être transportés entre différents appareils. Il s’agit notamment des appareils électroniques grand public et des appareils qui ne sont pas basés sur Windows, tels que les appareils photo et les téléphones portables. Par défaut, l’accès aux données stockées sur un support amovible ne nécessite pas d’autorisations administratives élevées. Ces appareils sont généralement associés à des appareils électroniques grand public. Vous devez vous assurer que les données sur ces appareils sont faciles d’accès et faciles à gérer. Par exemple, si le système de fichiers d’un périphérique amovible est endommagé, n’importe quel utilisateur peut exécuter chkdsk et tenter de réparer cette altération. Dans les environnements dans lesquels la sécurité supplémentaire est une priorité, les clients peuvent implémenter des contrôles supplémentaires qui empêchent l’accès aux supports amovibles ou exigent que tous les supports amovibles soient chiffrés. Cela limite l’utilisation de supports amovibles dans le cadre des exigences de sécurité.
Comment faire déterminer si ma configuration est vulnérable ?
Les utilisateurs peuvent déterminer s’ils ont des appareils amovibles dans leur environnement à l’aide de l’icône d’accès rapide « Retirer le périphérique en toute sécurité » dans la zone de notification du bureau. Si un appareil est répertorié dans ce menu, cela signifie qu’il est marqué comme « amovible ».Les utilisateurs peuvent également accéder à une liste de périphériques amovibles dans le Panneau de configuration. Par exemple, ouvrez Tous les éléments du Panneau de configuration, ouvrez Périphériques et imprimantes, puis cliquez sur l’onglet Périphériques.
Voir la section « Comment savoir si votre environnement est affecté » pour plus d’informations sur l’utilisation de Windows PowerShell pour déterminer si votre configuration est vulnérable.
Quels systèmes d’exploitation Windows sont concernés dans les configurations par défaut ?
Windows Vista, Windows 7 et Windows 8 sont concernés dans les configurations par défaut.Quels sont les risques potentiels liés à l’application de l’accès en lecture et en écriture aux supports amovibles par le biais de la stratégie de groupe ?
La restriction de l’accès aux dispositifs de stockage amovibles par le biais de la stratégie de groupe peut entraîner l’échec de certaines applications ou nécessiter des autorisations élevées. Par exemple, votre logiciel de sauvegarde n’effectue pas de sauvegarde vers ou à partir des périphériques amovibles. De même, toute activité de type disque de case activée (chkdsk) ou de formatage de disque nécessite des autorisations administratives. Cela peut entraîner l’échec des logiciels de gestion et de manipulation des disques en mode d’exécution restreinte.Quels sont les risques potentiels liés à Bitlocker ?
Bitlocker est la solution recommandée pour la sécurité des données avec des appareils amovibles. L’utilisation de Bitlocker entraîne une légère diminution des performances lors du chiffrement et du déchiffrement des données.Quelles actions un attaquant pourrait-il faire en utilisant cette vulnérabilité ?
Un attaquant disposant d’un accès non administratif pourrait lire ou écrire sur un disque, qu’il s’agisse ou non d’un administrateur local. Un attaquant disposerait d’un accès arbitraire en lecture/écriture au périphérique et au système de fichiers. Cela pourrait conduire à une divulgation ciblée de l’information.
Remerciements
Microsoft remercie les personnes suivantes de collaborer avec nous pour aider à protéger les clients :
- George Georgiev Valkov pour avoir travaillé avec nous sur cette question.