Discussion :

[master_och]

Bonjour

Un ami vient de me faire découvrir une défaillance flagrante au niveau de la sécurité de windows 7 !!

En fait il a pu modifier le mot de passe de ma session sans qu'il le connaisse ... il a tout simplement tapé sur la ligne de de commande net user <nom de session> <nouveau mot de passe>, et ca a marché sans même demander l'ancien mot de passe !!

Ca m'a vraiment choqué !! mais comment une telle faille a-t-elle pu echapé au grand WINDOWS 7?!

y a-t-il au moins un moyen pour fixer ce défaut ?

[meziantou]

En effet de viens de tester sur ma session et ta technique fonctionne. Cependant je suis sur une session administrateur. Faudrait essayer sur une session utilisateur.

[Michaël]

Bonjour,
Ton système n'est plus protégé : tu as dû désactiver l'uac donc introduire toi-même ce problème. Sur un système avec uac et sans passer par une session admin :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
C:\Users\mik>net user mik mdptest
L'erreur système 5 s'est produite.

Accès refusé.

Donc pour moi, ton problème de sécurité n'en est pas un puisque si la protection est désactivée, je vois pas comment elle peut te protéger Si tu ne l'as pas désactivée, ça veut dire que quelqu'un d'autre l'a fait pour toi (un collègue, ami, virus). J'ajouterai également ceci : aucun système n'est infaillible, ça se saurait sinon

[meziantou]

Cependant il ne s'agit pas d'un bug ni d'une faille de sécurité. Cette fonction est bien détaillée.
http://support.microsoft.com/kb/251394/fr

[Benj.]

"net user ... /ADD" n'est pas nouveau.

C'est la même chose sur Windows XP et sûrement Vista. Le compte créé est (il me semble) par défaut de toute façon pas dans le groupe des administrateurs ("NET LOCALGROUP Administrateurs /ADD" devant être saisi ensuite pour que le compte le soit).

A tester avec un compte "limité" pour voir mais je doute que ça puisse se faire sans une élévation de privilèges.

[meziantou]

'est la même chose sur Windows XP et sûrement Vista

En effet cette commande existe depuis Windows NT.

[master_och]

Le fait que cette commande existe dans toutes les versions de windows n'est pas une raison pour dire que c'est pas une faille ...

Je crois que ca arrive a tout le monde de preter son PC a un(e) collegue lorsqu'on nous le demande, et on a ni le temps ni l'envie de changer notre session administrateur lorsqu'on le fait (c'est très mal vu en fait ... non ?).

Et avant tout ou est le mal, si cette commande demandait l'ancien mot de passe avant d'etre executée, ce serait pas disons un peu plus sécurisé?

aucun système n'est infaillible

Tout a fait d'accord, mais même dans les failles il y a des degrés, ca ne devrait pas etre aussi simple que ca ...

[Benj.]

Je ne vois pas en quoi c'est mal vu de fermer sa session pour laisser quelqu'un utiliser une autre session/sa propre session. D'autant plus que justement c'est l'occasion d'éviter ce genre de problème dont toi-même tu es le témoin.

En ce qui me concerne, dès que je m'éloigne de mon poste je vérouille ma session, question de sécurité (pour mes données et celles des autres, une habitude à avoir).

Pour reprendre la phrase citée, à savoir "[qu'] aucun système n'est infaillible" c'est totalement vrai. Par exemple, une simple tâche planifié sous XP suffisait à récupérer des droits d'administrateur. De mémoire la "faille" existe toujours mais c'est comme tout système. Quelques astuces existent et permettent une élévation de privilèges. Mais contrairement au cas qui nous occupe ici, le problème peut être "résolu" simplement, question d'habitude.

[Michaël]

Ca va si tu as des collègues gentils... si tu laisses ta session ouverte (donc avec la messagerie ouverte ou facilement ouvrable), un collègue peut arriver et envoyer ta lettre de démission à ton patron et qui sera là pour le prouver ?

Je maintiens ce que j'ai dit précédemment : si vos windows tournent sans uac (donc sans protection de la session), c'est que quelqu'un l'a viré. Ta boite ferait bien de payer une formation windows 7 (ou vista) à l'équipe d'administration. Si vous avez une application qui a besoin des droits admin, c'est une application destinée à tourner avec le mode xp. Ca fait des années maintenant que microsoft pousse à utiliser des sessions non-admin et tout le monde s'en balance Le plus drôle dans tout ça, c'est de lire des topics de ce genre. Faut pas s'étonner que ça marche plus/mal si les protections sont désactivées.

Bref, les windows 7 de ton entreprise sont mal configurés. J'espère que vous avez un antivirus par poste pour limiter les dégats sinon bon courage

[master_och]

si vos windows tournent sans uac (donc sans protection de la session), c'est que quelqu'un l'a viré

Mais non personne n'a viré n'importe quoi que ce soit. la commande net user ne fonctionne surement pas sur une session non administrateur.

Je comprends bien que c'est de ma faute si je confie mon PC à une personne susceptible d'avoir de mauvaises intentions (ce que je fais généralement pas), mais même si je le fais, (et je connais pas mal de monde qui confient leurs PC à n'importe qui), à mon avis les developpeurs de Microsoft sont supposés prévoir de tels cas.

D'ailleur je trouve tout a fait absurde le fait qu'ils demandent l'ancien mot de passe lorsqu'on on passe par l'interface graphique de configuration de comptes d'utilisateur, mais lorsqu'on est sur le dos ils s'en foutent ... vous trouvez ça normal ?!

Tiens je vais vous raconter une anecdote qui va vous montrer la gravité de ce truc, comme vous le savez dans un foire informatique on exposent beaucoup de PCs avec des sessions ouvertes et qui sont la plupart du temps des sessions administrateurs, et bien je connais des gens qui utilisent la commande net user pour s'amuser a changer les mot de passes de ces machines exposées.

Vous allez certainement me dire que c'est la faute du vendeur, mais la question est que sa faute merite elle une telle "punition" ?! Mais après tout quel mal cela ferait si on exigeait l'ancien mot de passe dans cette commande?

[Louis Griffont]

Mais non personne n'a viré n'importe quoi que ce soit. la commande net user ne fonctionne surement pas sur une session non administrateur.

Je comprends bien que c'est de ma faute si je confie mon PC à une personne susceptible d'avoir de mauvaises intentions (ce que je fais généralement pas), mais même si je le fais, (et je connais pas mal de monde qui confient leurs PC à n'importe qui), à mon avis les developpeurs de Microsoft sont supposés prévoir de tels cas.

D'ailleur je trouve tout a fait absurde le fait qu'ils demandent l'ancien mot de passe lorsqu'on on passe par l'interface graphique de configuration de comptes d'utilisateur, mais lorsqu'on est sur le dos ils s'en foutent ... vous trouvez ça normal ?!

Tiens je vais vous raconter une anecdote qui va vous montrer la gravité de ce truc, comme vous le savez dans un foire informatique on exposent beaucoup de PCs avec des sessions ouvertes et qui sont la plupart du temps des sessions administrateurs, et bien je connais des gens qui utilisent la commande net user pour s'amuser a changer les mot de passes de ces machines exposées.

Vous allez certainement me dire que c'est la faute du vendeur, mais la question est que sa faute merite elle une telle "punition" ?! Mais après tout quel mal cela ferait si on exigeait l'ancien mot de passe dans cette commande?

Pour ce qui est de ton exemple, les PC utilisés en démo-foire/salon, n'ont pas de données sensibles ( enfin j'espère ), et donc qu'importe si un petit malin s'amuse à cela !

Ensuite, une règle simple, quand on quitte son clavier/ecran 2 mn, on tape "Windows + L" et on est tranquille !

La sécurité c'est simple, c'est à la portée de tous, il suffit d'être un peu rigoureux !

Maintenant, c'est clair que si tu laisses la clef de ta maison sur la porte, tu augmentes le risque de te faire cambrioler ! Mais, dans ce cas, est(ce la faute au serrurier, qui n'a pas prévu que si c'est pas toi qui tourne la clef, alors la porte ne s'ouvre pas ?

[Michaël]

Tiens je vais vous raconter une anecdote qui va vous montrer la gravité de ce truc, comme vous le savez dans un foire informatique on exposent beaucoup de PCs avec des sessions ouvertes et qui sont la plupart du temps des sessions administrateurs, et bien je connais des gens qui utilisent la commande net user pour s'amuser a changer les mot de passes de ces machines exposées.

Pourquoi les faire tourner en session admin ? Il y a une raison particulière à cela ? Ce "problème" de mot de passe (qui n'en est pas un) est bien moins important que les virus qu'on peut balancer dans une session admin. Il existe des outils pour changer les mots de passe de la base SAM donc au pire, un coup de livecd pour rétablir le mot de passe et on en parle plus.

Sous linux c'est la même chose. Connectes-toi en root et tu pourras changer le mot de passe de n'importe quel utilisateur sans même le connaitre ! C'est simplement qu'être admin signifie que tu sais ce que tu fais et ta fonction t'autorise à intervenir sur les mots de passe des utilisateurs. Conclusion : il faut arrêter d'utiliser les sessions admin pour tout et n'importe quoi.

[curt]

Bonjour à tous,

entièrement d'accord avec Michaël et Louis Griffont.

En résumé, les problèmes de sécurité viennent rarement des machines ou des soft mais dans la quasi totalité des cas, des utilisateurs.... parce que l'erreur est humaine !

Curt