Windows 7 : Lalternative anti-Hadopi ?

1. Introduction
Depuis les annes 70, Internet na cess dvoluer, avec une acclration considrable depuis le dbut du 21ieme sicle. Cette acclration est principalement due la dmocratisation des accs ADSL, augmentant ainsi les dbits, et donc, le partage dinformations. Paralllement cette volution, les ordinateurs, ainsi que les logiciels utiliss, ont russi une importante mutation. De nouveaux procds de compression de donnes (images, son, vido,) facilitent les changes et les partages. Ainsi, un grand nombre dinternautes proposent des films, des musiques, et des images dune taille raisonnable pour une qualit remarquable. Mais ces fichiers ainsi partags nont pas tous le droit dtre mis la disposition du monde. Cet tat de fait a incit le lgislateur promulguer, au fil des ans, diffrentes mesures afin de contenter les ayants droit. La dernire en date : HADOPI. Cette mesure agit en tudiant limportance de la taille des donnes partages, ainsi que la lgalit de ces changes. Un internaute pris sur le fait sera tran en justice et se verra supprimer son droit daccs Internet. Pour certains cas plus graves, de plus importantes sanctions peuvent tre dcides. Cest ainsi que beaucoup de dveloppeurs et dinternautes se sont penchs sur des solutions pour contourner ces restrictions, et ainsi empcher un superviseur tranger daccder au contenu de son ordinateur. Comment garantir la confidentialit des donnes stockes sur son ordinateur ? Quelles sont les solutions aujourdhui disponibles ?

2. Solutions
De nombreuses solutions de protection des donnes existent ce jour, et sont disponibles sur de nombreux systmes dexploitation. La difficult est de choisir la solution la moins pire rpondant aux critres suivant : Une compatibilit maximale avec le systme dexploitation, amliorant ainsi la stabilit de lensemble ; Une efficacit maximale garantissant la scurit des donnes mais aussi du systme.

Les dangers auxquels il faut faire face aujourdhui sont : Laccs physique au systme dexploitation, pour en visualiser le contenu dans le contexte de lutilisateur propritaire ; Laccs aux donnes stockes sur les disques durs en externalisant ceux-ci sur une autre machine ; La protection des donnes sensibles stockes sur la machine de lutilisateur. La solution qui sera expose dans cet article a vu le jour grce la venue au monde du nouveau systme dexploitation de Microsoft : Windows Seven.

En effet, celui-ci intgre nativement diffrentes fonctionnalits qui savrent trs utiles pour conserver la confidentialit des donnes. Nous allons travailler sur trois principales catgories : Louverture de session ; Le chiffrage des donnes ; Le chiffrage des volumes.

Pour cela, nous allons tudier deux technologies intgres dans Windows 7 : o o Systme de Chiffrage de Fichier ou EFS : il permet le chiffrement des donnes par certificat ; BitLocker : outil de chiffrage de volume.

Cela nous permet dobtenir une double scurit de chiffrement des donnes grce ces deux technologies. Concernant louverture de session scurise, Windows 7 na vraisemblablement pas intgr dans ses fonctionnalits lauthentification par support amovible (autre que carte puce). En attendant de voir si cette technologie sera intgre une future version de Windows, cet expos noncera un logiciel tiers permettant trs simplement deffectuer cette opration.

a. Encrypted File System

EFS (Encrypting File System) est un systme de chiffrement de fichiers disponible depuis Windows 2000. Ces fichiers ne seront lisibles que grce au certificat de(s) lutilisateur(s) accept(s) dans les Access List dfinies lors du chiffrement. Ces certificats sont videmment installs sur la machine locale, mais peuvent galement tre exports pour sauvegarde sur support amovible. Ici, lintrt dEFS est de fournir une premire couche de chiffrement, empchant tout utilisateur non autoris consulter les donnes. Le chiffrement par EFS sappuie uniquement sur le systme de fichier NTFS de Microsoft. Il est incompatible avec le systme de fichier FAT32 et infrieur. Ainsi, toute donne chiffre sur un volume NTFS sera alors dchiffre au moment de la copie vers un autre systme de fichier. EFS utilise une cl de chiffrement dite symtrique , appele FEK. Combin avec la cl publique de lutilisateur, cette cl permet un temps de chiffrement / dchiffrement relativement court. Voici le schma de chiffrement dEFS :

En bref, cette technologie interdit la lecture des donnes par un utilisateur non-propritaire lorsque celui-ci ne possde pas le certificat appropri, mme si les disques sont externaliss sur un autre ordinateur.
Certaines informations ont t tires de lencyclopdie Wikipedia.

b. BitLocker

Sous Windows Vista, BitLocker ne permettait de chiffrer que le disque systme. Avec Windows Seven, celuici a considrablement volu puisquil est dsormais possible de chiffrer nimporte quel volume. Lors du chiffrement du disque systme, BitLocker ncessite un dmarrage partir dun support externe. Il peut sagir dun TPM (composant de la carte mre agissant comme micropuce scurise) ou dune cl USB (contenant les fichiers ncessaires au chiffrage). Si les informations ne sont pas trouves sur le support, la saisie dune cl dune totalit de 40 chiffres sera ncessaire. Le volume systme se dchiffre alors pour lutilisateur, et le dmarrage de lordinateur peut alors continuer. Le chiffrage dun disque secondaire peut seffectuer quant lui de deux faons : chiffrement du disque par mot de passe (qui peut stendre 255 caractres, comportant des caractres spciaux, majuscules, minuscules, chiffres) ou par carte puce. Aprs le dmarrage du systme, le volume reste inaccessible tant que lutilisateur ne la pas dverrouill. De plus, les partages ventuels prsents sur le volume restent ferms tant que le volume est verrouill. Ainsi, nous avons la possibilit dadapter cette solution deux de nos besoins : Le chiffrage du dossier systme nous permet dempcher le dmarrage de la machine, sous rserve de ne pas possder pas la cl de rcupration ou le support amovible de dmarrage. De plus, aprs le dmarrage (et donc dverrouillage) du disque systme, nous avons la possibilit de dconnecter le support amovible et de le stocker ailleurs. Le chiffrement des disques secondaires, grce un bon mot de passe, ou mieux dune carte puce, interdit laccs dventuels disques de stockage de donnes. Pour rsumer, ce que nous attendons de cette technologie dans notre situation, cest dempcher un utilisateur tranger de dmarrer la machine, et que celui-ci ne puisse pas accder aux donnes via tout autre moyen (branchement des disques sur une autre machine, accs rseau).

c. Ouverture de session scurise

Comme voqu prcdemment, il semblerait que Windows 7 ne dispose pas dun systme douverture de session par certificat sur cl USB, contrairement ce quavait annonc Microsoft. Esprons quune future version de Windows accueillera cette fonctionnalit. Toutefois, nombre dditeurs proposent des solutions permettant louverture de session par cl USB, tel que lexcellent Rohos, malheureusement payant, mais trs simple dutilisation. Ce sujet ne sera donc pas dvelopp dans cet expos, tant que cette fonctionnalit ne sera pas intgre de futures versions de Seven. Je souhaite simplement voquer le fait que cette possibilit existe.

3. Mise en uvre
a. EFS
Pour pouvoir utiliser EFS, le volume contenant les fichiers chiffrer doit tre format avec le systme de fichier NTFS. Si ce nest pas le cas, il est alors impossible dutiliser cette fonctionnalit. La procdure de chiffrement est trs simple. Loutil de configuration est accessible dans les proprits du (des) fichier(s) et / ou dossier(s) chiffrer : Slectionner les donnes chiffrer Click droit Proprits Onglet Gnral Bouton Avanc Cliquer sur Chiffrer le contenu pour scuriser les donnes . Valider par OK deux fois. Les fichiers crypts sont passs en vert.

Par dfaut, seul lauteur du chiffrement du fichier est autoris manipuler leur contenu. Pour autoriser un autre utilisateur accder au fichier, il suffit de revenir dans les Attributs avancs du fichier et de cliquer sur le bouton Dtails . La fentre suivante apparait :

Il est alors possible de rajouter un utilisateur dans la liste des utilisateurs pouvant accder au fichier. Lors du premier chiffrage, le systme nous signale quil ne possde aucun certificat de rcupration pour le chiffrement EFS, et propose de le gnrer et de le sauvegarder sur un support amovible.

Un fichier apparat alors sur le support amovible :

b. BitLocker Drive Encryption

Par dfaut, Windows Seven stocke la cl de dmarrage dans le TPM (micropuce scurise soude sur la carte mre). Ceci nest possible que si la carte mre en est quipe. Il convient donc de modifier la configuration par dfaut afin de stocker la cl de dmarrage sur un support amovible de type cl USB. En cliquant sur lorbe (Menu Dmarrer) et en tapant dans la zone de recherche gpedit.msc, nous accdons aux stratgies de scurit locales. Dveloppons larborescence : Configuration Ordinateur Modles dadministration Composants Windows Chiffrement de lecteur BitLocker. Dans le volet de droite, double-cliquer sur Activer les options de dmarrage avances et autoriser lutilisateur crer une cl de dmarrage sur support USB : Activer la stratgie, et vrifier que la premire case est coche.

Fermer les fentres ouvertes et cliquer sur lorbe, puis taper dans la zone de recherche cmd, puis entre. Dans linvite de commandes, taper gpupdate afin de mettre jour les stratgies de scurit. Maintenant, nous avons la possibilit dactiver BitLocker sur le volume systme, avec prise en charge de la cl USB. La mise en uvre est extrmement simple sous Windows Seven : Ordinateur click droit sur le disque crypter Activer BitLocker. En ce qui concerne le disque systme, voici la procdure suivre : Laisser lordinateur effectuer ses vrifications de routine Cliquer sur loption Imposer une cl de dmarrage chaque dmarrage Ceci nous permettra dobliger lutilisateur insrer sa cl USB lors du dmarrage de Windows 7 pour que son disque systme soit dchiffr et que le dmarrage puisse continuer. Si le support amovible nest pas dtect lors du chargement de Windows, il sera alors possible de saisir la cl de rcupration (40 caractres numriques) pour outrepasser le certificat de la cl USB. Slectionner le support amovible qui stockera la cl BitLocker.

BitLocker ncessite ensuite de stocker la cl de rcupration, que ce soit sur cl USB, dans un fichier stock localement, ou de limprimer. Ici plusieurs solutions sont proposes. A mon sens, stocker la cl de rcupration sur un support que lon pourrait dposer en lieu sr me parat une bonne ide. Limpression unique peut tre intressante aussi, sur un document prcieusement rang et conserv. Cette option ne comporte pas de choix plus intressant que les autres, lutilisateur devra ladapter ses besoins et / ou ses possibilits.

BitLocker demandera ensuite de redmarrer le systme pour effectuer ses vrifications. Le volume systme sera alors chiffr ds le redmarrage. Il ne faut surtout pas oublier dinsrer le support amovible qui servira de cl de dmarrage avant de lancer le reboot de la machine. Cest lors de cette tape que Windows dtectera si ce support est ligible ou non cette utilisation. La cl USB pourra tre dconnecte ds la fin du dmarrage. Il est alors conseill de la stocker dans un lieu facile daccs mais protg, car celle-ci sera ncessaire chaque dmarrage, mais sera aussi le seul moyen pour un utilisateur externe daccder votre disque systme, donc Windows.

Voyons maintenant comment chiffrer les disques secondaires. Lactivation de BitLocker seffectue de la mme faon que pour le volume systme. Cependant, les crans de configuration diffrent :

BitLocker propose trois options de cryptage : o par mot de passe (qui peut stendre 255 caractres alphanumriques et spciaux) ; o par carte puce o par certificat local (dans ce cas le lecteur secondaire sera dverrouill automatiquement pour lutilisateur local qui lance le chiffrage) Ce qui nous intresse ici est un chiffrage par mot de passe, qui bien videmment est plus sr sil rpond des normes de scurit rigoureuses : o o o o o Varier caractres alphanumriques et spciaux Varier minuscules et majuscules Eviter les mots courants et les noms propres seuls. Eviter les informations personnelles (date de naissance, cole des enfants, etc). Voici un exemple de mot de passe appropri : Cc1_&-1MotDePassEsEcur1S& Il est relativement facile retenir ( Ceci est un mot de passe scuris ) Comporte majuscules, minuscules, caractres alphanumriques et spciaux, et certains caractres alphabtiques sont remplacs par des numriques ou des symboles.

Il faut maintenant dcider o stocker la cl de rcupration (comme pour le volume systme. Il est dailleurs intressant de la dposer sur le mme support amovible par exemple).

Le chiffrage dbute ds le click sur le bouton Dmarrer le chiffrement .

La cl est apparue sur le support amovible sous la forme dun fichier texte. Ce fichier texte contient la cl de rcupration crite en clair. Il est donc important de stocker cette cl dans un lieu bien protg. La cl de dmarrage de BitLocker est stocke sous la forme dun fichier systme KEY invisible sur la cl USB, moins dactiver laffichage des fichiers protgs par le systme dexploitation. A ce terme, nous avons dores-et-dj une double couche de chiffrement, avec la combinaison EFS BitLocker. La seule tape restante serait de protger louverture de session par linsertion dun support amovible. Il faut savoir quil existe une scurit supplmentaire qui peut tre intressante : le chiffrement de la base SAM. La base SAM est un fichier contenant les noms dutilisateur et mots de passe correspondant. Ce fichier est bien entendu crypt par dfaut, ds Windows 2000, mais nous avons la possibilit dexporter le certificat de dchiffrage de la base SAM sur un support externe Ceci rendra totalement impossible louverture de session sur la machine protge, moins davoir insr la cl de dmarrage contenant le certificat. La seule remarque que lon peut observer est que lunique emplacement accept est A :, rserv par ailleurs au lecteur disquette. Cependant, si lon nutilise pas ou ne possde pas de tel lecteur, il est possible de dsactiver celui-ci pour permettre une cl USB de prendre sa place et ainsi obtenir la lettre de lecteur A. Il nous suffit ensuite de stocker le certificat sur cette cl. Jajoute que cette manipulation naffecte en rien le dmarrage BitLocker, et peut tre combine avec tous les autres systmes de scurit vus prcdemment. Voici la manipulation effectuer.

Cliquer sur lorbe (Menu Dmarrer Taper syskey dans la zone de recherche, puis sur Entre. Une fentre apparat, nous pouvons alors cliquer sur Mettre jour pour dplacer le certificat. Il faut alors insrer la cl USB et laisser SYSKey crire le certificat sur celle-ci. Il faut toutefois savoir que cette manipulation empche le dmarrage silencieux : lors du chargement de Windows, une fentre apparatra, indiquant dinsrer la disquette de dmarrage, puis de cliquer sur Dmarrer. Mme si la cl est branche en permanence, il nous faudra tout de mme cliquer sur Dmarrer.

4. Conclusion
Vous tes un fanatique inconditionnel de Kevin Mitnick, vous parlez aux mules comme personne, et vos disques durs regorgent de films et de donnes tlcharges illgalement. Vous craignez que la loi Hadopi ne vienne dranger vos bonnes vieilles habitudes et vos 60 films quotidiens. Mais voila, HADOPI veille. Elle vous piste, vous identifie. Et malgr les diffrents mails envoys votre encontre, elle a transmis le dossier aux autorits comptentes. Toc, toc, toc Trois petits coups qui vous rveillent un matin, 6h00. Ils sont l, ces messieurs de la marchausse, spcialement pour vous et votre ordinateur en qute de preuves irrfutables. Pas le temps de casser les disques durs pour leur compliquer la tche ! Et puis un grand coup de masse, cest trop bruyant ! Vous voil pris au pige, fait comme un rat ! Et HADOPI se frotte les mains ! Mais pas aujourdhui. Car depuis Windows 7, laissons-leur le plaisir de rcolter nos disques durs Arriverontils les ouvrir aussi facilement ? Sils ne pouvaient pas dmarrer votre machine ? Et sils ne pouvaient casser le chiffrement de toutes vos donnes ?