Fonctionnement du contrôle de compte d’utilisateur

Le contrôle de compte d’utilisateur (UAC) est un élément clé de la sécurité Windows. La UAC réduit le risque de programmes malveillants en limitant la capacité du code malveillant à s’exécuter avec des privilèges d’administrateur. Cet article décrit le fonctionnement du contrôle de compte d’utilisateur et son interaction avec les utilisateurs finaux.

Processus de contrôle de compte d’utilisateur et interactions

Avec UAC, chaque application qui nécessite le jeton d’accès administrateur doit inviter l’utilisateur final à donner son consentement. La seule exception est la relation qui existe entre les processus parent et enfant. Les processus enfants héritent du jeton d’accès de l’utilisateur du processus parent. Toutefois, les processus parent et enfant doivent avoir le même niveau d’intégrité.

Windows protège les processus en marquant leurs niveaux d’intégrité. Les niveaux d’intégrité sont des mesures de confiance :

• Une application à haute intégrité est une application qui effectue des tâches qui modifient les données système, telles qu’une application de partitionnement de disque
• Une application à faible intégrité est une application qui effectue des tâches susceptibles de compromettre le système d’exploitation, comme un navigateur web

Les applications avec des niveaux d’intégrité inférieurs ne peuvent pas modifier les données dans les applications avec des niveaux d’intégrité plus élevés. Lorsqu’un utilisateur standard tente d’exécuter une application qui nécessite un jeton d’accès administrateur, la UAC exige que l’utilisateur fournisse des informations d’identification d’administrateur valides.

Pour mieux comprendre le fonctionnement de ce processus, examinons de plus près le processus de connexion à Windows.

Processus de connexion

Le diagramme suivant montre en quoi le processus de connexion d’un administrateur diffère du processus de connexion d’un utilisateur standard.

Par défaut, les utilisateurs standard et administrateur accèdent aux ressources et exécutent des applications dans le contexte de sécurité d’un utilisateur standard.
Lorsqu’un utilisateur se connecte, le système crée un jeton d’accès pour cet utilisateur. Le jeton d’accès contient des informations sur le niveau d’accès accordé à l’utilisateur, notamment des identificateurs de sécurité spécifiques (SID) et des privilèges Windows.

Lorsqu’un administrateur ouvre une session, deux jetons d’accès distincts sont créés pour l’utilisateur : un jeton d’accès utilisateur standard et un jeton d’accès administrateur. Jeton d’accès utilisateur standard :

• Contient les mêmes informations spécifiques à l’utilisateur que le jeton d’accès administrateur, mais les privilèges Windows d’administration et les SID sont supprimés
• Il est utilisé pour démarrer des applications qui n’effectuent pas de tâches d’administration (applications utilisateur standard)
• Il est utilisé pour afficher le bureau en exécutant le processus explorer.exe. Explorer.exe est le processus parent dont tous les autres processus initiés par l’utilisateur héritent de leur jeton d’accès. Par conséquent, toutes les applications s’exécutent en tant qu’utilisateur standard, sauf si un utilisateur fournit un consentement ou des informations d’identification pour approuver l’utilisation d’une application d’un jeton d’accès administratif complet

Un utilisateur membre du groupe Administrateurs peut se connecter, naviguer sur le web et lire des messages électroniques tout en utilisant un jeton d’accès utilisateur standard. Lorsque l’administrateur doit effectuer une tâche qui nécessite le jeton d’accès administrateur, Windows invite automatiquement l’utilisateur à approuver. Cette invite est appelée invite d’élévation et son comportement peut être configuré via une stratégie ou un registre.

Expérience utilisateur UAC

Lorsque le contrôle de compte d’utilisateur est activé, l’expérience utilisateur des utilisateurs standard est différente de celle des utilisateurs administrateurs. La méthode recommandée et plus sécurisée d’exécution de Windows consiste à vous assurer que votre compte d’utilisateur principal est un utilisateur standard. L’exécution en tant qu’utilisateur standard permet d’optimiser la sécurité d’un environnement managé. Avec le composant d’élévation de contrôle de compte d’utilisateur intégré, les utilisateurs standard peuvent facilement effectuer une tâche d’administration en entrant des informations d’identification valides pour un compte d’administrateur local.

Le composant d’élévation de contrôle de compte d’utilisateur intégré par défaut pour les utilisateurs standard est l’invite d’informations d’identification.

L’alternative à l’exécution en tant qu’utilisateur standard consiste à exécuter en tant qu’administrateur en mode d’approbation Administration. Avec le composant d’élévation de contrôle de compte d’utilisateur intégré, les membres du groupe Administrateurs local peuvent facilement effectuer une tâche d’administration en fournissant une approbation.

Le composant d’élévation de contrôle d’utilisateur intégré par défaut pour un compte administrateur en mode d’approbation Administration est appelé invite de consentement.

Invite d’informations d’identification

L’invite d’informations d’identification s’affiche lorsqu’un utilisateur standard tente d’effectuer une tâche qui nécessite le jeton d’accès administratif d’un utilisateur. Les administrateurs peuvent également être tenus de fournir leurs informations d’identification en définissant la valeur Contrôle de compte d’utilisateur : Comportement de l’invite d’élévation pour les administrateurs dans Administration paramètre de stratégie Mode d’approbation sur Demander des informations d’identification.

Invite de consentement

L’invite de consentement s’affiche lorsqu’un utilisateur tente d’effectuer une tâche qui nécessite le jeton d’accès administratif d’un utilisateur.

Invites d’élévation de contrôle de compte d’utilisateur

Les invites d’élévation de contrôle de compte d’utilisateur sont codées en couleur pour être spécifiques à l’application, ce qui facilite l’identification du risque potentiel de sécurité d’une application. Lorsqu’une application tente de s’exécuter avec le jeton d’accès complet d’un administrateur, Windows analyse d’abord le fichier exécutable pour déterminer son éditeur. Les applications sont d’abord séparées en trois catégories en fonction de l’éditeur du fichier :

• Windows
• Serveur de publication vérifié (signé)
• Serveur de publication non vérifié (non signé)

Le codage couleur de l’invite d’élévation est le suivant :

• Arrière-plan gris : l’application est une application d’administration Windows, telle qu’un élément Panneau de configuration ou une application signée par un éditeur vérifié
• Arrière-plan jaune : l’application est non signée ou signée, mais n’est pas approuvée

Icône de bouclier

Certains éléments Panneau de configuration, tels que Date et Heure, contiennent une combinaison d’opérations d’administrateur et d’utilisateur standard. Les utilisateurs standard peuvent afficher l’horloge et modifier le fuseau horaire, mais un jeton d’accès administrateur complet est nécessaire pour modifier l’heure système locale. Voici une capture d’écran de l’élément Date et Heure Panneau de configuration.

L’icône de bouclier sur le bouton Modifier la date et l’heure... indique que le processus nécessite un jeton d’accès administrateur complet.

Sécurisation de l’invite d’élévation

Le processus d’élévation est sécurisé en dirigeant l’invite vers le bureau sécurisé. Les invites de consentement et d’informations d’identification sont affichées sur le bureau sécurisé par défaut. Seuls les processus Windows peuvent accéder au bureau sécurisé. Pour des niveaux de sécurité plus élevés, nous vous recommandons de conserver le paramètre contrôle de compte d’utilisateur : Basculer vers le bureau sécurisé lorsque vous demandez que le paramètre de stratégie d’élévation soit activé.

Lorsqu’un fichier exécutable demande une élévation, le bureau interactif, également appelé bureau utilisateur, est basculé vers le bureau sécurisé. Le bureau sécurisé assombrit le bureau de l’utilisateur et affiche une invite d’élévation à laquelle vous devez répondre avant de continuer. Lorsque l’utilisateur sélectionne Oui ou Non, le bureau revient au bureau de l’utilisateur.

Les programmes malveillants peuvent présenter une imitation du bureau sécurisé, mais lorsque le paramètre de stratégie Contrôle de compte d’utilisateur : comportement de l’invite d’élévation pour les administrateurs dans Administration paramètre de stratégie Mode d’approbation est défini sur Demander le consentement, le programme malveillant n’est pas élevé si l’utilisateur sélectionne Oui sur l’imitation. Si le paramètre de stratégie est défini sur Demander des informations d’identification, un programme malveillant imitant l’invite d’informations d’identification peut être en mesure de collecter les informations d’identification auprès de l’utilisateur. Toutefois, le programme malveillant ne bénéficie pas de privilèges élevés et le système dispose d’autres protections qui empêchent les logiciels malveillants de prendre le contrôle de l’interface utilisateur, même avec un mot de passe collecté.

Bien que les programmes malveillants puissent présenter une imitation du bureau sécurisé, ce problème ne peut se produire que si un utilisateur a déjà installé le programme malveillant sur le PC. Étant donné que les processus nécessitant un jeton d’accès administrateur ne peuvent pas être installés en mode silencieux lorsque le contrôle de compte d’utilisateur est activé, l’utilisateur doit explicitement donner son consentement en sélectionnant Oui ou en fournissant des informations d’identification d’administrateur. Le comportement spécifique de l’invite d’élévation de contrôle de compte d’utilisateur dépend des stratégies de sécurité.

UAC Architecture

Le diagramme suivant détaille l’architecture UAC.

Pour mieux comprendre chaque composant, consultez les tableaux suivants :

Utilisateur

Système

Noyau

Le curseur ne désactive jamais complètement L’UAC. Si vous le définissez sur Ne jamais notifier, il :

• Maintenir le service UAC en cours d’exécution
• Faire en sorte que toutes les demandes d’élévation lancées par les administrateurs soient approuvées automatiquement sans afficher d’invite de contrôle de compte d’utilisateur
• Refuser automatiquement toutes les demandes d’élévation pour les utilisateurs standard

Virtualisation

Étant donné que les administrateurs système dans les environnements d’entreprise tentent de sécuriser les systèmes, de nombreuses applications métier sont conçues pour utiliser uniquement un jeton d’accès utilisateur standard. Par conséquent, vous n’avez pas besoin de remplacer la plupart des applications lorsque l’UAC est activée.

Windows inclut la technologie de virtualisation de fichiers et de registre pour les applications qui ne sont pas conformes au contrôle de compte d’utilisateur et qui nécessitent le jeton d’accès d’un administrateur pour s’exécuter correctement. Lorsqu’une application d’administration qui n’est pas conforme au contrôle de compte de compte d’utilisateur tente d’écrire dans un dossier protégé, tel que Program Files, UAC donne à l’application sa propre vue virtualisée de la ressource qu’elle tente de modifier. La copie virtualisée est conservée dans le profil de l’utilisateur. Cette stratégie crée une copie distincte du fichier virtualisé pour chaque utilisateur qui exécute l’application non conforme.

La plupart des tâches d’application fonctionnent correctement à l’aide des fonctionnalités de virtualisation. Bien que la virtualisation permette l’exécution de la plupart des applications, il s’agit d’un correctif à court terme et non d’une solution à long terme. Les développeurs d’applications doivent modifier leurs applications pour qu’elles soient conformes dès que possible, plutôt que de s’appuyer sur la virtualisation de fichiers, de dossiers et de registre.

La virtualisation n’est pas une option dans les scénarios suivants :

• La virtualisation ne s’applique pas aux applications qui sont élevées et qui s’exécutent avec un jeton d’accès administratif complet
• La virtualisation prend uniquement en charge les applications 32 bits. Les applications 64 bits nonlevées reçoivent un message de refus d’accès lorsqu’elles tentent d’acquérir un handle (identificateur unique) à un objet Windows. Les applications Windows 64 bits natives doivent être compatibles avec L’UAC et écrire des données dans les emplacements appropriés
• La virtualisation est désactivée si l’application inclut un manifeste d’application avec un attribut de niveau d’exécution demandé

Niveaux d’exécution de la demande

Un manifeste d’application est un fichier XML qui décrit et identifie les assemblys partagés et privés côte à côte auxquels une application doit être liée au moment de l’exécution. Le manifeste de l’application inclut des entrées à des fins de compatibilité des applications UAC. Les applications administratives qui incluent une entrée dans le manifeste de l’application invitent l’utilisateur à obtenir l’autorisation d’accéder au jeton d’accès de l’utilisateur. Bien qu’elles ne disposent pas d’une entrée dans le manifeste de l’application, la plupart des applications administratives peuvent s’exécuter sans modification à l’aide de correctifs de compatibilité des applications. Les correctifs de compatibilité des applications sont des entrées de base de données qui permettent aux applications qui ne sont pas compatibles UAC de fonctionner correctement.

Un niveau d’exécution demandé doit être ajouté au manifeste de l’application pour toutes les applications compatibles UAC. Si l’application nécessite un accès administratif au système, le marquage de l’application avec un niveau d’exécution demandé d’administrateur garantit que le système identifie ce programme comme une application administrative et effectue les étapes d’élévation nécessaires. Les niveaux d’exécution demandés spécifient les privilèges requis pour une application.

Technologie de détection du programme d’installation

Les programmes d’installation sont des applications conçues pour déployer des logiciels. La plupart des programmes d’installation écrivent dans les répertoires système et les clés de Registre. Ces emplacements système protégés sont généralement accessibles en écriture uniquement par un administrateur dans la technologie de détection du programme d’installation, ce qui signifie que les utilisateurs standard ne disposent pas d’un accès suffisant pour installer des programmes. Windows détecte de façon heuristique les programmes d’installation et demande les informations d’identification de l’administrateur ou l’approbation de l’utilisateur administrateur pour qu’il s’exécute avec des privilèges d’accès. Windows détecte également de manière heuristique les mises à jour et les programmes qui désinstallent les applications. L’un des objectifs de conception de la UAC est d’empêcher les installations d’être exécutées à l’insu et au consentement de l’utilisateur, car les programmes d’installation écrivent dans les zones protégées du système de fichiers et du registre.

La détection du programme d’installation s’applique uniquement à :

• Fichiers exécutables 32 bits
• Applications sans attribut de niveau d’exécution demandé
• Processus interactifs s’exécutant en tant qu’utilisateur standard avec UAC activé

Avant la création d’un processus 32 bits, les attributs suivants sont vérifiés pour déterminer s’il s’agit d’un programme d’installation :

• Le nom de fichier inclut des mots clés tels que « installer », « configurer » ou « mettre à jour ».
• Les champs de ressource de contrôle de version contiennent les mots clés suivants : Fournisseur, Nom de la société, Nom du produit, Description du fichier, Nom de fichier d’origine, Nom interne et Nom de l’exportation.
• Les mots clés du manifeste côte à côte sont incorporés dans le fichier exécutable.
• Les mots clés des entrées StringTable spécifiques sont liés dans le fichier exécutable.
• Les attributs clés dans les données de script de ressource sont liés dans le fichier exécutable.
• Il existe des séquences ciblées d’octets dans le fichier exécutable.

Étapes suivantes

En savoir plus sur les paramètres et la configuration du contrôle de compte d’utilisateur.