Microsoft s'exprime sur l'accès au noyau et le déploiement sécurisé après l'incident CrowdStrike,

Microsoft ne prévoit pas de limiter l'accès au noyau, mais mise sur des « pratiques de déploiement sûres »

Microsoft essaie toujours de tirer les meilleures leçons de la panne mondiale provoquée par le logiciel défectueux de CrowdStrike le 19 juillet 2024. En attendant des actions concrètes, Microsoft rassure les fournisseurs de logiciels de sécurité qu'il ne prévoit pas limiter l'accès au noyau Windows. David Weston, vice-président de la sécurité des entreprises et des systèmes d'exploitation chez Microsoft, explique qu'il est plus important de tester les logiciels avant de les déployer et d'utiliser des pratiques de déploiement sûres. Lors d'un sommet en septembre 2024, Microsoft avait annoncé des changements majeurs dans l'architecture de sécurité de Windows.

Rappel sur la panne informatique mondiale provoquée par CrowdStrike

Des entreprises du monde entier ont été confrontées le 19 juillet au redoutable écran bleu de la mort (BSOD) de Windows après une mise à jour défectueuse lancée par CrowdStrike. L'incident a perturbé les services Internet, affecté 8,5 millions d'appareils Microsoft Windows et provoqué des annulations massives de vols, paralysant des entreprises de nombreux secteurs. Les pertes financières de certaines victimes sont estimées à des centaines de millions de dollars.


CrowdStrike est confronté à une pression croissante pour avoir provoqué l'effondrement d'un large pan du système informatique mondial et des menaces juridiques qui pèsent sur lui. Bien que Microsoft ne soit pas techniquement responsable de l'incident, il subit également les critiques. Microsoft a été victime de cet incident au même titre que les points de terminaison qui ont subi le BSOD. David Weston estime que c'est quelque chose que Microsoft n'aurait jamais vu.

Microsoft n'a pas eu d'implication directe. Le logiciel de CrowdStrike avait été évalué et signé par Microsoft Windows Hardware Quality Labs (WHQL) après une évaluation complète. La cause de la panne n'était pas le pilote en soi, mais le contenu transmis de l'extérieur du noyau au pilote. « Il a traversé Microsoft. Ce n'est pas documenté. Microsoft ne sait pas ce que contient ce fichier. Il s'agit d'un code binaire que seul CrowdStrike sait interpréter », note David Weston.

Le 10 septembre 2024, Microsoft a organisé un sommet (Windows Endpoint Security Ecosystem Summit) qui a réuni les fournisseurs de logiciels de sécurité qui nécessite un accès au noyau. Les participants ont discuté de l'amélioration de la résilience et de la protection de l'infrastructure critique des clients mutuels. Microsoft, CrowdStrike, ESET, et Trend Micro, ainsi que d'autres fournisseurs de logiciels de sécurité des points finaux ont participé au sommet.

Le noyau Windows : Microsoft ne prévoit pas de limiter l'accès des tiers

Le sommet sur la sécurité du noyau organisé par Microsoft visait à discuter des leçons à tirer de cet incident et des changements futurs. Deux questions connexes, mais distinctes devaient être abordées : l'accès au noyau Windows et les tests de logiciels avant leur déploiement. Toutefois, l'événement a suscité des préoccupations sur sa transparence, car il s'est tenu à huis clos, et à la sortie, le rapport publié par Microsoft ne faisait pas état de mesures concrètes.


Microsoft avait néanmoins notifié aux participants que parmi les changements qu'elle envisage, il ne serait pas question de restreindre l'accès au noyau. Le fournisseur de logiciels de ESET avait déclaré : « il est impératif que l'accès au noyau reste une option utilisable par les produits de cybersécurité ». Interrogé sur le sujet, David Weston a admis que certains fournisseurs craignaient que Microsoft ne les exclue du noyau. Il a confirmé que cela n'était pas envisagé.

« Le cadre du mode utilisateur peut-il être aussi bon que l'accès dont ils disposent actuellement en matière de performances, etc. Ces préoccupations sont valables. Cependant, à ce stade, nous n'avons pas l'intention de retirer l'accès au noyau à qui que ce soit. Cela ne veut pas dire que cela ne peut pas changer à l'avenir, mais nous n'avons pas l'intention de le faire. Notre objectif est de créer un équivalent et une option pour le mode utilisateur », a-t-il expliqué.

Pour les fournisseurs tiers de logiciels de sécurité, l'avantage d'avoir un pilote dans le noyau est clair : « une plus grande sécurité pour eux-mêmes (et par extension, pour les utilisateurs) et de meilleures performances ». L'inconvénient est que les dommages qui peuvent résulter d'une défaillance du noyau sont plus importants et moins faciles à réparer. La panne mondiale provoquée par le logiciel défectueux de CrowdStrike donne un exemple des dégâts potentiels.

Microsoft mise plutôt sur des « pratiques de déploiement plus sûres »

Si la question de savoir s'il faut ou non utiliser le noyau est celle qui retient le plus l'attention, David Weston a déclaré qu'il s'agit de la plus petite partie d'un problème qui en comporte deux. Il estime qu'il est plus important de tester les logiciels avant de les déployer et d'utiliser des pratiques de déploiement sûres (Safe Deployment Practices - SDP). Selon lui, cela permet de s'assurer de la fiabilité des logiciels, garantir l'intégrité des machines et éviter les pannes.

David Weston déclare : « la différence de gravité des problèmes entre le mode noyau et le mode utilisateur est que si vous tombez en panne dans le noyau, c'est toute la machine qui tombe en panne. Si une application tombe en panne en mode utilisateur, nous pouvons généralement la récupérer ». Cet état de choses peut amener à privilégier le mode utilisateur et à limiter l'accès au noyau pour protéger les clients de Windows. Mais Microsoft mise sur les SDP :

Les SDP ne sont pas une idée nouvelle. L'USENIX a publié en 2004 un article de l'université d'Utrecht intitulé « A Safe and Policy-Free System for Software Deployment ». La première phrase de ce document est la suivante : « les systèmes existants pour le déploiement de logiciels ne sont ni sûrs ni suffisamment flexibles ». Ce problème des SDP n'a pas encore été résolu, et une telle solution est un aspect important des plans de Microsoft pour limiter les pannes futures.

Ce point a été discuté lors du sommet de septembre. Dans un billet de blogue sur le sommet, David Weston avait écrit : « cette riche discussion lors du sommet se poursuivra dans le cadre d'un effort de collaboration avec nos partenaires MVI [Microsoft Virus Initiative] afin de créer un ensemble partagé de meilleures pratiques que nous utiliserons en tant qu'écosystème à l'avenir ». Le billet abordait également les difficultés rencontrées par Microsoft et ses partenaires :

« Nous avons discuté des moyens d'éliminer les conflits entre les différentes approches SDP utilisées par nos partenaires et de réunir toutes les parties en un consensus sur les principes du SDP. Nous voulons que tout soit transparent, mais nous voulons aussi que cette norme devienne une exigence pour travailler avec Microsoft », explique David Weston à SecurityWeek. La question est de savoir comment Microsoft fera respecter l'application rigoureuse de ces mesures.

Comment Microsoft fera-t-il appliquer les pratiques de déploiement sûres ?

Convenir d'un ensemble de pratiques de déploiement sûres et les exiger des partenaires est une chose ; s'assurer que ces partenaires emploient les SDP convenues en est une autre. « L'application technique serait un défi. La transparence et la responsabilité semblent être la meilleure méthode pour l'instant », affirme David Weston. Microsoft dispose toutefois d'un pouvoir. Si un partenaire a ignoré les SDP, Microsoft peut retirer sa signature à tout pilote de noyau.

« C'est de la même manière que nous travaillons aujourd'hui avec les agences de certification racine. Nous avons une norme, et si vous ne respectez pas cette norme de sécurité, nous pouvons vous retirer, ce qui aurait un impact considérable sur vos activités. En même temps, l'insistance sur la transparence montrerait aux clients que ce fournisseur n'est pas honnête avec eux. Nous pensons que ce niveau d'application est assez efficace », explique David Weston.

« En résumé, les SDP sont le meilleur outil dont nous disposons pour mettre fin aux interruptions de service. Le mode noyau, le mode utilisateur - je ne dis pas qu'ils ne sont pas valables, je dis simplement qu'ils représentent une partie beaucoup plus petite du problème. les SDP peuvent aider à prévenir les pannes à l'intérieur et à l'extérieur du noyau », a-t-il ajouté. David Weston n'a pas donné de détails sur les travaux de Microsoft et les fournisseurs de logiciels de sécurité.

Source : David Weston, vice-président de la sécurité des entreprises et des systèmes d'exploitation chez Microsoft

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous de l'avis de Microsoft sur la restriction de l'accès au noyau Windows ?
Que pensez-vous des « pratiques de déploiement sûres » (SDP) mises en avant par Microsoft ?
Selon vous, en quoi pourraient constituer « ces pratiques de déploiement sûres » ?
Cette approche permettrait-elle de garantir la sécurité du noyau Windows et limiter les pannes à l'avenir ?

Voir aussi

CrowdStrike : des anciens employés révèlent que « le contrôle qualité ne faisait pas partie de notre processus », les conséquences désastreuses sur la cybersécurité lorsque la rapidité prime sur la qualité

Le sommet de la sécurité de Microsoft après l'incident de CrowdStrike : beaucoup de paroles, peu d'actions. L'entreprise fait un récapitulatif de son évènement tenu loin de la presse et du public

Panne CrowdStrike : Microsoft prévoit des changements majeurs dans l'architecture de sécurité de Windows, l'entreprise va modifier l'accès au noyau de son OS pour réduire les risques de pannes similaires