[Tuto] Strip MY Rights (XP-Vista)

[pecko14]

Bonjour tout le monde!

 

J'aurai voulu savoir s'il était possible et utile de SMRiser ces softs :

- Secunia PSI

- FileHippo Update Checker

- NBA Live 08 (jeu)

 

Merci de vos réponses.

[pecko14]

Personne ne peut me dire si c'est possible???

J'ai peur de faire une bêtise si j'essaie comme ça sans vraiment savoir.

[Falkra]

Bonsoir pecko14,

 

c'est possible de le faire, mais ça ne sert pas vraiment, le but des restrictions de droits est d'empêcher les logiciels de s'exécuter ou de s'installer via le programme dont on a restreint les droits, cela bloque les malwares. Comme les malwares ne tentent pas de s'installer en utilisant PSI, FileHippo ou ton jeu, ce n'est pas nécessaire pour eux.

 

Sur un navigateur, un client mail, un client PDF (à la rigueur, à tester), cela prend plus de sens.

N'essaie pas sur le maximum de programmes, sinon cela peut provoquer des blocages. C'est surtout pour le surf que cela sert.

[pecko14]

Ok merci à toi Falkra!

[Aeon]

Bonjour,

Peut-on utiliser SMR avec Chrome? j'ai essayé de rajouter un fichier .reg comme pour Firefox, mais ça bloque le navigateur au lancement...

Merci

Modifié le 30 mai 2009 par Aeon

[Mathx]

Bonjour,

 

J'ai essayé de faire votre manip avec SMR (via les clés de registre, mais j'ai même créé le raccourci !) et cela semble marcher puisque l'extension FF m'indique que je ne suis pas administrateur (bien que je sois sur un compte XP administrateur).

 

Cependant, les tests d'image m'ont permis d'enregistrer dans C:/ et dans C:/Windows. Du coup : problème ! (Je n'ai a priori pas Free Download Manager, c'est bien un programme de téléchargement non ?)

 

J'ai lu qu'il y avait peut-être un problème au niveau des droits utilisateurs en écriture sous XP Home... Je n'ai pas tout saisi. Pouvez-vous m'expliquer comment régler ce problème ?

 

Pour information, j'ai XP Home et je n'ai pas accès à l'onglet sécurité dans les propriétés d'un dossier comme C:/. Donc comment faire ?

 

Merci.

 

PS : Par exemple, une question : SMR interdit-il complètement l'enregistrement dans n'importe quel répertoire de C:/ bien qu'étant sous une session Administrateur ?

Modifié le 17 juillet 2009 par Mathx

[oGu]

Salut!

 

 

Cependant, les tests d'image m'ont permis d'enregistrer dans C:/ et dans C:/Windows. Du coup : problème ! (Je n'ai a priori pas Free Download Manager, c'est bien un programme de téléchargement non ?)

 

J'ai lu qu'il y avait peut-être un problème au niveau des droits utilisateurs en écriture sous XP Home... Je n'ai pas tout saisi. Pouvez-vous m'expliquer comment régler ce problème ?

 

 

Ce "problème" d'enregistrement sur C:\ est assez courant sur les XP Home, et visiblement sur les machines de constructeurs: par contre les manipulations à effectuer pour permettre à SMR de fonctionner à plein dans ce cas de figure sont lourdes et dangereuses car elles interviennent au niveau des droits généraux de ton système (j'ai déjà tué Windows en tripotant ce genre d'autorisations/restrictions...): je te conseille donc de laisser en l'état, tant pis pour l'enregistrement dans les fichiers systèmes, car ce qui compte, c'est l'exécution des fichiers plus que leur enregistrement: or si j'en crois l'extension sous Firefox, les droits d'administrateurs de ton navigateur ont disparu, donc c'est le principal: un malware ne pourra pas s'exécuter via Firefox. Le test avec Free Download Manager (qui est bien un accélérateur de téléchargement) permet de s'en assurer mais ce n'est pas le seul.

 

 

PS : Par exemple, une question : SMR interdit-il complètement l'enregistrement dans n'importe quel répertoire de C:/ bien qu'étant sous une session Administrateur ?

 

Non: SMR laisse le système enregistrer dans certains dossiers de C:\, en particulier le Bureau ou Mes Documents.

 

 

Pour information, j'ai XP Home et je n'ai pas accès à l'onglet sécurité dans les propriétés d'un dossier comme C:/. Donc comment faire ?

 

L'onglet Sécurité n'existe pas sous XP home, il te faut l'installer A CONDITION que ton système de fichiers soit en NTFS et pas en FAT ou FAT32: tu trouveras un tuto ici:

 

http://www.laboratoire-microsoft.org/t/17297/

 

 

N'hésite pas si tu as d'autres questions !

 

 

Ogu

[Mathx]

les manipulations à effectuer pour permettre à SMR de fonctionner à plein dans ce cas de figure sont lourdes et dangereuses car elles interviennent au niveau des droits généraux de ton système

C'est bien un problème d'écriture permise pour les utilisateurs non ?

 

Juste pour l'info (je ne sais pas si je vais me risquer à ça...), tu pourrais fournir le détail précis de la manip à effectuer (en considérant qu'on part avec un XP Home en FAT32) ?

 

or si j'en crois l'extension sous Firefox, les droits d'administrateurs de ton navigateur ont disparu, donc c'est le principal: un malware ne pourra pas s'exécuter via Firefox. Le test avec Free Download Manager (qui est bien un accélérateur de téléchargement) permet de s'en assurer mais ce n'est pas le seul.

Peux-tu m'expliquer pourquoi le fait d'avoir un navigateur en droit non administrateur sécurise l'exécution s'il permet l'écriture dans les dossiers importants de XP ? S'il écrit un programme .exe dans C:/ par exemple, rien ne pourra l'empêcher de l'exécuter (soit par moi de manière peu prudente, soit par un tiers via un port ou autre) ?

 

Sinon, quels autres tests pourrais-je faire pour être sûr ?

 

SMR laisse le système enregistrer dans certains dossiers de C:\, en particulier le Bureau ou Mes Documents.

Pratique pour ne pas être bloqué mais quid de la sécurité ? Un programme comme un rootkit (qu'on ne voit pas a priori) pourrait très bien s'enregsitrer dans Mes Documents et s'y exécuter... Je ne comprends pas...

 

D'ailleurs, SMR protège-t-il des rootkits ?

 

N'hésite pas si tu as d'autres questions !

Ogu

Oui, deux autres questions : en est-il de même avec les autres programmes qui SMR bloque (cf. ton tuto) comme WMP, Thunderbird, etc... ? Y a-t-il toujours ce problème d'écriture pour les utilisateurs ?

 

A la limite, si SMR ne me permet pas d'être sécurisé. Je peux envisager de créer un compte Utilisateur. Cependant, j'aimerais savoir si cela peut se faire de la façon suivante.

 

Créer un compte utilisateur en tout point identique à mon compte actuel Administrateur (même paramétrage, même fichiers, même dossier, même contenu, ... - si j'ai des photos en compte Admin, j'aimerais pouvoir les voir sur le compte Utilisateur).

Eviter de devoir choisir le compte au démarrage (si j'en ai deux) et passer directement au compte Utilisateur mais me permettre de passer en compte Admin si je veux installer un prog par exemple ou pour une manip particulière.

J'aimerais que tout ce que je fais en compte Utilisateur se reporte en compte Admin, notamment au niveau de l'enregistrement de fichiers.

 

Est-il possible de faire tout ça ? Si oui, peux-tu m'expliquer comment faire ça point par point ?

 

Merci beaucoup pour ton aide.

Modifié le 17 juillet 2009 par Mathx

[oGu]

C'est bien un problème d'écriture permise pour les utilisateurs non ?

 

Juste pour l'info (je ne sais pas si je vais me risquer à ça...), tu pourrais fournir le détail précis de la manip à effectuer (en considérant qu'on part avec un XP Home en FAT32) ?

 

Tu ne pourras pas modifier les droits avec un système de fichier en FAT32. Et ensuite il faudrait voir précisément quels sont les autorisations/restrictions déjà en place. Perso, je ne m'y risquerais pas avec ma propre machine...

 

Peux-tu m'expliquer pourquoi le fait d'avoir un navigateur en droit non administrateur sécurise l'exécution s'il permet l'écriture dans les dossiers importants de XP ? S'il écrit un programme .exe dans C:/ par exemple, rien ne pourra l'empêcher de l'exécuter (soit par moi de manière peu prudente, soit par un tiers via un port ou autre) ?

 

Pour une raison simple: n'importe quel malware a besoin de s'exécuter pour s'activer: or des failles dans les navigateurs permettent l'exécution de malwares qui se seraient installés à ton insu: en enlevant les droits dans Firefox tu empêches cette exécution. Après bien sûr tu pourrais l'activer en cliquant dessus, mais c'est quand même très improbable!! Surtout qu'a priori, les fichiers systèmes sont cachés par défaut. Quant à l'exécution à distance par un port, c'est envisageable dans le cadre d'un backdoor, mais dans ce cas de figure le navigateur n'intervient pas, donc en effet SMR ne sert à rien. Il est évident qu'à choisir, il est préférable de sécuriser en écriture comme en exécution, mais dans ton cas précis, le remède risquerait d'être pire que le mal.

 

Sinon, quels autres tests pourrais-je faire pour être sûr ?

 

Tout simplement en téléchargeant un logiciel quelconque sur ton Bureau via Firefox, puis en essayant de l'exécuter via la fenêtre de téléchargement. Si tout va bien, l'installation sera refusée.

 

 

Pratique pour ne pas être bloqué mais quid de la sécurité ? Un programme comme un rootkit (qu'on ne voit pas a priori) pourrait très bien s'enregistrer dans Mes Documents et s'y exécuter... Je ne comprends pas...

 

 

SMR n'est pas magique: il permet simplement à moindre frais de sécuriser la principale porte d'entrée des malwares: néanmoins, en général un rootkit outrepasse les droits donnés par Windows, donc il s'affranchira de SMR s'il est suffisamment puissant. Quant au dossier Mes Documents, je n'ai jamais croisé en désinfection de machines avec un rootkit qui se serait installé dans ce répertoire: en général ils s'installent au coeur du système. Et de toute façon il faut bien que SMR laisse l'utilisateur enregistrer ce qu'il souhaite, autrement il serait tellement contraignant que personne ne l'utiliserait.

 

D'ailleurs, SMR protège-t-il des rootkits ?

 

 

Il n'y a pas de solution miracle contre les rootkits, à part un antivirus à la pointe des détections et, pour les utilisateurs avancés qui ont envie de passer du temps sur les réglages, un HIPS qui contrôlent les autorisations de ton système en fonction des règles que tu as préalablement établies.

 

Oui, deux autres questions : en est-il de même avec les autres programmes qui SMR bloque (cf. ton tuto) comme WMP, Thunderbird, etc... ? Y a-t-il toujours ce problème d'écriture pour les utilisateurs ?

 

A priori le problème demeure, vu que le système de restrictions/autorisations s'applique à tout ton système. Donc le fonctionnement de SMR sera identique.

 

A la limite, si SMR ne me permet pas d'être sécurisé. Je peux envisager de créer un compte Utilisateur. Cependant, j'aimerais savoir si cela peut se faire de la façon suivante.

 

 

C'est en effet ce qu'il y a de mieux à faire du point de vue sécuritaire: sauf que Windows créant un compte admin' par défaut que les utilisateurs souhaitent conserver par habitude et commodité, SMR est un moindre mal qui demande (quand ça marche ^) peu d'efforts pour des résultats somme toute convaincants.

 

Les explications que je te donne sont assez sommaire par souci de clarté: si t uveux en savoir plus, lis cet article de Tesgaz:

 

http://speedweb1.free.fr/frames2.php?page=securite4

 

Ou celui-ci sur un exemple de restriction sur le cache de Firefox:

 

http://speedweb1.free.fr/frames2.php?page=securite6

 

 

Créer un compte utilisateur en tout point identique à mon compte actuel Administrateur (même paramétrage, même fichiers, même dossier, même contenu, ... - si j'ai des photos en compte Admin, j'aimerais pouvoir les voir sur le compte Utilisateur).

 

 

Tesgaz a pensé à toi encore une fois : voilà une procédure ultra-complète à adapter à ton cas:

 

http://speedweb1.free.fr/frames2.php?page=bureau5#profil

 

 

Eviter de devoir choisir le compte au démarrage (si j'en ai deux) et passer directement au compte Utilisateur mais me permettre de passer en compte Admin si je veux installer un prog par exemple ou pour une manip particulière.

 

En compte limité, il te suffit de cliquer droit sur un exécutable, de sélectionner "exécuter en tant qu'administrateur" et de rentrer ton mot de passe pour que le logiciel s'installe normalement.

 

 

J'aimerais que tout ce que je fais en compte Utilisateur se reporte en compte Admin, notamment au niveau de l'enregistrement de fichiers.

 

Ca par contre je doute que cela soit possible, les comptes ne se synchronisent pas à ce pont-là de ce que j'en connais.

 

 

J'espère t'avoir éclairé, mais la question des droits et autorisations est complexe et délicate, j'en apprends à chaque fois qu'un membre poste un nouveau message dans ce topic ^^ !

 

A+.

Modifié le 18 juillet 2009 par oGu

[Mathx]

Tu ne pourras pas modifier les droits avec un système de fichier en FAT32. Et ensuite il faudrait voir précisément quels sont les autorisations/restrictions déjà en place. Perso, je ne m'y risquerais pas avec ma propre machine...

Bien, alors je ne vais pas prendre ce risque, si tu dis qu'il est grand. Néanmoins, peux-tu me donner plus de détails sur ce qu'elle impliquerait de faire ?

 

Si je résume de ce que j'ai compris que tu as fait une fois avec sogno (vu ailleurs sur un forum), tu as supprimer les droits spéciaux au groupe 'Utilisateurs' (en mode sans échec) éventuellement après avoir déshérité cette catégorie. Pour ce faire, en mode sans échec, tu as été dans l'onglet sécurité du dossier C:/Windows puis Paramètres et tu as supprimé la catégorie Utilisateurs qui avait des autorisations spéciales.

Si ce n'est que ça, ce n'est pas bien compliqué je trouve. Pour moi, la difficulté serait d'acquérir cet onglet sécurité que je n'ai pas actuellement (car j'ai un XP Home en FAT32). Donc comment faire pour l'avoir ?

 

en enlevant les droits dans Firefox tu empêches cette exécution.

ça, je n'ai pas bien saisi. Si tu pouvais aussi me donner plus de détails à ce niveau...

 

Tout simplement en téléchargeant un logiciel quelconque sur ton Bureau via Firefox, puis en essayant de l'exécuter via la fenêtre de téléchargement. Si tout va bien, l'installation sera refusée.

J'ai essayé cette manip et là, pouf, l'installation se lance bien à partir du navigateur (fenêtre de téléchargement). Pourtant, j'ai bien la clé de registre que ton tuto demande de mettre dans le registre, j'ai le .exe de SMR dans le System32 et j'ai même un raccourci 'sécurisé'. D'où vient le problème ? Peux-tu m'aider à le résoudre ?

 

A priori le problème demeure, vu que le système de restrictions/autorisations s'applique à tout ton système. Donc le fonctionnement de SMR sera identique.

Tu penses que ça vaut le coup que j'applique SMR à d'autres applis alors ?

 

Je vais lire la doc que tu me suggères avec attention.

 

Ca par contre je doute que cela soit possible, les comptes ne se synchronisent pas à ce pont-là de ce que j'en connais.

En fait, ce que j'aimerais, c'est que si je crée un fichier sous un compte Utilisateur, je puisse y avoir accès sous le compte Admin. Par ailleurs, si j'optimise XP (ou d'autres applis) sous le compte Admin a priori, j'aimerais être sûr que le compte Utilisateur en profite aussi. C'est à peu près tout ce que je vois. En fait, j'aimerais avoir la même vie informatique que j'ai actuellement sous un compte Admin mais sous un nouveau compte Utilisateur pour garantir ma sécurité sur le net. Après, j'accepte de devoir agir sous le compte Admin pour paramétrer le système dans son ensemble (de manière ponctuelle).

 

J'espère t'avoir éclairé, mais la question des droits et autorisations est complexe et délicate, j'en apprends à chaque fois qu'un membre poste un nouveau message dans ce topic ^^ !

 

A+.

Un grand merci dans l'attente de tes nouvelles réponses !

Modifié le 19 juillet 2009 par Mathx