Bonjour,
Je vous propose une variante basée sur une expérience personnelle
que j'avais mise en oeuvre sur un très vieux PC destiné à un cousin
et qui a très bien marché pendant un an, jusqu'au grillage de la carte mère.
L'idée de départ est simplissime : on repart d'un système neuf à chaque boot.
J'avais fait cela à l'époque avec "deep freeze" de Faronics (payant).
Il doit bien exister l'équivalent en gratuit ...
On pourrait aussi booter depuis un CD ... aucun virus ne l'attaque, le CD.
Bien sûr, il faut architecturer la machine en conséquence pour que cela soit
confortable et (relativement) sûr.
J'avais décrit cela en trois page sur un site web dont je donnerais volontiers l'adresse
si cela vous interesse et ... si j'en ai le droit ...
Cordialement
.

Effectivement, cloisonner le système afin d'éviter un résident peut être judicieux.

Ca a l'air trés interressant Deep Freeze ! Parfait pour un poste invité. Les données seraient alors accessibles par lecteur réseau, en lecture seule idéalement. Plus simple a mettre en oeuvre que StripMyRights je présume.
Les conséquences sont-t-elles importantes au niveau du boot?

Sinon, dans ce sens il y a évidemment les Live CD Linux ou PE Builder. Mais ce n'est pas trés interressant niveau performances.

Bonjour Pit32,
Deux réponses :
** la mise en oeuvre est très simple : on installe, on définit un mot de passe pour reprendre
la main en cas de besoin et quand tout est bien au point, on gèle le système.
** la reconstruction à chaque boot ne prend qu'environ 15 secondes de plus que le boot classique
(dans mon cas un W98SE (pour l'USB) sur un ... pentium 133, avec juste le système,
un navigateur ultra-léger (kameleon, si je me souviens bien) et deux ou trois trucs légers
aussi en plus (AbiWord, par exemple)).
Moyenant cet habillage minimal, les performance étaient à mon sens très praticables.
Cordialement
.

Et bien je trouve ca vachement sympa. Merci pour l'info

Bonjour,
Je suis heureux que cela vous interesse.
Ai-je le droit de donner ici l'adresse du mini site internet (3 pages !)
où je décris un peu mieux l'architeture mise en oeuvre ?
Cordialement
.

Heu... désolé mais je comprends pas trop l'utilité d'une telle solution ? comment l'utilisateur récupère les sauvegardes de ses données utilisateurs ? ses mails ? ses fichiers etc.

Bonjour Hikou,

Eh bien oui, bien sûr, je suis d'accord avec toi, brut de fonderie, cela ne résout pas les problèmes de données, mails, etc ... c'est pour cela que j'ai dû architecturer un brin (simplement, rassures toi) pour que cela soit confortable/praticable/efficace.

C'est ce que j'ai décrit en 3 petite pages web. Bien sûr je peux recopier cela dans ce post si on le souhaite (et si j'en ai le droit), ou mettre le lien URL (même remarque).

Pourquoi je ne mets pas le lien URL d'entrée de jeu ? Heuuuu ... simplement parce que je me suis fait jetter il y a un an d'un forum d'une revue d'informatique pour avoir publié cet URL qui était personnelle, je ne savais pas que c'était interdit, et ... je ne tiens pas du tout à me faire sortir de Libellules que j'apprécie tout particulièrement ! Chat échaudé ...

Cordialement

Poste l'adresse, c'est une doc.

Bonjour Falkra,
Merci pour le feu vert :
http://www.j-rec.new.fr

Cordialement

Merci pour le lien Cela étant je suis peut-être trop prudent mais j'ai quelques réserves sur ce type d'installation. Déjà est-ce que tu prévois l'utilisation d'un compte limité ? Car en compte administrateur et sans antivirus ni firewall :

- Le temps de l'utilisation du PC un malware peut s'installer et atteindre les logiciels et leurs données, bien que stockées sur une autre partition. Utiliser un compte limité permet au moins de bloquer les malware ayant besoin de droits administrateurs pour fonctionner.

- Le système est d'autant plus vulnérable qu'il n'est plus à jour au bout d'une certaine période, à moins d'immobiliser le PC pour faire une update à chaque lancement (update qui nécessite parfois... un redémarrage). Ou alors à chaque mise à jour de sécurité de windows, scanner le système à l'antivirus, reconstruire une nouvelle image etc. ce qui reste assez astreignant là encore.

Donc avant même le risque de perte ou de vol de données persos, il y a la possibilité d'une utilisation fortement perturbée par des virus ou spyware exploitant des failles non corrigées du système ou des applications se connectant à internet. On se souviendra de vers RPC qui se propageaient d'un PC à un autre uniquement en recherchant eux-mêmes des machines exploitables par scan d'IP.

Bonjour Hikou,

Je trouve que c'est une très bonne suggestion d'amélioration de cette mini-architecture que d'uiliser un compte limité plutôt que de laisser courir un compte administrateur.

Ceci étant, le mode d'emploi donné au cousin était : dès que tu vois que cela va moins bien, tu rebootes ! Quelle que soit la cause, on ne cherche pas à comprendre. Le système n'étant absolument pas protégé, et ce, d'autant plus que, comme tu le fais remarquer, il n'est pas du tout à jour, son temps de vie, était, disait-on à l'époque de 20 minutes avant de se prendre une saloperie ... Quelle importance ? Le temps de relever ses emails, ou de faire un petit coup de surf ... J'oublie de dire qu'il était connecté en PSTN de loin en loin pendant quelques minutes à chaque fois. Bien sûr pendant ce temps ...

Par contre, j'avais complètement oublié d'envisager (j'ignorais) que les applications (voire les données) sur D: ou autre partition pouvaient être altérées pendant se laps de temps et repartir vérolées le lendemain. Je les croyais en sécurité dans l'autre partition ou sur la clef USB ... Mais est-ce un risque si courant ?

Cordialement

Techniquement, oui on voit ça couramment avec les infections pour supports amovibles, en particulier les clés USB. Ca s'étend aux autres partitions après (hélas). Il y a un papier en post-it (écrit par Gof) dans la section sécurité si tu veux creuser la question.

Est-ce que le temps réel est indispensable sur cette config ?
Un scanneur sur demande pourrait aider, en allégeant les ressources du même coup. Cela imposerait par contre de scanner par ci par là régulièrement, même juste un dossier téléchargé d'une pièce jointe par exemple.

Merci Falkra.
Alors comme cela, on peut avoir des infections sur support amovible ? Je n'avais pas vu passer ce "détail" (!). C'est vrai que je ne suis sur Libellules que depuis eu et que, surtout, ce sujet ne m'a jamais vraiment interessé faute d'accidents graves (sauf Sasser comme tout le monde, à l'époque).
Le temps réel ? J'avais bien essayé : impraticable sur une config légère. C'est bien le sujet du post, au fait ! C'est pour cela que j'avais du inventer une autre solution sans un gramme d'antivirus ni de firewall, ni ...

Avec la mauvaise nouvelle de l'infection qui peut atteindre d'autres partitions, l'architecture se double d'un mode d'emploi en trois parties suite à tes remarques :
-- dès que "ça ne tourne pas rond" on reboote
-- un petit scan online de tout ce qui peut être potentiellement dangereux
-- et, de loin en loin on scanne tout

Cordialement

A mon sens, l'interet est indeniable. Comme son nom l'indique, un virus a besoin d'un système porteur, et est souvent programmé pour infiltrer des répertoires biens précis (en locurence c:\win). De ce fait, on peut donc se passer d'un scan résident lourd pour une machine qui date (12 ans dans le cas de eVs). Un scanner manuel suffira alors pour scanner l'espace de stockage utilisateur, sachant que même si un virus(ou autre) s'y cache, il se sera pas en possession de ses moyens sans avoir corrompu le système auparavant (aprés redemmarage).
Bien sure, rien n'empèche de combiner une configuration des aplications web avec DropMyRights. Le compte invité offre une protection supplémentaire mais pas infaillible. La restauration du système au boot en revanche, n'en est pas loin, en y ajoutant la fonction de filtrage réseau.

Donc les avantages sont:
- gain de ressources
- securité

Les seul inconvenients qui me sont venu a l'esprit sont:
- Et les mises a jours alors ? Vu l'age de la machine, l'OS qu'il acceuil ne doit plus bénéficier d'un support. De plus James33 a précisé "on définit un mot de passe pour reprendre
la main en cas de besoin et quand tout est bien au point, on gèle le système"
- La maintenance et mise en oeuvre demande un minimum de connaissances.

Heu un virus, un vers ou un spyware n'a pas forcément besoin d'un redémarrage pour être actif. Si il arrive à infecter un système en utilisant une faille non bouchée par exemple, rien ne l'empêche d'être actif et de perturber l'utilisation de l'ordinateur. Je reste très sceptique sur l'absence totale d'antivirus résident en mémoire sur un OS non à jour comme Windows, même en compte limité.

Pour conclure pour moi, si vraiment l'ordinateur est trop ancien pour supporter un antivirus temps réel, je conseillerai plutôt une distrib linux simple et légère.

Je ne porte pas autant d'espoirs que toi Hikou sur le scan résident. Idéalement, je préfère un sytème de protection ne dépendant pas de mises a jours ou autres facteurs exterieurs. Malheureusement, pour ce qui est des failles non corigées de l'OS, nous n'y pouvons rien. En tous cas, le résident n'en fera rien et les mises a jours sont possible d'aprés ce que j'ai compris.
Je persiste a dire qu'un programme virulent ne pourra pas faire grand chose sans l'aide de notre chère système Windows.
Dans le cas d'une infection de type rootkit (qui est pour moi la plus préoccupante), il me semble que le redemmarrage est son seul moyen d'achever sa dissimulation. C'est déja ça de moins.
On peut reprocher a cette méthode le peut de souplesse qu'elle possède, mais pas son efficacité de protection.

Evidemment, si rien ne s'y oppose, la distrib linux sera trés appreciable

Ha mais pour moi le résident est complémentaire avec l'utilisation d'un compte limité sur un système à jour.

Dans le système proposé il n'y a ni résident, ni mise à jour... la gestion des droits peut empêcher certaines actions, mais pas toutes. La plupart des malware tentent de s'ajouter au démarrage, mais si ce n'est pas possible ils sont actifs quand même le temps de l'utilisation.

Y coucou Hikou !

Le compte limité est trahi par les possibilité de modifications durant le démmarage principalement.
Les mises a jours sont possibles, heureusement.

Mais quels sont les moyens d'infection de ce type de poste ? - La naviguation et les fichiers joints par mail.
Un naviguateur correctement configuré lancé avec DropMyRight évitera la casi-totalité des infections et cela sans nesseciter de ressources. Pour le client mail, un scan manuel des fichiers joints ou un lancement sandboxé ne seront pas folie.

Dans le cas d'une éventuelle infection (l'utilisateur l'aurai bien cherché), que fera le malware, pendant la session en cours, a part programmer des modification pour de redemmarrage ?
Tenter de se connecter a l'exterieur? Je rappel qui faut prévoir une solution de filtrage réseau.
Supprimer des données ? peu probable...

Le résident ne réagira pas face a de toutes nouvelles menaces ou autres polymorphes, et les mode heuristiques ou comportementals sont des plus lourd. Je prefère de loin une solution sans appel.

Bref, cette solution vise simplement a offrire une sécurité satisfaisante pour des ressources minimales. Sans ces contraintes, il est évident que des residents ne sont pas à bouder.

Hikou, tu approuve ouvertement le système Linux dont la force réside dans son cloisonnement et sa gestion des droits, comment se fait-il que tu n'approuve guère une méthode qui s'en approche sur un système Windows ?