Limiter ses droits

Avant tout, il faut savoir qu'il y a deux grands "types" de personnes à utiliser un système.

Lesquels ?

Il y a l'administrateur : c'est la personne qui installe des programmes, qui configure le système, qui fait de la maintenance... elle doit, pour ces opérations, avoir accès à tous les dossiers système de l'ordinateur, afin de lire, d'ajouter ou de modifier des fichiers.

Et le deuxième ?

C'est l'utilisateur. C'est la personne qui va utiliser les applications installées. Il ne faut pas que cette personne aie accès aux dossiers systèmes.

Pourquoi ?

Parce que si les dossiers systèmes ne sont pas protégés, l'utilisateur peut attraper des virus et des logiciels malveillants très facilement. Infecter un système où les dossiers systèmes sont accessibles en écriture est un jeu d'enfant.

L'administrateur a bien accès aux dossiers système, lui...

Oui, mais ses tâches sont uniquement d'ordre administratif. Il ne va pas surfer sur le web et ramener des bestioles. De plus c'est impératif pour lui d'avoir accès à ces dossiers, sinon il ne pourrait pas assurer son rôle.

Je suis quoi moi ? Administrateur, utilisateur ?

Si vous vous occupez vous-même de l'entretien de votre ordinateur, vous êtes à la fois administrateur et utilisateur, en fonction de vos activités.

C'est drôle, avec Windows je n'ai jamais remarqué que je prenais la place de deux personnes différentes...

C'est tout simplement parce que Windows considère, si on ne lui dit pas le contraire, l'administrateur et l'utilisateur comme une seule et même personne ! Vous utilisez donc vos applications et entretenez votre ordinateur sans effectuer aucun changement.

Ah, c'est donc pratique de pouvoir être admin et utilisateur à la fois.

Non, c'est dangereux. Dans ce type de situation, vos dossiers système ne sont pas protégés car vous en avez besoin pour toute la partie administrative de votre ordinateur. Ce n'est pas pour autant qu'ils se protègent tous seuls dès que vous allez surfer sur internet ! Vos dossiers système sont en permanence accessibles en écriture, et ça c'est une faille de taille.

Le but de cet article est de vous apprendre comment protéger le système lorsque vous êtes utilisateur, et comment le rendre accessible lorsque vous voulez effectuer une tâche administrative. Cela s'appelle "limiter les droits" de l'utilisateur. Il y a plusieurs méthodes.

Cette méthode consiste à créer une session où les droits seront limités, et les dossiers système protégés. C'est une session que vous utiliserez quotidiennement pour vos activités habituelles, toutefois pour toute tâche administrative vous devrez fermer la session et ouvrir celle possédant les droits d'administrateur.

• Simple à mettre en oeuvre
• Efficace, la session créée limite le risque d'infection

• Pénible, les changements de session peuvent être fréquents
• Certaines activités (gravure de cd, certains jeux...) fontionnent mal sous la session limitée

Pour créer cette session, il faut tout d'abord se rendre dans le panneau de configuration.

Puis, il faut ouvrir "Comptes d'utilisateurs", et choisir de créer un nouveau compte.

Lui donner un nom.

Et surtout choisir "droits limités".

Voilà ! Windows se charge de créer cette session ainsi que toutes les restrictions qui vont avec ! Tout le travail est fait, vous pouvez dès maintenant vous déconnecter de votre session administrateur et prendre l'habitude d'utiliser la session créée quotidiennement. Pensez à mettre un mot de passe à votre session administrateur ;-)

C'est une solution plus pratique, toutefois si vous êtes utilisateur débutant ou peu sûr de vous, je vous conseille plutôt d'utiliser DropMyRights (voir plus bas). Ici, il n'y a pas besoin de créer une autre session. Il suffit d'installer un programme sur votre session courante pour limiter automatiquement les droits à chaque démarrage du compte.

Et pour effectuer une tâche administrative ?

Il suffit de dire au programme "lance cette application en tant qu'administrateur !" et il le fera. Vous êtes ainsi sous une session aux droits limités, donc sûre, et vous pouvez lancer les programmes de votre choix "en tant qu'administrateur" (d'où le nom du programme).

• Solution très pratique
• Efficace, la session est très bien limitée en droits

• Petits problèmes de stabilité, il faut savoir se débrouiller en cas de plantage
• Quelques tâches administratives demandent encore une session non-limitée en plus

Avant de l'installer, nous pouvons constater que les dossiers système ne sont pas protégés : si par exemple on ouvre l'invite de commandes (Menu Démarrer / Programmes / accessoires / Invite de commandes) et que l'on décide de créer un dossier dans C:\Windows\ , rien ne nous interdira l'accès.

Avec la commande mkdir, j'ai créé un dossier appelé "test" dans le répertoire de Windows. Avec la commande cd, je peux aller dans ce dossier, ce qui prouve qu'il a bien pu être créé et que les dossiers systèmes ne sont pas protégés en écriture.

Téléchargez le programme ici : RunAsAdminExplorerBin.v1.0.0.10. C'est une archive zip contenant un fichier explorer.exe qu'il faut extraire avec un logiciel de type Winzip ou Winrar dans le dossier C:\Windows\RAA\ (RAA est un exemple de nom de dossier, vous pouvez mettre le nom que vous voulez).

Puis, il faut ouvrir l'invite de commandes, et taper la commande suivante :
C:\Windows\RAA\Explorer.exe /i (RAA, ou le nom que vous avez choisi).

Un message de confirmation apparaît, choisissez oui.

Puis un message vous dit que l'installation s'est bien déroulée.

Redémarrez votre session, vous êtes maintenant restreint en droits, ce qui donnera du fil à retordre aux logiciels malveillants cherchant à vous infecter en utilisant les dossiers système. D'ailleurs, si on essaie à nouveau de créer un dossier dans C:\Windows, l'accès nous sera refusé :

Suite à l'installation, une icône suplémentaire, en forme de clés, est apparue dans la barre des tâches :

En faisant un clic simple dessus, vous faites apparaître un menu. Pour lancer une application en tant qu'administrateur, choisissez "Non restreint".

Il ne vous reste plus qu'à parcourir l'application en question. Ici, par exemple, j'exécute le fichier d'installation de mon firewall, car seul un administrateur peut installer des logiciels.

Je pense qu'on a fait le tour. Pour résumer, vous êtes limité en droits, et vous pouvez lancer des programmes en tant qu'administrateur via l'icône de la barre des tâches. J'oubliais, si un jour vous deviez désintaller le programme (et récupérer votre session administrateur), lancez une invite de commandes "en tant qu'administrateur" et entrez la commande suivante :
C:\Windows\RAA\Explorer.exe /r

Le programme DropMyRights vous permet de conserver tous vos droits d'administrateur sur votre session.

Et ce n'est pas dangereux ?

Non, car avec ce programme vous pouvez lancer sur cette session administrateur vos programmes sensibles en droits limités, c'est un peu le fonctionnement inverse de RunAsAdmin. C'est une excellente solution pour ceux qui ne veulent pas utiliser une session aux droits limités.

• Solution la plus pratique, vous conservez votre session admin
• Très simple à mettre en place

• Les dossiers systèmes ne sont pas protégés "en permanence", la session reste non-limitée

Téléchargez DropMyRights ici : DropMyRights.msi

Pour l'installer, il suffit de double-cliquer sur le fichier :

Cliquez simplement sur suivant. Prenez conscience de la license et acceptez-en le contenu :

Choisissez un emplacement d'installation, je vous recommande quelque chose de simple à mémoriser, par exemple C:\DropMyRights\

L'installation se fait automatiquement. Vous êtes donc toujours sous une session non-limitée, pour limiter une application, il faut faire un clic droit sur son raccourci pour aller dans les propriétés. Il faut modifier la cible du lien en encadrant le raccourci déjà existant par des guillemets, et en rajoutant devant "C:\DropMyRights\DropMyRights.exe"(C:\DropMyRights\, ou le dossier d'installation choisi).

Pour firefox, cela me donne par exemple "C:\DropMyRights\DropMyRights.exe" "C:\Program Files\Mozilla Firefox\firefox.exe". Lancez l'application, vous pouvez vérifier qu'elle est bien limitée en droits par la brève apparition d'une fenêtre de commandes :

...qui disparaît instantanément et fait place à l'application.

Je vous recommande, par cette méthode, de limiter en droits :

• Vos navigateurs
• Vos clients de messagerie
• Vos logiciels de messagerie instantanée
• Vos logiciels de P2P si vous n'êtes pas encore décidé à les désinstaller

Vous réduisez ainsi grandement le risque d'infection en limitant les applications "sensibles".

Retourner en haut de la page
Besoin d'aide ? Passez donc sur le forum

Site conçu par odSen en 2005 // Dernière MàJ : 9 novembre 2006 // e-mail : benoit[point]auneau[chez]gmail[point]com