JDNet Solutions : Avec Windows Server 2003, Microsoft va-t-il s'attaquer enfin aux vrais problémes de sécurité ?
Jean-Philippe Chabaud: La sécurité était déjà un sujet sur lequel Microsoft passait du temps. L'apparition du virus Nimda le 12 septembre 2001 et les dégâts qu'il a engendrés par la suite sur les serveurs IIS (Internet Informations Server) non protégés de nombreux clients (voir l'article) a conduit Bill Gates à replacer ce domaine au centre de nos objectifs stratégiques.

S'en est suivi une remise à plat des méthodes de travail avec, en ligne de mire, une visée unique: réduire au maximum le nombre de failles de nos applications. Windows Server 2003 est le premier produit à bénéficier de cette évolution.

Comment cette nouvelle stratégie s'est-elle traduite côté conception ?
Désormais, l'ensemble des développeurs de Microsoft suivent des formations régulières visant à les sensibiliser aux enjeux de sécurité. Lors de ces sessions, ils apprennent notamment à se servir de divers types d'outils d'optimisation d'applications, tels que des logiciels d'analyse de code, de tests ou encore de détection de failles (buffer over flow, etc.).

Les méthodes de développement en tant que telles ont également été modifiées en vue de prendre en compte cette exigence. Auparavant, Microsoft tendait à privilégier une implémentation rapide des nouvelles fonctions au détriment d'une étude fine des risques que celles-ci pouvaient entraîner. Aujourd'hui, toute nouveauté est activée suite à un travail de sécurisation préalable des plus minutieux.

Qu'en est-il du paramétrage de l'OS et des solutions proposées dans ce domaine ?
Notez en premier lieu que Windows Server 2003 est livré par défaut avec une surface d'attaque limitée, en termes de droits d'administration notamment. [NDLR: Le serveur Web n'est plus activé automatiquement comme cela était le cas avec Windows 2000] Cette politique est conçue pour rendre plus difficile l'exploitation de vulnérabilités potentielles par des personnes malveillantes.

De son côté, l'assistant de paramétrage a été complété de mécanismes permettant de vérifier la cohérence de la configuration au regard de certaines conditions de sécurité. Ainsi, en cas d'activation du serveur Web, le dispositif en question demandera par exemple à l'administrateur s'il désire mettre en place ou non un pare feu (Internet Connection Firewall) pour filtrer les flux IP.

La politique de communication autour des correctifs va-t-elle subir des évolutions ?
Sur ce point, nous réfléchissons à la possibilité de mieux cibler nos messages. Il est notamment envisagé de décomposer notre lettre d'information en plusieurs abonnements, ciblant chacun une catégorie de logiciels particulière.

Que proposez-vous comme outils de mise à niveau ?
Un module de mise à niveau, baptisé Windows Update, existait déjà pour Windows 2000. Egalement disponible avec Windows Server 2003, il se charge d'analyser les configurations et de définir ainsi l'ensemble des patch nécessaires à un environnement particulier.

A cela s'ajoute dès lors un second produit - dévoilé à l'occasion de la sortie de la version 2003. Baptisé Microsoft Software Update Services, il administre le déploiement de correctifs selon deux options: l'une automatique, l'autre manuelle. Il a notamment été mis au point pour faciliter le repérage de l'impact éventuel d'une correction sur une application en production.

Prévoyez-vous d'étendre cette nouvelle démarche à d'autres produits ?
Nos prochaines mises à jour majeures, telles Office 2003 et Exchange 2003, bénéficieront de la politique de sécurité initiée avec Windows Server 2003. A plus long terme, nous prévoyons par ailleurs de proposer un système unique de gestion de correctifs, équivalent à Windows Update, couvrant l'ensemble de nos gammes.