Microsoft dévoile une refonte de la sécurité et de la confidentialité pour Windows avant son relancement !

Microsoft relance sa fonction controversée Recall pour les PC Copilot+ Windows, après que la version initiale ait connu de sérieux problèmes cet été, notamment des critiques d’experts en sécurité et d’évaluateurs. L’ancienne version de Recall enregistrait des captures d’écran et du texte OCR de toutes les activités de l’utilisateur, les stockant de manière non chiffrée sur le disque, où elles pouvaient facilement être accessibles par un autre utilisateur sur le PC ou par un attaquant ayant un accès à distance.

La fonction a été annoncée fin mai, sans avoir effectué de tests publics auprès des utilisateurs de Windows Insider que la plupart des nouvelles fonctionnalités de Windows traversent, et devait être intégrée dans de nouveaux PC d’ici le 18 juin. Cependant, le 13 juin, la société a annoncé un report indéfini pour retravailler la fonctionnalité et a précisé qu’elle serait testée par les canaux habituels avant d’être déployée publiquement.

Aujourd’hui, Microsoft a partagé des détails plus approfondis sur la manière dont la sécurité de Recall a été réarchitecturée dans un billet de blog du vice-président de Microsoft, David Weston, en charge de la sécurité des entreprises et des systèmes d’exploitation.

Plus sécurisé, également optionnel

Les grandes lignes de l’annonce d’aujourd’hui sont similaires aux changements que Microsoft avait précédemment annoncés pour Recall cet été : la fonction sera désactivée par défaut et nécessitera une activation de l’utilisateur pour fonctionner. Les utilisateurs devront également se ré-authentifier via Windows Hello avant d’accéder aux données de Recall, et les données stockées localement seront protégées par un chiffrement supplémentaire.

Cependant, certains détails montrent comment Microsoft tente de rassurer les utilisateurs sceptiques. Ainsi, Recall peut désormais être complètement retiré d’un système via les paramètres de “fonctionnalités optionnelles” de Windows. (Lorsque ce mécanisme de retrait similaire était apparu dans une préversion de Windows plus tôt ce mois-ci, Microsoft avait déclaré qu’il s’agissait d’un “bug”, mais manifestement ce n’était pas le cas).

La société partage également davantage d’informations sur la façon dont Windows protégera les données localement. Toutes les données Recall stockées localement, y compris les “instantanés et toute information associée dans la base de données vectorielle”, seront chiffrées au repos avec des clés stockées dans le TPM de votre système. Selon le billet de blog, Recall ne fonctionnera que lorsque BitLocker ou le chiffrement du dispositif seront pleinement activés. De plus, Recall nécessitera que la sécurité basée sur la virtualisation (VBS) et l’intégrité du code protégé par hyperviseur (HVCI) soient activées. Ces fonctionnalités sont parfois désactivées par les utilisateurs pour améliorer les performances de jeu, mais Recall devrait refuser de fonctionner à moins qu’elles ne soient activées.

En effet, le nouveau Recall opère à l’intérieur d’un enclave VBS, ce qui permet d’isoler et de sécuriser les données en mémoire du reste du système.

“Cette zone agit comme une boîte verrouillée qui ne peut être accessible qu’après autorisation de l’utilisateur via Windows Hello”, écrit Weston. “Les enclaves VBS offrent une barrière d’isolation tant par rapport aux utilisateurs administrateurs qu’au noyau.”

Windows n’autorise aucun code à s’exécuter au sein de ces enclaves qui n’a pas été signé par Microsoft, ce qui devrait réduire le risque d’exposition des données Recall à des logiciels malveillants ou à d’autres applications nuisibles. D’autres protections contre les logiciels malveillants nouvelles dans cette version de Recall incluent des “mesures de limitation de fréquence et de prévention des attaques par force brute”.

En tant que journaliste, je constate que Microsoft tente de rattraper son faux pas en matière de sécurité avec ses nouvelles fonctionnalités. Cela souligne l’importance croissante de la protection des données personnelles dans nos interactions avec la technologie. J’espère que ces nouvelles mesures de sécurité aideront à restaurer la confiance des utilisateurs et à faire de Recall un outil fiable et respectueux de la vie privée.