De plus en plus de personnes profitent des fonctionnalités d’un smartphone en entreprise et ces mêmes entreprises ont de plus en plus besoin de ses outils pour améliorer la satisfaction, le confort et la productivité de leurs employés. Cependant elles ne sont pas toujours structurées pour accueillir au sein de leur système d’information ces nouveaux appareils fortement mobiles et qui apportent leur lot de complexité et de sécurité.N’oublions pas que certaines entreprise n’ont pas pris (ou que récemment) le virage du portable.
De ces faits est né le Bring Your Own Device (BYOD) car les utilisateurs utilisent (ou essayent d’utiliser) dans l’entreprise les devices qu’ils aiment et savent utiliser «à la maison».

Pour répondre à ces nouveaux challenges et au fort besoin de sécurité autant pour l’entreprise que pour  l’utilisateur, Windows Phone a été pensé et conçu autour de principes forts de sécurité.

L’architecture de sécurité de Windows Phone 8 repose sur trois piliers :

Intégrité du device

Le secure boot

Le Secure boot est un des bénéfices directs de la nouvelle architecture Windows Phone 8 basée sur le cœur (Kernel) de Windows 8. Cette fonctionnalité s’appuie sur la norme la nouvelle génération de BIOS : L’UEFI.
La technologie Secure Boot valide l’image du firmware, le premier composant utilisé pour le démarrage du téléphone, avant même le chargement du système d’exploitation.
Tous les composants entrant dans la constitution du boot sont signés digitalement et ne peuvent pas être exécutés s’ils ne sont pas signés ou s’ils ont été altérés ou remplacés (malware).

Ainsi le Secure boot permet de garantir que le système d’exploitation repose sur un socle de confiance et n’est pas « Rooté » / « JailBreaké ».

Le code signing

Une autre facette du modèle de sécurité de Windows Phone 8 est l’obligation faite à tout code d’être signé pour pouvoir être exécuté sur Windows Phone 8.
Les développeurs connaissaient  bien cette fonctionnalité sur Windows Phone 7 car c’est exactement le propos de la certification des applications du Windows Phone Store.
Après validation de l’application soumise à la certification (respect de règles des applications Windows Phone, validation que l’application n’est pas mal attentionné et qu’elle fait bien ce qu’elle dit qu’elle fait à l’utilisateur…), l’application est signée par le store et intégrée pour présentation à l’utilisateur finale.
Désormais TOUS les codes s’exécutant sur la plateforme doivent être signés : cela s’applique au système (code Microsoft), au code du constructeur (OEM) et au code de l’opérateur.

Dès lors, cette fonctionnalité assure que tout code exécuté sur le téléphone est fiable car vérifié par une autorité de confiance. Cela inclut la possibilité de révoquer un code jugé malveillant qui aurait été introduit sur la plateforme et cela même pour les applications d’entreprise déployées sans Marketplace (cf post sur le blog Windows Phone sur le déploiement des applications d’entreprises)

Le démarrage sécurisé (ou Secure Boot) ainsi que la signature obligatoire des codes exécutables (Code Signing) représentent la première ligne de défense de Windows Phone 8 afin d’assurer l’intégrité de votre téléphone.

Tout cela ne correspond pas juste des contrôles de sécurité mais apporte les premiers de défense afin de prévenir le téléphone et son utilisateur contre des applications malveillantes (malware).

Sécurité de la plateforme

Sécurité des applications

La sécurité des applications sur Windows Phone 8 a évoluée par rapport à Windows Phone 7 pour être plus sécurisée et plus flexible.
Toute application Windows Phone tourne dans une chambre isolée, aussi appelé Bac à sable – Sandbox.
L’application tourne uniquement avec les permissions (CAPABILITIES) qui lui sont attribués.
Ainsi une application essayant d’accéder à des données personnelles telles que vos contacts ou l’appareil photo se verra refuser l’accès à cette information si elle n’a pas été certifiée pour cela.

De plus, cette isolation inclut le stockage des données où chaque application a accès un espace de stockage privé qui lui est propre. Ainsi une autre application ne pourra venir « voler » les informations d’une autre comme le font généralement les malwares.
De manière générale, une application ne peut pas interférer avec une autre ou en prendre le contrôle (par exemple « écouter » votre application bancaire pour récupérer votre code secret..) car une application ne peut voir qu’elle-même et pas les autres applications tournant en même temps qu’elle.

Sécurité lors du Browsing Internet

Le principe d’isolation s’applique à tous les composants du système et particulièrement Internet Explorer 10 inclus dans Windows Phone 8.
Outre les fonctionnalités Anti Hameçonnage (anti-phishing)  d’Internet Explorer visant à vous protéger des sites malveillants comme sur la version Windows 8, Windows phone permet d’éviter à un virus de contaminer le système.
Dans le cas où un virus serait téléchargé par l’utilisateur via Internet Explorer, ce dernier ne pourra sortir du container d’IE et contaminer le système.

Sécurisation de la Distribution des applications

Il existe, sur Windows Phone 8, 2 manières de distribuer une application sur une Windows Phone (en excluant le cas particulier du développeur en train de construire l’application.)

Public: Windows Phone Store

Comme nous pouvons le voir sur d’autres plateformes, des malwares peuvent être installés par un utilisateur via l’App Store de son téléphone.
Pour Windows Phone, nous avons architecturé avec précaution notre Windows Phone store et ses processus associés afin d’empêcher l’utilisateur d’installer un malware sur son Windows Phone.

Toutes les applications Windows, soumises au Windows Phone Store (cad toutes les applications à part les applications d’entreprises que nous traiterons après), doivent être soumises et certifiées par le Windows Phone Store.
Les processus du Windows Phone store débutent par la vérification de l’identité du développeur et continuent par des contrôles de l’application tant au niveau sécurité, qu’au niveau du respect des règles du store ou à l’absence de contenu inapproprié.
Ce processus de certification joue un rôle important afin de protéger les utilisateurs de Windows Phone contre les malwares.
De plus, nous scannons toutes les applications du store en utilisant plusieurs solutions Antivirus du marché.

Privé : Entreprise

Le cas des applications des entreprises est également adressé car Windows Phone 8 permet de déployer des applications sans besoin de passer par le Windows Phone Store.
Ah !! Me diriez-vous,  comment assurer la sécurité de la plateforme dans ce cas?
En effet dans ce cas, l’autorité de certification devient l’entreprise elle-même : elle prend alors pour ses applications la responsabilité de la sécurité.
Seules les téléphones choisis (enrôlés) sont configurés pour accepter d’exécuter les applications signées (et donc validées) par cette même entreprise.

Windows Update

Une autre fonctionnalité de sécurité est Windows Update et la capacité de pousser vers tous les terminaux Windows Phone 8 une mise à jour.
Ainsi, si nous étions amenés à découvrir une faille de sécurité, nous serions aptes à déployer rapidement un correctif.
Ce processus est utilisé depuis un grand nombre d’année sur Windows et fait partie des raisons pour laquelle Windows est une plateforme sécurisée et fiable.

Protection des données

La protection des données de l’utilisateur ou de l’entreprise est un des autres piliers de la sécurité sur Windows Phone. Afin de protéger ces données, plusieurs éléments sont à considérer.

Accès au device et Stratégie de sécurité

Un des moyens de protéger les données du téléphone pour une entreprise est la possibilité de pousser des stratégies de sécurité vers le téléphone afin de rendre obligatoire certaines règles de sécurité définies par l’entreprise.
Il existe alors deux choix pour forcer ces stratégies.

Exchange Active Sync (EAS)

Une solution « light » est l’utilisation d’Exchange Active Sync (EAS) et permet de rendre obligatoire une (ou plusieurs) stratégie de sécurisé dès que l’utilisateur configure son téléphone pour se connecter à la messagerie.

Par exemple, l’IT de l’entreprise peut forcer l’utilisateur à définir un mot de passe et imposer une règle de complexité, voire définir la limite du nombre de mot de passe incorrect avant effacement complet des données de l’appareil.

Mobile Device Management (MDM)

L’autre moyen de protéger les données du téléphone pour une entreprise est l’utilisation de solutions de gestion d’appareils mobiles (Mobile Device Management) . Ces solutions, telles que Intune, permettent de pousser les stratégies de sécurité (comme EAS) mais aussi réaliser des inventaires ou fournir des applications métiers à l’utilisateur.
Dans Windows Phone 8, un agent de souscription est disponible nativement et permet, aux fournisseurs  de solutions de MDM, de s’intégrer sans avoir à installer un agent sur le téléphone.
Cette solution permet également de retirer les applications de l’entreprise et les données de ces dernières du téléphone sans effacer le contenu personnel de l’utilisateur.

Encryption du Téléphone

Windows Phone 8 utilise une technologie éprouvée dans Windows : Bitlocker.
Grace à Bitlocker, l’ensemble des données situées sur la mémoire du téléphone est encrypté et ne peuvent être lu par un autre périphérique.
La technologie Bitlocker sur Windows a reçu les plus hautes accréditations de sécurité aux Etats Unis et dans divers pays.

Stockage Amovible

Certains Windows Phone 8 sont équipés de slot pour carte SD. Nous avons souhaitez conserver l’usage de partage de la carte. Ainsi le contenu d’une carte SD est exclusivement réservé aux photos, vidéos et musique non protégées et ne peut pas être encrypté par Bitlocker. Cependant, les entreprises déterminant que cela ne correspond pas à leur critère de sécurité peuvent désactiver la carte SD via une solution de MDM.

Protection des contenus / Gestion des droits d’accès à l’information

Une bonne sécurité est évidemment liée à la sécurité des containeurs mais il est également important de sécuriser l’accès même à l’information.
C’est le role de RMS (Right Management Server) chez Microsoft. Ce serveur permet de fournir une License d’utilisation (paramétrable) à une information (mail, fichier excel, powerpoint) et de contrôler ce que l’on peut faire avec (le lire uniquement, le partager ou pas, l’imprimer..)
Windows Phone supporte nativement ce niveau de sécurisé et permet ainsi de protéger les données transitant sur les principaux points de partage du Système d’information tels que la messagerie Exchange ou Microsoft Sharepoint …

Sécurisation des accès

Par nature, Windows Phone est tout d’abord un téléphone connecté au Cloud.
Au premier démarrage l’utilisateur est invité à entrer ses informations de comptes Microsoft afin d’activer toutes les fonctions connectées de Windows Phone (Windows Phone Store, Skydrive, Outlook.com, sauvegarde, Synchronisation SMS et bien d’autres …).

La synchronisation entre Windows Phone et les services Cloud (ou d’entreprises) utilisent des connections sécurisées par le protocole SSL.
Ainsi tout trafic réseau à destination d’application critiques pour le téléphone ou l’entreprise (telles que SharePoint, Exchange ou Office 365) est protégé par une connexion sécurisée et encryptée en AES 128 ou 256 bits.

 

J’espère que ce billet vous a donné envie de découvrir encore plus Windows Phone : Un OS mobile pensé pour l’entreprise.

Cyril