pascals.blog : Windows 7

Sortie officielle de Windows 7

pascals — Thu, 22 Oct 2009 09:20:18 GMT

Aujourd’hui 22 octobre 2009 marque la sortie officielle de Windows 7. Pour la première fois, une version de Windows nécessite moins de capacité matérielle que son prédécesseur pour fonctionner : c’est là son aspect le plus “visible”, outre une interface utilisateur plus aboutie. Mais deux points m’importent le plus :

La sécurité de Windows 7 est bâtie sur les fondamentaux de Windows Vista, qui marquait une évolution majeure dans ce domaine. Par exemple : UAC, BitLocker, etc. ont été développés et améliorés.

La virtualisation devient un composant incontournable, en la présence de Windows Virtual PC et Windows XP Mode, qui résolvent élégamment les problèmes de compatibilité en entreprise.

Informations sur Windows 7 :

http://www.microsoft.com/france/windows/

Téléchargement de Windows Virtual PC et Windows XP Mode :

http://www.microsoft.com/windows/virtual-pc/download.aspx

Windows Virtual PC pour les abonnés Technet et MSDN

pascals — Thu, 08 Oct 2009 12:41:18 GMT

Ben Armstrong l’annonçait hier : Windows Virtual PC et Windows XP Mode sont désormais disponibles en téléchargement pour les abonnés Technet et MSDN :

Comme annoncé la semaine dernière, il sera disponible pour tout le monde le 22 octobre, en même temps que Windows 7.

Pour rappel, Windows Virtual PC est la nouvelle version de Virtual PC pour Windows 7, et Windows XP Mode est une machine virtuelle Windows XP prête à l’emploi pour Windows Virtual PC. Windows Virtual PC fonctionne sur toutes les versions de Windows 7, Windows XP Mode est réservé à Windows 7 Professionnel, Entreprise et Ultimate. L’objectif de Windows XP Mode est de résoudre les derniers problèmes de compatibilité avec des applications métier anciennes.

Rentrée virtuelle

pascals — Sun, 30 Aug 2009 18:45:36 GMT

La rentrée est riche sur le front de la virtualisation !

Du coté client :

Windows 7 RTM est disponible pour les abonnés Technet et MSDN.
Windows Virtual PC RC. Ce n’est pas encore la version finale, mais cela s’en rapproche. En téléchargement gratuit pour Windows 7 Home Basic, Home Premium, Professional, Enterprise et Ultimate. Voir également le site et le blog. Pour situer le produit : Windows Virtual PC est le successeur de Virtual PC. Il ne fonctionne que sous Windows 7 et bénéficie de nouveautés que j’aborderai plus tard.
Windows XP Mode RC. Pour Windows 7 Professional, Enterprise en Ultimate, une machine virtuelle Windows XP prête à l’emploi, pour en finir avec les problèmes de compatibilité en entreprise.

Du coté serveur :

Windows Server 2008 R2 RTM est disponible pour les abonnés Technet et MSDN. Des VHD d’évaluation sont en téléchargement en version Enterprise et Enterprise Core.
Hyper-V Server 2008 R2. L’hyperviseur est disponible en téléchargement gratuit.
Linux Integration Components for Windows Server 2008 Hyper-V R2. Ces composants sont disponibles en version 2.0 finale pour SUSE Linux Enterprise Server 10 SP2 et 11, x86 et x64. Ils supportent Windows Server 2008 (et 2008 R2) Hyper-V, ainsi que Hyper-V Server 2008 (et 2008 R2).
Remote Server Administration Tools (RSAT) for Windows 7. Ces outils d’administration à distance sont nécessaires pour administrer un serveur Hyper-V depuis un poste Windows 7.
HVRemote. Ce script est indispensable pour l’administration distante d’Hyper-V dans un environnement workgroup ou mixte.
System Center Virtual Machine Manager (SCVMM) 2008 R2. Le produit d’administration est RTM est disponible en version d’évaluation.

Pour tout savoir :

Toutes les questions techniques sont abordées dans ces deux blogs :

Mise à jour 31/8/2009 : RSAT, HVRemote et le Microsoft Virtualization Team Blog.

Vacances tranquilles 2 : Windows 7 et BitLocker sans TPM

pascals — Thu, 30 Jul 2009 00:23:35 GMT

Il y a un an, je décrivais ici même les précautions que vous pouvez prendre avant de partir en vacances l’esprit tranquille quant à vos données à la maison : faites des sauvegardes et chiffrez les données qui restent derrière vous. L’idée est que vos données soient protégées même en cas de vol du PC ou de non-redémarrage au retour de vacances. Ces conseils sont toujours d’actualités.

Aujourd’hui je vais profiter du fait que je suis en train de préparer un départ proche, pour vous faire profiter de l’utilisation de BitLocker dans Windows 7 Ultimate pour protéger les données qui restent sur place. Cette manipulation est valable pour la RC de Windows 7, et le sera à l’identique pour la version Ultimate (Intégrale) finale.

Cette machine contient deux disques internes : le disque du système et un disque de données. Comme c’est une machine de bureau et qu’elle date un peu, elle ne dispose pas d’un TPM. Il faudra donc utiliser une clé USB pour que Windows récupère la clé BitLocker lors de son démarrage.

AVERTISSEMENT : Ne chiffrez pas votre disque à moins de comprendre le mécanisme de BitLocker, de disposer d’au moins deux clés USB formatées en FAT, et d’être certain de ne pas perdre ces deux clés. Une fois votre disque chiffré, si vous perdez la clé, personne ne pourra absolument rien pour vous, vos données seront perdues à jamais.

1. Chiffrement du disque C: (système)

Donc la première étape est de configurer BitLocker pour qu’il accepte de fonctionner dans ce mode “clé USB”, sans TPM. Pour ceci, lancez gpedit.msc, puis sélectionnez le nœud Computer Configuration – Administrative Templates – Windows Components – BitLocker Drive Encryption – Operating System Drives :

Double-cliquez sur Require additional authentication at startup :

Sélectionnez Enabled pour activer la stratégie, et cochez la case Allow BitLocker without a compatible TPM. Les explications se trouvent dans le texte de droite. Validez et fermez gpedit.

Dans l’explorateur Windows, cliquez à droite sur le Disque C et sélectionnez Turn on BitLocker.

L’assistant BitLocker démarre :

Sélectionnez Require a Startup key at every startup. Si ce n’est déjà fait, connectez la clé USB choisie pour abriter la clé de chiffrement BitLocker. L’assistant vous montre la clé USB connectée :

Sélectionnez la clé USB et cliquez sur Save.

Cette étape vous propose de faire une ou plusieurs copies du mot de passe de récupération BitLocker. Je vous conseille de faire deux choses : imprimez le mot de passe grâce à la troisième option Print the recovery key, puis sauvegardez le mot de passe sur la même clé USB que la clé BitLocker, grâce à la première option Save the recovery key to a USB flash drive.

Conservez le papier sur lequel vous avez imprimé le mot de passe en lieu sûr.

Une fois ces deux sauvegardes effectuées, cliquez sur Next.

Cette étape est très importante : elle consiste à vérifier que votre PC parvient à lire la clé USB lors du démarrage, ce qui est nécessaire pour le fonctionnement de BitLocker sans TPM. Assurez-vous que la case Run BitLocker system check est bien cochée, puis cliquez sur Continue.

Cliquez sur Restart now pour effectuer la vérification. Après le redémarrage, ouvrez une session avec le même compte utilisateur que précédemment.

Au redémarrage, en cas de problème avec la vérification, un message vous en préviendra. Arrêtez ici : il est inutile, et dangereux, de continuer plus loin. Au mieux, retentez l’opération depuis le début avec une autre clé USB.

Si aucun message ne vient vous avertir d’un problème, la vérification a réussi et le chiffrement du disque est en train de commencer. Vous verrez un icône de BitLocker dans la zone de notification de Windows 7 :

En cliquant sur l’icône vous pouvez suivre la progression du chiffrement (patience… le chiffrement de mon disque SATA2 de 500 Go a pris plusieurs heures.)

Vous remarquerez aussi que pendant le chiffrement, le disque C apparaît complètement saturé :

C’est tout à fait normal et cela ne dure que le temps du chiffrement. Pendant ce temps, vous pouvez observer le statut de BitLocker dans une ligne de commande en tant qu’administrateur, avec la commande manage-bde –status :

De même vous pouvez consulter les protecteurs de clé pour le disque C avec la commande manage-bde –protectors –get C:

Notez que cette commande vous permet d’afficher le mot de passe de récupération.

Une fois le chiffrement terminé, vérifiez que votre machine redémarre correctement : avec la clé USB connectée, le démarrage doit se dérouler normalement. Sans la clé, BitLocker doit vous inviter à connecter la clé et à taper Echap pour redémarrer. S’il y a un problème à ce niveau, il vaut mieux déchiffrer le disque :

Utilisez le mot de passe de récupération (recovery mode) que vous avez imprimé pour démarrer le système.
Depuis le panneau de configuration (Control Panel – System and Security – BitLocker Drive Encryption), sélectionnez Turn Off BitLocker puis Decrypt Drive.

Si tout s’est bien déroulé jusqu’ici, il est temps de faire une deuxième copie de la clé USB. Pour ce faire, cliquez à droite sur le disque C dans l’explorateur Windows, et sélectionner Manage BitLocker. Sélectionnez alors Duplicate the startup key pour sauvegarder la clé de chiffrement sur la deuxième clé USB. Puis, refaites l’opération en sélectionnant cette fois Save or Print recovery key again pour sauvegarder à nouveau le mot de passe de récupération.

2. Chiffrement d’un disque de données interne

Si vous avez tout suivi jusqu’ici, et si vous avez comme moi un deuxième disque dur interne à protéger, il reste à chiffrer celui-ci, cette fois avec un simple mot de passe.

Dans l’explorateur Windows, cliquez à droite sur le disque de données (D: dans mon cas) et sélectionnez Turn on BitLocker.

Cochez la case Use a password to unlock the drive, et entrez (deux fois) le mot de passe que vous avez choisi. Cochez également la case Automatically unlock this drive on this computer. Notez que cette dernière option permet de déverrouiller automatiquement le disque de données, mais que la clé est stockée sur le disque C qui est déjà chiffré, donc protégée. Il n’y a donc pas de risque à ce niveau.

Cliquez sur Next.

On vous demande ensuite de sauvegarder le mot de passe de récupération (recovery key) pour ce deuxième disque. La manipulation est identique à précédemment : Imprimez le mot de passe, puis sauvegardez-le une fois sur la 1ère clé USB, et une seconde fois sur la seconde clé USB.

Une fois l’impression et les sauvegardes effectuées, cliquez sur Next.

Cliquez sur Start Encrypting pour démarrer le chiffrement. Quelques heures sont encore nécessaires, pendant lesquelles le disque de données apparaîtra comme presque plein et ne disposant que de 6 Go de libre.

Reste à s’assurer que les impressions des mots de passe de récupération seront en lieu sûr, ainsi que les deux clés USB. Personnellement je les apporte en vacances, avec les sauvegardes de mes données sur un disque dur externe compact. S’il prenait l’idée à un voleur de mettre la main sur mon PC, il n’aurait qu’une machine qui ne démarre pas et deux disques illisibles…

Bonnes vacances !

Homegroups : comment ça marche ?

pascals — Tue, 28 Jul 2009 03:06:47 GMT

Il y a des choses dans Windows qui ne changent pas. Comme le SRM par exemple. Le Security Reference Monitor est cette petite chose qui contrôle tous les accès à des objets : chaque fois qu’un processus demande à accéder à un objet (un fichier par exemple), le SRM vérifie obligatoirement les permissions sur l’objet (quels utilisateurs et/ou groupes ont le droit de faire quoi) et le jeton du processus, représentant son identité (utilisateur, groupes).

Cela se corse un peu par le réseau, notamment dans un contexte de type workgroup. Dans ce contexte, si depuis une MachineA je veux lire un fichier situé sur MachineB, je dois m’authentifier avec un compte local à MachineB, et ce compte doit avoir la permission adéquate à la fois sur le partage réseau et le fichier.

Cela est simplifié en général par deux mécanismes. Le premier est le mode de partagé simplifié (seul disponible sur les versions Home / Familiales de Windows depuis XP), dans lequel on est systématiquement authentifié en tant qu’Invité sur la machine cible. Le second, dans cas du mode de partage standard, consiste à utiliser le même compte et le même mot de passe sur les deux machines. Ainsi si MachineA\User1 et MachineB\User1 existent et ont le même mot de passe, l’authentification sera automatique.

Un détail qui a son importance ici : un autre mécanisme a été introduit depuis Windows XP : l’interdiction par défaut d’accéder à des ressources par le réseau avec un compte sans mot de passe.

Dans WIndows 7 apparaissent ce que l’on appellent les Homegroups. L’idée est de prendre en compte le fait que, dans la famille, on rencontre de plus en plus des PC individuels : chaque membre de la famille a son PC. De plus, dans la plupart des cas, chaque PC a un seul compte (l’utilisateur), qui est administrateur (d’où l’intérêt d’UAC au passage…) et sans mot de passe. D’où des problèmes sans fin avec le partage de fichiers entre les membres de la famille.

Partant également du principe qu’en général les membres de la famille veulent partager leurs fichiers (photos, vidéos, musique), le homegroup simplifie énormément la manière de procéder :

D’abord, le homegroup est fondé sur un seul mot de passe, qui est généré par le système, et peut être copié ou imprimé pour être partagé dans la famille.

Une fois le homegroup rejoint, chacun a la possibilité de choisir quelles librairies il souhaite partager avec le reste de la famille :

On peut également filtrer fichier par fichier ce que l’on souhaite partager ou non. Chacun peut ensuite accéder aux librairies partagées sur les autres ordinateurs de la famille, sans s’occuper des comptes ou des mots de passe de chacun :

Comment cela se passe-t-il ? Étant donné que des fichiers partagés sont dans le profil de l’utilisateur, l’accès ne peut pas être anonyme, ni Invité. Les utilisateurs de partagent pas leurs mots de passe, ceux-ci peuvent d’ailleurs être vides, donc la connexion ne se fait pas au nom d’un utilisateur.

Rien de magique à cela, et l’on reste bien dans le cadre d’un partage tout à fait normal. Chaque machine dans un Homegroup a un compte d’utilisateur nommé HomeGroupUser$. Ce compte appartient à un groupe nommé HomeUsers. Lancez lusrmgr.msc pour les voir. Ce groupe a les permissions sur les répertoires et fichiers partagés via les librairies.

Le contrôle d’accès est donc fait sur le compte HomeGroupUser$ qui est utilisé pour l’authentification. Le partage utilisé s’appelle Users, et correspond au dossier C:\Users. Ce partage a comme permissions BUILTIN\Administrators:F et Everyone:F (F pour Full Control), ce qui peut sembler un peu ouvert (!), mais tout le contrôle est fait sur les permissions NTFS des répertoires et fichiers : l’utilisateur du homegroup n’aura accès qu’au fichiers sur lesquels le groupe HomeUsers a des permissions.

Illustration sur la machine cible, avec l’outil ShareWatch qui affiche les connexions actives sur la machine cible :

On voit le partage Users ouvert par HomeGroupUser$, et les répertoires ouverts dans ce partage.

Windows 7 RTM

pascals — Thu, 23 Jul 2009 16:07:30 GMT

J’oubliais : Windows 7 est RTM. La RC est d’une telle stabilité que j’oubliais la RTM. Donc elle est là, c’est la build 7600. La grosse différence par rapport à la RC, c’est qu’en Europe nous allons devoir installer Internet Explorer...

Tout ce que vous voulez savoir sur les dates de disponibilité est ici :

When will you get Windows 7 RTM?

Pour résumer, Wndows 7 sera disponible pour les abonnés Technet et MSDN et les clients SA vers le 6 août en anglais et le 1er octobre dans les autres langues. Pour les particuliers, la date de disponibilité est le 22 octobre. Idem pour les machines préinstallées avec Windows 7.

Reste à attendre le Windows XP Mode (Windows Virtual PC) en version finale : il y aura beaucoup à dire.

Windows 7 Beta : prêt pour le service !

pascals — Wed, 21 Jan 2009 12:27:50 GMT

J’adore cette période. Ces quelques mois où l’on prend en main un nouveau Windows, de la manière la plus directe : on l’installe et on l’utilise tous les jours sur sa machine principale, et dans la mesure du possible on essaie de suivre le rythme des principales versions intermédiaires jusqu’à la RTM.

Cela a commencé pour moi avec Windows 98. Heureusement, Windows 2000 nous a vite remis dans les rails et a éclipsé Windows Me. Après Windows XP en 2001 il a fallu attendre 5 longues années avant de retrouver cette excitation avec Windows Vista en 2006. Et nous y voici à nouveau, puisque, courageux mais pas téméraire, j’ai ignoré la M3 pour finalement franchir le pas avec la Beta de Windows 7. Il y a bien eu quelques timides tentatives grâce à la nouvelle possibilité de booter sur des VHD, mais c’est avec la Beta publique que j’ai enfin installé mon portable principal sous Windows 7. BitLocker To Go n’aura bientôt plus de secrets pour moi, et j’espère bien trouver quelques sujets intéressants à partager prochainement ici.

Une des premières différences visibles avec Windows Vista est l’absence de demandes de consentement d’UAC par défaut pour les actions purement Windows (par exemple : changer l’heure, lancer une console d’administration, etc.) Baisse de sécurité ? Non, simplement un nouveau réglage par défaut qui ne demande un consentement que pour les binaires non Windows. Une nouvelle interface graphique permet de régler le comportement d’UAC :

Coté stratégies de sécurité, cela se traduit par un nouveau paramètrage de l’option “User Account Control: Behavior of the elevation prompt for administrators in Admin Approval Mode” :

Pour les choix concernant UAC, voir cet article sur le blog “Engineering Windows 7”.

Plus d’informations sur Windows 7, et télécharger la Beta : http://www.microsoft.com/windows/windows-7/default.aspx

Si vous voulez installer Windows 7 sur un Netbook sans lecteur de DVD : http://edge.technet.com/Media/Installing-Win7-using-a-USB-Stick/