Microsoft conteste la vulnérabilité de l'UAC de Windows 7

Le remaniement du contrôle des comptes d'utilisateurs sous Windows 7, permettant à un logiciel malveillant de le contourner aisément, n'est définitivement pas une vulnérabilité aux yeux de Microsoft.

Bernard Ourghanlian, directeur technique et sécurité de Microsoft France, atteste que ce comportement permissif de l'UAC (user account control) est volontaire. L'objectif étant qu'avec la configuration par défaut d'UAC sous Windows 7, « l'utilisateur n'ait pas à donner son consentement quand il effectue des changements dans le paramétrage de Windows. Ceci inclut également et logiquement le niveau de consentement d'UAC. » La nouvelle interface de paramétrage de ce dispositif de sécurité répondrait aux très nombreux retours des utilisateurs de Windows Vista, qui réclamaient visiblement qu'il se manifeste moins facilement par défaut.

Microsoft rappelle également que pour qu'un changement du paramétrage d'UAC se fasse à l'insu de l'utilisateur, il faut qu'un logiciel malveillant soit déjà présent sur la machine. « Pour que le code malfaisant en question soit présent sur la machine, il faut que quelque chose d'autre d'anormal se doit déjà produit antérieurement ou que l'utilisateur ait explicitement donné son consentement, » précise Bernard Ourghanlian. « UAC permet l'utilisation de Windows sans privilège spécifique » (avec un compte utilisateur qui n'est pas administrateur). Il ajoute enfin que comme prévu et comme le montre la capture d'écran ci-contre, UAC « n'avertit pas l'utilisateur quand il change les paramètres de Windows ».

« Windows 7 fait ce qu'il dit qu'il va faire, » conclut-il. Reste que le compte utilisateur par défaut est administrateur et que le consommateur moyen ne se rendra probablement pas dans le panneau de configuration pour prendre connaissance du paramétrage d'UAC.