Blog R&D

Depuis Vista, Windows est doté d’un mécanisme de protection des données connu sous l’acronyme UAC (contrôle du compte utilisateur). Il permet de lancer les applications avec des droits limités même si l’utilisateur possède des droits administratifs. Si les programmes ne demandent pas les privilèges d’administration, alors ils tourneront avec des droits restreints.

Les setups des produits Prim’X réalisent pour la plupart des installations par ordinateur. Leur exécution provoque donc une demande d’élévation de privilèges et ce même si le compte utilisé est présent dans le groupe « Administrateurs ». Une fois que le setup possède les privilèges d’administration, il peut lancer l’installation du msi embarqué avec ses mêmes droits. Dans ce cas, l'installation se déroule bien.

Dans le cas ou le .msi a été masterisé (donc extrait du setup) et même si le compte utilisé est dans le groupe Administrateur, il est nécessaire de lancer le msi en tant qu’administrateur. Si ce n'est pas le cas, l'installation échouera (dans les logs de l'exécution du .msi, vous trouverez alors plusieurs fois l'erreur 0x80070005 => Accès refusé).

Malheureusement, l’entrée « Exécuter en tant qu’administrateur » du menu contextuel du clic-droit des exécutables n’est pas présente pour les fichiers .msi. Il est alors nécessaire d’utiliser une invite de commandes lancée en tant qu’administrateur pour exécuter une commande msiexec (msiexec /i "C:\ZoneCentral.msi").
Petite astuce pour ne pas utiliser d'invite de commandes : vous pouvez ajouter une entrée dans le menu contextuel des .msi en enregistrant les clés ci-dessous dans la base de registre.

Ajouter les lignes suivantes dans un fichier .reg pour réaliser la registration des clés :

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\Msi.Package\shell\SetupAsAdmin]
@="&Installer en tant qu'administrateur"

[HKEY_CLASSES_ROOT\Msi.Package\shell\SetupAsAdmin\command]
@="runas /user:Administrateur \"msiexec /i \\\"%1\\\"\""

Le nom de l’administrateur local a pu être modifié, il faut donc l’adapter en conséquence.

• Ignore : le volume n'est pas considéré comme amovible, aucun traitement spécifique n'est appliqué.
• Block : les données ne peuvent pas être lues où écrites.
• ReadOnly : les données peuvent uniquement être lues.
• EncryptedWriteOnly : lecture autorisée, mais seules les écritures chiffrées sont autorisées.
  

• FullZone : clé entièrement chiffrée, utilisable uniquement sur des postes équipés de ZoneCentral.
• SubZone : un dossier chiffré est créé, pour une clé multi-usages : les données sensibles sont déposées dans la zone et ne peuvent être accédées que depuis un poste équipé de ZoneCentral. Le reste de la clé peut être utilisé sur des postes sans ZoneCentral, et ne doit pas contenir de données sensibles.
• Zed : La clé est destinée à des postes non équipés de ZoneCentral, mais contient des données sensibles. Dans ce cas ces données doivent être déposées dans un Zed! créé à la racine du volume. Le lecteur Zed! est automatiquement copié sur la clé.
• FullZoneAndZed, SubZoneAndZed et SubZoneAndSubZed : combinaisons des modes ci-dessus.
  

• Il est possible de trier les volumes par types (mot clé Type) : "eSata", "USB", "1394", "SD", "MMC" ou "Other".
• Les clés ont des identifiants (mot clé Id) qui sont fonctions de leurs constructeur. Si ces clés ont été attribuées par l'entreprise, alors elles peuvent être facilement filtrées par ce critère.
• Sinon il faut adopter un comportement par défaut, qui peut être de laisser le choix à la discrétion de l'utilisateur.
  

• Le nom de valeur contient la description de la clé (Type et Id). Cette description peut être plus ou moins précise (seulement le type, seulement l'identifiant, où "*"), le nom de valeur le plus précis sera utilisé quand la clé correspondante sera insérée. Le champ Id peut contenir les méta-caractères "?" et "*".
  
• La valeur contient les Action, les Profile, ainsi que d'éventuelles options (détaillées plus bas). Une seule action est possible dans une valeur, mais il est possible de spécifier plusieurs profils et ainsi laisser le choix à l'utilisateur.
  

• ProfileNeededToWrite=1 : tant que le volume n'est pas conforme à un des profils, l'écriture de données sera refusée.
• HideCancelCheckBox=1 : la case à cocher "Ne plus me proposer" de la fenêtre d'application d'un profil est masquée.
• HideCancelButton=1 : le bouton "Annuler" de la fenêtre de proposition d'application d'un profil est masqué.
• SubZoneName=xxxx : choix du nom de la zone chiffrée créée (avec un des profils "SubZone"). Par défaut le nom "Protected" est utilisé.
• ContainerName=xxxx : choix du nom du conteneur chiffré créé (avec un des profil "Zed"). Par défaut le nom "Protected.zed" est utilisé.
  

C:\Program Files\Prim'X\ZoneCentral [x64]>zcucmd sv -d
72 volume(s) gérés :
[C:]
  Périphérique : \Device\HarddiskVolume2
[...]
[J:]
  Périphérique : \Device\HarddiskVolume39
  Type de bus : USB
  Id. de périphérique : USBSTOR\Disk&Ven_&Prod_USB_Flash_Memory&Rev_1.04
  Id. matériel :
  USBSTOR\Disk________USB_Flash_Memory1.04
  USBSTOR\Disk________USB_Flash_Memory
  USBSTOR\Disk________
  USBSTOR\________USB_Flash_Memory1
  ________USB_Flash_Memory1
  USBSTOR\GenDisk
  GenDisk

Une fois cet identifiant obtenu, il est possible de construire des configurations complexes, par exemple :

* 

Action=ReadOnly

Type=eSata

Action=Ignore

Type=USB

Profile=Zed+SubZoneAndZed

Id=*USB_Flash_Memory1.04*

Profile=FullZone;ProfileNeededToWrite=1

• Système Windows Vista ou Windows 7 ;
• Présence sur le poste de l'anti-virus McAfee VirusScan 8.8 SP1 ;
• Présence sur le poste de ZoneCentral ou ZoneExpress, avec des zones chiffrées (locales ou réseau).
  

• L'anti-virus ne peut pas trouver de virus à la volée dans les fichiers chiffrés ;
• Lors de l'enregistrement de fichiers, une corruption des données est possible.