Windows 10 en entreprise, comment garder le contrôle ?

Sommaire

• Introduction
• Les paramètres pour garder le contrôle
  • Les paramètres de confidentialités
  • Pour un réglage plus fin…
  • Les applications intégrées (AppX)
  • Cortana, la recherche fiable (ou pas…)
  • L’explorateur Windows
• Script de configuration Windows 10 standalone
• Pour aller plus loin…

Introduction

Windows 10, publié en Juillet 2015, est le nouveau système d’exploitation de Microsoft visant à remplacer Windows 7.

Créativité, simplicité, rapidité, sécurité, polyvalence, productivité sont les priorités de Microsoft pour ce nouvel OS. Microsoft souhaite aussi unifier son interface par l’intégration du projet « Fluent Design » visant à homogénéiser au maximum cette dernière.

Windows 10 évolue très rapidement, 2 mises à jour majeures par an (mise à jour de fonctionnalités) et 1 mise à jour mineure par mois (mise à jour de qualité/sécurité), aussi connue sous le nom de « Patch Tuesday », publiée tous les seconds mardis du mois, et qui fait couler beaucoup d’encre quant à sa consommation en bande passante…

Les versions majeures de Windows 10 ont une durée de vie de 18 mois pour les versions Famille et Professionnel, et une durée de vie de 30 mois pour les versions Éducation et Entreprise. Ce qui signifie, à titre d’exemple, que la version 1709 est tout juste obsolète.

Les versions LTSB (Long Term Servicing Branch) changent de nom et deviennent LTSC (Long Term Servicing Channel). Elles ne sont disponibles que pour les versions Entreprise de Windows 10. Ces versions connaissent une évolution plus lente avec des mises à jour de fonctionnalités tous les 2 à 3 ans. Le support pour les versions LSTC a une durée de vie de 10 ans. Attention, ces licences ne correspondent pas à tous les usages en entreprise. En général, elles sont réservées à des PCs n’exécutant qu’une application bien précise et qui ne nécessite donc aucune mise à jour de fonctionnalités.

Microsoft a connu des débuts houleux avec son nouveau système d’exploitation. Moins d’un an après sa sortie, la CNIL met en demeure la société de Redmond dû à la collecte excessive de données personnelles. Voici les points relevés par la CNIL en 2016 :

• Collecte excessive de données via la Télémétrie
• Récolte des données d’usages des applications intégrées
• Identifiant publicitaire attribué et activé par défaut sans en informer l’utilisateur
• Transfert de données personnelles vers les US
• Code PIN à 4 chiffres pour l’accès aux services Microsoft sans limite de tentatives (possibilité de brute-force)
• Demande d’action de la CNIL dans les 3 mois suivants la mise en demeure

Depuis, Microsoft a réagi et a appliqué les correctifs suivants :

• Réduction de moitié de la collecte des données télémétriques avec l’option « de base »
• Information de l’utilisateur concernant l’identifiant publicitaire avec possibilité de le désactiver
• Modification de la procédure d’installation (ajout de nombreux paramètres de confidentialités pouvant être désactivés)
• Ajout d’un nombre de tentatives pour l’authentification avec code PIN
• Ajout de nombreux réglages de confidentialités
• Application des nouvelles mesures en Septembre 2017

Suite à la réaction de Microsoft, la CNIL a levé sa mise en demeure.

Les paramètres pour garder le contrôle

Dans cette partie, je vous listerai les paramètres qui me semblent important de modifier pour que votre parc Windows 10 reste sain et sécurisé pour vos utilisateurs.

Avant toute chose, les fonctionnalités et paramètres cités ci-après proviennent de la version 1809 de Windows 10. Il est nécessaire de télécharger les derniers ADMX et de les intégrer dans votre magasin central de GPO.

Les paramètres de confidentialités

Général

Créez votre GPO, et configurez-la comme ci-après :

• Identifiant de publicité
  • Configuration Ordinateur\Stratégies\Modèles d’administration\Système\Profil utilisateur
    • Désactiver l’ID de publicité : Activé
• Permettre aux sites Web l’accès à la liste des langues
  • Configuration Utilisateur\Préférences\Paramètres Windows\Registre
  • Créez un nouvel élément de registre
    • Action : Mettre à jour
    • Ruche : HKEY_CURRENT_USER
    • Chemin : Control Panel\International\User Profile
    • Nom de valeur : HttpAcceptLanguageOptOut
    • Type de valeur : REG_DWORD
    • Données de valeur : 1
• Autoriser Windows à suivre les lancements d’applications
  • Configuration Utilisateur\Préférences\Paramètres Windows\Registre
  • Créez un nouvel élément de registre
    • Action : Mettre à jour
    • Ruche : HKEY_CURRENT_USER
    • Chemin : SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced
    • Nom de valeur : Start_TrackProgs
    • Type de valeur : REG_DWORD
    • Données de valeur : 0

Entrée manuscrite et personnalisation de la saisie

Configuration Ordinateur\Stratégies\Modèles d’administration\Panneau de configuration\Options régionales et linguistiques\Personnalisation de l’écriture manuscrite

• Désactiver l’apprentissage automatique
  • État : Activé

Configuration Ordinateur\Stratégies\Modèles d’administration\Système\Gestion de la communication Internet\paramètres de communication Internet

• Désactiver le partage des données de personnalisation de l’écriture manuscrite
  • État : Activé
• Désactiver le signalement d’erreurs de la reconnaissance de l’écriture manuscrite
  • État : Activé

Diagnostics et commentaires (télémétrie)

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Collecte des données et versions d’évaluation Preview

• Autoriser la télémétrie
  • État : Activé
  • Options : 1 – De base (peut être mis à 0 pour les version Windows 10 Entreprise)
• Limiter les données de diagnostic de niveau Amélioré au minimum requis par Windows Analytics
  • État : Désactivé
• Ne pas afficher les notifications de commentaire
  • État : Activé

Historique des activités

Configuration Ordinateur\Stratégies\Modèles d’administration\Système\Stratégies de système d’exploitation

• Activé le flux d’activité
  • État : Désactivé
• Autoriser l’historique du Presse-papiers
  • État : Désactivé
• Autoriser la publication des activités de l’utilisateur
  • État : Désactivé
• Autoriser la synchronisation du Presse-papiers sur l’ensemble des périphériques
  • État : Désactivé
• Autoriser le chargement des activités utilisateurs
  • État : Désactivé

Voix

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Voix

• Autoriser la mise à jour automatique des données vocales
  • État : Désactivé

Configuration Ordinateur\Stratégies\Modèles d’administration\Panneau de configuration\Options régionales et linguistiques

• Permettre aux utilisateurs d’activer les services de reconnaissance vocale en ligne
  • État : Désactivé

Localisation

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows d’accéder à la localisation :
  • État : Activé
  • Options : Forcer le refus

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Localiser mon appareil

• Activer / Désactiver l’option Localiser mon appareil : Désactivé

Caméra

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows d’accéder à l’appareil photo :
  • État : Activé
  • Options : Forcer le refus

Microphone

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows d’accéder au micro :
  • État : Activé
  • Options : Forcer le refus

Notifications

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Laisser les applications Windows accéder aux notifications:
  • État : Activé
  • Options : Sous le contrôle de l’utilisateur

Ici, on laisse le choix à l’utilisateur car, en forçant le refus, on s’expose à ce que l’utilisateur ne reçoivent plus aucune notification…

Informations sur le compte

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows d’accéder aux informations de compte :
  • État : Activé
  • Options : Forcer le refus

Contacts

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows d’accéder aux contacts :
  • État : Activé
  • Options : Forcer le refus

Calendrier

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows d’accéder au calendrier :
  • État : Activé
  • Options : Forcer le refus

Historique des appels

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows d’accéder à l’historiques des apples :
  • État : Activé
  • Options : Forcer le refus

Courrier électronique

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows d’accéder aux e-mails :
  • État : Activé
  • Options : Forcer le refus

Tâches

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows d’accéder aux tâches :
  • État : Activé
  • Options : Forcer le refus

Messagerie

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows d’accéder à la messagerie :
  • État : Activé
  • Options : Forcer le refus

Radios

Ce paramètre vise à gérer l’accès des applications de votre PC entre ce dernier et les équipements sans-fils qui y sont connectés (smartphone, enceinte connectée, casque sans-fil, etc…).

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows d’accéder aux options de contrôle :
  • État : Activé
  • Options : Forcer le refus

Autres appareils

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows de communiquer avec less appareils découplés :
  • État : Activé
  • Options : Forcer le refus

Applications en arrière-plan

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows de s’exécuter en arrière-plan :
  • État : Activé
  • Options : Forcer le refus

Diagnostics de l’application

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Confidentialité de l’application

• Permettre aux applications Windows d’accéder aux informations de diagnostic d’autres applications :
  • État : Activé
  • Options : Forcer le refus

Téléchargements automatiques de fichiers

Sera grisé par défaut dû aux précédents paramétrages.

Pour un réglage plus fin…

Ces GPO sont intéressantes mais, étant des règles liées à l’ordinateur, elles peuvent être bloquantes pour les postes nomades qui sont amenés à utiliser des applications nécessitant la caméra et le microphone telles que Skype ou Teams.

J’ai vraiment essayé de penser à tous les cas de figures pour cet article, à ce titre, je ne vous laisse pas tomber. Vous n’aurez plus aucune excuses pour ne pas mettre ces règles en place. 😉

Prenons pour exemple de Skype qui a été déployé via le Microsoft Store. J’ouvre une console d’édition du registre et je me rends dans :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\webcam\

Normalement, si vous avez bien fait le ménage de vos AppX, il ne devrait pas y avoir beaucoup de choix. Ici ce qui m’intéresse c’est :

• Microsoft.SkypeApp_kzf8qxf38zg5c

Je vous rassure tout de suite, le salage avec le  » _  » est unique à l’application, donc on peut se baser dessus.

Maintenant, je souhaite que l’application Skype puisse utiliser la caméra de mon ordinateur. Il suffit de modifier la clef de registre suivante :

• Créez un nouvel élément de registre Action : Mettre à jour
• Ruche : HKEY_CURRENT_USER
• Chemin : SOFTWARE\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\webcam
• Nom de valeur : Value
• Type de valeur : REG_SZ
• Données de valeur : Allow

Si je souhaite empêcher une application d’utiliser la caméra, il suffit de remplacer la valeur « Allow » par « Prompt ». Et oui, « Prompt », c’est-à-dire qu’au besoin, Windows vous demandera s’il peut acceder à votre caméra… Le refus explicite n’existe pas sur ces paramètres.

Ce réglage plus fin demande d’avoir une cartographie des applications installées sur votre parc à jour.

Les applications intégrées (AppX)

Apparu avec Windows 10, et de la même manière que le système d’exploitation MacOS, la firme de Redmond souhaite, à terme, faire disparaître les logiciels pour donner place aux applications intégrées. Pour nous donner envie, Microsoft nous fait le cadeau de quelques applications intégrées dans Windows 10 qui semblent étranges dans un environnement professionnel… Voici un échantillon :

• CandyCrush
• BubbleWitchSaga
• Disney
• MinecraftUWP
• Deezer
• CookingFever
• etc…

La meilleure panoplie d’applications pour être productif en entreprise ! Vous aussi, pétez les scores sur CandyCrush et envoyez-les à votre patron ! Hmm.. plus sérieusement, il y a un peu de ménage à faire. On notera que les versions « N » de Windows 10 ne possèdent pas ce bundle d’applications intégrées, seul le strict minimum est installé.

Pour afficher la liste des applications intégrées installées, utilisez la commande suivante :

Get-AppxPackage -AllUsers | Select-Object Name,PackageFullName | Sort-Object Name

Pour supprimer une application, il vous suffit d’invoquer la commande suppression comme ci-après :

Get-AppxPackage <application> -AllUsers | Remove-AppxPackage -AllUsers

Pour supprimer une liste d’application, il vous suffit d’exécuter ceci :

$apps = @(
         "*deezer*"
         "*MusicMakerJam*"
         "*Fitbit*"
         "*Plex*"
         "*PhototasticCollage*"
         "*cooking*"
         "*HiddenCityMysteryofShadows*"
         "*DragonManiaLegends*"
         "*king.com*"
         "*Disney*"
         "*Spotify*"
         "Facebook.Facebook"
         "*Twitter*"
         "*MarchofEmpires*"
         "*AutodeskSketchBook*"
         "*DolbyLaboratories*") 
foreach ($app in $apps) {
     $appExists = Get-AppxPackage $app | Where-Object {$_.Status -eq "Ok"}
         If ([string]::IsNullOrEmpty($appExists)) {
         }
         Else {
             Get-AppxPackage $app -AllUsers | Remove-AppxPackage -AllUsers              
         } 
}

Ceci n’est qu’un échantillon d’applications à supprimer, je vous conseille de vous faire votre propre liste.

TIPS! Utilisez Windows Imaging and Configuration Designer (ICD) pour personnaliser le socle de votre image Windows 10 avant de la déployer et de la personnaliser avec MDT ou SCCM.

Cortana, la recherche fiable (ou pas…)

Avec Windows 10, Microsoft a pu introduire son nouvel assistant pour améliorer la productivité, Cortana. Intégrée à Windows 10, Cortana est sensée vous faciliter la vie en apportant les fonctionnalités suivantes :

• Recherche avancée (sur votre ordinateur, sur le web)
• Rappel selon une date, un lieu
• Interaction avec les applications intégrées Windows 10 (deezer, youtube, …)

Or, depuis l’intégration de Cortana, la recherche n’a jamais aussi mal fonctionné sur Windows. Même en utilisant les arguments de filtrage avancé (app: / photo: / file: / folder: / web: / music: / video:), cela ne fonctionne pas. Néanmoins, il est possible de retrouver une recherche pleinement fonctionnelle en désactivant totalement Cortana.

Configuration Ordinateur\Stratégies\Modèles d’administration\Composants Windows\Rechercher

• Autoriser Cortana : Désactivé
• Ne pas effectuer des recherches sur le Web ou afficher des résultats Web dans Search : Activé

L’explorateur Windows

Désactiver le cache

L’accès rapide est un nouveau menu apparu avec Windows 10. Ce menu vous permet d’accéder aux derniers fichiers et dossiers consultés. Pour permettre cela, Windows 10 enregistre vos dernières consultations et les consultations récurrentes. Pour désactiver le cache via GPO, créez un objet de stratégie, éditez-le et rendez-vous dans :

Configuration Utilisateur\Stratégies\
Modèles d’administration\Menu démarrer et barre des tâches

• Ne pas conserver d’historique des documents récemment ouverts : Activé

Ouverture dans « Ce PC » au lieu de l’ « Accès Rapide »

Maintenant que le cache des documents et dossiers est désactivé, l’accès rapide perd en fonctionnalité. Nous allons donc faire en sorte que l’explorateur s’ouvre dans « Ce PC » au lieu de l’accès rapide. Pour cela rien de plus simple, il suffit de mettre à jour une clé de registre.

Toujours via l’édition des GPO, se rendre dans :

Configuration Utilisateur\Préférences\Paramètres Windows\Registre

• Créez un nouvel élément de registre
  • Action : Mettre à jour
  • Ruche : HKEY_CURRENT_USER
  • Chemin : SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced
  • Nom de valeur : LaunchTo
  • Type de valeur : REG_DWORD
  • Données de valeur : 1

Activer les extensions

Activer l’affichage des extensions permet à vos utilisateurs de jeter un coup d’œil au type de fichiers qu’ils exploitent. Cette fonctionnalité éviterait le lancement d’un grossier malware à la vue du nom de fichier comme ci-contre « Fact_201904xx.pdf.exe ». Sans l’affichage des extensions, l’utilisateur verrait que son fichier porte un nom qui se termine en .pdf. Il se dirait alors que tout est OK. En effet, l’affichage des extensions permet une prévention auprès de vos utilisateurs, ils feront ainsi plus attention à ce qu’ils font.

Toujours via l’édition des GPO, se rendre dans :

Configuration Utilisateur\Préférences\Paramètres du Panneau de configuration\Options des dossiers

• Créez de nouvelles Options des dossiers (au minimum Windows Vista) »
  • Décochez « Masquer les extensions des fichiers dont le type est connu »

Activer le volet détail

De la même manière que les extensions, le volet détail permet à l’utilisateur de jeter un rapide coup d’œil sur les caractéristiques du fichier qu’il s’apprête à utiliser. Un fichier ressemblant à un PDF et étant de type « Application », ça semble louche… Sensibilisez-les à avoir ce rapide coup d’œil, ils comprendront mieux ce qu’ils font et éviteront les erreurs…

Toujours via l’édition des GPO, se rendre dans :

Configuration Utilisateur\Stratégies\
Modèles d’administration\Composants Windows\Explorateur de fichiers\Volet des cadres de l’Explorateur

• Activer ou désactiver le volet d’informations : Activé

Script de configuration Windows 10 standalone

Si votre Windows 10 est hors Active Directory et que cela vous semble trop long de tout modifier manuellement, voici un script qui vous facilitera le travail : (à lancer en tant qu’administrateur)

Pour aller plus loin…

Pour aller plus loin encore, vous pouvez :

• Renforcer la politique UAC
• Bloquer l’autorun si votre antivirus ne le fait pas déjà
• Bloquer les programmes tels que : mmc, cmd, powershell, powershell_ise, regedit, etc…
• Faire une politique Applocker si vous disposez de Windows 10 Entreprise
• Empêcher vos utilisateurs d’ouvrir leur session avec un compte Microsoft
• Définir une bonne politique de mot de passe
• Administrez Google Chrome via GPO
• …