Sécurité de l'outil NetMeeting de Microsoft

L'outil NetMeeting de Microsoft permet d'organiser des réunions virtuelles. Chaque participant se connecte au meeting au moyen de son ordinateur, et il est alors possible, par exemple :

• de dialoguer en direct (par écrit, ou même par audio et par vidéo pour les ordinateurs équipés de micros et de webcams),

• ou de travailler en commun sur un document.

Cet outil (gratuit) parait séduisant pour compléter les conférences téléphoniques classiques. Nous avons donc effectué une analyse rapide de la sécurité de NetMeeting 3.01, en nous basant sur les études publiées sur Internet sur ce sujet.

Les risques intrinsèques

De façon générale les problèmes de sécurité potentiels de cette catégorie d'outil sont :

• le fait que les participants peuvent ne pas être correctement identifiés ou authentifiés. Si c'est le cas, une personne étrangère à la réunion pourrait y prendre part, de façon passive (écoute), ou active (perturbation).

• le fait qu'il puisse être possible, par ce moyen, de prendre le contrôle de l'ordinateur d'un des participants.

• et, pour certains contextes (cas de besoin en confidentialité), le fait que la réunion puisse être écoutée à distance (espionnage).

Dans sa configuration par défaut, NetMeeting présente effectivement tous ces défauts. Si aucune précaution n'est prise, il est ainsi tout à fait possible à un participant mal intentionné (qui éventuellement peut se faire passer pour quelqu'un d'autre) de convaincre un des participants au meeting de télécharger un fichier dangereux (via la fonction FTP offerte par NetMeeting), ou de lui donner le contrôle de sa machine (via les fonctions NetMeeting de "program sharing" ou de "remote desktop sharing").

Les fonctions de sécurité de NetMeeting

A partir de la version 3, Microsoft a ajouté à NetMeeting des fonctions de sécurité qui permettent de limiter le risque encouru. Il est ainsi désormais possible :

• d'identifier les participants par certificats. Cette fonction permet un contrôle sur l'identité effective des participants, mais elle suppose aussi que l'on vérifie le certificat de chaque utilisateur rejoignant le meeting (il faut visualiser les "propriétés" de cet utilisateur pour savoir si son certificat est valide ou non).

• de restreindre les fonctionnalités disponibles. Ainsi, on peut définir la liste des applications pouvant être lancées sous NetMeeting (par exemple, n'autoriser que PowerPoint) et surtout conserver le contrôle de l'exécution de ces applications lancées (un participant ne peut prendre le contrôle de l'exécution que si l'organisateur du meeting lui donne ce contrôle).

• de chiffrer les flux réseaux entre participants.

• de préparer un paramétrage type qui sera automatiquement pris en compte lors de l'installation de l'outil sur les postes utilisateurs (utilisation du produit complémentaire de configuration appelé le "NetMeeting Resource Kit").

Ces fonctions de sécurité permettent d'envisager une utilisation plus sûre de NetMeeting. Il faut cependant rester conscient que :

• Les utilisateurs doivent être sensibilisés et formés à l'utilisation de NetMeeting, car par défaut ils activeront des fonctions dangereuses, ou n'effectueront pas les contrôles de sécurité nécessaires. Il nous semble souhaitable, en particulier, que pour chaque meeting, il y ait un participant "expert NetMeeting" qui vérifie que l'outil est utilisé dans des conditions sûres.

• Son utilisation ne nous paraît envisageable qu'en Intranet, car le filtrage des flux réseaux utilisés est complexe. Eventuellement, on peut aussi coupler NetMeeting avec un système VPN pour la traversée de sections réseaux non sûres.

• Les fonctionnalités offertes dans une configuration sécurisée sont réduites. En fait, une utilisation type serait de compléter une conférence téléphonique classique en visualisant par NetMeeting un document (qui reste sous le contrôle exclusif de l'organisateur de la réunion ) sur le poste de chacun des participants.

• Il s'agit d'un outil propriétaire, imposant en particulier qu'Internet Explorer soit installé sur le poste des participants (c'est IE qui est utilisé pour la gestion des certificats sous NetMeeting).

Pour plus d'information

• Guide de sécurisation publié par la NSA : http://www.nsa.gov/snac/support/guides/sd-6.pdf
• Article du SANS (un peu pessimiste) sur la non sécurité de NetMeeting : http://rr.sans.org/win/netmeeting.php