Exécution d'applications sous un compte administrateur

• Principes
• Mode administrateur
• Mode utilisateur
• Téléchargement et installation
• Historique
• Appel à traducteurs

Principes

Certaines applications ou tâches diverses nécessitent d'être exécutées avec des privilèges de compte administrateur. Or si l'utilisateur en cours n'appartient pas à ce groupe, cela est impossible. Afin de contourner cette difficulté, Microsoft a prévu trois outils :

• SU.EXE du Resource Kit de NT
• RUNAS.EXE (intégré dans Windows à partir de Windows 2000).
• La commande contextuelle "Exécuter en tant qu'administrateur"

Le problème majeur posé par ces outils est que l'administrateur doit être présent physiquement près de l'ordinateur de l'utilisateur afin de saisir de façon interactive son nom et mot de passe (et si l'administrateur communique ces informations, cela remet en cause la sécurité du système).

En particulier, ni SU, ni RUNAS ne permettent d'intégrer dans une ligne de commande le mot de passe de l'administrateur, qui doit obligatoirement être saisi dynamiquement (exception faite de RUNAS sous Windows XP PRO, avec le commutateur /savecred, qui permet de mémoriser ce mot de passe pour une exécution ultérieure, mais qui est peu pratique).

Le script xrunas.vbs que j'ai écrit contourne cette difficulté, mais la sécurité est considérablement compromise, puisque le mot de passe du compte administrateur va apparaître en clair dans la commande du script.

C'est pourquoi j'ai conçu SUPEREXEC, logiciel utilitaire (écrit en Delphi 7, puis Delphi 2006), qui affranchit de la contrainte de saisie en temps réel du mot de passe tout en garantissant la sécurité du système.

Il permet de préparer une exécution, en enregistrant dans un fichier de type XML (extension .XSE) les informations suivantes (intégralement chiffrées) :

• le nom du compte utilisateur ou groupe d'utilisateurs - local ou global (domaine)
• l'application concernée (exécutable, script, composant enfichable,...)
• les paramètres passés à l'application
• le dossier de travail
• le nom et le mot de passe d'un compte administrateur
• des paramètres éventuels supplémentaires :
  • une date limite d'exécution de l'application
  • un compteur d'exécution

L'exécution de l'application sera refusée à l'utilisateur :

• si l'application n'a pas été autorisée à l'utilisateur ni à un groupe auquel il appartient.
• si une date limite a été définie et si elle est périmée.
• si un compteur a été défini et s'il est dépassé.

Il a même été prévu le cas d'ordinateurs déconnectés du réseau (cas d'utilisateurs "nomades" par exemple). Les fichiers nécessaires sont alors envoyés par messagerie électronique sous la forme de fichier compressé unique mis en pièce-jointe dans un courrier généré automatiquement.

Remarques :

• en raison des restrictions réseau intrinsèques à Windows XP Edition Familiale qui anonymise toute connexion entrante, SUPEREXEC ne peut être exécuté que localement et non pas à distance sur un ordinateur fonctionnant sous ce système.
• l'exploration d'un autre groupe de travail ou domaine peut prendre un certain temps.
  Il est possible de choisir le niveau d'exploration du réseau :
  • ordinateur local seul
  • exploration manuelle du réseau
  • exploration automatique du réseau (tous les ordinateurs de tous les groupes et domaines) à partir d'une plage donnée d'adresses IP.
• Les applications choisies doivent résider sur l'ordinateur concerné.
• SUPEREXEC est entièrement compatible avec UAC  (User Account Control), à savoir le contrôle des comptes utilisateurs sous Windows Vista, Windows 7 (et au-delà).
• Dans le cas où une application est de type console (ipconfig, nbtstat, netstat, net time, ...), elle sera exécutée à travers un script créé dynamiquement et de telle façon que la fenêtre ne se ferme pas à la fin de l'exécution si on le souhaite.
• En ce qui concerne les ordinateurs distants, SUPEREXEC active à distance :
  • le service d'accès au registre
  • les partages administratifs

SuperExec.exe	programme principal, réservé aux administrateurs, servant à planifier les applications
RunSE.exe	programme "runtime", pour tout utilisateur, servant à exécuter les applications.
InstSE.exe	programme d'installation du runtime et des fichiers de données dans le cas d'un envoi par courrier électronique
SuperExec.cer	certificat de sécurité
CAPICOM.dll	bibliothèque Microsoft redistribuable de gestion des certificats
<code de langue>\SuperExec.lib	fichier contenant tous les messages et textes.
<code de langue>\SuperExec.chm	le présent document d'aide.
SuperExec.rtf	le présent document au format RTF
Licence.rtf	la licence de ce logiciel

Afin de garantir leur origine, tous les exécutables de SuperExec (SuperExec.exe, RunSE.exe, InstSE.exe) sont certifiés par un certificat auto-signé par l'auteur.
La première fois que l'un de ces programmes est exécuté, cela entraine l'ouverture de la boite de dialogue suivante :

On retrouve cette information dans l'onglet "Signatures numériques" des propriétés des fichiers exécutables.

Préparation des applications (mode administrateur)

SUPEREXEC fonctionne à la fois localement et à distance, si bien qu'il est possible de gérer de la même façon aussi bien l'ordinateur local que les ordinateurs de n'importe quel groupe de travail ou domaine accessible depuis le réseau.

SUPEREXEC se présente sous la forme d'une boite de dialogue , composée d'une barre de menu et de boutons, ainsi que 3 zones (réseau, applications, journal) :

Pour plus d'informations, consulter le fichier d'aide compilé  SuperExec.chm
(ce fichier est fourni également avec le logiciel)

Attention dans le choix des applications autorisées! Il faut absolument, dans la mesure du possible, éviter d'autoriser des applications permettant de lancer d'autres applications, car ces dernières seront exécutées également avec des privilèges administrateur. Par exemple si on autorise le processeur de commandes (%systemroot%\system32\CMD.EXE), l'utilisateur pourra alors exécuter n'importe quel autre logiciel, script, composant enfichable,..., avec des droits administrateur.

Exécution des applications (Mode utilisateur)

L'exécution d'application est réalisée par le module RunSE qui se présente sous la forme d'une boite de dialogue  :

Chaque icône représente une application qui sera exécutée sous un compte qu'administrateur et, dans le cas de Vista et au-delà avec UAC actif (le contrôle des comptes utilisateurs), en tant qu'administrateur (avec privilèges élevés).

Un clic droit sur l'une des icônes fait apparaitre un menu déroulant doté de 3 items :

• exécuter
  son action est identique à un double-clic sur l'icône.
  • l'application est exécutée en tant qu'administrateur
• créer un raccourci
  • un raccourci de l'application est créé :
    • sur le bureau de l'utilisateur en cours si le compte concerné par SuperExec est un compte individuel
    • sur le bureau commun à tous les comptes si le compte concerné par SuperExec est un groupe d'utilisateurs
• propriétés
  Affiche une liste de propriétés de l'application
  • chemin du fichier exécuté
  • nom de l'exécutable associé  (éventuellement)
  • paramètres optionnels
  • type d'application (console ou application en mode fenêtré)
  • libellé
  • dossier de travail
  • limitations éventuelles (date limite et/ou nombre d'exécutions)
  • nom du compte administrateur utilisé
  • commentaires éventuels

Il est également possible de créer un raccourci sur le bureau en effectuant un "glisser/déposer"  ("drag and drop") de l'icône.

Différents contrôles sont réalisés :

• autorisation de l'application à l'utilisateur
• Contrôle de date limite
• Contrôle du nombre maximal d'exécutions