Selon Microsoft, les applications proposées sur le Microsoft Store, dont la plupart sont des logiciels UWP (Universal Windows Platform), constituent le choix le plus sûr en matière de sécurité. Nous aurions un véritable bouclier contre les logiciels malveillants et les menaces qui ciblent généralement les logiciels Win32.
L’une des raisons pour lesquelles les applications UWP sont recommandées par rapport à leurs versions Win32 est qu’elles s’exécutent dans une « sandbox ». En clair leur environnement d’exécution ne permettrait pas aux logiciels malveillants d’accéder aux données. Ce mode bloque l’accès au reste des fichiers.
En pratique, Microsoft permet aux applications UWP s’exécutant dans une « sandbox » d’accéder au reste des fichiers stockés sur l’unité de stockage au travers d’une API nommée « broadFileSystemAccess ». Elle est nécessaire car certaines applications UWP doivent stocker des fichiers, charger des documents et effectuer diverses opérations avec des données.
L’implémentation de l’API s’accompagne d’un avertissement qui s’affiche pour solliciter une autorisation. L’utilisateur de Windows 10 peut donc bloquer les accès s’il pense qu’il peut s’agir d’un programme malveillant.
Windows 10 et les applications UWP, bug de sécurité
Il s’avère que cet avertissement n’est pas fiable. Dans une analyse, le développeur Sebastien Lachance explique que cette invite est défaillante. Un bug permet de contourner cette protection afin d’obtenir un accès aux données. De plus l’utilisateur n’aurait pas la possibilité de le savoir.
Microsoft a reconnu officiellement cette nouvelle défaillance. Une correction serait même disponible au travers de Windows 10 v1809. Devant le fiasco de cette version de Windows 10, c’est n’est pas trop rassurant. Il est aussi étonnant qu’aucun patch ne soit proposé pour les autres versions de Windows 10.
Au final même si un correctif est prêt, Microsoft ne le propose à personne et continue à promouvoir une environnement UWP non sécurité…
