Sécurité

Comprendre et paramétrer la sécurité de Winlog

Le client VBS

Pourquoi le client est-il codé en VBS ?

Le client winlog utilise une librairie http nommée Win.HttpRequest5.1. Cette librairie a l'avantage d'être livrée avec tous les OS Windows de Windows XP à Windows 10.
Le langage VBS est lui aussi directement interprétable par tous les OS Windows.
Le même script aurait pu être codé en PowerShell, mais rien ne garantit que PowerShell soit installé et activé sur tous les postes clients par défaut.

Une amélioration possible serait de générer un exécutable (.exe) pouvant tourner sur tous les OS Windows à la place du VBS.

Les scripts sont-ils accessibles aux utilisateurs ?

Les scripts sont exécutés par le système soit au moment de l'ouverture de la session, avant l'affichage du bureau, soit à la fermeture de la session, soit à l'arrêt du système au moment où le bureau n'est plus disponible.

Quid du certificat pour chiffrer le trafic https ?

Le client VBS émet des requêtes https vers le serveur Winlog afin de chiffrer le trafic de point à point.
Cependant, en l'état actuel, le script ne vérifie pas la validité du certificat (le serveur Winlog peut porter un nom interne ou être accédé par une adresse IP, qui ne seraient pas reconnus par une autorité externe de certification comme celles fournies dans les navigateurs).
Si on souhaite vérifier le certificat, il est alors nécessaire de changer le code du client VBS et de déclarer l'autorité qui sera utilisée.