utilite du compte administrateur

Le
Pascal Roux
Bonjour,

je voudrais savoir s'il serait plus judicieux d'activer le compte
administrateur, pour utiliser un compte à accès limité pour les tâches de
tous les jours, et le compte admin pour les tâches administratives

pourquoi ce compte n'est-il pas activé par défaut, et que risque t-on si on
supprime le compte utilisateur avec les droits admin pour créer un compte
spécifiquement admin à la place ?

Est-ce une meilleure stratégie de sécurité ?
Vidéos High-Tech et Jeu Vidéo
Téléchargements
Vos réponses
Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
DuboisP
Le #21429271
Le Tue, 23 Mar 2010 23:02:40 +0100, Pascal Roux

Bonjour,

je voudrais savoir s'il serait plus judicieux d'activer le compte
administrateur, pour utiliser un compte à accès limité pour les tâches de
tous les jours, et le compte admin pour les tâches administratives

pourquoi ce compte n'est-il pas activé par défaut, et que risque t-on si
on
supprime le compte utilisateur avec les droits admin pour créer un compte
spécifiquement admin à la place ?

Est-ce une meilleure stratégie de sécurité ?





travailler en compte administrateur est une bonne façon de faire des
conneries à l'insu de son plein gré,
à moins d'avoir tout le temps conscience de ce qu'on fait et de faire
fonctionner son cerveau en permanence.

je travaille donc en compte administrateur ;-)


--
Utilisant le client e-mail révolutionnaire d'Opera :
http://www.opera.com/mail/
PierreB
Le #21429501
Le 23/03/2010 23:02, Pascal Roux a écrit :
Bonjour,

je voudrais savoir s'il serait plus judicieux d'activer le compte
administrateur, pour utiliser un compte à accès limité pour les tâches de
tous les jours, et le compte admin pour les tâches administratives

pourquoi ce compte n'est-il pas activé par défaut, et que risque t-on si on
supprime le compte utilisateur avec les droits admin pour créer un compte
spécifiquement admin à la place ?

Est-ce une meilleure stratégie de sécurité ?





Bonjour,

Comme le dit DuboisP, on peut faire des c... mais qui plus est, on ouvre
la porte aux spywares et autres chevaux de Troie alors qu'un compte
restreint ne donne pas cet accès donc:

Utiliser le compte administrateur (quel qu'il soit) pour configurer la
machine, puis utiliser un compte restreint

Pierre
Jean-Claude BELLAMY
Le #21429651
"Pascal Roux" groupe de discussion : hobdo9$aca$
Bonjour,

je voudrais savoir s'il serait plus judicieux d'activer le compte
administrateur, pour utiliser un compte à accès limité pour les tâches de
tous les jours, et le compte admin pour les tâches administratives


Ou n'importe quel autre compte appartenant au groupe des administrateurs.


pourquoi ce compte n'est-il pas activé par défaut,


Parce que, par défaut, il a un mot de passe VIDE!
Sous W2k PRO et XP PRO, quand on installe un nouveau Windows, le compte
"Administrateur" est créé (comme sous Vista ou Win7), MAIS il y a demande
de mot de passe pour ce compte.
A partir de Vista, pour des raisons microsoftiennes qui m'échappent, ce mot
de passe n'est plus demandé et il est vide.
AMHA, je pense que c'est parce que beaucoup d'utilisateurs, quand il avaient
besoin de ce compte Administrateur sous W2K PRO ou XP PRO, avaient oublié le
mot de passe initial!

Je rappelle que le compte "Administrateur" (nom par défaut dans les versions
francophones de Windows) a les caractéristiques suivantes :

1) Il possède un SID (Security IDentifier) qui se termine obligatoirement
par "-500" (c'est d'ailleurs un moyen très simple d'identifier LE compte
"administrateur" même si un petit rigolo l'a renommé croyant - par
erreur -améliorer la sécurité de son ordinateur)

2) Comme son nom le suggère, il appartient au groupe des Administrateurs,
avec tous les privilèges associés à ces comptes.

3) Il n'est pas supprimable !
En effet, si on a l'idée (idiote, ou tout au moins absconse!) de vouloir le
supprimer par la commande "NET USER Administrateur /delete", on se prend en
retour l'injurebox :
L’erreur système 1371 s’est produite.
Impossible d’accomplir cette action sur des comptes prédéfinis.

4) Sous Vista et Win7, il possède toujours, par défaut, son "jeton" de
compte administrateur, avec tous les privilèges associés, à la différence
des autres comptes administrateurs qui reçoivent 2 jetons, un actif par
défaut mais avec privilèges réduits, l'autre avec tous les privilèges admins
mais actif seulement sur demande.

et que risque t-on si on
supprime le compte utilisateur avec les droits admin pour créer un compte
spécifiquement admin à la place ?


????????????????
Tu peux m'expliquer la différence ?

Supprimer un compte utilisateur appartenant au groupe des admins pour le
remplacer par un nouveau compte appartenant au groupe des admins, je ne vois
pas où est la valeur ajoutée !!!!

A moins que tu ne penses au compte "Administrateur", mais comme je l'ai dit
plus haut, ON NE PEUT PAS LE SUPPRIMER !



EXPLIQUE un peu mieux que ça ce que tu veux faire EX-AC-TE-MENT !

--
May the Force be with You!
La Connaissance s'accroît quand on la partage
----------------------------------------------------------
Jean-Claude BELLAMY [MVP]
http://www.bellamyjc.org ou http://jc.bellamy.free.fr
Jean-Claude BELLAMY
Le #21429641
"DuboisP" message de groupe de discussion :
[...]


travailler en compte administrateur est une bonne façon de faire des
conneries à l'insu de son plein gré,
à moins d'avoir tout le temps conscience de ce qu'on fait et de faire
fonctionner son cerveau en permanence.

je travaille donc en compte administrateur ;-)



+1 !


--
May the Force be with You!
La Connaissance s'accroît quand on la partage
----------------------------------------------------------
Jean-Claude BELLAMY [MVP]
http://www.bellamyjc.org ou http://jc.bellamy.free.fr
JKB
Le #21429751
Le 24-03-2010, ? propos de
Re: utilite du compte administrateur,
PierreB ?crivait dans fr.comp.os.ms-windows :
Le 23/03/2010 23:02, Pascal Roux a écrit :
Bonjour,

je voudrais savoir s'il serait plus judicieux d'activer le compte
administrateur, pour utiliser un compte à accès limité pour les tâches de
tous les jours, et le compte admin pour les tâches administratives

pourquoi ce compte n'est-il pas activé par défaut, et que risque t-on si on
supprime le compte utilisateur avec les droits admin pour créer un compte
spécifiquement admin à la place ?

Est-ce une meilleure stratégie de sécurité ?





Bonjour,

Comme le dit DuboisP, on peut faire des c... mais qui plus est, on ouvre
la porte aux spywares et autres chevaux de Troie alors qu'un compte
restreint ne donne pas cet accès donc:

Utiliser le compte administrateur (quel qu'il soit) pour configurer la
machine, puis utiliser un compte restreint



Avec la restriction qui fait qu'un certain nombre de softs ne
tourne correctement qu'en administrateur. C'est très pratique...

JKB

--
Le cerveau, c'est un véritable scandale écologique. Il représente 2% de notre
masse corporelle, mais disperse à lui seul 25% de l'énergie que nous
consommons tous les jours.
Quartzkyte
Le #21429741
Jean-Claude BELLAMY a écrit :
"Pascal Roux" groupe de discussion : hobdo9$aca$
Bonjour,

je voudrais savoir s'il serait plus judicieux d'activer le compte
administrateur, pour utiliser un compte à accès limité pour les tâches de
tous les jours, et le compte admin pour les tâches administratives


Ou n'importe quel autre compte appartenant au groupe des administrateurs.


pourquoi ce compte n'est-il pas activé par défaut,


Parce que, par défaut, il a un mot de passe VIDE!
Sous W2k PRO et XP PRO, quand on installe un nouveau Windows, le compte
"Administrateur" est créé (comme sous Vista ou Win7), MAIS il y a demande
de mot de passe pour ce compte.
A partir de Vista, pour des raisons microsoftiennes qui m'échappent, ce mot
de passe n'est plus demandé et il est vide.
AMHA, je pense que c'est parce que beaucoup d'utilisateurs, quand il avaient
besoin de ce compte Administrateur sous W2K PRO ou XP PRO, avaient oublié le
mot de passe initial!

Je rappelle que le compte "Administrateur" (nom par défaut dans les versions
francophones de Windows) a les caractéristiques suivantes :

1) Il possède un SID (Security IDentifier) qui se termine obligatoirement
par "-500" (c'est d'ailleurs un moyen très simple d'identifier LE compte
"administrateur" même si un petit rigolo l'a renommé croyant - par
erreur -améliorer la sécurité de son ordinateur)

2) Comme son nom le suggère, il appartient au groupe des Administrateurs,
avec tous les privilèges associés à ces comptes.

3) Il n'est pas supprimable !
En effet, si on a l'idée (idiote, ou tout au moins absconse!) de vouloir le
supprimer par la commande "NET USER Administrateur /delete", on se prend en
retour l'injurebox :
L’erreur système 1371 s’est produite.
Impossible d’accomplir cette action sur des comptes prédéfinis.

4) Sous Vista et Win7, il possède toujours, par défaut, son "jeton" de
compte administrateur, avec tous les privilèges associés, à la différence
des autres comptes administrateurs qui reçoivent 2 jetons, un actif par
défaut mais avec privilèges réduits, l'autre avec tous les privilèges admins
mais actif seulement sur demande.

et que risque t-on si on
supprime le compte utilisateur avec les droits admin pour créer un compte
spécifiquement admin à la place ?


????????????????
Tu peux m'expliquer la différence ?

Supprimer un compte utilisateur appartenant au groupe des admins pour le
remplacer par un nouveau compte appartenant au groupe des admins, je ne vois
pas où est la valeur ajoutée !!!!

A moins que tu ne penses au compte "Administrateur", mais comme je l'ai dit
plus haut, ON NE PEUT PAS LE SUPPRIMER !




Ah zut, je pensais apprendre un truc utile ce matin à ranger entre le suicide à la chantilly et le diabolo sardine.
Pas de bol.

EXPLIQUE un peu mieux que ça ce que tu veux faire EX-AC-TE-MENT !


8-o

--
Quartzkyte (si c'est compliqué appelez-moi Michel)

Newsgroups win7, IE8 et office2010 créés par Michel Claveau :
news:\ponx.frwin7 - Utilisateur et Passe : v (comme visiteur)

FAQ Outlook de JièL : http://faq-outlook.fr/
7 Extra, mon annuaire Win 7 : http://www.corpfrance.com/7extra/
Pascal Roux
Le #21432521
> et que risque t-on si on
> supprime le compte utilisateur avec les droits admin pour créer un


compte
> spécifiquement admin à la place ?
????????????????
Tu peux m'expliquer la différence ?

Supprimer un compte utilisateur appartenant au groupe des admins pour le
remplacer par un nouveau compte appartenant au groupe des admins, je ne


vois
pas où est la valeur ajoutée !!!!

A moins que tu ne penses au compte "Administrateur", mais comme je l'ai


dit
plus haut, ON NE PEUT PAS LE SUPPRIMER !



EXPLIQUE un peu mieux que ça ce que tu veux faire EX-AC-TE-MENT !



bien d'après ce que j'ai lu sur le web, il y aurait le compte "super
administrateur" qui s'active par :
"net user administrateur / active : yes", et que l'on ne peut jamais
supprimer, et le compte de l'utilisateur principal aux droits admin réduits,
ce que je trouve assez bizarre :
http://www.guwiv.com/portal/forums/post/9617.aspx
http://www.guwiv.com/portal/forums/post/2821.aspx

sur ce lien ils disent que c'est une mauvaise idée d'activer le compte super
admin car cela attirerait les hackers :
http://www.01net.com/editorial/507737/verites-et-mythes-sur-les-comptes-admi
nistrateur/

pourquoi créer des comptes admin ou root si c'est pour avoir peur des
hackers quand on les active, et s'il faut finalement utiliser son mot de
passe d'utilisateur principal pour administrer ? (c'est la même idée sur
Ubuntu) Comme si les hackers ne savaient pas repérer aussi l'utilisateur
principal et casser son mot de passe encore plus facilement que celui du
root

en fait pour faire simple je pensais faire un vrai compte admin
(l'equivalent du root unix) avec des comptes utilisateurs
sans les droits admin (pas d'utilisateur privilégié par rapport aux autres)

Donc le choix pour le rôle d'administrateur se ferait entre le super admin
ou l'utilisateur principal (à condition de ne pas l'utiliser pour toutes les
tâches usuelles)


----------------------------------------------------
j'ai noté également dans vos réponses, qu'il est inutile de renommer
administrateur en "toto" pour éviter les éventuelles attaques (du fait de
l'id-500) Les hackers là-aussi, ne sont pas stupides
Jean-Claude BELLAMY
Le #21432871
"Pascal Roux" groupe de discussion : hoda6l$tsk$

> et que risque t-on si on
> supprime le compte utilisateur avec les droits admin pour créer un


compte
> spécifiquement admin à la place ?
????????????????
Tu peux m'expliquer la différence ?

Supprimer un compte utilisateur appartenant au groupe des admins pour le
remplacer par un nouveau compte appartenant au groupe des admins, je ne


vois
pas où est la valeur ajoutée !!!!

A moins que tu ne penses au compte "Administrateur", mais comme je l'ai


dit
plus haut, ON NE PEUT PAS LE SUPPRIMER !



EXPLIQUE un peu mieux que ça ce que tu veux faire EX-AC-TE-MENT !



bien d'après ce que j'ai lu sur le web, il y aurait le compte "super
administrateur"


C'EST le compte "Administrateur" dont je viens de parler!
qui s'active par :
"net user administrateur / active : yes", et que l'on ne peut jamais
supprimer,


C'est ce que je viens de dire !

et le


NON : "un"
compte de l'utilisateur principal aux droits admin réduits,
ce que je trouve assez bizarre :
http://www.guwiv.com/portal/forums/post/9617.aspx


OUI, je suis parfaitement en phase ...

http://www.guwiv.com/portal/forums/post/2821.aspx


La distinction "administrateur protégé (plus sécurisé)" et "administrateur
non protégé (plus vulnérable)" est très discutable !


sur ce lien ils disent que c'est une mauvaise idée d'activer le compte
super
admin car cela attirerait les hackers :
http://www.01net.com/editorial/507737/verites-et-mythes-sur-les-comptes-administrateur/



Si LE compte "administrateur" est laissé sans password (cas par défaut),
oui, c'est une mauvais idée.

Donc la commande
NET USER Administrateur /Active:Yes
doit immédiatement être suivie de la commande
NET USER Administrateur un-mot-de-passe-non-vide-et suffisamment-robuste

Chez moi, chaque compte "Administrateur" est ACTIVÉ, mais aucun compte n'a
de mot de passe vide!


pourquoi créer des comptes admin ou root si c'est pour avoir peur des
hackers quand on les active, et s'il faut finalement utiliser son mot de
passe d'utilisateur principal pour administrer ? (c'est la même idée sur
Ubuntu) Comme si les hackers ne savaient pas repérer aussi l'utilisateur
principal et casser son mot de passe encore plus facilement que celui du
root


Remarque pleine de bon sens !!!


en fait pour faire simple je pensais faire un vrai compte admin
(l'equivalent du root unix)


le compte "Administrateur" sous Windows est l'équivalent du compte "root"
sous Unix.

D'ailleurs je me suis "amusé" sur certaines machines à renommer le compte
"administrateur" en "root" (pour le fun uniquement!)
avec des comptes utilisateurs

sans les droits admin (pas d'utilisateur privilégié par rapport aux
autres)


????????????????????
Un compte admin a les droits admin, par définition même !
La seule différence par rapport au compte "Administrateur" est que pour
avoir les privilèges d'admin actifs, il faut le demander en répondant "oui"
lors de l'apparition de la boite de dialogue d'élévation de privilèges !


Donc le choix pour le rôle d'administrateur se ferait entre le super admin
ou l'utilisateur principal (à condition de ne pas l'utiliser pour toutes
les
tâches usuelles)



On peut "calmer" un peu l'UAC en faisant répondre OUI systématiquement et
automatiquement à la demande d'élévation de privilèges.
Cela correspond à la clef :
HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystemConsentPromptBehaviorAdmin
0 -> Élévation des privilèges sans demander confirmation
1 -> Demande d'identification d'administrateur (nom + mot de passe)
2 -> Demande de consentement (accepter/refuser)
(valeur par défaut)

Donc, avec un compte admin (différent de "Administrateur") et avec élévation
automatique, on se retrouve A PRIORI dans la même situation que si on avait
ouvert une session sous le compte "Administrateur" lui-même.

MAIS le problème est que la boite de dialogue de demande d'élévation de
privilèges ne s'ouvre pas systématiquement !
P.ex. si on veut lancer un script VBS, un batch, ..., depuis l'explorateur ,
il n'est pas prévu de le faire "en tant qu'administrateur" .
Par ailleurs, pour qu'un exécutable requière systématiquement des privilèges
admin, il faut qu'il ait été doté d'un fichier manifest (ou compilé avec)
contenant l'instruction
<requestedexecutionlevel level="requireadministrator" />

Donc il peut arriver des situations où on a besoin d'exécuter quelque chose
avec des privilèges admin, mais cela ne se fait pas pour une raison évoquée
ci-dessus.
C'est pourquoi, en utilisant LE compte "Administrateur" on s'affranchit de
ces problèmes, étant sûr d'avoir les privilèges admin!


----------------------------------------------------
j'ai noté également dans vos réponses, qu'il est inutile de renommer
administrateur en "toto" pour éviter les éventuelles attaques (du fait de
l'id-500) Les hackers là-aussi, ne sont pas stupides


Oui, il ne sert à rien de se fatiguer pour rien !


Afin qu'il n'y ait pas d'ambiguïté dans les esprits, je vais
re-re-...-répéter certaines notions importantes :
===================================================================
La commande
"exécuter comme administrateur"
NE SIGNIFIE PAS
"exécuter sous LE compte "administrateur"
MAIS AU CONTRAIRE
"exécuter avec les privilèges administrateur du compte en cours"
(cela suppose que le compte en question appartient au groupe des admins)

Je rappelle le grand principe des privilèges et de UAC (User Account
Control) :

TOUT compte possède un certain nombre de "privilèges", dépendant du groupe
auquel il appartient :
- administrateurs
- utilisateurs "lambda"
- invités
Ces privilèges ont de jolis petits noms, tels que :
SeCreateTokenPrivilege
SeAssignPrimaryTokenPrivilege
SeLockMemoryPrivilege
SeIncreaseQuotaPrivilege
SeMachineAccountPrivilege
SeTcbPrivilege
SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeTimeZonePrivilege
SeShutdownPrivilege
...


Lorsqu'un compte ouvre une session, le sous-système de gestion de la
sécurité (LSA) attribue à ce compte un "jeton" (c'est un objet mémoire) qui
contient la liste des privilèges auxquels le compte a droit.
Si une manip relevant de la sécurité a lieu (création d'un dossier, arrêt de
l'ordinateur, création de compte, changer le fuseau horaire, ...), le
"jeton" est interrogé par le système qui autorise ou non le processus.

Ça, c'est valable depuis toujours (depuis NT3.1).


MAIS UAC a ajouté une subtilité, concernant EXCLUSIVEMENT les comptes du
groupe des administrateurs :

Lorsqu'un compte de ce groupe AUTRE que le compte "Administrateur" ouvre une
session, il reçoit DEUX JETONS, un contenant la liste des privilèges
"admin", et un autre contenant une liste avec peu de privilèges, comme pour
un compte "lambda", et c'est CE JETON "AU RABAIS" qui est actif en temps
normal !
Cela afin de renforcer la sécurité, en limitant volontairement PAR DÉFAUT
les privilèges des administrateurs (et éviter des concetés et/ou des
attaques provenant "d'Aliens")

Si un processus a besoin de privilèges élevés (notifiés p.ex. dans un
fichier "xxxxx.manifest" par la ligne
<requestedexecutionlevel level="requireadministrator" /> "
le jeton en cours est insuffisant, et il y a alors demande d'élévation de
privilèges (signifiée, par défaut, par une boite de dialogue).
Si l'utilisateur (du groupe des admins) est d'accord, il y a alors
utilisation du 1er jeton (celui d'administrateur), si bien que le processus
peut se poursuivre.
Dès que le processus est terminé, le jeton "admin" est remis au placard, et
c'est le jeton "lambda" qui est à nouveau actif.

Ce qui explique que (sous Vista, car sous Win7 ça s'est amélioré) on est
sans arrêt sollicité par cette boite de dialogue d'élévation de privilèges,
ce qui a "hérissé le poil" de bon nombre d'utilisateurs (dont je fais
partie, avec Michel Claveau, "Le Claude", ...!)

Quant au compte "Administrateur" (créé automatiquement à l'installation de
Windows, non supprimable, de SID se terminant par 500), il ne possède QU'UN
SEUL JETON : celui d'administrateur.
Donc par défaut, si on ouvre une session sous ce compte (et LUI SEUL!), et
s'il a été activé (par défaut il est désactivé), on ne sera pas soumis aux
élévations de privilèges. Par contre on travaille sans filet ! ;-)

Si on est très "maso" et/ou "pervers" (;-)), on peut faire en sorte que le
compte "Administrateur" soit soumis aux mêmes règles que les autres comptes
admins.
Pour cela, il suffit d'attribuer la valeur 1 à la clef :
HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystemFilterAdmini­stratorToken

Donc pour en revenir au début, quand on clique sur "exécuter comme
administrateur", cela revient à demander l'utilisation du jeton "Admin" du
compte en cours. Et si ce compte ne fait pas partie du groupe des admins, il
faudra alors saisir :
- un nom de compte admin
(le compte "Administrateur" ou un autre, peu importe)
- son mot de passe associé.

Si on utilise le compte "Administrateur", il faudra bien, sûr qu'il soit
activé
Pour cela, exécuter la commande suivante sous un compte admin :
NET USER Administrateur /ACTIVE:YES)

===================================================================




--
May the Force be with You!
La Connaissance s'accroît quand on la partage
----------------------------------------------------------
Jean-Claude BELLAMY [MVP]
http://www.bellamyjc.org ou http://jc.bellamy.free.fr
DuboisP
Le #21433761
Le Wed, 24 Mar 2010 08:41:53 +0100, JKB

Comme le dit DuboisP, on peut faire des c... mais qui plus est, on ouvre
la porte aux spywares et autres chevaux de Troie alors qu'un compte
restreint ne donne pas cet accès donc:

Utiliser le compte administrateur (quel qu'il soit) pour configurer la
machine, puis utiliser un compte restreint



Avec la restriction qui fait qu'un certain nombre de softs ne
tourne correctement qu'en administrateur. C'est très pratique...

JKB




pour les spywares et autres troyens, il existe d'autres moyens que
l'utilisation d'un compte limité, pour les éviter.
même mon gamin tourne en compte admin sur son Windows XP, mais il sait
qu'il ne pas cliquer n'importe quoi, il y a un antivirus,
et la machine est derrière le pare-feu.

ils ont devenus très rares.
le dernier qui a voulu me faire le tour s'est contenté de se voir rajouter
quelques permissions sur des clés de registre.

et pourtant, dieu sait que pour tous les logiciels "scientifiques", les
éditeurs pensent souvent que l'utilisateur a tous les droits.

--
Utilisant le client e-mail révolutionnaire d'Opera :
http://www.opera.com/mail/
Publicité
Poster une réponse
Anonyme