TL;DR : Microsoft a découvert
sudo, a mis un peu de Windows Hello dessus, a renommĂ© le tout âAdministrator Protectionâ, et te le vend maintenant comme une rĂ©volution en cybersĂ©curitĂ©. Accrochez-vous, ça va sudoer sec.
đŒïž Le pitch : une rĂ©volution. ParaĂźt-il.
La build 27718 de Windows 11 (Canary) introduit une ânouvelleâ fonctionnalitĂ© baptisĂ©e Administrator Protection. Microsoft, dans un grand moment dâinspiration marketing, annonce :
« Avec cette nouvelle approche de la gestion des privilÚges, nous renforçons considérablement la posture de sécurité des endpoints Windows. »
Traduction : on a enfin trouvĂ© comment faire comme Linux, 20 ans aprĂšs, mais Ă la sauce boursouflĂ©e et tĂ©lĂ©mĂ©trĂ©e. Parce quâĂ©videmment, ce nâest pas sudo, câest beaucoup mieux. Câest Microsoft.
đ§Ș En fait, câest quoi ce truc ?
Le principe dâAdministrator Protection est simple :
- Les comptes non-admins peuvent désormais exécuter des tùches avec élévation juste-à -temps, via un compte admin temporaire caché (le SMAA : System Managed Administrator Account).
- Ce compte nâa pas de session utilisateur ni de profil partagĂ©. Il est invoquĂ© comme un sort magique, puis dĂ©truit.
- LâĂ©lĂ©vation nĂ©cessite une validation Windows Hello (ou PIN, ou tout ce que Microsoft pourra contrĂŽler).
En gros, tâas plus de session admin permanente. Quand tu veux faire un truc âsensibleâ, tu passes par une Ă©lĂ©vation contrĂŽlĂ©e et loguĂ©e, mais sans avoir besoin dâun compte admin dĂ©diĂ©.
Ăa te rappelle quelque chose ?
Ben oui, câest sudo. Sauf quâici, faut du TPM, Hello, une build Insider et le consentement des dieux dâIntune.
𧏠Le syndrome Apple : tout réinventer en mieux (selon eux)
Comme chez Apple, Microsoft te vend un truc vieux comme le monde comme étant une avancée monumentale.
Sauf quâĂ la diffĂ©rence dâApple, Microsoft nâa mĂȘme pas pris la peine de rendre ça simple ou open. Non non :
- Il te faut une build Canary, bien instable ;
- Des GPO ou des configs Intune pour lâactiver proprement ;
- Et une bonne dose de documentation opaque, comme toujours.
Et bien sûr, impossible de configurer finement les commandes autorisées. Pas de /etc/sudoers. Pas de journalisation CLI lisible. Et surtout, pas de scriptabilité simple.
Câest la magie Windows : te donner une fonctionnalitĂ© presque utile, mais toujours limitĂ©e par design.
𧚠Une réponse à un problÚme que Microsoft a créé
Pourquoi cette feature existe-t-elle ? Parce que Microsoft a laissé pendant 20 ans des utilisateurs se balader avec des droits admin permanents.
- LâUAC ? Une blague. Contournable. BridĂ©.
- Le token admin persistant ? Un rĂȘve pour les malwares.
- Les comptes locaux admin en entreprise ? Un cauchemar en gestion de flotte.
Alors aujourdâhui, Redmond tente de rattraper le tir avec une solution bricolĂ©e façon rustine post-NIS2, habillĂ©e comme une innovation.
đ€Š Et le dĂ©veloppeur dans tout ça ?
Bonne nouvelle ! Si tu es dev, tu pourras :
- Ne plus jamais auto-élever ton application sans consentement explicite ;
- Voir tes outils refuser de fonctionner sans Windows Hello ;
- Et bien sĂ»r, te retrouver coincĂ© parce que ton script PowerShell âadminâ a besoin de 3 clics et dâun scan de ton visage pour fonctionner.
Tout ça pour empĂȘcher 1% dâusages malveillants, tout en emmerdant 99% des sysadmins qui bossent.
𧟠Verdict : sudo en version TPM 2.0
Alors oui, ça va un peu améliorer la sécurité. Oui, le modÚle JIT est mieux que les droits admin persistants. Oui, le principe du moindre privilÚge est enfin respecté.
Mais faut-il applaudir ? Franchement non.
Parce que :
- Câest trop tard,
- Trop verrouillé,
- Et trop Microsoftâą.
𧻠Conclusion
Bienvenue dans lâĂšre du sudo sous Windows, version Hello, GPO et bullshit marketing.
La prochaine fois, ils vont sĂ»rement dĂ©couvrir cron et nous le vendre comme âAutomated Scheduled Execution Frameworkâąâ avec support Azure, bien sĂ»r.
En attendant, les utilisateurs Linux continueront Ă faire :
bash sudo apt update && sudo apt upgrade
âŠsans Hello, sans pop-up, sans drama. Et avec un peu plus de dignitĂ©.
