Le paysage des menaces
Les outils de bureau à distance sont des cibles de grande valeur pour les attaquants. Quiconque prend le contrôle d’une session distante a :
- Accès à tout ce que l’utilisateur connecté à l’appareil hôte voit + peut faire
- La possibilité d’installer des logiciels malveillants
- La possibilité de se déplacer latéralement dans le réseau
Les attaques les plus fréquentes en 2025/2026 :
- Credential stuffing sur le portail web de l’éditeur
- Phishing pour l’ID de session + PIN (souvent via tech-support scam)
- Vol de jeton sur un appareil compromis
- Man-in-the-middle en cas de configuration TLS faible
Sept couches qu’un bon outil doit avoir
1. Chiffrement bout-en-bout par session
Chaque session reçoit une clé AES-256 éphémère via ECDH (Curve25519). La clé est supprimée après la session. Même l’éditeur ne peut pas déchiffrer les sessions a posteriori, même sous contrainte.
2. Jetons d’appareil liés au matériel
Le jeton qui authentifie l’appareil chez l’éditeur doit être chiffré matériellement :
- Windows : TPM 2.0
- macOS Apple Silicon : Secure Enclave
- Linux : TPM 2.0 + tpm2-tools
Un fichier de jeton volé sur une autre machine est alors inutilisable.
3. Authentification multi-facteurs pour les comptes
TOTP (app authenticator) ou passkey (FIDO2/WebAuthn) doivent être obligatoires pour les rôles admin, recommandés pour tous. Pas de mot de passe seul.
4. Authentification fraîche pour les actions sensibles
Révoquer un appareil, changer un rôle, annuler l’abonnement → re-confirmation password ou passkey avec fenêtre de fraîcheur courte (p.ex. 10 min). Empêche qu’une session compromise exécute ces actions sans qu’on s’en rende compte.
5. Audit trail par défaut
Enregistrement immuable des connexions, transferts de fichiers et changements de permissions. Filtre par utilisateur + période. En cas de suspicion d’incident : reconstruction forensique possible.
6. Indicateurs anti-tech-scam
Une bannière à l’appareil hôte qui visualise : « Connexion active avec [nom]. » Plus une option pour déconnecter d’un clic. Empêche l’utilisateur final « d’oublier » la session lorsque l’attaquant la maintient en arrière-plan.
7. Rate-limiting sur l’ID de session
En cas de brute-force sur ID + PIN : après X tentatives échouées l’ID est invalidé, une nouvelle session doit être générée. Empêche les attaquants d’épuiser le PIN à 6 chiffres.
Checklist setup pratique pour prestataires IT
□ Plan Pro souscrit (audit trail activé)
□ Rôle Admin : 2FA obligatoire (passkey préféré)
□ Rôles Supporter : 2FA recommandé, notification login par e-mail
□ Rôle lecture seule pour juniors sans droits d'intervention
□ Jetons matériels activés sur chaque hôte
□ Historique de session vérifié hebdomadairement (anomalies ?)
□ Intégration webhook au système de tickets (corrélation session ↔ ticket)
□ DPA standard signé avec chaque client
□ Procédure d'urgence documentée : jeton compromis → révocation → nouveau
□ Méthode MFA de secours configurée (codes de récupération physiques sécurisés)Ce à quoi prêter attention chez un éditeur
- L’éditeur peut-il voir les clés ? Bout-en-bout = non.
- Où sont les serveurs ? Idéal : Suisse/UE.
- Quelles certifications de conformité ? Audit est un plus, ISO 27001 idéal.
- Comment l’amélioration incrémentale fonctionne ? Bug bounty ? Politique de divulgation CVE ? Avis de sécurité ?
- Que se passe-t-il en cas de faillite éditeur ? Pouvez-vous continuer à accéder, ou les données disparaissent ?
Concrètement chez WinDesk
- AES-256-GCM + ECDH Curve25519 par session
- Jetons liés TPM/Secure Enclave (Windows + macOS + Linux)
- 2FA obligatoire pour admin, support passkey pour tous
- Actions sensibles : re-auth fraîcheur 10 min
- Audit trail par défaut, export CSV
- Anti-scam : icône tray + toast démarrage + bannière connexion à l’hôte
- Audit de sécurité externe prévu Q4 2026
- Rapports de bugs à security@windesk.ch ; politique CVE honnête