Le paysage des menaces
Les outils de bureau à distance sont des cibles de grande valeur pour les attaquants. Quiconque prend le contrôle d'une session distante a :
- Accès à tout ce que l'utilisateur connecté à l'appareil hôte voit + peut faire
- La possibilité d'installer des logiciels malveillants
- La possibilité de se déplacer latéralement dans le réseau
Les attaques les plus fréquentes en 2025/2026 :
- Credential stuffing sur le portail web de l'éditeur
- Phishing pour l'ID de session + PIN (souvent via tech-support scam)
- Vol de jeton sur un appareil compromis
- Man-in-the-middle en cas de configuration TLS faible
Sept couches qu'un bon outil doit avoir
1. Chiffrement bout-en-bout par session
Chaque session reçoit une clé AES-256 éphémère via ECDH (P-256). La clé est supprimée après la session. Même l'éditeur ne peut pas déchiffrer les sessions a posteriori, même sous contrainte.
2. Jetons d'appareil liés au matériel
Le jeton qui authentifie l'appareil chez l'éditeur doit être chiffré matériellement :
- Windows : TPM 2.0
- macOS Apple Silicon : Secure Enclave
- Linux : TPM 2.0 + tpm2-tools
Un fichier de jeton volé sur une autre machine est alors inutilisable.
3. Authentification multi-facteurs pour les comptes
TOTP (app authenticator) ou passkey (FIDO2/WebAuthn) doivent être obligatoires pour les rôles admin, recommandés pour tous. Pas de mot de passe seul.
4. Authentification fraîche pour les actions sensibles
Révoquer un appareil, changer un rôle, annuler l'abonnement → re-confirmation password ou passkey avec fenêtre de fraîcheur courte (p.ex. 10 min). Empêche qu'une session compromise exécute ces actions sans qu'on s'en rende compte.
5. Audit trail par défaut
Enregistrement immuable des connexions, transferts de fichiers et changements de permissions. Filtre par utilisateur + période. En cas de suspicion d'incident : reconstruction forensique possible.
6. Indicateurs anti-tech-scam
Une bannière à l'appareil hôte qui visualise : « Connexion active avec [nom]. » Plus une option pour déconnecter d'un clic. Empêche l'utilisateur final « d'oublier » la session lorsque l'attaquant la maintient en arrière-plan.
7. Rate-limiting sur l'ID de session
En cas de brute-force sur ID + PIN : après X tentatives échouées l'ID est invalidé, une nouvelle session doit être générée. Empêche les attaquants d'épuiser le PIN à 6 chiffres.
Checklist setup pratique pour prestataires IT
□ Plan Pro souscrit (audit trail activé)
□ Rôle Admin : 2FA obligatoire (passkey préféré)
□ Rôles Supporter : 2FA recommandé, notification login par e-mail
□ Rôle lecture seule pour juniors sans droits d'intervention
□ Jetons matériels activés sur chaque hôte
□ Historique de session vérifié hebdomadairement (anomalies ?)
□ DPA standard signé avec chaque client
□ Procédure d'urgence documentée : jeton compromis → révocation → nouveau
□ Méthode MFA de secours configurée (codes de récupération physiques sécurisés)
Ce à quoi prêter attention chez un éditeur
- L'éditeur peut-il voir les clés ? Bout-en-bout = non.
- Où sont les serveurs ? Idéal : Suisse/UE.
- Quelles certifications de conformité ? Audit est un plus, ISO 27001 idéal.
- Comment l'amélioration incrémentale fonctionne ? Bug bounty ? Politique de divulgation CVE ? Avis de sécurité ?
- Que se passe-t-il en cas de faillite éditeur ? Peux-tu continuer à accéder, ou les données disparaissent ?
Concrètement chez WinDesk
- AES-256-GCM + ECDH P-256 par session
- Connexion de l'hôte liée à la puce de sécurité, lorsqu'elle existe (TPM sous Windows et Linux, Secure Enclave sur Mac)
- 2FA obligatoire pour admin, support passkey pour tous
- Actions sensibles : re-auth fraîcheur 10 min
- Journal des sessions, des associations et des changements de rôle
- Anti-scam : indicateur « Assistance à distance active » au bord de l'écran de l'hôte, avec la durée de la connexion (réductible, mais pas masquable)
- Ni audit de sécurité externe ni test d'intrusion — nous le disons ouvertement plutôt que d'annoncer une date
- Rapports de bugs à security@windesk.ch ; politique CVE honnête