Microsoft met en route un service d'analyse gratuit pour vérifier les protections Meltdown et Spectre sous Windows. Windows Analytics peut notamment vérifier si les mises à jour qui permettent d’empêcher des attaques exploitant les vulnérabilités Meltdown et Spectre affectant la plupart des processeurs, ont bien été appliquées. C’est Terry Myerson, le vice-président Windows & Devices Group de Microsoft qui a annoncé mardi les fonctionnalités Upgrade Readiness. Selon lui, ces vulnérabilités, découvertes et révélées à l’éditeur au milieu de l'année 2017 par les chercheurs en sécurité de Google, sont un « défi pour tous les acteurs de l’industrie », car elles se trouvent dans le silicium et non dans les logiciels. « Nous avons doté notre service d'analyse Windows Analytics de nouvelles fonctions gratuites qui permettent aux professionnels de l’IT de connaître l'état de sécurité de tous leurs périphériques Windows », a écrit le dirigeant dans un blog de l’entreprise.

Windows Analytics comporte trois services distincts : Upgrade Readiness, Update Compliance et Device Heath. Tous trois effectuent des analyses à partir des données collectées par Microsoft sur les PC sous Windows. Le service Windows Analytics est offert aux entreprises disposant de la licence Windows Enterprise, ce qui signifie qu’il n’est disponible que pour les clients de cette version. De plus, les analyses ne concernent que les périphériques tournant avec une version Entreprise SKU comme Windows 7 Enterprise ou Windows 10 Enterprise. Désormais, le service Upgrade Readiness inclut le scan des protections Meltdown et Spectre sur les PC sous Windows 7 et Windows 8.1, les plus susceptibles d'accepter une mise à niveau vers Windows 10. Il peut également identifier les systèmes Windows 10 qui ont les meilleures chances d’adopter les prochaines mises à jour 1803 ou 1809 prévues cette année.

Des antivirus désormais incontournables 

À noter que Upgrade Readiness est le seul service de Windows Analytics à utiliser des données collectées à partir d'autres versions que Windows 10. Par ailleurs, Upgrade Readiness pourra indiquer aux administrateurs IT si le logiciel antivirus d'un PC est compatible avec les mises à jour Windows livrées le mois dernier par Microsoft pour mieux protéger l'OS contre les exploits Meltdown et Spectre. Fait sans précédent : Microsoft a demandé à ses clients d’avoir un logiciel antivirus à jour sur leurs PC avant de livrer les mises à jour de sécurité critiques pour bloquer les exploits Meltdown/Spectre potentiels. Pour les entreprises qui n'ont pas encore appliqué les mises à jour de sécurité Meltdown/Spectre de Windows, ces informations sur le déploiement de leur antivirus seront inestimables. Désormais, Upgrade Readiness pourra aussi identifier les systèmes qui ont installé avec succès les mises à jour Meltdown/Spectre de Windows, ainsi que les PC sur lesquels la mise à jour a été désactivée - une mesure temporaire disponible pour les services IT - plus des informations sur les mises à jour de firmware livrées par Intel.

Le service Upgrade Readiness de Windows Analytics, permet de savoir si des PC sous Windows 7, 8.1 et 10 ont effectué avec succès le processus de mise à jour destiné à atténuer les vulnérabilités Meltdown et Spectre. (Crédit : Microsoft)

Parce que les vulnérabilités Meltdown/Spectre sont localisées dans le CPU, les mises à jour du microcode sont la meilleure défense contre des exploits potentiels, mis à part le remplacement pur et simple du processeur par un autre non affecté par ces vulnérabilités. Pour commencer, Upgrade Readiness ne vérifiera que les mises à jour de microcode livrées par Intel, mais Terry Myerson a promis que Microsoft ajouterait « les données processeurs d'autres partenaires au fur et à mesure qu'elles seront disponibles ». Cependant, dans un autre communiqué, Microsoft a reconnu que, malgré l’ajout de cette fonction de scan Meltdown/Spectre dans Upgrade Readiness, les clients doivent s'attendre à trouver beaucoup de cases vides dans les informations fournies par le service. « Il est possible que dans un premier temps, un grand nombre d'états ne soient pas renseignés, déclarés « inconnus » ou « à identifier » », a ainsi averti Zack Dvorak, un gestionnaire de programme de Microsoft, dans un autre article. Ajoutant : « Nous ferons en sorte d'améliorer les données fournies par Upgrade Readiness à mesure que de nouvelles informations seront disponibles ».