Microsoft a dévoilé Zero Trust DNS, appelé aussi ZTDNS, une nouvelle fonctionnalité destinée à renforcer la sécurité des réseaux grâce au DNS. Elle être intégrée à Windows par la suite. Faisons le point sur cette annonce.
Microsoft veut renforcer l'implémentation et l'utilisation de DNS dans Windows pour qu'il puisse s'aligner sur le modèle de sécurité Zero Trust. Modèle qui implique d'authentifier et de vérifier l'activité du réseau, que ce soit sur le périmètre interne ou externe. Avec Zero Trust DNS, Microsoft veut lutter contre les abus du protocole DNS et offrir une meilleure protection contre les cybermenaces.
ZTDNS va intégrer Windows 11
"ZTDNS sera utile à tout administrateur qui tente d'utiliser les noms de domaine comme identifiant fort du trafic sur le réseau.", précise Microsoft dans son article. Au sein de Windows, ZTDNS va intégrer le client DNS du système d'exploitation ainsi que la plateforme de filtrage Windows (WFP).
Dans la pratique, l'objectif étant de forcer la machine Windows 11 à communiquer uniquement avec des serveurs DNS approuvés et sécurisés, via l'utilisation du DNS-over-HTTPS (DoH) ou DNS-over-TLS (DoT). Ceci permet de s'assurer que les échanges DNS entre la machine et le serveur DNS sont chiffrés.
De plus, la machine ne pourra pas communiquer avec un autre serveur DNS : "Windows bloque tout le trafic IPv4 et IPv6 sortant, à l'exception des connexions aux serveurs DNSainsi que du trafic DHCP, DHCPv6 et NDP nécessaire pour découvrir les informations de connectivité du réseau.", peut-on lire.
La requête DNS sert de validation pour autoriser ou non l'accès à un hôte. ZTDNS permettra de bloquer les flux suspects ou inhabituels. "Lorsque des applications et des services tentent d'envoyer du trafic IPv4 ou IPv6 à une adresse IP qui n'a pas été apprise par ZTDNS (et qui ne figure pas sur la liste des exceptions manuelles), le trafic est bloqué.", précise Microsoft.
Source : Microsoft
Une sélection stricte de serveurs DNS
La liste de "Protective DNS servers", c'est-à-dire de serveurs DNS protégés et de confiance, pourra uniquement contenir des serveurs DNS compatibles DoH ou DoT. Pour mettre au point son mécanisme de sécurité ZTDNS, Microsoft s'est appuyé sur des protocoles existants tout en veillant à l'interopérabilité.
À ce sujet, il est précisé : "Dans tous les cas, le ZTDNS n'introduit pas de nouveaux protocoles de réseau, ce qui en fait une approche interopérable prometteuse pour le verrouillage basé sur les noms de domaine. - Microsoft évoque Windows 11 sur ses différents schémas, mais pour le moment, une éventuelle prise en charge par Windows 10 ou par Windows Server n'est pas évoquée.
Dès à présent, Zero Trust DNS est accessible à certaines personnes dans le cadre d'une préversion privée. Par la suite, Zero Trust DNS devrait être disponible pour les membres du programme Windows Insiders. Pour approfondir le sujet, vous pouvez lire cet article.
TunnelVision, c'est le nom de la nouvelle vulnérabilité et technique d'attaque mise au point par des chercheurs en sécurité et qui permet de détourner le trafic des tunnels VPN ! Voici ce qu'il faut savoir !
Lorsqu'un appareil se connecte à un réseau distant via un tunnel VPN, le trafic réseau de la machine passe par ce tunnel chiffré et sécurité. En fonction de la configuration du VPN, tout le trafic pourra passer par le tunnel VPN (full VPN) ou uniquement certains flux (split VPN).
Par ailleurs, le VPN peut être utilisé pour naviguer sur Internet tout en masquant son adresse IP publique : c'est l'une des "fonctions" des VPN grands publics. C'est ce cas d'usage qui est directement affecté par la technique évoquée dans cet article.
Les chercheurs en sécurité de chez Leviathan Security ont mis en ligne un nouveau rapport au sujet d'une technique d'attaque baptisée TunnelVision. D'après eux, cette technique est exploitable depuis 2002 et elle fonctionnerait avec l'ensemble des solutions VPN.
TunnelVision et l'option DHCP 121
Pour exploiter cette vulnérabilité associée à la référence CVE-2024-3661, un attaquant doit mettre en place une configuration bien particulière sur un serveur DHCP. En effet, il doit configurer l'option DHCP n°121 nommée "Classless static route" et dont l'objectif est de distribuer une ou plusieurs routes statiques supplémentaires au client DHCP, en plus de l'adresse IP, de la passerelle, etc.
Ainsi, l'attaquant peut créer ces routes avec une priorité plus élevée que celles définies par la connexion VPN, et ainsi, détourner le trafic VPN vers la passerelle de son choix. À ce sujet, les chercheurs précisent : "TunnelVision est une technique de fuite de VPN sur le réseau local qui permet à un attaquant de lire, d'interrompre et parfois de modifier le trafic VPN à partir d'une cible sur le réseau local." - L'attaquant doit se situer sur le même réseau local que sa victime, et il doit pouvoir modifier la configuration du serveur DHCP (ou utiliser un serveur Rogue DHCP).
Le fait de détourner le trafic ne semble pas empêcher le tunnel VPN d'être actif et cela n'a pas non plus alerté la fonctionnalité de protection "kill switch" intégrée à certains VPN : "Lors de nos tests, le VPN a toujours continué à signaler qu'il était connecté, et le kill switch n'a jamais été enclenché pour interrompre notre connexion VPN.", peut-on lire.
Quels sont les systèmes impactés ? Comment se protéger ?
Windows, Linux, iOS et MacOS sont des systèmes vulnérables à cette attaque. Android, quant à lui, n'est pas concerné. Pourquoi ? Et bien parce que l'option 121 du DHCP n'est pas prise en charge !
"Nous avons observé une mesure d'atténuation de la part de certains fournisseurs de VPN qui éliminent le trafic vers les interfaces non VPN par le biais de règles de pare-feu.", peut-on lire dans le rapport. La création de règles de pare-feu sur l'appareil local est donc une façon de se protéger de cette attaque. De plus, il peut s'avérer utile d'activer certaines protections comme le DHCP Snooping.
Enfin, sachez que TunnelVision ne dépend pas du protocole VPN utilisé, donc il n'y a pas un protocole à prioriser plus qu'un autre (OpenVPN, IPsec, WireGuard, etc.). Pour approfondir le sujet, vous pouvez consulter cette page sur GitHub.
Vous utilisez des équipements réseau de chez HPE Aruba Networking ? Alors, vous devriez lire cet article avec attention : plusieurs failles de sécurité critiques ont été corrigées dans le système ArubaOS. Voici ce qu'il faut savoir.
Très populaires en entreprise, les équipements HPE Aruba Networking sont affectés par plusieurs failles de sécurité. L'éditeur a corrigé 10 vulnérabilités dans le système ArubaOS, dont 4 failles de sécurité critiques qui méritent une attention particulière. En exploitant ces vulnérabilités, un attaquant pourrait exécuter du code à distance en tant qu'utilisateur privilégié sur l'équipement vulnérable.
Voici la liste des vulnérabilités critiques, toutes associées à un score CVSS de 9.8 sur 10.
CVE-2024-26305
CVE-2024-26304
CVE-2024-33511
CVE-2024-33512
Il s'agit de faiblesses de type "Buffer overflow" exploitables par l'intermédiaire du protocole PAPI. Ceci implique que l'attaquant puisse communiquer avec l'attaquant sur le port 8211 en UDP afin d'envoyer une requête spéciale sur l'interface PAPI (Performance Application Programming Interface).
Aruba : quels sont les produits et versions affectés ?
Aruba Central pour gérer les passerelles WLAN et les passerelles SD-WAN
Les versions suivantes d'ArubaOS sont vulnérables :
ArubaOS 10.5.x.x : 10.5.1.0 et antérieure
ArubaOS 10.4.x.x : 10.4.1.0 et antérieure
ArubaOS 8.11.x.x : 8.11.2.1 et antérieure
ArubaOS 8.10.x.x : 8.10.0.10 et antérieure
Il est également précisé que certaines versions vulnérables ne sont plus prises en charge et qu'elles ne recevront pas de mises à jour de sécurité. Voici la liste des versions en question :
ArubaOS 10.3.x.x
ArubaOS 8.9.x.x
ArubaOS 8.8.x.x
ArubaOS 8.7.x.x
ArubaOS 8.6.x.x
ArubaOS 6.5.4.x
SD-WAN 8.7.0.0-2.3.0.x
SD-WAN 8.6.0.4-2.2.x.x
Comment se protéger ?
Pour se protéger de ces vulnérabilités, le système ArubaOS doit être mis à jour vers une version qui contient les correctifs de sécurité. Voici les versions à installer pour vous protéger :
ArubaOS 10.6.x.x : 10.6.0.0 et supérieur
ArubaOS 10.5.x.x : 10.5.1.1 et supérieur
ArubaOS 10.4.x.x : 10.4.1.1 et supérieur
ArubaOS 8.11.x.x : 8.11.2.2 et supérieur
ArubaOS 8.10.x.x : 8.10.0.11 et supérieur
Sur ArubaOS 8.X, il existe une solution alternative autre que le patch de sécurité. Elle consiste à configurer la fonction de sécurité "Enhanced PAPI" pour ne pas utiliser la clé par défaut.
Pour le moment, rien n'indique que ces vulnérabilités soient exploitées dans le cadre de cyberattaques.
Dans ce tutoriel, nous allons apprendre à déployer la suite Microsoft 365 Apps sur des appareils Windows 10 et Windows 11 à l'aide de la solution Intune. Ceci va permettre d'installer les applications de la suite Office sur les machines des utilisateurs : Word, Outlook, Excel, PowerPoint, Access, etc... Et même Visio et Project, si vous avez besoin et que vous disposez des abonnements adaptés.
Nous allons voir que Microsoft a tout prévu pour faciliter le déploiement de la suite Microsoft 365 Apps à partir d'Intune. Vous n'aurez qu'à vous laisser guider par ce tutoriel pour atteindre votre objectif final : automatiser le déploiement des applications Office sur vos PC Windows.
D'autres articles sur le sujet du déploiement d'applications avec Intune sont disponibles sur notre site :
Commençons par évoquer les prérequis nécessaires pour suivre ce tutoriel.
Système d'exploitation des appareils Windows : Windows 10 version 1703 (ou supérieure) ou Windows 11
Des abonnements Microsoft 365 avec les applications Microsoft 365 Apps intégrées : Business Standard, Business Premium, E3, E5, etc.
Des appareils inscrits dans Entra ID et Intune : Join et Hybrid Join
Plusieurs déploiements Microsoft 365 Apps ne sont pas pris en charge. Un seul déploiement sera distribué à l’appareil (donc attention à l'affectation de la stratégie, notamment si vous créez plusieurs stratégies pour cette même application).
Bien entendu, vous devez aussi disposer d'une licence Microsoft Intune : le "Plan 1" de base sera suffisant.
III. Déployer les applications Microsoft 365 Apps avec Intune
Commencez par vous connecter au Centre d'administration Microsoft Intune.
Une fois connecté au portail Intune, suivez ce chemin :
1 - Cliquez sur "Applications" sur la gauche puis sur "Windows".
2 - Cliquez sur le bouton "Ajouter".
3 - Choisissez la valeur "Windows 10 et ultérieur" sous "Applications Microsoft 365" car Microsoft a créé un type d'application spécifique pour faciliter le déploiement de Microsoft 365 Apps.
Cliquez sur le bouton "Sélectionner" pour valider.
Un assistant s'exécute. Il va vous permettre de personnaliser le déploiement de la suite Microsoft 365 Apps. Vous devez commencer par définir les informations globales sur l'application. J'attire votre attention sur ces options :
Nom de la suite : vous pouvez corriger la valeur afin d'indiquer "Microsoft 365 Apps pour Windows".
Catégorie : choisissez la catégorie que vous souhaitez, même si "Productivité" qui est présélectionné me semble adapté.
Afficher ceci en tant qu'application à la une dans le Portail d'entreprise : choisissez "Oui" si vous désirez que cette application soit visible dans l'application Portail d'entreprise (voir ce tutoriel à ce sujet), ce qui sera utile si vous voulez mettre à disposition cette application en libre-service.
Cliquez sur "Suivant". Éventuellement, vous pouvez modifier les autres valeurs, selon vos besoins.
L'étape "Configurer la suite d'applications" se présente à vous. Vous avez le choix entre deux formats pour les paramètres de configuration :
Concepteur de configuration : utiliser les paramètres de configuration proposés par l'interface Intune, c'est ce que nous allons faire.
Entrer des données XML : ceci permet d'avoir une zone de saisie dans laquelle vous pouvez coller le code XML obtenu à l'aide de l'outil "Office Deployment Tool (ODT)", afin de personnaliser la configuration d'Office.
Le fait de choisir "Concepteur de configuration" donne accès à différentes options. Tout d'abord, nous pouvons choisir les applications Office que nous souhaitons installer. Dans cet exemple, seules 5 applications seront installées : Excel, Outlook, PowerPoint, Teams et Word. Via l'option "Sélectionner d'autres applications Office (licence obligatoire)", vous pouvez ajouter Visio et/ou Project, en supplément.
Puis, nous devons sélectionner le type d'architecture, ici "64 bits" sera sélectionné. Aujourd'hui, la quasi-majorité des machines utilisent une architecture 64 bits. De plus, vous devez choisir :
Le format de fichier par défaut : le format "Office Open XML Format" correspond au format officiel de la suite Office.
Canal de mise à jour : permet d'indiquer sur quel canal de mise à jour, vous souhaitez "vous brancher" pour recevoir les mises à jour. Pour la production, je vous recommande : "Canal d'entreprise mensuel" ou "Canal Entreprise semi-annuel". Dans les deux cas, vous bénéficiez chaque mois des correctifs pour la sécurité et la résolution de bugs. Avec le "Canal d'entreprise mensuel", vous avez accès aux nouvelles fonctionnalités tous les mois, tandis qu'avec le "Canal Entreprise semi-annuel", vous avez accès aux nouvelles fonctionnalités deux fois par an (tous les 6 mois, environ).
En complément, voici d'autres options à configurer :
Supprimer les autres versions : sélectionnez "Oui" pour que les autres versions de Microsoft Office soient automatiquement supprimées.
Version à installer / version spécifique : vous pouvez sélectionner une version spécifique à installer, ou tout simplement déployer la dernière en date (vis-à-vis du canal sélectionné).
Utiliser l'activation de l'ordinateur partagé : ceci est utile lorsque plusieurs utilisateurs utilisent le même ordinateur, afin d'éviter qu'une activation soit décomptée sur le compte de l'utilisateur (voir cet article pour cette notion : Microsoft Office - Shared computers). Sélectionnez "Non", sauf si vous avez un besoin spécifique.
Accepter les termes du contrat de licence.... : choisissez "Oui" pour ne pas être perturbé par cette étape lors du premier lancement d'une application Office.
Langues : par défaut, Office va se caler sur la langue du système, mais vous pouvez ajouter un ou plusieurs langues supplémentaires si vous le souhaitez.
Quand c'est bon pour vous, poursuivez.
L'étape "Affectations" se présente à l'écran. Il s'agit de l'étape habituelle pour affecter la stratégie à un ou plusieurs groupes. Ici, l'application Microsoft 365 Apps sera obligatoire pour les appareils membres du groupe "PC_Windows" donc elle sera installée automatiquement.
Poursuivez, vérifiez votre configuration et validez la création de la stratégie.
IV. Tester sur un appareil
Désormais, la stratégie doit être testée sur un appareil qui rentre dans le périmètre de celle-ci. Après synchronisation, la suite Microsoft 365 Apps est correctement déployée par l'intermédiaire du composant Intune Management Extension.
Les applications ne seront pas épinglées dans le menu Démarrer, mais elles sont visibles dans la liste de toutes les applications.
En parallèle, le déploiement de l'application peut être suivi à l'aide du portail Intune.
V. Conclusion
En suivant ce tutoriel pas à pas, vous devriez être en mesure de déployer la suite Microsoft 365 Apps sur vos appareils Windows ! Microsoft a fait le nécessaire pour rendre le déploiement des applications Microsoft Office relativement simplement, et nous n'allons pas nous plaindre.
Pour obtenir des informations supplémentaires et prendre connaissances des "problèmes connus" relatifs à ce déploiement, consultez la documentation de Microsoft :
Il y a un véritable match entre les autorités et les cybercriminels de LockBit ! Alors le groupe de ransomware a relancé ses activités malveillantes ces dernières semaines, leur site a été remis en ligne avec un message intrigant par les membres de l'opération Cronos ! Faisons le point.
Publication des données de l'Hôpital Simone Veil de Cannes
Ce leak contient 61 Go de données, dont des informations sensibles et personnelles, des cartes d'identité, des RIB et des bulletins de salaire. La direction de l'Hôpital Simone Veil a confirmé qu'il s'agissait bien des données du centre.
La suite de l'opération Cronos
Mais, ces dernières heures, il y a eu un nouveau rebondissement dans l’affaire Lockbit : la suite de l'opération Cronos. Souvenez-vous, en février dernier, une opération internationale, surnommée Opération Cronos, a été menée par les forces de l'ordre et organismes de 11 pays. D'ailleurs, la France a participé par l'intermédiaire de la Gendarmerie Nationale, tandis qu'il y a également eu une participation du FBI, l'Allemagne, le Japon, la Suède, le Canada, ou encore la Suisse.
Les autorités étaient parvenues à mettre à l'arrêt un total de 34 serveurs de LockBit et récupérer des données cruciales. Ceci avait permis la création d'un outil de déchiffrement pour permettre aux victimes de récupérer leurs données sans payer la rançon.
Le site vitrine de LockBit avait été remplacé par une page mise en ligne par les forces de l'ordre suite à cette opération. Depuis quelques heures, cette page est de retour, ce qui pourrait correspondre à la suite de l'opération Cronos.
Source : cybernews.com
Les autorités ont repris le principe du compte à rebours utilisé par les pirates pour indiquer que le 7 mai 2024 à 14:00 UTC, ils dévoileront l'identité du chef LockBitSupps et des autres membres de LockBit. Autrement dit, nous aurions enfin la réponse à cette question à 10 millions de dollars : qui se cache derrière le pseudo LockBitSupps ?
Pour le moment, tout cela est à prendre avec précautions puisque les forces de l'ordre n'ont pas communiqué sur le sujet. Les prochaines heures nous permettront surement d'en savoir plus... Peut-être d'ailleurs par l'intermédiaire du compte VX-underground sur X. D'après ce compte, un membre de LockBit a indiqué que tout cela était des mensonges... Les autorités ont-elles de nouvelles informations ou cherchent-elles à déstabiliser le groupe LockBit en lui mettant la pression ? À suivre...
Microsoft a dévoilé TypeSpec, un nouveau langage de programmation pour le développement d'API ! Il offre une approche moderne et devrait permettre aux développeurs de créer une API plus efficacement. Faisons le point.
Pour mettre au point TypeSpec, Microsoft s'est inspiré de C# ainsi que de son son langage de programmation open source TypeScript. L'objectif étant de proposer aux développeurs un langage moderne pour la création d'API, à l'heure où elles sont de plus en plus présentes et adoptées par les entreprises.
TypeSpec prend en charge les différents formats de sérialisation, dont le YAML. Ils sont familiers à de nombreux développeurs et professionnels de l'informatique, ce qui facilitera la compréhension des fichiers de configuration. De plus, la compilation de l'API pourra être effectuée en respectant plusieurs normes : OpenAPI 3.0, JSON Schema 2020-12 et Protobuf.
Microsoft utilise déjà le langage TypeSpec en interne, notamment pour certains services Azure, mais aussi pour le développement de Microsoft Graph. "En exploitant la puissance de TypeSpec, l'équipe Microsoft Graph a révolutionné le développement d'API au sein de Microsoft. Cette collaboration a permis d'améliorer la productivité et de simplifier la personnalisation, soulignant ainsi le potentiel de TypeSpec.", peut-on lire sur le blog officiel de TypeSpec.
La firme de Redmond invite les développeurs à rejoindre la communauté TypeSpec, notamment pour qu'il y ait de l'entraide, mais aussi pour remonter d'éventuels bugs et pouvoir faire des feedbacks à Microsoft. "Vos commentaires sont précieux pour façonner l'avenir de TypeSpec", précise l'entreprise américaine.
Comment utiliser TypeSpec ?
Ce nouveau langage est pris en charge par deux applications de Microsoft : l'éditeur de code Visual Studio Code et l'IDE Visual Studio. Ceci est utile pour bénéficier de certaines fonctions dont la coloration syntaxique et l'autocomplétion.
Pour commencer à jouer avec TypeSpec, vous pouvez accéder au site officiel typespec.io, car il regroupe à la fois la documentation et un playground pour commencer à manipuler ce langage.
Les passkeys, ou clés d'accès, sont désormais prises en charge par Microsoft pour s'authentifier à son compte personnel Microsoft. De plus, la prise en charge des passkeys a été introduite au service de gestion des identités Entra ID. Faisons le point.
Au fil des mois, de plus en plus d'éditeurs et services ajoutent la prise en charge des passkeys pour l'authentification à son compte. Nous pouvons citer Google, Amazon, Apple, Proton, ou encore WhatsApp. Microsoft était déjà sur le coup, et à l'occasion de la Journée mondiale des mots de passe, l'entreprise américaine a annoncé avoir étendu la prise en charge des passkeys.
De quoi mettre de côté le traditionnel mot de passe associé à l'authentification multifacteur. Cette méthode d'authentification dite "passwordless" s'appuie sur des clés générées en local sur l'appareil. Ensuite, l'authentification s'effectue à l'aide d'un code PIN, d'une clé matérielle, du capteur d'empreinte biométrique ou de la reconnaissance faciale.
Une fois configurée sur votre compte Microsoft, cette méthode d'authentification pourra être utilisée pour vous connecter aux différents services de Microsoft, dont Outlook, OneDrive, Xbox Live, ou encore Copilot. Précédemment, la firme de Redmond avait ajouté la prise en charge des passkeys à son système d'exploitation Windows 11, afin que cela puisse être utilisé sur les sites web et services qui le prennent en charge.
Comment configurer une passkey sur son compte Microsoft ?
Une fois que c'est en place, vous pouvez vous authentifier grâce à cette nouvelle d'authentification comme le montre les images ci-dessous :
Source : Microsoft
En principe, une clé d'accès devrait être créée sur un appareil et ne pas être partagée d'un appareil à un autre, mais Microsoft propose la synchronisation des passkeys pour le côté pratique : "Les passkeys peuvent également être synchronisés entre vos appareils. Ainsi, si vous perdez ou mettez à jour votre appareil, vos passkeys seront prêts et vous attendront lorsque vous configurerez votre nouvel appareil.", précise Microsoft.
Par ailleurs, la documentation de Microsoft précise que les systèmes suivants sont pris en charge :
Windows 10 et versions ultérieures.
macOS Ventura et versions ultérieures.
ChromeOS 109 et versions ultérieures.
iOS 16 et versions ultérieures.
Android 9 et versions ultérieures.
Il est également précisé que les clés de sécurité matérielles qui prennent en charge le protocole FIDO2 sont supportées.
La prise en charge des passkeys dans Microsoft Entra ID
Pour les utilisateurs professionnels, Microsoft a ajouté la prise en charge des passkeys à son service Entra ID (Azure AD) en s'appuyant sur son application Microsoft Authenticator, disponible sur Android et iOS. Là encore, Microsoft propose d'utiliser des passkeys synchronisées ou liées à l'appareil.
Dans ce tutoriel, nous allons apprendre à synchroniser manuellement un appareil Windows inscrit dans Microsoft Intune. Cette manipulation peut s'avérer utile si vous venez de créer une nouvelle stratégie sur Intune et que vous souhaitez vérifier son bon fonctionnement, sans avoir à attendre. Ceci peut être pratique également en phase de dépannage sur un appareil Windows (stratégie non redescendue, stratégie en erreur, etc.).
Si vous avez l'habitude de travailler avec un Active Directory et les stratégies de groupe, vous recherchez surement un équivalent à la célèbre commande "gpupdate". À l'heure actuelle, cette commande n'existe pas pour Intune, à moins d'utiliser PowerShell mais cela implique de s'appuyer sur le module Microsoft Graph.
Dans cet article, nous allons étudier différentes possibilités, que ce soit depuis l'appareil à synchroniser en lui-même ou à partir du Centre d'administration Intune. Ceci nous donnera aussi l'occasion d'évoquer les cycles de synchronisation par défaut d'Intune, pour Windows et les autres OS pris en charge.
II. Les cycles de synchronisation Intune
Le cycle d'actualisation ou fréquence d'actualisation par défaut pour les appareils inscrits sur Intune, et peu importe le système d'exploitation, est de 8 heures. Cela signifie que lorsqu'une nouvelle stratégie est créée, elle peut mettre jusqu'à 8 heures à "redescendre" sur les appareils.
Voici un tableau récapitulatif :
Plateforme
Fréquence d'actualisation
Android, AOSP
Environ toutes les 8 heures
iOS/iPadOS
Environ toutes les 8 heures
macOS
Environ toutes les 8 heures
Windows 10/11
Environ toutes les 8 heures
Windows 8.1
Environ toutes les 8 heures
Néanmoins, lorsqu'un appareil vient de s'inscrire dans Intune, la fréquence d'actualisation est un peu différente. Il y aura des synchronisations rapprochées au départ, comme le montre le tableau ci-dessous.
Plateforme
Fréquence d'actualisation
Android, AOSP
Toutes les 3 minutes pendant 15 minutes, ensuite toutes les 15 minutes pendant 2 heures, et ensuite environ toutes les 8 heures.
iOS/iPadOS
Toutes les 15 minutes pendant 1 heure, et ensuite environ toutes les 8 heures.
macOS
Toutes les 15 minutes pendant 1 heure, et ensuite environ toutes les 8 heures.
Windows 10/11
Toutes les 3 minutes pendant 15 minutes, ensuite toutes les 15 minutes pendant 2 heures, et ensuite environ toutes les 8 heures.
Windows 8.1
Toutes les 3 minutes pendant 15 minutes, ensuite toutes les 15 minutes pendant 2 heures, et ensuite environ toutes les 8 heures.
Les informations présentées dans les tableaux ci-dessus sont issues de la documentation Microsoft :
Certaines actions impliquent une synchronisation "dès que possible", où Intune notifie l'appareil qu'il doit se synchroniser maintenant. Voici ce que l'on peut lire sur cette page de la documentation Microsoft : "Les appareils se connectent à Intune lorsqu'ils reçoivent une notification de connexion ou lors de la connexion programmée. Lorsque vous ciblez un appareil ou un utilisateur avec une action, Intune notifie immédiatement l'appareil pour qu'il s'enregistre et reçoive ces mises à jour. Par exemple, une notification est envoyée lorsqu'une action de verrouillage, de réinitialisation du code d'accès, d'application ou d'attribution de stratégie est exécutée."
Par ailleurs, il n'est pas à exclure qu'il y ait quelques exceptions et des cycles d'actualisation différents sur certaines fonctionnalités spécifiques d'Intune. C'est le cas avec les stratégies d'App Protection comme l'explique cette page.
III. Synchroniser un appareil Windows
Nous allons nous intéresser à différentes façons de synchroniser un appareil Windows, que ce soit depuis l'appareil en lui-même, depuis le Centre d'administration Microsoft Intune ou à l'aide de PowerShell.
A. Synchroniser à partir des paramètres de Windows
La première méthode à connaître, et que nous avons déjà évoqué dans de précédents articles, consiste à utiliser l'interface de gestion des paramètres de Windows.
Ouvrez les "Paramètres" Windows, cliquez sur "Comptes" à gauche, puis sur "Accès Professionnel ou Scolaire". Cliquez sur la flèche (mise en évidence sur l'image ci-dessous), puis sur le bouton "Info".
Une nouvelle page apparaît. Sur celle-ci, vous devez cliquer sur le bouton "Synchroniser". Ceci va permettre de déclencher une synchronisation, et il ne vous reste plus qu'à patienter le temps qu'elle soit effectuée.
B. Synchroniser à partir du Portail d'entreprise
Parmi les fonctionnalités de l'application "Portail d'entreprise" appelée également "Company Portal", il y a la possibilité de lancer une synchronisation sans passer par les paramètres du système Windows. Au sein de cette application, qui doit être au préalable installée sur l'appareil, cliquez sur le bouton des paramètres en bas à gauche (1) afin d'accéder au bouton nommé "Synchroniser" (2). Ceci est facilement accessible par un utilisateur lambda.
Une autre possibilité, c'est d'effectuer un clic droit sur "Portail d'entreprise" dans le menu Démarrer afin de cliquer sur le bouton "Synchroniser cet appareil". Le problème, c'est que cette entrée est visible seulement lorsque l'on effectue un clic droit à partir de la liste de toutes les applications (si l'application est épinglée au menu Démarrer et que l'on passe par ce raccourci, cela n'est pas proposé).
C. Synchroniser un appareil depuis le portail Intune
Désormais, nous allons basculer sur le Centre d'administration Intune puisqu'il intègre deux fonctionnalités permettant de lancer une synchronisation sur un ou plusieurs appareils.
Tout d'abord, quand vous accédez à la liste des "Appareils" et qu'ensuite, vous cliquez sur un appareil dans la liste, vous verrez apparaître un bouton nommé "Synchroniser" dans la "Vue d'ensemble". Il vous suffit de cliquer sur ce bouton.
Une fenêtre de confirmation apparaît, cliquez sur "Oui" et cela va envoyer un signal à la machine pour qu'elle se synchronise.
D. Synchroniser en masse des appareils depuis le portail Intune
Le Centre d'administration Intune vous offre aussi la possibilité d'effectuer des actions en masse sur une sélection d'appareils. La synchronisation fait partie des actions envisageables. Voici la marche à suivre :
1 - Cliquez sur "Appareils" dans le menu de gauche du portail Intune
2 - Cliquez sur "Tous les appareils".
3 - Cliquez sur le bouton "Actions d'appareil en bloc".
Un assistant va s'exécuter. Plusieurs options sont à configurer :
1 - Vous devez commencer par choisir le système d'exploitation, donc prenez "Windows".
2 - Sélectionnez le type d'appareil "Appareils physiques".
3 - Comme type d'action à exécuter, sélectionnez "Synchroniser".
Passez à l'étape suivante. Vous devrez alors cliquer sur "Sélectionner les appareils à inclure" afin de sélectionner un ou plusieurs appareils, dans la limite de 100 appareils (limite actuelle).
Ensuite, poursuivez jusqu'à la fin de la création de la tâche. Une notification au sein d'Intune vous indiquera si la tâche a été lancée, ou non.
E. Synchroniser un appareil avec PowerShell
Avec PowerShell, nous pouvons interagir avec les services Cloud de Microsoft tels qu'Azure et Intune par l'intermédiaire de Microsoft Graph. Il y a un ensemble de modules PowerShell disponibles et à utiliser en fonction des usages. Nous allons voir comment utiliser Microsoft Graph avec PowerShell pour synchroniser un appareil (puis plusieurs appareils).
Commencez par ouvrir une console PowerShell en tant qu'administrateur afin d'installer les modules Microsoft Graph. Vous pouvez tout installer, ou uniquement installer ceux dont vous avez besoin. Peut-être que vous avez déjà ces modules sur votre machine si vous avez l'habitude d'interagir avec les services Microsoft avec PowerShell.
Puis, exécutez la commande suivante pour basculer dans une console PowerShell avec la stratégie d'exécution "RemoteSigned", sinon vous allez obtenir des erreurs par la suite (si vous êtes en "Restricted", par exemple).
powershell.exe -ExecutionPolicy RemoteSigned
Installez tous les modules Microsoft Graph (alternative ci-dessous) :
Install-Module Microsoft.Graph
Si vous préférez limiter l'installation au strict minimum, installez ceci :
Le module "Microsoft.Graph.DeviceManagement" contient le cmdlet "Get-MgDeviceManagementManagedDevice" que nous allons utiliser par la suite pour récupérer des informations sur les appareils.
Le module "Microsoft.Graph.DeviceManagement.Actions" contient le cmdlet "Sync-MgDeviceManagementManagedDevice" que nous allons utiliser pour déclencher une synchronisation sur un appareil.
Ensuite, connectez-vous à Microsoft Graph avec PowerShell. Nous pourrions établir une connexion globale, mais nous allons plutôt limiter notre connexion à certains scopes correspondants à nos besoins. Ceci pour des raisons de sécurité et pour limiter les droits de la session que nous allons initier.
Suite à l'exécution de cette commande, vous êtes invités à vous authentifier auprès de votre tenant Microsoft 365. Puis, vous devez valider la demande d'autorisations émise par l'application Microsoft Graph.
Quand c'est fait, un message doit s'afficher dans la console : "Welcome to Microsoft Graph!". Il signifie en quelque sorte que vous pouvez commencer à interroger Intune à partir de PowerShell, car la connexion est établie.
Commençons par l'exécution d'une première commande qui va retourner la liste de tous vos appareils, aussi bien Windows que les autres plateformes, en retournant les propriétés "DeviceName" et "LastSyncDateTime" qui correspondent respectivement au nom de l'appareil et à sa date de dernière synchronisation. Le paramètre "-All" est important, car si vous avez beaucoup d'appareils, la liste sera incomplète s'il n'est pas précisé.
Si vous souhaitez obtenir ces informations uniquement pour les appareils Windows, vous devez ajouter un filtre sur la propriété "OperatingSystem". Il y a deux façons d'effectuer ce filtre :
Vous devez stocker le résultat du cmdlet "Get-MgDeviceManagementManagedDevice" dans une variable afin de récupérer l'ID de l'appareil à cibler. Dans l'exemple ci-dessous, nous allons ajouter un filtre basé sur l'opérateur "Contains" pour rechercher la machine "PC-ITC-02". C'est sur cette machine que nous souhaitons forcer une synchronisation.
Le résultat est stocké dans la variable "$Target". Elle contient un ensemble de propriétés au sujet de cet appareil, dont la propriété "Id" qui est requise par le cmdlet "Sync-MgDeviceManagementManagedDevice".
Ainsi, voici comment nous allons forcer la synchronisation sur cet appareil :
Cette commande ne retourne pas de résultat dans la console, mais l'ordre de synchronisation sera bien envoyé à l'appareil.
F. Synchroniser plusieurs appareils avec PowerShell
Grâce à l'utilisation de PowerShell, nous allons pouvoir cibler plusieurs appareils et créer des filtres sur-mesure.
Voici un premier exemple pour obtenir la liste de tous les appareils dont le nom commence par "PC-ITC", ce qui permettra de cibler les appareils nommés "PC-ITC-01", "PC-ITC-02", etc.
Voici un second exemple pour obtenir la liste de tous les appareils dont le nom contient la chaine de caractères "ITC" (peu importe si cela est au début, à la fin, au milieu, etc.).
Ensuite, nous pouvons stocker le résultat dans une variable et parcourir la liste d'appareils avec une boucle ForEach dans le but de déclencher une synchronisation sur chaque appareil.
$Targets = Get-MgDeviceManagementManagedDevice -Filter "Startswith(deviceName,'PC-ITC')"
ForEach ($Device in $Targets) {
try {
Sync-MgDeviceManagementManagedDevice -ManagedDeviceId $Device.id -ErrorAction Stop
Write-Host "$($device.DeviceName) - Synchronisation exécutée" -ForegroundColor Green
}
catch {
Write-Host "$($device.DeviceName) - Echec de l'opération avec l'erreur : $($_.Exception.Message)" -ForegroundColor Red
}
}
Pour chaque appareil, il y aura un retour dans la console pour indiquer si la commande "Sync-MgDeviceManagementManagedDevice" s'est exécutée correctement ou non. Attention, ceci n'indique pas réellement le résultat de la synchronisation.
PC-ITC-02 - Synchronisation exécutée
IV. Conclusion
Suite à la lecture de cet article, vous êtes capable de forcer la synchronisation d'un appareil Windows inscrit dans Intune pour qu'il récupère les dernières stratégies qui lui sont affectées !
Il y a deux autres méthodes que j'aurais pu indiquer et qui fonctionnent assez bien. La première, c'est le fait de redémarrer l'appareil Windows, mais ceci est un peu contraignant si un utilisateur travaille sur son ordinateur. La seconde, c'est le fait de redémarrer le service "IntuneManagementExtension" pour une actualisation liée aux applications et aux scripts.
Vous êtes à la recherche d'une station de recharge et vous souhaitez avoir un avis complet sur l'EcoFlow River 2 Pro ? Alors, vous êtes au bon endroit !
Dans cet article, nous allons passer en revue les caractéristiques de l'appareil, ainsi que de son design et l'application officielle EcoFlow. Je vous donnerai aussi mes impressions pour une utilisation au quotidien.
C'est la première fois qu'un test d'un appareil de la marque EcoFlow est publié sur IT-Connect, donc je vais également vous présenter cette entreprise. Créée en 2017 par un groupe d'ingénieurs spécialisés dans les batteries, EcoFlow est une marque chinoise innovante qui propose des stations de charge portables, mais aussi des panneaux solaires et des solutions pour la maison.
"Notre vision est d’alimenter le monde de demain, aujourd’hui. Nous rêvons d’un monde réinventé, porté par l’aspiration d’un futur numérisé, respectueux de l’environnement et partagé par tous."
II. Caractéristiques EcoFlow River 2 Pro
La station de recharge nomade RIVER 2 Pro fait partie de la famille EcoFlow River, au sein de laquelle il y a plusieurs modèles. La famille de produits EcoFlow Delta complète cette gamme de produits. La RIVER 2 Pro est un modèle du milieu de gamme.
Commençons par nous intéresser aux caractéristiques techniques de cette station de recharge :
Capacité : 768 Wh
Type de batterie : LiFePO4
Puissance en sortie : 800 Watts, et jusqu'à 1600 Watts pendant une courte durée avec le mode X-Boost
Sortie courant continu : 12.6V, 10A/3A/3A, 126W Max
Sortie courant alternatif : onde sinusoïdale pure, 800 W au total (surtension 1600 W), 230 V ~ 50 Hz/60 Hz
Sortie USB-A: 5V, 2.4A, 12W Max
Temps de charge : 0 à 100 % en 70 minutes
Durée de vie : 80%+ capacité après 3 000 cycles, soit 10 ans d'utilisation quotidienne
Poids : 7.8 kg
Dimensions : 270 x 260 x 226mm
Garantie : 5 ans par le constructeur
En complément, l'application officielle EcoFlow permet de gérer cet appareil, et les autres de la marque, en temps réel. Ceci offre aussi des capacités de gestion à distance et de nombreuses fonctionnalités, comme nous le verrons dans la suite de cet article.
Au sein de la boite sobrement estampillée "EcoFlow" et donnant un vague aperçu du produit, nous retrouvons la station de recharge parfaitement protégée et calée par un épais bloc de mousse moulé selon la forme de la RIVER. Elle est accompagnée par un guide de démarrage rapide, un câble pour la recharge sur le secteur, un câble pour la recharge sur allume-cigare et un câble de connexion "DC5521".
Sur la façade de la RIVER 2 Pro, nous retrouvons 3 modules distincts : un module avec les prises électriques AC pour la France, un module avec les ports USB et un dernier module avec l'alimentation 12V (allume-cigare et DC). Un bouton on/off permet d'activer ou désactiver l'alimentation des appareils connectés sur 2 des 3 modules d'alimentations. En complément, le bouton central (doré) sert à allumer ou éteindre totalement la RIVER 2 Pro. Il y a peu de boutons, donc le boitier n'est pas trop encombré et la prise en main s'annonce facile.
La façade intègre aussi un écran détaillé et lumineux qui est là pour fournir des informations utiles à l'utilisateur, notamment l'autonomie restante avec un pourcentage et une estimation en minutes ou heures. Le nombre de Watts en entrée et en sortie, est également précisé. Lorsque la batterie est elle-même en charge, l'écran indique le temps restant avant que la batterie soit complètement chargée. Comme nous le verrons par la suite, nous pouvons compter sur l'application mobile pour obtenir des informations supplémentaires.
Une imposante poignée est présente à l'arrière du boitier. Difficile de passer à côté ! Bien qu'elle soit utile pour faciliter le transport de la batterie et avoir une bonne prise en main, elle élargit l'arrière de la batterie, ce qui pourra s'avérer gênant pour la stocker. De plus, elle n'est pratique parce qu'à cause de son positionnement, le poids de la batterie est mal réparti.
Les différents ports et les prises ne sont pas protégés. Ils sont directement accessibles. Les finitions du boitier sont très bonnes et il me semble robuste.
Cette station de recharge est équipée d'un système de gestion de la batterie qui surveille en permanence la tension, le courant et la température. Ceci permet de protéger l'appareil contre la surtension, la surcharge, la surchauffe, le court-circuit, la basse température, la basse tension et la surintensité.
IV. Utilisation au quotidien
Désormais, nous allons évoquer l'utilisation au quotidien de cette station de recharge EcoFlow. Ce sera l'occasion de parler de l'application et de ses fonctionnalités.
A. L'application EcoFlow
L'application officielle s'appelle tout simplement "EcoFlow" et elle est accessible via le Google Play Store ou l'App Store selon votre appareil. Après avoir créé un compte, vous pouvez ajouter un nouvel appareil. À partir du moment où la RIVER 2 Pro est allumée et à proximité du smartphone, il n'y a rien à faire : la détection est immédiate et automatique. C'est appréciable.
La connexion entre votre smartphone équipé de l'application EcoFlow et la station de charge EcoFlow s'effectue au moyen du Wi-Fi ou du Bluetooth. D'ailleurs, le Bluetooth est utilisé pour la connexion initiale et lorsque vous n'êtes pas à votre domicile. Sinon, la RIVER peut se connecter à votre Wi-Fi. La connexion à votre réseau sans-fil doit être effectuée pendant le processus de mise en route afin que la RIVER puisse accéder à Internet et récupérer d'éventuelles mises à jour du firmware.
Au même titre que l'écran de la RIVER, l'application mobile fournie des informations utiles en temps réel, tout en étant plus précise. Pour chaque module d'alimentation, en entrée et en sortie, la RIVER indique la puissance actuelle en Watts. Le pourcentage de batterie est également précisé, tout comme une estimation en heures et la température de l'appareil. Nous pouvons aussi activer ou désactiver à distance les modules d'alimentation, comme avec les boutons physiques.
Au-delà de permettre de partager cet appareil avec un autre utilisateur ou de gérer les mises à jour du firmware, l'application EcoFlow intègre un ensemble de paramètres :
Limiter la vitesse de charge de la batterie
Configurer le courant sur l'entrée allume-cigare : 4A, 6A, 8A
Activer ou désactiver le mode X-Boost
Limiter la charge ou la décharge, pour empêcher la batterie de se charger complète, ou à l'inverse, de se décharger complètement. Par exemple, lorsqu'il reste 10% de batterie, elle peut arrêter de fournir de l'énergie.
Délai de mise en veille de l'appareil s'il est allumé, mais qu'il ne fournit pas d'énergie à un appareil.
Délai de mise en veille de l'écran
Délai de mise en veille de la sortie CA
L'application est bien pensée et elle offre un contrôle plus précis sur sa station de charge. Le fait que la batterie soit équipée du Bluetooth nous permet d'effectuer des réglages depuis n'importe où à condition d'être à proximité de la batterie. J'aimerais tout de même suggérer une amélioration à EcoFlow : l'envoi d'une notification sur le smartphone lorsque la batterie est faible, ou l'émission d'un bip sonore. Actuellement, il n'y a rien pour nous avertir donc si l'on ne surveille pas l'autonomie de la batterie, on peut se faire surprendre.
Remarque : la section "Automatisation" de l'application ne s'applique pas au modèle RIVER 2 Pro.
B. Tests en conditions réelles
Nous pouvons facilement imaginer de nombreux scénarios d'utilisation de cette station de recharge. Par exemple :
- En cas de coupure de courant à son domicile, que ce soit pour alimenter un ordinateur ou un autre appareil (le mode X-Boost sera particulièrement utile dans ce cas).
- En camping, en extérieur ou dans un van aménagé.
- Sur un chantier isolé où il n'y a pas d'électricité, cela peut permettre de connecter une lampe ou encore de recharger les batteries de votre outillage. L'alimentation de certains outils sera possible, mais la puissance en Watts peut être beaucoup trop élevé dans certains cas.
Désormais, nous allons évoquer son utilisation plus précisément.
Panne d'électricité : fournir l'alimentation à un ordinateur fixe avec deux écrans
Pour ce premier scénario, je vais utiliser la RIVER 2 Pro afin de connecter : un ordinateur fixe (avec carte graphique dédiée) et deux écrans Full HD de 27 pouces. Sur cet ordinateur, il y a également des périphériques alimentés par USB : un micro, une webcam et une paire haut-parleurs. L'objectif étant de voir combien de temps, il m'est possible de faire tourner mon setup avec cette RIVER 2 Pro, afin de pallier une éventuelle panne d'électricité. L'ordinateur étant mon outil de travail, il m'est important d'avoir cette solution de secours.
Au bout d'environ 13 minutes d'utilisation, la ventilation s'est activée pendant 2 minutes, avant de s'éteindre. Puis, elle s'est réactivée de façon cyclique et régulière afin de garder le contrôle sur la température de la batterie. Le ventilateur est plutôt bruyant.
Au bout d'une heure d'utilisation, il restait 77 % de batterie, puis au bout de 2 heures, il restait 59 % d'autonomie. Finalement, j'ai pu alimenter mon setup avec la RIVER 2 Pro pendant 4 h 33 avant que la batterie soit épuisée. Autrement dit, elle me permettrait de travailler un peu plus d'une demi-journée !
Ici, inutile d'activer le mode X-Boost, car la puissance totale consommée par les appareils connectés est bien inférieure à 800 watts. Néanmoins, en cas de besoin, nous pourrions activer le mode X-Boost pour que la batterie délivre jusqu'à 1 600 watts, pendant une durée plus courte.
Utilisation en tant qu'UPS
La RIVER 2 Pro peut être utilisée en tant qu'onduleur (UPS) en venant se positionner entre le réseau électrique et vos appareils, grâce à la fonction Pass-Through. Par exemple, la RIVER 2 Pro peut être connectée à la prise électrique murale et l'ordinateur et les deux écrans à la RIVER 2 Pro. Dans ce cas, le courant ne passe pas par l'onduleur, ni même la batterie, et s'il y a une coupure d'électricité, alors elle prendra le relais !
Il y a tout de même une interruption de 30 ms au moment de la bascule sur l'alimentation sur batterie. Bien que ce soit transparent pour nous, certains appareils n'apprécieront pas. Avec un onduleur digne de ce nom, cette interruption n'existe pas. Dans mon cas, c'est passé inaperçu pour mon ordinateur fixe et mes deux écrans : la bascule sur batterie a été transparente.
Recharger un ou plusieurs appareils
La RIVER 2 Pro peut-être utilisée pour recharger des appareils divers et variés, y compris votre smartphone, votre tablette et votre ordinateur portable. En fonction de la capacité de la batterie de vos appareils, celui-ci pourra être rechargé un certain nombre de fois. Pour ma part, j'ai pu recharger près de 7 fois intégralement mon PC Surface Pro 7 (tout en l'utilisant) avec une charge complète de RIVER 2 Pro.
C. La recharge de la RIVER
EcoFlow annonce 70 minutes pour recharger complètement la batterie (0 à 100 %). Avec la recharge sur secteur, c'est effectivement la durée nécessaire pour la recharger intégralement (entre 65 et 70 minutes, d'après mes tests).
C'est vraiment rapide et c'est un gros plus pour ce modèle, notamment si vous avez besoin de recharger la batterie à la dernière minute... Le bémol, c'est le bruit généré par la ventilation pendant que la batterie recharge : il est élevé et constant tout au long de la charge.
Pour recharger les batteries de la station, vous avez 4 modes de charge différents répondant à plusieurs scénarios : la connecter au secteur avec le cordon d'alimentation, la connecter à une prise allume-cigare (en voiture, par exemple), la connecter en USB-C, ou lui associer un panneau solaire pour bénéficier de l'énergie solaire.
V. Conclusion
Facile à transporter avec sa poignée de transport intégrée à la coque, la RIVER 2 Pro d'EcoFlow est facile à utiliser et remplie parfaitement sa mission : fournir de l'énergie à un ou plusieurs appareils. L'application est ergonomique et elle nous donne l'opportunité de configurer l'appareil, selon nos besoins. La fonction d'UPS évoquée dans cet article, ainsi que le X-Boost, sont deux fonctions qui rendent cette station de recharge plus polyvalente.
Lors de ce test, j'ai noté deux points négatifs : le bruit généré par la ventilation de l'appareil. Il est très gênant lorsque la batterie se recharge et l'est un peu moins lorsque la RIVER fournie de l'énergie à des appareils, car c'est plus par intermittence, même si cela dépend de votre utilisation : plus elle est sollicitée, plus elle aura besoin de ventiler pour se refroidir. Et, la poignée qui est mal positionnée bien qu'elle soit indispensable.
Enfin, le fait de pouvoir recharger la batterie à l'aide d'un panneau solaire externe (vendu séparément) offrira certainement un peu plus de liberté et d'autonomie ! Nul doute que ce sera très utile si vous avez l'habitude de partir en camping.
Où acheter la station EcoFlow RIVER 2 Pro ?
L'EcoFlow RIVER 2 Pro est vendue sur plusieurs sites d'e-commerce dont la boutique officielle d'EcoFlow ainsi qu'Amazon. Ci-dessous, vous pouvez utiliser notre lien Amazon pour acheter ce modèle :
Vous utilisez Dropbox ? Mauvaise nouvelle : un pirate informatique est parvenu à s'introduire sur le système de Dropbox Sign et il a volé des informations correspondantes aux clients de l'entreprise américaine. Faisons le point.
Dropbox est mondialement connue pour son service de stockage et de partage de fichiers en ligne similaire à OneDrive, Google Drive, etc... Pourtant, ce n'est pas le seul service proposé puisqu'il y en a d'autres, notamment Dropbox Sign. Anciennement appelé HelloSign, il s'agit d'un service en ligne de signature électronique. C'est ce service qui est impacté par l'incident de sécurité.
En effet, le 24 avril 2024, Dropbox a détecté un accès non autorisé à l'environnement de production de son service Dropbox Sign. Un pirate est parvenu à mettre la main sur des identifiants valides ! Grâce à ce compte compromis, Dropbox précise que le pirate a pu accéder à la base de données clients.
Cet incident de sécurité affecte uniquement Dropbox Sign : "D'un point de vue technique, l'infrastructure de Dropbox Sign est largement distincte des autres services Dropbox.", peut-on lire sur le site de Dropbox.
Que contient cette base de données ?
Cette base de données contient des informations sensibles au sujet des utilisateurs, dont le nom d'utilisateur, l'adresse e-mail, le numéro de téléphone, ainsi que le mot de passe du compte. Le précieux sésame n'est pas accessible directement en clair, car une fonction de hachage cryptographique est utilisée avant de stocker l'information.
Ce n'est pas tout ! Le cybercriminel a pu également accéder aux réglages du compte, aux données liées à l'authentification multifacteurs, aux clés d'API et aux jetons oAuth. Des informations précieuses pour faire le pont avec d'autres applications et services.
Cette fuite de données concerne aussi les utilisateurs invités, qui n'ont pas forcément un compte Dropbox Sign : "Pour ceux qui ont reçu ou signé un document via Dropbox Sign, mais qui n'ont jamais créé de compte, les adresses électroniques et les noms ont également été exposés.", peut-on lire sur le site de Dropbox.
Comment se protéger ?
Si vous utilisez Dropbox Sign, vous devez changer votre mot de passe dès que possible et effectuer une nouvelle configuration de l'application MFA pour utiliser une nouvelle clé de génération des codes TOTP. Si vous utilisez ce mot de passe sur d'autres sites, nous vous recommandons de le renouveler également.
De son côté, Dropbox a déjà pris des mesures pour protéger les comptes de ses utilisateurs : "En réponse, notre équipe de sécurité a réinitialisé les mots de passe des utilisateurs, déconnecté les utilisateurs de tous les appareils qu'ils avaient connectés à Dropbox Sign, et coordonne la rotation de toutes les clés API et des jetons OAuth."
Enfin, comme toujours, soyez vigilant, car ces informations pourraient être utilisées pour mettre en place une campagne de phishing ciblée.
Bitwarden Authenticator, c'est le nom de la nouvelle application mobile lancée par Bitwarden ! Son objectif : générer des codes TOTP utilisables dans le cadre de l'authentification multifacteurs (MFA).
Bitwarden, éditeur du célèbre gestionnaire de mots de passe du même nom, a lancé une nouvelle application pour Android et iOS. Cette application sert à générer des mots de passe à usage unique basé sur le temps, c'est-à-dire des codes TOTP (Time-based one-time password), pour les comptes enregistrés dans l'application. Il peut s'agir d'un compte de n'importe quel service ou site web à condition que celui-ci propose l'authentification multifacteurs basée sur cette méthode très répandue.
Dans le gestionnaire de mots de passe Bitwarden, il y a déjà une fonctionnalité pour générer des codes TOTP, mais elle est réservée aux utilisateurs payants. D'ailleurs, cette fonctionnalité sera maintenue : "L'Authenticator intégré restera disponible avec les abonnements payants.", peut-on lire sur le site de Bitwarden.
A contrario, l'application Bitwarden Authenticator est gratuite pour tous les utilisateurs, y compris ceux qui n'utilisent pas Bitwarden. Elle vient s'ajouter à la longue liste des applications de gestion de comptes telles que Microsoft Authenticator, Google Authenticator, FreeOTP ou encore Authy.
Pour ajouter un compte à l'application Bitwarden Authenticator, l'utilisateur n'a qu'une chose à faire : scanner le QR code généré par le service ou le site web.
La feuille de route de Bitwarden Authenticator
Pour le moment, l'application, bien que stable, n'en est qu'à la phase 1 de son lancement. Cela signifie que cette première version est limitée en termes de fonctionnalités, et notamment vis-à-vis des applications concurrentes.
Comme le montre l'image ci-dessous, correspondante à la feuille de route de Bitwarden Authenticator, d'autres fonctionnalités seront ajoutées par la suite. Il y aura notamment la possibilité de synchroniser ses comptes Bitwarden Authenticator sur les serveurs de Bitwarden, et les retrouver dans son coffre-fort de mots de passe. Il est également prévu l'ajout d'un mode de restauration et la prise en charge du 2FA par notifications ("Push-based 2FA").
Source : Bitwarden
Bitwarden Authenticator : une application open source
Sachez que ces applications sont open source, donc leur code source sont disponibles sur GitHub (Android - iOS). Enfin, voici les liens pour télécharger cette application :
Les contrôleurs de domaine Active Directory sous Windows Server sont affectés par un nouveau problème pouvant engendrer une augmentation significative du trafic associé à l'authentification NTLM. Faisons le point sur ce problème.
Une charge plus élevée et des échecs d'authentification NTLM en masse, voici les conséquences d'un nouveau problème découvert sur les contrôleurs de domaine Active Directory. Il est lié aux mises à jour publiées le 9 avril par Microsoft, à l'occasion du Patch Tuesday d'avril 2024.
Par l'intermédiaire d'un nouveau post sur son site Internet, Microsoft a confirmé l'existence de ce problème. L'entreprise américaine apporte la précision suivante : "Ce problème est susceptible d'affecter les organisations qui ont un très faible pourcentage de contrôleurs de domaine primaires dans leur environnement et un trafic NTLM élevé." - En principe, les entreprises qui ont déjà fait le nécessaire pour désactiver NTLM ou réduire son utilisation au minimum, ne sont pas affectées.
Ce problème est présent uniquement sur les contrôleurs de domaine Active Directory sous Windows Server. Voici la liste des versions de Windows concernées, ainsi que les mises à jour à l'origine du bug :
Microsoft travaille à la résolution de ce dysfonctionnement. Aucun correctif n'est disponible pour le moment. La solution temporaire consiste à désinstaller la mise à jour problématique, si vous ne pouvez pas attendre le futur correctif.
Par ailleurs, Windows Server est affecté par un autre problème, causé par les mêmes mises à jour, et qui impacte les connexions VPN. Ce dysfonctionnement concerne aussi Windows 10 et Windows 11, comme nous l'expliquions dans notre précédent article :
Les mises à jour d'avril 2024 pour les systèmes d'exploitation Windows peuvent « casser » les connexions VPN ! Microsoft a confirmé l'existence de ce problème ! Voici ce qu'il faut savoir.
Sur le site de Microsoft, un nouveau problème, intitulé "Les connexions VPN peuvent échouer après l'installation de la mise à jour de sécurité April 2024", a fait son apparition. Microsoft a pris connaissance de ce problème après avoir reçu de nombreux signalements de la part des utilisateurs de Windows. L'entreprise américaine ne donne pas plus de précision, ni même un code d'erreur.
Ce problème affecte aussi bien Windows que Windows Server. Il est lié aux mises à jour publiées par Microsoft le 9 avril dernier, à l'occasion du Patch Tuesday d'avril 2024. Voici un récapitulatif des systèmes impactés et des mises à jour à l'origine du problème :
Pour le moment, Microsoft ne propose pas de correctif : "Nous travaillons à une solution et fournirons une mise à jour dans une prochaine version.", peut-on lire. Des investigations sont en cours et la seule solution temporaire disponible pour les utilisateurs, c'est de désinstaller la mise à jour problématique. Disons que c'est un peu la solution par défaut.
Ce n'est pas la première fois que la fonction VPN de Windows est impactée par une mise à jour. En janvier 2022, une mise à jour pour Windows 10 et Windows 11 était déjà l'origine d'un dysfonctionnement sur le VPN. En effet, à la suite de l'installation de la mise à jour, les connexions VPN L2TP étaient inutilisables.
Vous rencontrez ce problème ? N'hésitez pas à nous le dire en commentant cet article !
Dans ce tutoriel, nous allons apprendre à récupérer l'UID et le GID d'un utilisateur sur un NAS Synology. Vous allez me dire : pourquoi faire ? Et bien, sachez que ceci est utile lorsque l'on utilise un NAS Synology pour exécuter des containers Docker et que l'on souhaite faire tourner un container avec un compte utilisateur spécifique.
Avant de vous expliquer comment récupérer l'UID et le GID sur un NAS, voyons déjà à quoi correspondent ces deux valeurs.
L'UID pour User Identifier est un numéro unique associé à chaque utilisateur d'un système Linux. Il permet d'identifier l'utilisateur sans utiliser le nom et ne peut pas être modifié. Cette information est stockée dans le fichier "/etc/passwd".
Le GID pour Group Identifier est un numéro unique associé à chaque groupe d'un système Linux. Le GID permet d'identifier un groupe sans utiliser le nom et ne peut pas être modifié. Cette information est stockée dans le fichier "/etc/group".
Si un utilisateur ou un groupe est supprimé puis recréé, il n'aura pas le même UID / GID, car ce numéro est incrémenté à chaque fois.
Remarque : le compte super-utilisateur "root" hérite toujours de l'UID "0" et du GID "0".
III. Récupérer l'UID et le GID d'un utilisateur
Pour récupérer l'UID et le GID d'un utilisateur, nous devons utiliser la ligne de commandes SSH.
La première étape consiste à se rendre dans "Panneau de configuration", puis "Terminal & SNMP" afin de cocher l'option "Activer le service SSH". Ensuite, validez, et à la fin de l'opération, vous pouvez décocher cette option pour éviter d'exposer ce service inutilement si vous n'en avez pas l'usage.
Désormais, nous devons nous connecter en SSH à notre NAS. Vous pouvez utiliser une application telle que PuTTY, mais ce n'est pas obligatoire. Si vous utilisez Windows 10 ou Windows 11, il y a un client SSH natif pour vous permettre de vous connecter à votre NAS.
Ouvrez une invite de commande et saisissez la commande "ssh" selon le modèle suivant :
ssh <nom d'utilisateur>@<adresse ip>
Par exemple, pour se connecter sur le NAS avec l'adresse IP "192.168.1.200" avec le compte "itconnect" :
ssh itconnect@192.168.1.200
Si vous avez besoin de préciser un numéro de port spécifique (autre que le port 22), ajoutez cette option en ajustant le numéro de port :
ssh itconnect@192.168.1.200 -p 222
Saisissez votre mot de passe et vous devriez avoir accès au shell du système DSM. Attention, le compte que vous utilisez pour vous connecter doit être membre du groupe "administrators" de DSM (c'est le cas du compte créé nativement lors de l'installation du NAS).
Une fois que vous avez accès à votre NAS en ligne de commande, vous devez utiliser la commande "id".
Pour récupérer l'UID et le GID du compte avec lequel vous êtes connecté en SSH :
id
Pour récupérer l'UID et le GID d'un autre compte existant sur votre NAS (exemple avec le compte nommé "docker")
id docker
Ici, nous pouvons voir que l'UID de cet utilisateur est "1027" tandis que son GID est "100". Ici, c'est bien le groupe principal auquel appartient l'utilisateur qui est retourné, car il peut être membre de plusieurs groupes.
Il ne reste plus qu'à faire bon usage de ces deux informations !
IV. Conclusion
Grâce à cette astuce, vous êtes en mesure de récupérer l'UID et le GID d'un compte utilisateur de votre NAS Synology ! Ces informations étant différentes d'un NAS à un autre et d'un utilisateur à un autre, c'est une manipulation à connaître.
Une équipe de chercheurs en sécurité a analysé trois campagnes malveillantes s'appuyant sur des dépôts Docker Hub. D'après eux, environ 2,81 millions de dépôts sont utilisés à des fins malveillantes. Faisons le point sur cette menace.
D'après les chercheurs en sécurité de chez JFrog, environ 20 % des dépôts hébergés sur la plateforme Docker Hub contiennent du contenu malveillant, y compris des malwares. Ils ont découvert 4,6 millions de dépôts sans aucune image Docker, et donc inutilisables à partir de Docker et Kubernetes. Parmi ces dépôts, 2,81 millions ont été associés à trois campagnes malveillantes importantes lancées en mars 2021. Mais alors, quelles sont les données stockées dans ces dépôts sur Docker Hub ?
Docker Hub comme point de départ pour piéger les utilisateurs
Les cybercriminels utilisent les dépôts pour appâter les utilisateurs, en s'appuyant sur différentes techniques, dont le phishing. Par exemple, la technique baptisée "eBook Phishing" consiste à utiliser un dépôt Docker Hub pour inviter l'utilisateur à télécharger un eBook, au format PDF ou EPUB. Sauf qu'il est redirigé vers un site malveillant dont l'objectif est de collecter des numéros de cartes bancaires.
Nous pouvons citer également la technique "Downloader" où le dépôt Docker Hub est utilisé pour promouvoir des logiciels piratés ou des logiciels de triche pour les jeux-vidéos. Les cybercriminels utilisent des textes générés automatiquement et joue sur la description pour optimiser le référencement de la page. Là encore, la victime est redirigée vers un site malveillant grâce à un lien intégré à la page du dépôt. Ici, l'objectif est de déployer un malware sur la machine de la victime.
Pour rendre légitime leur lien et essayer de tromper l'utilisateur, les pirates usurpent l'identité de services de réducteurs d'URL. Par exemple, le domaine "blltly[.]com" vise à usurper l'identité du service légitime "bitly.com".
Voici un exemple :
Source : JFrog
Le graphique ci-dessous proposé par JFrog montre que le Docker Hub est activement utilisé pour des activités malveillantes. Certaines actions sont automatisées, ce qui explique le nombre conséquent de dépôts.
Source : JFrog
L'équipe de Docker a fait le ménage
La bonne nouvelle, c'est que l'équipe de modération du Docker Hub a supprimé l'ensemble des dépôts malveillants suite à l'analyse effectuée par les chercheurs de JFrog. Néanmoins, il convient de rester méfiant, car il y en a surement d'autres, et d'autres seront probablement créés par la suite.
Même si le Docker Hub est une source officielle pour le téléchargement des images Docker, c'est avant tout un espace communautaire sur lequel nous pouvons retrouver "tout et n'importe quoi". Ce n'est pas un cas isolé, puisque certains pirates exploitent la plateforme PyPI dans le cadre de leurs activités malveillantes.
Vous avez un disque SSD NVMe et vous souhaitez en faire un disque SSD externe ? Cela tombe bien, dans cet article, nous allons découvrir un boitier de chez UGREEN compatible USB4 ! Il s'agit de la norme USB la plus récente, avec un débit théorique de 40 Gbps.
Commençons par évoquer les caractéristiques de ce boitier UGREEN dont la référence exacte est CM642 :
Connectique : 1 x sortie USB-C
Emplacement pour disque : 1 x disque SSD NVMe M.2 (format 2230 / 2242 / 2260 / 2280)
Capacité maximale du disque : 4 To
Système de dissipation de la chaleur, avec ventilateur, intégré au boitier
Prise en charge des fonctions UASP, TRIM, S.M.A.R.T
Alimentation via USB : 5.0V - 3.0A Max
Systèmes d'exploitation pris en charge : Windows, Linux et macOS
Compatible : USB4 (40 Gbps), Thunderbolt 4, Thunderbolt 3, ainsi que USB3
Pour découvrir tous les produits et accessoires UGREEN, vous pouvez visiter leur site officiel :
Le packaging de ce boitier UGREEN est plutôt soigné puisqu'il nous donne un aperçu du boitier, ainsi que ses principaux atouts et ses caractéristiques techniques. Les accessoires sont dans une petite boite en carton, tandis que le boitier est à part et correctement emballé.
Au-delà du boitier UGREEN en lui-même, voici ce qu'il y a dans la boite : un guide d'utilisation, un câble USB-C vers USB-C, un câble USB-C vers USB-A, un tournevis, une vis, et un pad de pâte thermique. Si votre PC ne possède pas de port USB-C, vous pourrez quand même connecter le boitier grâce aux différents câbles fournit.
Le boîtier est en alliage d'aluminium, ce qui optimise la dissipation de la chaleur vers l'extérieur. Le boitier est protégé par une coque en silicone qui le protégera contre certaines chutes. Personnellement, je trouve que ce boitier est très chic et qu'il a une allure premium. Les finitions sont impeccables. Voici les dimensions du boitier lorsqu'il est équipé de la coque : 12.5 cm x 5.4 cm x 2.3 cm. Sur le dessus du boitier, à gauche de la mention UGREEN, se situe une LED d'activité.
Pour démonter le boitier et installer un disque, il y a une seule vis à retirer : elle se situe sur le dessus du boitier. Ceci permet d'ouvrir le couvercle supérieur pour accéder à l'intérieur du boitier. Un logement est prêt à accueillir votre disque SSD : ici, un disque SSD NVMe Samsung 990 PRO est utilisé. Une fois le disque en place, il faut positionner la pâte thermique sur le dessus avant de refermer le boitier. Par ailleurs, nous pouvons apercevoir le ventilateur intégré au boitier.
L'installation du disque dans le boitier s'effectue facilement et rapidement. En cas de doute, nous pouvons nous référer à la notice fournie par UGREEN. Désormais, le disque est prêt à être utilisé. La première fois, il sera nécessaire de formater le disque à partir du système d'exploitation, s'il s'agit d'un disque neuf.
III. Performances
Désormais, nous allons évoquer les performances, même si cela dépendra fortement des caractéristiques du disque intégré au boitier, ainsi que de la puissance de l'appareil sur lequel est connecté le boitier.
Pour évaluer les performances de ce boitier, j'ai utilisé un mini PC Geekom IT13 équipé de ports USB4. Un disque SSD NVMe Samsung 990 PRO est intégré au boitier, dont les données constructeurs sont les suivantes : vitesse séquentielle de lecture de 7 450 Mo/s et 6 900 Mo/s en écriture.
Sur le même PC et avec le même disque, un benchmark a été réalisé avec CrystalDiskMark en USB4 et en USB 3.2.
Connecté en USB 4.0
Connecté en USB 3.2 Gen2
La température de disque est de 26 °C lorsqu'il est connecté au PC, mais non sollicité. Pendant le benchmark, la température monte à 34 °C puis à 43 °C (et elle reste stable), ce qui reste très correct. Le boitier quant à lui devient un peu chaud, ce qui montre que la chaleur est dissipée vers l'extérieur.
Sous Windows, la copie de gros fichiers de l'ordinateur vers le disque externe (écriture) est effectuée à une vitesse moyenne de 650 Mo/s. La même opération dans l'autre sens, c'est-à-dire en lecture depuis le disque externe, est effectuée à une vitesse moyenne de 980 Mo/s.
IV. Conclusion
Ce boitier UGREEN est excellent : très joli, bien conçu et il répond présent lorsqu'on le sollicite. Il assure des transferts ultra-rapides, ce qui est pratique pour réaliser des sauvegardes sur disque ou transférer des gros fichiers (fichiers vidéos en 4K, etc.). D'après les tests de charge que j'ai réalisés, le système de dissipation thermique semble être au point.
Ce boitier est proposé à 129.99 euros sur Amazon.fr : ce n'est pas donné, mais ce sont les prix actuels pour les boitiers compatibles USB4. Et surtout, les disques SSD externes se font rares sur le marché. Actuellement, la meilleure option, c'est probablement d'acheter un boitier comme celui-ci et d'ajouter le disque SSD de son choix.
Dans cet article, nous allons introduire le Portail d'entreprise ou Company portal pour que vous puissiez avoir une idée plus précise de l'intérêt de cette fonctionnalité d'Intune, qui peut vous rendre bien des services.
Nous allons évoquer les fonctionnalités clés, le déploiement de l'application sur Windows, et nous découvrirons l'interface de cette même application.
II. Les fonctionnalités du Company Portal d'Intune
A. À quoi sert le Portail d'entreprise ?
Le Portail d'entreprise met à disposition des utilisateurs des informations utiles sur leur organisation et il leur donne accès à des actions pratiques en mode "self-service", comme la possibilité d'installer des applications, de déclencher la synchronisation d'un appareil ou encore de vérifier l'état de la conformité d'un appareil. Par ailleurs, l'enrollment d'un appareil peut être effectué via cette application, plutôt que par les paramètres du système.
Le Portail d'entreprise joue un rôle important dans le déploiement des applications via Intune. En effet, vous avez la possibilité de définir une des "applications en vedette", c'est-à-dire des applications disponibles et mises en avant dans le Portail d'entreprise. Ceci peut être utile pour mettre à disposition une application pour vos utilisateurs, sans que l'installation soit automatique : c'est l'utilisateur qui a la main.
Ceci s'applique aux applications dont l'option "Afficher ceci en tant qu'application à la une dans Portail d'entreprise" est définie sur "Oui". Vous pouvez tout à fait changer cette option sur vos applications existantes.
B. Les applications Portail d'entreprise
Le Portail d'entreprise Intune est accessible de plusieurs façons puisqu'il y a un portail Web et des applications, notamment une application Windows et une application mobile sur Android et iOS. N'importe quel utilisateur, à partir de son appareil inscrit et de son compte, peut accéder au Portail d'entreprise avec un navigateur via cette adresse :
Par ailleurs, l'application est accessible dans le Microsoft Store :
Désormais, nous allons voir comment déployer cette application via Intune.
III. Déployer l'application Company Portal sur Windows
Nous allons apprendre à déployer l'application Company Portal sur Windows à partir d'une stratégie d'applications Intune. Cette application étant publiée dans le Microsoft Store accessible depuis Windows, nous pouvons effectuer cette opération facilement.
Si vous n'êtes pas familier avec le déploiement d'applications du Microsoft Store via Intune, je vous recommande la lecture de cet article :
À partir du Centre d'administration Intune, vous devez créer une nouvelle application :
Cliquez sur "Applications", puis "Windows" et cliquez sur le bouton "Ajouter".
Dans le panneau latéral, choisissez le type d'application "Application Microsoft Store (nouvelle)" et suivez l'assistant.
À l'étape "Informations sur l'application", cliquez sur "Rechercher l’application Microsoft Store (nouvelle)" afin de rechercher "company portal". Sélectionnez l'application "Company portal" de type "UWP" visible dans la liste et cliquez sur "Sélectionner".
Ensuite, vous devez configurer cette application. Vous pouvez commencer par indiquer son nom en français, à savoir "Portail d'entreprise". Vous avez le choix entre une installation par utilisateur ou par machine (système). Indiquez également un logo, que vous pouvez récupérer sur Google via une recherche d'image.
Passez à l'étape "Affectations" et sélectionnez les groupes qui doivent bénéficier de cette application.
Poursuivez jusqu'à la fin pour finaliser la création de l'application.
IV. Aperçu du Company Portal sur Windows
Une fois que l'appareil aura effectué une synchronisation, l'application "Company Portal" sera visible sur Windows et vous pourrez commencer à l'explorer. L'image ci-dessous montre la section "Appareils" où l'utilisateur peut avoir un aperçu de l'ensemble des appareils dont il est déclaré comme propriétaire.
Par ailleurs, à partir du moment où une application ou plusieurs applications sont mises en avant dans le Portail d'entreprise, elles sont visibles directement dans l'interface de celui-ci. Si l'application n'est pas installée et qu'elle est disponible pour un utilisateur, il peut décider de l'installer.
Pour forcer la synchronisation d'un appareil à partir du Portail d'entreprise, Au sein de cette application, qui doit être au préalable installée sur l'appareil, cliquez sur le bouton des paramètres en bas à gauche (1) afin d'accéder au bouton nommé "Synchroniser" (2). Ceci est facilement accessible par un utilisateur lambda.
Sachez que vous avez aussi la possibilité de modifier l'apparence du Portail d'entreprise, en jouant sur les paramètres de branding de votre organisation, directement à partir du Centre d'administration Intune. En cliquant sur ce lien, vous serez redirigé directement vers la page de configuration. Au-delà de l'apparence, vous pourrez aussi activer/désactiver certaines fonctionnalités, notamment celle-ci qui peut être gênante :
Pour en savoir plus, consultez cette documentation de Microsoft :
Suite à la lecture de cet article, vous en savez plus sur le Portail d'entreprise de Microsoft Intune et vous êtes désormais en mesure de procéder à son déploiement et à sa personnalisation. Son atout principal, c'est le fait de permettre la publication d'applications auprès des utilisateurs. L'étape de branding est simple à effectuer, mais elle est importante, car elle permet d'ajouter le logo de votre entreprise, les coordonnées, etc.
Dans ce tutoriel, nous allons apprendre à déployer l'application Homer sur un NAS Synology, à l'aide d'un conteneur Docker ! Homer est un projet open source destiné à l'auto-hébergement dont l'objectif est de vous permettre de déployer une page d'accueil aux allures de tableau de bord sur votre propre serveur !
Sur cette page statique, vous allez pouvoir ajouter tous les éléments et liens que vous jugez nécessaire ! Par exemple, vous pouvez lister vos sites favoris, ajouter des liens vers vos applications préférées, ou encore vers vos équipements ! Il y a aussi la possibilité de remonter des informations à partir de services personnalisés, c'est-à-dire d'autres applications (Prometheus, AdGuard Home, Portainer, PiHole, Proxmox, etc...).
Homer peut s'avérer utile dans de nombreux scénarios et cette page est facilement personnalisable grâce à un fichier de configuration au format YAML.
Avant de créer le conteneur, nous allons préparer un répertoire pour stocker ses données. Au sein du répertoire "docker", nous allons créer le répertoire "homer" afin de maintenir la logique habituelle : un répertoire par conteneur. Ce qui donne :
Puis, dans le répertoire "homer", nous allons créer un répertoire "data" qui sera utilisé pour stocker les données applicatives d'Homer. Ce qui donne :
Désormais, nous pouvons lancer l'application Container Manager (Docker) pour créer un nouveau conteneur à partir d'un code de configuration Docker Compose.
Dans "Container Manager", cliquez sur "Projet" puis sur "Créer". Nommez ce projet "homer" puis indiquez le répertoire "/docker/homer" comme chemin pour ce conteneur. Autrement dit, l'option "Chemin" doit avoir pour valeur "/docker/homer".
En ce qui concerne la "Source", choisissez l'option "Créer un fichier docker-compose.yml". Une zone de texte apparaît : qu'allons-nous écrire ici ? Nous allons récupérer le code du fichier "docker-compose.yml" disponible sur GitHub officiel pour ensuite l'adapter.
Désormais, nous allons devoir modifier deux options : le chemin vers le répertoire local pour mapper le répertoire "/www/assets" du conteneur vers "/volume1/docker/homer/data", et les informations sur le compte utilisateur à utiliser pour exécuter le conteneur. Ici, l'utilisateur "docker" de mon NAS est spécifié en indiquant son UID "1027" et son GID "100".
Ici, nous ne modifions pas le mappage sur le numéro de port, donc l'application sera accessible sur le port 8080. Vous pouvez l'adapter si besoin. De plus, l'option "INIT_ASSETS=1" permet d'ajouter les fichiers de démonstrations à l'application, ce qui évite de partir de zéro.
Remarque : pour le nom de l'image, vous pouvez ajouter le tag "latest" pour récupérer la dernière image Docker de ce projet associée à ce tag. Ce qui donne la valeur "b4bz/homer:latest" pour la directive "image".
Une fois le fichier Docker Compose prêt, vous pouvez continuer jusqu'à la fin pour créer le conteneur. L'image "b4bz/homer" sera téléchargée à partir du Docker Hub et utilisée pour exécuter le conteneur.
Voilà, le conteneur Docker "homer" est actif !
Dès à présent, nous pouvons accéder à l'interface de l'application :
http://<adresse IP du NAS>:8080
Vous devriez obtenir ceci :
Désormais, nous allons évoquer la personnalisation de cette page d'accueil.
III. Personnaliser la page d'accueil Homer
Pour modifier la page d'accueil d'Homer, nous allons éditer le fichier suivant :
/docker/homer/data/config.yml
Pour l'éditer directement depuis l'interface de DSM, installez l'application "Éditeur de texte" depuis le "Centre de paquets". Ceci permet d'ajouter l'option "Ouvrir avec un éditeur de texte" dans le menu contextuel de DSM afin d'éditer les fichiers en ligne.
Le fichier de configuration s'ouvre. Il s'agit d'un fichier au format YAML, donc il faut respecter rigoureusement l'indentation, les espaces, etc... Pour ne pas générer de problèmes de syntaxes. L'édition est assez simple puisque le code est facilement lisible.
Vous pouvez charger vos images dans le répertoire "data/tools" de votre conteneur pour les appeler en tant que logo dans Homer. Par ailleurs, Homer s'appuie sur la bibliothèque FontAwesome pour charger les icônes, donc utilisez cette page pour rechercher un logo à intégrer sur une entrée (par exemple "fas fa-hdd" pour l'icône en forme de disque dur).
À titre d'exemple, voici le code du nœud « services » qui permet d'obtenir le résultat présenté ci-dessus avec les deux blocs "Mes sites favoris" et "Mes NAS".
# Services
# First level array represent a group.
# Leave only a "items" key if not using group (group name, icon & tagstyle are optional, section separation will not be displayed).
services:
- name: "Mes sites favoris"
icon: "fas fa-cloud"
items:
- name: "IT-Connect"
logo: "assets/tools/Logo-IT-Connect.png"
subtitle: "Tutoriels, cours, actualités - Informatique"
tag: "tutos"
keywords: "tutos"
url: "https://www.it-connect.fr"
target: "_blank" # optional html a tag target attribute
- name: "Mes NAS"
icon: "fas fa-hdd"
items:
- name: "NAS Synology DS220+"
icon: "fas fa-hdd"
subtitle: "https://192.168.1.200:5001"
tag: "nas"
keywords: "nas"
url: "https://192.168.1.200:5001"
target: "_blank" # optional html a tag target attribute
- name: "NAS Synology DS923+"
icon: "fas fa-hdd"
subtitle: "https://192.168.1.201:5001"
tag: "nas"
keywords: "nas"
url: "https://192.168.1.201:5001"
target: "_blank" # optional html a tag target attribute
Quand vous effectuez une modification, enregistrez le fichier et rafraichissez la page web pour voir ce que ça donne. Homer étant une page d'accueil statique, elle est très rapide à charger et très légère.
L'intégration des services personnalisés s'effectue aussi dans ce fichier. Référez-vous à la documentation afin de copier-coller le bloc de configuration correspondant à votre service :
En suivant ce tutoriel, vous devriez être en mesure d'installer Homer sur votre NAS Synology à l'aide de Docker ! C'est une application pratique et facile à personnaliser que l'on peut utiliser pour se créer une page d'accueil pour son Home Lab, ou, pour créer un portail d'entreprise léger, self-hosted, avec un ensemble de liens utiles.
Il y a des alternatives à Homer, notamment Heimdall, mais aussi Homarr qui est plus complet, mais aussi beaucoup plus lourd.
Pour aller plus loin, je vous recommande de publier cette application avec le reverse proxy de DSM, ce qui permettra d'avoir un certificat TLS et d'utiliser un nom de domaine. Référez-vous à ce tutoriel :
Le gang de ransomware LockBit a revendiqué la cyberattaque contre l'Hôpital Simone Veil de Cannes ! Cet acte malveillant s'est déroulé il y a deux semaines. Voici les dernières informations !
Souvenez-vous : dans la nuit du 15 au 16 avril 2024, l'Hôpital Simone Veil de Cannes a été victime d'une cyberattaque. Cet incident de sécurité a eu un impact important sur l'Hôpital, contraint de fonctionner en mode dégradé et de reporter certains rendez-vous.
Le redoutable groupe de cybercriminels LockBit est de retour ! Pourtant, il a été fortement perturbé et contrarié par l'opération Cronos menée par les forces de l'ordre de 10 pays, en février dernier. Lors de cette opération, des serveurs de LockBit ont été saisis et les autorités étaient parvenus à publier un outil de déchiffrement pour permettre à certaines victimes de récupérer leurs données. Deux mois après cette opération, les cybercriminels de LockBit s'en sont pris à cet hôpital français.
En effet, ceci semble être de l'histoire ancienne, car ce 30 avril 2024, le groupe de LockBit a revendiqué la cyberattaque contre l'Hôpital Simone Veil de Cannes. L'établissement a été référencé sur le site de LockBit :
Source : Numerama
Désormais, l'Hôpital Simone Veil de Cannes doit payer la rançon demandée par les pirates, sinon les données volées lors de la cyberattaque seront divulguées. En plus de chiffrer les données, les cybercriminels de LockBit ont pour habitude d'exfiltrer les données pour mettre la pression à leur victime. Dans le cas présent, la direction devrait avoir pour consigne de ne pas payer la rançon, donc des données seront certainement publiées.
Pour le moment, l'Hôpital Simone Veil de Cannes n'a pas confirmé ces informations. À suivre.
Connexion
