C’est une information qui est passée presque inaperçue cet été. Pourtant, elle a de quoi alarmer les entreprises. En effet, un rapport technique publié par le laboratoire indépendant Wavestone démontre que les outils Microsoft 365 Apps For Enterprise transmettent les contenus des fichiers Word et PowerPoint sur les serveurs américains. Ozérim fait le point sur la situation et vous donne ses conseils pour y remédier.
Peu avant la fameuse panne CrowdStrike, le bureau d’études Wavestone publiait un rapport pointant du doigt le comportement alarmant de la firme américaine.
Dévoilée en mars 2024, cette étude indépendante devrait inquiéter les entreprises qui utilisent certains outils de la suite Office 365, ainsi que les « expériences connectées » au sein de Windows…
En menant des analyses techniques grâce à des logiciels de type sniffer, le laboratoire indépendant a décelé des envois de données depuis les versions Microsoft 365 Apps for Enterprises de PowerPoint et Word.
Dès l’ouverture d’un document, une connexion TLS s’ouvre vers un point de terminaison appartenant à Microsoft, situé sur le sous-domaine augloop.office.com.
Dans l’absolu, cela n’est pas forcément inquiétant, les suites bureautiques modernes communicants sur le web pour fournir des services de style dictionnaire en ligne ou prédiction de texte…
Toutefois, l’analyse de la connexion websocket chiffrée indique qu’elle transmet le contenu des fichiers PowerPoint et Word sans action utilisateur, dès l’ouverture du fichier, même si ce dernier n’est pas stocké sur le cloud Microsoft.
Toute modification apportée au contenu du document est immédiatement transmise au travers de cette connexion TLS, au sein de messages JSON.
L’étude Wavestone indique que ce comportement a lieu depuis au moins 2019, après avoir testé des builds datant de cette époque.
Il semble toutefois que ce comportement ne touche pas les outils Excel et OneNote. Précisons au passage que le laboratoire n’a pas testé les versions dédiées à MacOS, Android et iOS, entre autres.
Le rapport technique Wavestone indique comment empêcher la transmission de vos contenus, active par défaut. Plusieurs solutions existent :
Dans tous les cas, cela entrainera la désactivation de services annexes propres aux expériences connectées, ce qui peut être bloquant dans l’usage de cette fonctionnalité.
Ozérim, soucieux de la protection de la vie privée et de la confidentialité de ses Clients, a immédiatement pris au sérieux ce rapport. Sur l’ensemble de son parc Client, la fonctionnalité a été immédiatement bloquée !
En fonction des usages de la suite Office par les Clients, cette règle a pu être désactivée au cas par cas. Ozérim ne comprend pas cette pratique, à part récupérer de la donnée sans aucun consentement des utilisateurs.
Ce n’est pas la première fois que Microsoft agit de la sorte et cela commence à faire beaucoup. Ozérim conseille la vigilance et d’appliquer cette astuce (lorsque cela est possible) pour garantir une certaine confidentialité des données que vous traitez avec ces produits.
L’idéal reste, selon nous, de privilégier la souveraineté des données en adoptant des solutions plus respectueuses des utilisateurs. Exemple d’un équivalent de la suite Office 365 avec une démarche plus respectueuse : Libre Office + NextCloud HUB.
Sources : rapport wavestone, compte LinkedIn de Frédéric Cerclet
EXPERT IT DU CLOUD MAÎTRISÉ
Nous prônons la haute technicité, l’indépendance et la souveraineté des données, au service de votre sécurité.
L’avènement du cloud computing a fait exploser les besoins en data centers. Mais qu’est-ce[...]
Le vendredi 19 juillet 2024, le monde entier subissait une panne informatique massive, faisant planter les ordinateurs[...]
Face à la mondialisation, la souveraineté des données devient indispensable pour protéger les informations[...]
Face à la mondialisation, la souveraineté des données devient indispensable pour protéger les informations[...]
Chaque jour, les hackers tentent de nouvelles attaques. Parmi ces attaques, les plus courantes sont les emails de[...]
