Lira RDP Security

DOCUMENTATION DU PRODUIT · PLATEFORME

Mises à jour de la plateforme Lira RDP

Historique daté des améliorations apportées à la sécurité, à la fiabilité et au fonctionnement du portail et de la plateforme Lira. Les versions de l’agent Windows sont documentées séparément.

Dernière mise à jour de la plateformeAperçu technique fermé de Lira Agent 3 et Lira Access

Historique des mises à jour de la plateforme

Sécurité et fiabilitéDernière mise à jour de la plateforme

Aperçu technique fermé de Lira Agent 3 et Lira Access

  • La nouvelle architecture d’Agent 3 sépare la supervision, la collecte d’événements, le transport, la protection locale, les mises à jour et la MFA. La version de développement actuelle réussit 660 contrôles automatisés de contrats et de sécurité ; il s’agit d’un élément de preuve technique, et non d’une annonce de disponibilité générale.
  • L’identité d’appareil Lira Access a réussi des essais réels sous un compte utilisateur standard sur Windows 10 et Windows 11. La clé privée ECDSA P-256 est générée localement dans Windows CNG, n’est pas exportable et reste accessible uniquement à SYSTEM et à l’utilisateur Windows propriétaire.
  • Les invitations d’appareils limitées à l’espace client, l’approbation par un administrateur, la révocation et la rotation d’identité à deux clés sont implémentées derrière une fonctionnalité désactivée. Le portail ne peut pas utiliser ce canal pour exécuter des commandes shell ou PowerShell arbitraires sur un appareil.
  • Lira Access reste un aperçu technique fermé sans programme d’installation public. La validation de bout en bout du client et du tunnel, la signature publique du code, un essai de stabilité du binaire exact et une évaluation de sécurité indépendante restent des critères de publication. Les demandes de pilote sont les bienvenues à l’adresse [email protected].
Sécurité et fiabilité

Aperçu technique de Lira Agent v3

  • Le développement d’une nouvelle architecture d’agent Windows pour Windows Server et Windows 10/11 a commencé. La supervision, la collecte d’événements, le transport, la protection locale, les mises à jour et la MFA sont séparés afin qu’une intégration bloquée ne puisse pas arrêter silencieusement l’ensemble de l’agent.
  • Le canal de contrôle v3 utilise une identité d’appareil liée à l’enrôlement, des contrats de messages stricts et un séquencement résistant au rejeu. La protection locale est conçue pour continuer pendant une indisponibilité du plan de contrôle ; le portail ne peut pas exécuter de commandes shell arbitraires sur les endpoints.
  • Le portail reconnaît déjà le protocole v3 et maintient l’activation MFA verrouillée jusqu’à la fin du provisioning signé et de la matrice de tests d’ouverture de session Windows. Agent v3 est un aperçu technique, n’est pas disponible de manière générale et passera par des phases de laboratoire, pilote et production limitée.
Sécurité et fiabilité

Installation plus sûre de Server et Endpoint

  • La section « Appareils » distingue désormais les serveurs, les endpoints et la vue d’ensemble du parc. La boîte de dialogue propose des parcours Server et Endpoint séparés avec le MSI et la commande PowerShell correspondants.
  • Les nouvelles installations utilisent un Install ID à durée limitée au lieu de placer les secrets d’inscription dans la ligne de commande du service Windows. L’état de l’agent et les répertoires de mise à jour sont réservés à SYSTEM et aux administrateurs, et aucune exclusion Defender étendue n’est plus créée.
  • Les paquets Server et Endpoint possèdent des identités produit distinctes et refusent une classe d’appareil Windows incorrecte. Lira Endpoint utilise un profil d’observation restreint et sa consommation de licences est affichée séparément.
  • L’assistant MSI graphique prend en charge l’anglais, l’ukrainien, le russe, l’allemand, l’espagnol et le français. Le passage au choix du répertoire a été corrigé afin d’éviter l’erreur 2819 de Windows Installer.
  • Les métadonnées d’amorçage signées lient le canal, la version, la taille du paquet et son SHA-256. Les alertes d’exploitation sont maintenant lisibles, les échecs du pare-feu central se rétablissent automatiquement et les blocages locaux de l’agent reçoivent une échéance définie. La version publique de l’agent reste la 2.7.39.
Sécurité et fiabilité

Désinstallation Windows et fiabilité des mises à jour signées

  • Les agents installés par le script du portail enregistrent désormais des commandes de désinstallation Windows natives supprimant service, watchdog, Credential Provider/Filter et état local d’inscription.
  • Le profil RSA-PSS a été corrigé pour l’interopérabilité .NET, les origines de mise à jour restent strictement autorisées et les chemins concurrents sont sérialisés.
  • L’agent 2.7.39 est la cible globale. 22 des 25 agents actifs ont été mis à jour automatiquement ; trois restent en ligne sur 2.7.34 après un refus sécurisé dû à l’absence de confiance dans la racine. Les six artefacts ont passé Authenticode ; backend : 552 réussis, un ignoré.
Sécurité et fiabilité

Correctif de compatibilité de la collecte d’événements

  • Pendant le déploiement progressif, les heartbeats continuaient alors qu’une erreur de contrat de réponse interrompait la collecte des événements Security.
  • Le correctif backend a restauré tous les collecteurs 2.7.33 inspectés depuis leurs checkpoints durables sans effacer les journaux Windows.
  • L’agent 2.7.34 isole les erreurs de mise à jour de la collecte. 22 des 25 agents actifs exécutent désormais 2.7.34 et ont réussi des contrôles signés en lecture seule. La cible globale est 2.7.34 ; trois restent en sécurité sur 2.7.31 jusqu’au déploiement indépendant de la racine de signature. Régression complète : 549 réussis, un ignoré.
Sécurité et fiabilité

Renforcement de la sécurité et déploiement progressif de l’agent

  • Les commandes utilisent désormais des enveloppes signées propres à chaque agent, avec expiration, liste d’autorisation locale et protection persistante contre le rejeu ; l’ancien jeton partagé a été supprimé.
  • La MFA documente et applique désormais un comportement explicite fail-open ou fail-closed via le filtre Windows Credential Provider, tandis que Windows LSA reste responsable de la validation des identifiants.
  • La chaîne de confiance des mises à jour signées, le stockage TOTP par organisation, les limites face au hameçonnage, les preuves de test et les frontières de confiance restantes sont décrits dans le rapport d’ingénierie public.
  • L’agent 2.7.33 a réussi les déploiements canary contrôlés sous Windows Server 2016 et 2022. La cible globale reste 2.7.31 pendant la distribution indépendante de la racine de confiance et la fin de la matrice de tests réels.
Sécurité et fiabilité

Fiabilité de la connexion des agents

  • Le routage côté serveur du canal principal en temps réel des agents a été corrigé pour les installations qui avaient basculé sur l’interrogation de secours.
  • Les agents existants reviennent au canal principal grâce à leur cycle normal de nouvelle tentative automatique ; aucune réinstallation ni nouvelle version de l’agent Windows n’est nécessaire.
  • L’interrogation de secours reste disponible en cas d’interruption du canal en temps réel, afin que l’état des agents et la transmission des commandes puissent être rétablis sans nouvel enrôlement manuel.
Sécurité et fiabilité

Corrections de la localisation française du portail et de la documentation

  • Les indicateurs du pilote affichent désormais soit les pays publiés et l’avis relatif au seuil de confidentialité, soit le message signalant que les données sont insuffisantes, jamais les deux. Le nombre total de pays observés reste distinct de la liste publiée.
  • La Politique de confidentialité française comprend désormais une section sur le traitement des données IA, qui distingue l’assistant d’ingénierie déterministe de l’assistant d’assistance facultatif et précise quelles données opérationnelles ou secrètes ne sont pas jointes automatiquement.
  • La marque, le résultat, le périmètre et la date de la vérification sont maintenant présentés comme des éléments distincts sur la page Ingénierie de sécurité. La formulation relative aux identifiants du portail a également été corrigée dans le guide de mise en service sécurisée.
  • Les espacements et les textes de démonstration de la page d’accueil, les descriptions des produits et services, ainsi que les guides RDP MFA et Installation de l’agent ont fait l’objet d’une dernière révision éditoriale professionnelle en français.
Sécurité et fiabilité

Localisation allemande du portail et de la documentation

  • L’ensemble du portail allemand, y compris les écrans authentifiés, les messages de validation, les notifications et les e-mails transactionnels, a fait l’objet d’une révision éditoriale adaptée aux opérations d’infrastructure professionnelles dans la région DACH.
  • Les pages allemandes de connexion, d’inscription et de récupération du mot de passe sont désormais localisées dès le HTML initial, et la langue reste conservée dans les liens d’authentification et les liens juridiques.
  • La terminologie relative au parc de serveurs, à l’enrôlement des agents, aux signaux de présence, aux listes d’autorisation, à la récupération, à la MFA, à Windows Update, à Microsoft Defender et aux certificats RDP est désormais cohérente.
  • Les indicateurs publics du pilote distinguent maintenant clairement le nombre total de pays sources observés de la sélection plus restreinte publiée après application du seuil de confidentialité.
Sécurité et fiabilité

Continuité de l'abonnement et de l'accès

  • Le portail avertit les administrateurs cinq jours avant la fin d’un abonnement et indique clairement la période de récupération qui suit.
  • Les installations existantes peuvent se reconnecter pendant dix jours après la fin de l'abonnement, permettant de récupérer le service sans réinstaller l'agent après paiement.
  • Si la protection est suspendue, la politique de MFA sauvegardée est conservée et rétablie automatiquement lorsque l'abonnement est de nouveau actif.
  • Les pages des agents distinguent désormais le canal de contrôle en temps réel de l’interrogation périodique de secours et empêchent toute suppression dangereuse tant que l’application de la MFA reste active.
  • L’installation des mises à jour Windows passe désormais directement à l’état « en cours », sans réafficher brièvement l’erreur d’une tentative précédente.
Sécurité et fiabilité

Mise à jour de la fiabilité des sessions du portail

  • Lors de l’action suivante, les onglets du portail restés ouverts après l’expiration de la session redirigent désormais vers la page de connexion au lieu de laisser les mises à jour du tableau de bord en attente. Reconnectez-vous pour continuer.
Sécurité et fiabilité

Mise à jour de sécurité et de fiabilité

  • Le portail propose désormais aux administrateurs autorisés une assistance guidée pour vérifier l’état de préparation des serveurs et rétablir les accès.
  • La fiabilité de l’inscription a été améliorée lorsque plusieurs nouveaux visiteurs s’inscrivent simultanément.
  • Les contrôles de sécurité côté navigateur ont été renforcés afin de réduire le risque d’exécution de contenu de page non autorisé.