La conférence RSA 2008, dédiée à la sécurité, est l’occasion cette semaine d’obtenir des informations intéressantes dans ce domaine. C’est notamment le cas chez Microsoft, avec un exposé un peu étonnant d’un responsable de l’éditeur à propos de l’UAC, cette fonctionnalité de Vista qui interroge l’utilisateur sur la validité d’une action requérant des droits administrateur.

David Cross, l’un des responsables produits de l’éditeur, a indiqué que l’UAC avait été spécifiquement créé dans le but d’ennuyer les utilisateurs et les éditeurs. Une finalité ? Oui et non, car le simple fait d’ennuyer n’aurait rien apporté en soi. Mais l’objectif est bien de faire prendre conscience du côté de l’utilisateur que chaque action n’est pas dénuée de conséquence, tandis que du côté des développeurs, de sérieuses modifications étaient à prévoir.

David Cross parle de « coup de marteau » pour changer une situation qui a duré trop longtemps. L’éditeur s’est penché bien tard sur la question des droits administrateur donnés par défaut à tout utilisateur, mais il l’a fait de manière assez brutale. Il est possible bien sûr de désactiver l’UAC, mais Microsoft estime à 88 % le nombre de PC sous Vista ayant l’UAC activé, et à 66 % le nombre d’utilisateurs qui ne rencontrent aucune demande de contrôle dans une journée type de travail.

Bien que ce chiffre puisse être sujet à discussion puisqu’il émane de Microsoft seul, il faut bien avouer que la solution a énormément évolué depuis la sortie de Vista. Un très grand nombre d’éditeurs a mis à jour ses applications, diminuant de manières significatives les alertes UAC. Depuis de nombreuses années, malgré les évolutions de la plateforme Windows, une vaste majorité de logiciels continuait à fonctionner avec des droits administrateur, quand bien même cela n’était que rarement nécessaire. Preuve en est qu’aujourd’hui, beaucoup de versions récentes de logiciels n’interrogent même plus l’utilisateur sur la validité d’une action effectuée.

David Cross reconnaît que l’UAC n’a rien d’une solution parfaite mais qu’il a permis de transformer une possible action dangereuse sans aucun clic en une défense à un clic. Une fonctionnalité imparfaite qui n’est pas une finalité en soi, mais qui aura eu le mérite d’influer sur les éditeurs, bien que certains domaines s’adaptent lentement, notamment les applications métiers.