2. Procédure de connexion d’un poste client Windows 9x sur serveur AbulÉdu

Samba est un protocole logiciel installé en standard dans un serveur AbulÉdu/ GNU Linux, il permet les "discussions" sur le réseau entre un client Windows 9x et un serveur Linux (ou vice-versa avec Windows NT).

Lorsqu’un poste Windows 9x se connecte au serveur AbulÉdu, tout se passe dans la mise en route du fichier smb.conf situé dans le dossier serveur /etc.

Le fichier smb.conf lors de son exécution lance un autre fichier, demarWin95.bat qui s’exécute et appelle à son tour le fichier mesdocsWin95.reg situé dans le dossier serveur home/netlogon. Toutes ces étapes se caractérisent par le script qui s’exécute sur l’écran du client Windows 9x après connexion.

Pour blinder plus ou moins un client Windows 9x avec AbulÉdu, on garde un fichier smb.conf identique, on rajoute une ligne dans le fichier demarWin95.bat et un nouveau fichier en parallèle de mesdocsWin95.reg qui s’appellera controleWin95.reg.

3. Modification de la connexion authentifiée entre le client Windows 9x et le serveur AbulÉdu.

Pour que Windows demande un nom d’utilisateur, un login et vous permette d’accèder aux fichiers présents sur le serveur sans pouvoir contourner l’identification par la touche clavier ECHAP ou par le bouton ANNULER de la fenêtre de connexion, vous devez configurer vos clients Windows 9x comme indiqué dans le mode d’emploi "Comment connecter un client Windows 9x sur le serveur AbulÉdu" puis réaliser les modifications ci-dessous.

3.1 Préparation de la nouvelle séquence de connexion, modifier le fichier demarWin95.bat.

Lancez sur un client TX-Linux une session Windowmaker.

Ouvrez un terminal X avec un clic droit sur le bureau, terminal,Xterm.

Devenez super-utilisateur ROOT avec la commande :

  su

saisissez le mot de passe ROOT.

Allez dans le dossier serveur home/netlogon :

  cd /home/netlogon

et copiez le fichier demarWin95.bat pour en créer une copie originale avec :

  cp demarWin95.bat demarWin95.bat.old

(c’est juste histoire de garder une copie du fichier de démarrage original au cas où !!!)

Copiez le fichier demarWin95.bat pour le modifier dans votre "cartable" avec :

  cp demarWin95.bat /home/profs/votre_nom/

changez les droits sur ce fichier avec la commande :

  chmod 777 /home/profs/votre_nom/demarWin95.bat

Ouvrez votre "cartable" sous Windows 9.x, et lancez le bloc note dans démarrer/programmes/accessoires.

Rajoutez la ligne ci-dessous à la fin du fichier :

regedit /s \\servecole\netlogon\controleWin95.reg

(=ligne de lancement du fichier controleWin95.reg)

Sauvegardez le fichier modifié.

Revenez sur le terminal X Linux, et recopiez le fichier en écrasant la vieille version dans /home/netlogon :

  cp /home/profs/votre_nom/demarWin95.bat /home/netlogon

3.2 Préparation de la nouvelle séquence de connexion, créer un fichier controleWin95.reg.

Remarque : Le fichier controleWin95.reg contrôle indifféremment des postes clients Windows 95 ou 98, Me.

Sur le client TX-Linux,dans un terminal X ROOT,allez dans le dossier serveur home/netlogon :

  cd /home/netlogon

et copiez le fichier mesdocsWin95.reg pour en créer une copie à transformer en controleWin95.reg avec :

  cp mesdocsWin95.reg controleWin95.reg

Copiez le fichier controleWin95.reg pour le modifier dans votre "cartable" avec :

  cp controleWin95.reg /home/profs/votre_nom/

changez les droits sur ce fichier avec la commande :

  chmod 777 /home/profs/votre_nom/controleWin95.reg

Ouvrez votre "cartable" sous Windows 9.x, et lancez le bloc note dans démarrer/programmes/accessoires.

Rajoutez la ligne ci-dessous à la fin du fichier :

REGEDIT4 [HKEY_LOCAL_MACHINE\Network\Logon] "MustBeValidated"=dword :00000001 "LMLogon"=dword :00000001 "DontShowLastUser"=dword :00000001

(=lignes de vérouillage de l’identification de l’utilisateur)

Sauvegardez le fichier modifié.

Revenez sur le terminal X Linux, et recopiez le fichier en écrasant la vieille version dans /home/netlogon :

  cp /home/profs/votre_nom/controleWin95.reg /home/netlogon

Suivant les blindages que vous voulez mettre en place, recopiez les lignes (la ligne REGEDIT4 n’a besoin d’être présente qu’une fois en début de fichier) décrites dans les paragraphes ci-dessous dans ce fichier et pensez à sauvegarder le fichier après chaque modification.

Rappel important : Les modifications du fichier controleWin95.reg doivent se faire dans le bloc note sous Windows avant d’être renvoyées dans le dossier /home/netlogon.

Les blindages décrits ci-dessous sont classés selon un ordre de plus en plus restrictif, ils peuvent être appliqués ensemble ou séparément selon vos attentes.

Sur ce site, vous trouverez une mine d’or sur le registre de Windows, http://perso.wanadoo.fr/keyshell/.

Pour ceux qui ne veulent pas y passer trop de temps, vous trouverez dans le tableau ci-dessous les 3 fichiers qui fonctionnent dans mon collège et sont prêts à l’emploi :

Nom du fichier	Action	Version à télécharger
demarWin95.bat	Connexion client Windows 9x	connexion.tgz
controleWin95.reg	Serrure de vérouillage	serrure.tgz
raz-controleWin95.reg	Serrure dévérouillée	serrure_ouverte.tgz

Pour récupérer les fichiers compressés, ouvrez un terminal X et tapez :

  tar -xvf nom_du_fichier.tgz

4 Les principales clés de blindage

4.1 Mise en place d’un login obligatoire sur un client Windows 9x.

Pour annuler la possibilité pour un utilisateur d’accèder au bureau de Windows 9x sans s’identifier, ou pour faire effacer automatiquement le nom du dernier utilisateur, rajoutez les lignes ci-dessous dans le fichier controleWin95.reg :

REGEDIT4 [HKEY_LOCAL_MACHINE\Network\Logon] "MustBeValidated"=dword :00000001 "LMLogon"=dword :00000001 "DontShowLastUser"=dword :00000001

Je conseille fortement pour la stabilité de Windows en réseau de ne pas déverrouiller ces clés !!!

4.2 Désactivation de la mémorisation locale des mots de passe.

Pour annuler le mémorisation des mots de passe utilisateurs en local sur le disque dur sous Windows 9x, rajoutez la ligne ci-dessous dans le fichier controleWin95.reg :

REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Network] "DisablePwdCaching"=dword :00000001

4.3 Protection des paramètres d’affichage, de fond d’écran, d’écran de veille.

Pour annuler le fait qu’un utilisateur puisse modifier la résolution de l’image, le codage des couleurs, le fond d’écran, l’écran de veille du bureau de Windows 9x, en gros les paramètres d’affichage, rajoutez les lignes ci-dessous dans le fichier controleWin95.reg :

REGEDIT4 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System] "NoDispCPL"=dword:00000001 "NoDispBackgroundPage"=dword:00000001 "NoDispScrSavPage"=dword:00000001 "NoDispAppearancePage"=dword:00000001 "NoDispSettingsPage"=dword:00000001

4.4 Enlever le menu "Mes documents" du bouton démarrer sur le client Windows 9x.

Pour enlever le le menu "Mes documents" du bouton démarrer sur le client Windows 9x, rajoutez la ligne ci-dessous dans le fichier controleWin95.reg :

REGEDIT4 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoFileMenu"=dword:00000001

4.5 Protection du panneau de configuration.

Pour annuler le fait qu’un utilisateur puisse modifier les éléments principaux du panneau de configuration de Windows 9x, en gros les paramètres fondamentaux de votre ordinateur, rajoutez les lignes ci-dessous dans le fichier controleWin95.reg :

REGEDIT4 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System] "NoDevMgrPage"=dword:00000001 "NoConfigPage"=dword:00000001 "NoFileSysPage"=dword:00000001 "NoVirtMemPage"=dword:00000001

4.6 Empêcher la mise à jour automatique ou manuelle de Windows 9x sur Internet.

Pour annuler le fait qu’un utilisateur puisse aller sur le site de Microsoft sur Internet pour mettre à jour Windows 9x sans passer par l’administrateur du réseau, rajoutez la ligne ci-dessous dans le fichier controleWin95.reg :

REGEDIT4 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoWindowsUpdate"=dword:00000001

4.7 Désactiver les outils d’édition de la base de registre.

Pour annuler le fait qu’un utilisateur puisse modifier la base de registre de Windows 9x (ce qui peut entraîner de gros dégâts dans Windows 9x), rajoutez la ligne ci-dessous dans le fichier controleWin95.reg :

REGEDIT4 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System] "DisableRegistryTools"=dword:00000001

4.8 Empêcher la sauvegarde des modifications en local sur le client Windows 9x.

Pour annuler le fait qu’un utilisateur puisse enregistrer des modifications sur le client Windows 9x, rajoutez la ligne ci-dessous dans le fichier controleWin95.reg :

REGEDIT4 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoSaveSettings"=dword:00000001

De nombreuses autres modifications peuvent être réalisées en s’inspirant des clés de registre d’Olivier Lécluse disponibles à l’adresse : http://www.linux-france.org/prj/edu/sambaclg/

5 Modifier un client Windows 9x alors qu’il est très blindé.

Maintenant que les clients Windows 9x sont configurés de façon à être blindés, vous comprenez facilement qu’il est difficile pour tout le monde, utilisateur comme administrateur, de faire certaines modifications.

En fait, il n’en n’est rien, il suffit à l’administrateur du serveur AbulÉdu (pas abuladmin mais le super-utilisateur ROOT) de :

Lancer sur un client TX-Linux une session WindowMaker et un Xterm en tant que super-utilisateur ROOT,

Copier le fichier controleWin95.reg en le renommant en controleWin95.reg.old avec :

  cp /home/netlogon/controleWin95.reg controleWin95.reg.old

Vous disposez maintenant de la serrure fermée, créez la serrure ouverte en éditant le fichier controleWin95.reg avec,

Copier le fichier controleWin95.reg pour le modifier dans votre "cartable" avec :

  cp controleWin95.reg /home/profs/votre_nom/

Changer les droits sur ce fichier avec la commande :

  chmod 777 /home/profs/votre_nom/controleWin95.reg

Ouvrez votre "cartable" sous Windows 9.x, et lancez le bloc note dans démarrer/programmes/accessoires.

Remplacez les chiffres 1(= serrure verrouillée) des lignes par des 0 (= serrure déverrouillée), sauvegardez votre fichier.

Copier le fichier déverrouillé controleWin95.reg en le renommant dans raz-controleWin95.reg avec :

  cp /home/profs/votre_nom/controleWin95.reg /home/netlogon/raz-controleWin95.reg

Déverrouiller les clients avec la copie du fichier raz-controleWin95.reg sur le fichier controleWin95.reg :

  cp /home/netlogon/raz-controleWin95.reg /home/netlogon/controleWin95.reg

Réaliser les modifications souhaitées sur les clients Windows 9x en vous reconnectant en tant qu’utilisateur. Une fois les modifications effectuées, sur le poste terminal X Linux, écrasez le fichier controleWin95.reg par sa version bridée controleWin95.reg.old avec :

  cp /home/netlogon/controleWin95.reg.old controleWin95.reg

Et hop le tour est joué, le blindage est de retour lors de la connexion d’un utilisateur sur le client Windows !!!

Remarque : En cas de non fonctionnement du blindage ou de son annulation, essayez de relancer votre samba dans un Xterm avec la commande :

  /etc/init.d/smb restart