Jouer aux cartes… “sans-contact” sous Windows

L’objectif de cette article est de vous montrer comment utiliser le lecteur Gemalto Prox-DU avec l’outil RFIDiot sous Windows.

Le lecteur Gemalto Prox-DU est un lecteur permettant d’utiliser à la fois des cartes “contact” et “sans-contact”. Vous pourrez trouver la description du produit à l’URL suivante: http://www.gemalto.com/france/entreprise/prox_du.html

Les “drivers”, la documentation et quelques outils peuvent également être trouvés à l’URL suivante: http://support.gemalto.com/index.php?id=prox-du_prox-su

RFIDiot est une librairie Python “open-source” permettant d’explorer les périphériques RFID. Pour ceux d’entre nous qui se posent la question, RFIDiot signifie ”RFID IO Tools”

Pour mes tests je dispose d’un PC sous Windows 7 64 bits.

Pour l’installation :

1. Le lecteur est reconnu par défaut sous Windows 7. Il n’est donc pas nécessaire d’installer un “driver”. C’est appréciable!
2. Installer RFIDiot pour Windows. RFIDiot peut être téléchargé sur http://rfidiot.org/ (fichier “RFIDIOt-Windows-1.0a”)
3. Installer Python 2.7 en 32 bits. Python peut être téléchargé sur   http://www.python.org/download/releases/2.7.3/. Il est obligatoire de choisir une version 32 bits pour assurer la compatibilité avec certains des modules ci-dessous; et  il est aussi préférable de choisir la version 2.7 pour la même raison.
4. Ajouter le module Pyscard. Pyscard peut être téléchargé sur http://sourceforge.net/projects/pyscard/ (fichier “pyscard-1.6.12.win32-py2.7.msi”)
5. Ajouter le module Pycrypto. Pycrypto peut être téléchargé sur http://pypi.python.org/pypi/pycrypto/2.0.1 (fichier “pycrypto-2.0.1.tar.gz”). Pour finaliser l’installation, il est nécessaire d’extraire le contenu et de lancer “C:\Python27\python.exe setup.py”)
6. Ajouter Pyreadline. Pyreadline peut être téléchargé sur https://launchpad.net/pyreadline/+download (fichier « pyreadline-2.0-dev1.win32.exe »)

Pour le test :

1. Choisir par exemple une carte “Mifare Ultralight” et la poser sur le lecteur
2. Dans une « invite de commandes », lancer « C:\Python27\python.exe readmifareultra.py » (si votre carte sans contact est une carte “Mifare Ultralight” bien entendu)
3. On obtient alors le contenu de la carte:

 

RFIDiot propose de nombreuses autres fonctionnalités que je n’ai pas encore testé sous Windows. C’est pourquoi vos commentaires, remarques ou suggestions sont les bienvenus.

Un fichier peut en cacher un autre

Il y a quelques jours je suis tombé sur une fonctionnalité de Windows pour le moins déconcertante.

Figurez-vous qu’il est possible de cacher un fichier derrière un autre fichier! On peut par exemple cacher un exécutable derrière un fichier texte existant déjà. Et seul celui qui a caché le fichier sait le retrouver.

Ce type de fonctionnalité pourrait être très utile pour le “visiteur” d’une machine qui souhaite y laisser quelques données car il a bien envie d’y revenir plus tard pour continuer son travail!

Quelques éclaircissements s’imposent!

Cette astuce est permise par l’utilisation de ADS (Alternate Data Stream). ADS est une fonctionnalité native de Windows NTFS permettant la compatibilité avec le système de fichiers d’Apple.

1ère étape:sur un Windows 7, cachons un fichier texte derrière un autre fichier texte
C:\Test>type wanttohide.txt > normal.txt:hidden.txt
C:\Test>del wanttohide.txt
C:\Test>notepad.exe normal.txt:hidden.txt

Bien que supprimé, le fichier “wanttohide.txt” s’ouvre.

2ème étape: sur un Windows XP SP3, cachons un fichier “exécutable” derrière un fichier texte
C:\Test>type notepad.exe > exec.txt:hidden.exe
C:\Test>del notepad.exe
C:\Test>start C:\Test\exec.txt:hidden.exe

Bien que supprimé, l’exécutable “notepad.exe” s'ouvre.

Cependant il faut noter que n’importe quel “kit de forensics” permet de vérifier la présence d’ADS.

Source: livre “CEH” de Matt Walker aux éditions Mc Graw Hill

La bio, c’est beau…

En cette période mouvementée pendant laquelle j’ai de plus en plus de mal à consacrer du temps à l’activité qui m’intéresse le plus, je parle bien entendu de la sécurité...donc en cette période mouvementée disais-je, je m’autorise à réutiliser une vidéo que j’ai faite il y a quelque temps dans un contexte professionnel et qu’il me semble intéressant de partager ici avec vous.

Cette vidéo montre, au delà de la présentation des solutions de Gemalto, comment intégrer une carte à puce et son PIN code avec la vérification d’une empreinte biométrique réalisant ainsi une authentification à base de 3 facteurs: ce que je possède (la carte à puce), ce que je sais (le PIN code) et ce que je suis (l’empreinte de mon doigt).

Cette vidéo décrit rapidement quelques principes de la biométrie, les différents types de lecteurs biométriques et explique surtout les avantages du “Match On Card”.

Le “Match On Card“ consiste à stocker l’empreinte biométrique dans la carte à puce (afin de la vérifier localement). Le “Match On Card” s’oppose au “Match On Server” dans lequel les empreintes biométriques sont stockées du côté du serveur (solution qui, soit dit en passant, n’est pas sans présenter quelques problèmes d’ordre légal au regard des lois de certains pays, dont la France).

Assez bavardé! Voici la vidéo!

Comment obtenir un compte administrateur sous Windows?

C’est malheureusement très simple à mettre en oeuvre! Et bien que cela ne date pas d’hier l’expérience est toujours probante sur un Windows 7 Ultimate comme le montre la vidéo ci-dessous:




Il vous suffit d’avoir une clef USB bootable ou un “Live CD” avec Backtrack ou toutes autres distributions Linux selon vos préférences. Dans notre cas nous utilisons une Backtrack 5.

Pour obtenir le “Live CD” nous avons utiliser l’outil “remastersys” pour Ubuntu avec lequel nous avons généré un fichier “iso” bootable de notre VM Backtrack 5 préféré.

La première étape consiste à booter la machine cible sur notre “Live CD”.

Puis on remplace le fichier “Windows/System32/sethc.exe” par “Windows/System32/cmd.exe”. Pour information le fichier “sethc.exe” correspond à l’éxecutable qui est lancé lorsque l’on clique 5 fois sur la touche “shift” de notre PC (vous savez, ce sont les fameuses “sticky keys” de Microsoft).

Après avoir rebooter la machine cible et clique 5 fois sur la touche “shift”, une fenêtre “DOS” s’ouvre avec les droits “SYSTEME”. On crée alors un nouvel utilisateur en lui donnant les droits “administrateur”.

Enfin on reboote une dernière fois et on se connecte avec l’utilisateur précédemment créé.

Comme contournement il est possible de désactiver les “sticky keys” de la manière suivante

• Ouvrir “Démarrer” / “Panneau de configuration”
• Ouvrir “Options d’ergonomie” / “Rendre le clavier plus facile à utiliser”
• Désactiver “Souligner les raccourcis clavier et les touches d’accès rapide”

A bon entendeur!

Les mots de passes c’est bien, la biométrie c’est mieux ?

Je viens de m’offrir un ordinateur portable, un Alienware! Je sais, je suis un heureux homme! Et comme toujours j’ai configuré un mot de passe fort: minuscules, majuscules, caractères spéciaux et chiffres, et d’une longueur d’au moins… Mais c’est beaucoup trop long à saisir malheureusement pour un usage régulier (et la complexité du mot de passe est source d’erreurs de frappe)!

La biométrie apporte la solution en permettant de remplacer une authentification à 1 facteur de forme (le mot de passe) par une autre authentification du même type. Je ne gagne pas en sécurité mais en facilité d’utilisation. C’est le but!

Je ne dispose malheureusement pas de lecteur biométrique intégré alors j’utilise un lecteur d’empreintes digitales USB de la société Precise Biometrics, le modèle 100xs..

Dans ce qui suit je vais vous montrer à quel point la biométrie est facile à configurer sur un Windows 7 64 bits.

On insère le lecteur biométrique dans un des ports USB



Puis, après avoir ouvert le “Gestionnaire de périphériques” dans “Panneau de configuration / Matériel et audio / Périphériques et imprimantes” on fait un clique droit sur la ligne correspondant à notre capteur biométrique et on choisit “Mettre à jour le pilote”



Dans “Panneau de configuration / Matériel et audio” on trouve alors l’option “Périphériques biométriques”



On choisit l’option “Utiliser les empreintes digitales pour se connecter à Windows” et on suit le guide. On commence par confirmer que le capteur d’empreintes digitales est bien inséré.



Puis on sélectionne un doigt



Et on enregistre l’empreinte digitale correspondant à ce doigt, trois fois consécutives



Et c’est fini!

Note: Gemalto propose, avec la carte à puce, d’ajouter un deuxième facteur d’authentification à l’authentification biométrique. Vous devez alors entrer votre carte dans le lecteur de cartes (ce que je possède) et faire glisser votre doigt sur le lecteur biométrique (ce que je suis ) pour accéder à votre ordinateur.

Note: Merci Nico pour le lecteur biométrique

L’authentification par reconnaissance faciale

Toujours à la recherche de la méthode d’authentification idéale dans un contexte familial, privilégiant la facilité d’authentification à la sécurité, voici un article sur l’utilisation de la biométrie et plus particulièrement de la reconnaissance faciale. Cet article est dans la lignée de “S’authentifier à la maison avec un certificat dans une carte à puce, c’est possible!” traitant de l’authentification par certificat dans une carte à puce sans avoir de contrôleur de domaine.

L’authentification par reconnaissance du visage est permise par la société Luxand avec leur produit Luxand Blink!. La version gratuite, mais limitée, du logiciel est téléchargeable à l’URL suivante: Luxand Blink!.

Nous allons utiliser un “Windows 7 Familial Premium 32 bits” en français pour réaliser notre test.

La première étape consiste à installer “Luxand Blink!”. Une documentation en anglais est disponible sur le site de Luxand.

Il est bien entendu nécessaire de posséder une webcam afin de permettre la reconnaissance faciale.

La phase d’installation est très simple et assez intuitive. Une fois l’installation terminée, il est possible d’accéder à la configuration de Luxand Blink! à partir de la barre de tâche: clique droit et “Settings”.

 

En sélectionnant “History” on obtient la liste des authentifications réussies.

  

La phase d’authentification dure quelques longues secondes pendant lesquelles on se demande un peu ce qui se passe. On observe cependant un petit carré vert qui apparaît de temps à autres autour du visage confirmant l’acquisition des données biométriques.

Mais globalement l’expérience est plutôt concluante. Cependant, en revenant de chez le coiffeur (c’est parfois nécessaire!), la reconnaissance faciale ne fonctionnait plus et j’ai dû réinitiliaser mes données biométriques! La reconnaissance du visage a donc ses limites! D’un point de vue strictement sécuritaire, il est préférable de refuser l’accès à une personne autorisée qu’accorder l’accès à quelqu’un qui n’a pas les droits. Mais enfin! Heureusement que Luxand permet à l’utilisateur de choisir entre l’authentification par mot de passe et la reconnaissance faciale!

Par ailleurs on peut noter que Luxand conseille à l’utilisateur d’enregistrer les données biométriques dans des conditions optimales (i.e. peu variables) incluant une lumière homogène et une expression calme du visage.

Dans la version actuelle, chaque utilisateur du poste possédant son propre compte, lors de la connexion qui suit la première installation de Luxand Blink!, doit configurer ses données biométriques pour bénéficier de l’authentification par reconnaissance faciale. Dans une prochaine version Luxand annonce la possibilité de déclarer plusieurs utilisateurs sur le même compte.

La version professionnelle permet de vérifier votre présence devant l’ordinateur à intervalles réguliers paramétrables et de verrouiller le poste en cas d’absence.

Je n’ai cependant pas trouvé dans cette version la possibilité de stocker les données biométriques dans un token ou une carte à puce. C’est bien dommage! Cela permettrait d’ajouter un deuxième facteur d’authentification.

Encrypter vos clefs USB avec “BitLocker to Go”

Microsoft BitLocker to Go permet d’encrypter vos clefs USB. Ainsi en cas de vol ou de perte de votre clef, vos données personnelles ne sont pas compromises.

L’encryption par BitLocker peut être activée soit par un administrateur ou par l’utilisateur du poste.

Dans cet article nous allons montrer comme un utilisateur peut activer BitLocker to Go pour protéger ses données.

BitLocker est intégré à l’explorateur Windows de Windows 7. Lors de l’insertion de ma clef USB, Windows 7 me propose d’activer Bitlocker to Go.

Nous allons choisir de protéger notre clef avec un mot de passe, mais il est aussi possible et conseillé d’utiliser une carte à puce. Dans ce cas, la carte à puce et la saisie du code PIN sont nécessaires pour autoriser la lecture des données de la clef USB.

Dans le cas où l’utilisateur oublie son mot de passe (ou perd sa carte à puce), un fichier contenant la clef d’encryption est stocké sur la machine (ou imprimé à la convenance de l’utilisateur). Si ce fichier est perdu alors la clef USB ne peut plus être déchiffrée. Mais Microsoft permet de stocker les clefs d’encryption dans Active Directory. De même Microsoft permet de déployer l’utilisation de Bitlocker via les GPO (Group Policy Objects).

Puis la clef est encryptée.

Pour utiliser la clef USB ainsi encryptée il est nécessaire de saisir son mot de passe lors de son insertion.

Note: Pour désactiver BitLocker pour une de vos clefs allez sur “Control Panel/System and Security/BitLocker Drive Encryption” et désactiver BitLocker.

Source: WindowsNetworking.com “Using BitLocker to encrypt removable media

Tags:

Technorati Tags: Windows 7,BitLocker

del.icio.us Tags: Windows 7,BitLocker

BuzzNet Tags: Windows 7,BitLocker

S’authentifier à la maison avec un certificat dans une carte à puce, c’est possible!

A la question “Est-il possible d’authentifier un utilisateur local avec un certificat stocké dans une carte à puce?”, Microsoft répond “Non, pour s’authentifier avec un certificat sur une carte à puce il est nécessaire d’utiliser Kerberos et l’utilisation de Kerberos n’est possible qu’avec un contrôleur de domaine”.

Eh bien moi je vous annonce qu’il est désormais possible de le faire avec l’aide de Vincent Le Toux! Merci Vincent!

Deux possibilités s’offrent à vous, vous pouvez soit:

• créer un certificat avec vos outils préférés puis le stocker sur votre carte à puce
• générer automatiquement votre certificat via l’outil de Vincent

J’ai personnellement utilisé le certificat généré par l’outil (ce certificat est stocké sur ma carte à puce Gemalto .NET). Je peux visualiser le contenu de ma carte à puce avec l’outil en ligne .NetUtilities.

La première étape consiste à me connecter comme d’habitude sur mon Windows 7 Edition Familiale Premium 64 bits avec mon mot de passe préféré et à installer EIDAuthenticate (la solution fonctionne avec Windows Vista, Windows 7, 32 et 64 bits selon l’auteur).

Puis je lance Smart Card Logon dans System and Security:

Je choisis l’option Configure a new set of credentials car ma carte à puce ne contient pas de certificat.

Je sélectionne le certificat généré (dans mon cas je n’en ai qu’un) après avoir décidé de lui faire confiance. Tous les boucliers doivent être verts.

Puis je saisis le mot de passe de mon compte Windows (après avoir activé Activate the remove policy pour permettre de me déconnecter à chaque retrait de ma carte à puce)

Enfin je saisis mon code PIN

Lorque je me connecte sur mon ordinateur avec ma carte à puce insérée dans mon lecteur j’ai la possibilité de m’authentifier avec mon mot de passe standard (cette option peut être désactivée) ou avec ma carte à puce. Je choisis la carte à puce et le certificat qu’elle contient et je saisis mon PIN.

En conclusion, cette solution permet d’avoir un niveau de sécurité équivalent au mot de passe. Mais elle présente l’énorme avantage de la facilité d’utilisation (on pourrait également désactiver la saisie de PIN pour plus de simplicité). Cette facilité d’utilisation est l’élément différenciateur dans un environnement familial.

Source: Vincent Le Toux - http://www.mysmartlogon.com/

Protéger vos applications avec AppLocker

Microsoft AppLocker disponible sous Windows 7 permet de restreindre les applications qui peuvent être exécutées sur un poste. Cette fonctionnalité est très intéressante en entreprise pour éviter qu’un poste soit corrumpu par une application non nécessaire à l'entreprise et infecte ainsi les autres postes du réseau.

AppLocker permet par exemple d’interdire les applications portables (“portable apps”) présentes sur les clefs USB.

Dans cet article nous allons à titre d”exemple interdire l’application “notepad.exe”.

Pour cela nous allons définir un ensemble de règles dans AppLocker pour implémenter notre stratégie.

AppLocker nécessite que le service “Application Identity” soit démarré.

Lancer “secpol.msc” pour pouvoir gérer “Local Security Policy”. La configuration d’AppLocker se trouve sous “Application Control Policies”.

Par défaut il est possible de créer 3 types de règles pour:

• les exécutables
• les installeurs Windows
• les scripts

Si vous sélectionnez “AppLocker/Properties/Advanced” vous pouvez activer un nouvel ensemble de règles pour les “dll”.

Créons une première règle pour interdire l’exécution de “notepad.exe”

• Sélèctionnons “Executables Rules/Create New rule…/Next/Deny” pour interdire un exécutable
• Choisissons l’utilisateur ou le groupe d’utilisateurs auquel s’applique la règle: ”Everyone”
• Sélectionnons “Next” puis “Path” pour identifier l’exécutable par son chemin d’accès
• Entrons le chemin de “notepad.exe” qui est “C:\WINDOWS\system32\notepad.exe”
• Sélectionnons “Next” puis “Create”

La règle est créée et active. Mais “notepad.exe” se trouve aussi sous “C:\WINDOWS\notepad.exe”, il est donc nécessaire de créer une nouvelle règle pour cet autre chemin. On peut donc en conclure que toute autre copie de “notepad.exe” se trouvant dans un autre répertoire peut être exécutée.

Notre approche “black list” peut donc être associée à une approche “white list” donnant le chemin de l’exécutable autorisé.

Note: il est possible de tracer les actions d’AppLocker dans “Event Viewer/Applications and Services Logs/Microsoft/Windows/AppLocker”.

Note: En entreprise il est possible de déployer ces règles par GPO (Group Policy Objects).

Source: MISC n° 49 “Jouons avec Applocker” de Sylvain Sarméjeanne

Tags:

BuzzNet Tags: Windows 7,AppLocker

del.icio.us Tags: Windows 7,AppLocker

Technorati Tags: Windows 7,AppLocker

Une parade à l'attaque Man In The Middle (ou pas)!

Pour éviter une attaque de type MITM (Man In The Middle) dans une architecture orientée services, une solution possible est le CBT (Chain Binding Token de Microsoft) appelé aussi "Extended Protection for Authentication".

Cette solution, proposée par Microsoft, fait partie de WCF et apparaît avec le .NET Framework 3.5 et Windows 7.

WCF (Windows Communication Foundation) est un sous-système de communication de Windows Vista. Les applications WCF peuvent être développées en utilisant les différents langages de Microsoft .NET. WCF est l'un des composants majeurs du .NET Framework 3.0, qui est inclus dans Windows Vista et Windows Server 2008.

Le modèle de programmation WCF est une couche d'abstraction qui unifie et simplifie la mécanique d'intégration des services Web (entre autres choses).

Si vous souhaitez mieux comprendre en quoi consiste une attaque du type MITM, vous pouvez consulter l'article du blog suivant "L'attaque MITM démystifiée avec Backtrack 3".




Décrivons le scénario d'attaque suivant avec 3 participants: un client, un serveur et un attaquant.




L'attaquant fait croire au client qu'il accède au serveur alors qu'en fait le client accède à l'attaquant. Puis l'attaquant transmet la requète du client au serveur. Le serveur répond à l'attaquant avec une demande d'authentification HTTP sous la forme d'un header contenant un "WWW-Authenticate". L'attaquant ne dispose pas des informations d'authentification, il va alors transmettre le "WWW-Authenticate" au client. Le client envoie alors à l'attaquant (qu'il prend pour le vrai serveur) la réponse au "WWW-Authenticate" avec un header contenant un "Authentication" (qui est la réponse au "WWW-Authenticate" contenant les informations d'authentification). Puis l'attaquant se contente de transmettre le "Authentication" au serveur. L'attaquant a ainsi accès aux ressources sécurisées du client.





Généralement, quand un client s'authentifie auprès d'un serveur avec une authentification Kerberos ou NTLM en utilisant HTTPS, un canal SSL est établi en premier lieu afin de permettre à la phase d'authentification d'avoir lieu dans de bonnes conditions. Cependant il n'existe pas de lien entre la clef de session générée par SSL et la clef de session générée pendant l'authentification.


Ainsi, dans le scénario précédent, il y a deux canaux SSL distincts: un entre le client et l'attaquant et un entre l'attaquant et le serveur. Les "credentials" du client (généralement le nom d'utilisateur et le mot de passe) sont envoyés vers le serveur en premier lieu au travers du canal SSL entre le client et l'attaquant, puis dans un deuxième temps au travers du canal SSL entre l'attaquant et le serveur. Une fois que les "credentials" sont transmis au serveur, le serveur vérifie les "credentials" sans pouvoir détecter que le canal SSL au travers duquel les "credentials" ont été transmis est celui en provenance de l'attaquant et non pas celui en provenance du client.





La solution consiste à utiliser un canal SSL externe et un canal interne (celui du client authentifié) et à passer un CBT au serveur (Channel Binding Token). Le CBT est une propriété du canal SSL externe, et il est utilisé pour lier le canal SSL externe au canal interne (celui du client authentifié).





Dans le scénario précédent, le CBT du canal "client-attaquant" est combiné avec les informations d' "Authentication" transmises par le client au serveur en réponse au "WWW-Authenticate" (via l'attaquant). Un serveur capable de gérer ce CBT qui correspond au canal SSL "client-attaquant" le compare au CBT attaché au canal "attaquant-serveur". Le CBT est lié à la destination du canal, et donc le CBT "client-attaquant" ne correspond pas au CBT "attaquant-serveur". Le serveur peut ainsi détecter l'attaque MITM et refuser la requète d'authentification.



Le client ne nécessite aucune configuration particulière (à partir du moment où le CBT est implémenté). Une fois que la machine cliente à été mise à jour pour passer le CBT, elle le fait toujours. Si le serveur à lui aussi été mise à jour alors il peut être configuré pour vérifier ou ignorer le CBT. S'il n'a pas été mis à jour alors le serveur ignore toujours le CBT.

N'est-ce pas fantastique!

La vidéo ci-dessous va nous permettre au travers d'un exemple de comprendre comment configurer le CBT entre un client et un serveur.

Il nous reste maintenant à vérifier que cette nouvelle solution ne présente pas de failles. Mais ceci est une autre histoire!

Source: Microsoft MSDN http://msdn.microsoft.com/en-us/library/dd767318.aspx

Plus d'AutoRun dans Windows 7...!

Devant l'augmentation des menaces liées à la fonctionnalité AutoRun, Microsoft a décidé de réagir par la suppression de la fonctionnalité AutoRun à partir de Windows 7 disponible en fin d'année.

Avant de détailler les changements de Windows 7 il est important de comprendre la différence entre l'AutoRun et l'AutoPlay:

L'AutoRun est une technologie utilisée pour démarrer des programmes automatiquement quand un CD ou un autre média est inséré dans l'ordinateur. L'objectif principal de l'AutoRun est de fournir une réponse logicielle à une action matérielle qu'un utilisateur déclenche sur un ordinateur.

L'AutoPlay est une fonctionnalité Windows qui permet à l'utilisateur de séléctionner quel programme démarrer quand un type spécifique de média est inséré e.g. CD ou DVD. Pendant l'AutoPlay le fichier Autorun.inf est aussi parcouru. Ce fichier (s'il est disponible) spécifie quelles commandes additionnelles seront affichées dans le menu de l'AutoPlay. De nombreux fournisseurs de logiciels utilisent cette fonctionnalité pour démarrer l'installation de leur logiciel.


Ceci étant dit, quels sont les changements apportés dans Windows 7?

Premier changement: l'AutoPlay ne supporte plus la fonctionnalité AutoRun. En d'autres termes, l'AutoPlay continuera à fonctionner pour les CD/DVDs mais il ne fonctionnera plus pour les clefs USB. Les images ci-dessous montre le changement: avec Windows 7, l'AutoPlay est sécurisé.

Avant le changement:

Après le changement:

Deuxième changement: la boîte de dialogue fait apparaître explicitement que le programme que l'on souhaite exécuter se trouve sur la clef USB.

Avant le changement:

Après le changement:

Ce changement devrait aussi être disponible sous Windows Vista et Windows XP.

Source: Microsoft