MSI : Microsoft Installer (Windows Installer)
Infrastructure
MSI : Microsoft Installer, ancien nom de Windows Installer, et par extension le format des paquets d'installation .msi. « Le paquet qui décrit à Windows, sous forme de base de données, ce qu'il faut copier, inscrire et configurer pour installer un logiciel », par analogie avec le bon de livraison accompagné du livreur : on signe en bas, et l'on découvre ensuite ce qu'il a installé dans le salon.
Fonctionnement : Un fichier .msi est une base de données qui décrit fichiers, clés de registre, raccourcis et actions personnalisées ; le moteur Windows Installer (msiexec) l'exécute, peut le faire sans interface (option /qn) et sait réparer ou désinstaller proprement. Le format est apparu à la fin des années 1990.
Déploiement : Les entreprises déploient les paquets MSI par stratégie de groupe (GPO) ou par un outil de gestion de parc, avec des paramètres imposés à l'installation. L'installation s'exécute alors avec le compte système : le paquet doit donc être signé, stocké sur un partage en lecture seule pour les utilisateurs et vérifié avant diffusion.
Pièges connus : La stratégie AlwaysInstallElevated, si elle est activée à la fois dans HKLM et dans la ruche de l'utilisateur, permet à n'importe quel utilisateur d'installer un paquet MSI avec les droits du système, ce qui équivaut à lui offrir les clés en le priant de ne pas s'en servir. Les fichiers MSI servent aussi souvent de vecteur à des logiciels malveillants envoyés par courriel ou proposés sur de faux sites de téléchargement.
Homonyme : MSI est aussi le nom du fabricant de cartes mères et d'ordinateurs Micro-Star International, sans rapport avec le format d'installation.
Ce qui arrive si on s'en passe
Activer AlwaysInstallElevated pour simplifier la vie des utilisateurs donne à chacun d'eux le moyen de devenir administrateur de son poste en quelques secondes, avec un paquet MSI fabriqué pour l'occasion. Déployer par GPO un paquet stocké sur un partage modifiable par d'autres comptes permet à quiconque y écrit de faire installer son propre code, avec les droits du système, sur tout le parc. Et laisser les utilisateurs exécuter des MSI non signés téléchargés au hasard revient à confier l'installation des logiciels à la chance.
Explication de la marmotte
Pour installer un logiciel sur Windows, on utilise souvent un fichier qui se termine par .msi. Ce fichier contient le logiciel et une description de tout ce qu'il faut faire pour l'installer : où copier les fichiers, quels réglages modifier. Dans une entreprise, les informaticiens peuvent envoyer ces fichiers automatiquement à tous les ordinateurs. Comme l'installation se fait souvent avec des droits très élevés, un fichier MSI piégé peut prendre le contrôle complet de la machine.
Où ce terme est utilisé
- Configurer une détection open source avec Wazuh (1 occurrence)