- Les équipements partagés — kiosques, terminaux de point de vente, postes de travail communs, tablettes de salle de réunion — posent des défis de sécurité distincts des terminaux personnels : pas d'utilisateur unique responsable, sessions multiples, et configuration souvent figée.
- La session d'un utilisateur précédent sur un terminal partagé peut exposer des données ou des accès à l'utilisateur suivant si la déconnexion n'est pas complète — tokens en cache, historique de navigation, fichiers téléchargés localement.
- Twitter/X (2020) a été compromis via des outils d'administration accessibles à plusieurs employés avec des droits insuffisamment granulaires — illustrant que les accès partagés augmentent la difficulté de l'attribution des actions et la détection des abus.
- Le profil kiosque (mode kiosque MDM) verrouille le terminal à une seule application ou un ensemble d'applications définies, supprimant l'accès au reste du système — adapté aux terminaux de point de service, bornes interactives, et équipements industriels dédiés.
- Les journaux d'accès sur les équipements partagés sont critiques : ils permettent d'attribuer les actions à un utilisateur spécifique malgré l'usage partagé, et constituent la seule base de responsabilisation individuelle sur ces terminaux.
Les équipements partagés constituent une catégorie souvent négligée dans les programmes de sécurité mobile. Kiosques interactifs en espace de service, terminaux de point de vente, postes de travail partagés dans les open spaces ou les sites de production, tablettes de salle de réunion : ces équipements présentent des défis de sécurité distincts de ceux des terminaux à utilisateur unique. Leur gestion ne peut pas simplement copier les politiques des terminaux personnels — elle requiert une approche adaptée à leur mode d'usage.
La problématique centrale des équipements partagés est la multiplicité des utilisateurs sans contrôle d'accès individuel adapté. Sur un terminal personnel, les données, sessions et accès appartiennent à un utilisateur unique qui en est responsable. Sur un terminal partagé, plusieurs utilisateurs accèdent successivement au même terminal, potentiellement avec des droits différents, et les données et sessions de chaque utilisateur peuvent affecter les sessions suivantes si les mécanismes d'isolation ne sont pas en place.
Les risques spécifiques aux sessions partagées
Chaque session sur un terminal partagé peut laisser des traces accessibles aux sessions suivantes. Dans les navigateurs : historique de navigation, données de formulaires auto-complétées, sessions web non déconnectées, et fichiers téléchargés dans le répertoire Téléchargements commun. Dans les applications : tokens d'authentification maintenus en cache pour éviter la ressaisie à chaque connexion (comportement par défaut de nombreuses applications non configurées pour les terminaux partagés). Dans le système de fichiers : documents enregistrés localement, captures d'écran, fichiers temporaires contenant des données de traitement. Ces données résiduelles peuvent être exploitées volontairement par un utilisateur malveillant cherchant à accéder aux informations des sessions précédentes, ou involontairement via la suggestion automatique dans les formulaires ou la complétion automatique des champs.
Le mode kiosque : dédier le terminal à une fonction
Le mode kiosque (Kiosk Mode) est la configuration la plus sécurisée pour les terminaux dédiés à une fonction spécifique. Via le MDM, le terminal est verrouillé : seule l'application (ou le groupe d'applications) définie par l'administrateur est accessible ; le reste du système est inaccessible aux utilisateurs finaux. Les boutons physiques, les gestes système (accès à l'écran d'accueil, aux paramètres), et les notifications sont désactivés. Cette configuration est adaptée aux kiosques de service (prise de rendez-vous, consultation de catalogue), aux terminaux de point de vente dédiés, aux bornes interactives en espace public, et aux tablettes de production avec une seule application métier. La maintenance de ces terminaux (mises à jour, changement d'application) se fait à distance depuis la console MDM, sans intervention physique sur chaque terminal.
La compromission de Yahoo — 3 milliards de comptes — a impliqué des accès à des systèmes internes avec des identifiants volés. L'ampleur de la compromission, révélée deux ans après les faits, illustre que les accès partagés à des systèmes critiques sans journalisation et surveillance des actions individuelles permettent des activités malveillantes de longue durée sans détection. Sur des terminaux partagés ou des systèmes à accès multiples, la journalisation nominative de chaque action est la condition minimale de la responsabilisation et de la détectabilité des abus.