Tout le monde aime la sécurité. Surtout les professionnels.

Dans le nouvel article de cette série consacrée à Windows Phone 7, j’aborde un autre aspect des bénéfices qu’apporte cet OS pour les utilisateurs professionnels et les DSI : la sécurité.

Sécurité dans la conception de l’OS

L’OS a été construit à partir d’une page blanche, selon la méthodologie Microsoft SDL (Security Development Lifecyle). Cette méthodologie a fait ses preuves sur Windows 7, où le nombre de failles de sécurité a été largement mitigé par rapport à ses prédécesseurs. Le principe de cette méthodologie repose sur l’analyse des menaces, les tests de pénétration et les pratiques de développement sécurisé.

Au delà de cette méthodologie, les approches suivantes ont été mises en place :

• modèle de sécurité basé sur l’isolation et sur l’utilisation de privilèges les plus bas possibles pour faire tourner les applications
• protection des données pour s’assurer que les données en transit ou stockées sur le téléphone sont protégées
• minimisation de la surface d’attaque

Ainsi, une application ne peut voir les données d’une autre application, que ce soir au niveau de la mémoire ou du stockage (isolated storage).

De plus, les applications doivent être écrite dans un langage de programmation managé (Microsoft .NET), ce qui permet de contrôler les APIs utilisées, et empêche la présence de failles comme l’exécution de code arbitraire par dépassement de buffer.

Le navigateur Web est traditionnellement source de failles de sécurité dans les OS modernes.
Ici, la version d’Internet Explorer 9 qui est installée est sécurisée au maximum :

• tourne en mode sandbox avec les privilèges les plus bas possibles
• impossible aux applications web d’accèder aux ressources des applications du téléphone
• impossible d’installer des applications depuis le navigateur
• pas de mécanisme de plug in (il est donc par exemple ironiquement impossible de voir une application Silverlight à l’intérieur du navigateur !)

Enfin, Microsoft a la capacité technique de pousser sur les téléphones une mise à jour critique si une faille de sécurité critique venait à être découverte.

Sécurité dans le contrôle des application installées

Le seul moyen de déployer des applications est de passer par la Windows Phone MarketPlace; le chargement d’applications par le navigateur web mobile ou le desktop n’est pas autorisé.

Toutes les applications de la MarketPlace sont certifiées et validées avant qu’elle ne soient disponibles au public. Ce processus de validation permet de filtrer les malwares.

Distribution d’applications d’entreprise via la Market Place

Une entreprise a la possibilité de distribuer via la MarketPlace  publique Microsoft des applications réalisées spécifiquement pour un usage interne. Bien entendu, seuls les utilisateurs internes auront accès à cette application sur la MarketPlace.

Pour faire cela, les administrateurs de l’entreprise peuvent créer un espace dédié dans la Market Place et restreindre l’accès aux applications qui s’y trouvent à un public donné.

La mise à jour de ces applications métier se fait de la même manière que pour les applications publiques, ce qui ne perturbe pas les utilisateurs !

Pas besoin, comme sur d’autres plateformes mobiles, de serveurs d’infrastructure supplémentaires pour gérer un canal de distribution “privé”.

Sécurité de l’accès au téléphone

Si le mécanisme de déverrouillage du téléphone n’a rien de révolutionnaire de par le recours à un mot de passe, on échappe au moins aux failles des systèmes révolutionnaires (la reconnaissance faciale d’Android déjouée via présentation d’une photo, pas sûr que cela plaise au DSI).

Il est néanmoins appréciable pour les entreprises de pouvoir aller au delà des sempiternels codes à 4 chiffres, pour autoriser ou imposer des mots de passes plus complexes (plus long, à base de chiffres ET de lettres, avec expiration, avec gestion de l’historique des mots de passe déjà utilisés…). On peut également définir un plafond d’échecs d’authentification au delà duquel le téléphone va se reformater et se réinitialiser.

On notera la possibilité de localiser, faire sonner, verrouiller ou supprimer le contenu du téléphone à distance, via le portail www.windowsphone.com. Pratique et sécurisant en cas de perte ou de vol.

L’écran de verrouillage lui même est également intéressant en terme de sécurité, et de manière assez subtile…
En effet, on y trouve une synthèse des événements qui se sont passés pendant la période de verrouillage (nombre d’appels ratés, nombre de SMS reçus, nombre de mails non lus, prochain rendez vous). Cela évite d’avoir à déverrouiller constamment son téléphone pour vérifier ces informations … ainsi l’utilisateur sera moins tenté de désactiver cet écran de verrouillage !

Pour en finir avec cette partie, je tiens à citer une limitation de l’OS qui se révèle pleinement justifiée pour des raisons de sécurité : impossible de loger une carte SD amovible dans un combiné Windows Phone, donc impossible de se la faire voler ou copier ! Certains téléphones contiennent une carte SD interne inamovible (cachée dans le chassis); si une personne mal intentionnée venait à dessosser le téléphone pour y accéder, cela n’exposerait pas pour autant les données car celles-ci sont chiffrées avec des clés de cryptographie liées au téléphone lui même !

Gestion des droits pour la messagerie et les documents Office

Dans le monde de l’entreprise, il est nécessaire de pouvoir contrôler finement les droits de chacun à transmettre l’information. Il est courant de rendre impossible à un utilisateur de messagerie de copier le contenu d’un email ou de le faire suivre à l’extérieur de l’entreprise .

Par exemple il est en général peu apprécié que les résultats financiers d’une entreprise cotée se retrouve divulguée avant la date officielle. Si ces mécanismes ne sont pas suffisants en soi, ils constituent une barrière qui contribue au contrôle de la sécurité des données de l’entreprise.

Windows Phone respecte le mécanisme de gestion de droits d’Exchange (IRM, Information Rights Management), qui permet de contrôler la distribution du message une fois qu’il a été délivré à son destinataire.

Windows Phone 7 Mango est (selon Microsoft) le seul OS mobile capable de gérer ce type de règles de droits, que ce soit dans la messagerie (son client Exchange) ou plus globalement dans les documents Office.

On emballe ?

De la même manière que nous l’avons vu sur l’aspect productivité, la plateforme Windows Phone 7 est parée pour l’entrerprise de par les nombreux dispositifs de sécurisation du terminal et de ses données.

Pour plus d’informations, vous pouvez vous référer aux différents guides Windows Phone publiés à destination du public IT.

Information de dernière minute !

Un bug a été identifié à la mi décembre sur le traitement des SMS dans le Hub des messages Windows Phone.
Celui ci se matérialise par un Denial Of Service : le téléphone se bloque si on essaye d’afficher un SMS « piégé ».
Y aurait il une malédiction du SMS ? IOS et Android avaient eu un problème similaire, si ce n’est qu’ici, les informations du terminal sont protégées (contrairement au bug IOS où l’envoi du SMS permettait la prise de contrôle à distance).
C’est un excellent test pour les mécanismes que je viens de décrire : nous allons voir comment Microsoft, les constructeurs et les opérateurs vont mettre à disposition le correctif… peut être le premier déploiement « forcé » en urgence  par Microsoft  ?

En tout cas, certains acteurs interprète l’identification et la publication de failles comme le signe d’un gain de popularité de la plateforme… à toute chose malheur est bon !

Cet article est le premier d’une (longue ?) série sur le thème Windows Phone.
On va commencer par analyser les raisons qui peuvent nous faire penser qu’on peut croire en cette plateforme…

La nécessité de repartir d’une page blanche

Au début de l’aventure de Microsoft sur les terminaux mobiles professionnels et grand public, les OS « PocketPC » (jusqu’en 2003) et « Windows Mobile » (de 2003 à 2010).

L’époque est lointaine (le concurrent se nommait alors Palm Pilot), mais je me rappelle avec émoi de mon cher Compaq IPaq, qui m’a rendu bien des services et initié aux joies de la mobilité.

Encore commercialisé en 2010, l’OS parait daté face à ses concurrents : « bouton démarrer » et ergonomie générale trop calquée sur la platforme Windows « desktop »…

La perception de la marque est alors bien ecornée sur le marché du mobile. La part de marché s’érode et chute en dessous des 5%.

Ne pouvant se passer d’une présence dans le monde des smartphones (désormais plus d’une vente de mobile sur 2 !), et ayant une concurrence solide (IOS, Android, RIM), Microsoft doit frapper fort.

Quoi de mieux que repartir d’une page blanche, puisque la rétrocompatibilité a toujours été l’épine dans le pied de l’éditeur ?

Le concept Windows Phone

Donc, exit la rétrocompatibilité avec Windows Mobile, on fait place nette et on réinvente un concept.

Au centre : la stratégie largement mise en avant lors des derniers TechDays : « 1 cloud, 3 écrans » (le PC/tablette, le mobile, la TV).

Pour développer cette stratégie, on inscrit Windows Phone dans le mouvement de fond qui révolutionne les interfaces des OS Microsoft : Metro.

Metro est un langage de design d’interface graphique qui s’applique sur toutes les plateformes destinées à l’utilisateur final : PC & tablettes (Windows 8), téléphones (Windows Phone 7), et console de jeux (XBox). S’appliquant partout, elle offre une cohérence à l’utilisateur, et lui permet de ne pas avoir à se familiariser avec d’autres environnements graphiques.

Les principes essentiels de Metro sont :

• propre, léger, ouvert et rapide : le design de distingue visuellement de l’existant, contient des espaces vides (!), réduit l’encombrement d’information àl’écran, et élève la typographie en tant qu’élément clé du design
• mise en avant du contenu plutot que la forme : c’est souvent ce qui déconcerte les utilisateurs; les interfaces graphiques paraissent dépouillées, sansfioritures. C’est sciemment le cas, pour mettre en avant les informations que l’on veut communiquer à l’utilisateur. Le message marketing de la prmière version deWindows Phone le vendait d’ailleurs comme un téléphone qu’on achetait pour justement … faire autre chose que l’utiliser de par le temps gagné grâce à sa simplicité(peut-être pas la meilleure idée de publicitaire depuis Mad Men…)
• intégration du matériel et du logiciel
• cohérence : une application Metro doit respecter des guidelines précises, pour que l’utilisateur se sent tout de suite à l’aise grâce à des interactionsapplicatives qui lui sont familières

L’essayer, c’est l’adopter. On se retrouve très vite à en faire la publicité auprès de ses amis pour faire découvrir la richesse et la facilité d’utilisation de cet OS. D’ailleurs, Windows Phone 7 a gagné l’Award du meilleur OS mobile pour 2011 décerné par le site KnowYourMobile.

Le lancement, les performances commerciales

Si les premiers Windows Phone sont sortis en 2010, ils n’ont obtenus qu’un succès d’estime, car il n’y eu alors que très peu de combinés disponibles, ils furent mal ou pas distribués (jamais mis en avant dans les boutiques par méconnsaissance des vendeurs et du public) et quasiment aucun battage médiatique n’a accompagné cette sortie.

Ce relatif échec peut il être annonciateur d’un destin à la XBox ?

• flop pour la 1ère génération
• grand succès pour la 2ème !

Quoi qu’il en soit, nous sommes maintenant fin 2011.

Mango est sorti en Septembre en tant qu’OS, les premiers téléphones sont disponibles depuis Novembre.

L’association Nokia / Microsoft fonctionne à plein régime, avec la production de plusieurs terminaux grand public dont les tests sont très élogieux dans la presse.

Le manque d’applications dans la MarketPlace est désormais bien moins criant qu’au départ, de par l’effort d’évangélisation de Microsoft.

Ne disposant d’aucun chiffres de vente à l’heure actuelle, car on est encore trop proche de la date de lancement de Mango, on peut essayer de trouver des éléments plus ou moins factuels pour éclairer notre lanterne quant au succès de la plateforme…

• Le Nokia Lumia s’est retrouvé en rupture de stock enAngleterre
• HTC vendrait 30% de ses mobiles sousWindows Phone (les Titan, Radar…)
• Des analystes très optimistes
  • Strategy Analytics indique uneprévision de part de marché 2012 de 12% pour la plateforme en Europe de l’Ouest.
  • Gartner/IDC estime que WPsera le 2e OS d’ici à 2015
  • Pyramid Research prévoit même la domination de Windows Phone sur Android dès 2013

En tout cas, la machine de vente est en marche, avec de nombreuses campagnes de communication sur les canaux digitaux ou traditionnels, de l’incitation au développement d’applications…

Pourquoi se lancer dans le développement d’une application Windows Phone ?

Après le faux départ de 2010, la fusée décolle en 2011.

• Les fournisseurs de contenus et de services déjà présents sur les marketplaces des OS mobiles dominant doivent se poser la question : peut on passer à côtéde ce marché certes naissant, mais dont tout porte à penser qu’il va rencontrer une forte croissance ?
• Les entreprises doivent étudier les apports de WP7 en terme d’intégration dans leur système d’information (ce sera l’objet d’un autre article de blog)
• Les développeurs trouvent
  • un écosystème plus rémunérateur que l’Apple Store dans la proportion de revenu qui leur est restituée lors des ventes d’application.
  • un environnement de développement très productif, Visual Studio (ce sera aussi l’objet d’un autre article prochainement)

Pour tous ces acteurs, l’heure est peut être venue d’exploiter un système innovant et pouvant apporter plus de services et de valeur ajoutée à leurs utilisateurs…

L’avenir nous le dira, comme on dit… mais pour ceux qui n’ont pas le temps d’attendre l’avenir, Novedia se propose de vous accompagner sur vos développements Windows Phone 7 !

Quand les Tontons Flexeurs – communauté Flex française – organisent une soirée, j’essaie autant que faire se peut d’y aller. Quand en plus, l’actualité Flex est à ce point mouvementée que Michaël Chaize est de la partie et que l’invitation mentionne « pizzas/bières », je ne pouvais vraiment pas ne pas en être!

C’était donc hier soir, à la Cantine, avec pour objectif de faire une grande remise à plat des évènements qui ont bouleversé le monde Flex ces dernières semaines.

C’était surtout l’occasion de parler de la grosse erreur (que dis-je, du « cataclysme ») de communication de la part de la direction d’Adobe (voir le fameux article du 9 novembre), à savoir l’annonce de l’arrêt du support du Flash Player sur mobile, et la réorientation stratégique vers HTML5. Et bien sûr panser les blessures de la communauté Flex en regagnant la confiance de tout ce petit monde…

Explications.

Flex is D43D

Après une introduction de Yann Chevalier (leader de la communauté TTFX), Michaël Chaize prend la parole et nous rassure tout de suite :

• Flex n’est pas mort, aucun changement pour les applications côté desktop : ni côté Flash Player embarqué dans les navigateurs, ni côté AIR,
• Seul le support de Flash pour le mobile est arrêté, c’est à dire que seuls les tablettes/smartphones Android sont impactés, mais Android4 ICS sera la dernière mouture embarquant un player Flash,
• Les applications Flex mobile « natives » (tournant sur AIR donc) sont plus que jamais d’actualité, et deviennent même le fer de lance de la technologie Flash/Flex

En clair, Apple a gagné le match, possédant 95% du marché des tablettes (le vrai marché visé par les sites web « riches ») et refusant d’accueillir le player Flash. Adobe capitule donc et stoppe sa R&D autour de ces nouvelles plateformes, en argumentant que se focaliser des années sur les quelques pourcents laissé par Apple  à ses concurrents est une cause perdue…

Néanmoins, Adobe laisse libre cours aux éditeurs d’OS mobile pour continuer à investir s’ils le désirent sur cette technologie. C’est ainsi qu’au lendemain de l’annonce d’Adobe, RIM a répondu immédiatement que leur implémentation de Flash Player sur leurs Blackberry PlayBook actuelles et à venir était maintenue ! Et c’est certainement une bonne stratégie, s’ils veulent conserver un argument de vente contre l’iPad, et grignoter des parts de marché côté tablettes.

Passage par la fondation Apache

Le gros tollé de la semaine dernière c’était donc le « don » de « Flex » à la fondation Apache. Pour Michaël Chaize, c’est une des meilleures choses qui pouvait arriver à Flex, qui plutôt que de tomber dans l’oubli (ou dans un carton perdu chez Adobe) va être aux mains de la communauté, va pouvoir évoluer, et une version 5 du SDK serait en préparation, la première version sous l’étiquette Apache.

Au passage, Flex SDK étant d’ores et déjà open source, son passage chez la fondation Apache serait uniquement un changement de gouvernance, et serait (toujours selon nos interlocuteurs) un grand bien pour notre techno adorée !

Mais en quoi consiste ce don ?
Bien plus que le SDK, c’était l’occasion de happer d’autres projets d’Adobe vers de l’open source, notamment :

• Flex SDK donc,
• les composants Flex 5 déjà réalisés par Adobe,
• Flacon, compilateur Flex 10 fois plus rapide et « temps réel » (valide/highlight le code pendant la saisie, et devait être réservé à FlashBuilder)
• FalconJS, projet expérimental, mais déjà assez avancé de cross compilation Flex (AS3) vers HTML/Javascript (c’était un projet jusqu’alors secret)
• BlazeDS

Ca sera donc l’occasion de faire évoluer plus rapidement et de mutualiser les évolutions/branches de ces produits réalisées par la communauté de flexeurs.

Pourquoi Flex ?

Selon Yann et Michaël, la fin de Flex ce n’est donc pas pour tout de suite. Surtout avec l’engouement des développeurs de jeux pour Flash, l’écosystème Facebook et ses applications en Flash, et la possibilité (unique !) de déployer une application Flex indépendamment sur iOS / Android ou Playbook… Et surtout, quel plaisir de travailler avec ce genre de technologie RIA, quand on voit l’état actuel du marché concernant HTML5, son outillage, son architecture pas vraiment adaptée « composants » etc…

Pour illustrer cela, la semaine dernière, à la Devoxx 2011, à la question « quel IDE et outils de développement utilisez-vous pour concevoir vos jeux en HTML5 ? », James Williams qui a écrit un livre sur la question, répondait sans honte qu’il utilisait « vim voire emacs pour faire du HTML5, sans tests unitaires ni industrialisation, etc… ». HTML5 ne serait pas encore prêt pour des développements de grande envergure et en équipe… mais tout devrait bien sûr changer dans les années à venir !

D’après Michaël Chaize, le marché est en pleine expansion, Adobe a une carte à jouer et ne va pas rater le coche de l’HTML5 (voir Edge d’Adobe), mais la techno ne serait pas encore prête pour concurrencer/rattraper Flex et son écosystème pour le développement de RIA avant 4 ou 5 ans. Et, nous dit-il, « on ne sait pas non plus comment Flex aura évolué d’ici là ». Dans tous les cas, si transition il y a, la communauté Flex l’aura préparée, et sera la première armée pour ce genre de développement.
D’autant plus que le « Write once Deploy Everywhere » de Flex mobile semble inspirer Adobe qui a expérimenté avec FalconJS la traduction AS3 vers Javascript… pourquoi ne pas imaginer à moyen terme développer toutes nos RIA en Flex, et choisir au déploiement la plateforme cible Flash, HTML5, iOS, etc… ?

Flex et son système de description par composant serait la seule solution puissante pour du développement de RIA, et HTML5 n’y serait pas encore adapté ? C’est ce qu’on nous dit !

Seul le domaine des bannières de pub serait la branche amenée à disparaitre à moyen terme selon Adobe.

Et pour la suite…

Côté annonces, il va surtout y avoir la sortie d’un FlashBuilder 4.6, des nouvelles versions de AIR incorporant des capacités 3D très poussées.

La soirée se termine par des questions réponses, toutes plus passionnées les unes que les autres. La communauté est bien là et s’inquiète pour sa technologie préférée.

Nos deux compères nous susurrent que de grands succès et grandes annonces sont à venir, et vont dissiper ce brouhaha médiatique qui s’est emparé de l’information. D’ici le début de l’année prochaine, la situation devrait être stabilisée… Et ils insistent : nous ne devrions pas être déçus par ce qui se prépare !

Avec les collègues, nous avons fini la soirée à une terrasse chauffée non loin du lieu de la soirée, avec Michaël Chaize en Guest Star… et décidément, il est vraiment très sympa !

To be continued…