¿De verdad no quieres probarlo?

*********************************************
Publicado en Windows TI Magazine Febrero 2007
*********************************************

Durante el lanzamiento de Windows XP, allá por el año 2001, con mi traje y mi corbata y, sin calcetines en Barcelona que me los olvidé, realizamos presentaciones sobre lo que serían las novedades de aquel sistema operativo. Las críticas que escuché en aquel entonces respecto al sistema me vienen a la memoria en estos tiempos por lo similares que son. “Consume demasiados recursos”, “Luna no aporta nada” (ese es el nombre que recibió el Interfaz gráfico que muchos en su origen cambiaban a la vista clásica).

Con el lanzamiento de Windows Vista las críticas están siendo muy parecidas y se están centrando en aspectos como el interfaz gráfico o los equipos antiguos. Lo cierto es que Windows Vista no es un sistema operativo para poner las ventanas en tres dimensiones o poder controlarlo con la voz únicamente. Las principales tecnologías que aporta Windows Vista están pensadas en materia de seguridad y es importante centrarse en ellas y analizarlas.

User Acount Control (UAC) (I, II)

Uno de los principios de la fortificación de sistemas es que todo se ejecute con el menor privilegio posible, así que, UAC nos permite, aunque estemos ejecutando nuestra sesión como Administradores de la máquina, que todas nuestras acciones se ejecuten como un usuario no privilegiado. Cada vez que se requiera el uso de privilegios se recibirá un aviso que nos informará de que esto se va a producir. Algunos lo tildan de “pesado” pero es mejor eso a que no diga nada, ¿no? Para los amantes del riesgo se puede deshabilitar (usando privilegios, claro)

Firmado de Drivers

El firmado de los drivers que se exige en las plataformas de 64 bits tiene como principal objetivo garantizar la no inclusión de rootkits o troyanos no deseados en modo kernel en el sistema operativo, pero al mismo tiempo busca obtener una garantía de calidad de aquellos que sí deben ser instalados y así mejorar la fiabilidad del sistema.

Fortificación de Servicios

Para los servicios se han realizado tres acciones, una primera en la que se han reducido los permisos necesarios de los mismos para evitar que corran de manera privilegiada en el sistema. En segundo lugar se les ha identificado a cada uno con un SID del sistema que permite la gestión de sus permisos de forma individual y en tercer lugar, son acompañados de un manifiesto que les restringe los objetos a los que tiene acceso cada servicio, para, en caso de un eventual compromiso, esté limitada la supervicie vulnerada.

Mandatory Integrity Control

Windows Vista ha dividido en cuatro niveles de integridad las características de todos los procesos y objetos del sistema, con lo que ningún objeto o proceso de nivel de integridad inferior podrá acceder a ningún otro objeto que tenga un nivel de integridad superior. Esto lleva a que por ejemplo, ningún programa que esté corriendo con nivel de Integridad Medio, ejecutado por un administrador, podrá acceder a un objeto de nivel de Integridad Alto de Sistema. Para ello se tendría que hacer correr el proceso con el nivel de Integridad Alto de Sistema. Esto tiene su expresión más visible en el Modo Protegido de Internet Explorer 7, que corre dos procesos, uno con nivel de integridad bajo, que es el expuesto a Internet y otro con nivel de integridad medio que es el que controla al primero.

User Interface Privilege Isolation

UIPI, que así se luce acrónimo esta tecnología, realiza una protección utilizando los niveles de integridad para los procesos. En este caso, niega que un proceso de nivel de integridad inferior realice una llamada o envíe un mensaje de ventana o se ponga en la lista de eventos de un proceso que se ejecuta en un nivel de integridad superior. Con esto se intentan evitar los ataques de inyección de código para realizar elevaciones de privilegios tan utilizados en muchas de las herramientas d de ataque.

Protecciones contra desbordamiento de buffer(I, II, III, IV)

Siempre han sido un punto fuerte de los ataques aprovechar los desbordamientos de buffer en los parámetros de llamadas a procedimiento. En Windows XP ya contamos con la protección DEP (Data Execution Prevention), ofrecida por los microprocesadores, para evitar que se inyecten códigos ejecutables en los parámetros. Esto evita que se inyecte un programa como parámetro, pero siempre se puede ejecutar un programa ya cargado en memoria, para evitar esto, los programas ya no se cargan en las mismas direcciones de memoria. En cada ejecución se cambia la dirección. A esta tecnología se llama Address Space Layout Randomization (ASLR).

Es uso de Bitloker (I, II, III), para cifrar los discos, el uso de los chips TPM (Trusted Platform Module) para garantizar la integridad en arranque del sistema, el firmado de dlls del sistema, la integración de IPSec con LDAP, el firewall de doble dirección, la integración del sistema con NAP (Network Address Protection) el monitor de fiabilidad y las herramientas de diagnostico son algunas otras características que acompañan las novedades de Windows Vista en Seguridad.

Si a estas tecnologías le unimos las ya existentes de Windows XP SP2, los filtros Antiphising de IE7, el acompañamiento de Windows Defender para proteger el sistema contra Spyware, el sistema de actualizaciones automáticas, etc… podremos decir que el sistema tiene un buen aspecto. ¿Invulnerable? No lo creo, pero… ¿Hay algo invulnerable?

Y aun nos quedarían las otras tecnologías, el Superfetch de memoria (I, II, III) para conseguir un uso más aprovechado de la memoria y mejorar la experiencia del usuario, el Readyboot para conseguir el arranque eficiente, el ReadyBoost para añadir memorias caché flash en caliente y aumentar la velocidad de acceso a disco en accesos aleatorios y… ¿Cómo se llama eso de las ventanas en 3D? Ah sí, el Aero.

Y yo me pregunto ¿De verdad no quieres probarlo?