Hay una serie de características de seguridad nuevas en Windows Vista , la mayoría de las cuales no están disponibles en ninguna versión anterior del sistema operativo Microsoft Windows .
Desde principios de 2002, con el anuncio de Microsoft de su iniciativa Trustworthy Computing , se ha trabajado mucho para hacer de Windows Vista un sistema operativo más seguro que sus predecesores. Internamente, Microsoft adoptó un " ciclo de vida de desarrollo de seguridad " [1] con el espíritu subyacente de "Seguro por diseño, seguro por defecto, seguro en la implementación". Se desarrolló un nuevo código para Windows Vista con la metodología SDL y todo el código existente se revisó y refactorizó para mejorar la seguridad.
Algunas áreas específicas donde Windows Vista introduce nuevos mecanismos de seguridad incluyen Control de cuentas de usuario, controles parentales, Protección de acceso a la red , una herramienta antimalware incorporada y nuevos mecanismos de protección de contenido digital.
El Control de cuentas de usuario es una nueva infraestructura que requiere el consentimiento del usuario antes de permitir cualquier acción que requiera privilegios administrativos. Con esta característica, todos los usuarios, incluidos los usuarios con privilegios administrativos, se ejecutan en un modo de usuario estándar de forma predeterminada, ya que la mayoría de las aplicaciones no requieren privilegios superiores. Cuando se intenta alguna acción que requiere privilegios administrativos, como instalar nuevo software o cambiar la configuración del sistema o de seguridad, Windows le preguntará al usuario si permite la acción o no. Si el usuario elige permitirlo, el proceso que inicia la acción se eleva a un contexto de mayor privilegio para continuar. Si bien los usuarios estándar deben ingresar un nombre de usuario y contraseña de una cuenta administrativa para obtener un proceso elevado ( Credenciales por encima del hombro ), un administrador puede optar por que se le solicite solo su consentimiento o solicitar credenciales. Si el usuario no hace clic en Sí, después de 30 segundos se rechaza la solicitud.
UAC solicita credenciales en un modo de escritorio seguro , donde toda la pantalla se desvanece y se desactiva temporalmente, para presentar solo la interfaz de usuario de elevación. Esto es para evitar la suplantación de la interfaz de usuario o del mouse por parte de la aplicación que solicita la elevación. Si la aplicación que solicita la elevación no tiene el foco antes de que se produzca el cambio a Secure Desktop , entonces el ícono de su barra de tareas parpadea y, cuando está enfocado, se presenta la interfaz de usuario de elevación (sin embargo, no es posible evitar que una aplicación maliciosa obtenga el foco silenciosamente). .
Dado que Secure Desktop solo permite que se ejecuten aplicaciones del sistema con privilegios más altos , ninguna aplicación en modo de usuario puede presentar sus cuadros de diálogo en ese escritorio, por lo que se puede asumir con seguridad que cualquier solicitud de consentimiento de elevación es genuina. Además, esto también puede ayudar a proteger contra ataques de destrucción , que interceptan mensajes entre procesos de Windows para ejecutar código malicioso o falsificar la interfaz de usuario, al evitar que procesos no autorizados envíen mensajes a procesos con privilegios elevados. Cualquier proceso que quiera enviar un mensaje a un proceso de privilegios elevados debe elevarse al contexto de privilegios superiores, a través de UAC.
Las aplicaciones escritas asumiendo que el usuario se ejecutará con privilegios de administrador experimentaron problemas en versiones anteriores de Windows cuando se ejecutaron desde cuentas de usuario limitadas, a menudo porque intentaron escribir en directorios de toda la máquina o del sistema (como Archivos de programa) o claves de registro. (en particular, HKLM ) [2] UAC intenta aliviar esto utilizando la virtualización de archivos y registros , que redirige las escrituras (y las lecturas posteriores) a una ubicación por usuario dentro del perfil del usuario. Por ejemplo, si una aplicación intenta escribir en “C:\program files\appname\settings.ini” y el usuario no tiene permisos para escribir en ese directorio, la escritura será redirigida a “C:\Users\username \AppData\Local\VirtualStore\Program Files\appname\”.
BitLocker, anteriormente conocido como "Inicio seguro", esta función ofrece cifrado de disco completo para el volumen del sistema. Con la utilidad de línea de comandos, es posible cifrar volúmenes adicionales. Bitlocker utiliza una llave USB o un Módulo de plataforma segura (TPM) versión 1.2 de las especificaciones TCG para almacenar su clave de cifrado. Garantiza que la computadora que ejecuta Windows Vista se inicie en un buen estado y también protege los datos contra el acceso no autorizado. [3] Los datos del volumen se cifran con una clave de cifrado de volumen completo (FVEK), que luego se cifra con una clave maestra de volumen (VMK) y se almacena en el propio disco.
Windows Vista es el primer sistema operativo Microsoft Windows que ofrece soporte nativo para TPM 1.2 al proporcionar un conjunto de API, comandos, clases y servicios para el uso y administración de TPM. [4] [5] Un nuevo servicio del sistema, denominado TPM Base Services, permite acceder y compartir recursos de TPM para desarrolladores que deseen crear aplicaciones compatibles con el dispositivo. [6]
El sistema de cifrado de archivos (EFS) en Windows Vista se puede utilizar para cifrar el archivo de la página del sistema y la caché de archivos sin conexión por usuario . EFS también está más estrechamente integrado con la infraestructura de clave pública (PKI) empresarial y admite el uso de recuperación de claves basada en PKI, recuperación de datos a través de certificados de recuperación de EFS o una combinación de ambos. También hay nuevas políticas de grupo que requieren tarjetas inteligentes para EFS, imponen el cifrado de archivos de páginas, estipulan longitudes mínimas de clave para EFS, imponen el cifrado de la carpeta Documentos del usuario y prohíben los certificados autofirmados. La caché de la clave de cifrado EFS se puede borrar cuando un usuario bloquea su estación de trabajo o después de un límite de tiempo determinado.
El asistente de cambio de claves de EFS permite al usuario elegir un certificado para EFS y seleccionar y migrar archivos existentes que utilizarán el certificado recién elegido. Certificate Manager también permite a los usuarios exportar sus certificados de recuperación EFS y claves privadas. Se recuerda a los usuarios que hagan una copia de seguridad de sus claves EFS cuando las utilicen por primera vez mediante una notificación en forma de globo . El asistente de cambio de claves también se puede utilizar para migrar usuarios en instalaciones existentes desde certificados de software a tarjetas inteligentes . El asistente también puede ser utilizado por un administrador o por los propios usuarios en situaciones de recuperación. Este método es más eficaz que descifrar y volver a cifrar archivos.
Windows Vista mejora significativamente el firewall [7] para abordar una serie de inquietudes en torno a la flexibilidad del Firewall de Windows en un entorno corporativo:
Windows Vista incluye Windows Defender, la utilidad antispyware de Microsoft. Según Microsoft, se le cambió el nombre de 'Microsoft AntiSpyware' porque no sólo incluye escaneo del sistema en busca de software espía, similar a otros productos gratuitos en el mercado, sino que también incluye agentes de seguridad en tiempo real que monitorean varias áreas comunes de Windows en busca de cambios que puede deberse a software espía. Estas áreas incluyen la configuración y descargas de Internet Explorer, aplicaciones de inicio automático, ajustes de configuración del sistema y complementos para Windows, como las extensiones de Windows Shell.
Windows Defender también incluye la capacidad de eliminar aplicaciones ActiveX que están instaladas y bloquear programas de inicio. También incorpora la red SpyNet , que permite a los usuarios comunicarse con Microsoft, enviar lo que consideran software espía y comprobar qué aplicaciones son aceptables.
Windows Vista permite a los administradores imponer restricciones de hardware a través de la Política de grupo para evitar que los usuarios instalen dispositivos, restringir la instalación de dispositivos a una lista blanca predefinida o restringir el acceso a medios extraíbles y clases de dispositivos. [8] [9]
Windows Vista incluye una gama de controles parentales para que los administradores supervisen y restrinjan la actividad informática de cuentas de usuario estándar que no forman parte de un dominio ; El Control de cuentas de usuario aplica restricciones administrativas. Las características incluyen: Filtro web de Windows Vista , implementado como un filtro LSP de Winsock para funcionar en todos los navegadores web, que prohíbe el acceso a sitios web según categorías de contenido o direcciones específicas (con una opción para bloquear todas las descargas de archivos); Límites de tiempo , que impide que los usuarios estándar inicien sesión durante una fecha u hora especificada por un administrador (y que bloquea las cuentas restringidas que ya iniciaron sesión durante esas horas); Restricciones de juegos , que permite a los administradores bloquear juegos según nombres, contenidos o clasificaciones definidas por un sistema de clasificación de contenido de videojuegos como Entertainment Software Rating Board (ESRB) , con restricciones de contenido que tienen prioridad sobre las restricciones de clasificación (por ejemplo, para todos los mayores de 10 años). (E10+) se puede permitir la ejecución de juegos en general, pero los juegos E10+ con lenguaje suave aún se bloquearán si el lenguaje suave en sí está bloqueado); Restricciones de aplicaciones , que utiliza listas blancas de aplicaciones para aplicaciones específicas; e Informes de actividad , que monitorea y registra las actividades de cuentas de usuario estándar restringidas.
Los controles parentales de Windows incluyen un conjunto extensible de opciones, con interfaces de programación de aplicaciones (API) para que los desarrolladores reemplacen las funciones incluidas por las suyas propias.
Windows Vista utiliza la aleatorización del diseño del espacio de direcciones (ASLR) para cargar archivos del sistema en direcciones aleatorias en la memoria. [10] De forma predeterminada, todos los archivos del sistema se cargan aleatoriamente en cualquiera de las 256 ubicaciones posibles. Otros ejecutables deben establecer específicamente un bit en el encabezado del archivo Portable Executable (PE) , que es el formato de archivo para los ejecutables de Windows, para usar ASLR. Para tales ejecutables, la pila y el montón asignados se deciden aleatoriamente. Al cargar archivos del sistema en direcciones aleatorias, al código malicioso le resulta más difícil saber dónde se encuentran las funciones privilegiadas del sistema, lo que hace que sea poco probable que las utilicen de forma predecible. Esto ayuda a prevenir la mayoría de los ataques de ejecución remota al evitar ataques de desbordamiento del búfer de retorno a LIBC .
El formato ejecutable portátil se ha actualizado para admitir la incorporación de la dirección del controlador de excepciones en el encabezado. Cada vez que se lanza una excepción, la dirección del controlador se verifica con la almacenada en el encabezado ejecutable. Si coinciden, se maneja la excepción; de lo contrario, indica que la pila de tiempo de ejecución se ha visto comprometida y, por lo tanto, el proceso finaliza.
Los punteros de función se ofuscan mediante XOR con un número aleatorio, por lo que la dirección real a la que apuntan es difícil de recuperar. Lo mismo sería cambiar manualmente un puntero, ya que la clave de ofuscación utilizada para el puntero sería muy difícil de recuperar. Por lo tanto, resulta difícil para cualquier usuario no autorizado del puntero de función poder utilizarlo. Además, los metadatos de los bloques del montón se realizan mediante XOR con números aleatorios. Además, se mantienen sumas de verificación para los bloques del montón, que se utilizan para detectar cambios no autorizados y daños en el montón. Siempre que se detecta una corrupción en el montón, la aplicación se cierra para evitar que el exploit se complete con éxito.
Los binarios de Windows Vista incluyen soporte intrínseco para la detección de desbordamiento de pila. Cuando se detecta un desbordamiento de pila en los binarios de Windows Vista, el proceso se cancela para que no pueda usarse para continuar con el exploit. Además, los archivos binarios de Windows Vista colocan buffers más altos en la memoria y no buffers, como punteros y parámetros proporcionados, en el área de memoria inferior. Entonces, para explotar realmente, se necesita una insuficiencia de datos del búfer para obtener acceso a esas ubicaciones. Sin embargo, las insuficiencias de datos del búfer son mucho menos comunes que las desbordamientos del búfer.
Windows Vista introduce el control de integridad obligatorio para establecer niveles de integridad para los procesos. Un proceso de baja integridad no puede acceder a los recursos de un proceso de mayor integridad. Esta característica se utiliza para imponer el aislamiento de aplicaciones, donde las aplicaciones en un nivel de integridad medio, como todas las aplicaciones que se ejecutan en el contexto de usuario estándar, no pueden conectarse a procesos a nivel del sistema que se ejecutan en un nivel de integridad alto, como las aplicaciones en modo administrador, pero pueden conectarse. en procesos de menor integridad como Windows Internet Explorer 7 u 8 . Un proceso con privilegios más bajos no puede realizar una validación de identificador de ventana de un privilegio de proceso más alto, no puede enviar mensajes o publicar mensajes a ventanas de aplicaciones con privilegios más altos, no puede usar enlaces de subprocesos para conectarse a un proceso con privilegios más altos, no puede usar enlaces de diario para monitorear un proceso con privilegios más altos y no puede realizar DLL: inyección a un proceso con privilegios superiores.
Windows Vista ofrece soporte total para la función NX (No-Execute) de los procesadores modernos. [11] DEP se introdujo en Windows XP Service Pack 2 y Windows Server 2003 Service Pack 1. Esta característica, presente como NX (EVP) en los procesadores AMD64 de AMD y como XD (EDB) en los procesadores Intel , puede marcar ciertos partes de la memoria contienen datos en lugar de código ejecutable, lo que evita que los errores de desbordamiento provoquen la ejecución de código arbitrario.
Si el procesador admite el bit NX, Windows Vista aplica automáticamente la prevención de ejecución de datos basada en hardware en todos los procesos para marcar algunas páginas de memoria como segmentos de datos no ejecutables (como el montón y la pila) y, posteriormente, se impide que se interpreten los datos. y ejecutado como código. Esto evita que el código de explotación se inyecte como datos y luego se ejecute.
Si DEP está habilitado para todas las aplicaciones , los usuarios obtienen resistencia adicional contra los exploits de día cero . Pero no todas las aplicaciones son compatibles con DEP y algunas generarán excepciones de DEP. Por lo tanto, DEP no se aplica a todas las aplicaciones de forma predeterminada en las versiones de 32 bits de Windows y solo se activa para los componentes críticos del sistema. Sin embargo, Windows Vista introduce controles de políticas NX adicionales que permiten a los desarrolladores de software habilitar la protección de hardware NX para su código, independientemente de la configuración de cumplimiento de compatibilidad en todo el sistema. Los desarrolladores pueden marcar sus aplicaciones como compatibles con NX cuando se crean, lo que permite aplicar la protección cuando esa aplicación se instala y se ejecuta. Esto permite un mayor porcentaje de código protegido por NX en el ecosistema de software en plataformas de 32 bits, donde la política de compatibilidad del sistema predeterminada para NX está configurada para proteger solo los componentes del sistema operativo. Para aplicaciones x86-64, la compatibilidad con versiones anteriores no es un problema y, por lo tanto, DEP se aplica de forma predeterminada para todos los programas de 64 bits. Además, en las versiones x86-64 de Windows Vista sólo se utiliza DEP aplicado por procesador para mayor seguridad.
Se han introducido nuevas funciones de protección de contenido y administración de derechos digitales en Windows Vista para ayudar a los proveedores de contenido digital y a las corporaciones a proteger sus datos contra la copia.
La inclusión de nuevas funciones de gestión de derechos digitales ha sido motivo de críticas a Windows Vista .
Windows Service Hardening compartimenta los servicios de tal manera que si un servicio se ve comprometido, no puede atacar fácilmente otros servicios en el sistema. Impide que los servicios de Windows realicen operaciones en sistemas de archivos, registro o redes [14] que no deberían realizar, reduciendo así la superficie de ataque general en el sistema y evitando la entrada de malware mediante la explotación de los servicios del sistema . A los servicios ahora se les asigna un identificador de seguridad (SID) por servicio , que permite controlar el acceso al servicio según el acceso especificado por el identificador de seguridad. Se puede asignar un SID por servicio durante la instalación del servicio a través de la API ChangeServiceConfig2 o usando el SC.EXEcomando con el verbo sidtype . Los servicios también pueden utilizar listas de control de acceso (ACL) para evitar el acceso externo a recursos privados para ellos.
Los servicios en Windows Vista también se ejecutan en una cuenta menos privilegiada, como Servicio local o Servicio de red , en lugar de la cuenta del Sistema . Las versiones anteriores de Windows ejecutaban servicios del sistema en la misma sesión de inicio de sesión que el usuario que había iniciado sesión localmente (sesión 0). En Windows Vista, la sesión 0 ahora está reservada para estos servicios y todos los inicios de sesión interactivos se realizan en otras sesiones. [15] Esto tiene como objetivo ayudar a mitigar una clase de vulnerabilidades del sistema de paso de mensajes de Windows, conocidas como ataques Shatter . El proceso que aloja un servicio solo tiene los privilegios especificados en el valor de registro RequiredPrivileges en HKLM\System\CurrentControlSet\Services .
Los servicios también necesitan permisos de escritura explícitos para escribir en los recursos, por servicio. Al utilizar un token de acceso restringido a escritura , solo aquellos recursos que deben ser modificados por un servicio reciben acceso de escritura, por lo que intentar modificar cualquier otro recurso falla. Los servicios también tendrán una política de firewall preconfigurada, lo que les otorga solo los privilegios necesarios para que funcionen correctamente. Los proveedores de software independientes también pueden utilizar Windows Service Hardening para reforzar sus propios servicios. Windows Vista también refuerza las canalizaciones con nombre utilizadas por los servidores RPC para evitar que otros procesos puedan secuestrarlas.
La identificación y autenticación gráfica ( GINA ), utilizada para la autenticación segura y el inicio de sesión interactivo, ha sido reemplazada por proveedores de credenciales . Combinados con el hardware de soporte, los proveedores de credenciales pueden ampliar el sistema operativo para permitir a los usuarios iniciar sesión a través de dispositivos biométricos (huella digital, retina o reconocimiento de voz), contraseñas, PIN y certificados de tarjetas inteligentes , o cualquier paquete y esquema de autenticación personalizado desarrollado por terceros. desea crear. La autenticación con tarjeta inteligente es flexible ya que los requisitos de certificado se relajan. Las empresas pueden desarrollar, implementar y, opcionalmente, aplicar mecanismos de autenticación personalizados para todos los usuarios del dominio. Los proveedores de credenciales pueden diseñarse para admitir el inicio de sesión único (SSO), autenticar a los usuarios en un punto de acceso a la red seguro (aprovechando RADIUS y otras tecnologías), así como el inicio de sesión en la máquina. Los proveedores de credenciales también están diseñados para admitir la recopilación de credenciales específicas de la aplicación y pueden usarse para la autenticación de recursos de red, unir máquinas a un dominio o para brindar consentimiento del administrador para el control de cuentas de usuario . La autenticación también es compatible mediante IPv6 o servicios web . Un nuevo proveedor de servicios de seguridad, CredSSP, está disponible a través de la interfaz del proveedor de soporte de seguridad que permite que una aplicación delegue las credenciales del usuario del cliente (mediante el SSP del lado del cliente) al servidor de destino (a través del SSP del lado del servidor). Terminal Services también utiliza CredSSP para proporcionar inicio de sesión único .
Windows Vista puede autenticar cuentas de usuario mediante tarjetas inteligentes o una combinación de contraseñas y tarjetas inteligentes ( autenticación de dos factores ). Windows Vista también puede usar tarjetas inteligentes para almacenar claves EFS . Esto garantiza que solo se pueda acceder a los archivos cifrados mientras la tarjeta inteligente esté físicamente disponible. Si se utilizan tarjetas inteligentes para iniciar sesión, EFS funciona en un modo de inicio de sesión único , donde utiliza la tarjeta inteligente de inicio de sesión para cifrar archivos sin solicitar más el PIN.
El cambio rápido de usuario , que estaba limitado a computadoras de grupos de trabajo en Windows XP, ahora también se puede habilitar para computadoras unidas a un dominio, comenzando con Windows Vista. Windows Vista también incluye soporte de autenticación para los controladores de dominio de sólo lectura introducidos en Windows Server 2008 .
Windows Vista presenta una actualización de la API criptográfica conocida como API de criptografía: próxima generación (CNG). La API CNG es una API en modo usuario y modo kernel que incluye soporte para criptografía de curva elíptica (ECC) y una serie de algoritmos más nuevos que forman parte de la Suite B de la Agencia de Seguridad Nacional (NSA). Es extensible y ofrece soporte para conectar API criptográficas personalizadas en el tiempo de ejecución de CNG. También se integra con el subsistema de tarjetas inteligentes al incluir un módulo CSP base que implementa todas las funciones criptográficas de backend estándar que los desarrolladores y fabricantes de tarjetas inteligentes necesitan, para que no tengan que escribir CSP complejos . La autoridad certificadora de Microsoft puede emitir certificados ECC y el cliente de certificados puede inscribir y validar certificados basados en ECC y SHA-2.
Las mejoras de revocación incluyen soporte nativo para el Protocolo de estado de certificados en línea (OCSP), que proporciona verificación de validez de certificados en tiempo real, captación previa de CRL y diagnóstico CAPI2. La inscripción de certificados se basa en un asistente, permite a los usuarios ingresar datos durante la inscripción y proporciona información clara sobre inscripciones fallidas y certificados caducados. CertEnroll, una nueva API de inscripción basada en COM reemplaza la biblioteca XEnroll para una programabilidad flexible. Las capacidades de roaming de credenciales replican pares de claves, certificados y credenciales de Active Directory almacenados en nombres de usuario y contraseñas almacenados dentro de la red.
La función Eliminar propiedades e información personal permite a los usuarios eliminar metadatos de los archivos antes de compartirlos para proteger su privacidad . Admite una pequeña cantidad de formatos de archivo y la eliminación de una cantidad limitada de propiedades. Sin embargo, es posible que el desarrollador de software desarrolle una extensión para esta función, para que admita formatos y propiedades de archivo adicionales. Ha sido criticado por su soporte muy limitado de formatos de archivo y elementos de metadatos y por tener una interfaz de usuario engañosa. [dieciséis]
Windows Vista presenta la Protección de acceso a la red (NAP), que garantiza que las computadoras que se conectan o se comunican con una red cumplan con el nivel requerido de salud del sistema establecido por el administrador de una red. Dependiendo de la política establecida por el administrador, las computadoras que no cumplan con los requisitos recibirán una advertencia y se les concederá acceso, se les permitirá el acceso a recursos limitados de la red o se les negará el acceso por completo. Opcionalmente, NAP también puede proporcionar actualizaciones de software a una computadora no compatible para actualizarse al nivel necesario para acceder a la red, utilizando un servidor de reparación . Un cliente conforme recibe un Certificado de salud , que luego utiliza para acceder a recursos protegidos en la red.
Un servidor de políticas de red que ejecuta Windows Server 2008 actúa como servidor de políticas de salud y los clientes deben usar Windows XP SP3 o posterior. Un servidor VPN , un servidor RADIUS o un servidor DHCP también pueden actuar como servidor de políticas de salud.
Se han realizado una serie de cambios específicos de seguridad y confiabilidad: