Windows XP SP2
Widows
XP Service Pack 2
Las mejoras introducidas son muchas, y en ocasiones,
tan importantes que los desarrolladores de
aplicaciones tendrán que verificar que las mismas
funcionen adecuadamente.
Los mejores estrategas
militares del pasado establecían, a la hora de la
construcción de fortalezas, una defensa basada en
diferentes niveles de obstáculos, creando un sistema
de capas de protección que impedía o dificultaba un
ataque directo a las partes críticas de la
construcción. La aproximación a la seguridad que toma
el SP2 de Windows XP intenta darnos la misma
protección que ofrece disponer de varios niveles de
defensa. La idea es crear una serie de capas de
protección para disminuir el riesgo frente virus y
gusanos, aun en el caso de que no hayamos podido
actualizar el sistema ante una vulnerabilidad en una
determinada función.
En realidad, son nuevas
tecnologías de seguridad que mitigan el riesgo cuando
una actualización no puede ser desplegada de forma
inmediata por cualquier razón. Estas tecnologías las
podemos agrupar en las siguientes áreas:
- Protección de los servicios de
red.
- Protección de memoria del sistema.
- Manejo seguro del correo.
- Explorador de Internet IE más
seguro.
- Mantenimiento y actualización del
sistema.
Es importante entender
el alcance de cada una de ellas y ver como impacta en
las sistemas actuales, por ello vamos a ver
detenidamente cada una de las innovaciones y
modificaciones que supone la instalación del Service
Pack 2 para Windows XP.
1.
TECNOLOGÍAS DE PROTECCIÓN DE
LOS SERVICIOS DE RED
En el siguiente
apartado vamos a comentar aquellas innovaciones
introducidas en el SP2 de XP que tienen impacto en la
forma de trabajar en red Windows XP.
SERVICIO DE ALERTAS
Y MESSENGER
Estos servicios son
componentes de Windows heredados de versiones
inferiores y que permiten enviar mensajes entre
máquinas en la red. El servicio de Messenger envía
mensajes desde aplicaciones y servicios, mientras que
el servicio de Alertas esta orientado de forma
específica a alertas administrativas del sistema.
- Cambios: Hasta ahora el
servicio de Messenger se iniciaba automáticamente
al arrancar Windows mientras que Alertas era de
forma manual. Con SP2, ambos servicios quedan en
estado de deshabilitado. No se hace ningún otro
cambio en ellos. Cualquier aplicación que haga uso
de estos servicios para comunicar no funcionará.
- Implicaciones: Hay dos
formas de resolver el impacto de esta
modificación. La primera y aconsejada es la
revisión de las aplicaciones que hagan uso de
estos servicios y su modificación para hacer uso
de otros modos de comunicación. El segundo modo de
resolver la modificación es adaptar la aplicación
para iniciar los servicios antes de hacer uso de
ellos.
SOPORTE BLUETOOTH
Bluetooth es una de las
tecnologías inalámbrica de rango corto de mayor éxito
y disponible en una amplia variedad de dispositivos.
Hasta ahora el soporte de estos dispositivos era
responsabilidad del fabricante. Éste era quien proveía
de toda la pila de comunicaciones para el dispositivo.
Con el SP2 se introduce el soporte nativo de esta
tecnología.
- Cambios: Soporte integrado
de la especificación BlueTooth. Algunas de las
características incluidas son el soporte para PAN
(red de area personal con IP sobre BlueTooth),
Hard copy Replacement Profile, HCRP, habilita
impresión, uso de teléfonos móviles como modem,
HID (host interface device), “object push profile”
para transferencia de ficheros, y soporte de
puertos COM virtuales, entre otros.
- Implicaciones: No hay
efectos en el sistema al instalar el SP2 cuando no
hay un transceptor instalado. Tan sólo se habilita
al tener un dispositivo Bluetooth aprobado en la
lista de compatibilidad WHQL. Se puede acceder a
configurar los nuevos accesos a través del panel
de control y una nueva función en accesos de red.
Existe además una aplicación en el grupo de
programas “accesorios” para transferencia de
ficheros.
Si existe un driver
no-Microsoft de Bluetooth, la actualización a SP2 no
hace que el controlador sea reemplazado. Se puede
hacer posteriormente de forma manual o a través de un
programa.
HERRAMIENTAS ADMINISTRATIVAS
CLIENTE
Las herramientas
administrativas cliente son una serie de consolas de
gestión llamadas genéricamente MMC, Microsoft
Management Console, a las que se les incorporan unos
complementos con la funcionalidad requerida. Por
ejemplo, administrar usuarios, ordenadores, servicios
y otros componentes.
Existen dos cuadros de
dialogo generados por estas utilidades de gestión. Uno
es el seleccionar usuarios,
ordenadores o grupos y otro es el
buscar usuarios, contactos o
grupos. El primero es el usado al poner
seguridad en carpetas compartidas, por ejemplo. El
segundo suele aparecer en búsquedas en el directorio
activo.
- Cambios: Windows XP Service
Pack 2 modifica el comportamiento de estas
herramientas cuando actúan administrando sistemas
de forma remota. En local permanecen igual.
- Implicaciones: Para usar
estas herramientas remotamente en un sistema con
el Firewall habilitado es necesario abrir el
puerto TCP 445. Para esto podemos reconfigurar, en
línea de comando o, el Firewall ejecutando lo
siguiente: “Netsh firewall set portopening TCP 445
enable” O bien hacerlo por políticas de grupo.
MEJORAS DE SEGURIDAD EN DCOM
El modelo de
componentes distribuidos DCOM es un modelo de
programación para crear componentes software que
interaccionen entre sí, en local o remoto. Esto
habilita al programador distribuir los componentes de
la aplicación en distintas ubicaciones según lo
requiera. El SP2 modifica el comportamiento si estos
componentes están en remoto.
- Cambios: La infraestructura
de sistema operativo que alberga la operación de
COM en Windows XP se ha modificado para que el
sistema regule el acceso a todas las llamadas,
activaciones o solicitudes de ejecución en el
ordenador. Para facilitar la comprensión de lo que
se ha hecho, pensemos, que se añade una capa
adicional de control de acceso. Una llamada,
AccessCheck, realizada contra la lista de accesos
ACL en cada petición de llamada, activación o
lanzamiento de cualquier servidor COM en el
ordenador.
- Implicaciones: Por defecto,
el grupo “todos” tiene concedidos los permisos de
activación local, lanzamiento y llamada local y
por defecto, también, el grupo “todos” tiene
concedido el permiso de llamada remota. Lo que
habilita el acceso para la mayor parte de los
clientes COM, incluyendo los casos donde el
cliente pasa una referencia local al servidor
remoto. Esto podría deshabilitar escenarios que
requieran llamadas remotas no autenticadas. Por
defecto, los administradores tienen permisos de
activación remota y lanzamiento del servidor COM.
Esto deshabilita activaciones remotas por no
administradores a servidores COM instalados.
RESTRICCIÓN DEL INTERFACE RPC
Se han introducido
varios cambios en el servicio con el fin de securizar
el acceso al interface. La modificación más
significativa podemos decir que es la nueva clave de
registro “RestricRemoteClients”. Esta clave
modifica el comportamiento por defecto de todos los
interfaces RPC en el sistema haciendo que no sean
accesibles de forma anónima. Otro cambio implica a la
clave EnableAuthEpResolution para resolución de
la autenticación del asignador dinámico de puertos y
tres nuevos flags de registro para los desarrolladores
de aplicaciones.
REDIRECTOR WEBDAV
El redirector WebDAV (DAVRdr)
permite a los sistemas Windows XP acceder a servidores
WebDAV (Web-based Distributed Authoring and
Versioning). Siendo WebDAV una extensión de http,
existe la posibilidad de autenticación básica y en
este caso el nombre de usuario y password van sin
cifrar. El redirector DAVRdr no soporta cifrado http (HTTPS
o SSL) y transmitirá las credenciales en claro en caso
de que se intente una autenticación básica. Si el
servidor es configurado para no aceptar este tipo de
autenticación entonces no se enviarán las credenciales
sin cifrar. Sin embargo existe el riesgo de que un
servidor sea impersonado y por lo tanto que un
servidor “falso” fuerce una autenticación básica,
robando las credenciales.
- Implicaciones: Al aplicar
el SP2 se verán afectados aquellos servidores
configurados para autenticación básica y que usen
DAVRdr de tal forma que se impide este tipo de
autentificación. El mismo concepto es aplicable a
aquellas aplicaciones que hacen uso del interface
WINInet.
WINDOWS FIREWALL
Windows Firewall (ver
Pantalla 1), anteriormente
Internet Connection Firewall,
es un firewall software con filtro de estado mantenido
para Windows XP y Windows Server 20003. Aporta una
protección adicional frente a conexiones entrantes no
solicitadas en TCP/IP IPv4 e IPv6. Las opciones de
configuración incluyen:
- Ajustes a nivel de interface.
- Apertura estática de puertos.
- Configuración básica de opciones
ICMP.
- Registro de paquetes rechazados y
conexiones con éxito.
Service Pack 2 tiene los siguientes efectos en este
componente:
Activo por defecto
Antes de SP2 el
firewall se encontraba desactivado por defecto. El
usuario necesitaba configurarlo manualmente, lo que en
general era demasiado difícil para los usuarios. Por
tanto, en muchos casos, el sistema operativo quedaba
desprotegido al no activarse para el interface
conectado a red.
- Cambios: La activación del
firewall es inmediata en todos los interfaces de
red. También afecta a cualquier nueva conexión que
se pueda añadir en adelante. Esto aplica tanto a
IPv4 como a IPv6 incluso si existe ya otro
firewall en el sistema.
- Implicaciones: Tras la
instalación del SP2 algunas aplicaciones no
preparadas para trabajar con un firewall de filtro
con estado pueden dejar de funcionar. En estos
casos es conveniente revisar estas aplicaciones
para adaptarlas al funcionamiento con Windows
Firewall. Podría haber también algún tipo de
conflicto con otro firewall software o hardware
presentes en el entorno.
Seguridad en tiempo de arranque
En versiones anteriores
hay una ventana de tiempo desde el arranque de la pila
de red hasta que el firewall empieza a proteger en
donde el sistema es susceptible de ser atacado. Esto
es debido a que el firewall no comienza a filtrar
hasta que el servicio es cargado y se ha aplicado la
política de protección configurada. El tiempo de carga
es función de las dependencias que el servicio
Firewall tiene de otros servicios y de la velocidad de
la maquina.
- Cambios: Con SP2, cuando el
firewall se activa, se la aplica inmediatamente
una regla estática para llevar a cabo un filtrado
desde el primer momento. Esta regla estática se
denomina política en
tiempo de arranqu”. Permite proteger al
sistema desde el primer momento, y a la vez,
llevar a cabo tareas básicas de red como
descubrimientos de DHCP, DNS y otros. Una vez que
el firewall esta preparado se aplican las
políticas de tiempo de ejecución personalizadas y
se eliminan los filtros de arranque.
Configuración global
En las versiones
anteriores, Windows Firewall era configurado para cada
interfaz de red. Lo cual significaba que cada interfaz
requería su propia definición. Esto, en sí, es muy
difícil gestionar a nivel de sistema y más a nivel de
organización.
- Cambios: Con las
configuraciones globales, cada vez que se aplica
un cambio, se aplica a todas las conexiones de
red. De esta forma se puede establecer una
política de firewall a todas las conexiones
existentes y las de futura creación. Esto no
impide que se puedan tener configuraciones
individualizadas para cada interfaz de red.
Restricciones para la red local
Por defecto, cuando un
puerto es abierto, se hace de forma global; cualquier
tráfico entrante desde cualquier red puede llegar al
puerto. Ya sea desde Internet, intranet o local.
- Cambios: Con SP2 podemos
configurar, que cuando se abra un puerto, sólo
reciba tráfico de direcciones locales. Es
recomendable configurar esta restricción para
cualquier puerto estático usado en comunicación
local.
Soporte de configuración por línea de comando
La necesidad de poder
configurar el firewall por línea de comando ha hecho
necesario el desarrollo de una aplicación de
configuración que abarque la amplia funcionalidad de
Windows Firewall tanto en IPv4 como IPv6.
- Cambios: Se ha introducido
el comando Netsh con el que se podrán
configurar todas las opciones del firewall.
Especialmente acciones tales como: estado del
firewall, configuración de puertos, opciones de
registro de actividad, lista de excepciones de
aplicaciones, etc.
Modo operacional:
Activo sin excepciones
En el uso normal de
Windows XP, éste, puede permitir la recepción de
tráfico no solicitado desde distintos puntos de la
red; por ejemplo, si comparte una impresora. A su vez,
pueden ejecutarse varias aplicaciones con sus
respectivos puertos configurados. En estos entornos,
en caso de riesgo puntual, es necesario poder
configurar al sistema, de forma inmediata, que trabaje
como “solo cliente” sin exponer ningún servicio.
- Cambios: Se establece un
modo de operación que permite poner de forma
instantánea el firewall en modo “Activo sin
excepciones” de tal forma que se evita toda
recepción de tráfico no solicitado y se cierran
cualquier conexión existente.
Lista de excepciones
Cuando una aplicación
actúa como servidor se debe permitir el acceso de
tráfico no solicitado por adelantado, ya que, en
general, no sabemos quien quiere interaccionar con
ésta. Hay entonces un trabajo de la aplicación que
debe solicitar al Firewall la apertura de los puertos
necesarios para recibir las comunicaciones y además
cerrarlos al terminar. Por otra parte para poder
permitir estas operaciones la aplicación debería
correr en el contexto de seguridad de un administrador
local, lo cual viola el principio de menor privilegio.
- Cambios: Con SP2 la
aplicación que requiera poder abrir puertos, puede
ser añadida a la lista de excepciones. Cuando ésta
requiera abrir un puerto, podrá hacerlo,
independientemente del contexto de seguridad en el
que este corriendo. Las aplicaciones se pueden
añadir a la lista de forma programática durante la
instalación, por interacción con el usuario a
través de un cuadro de opciones, o bien de forma
manual con el administrador del firewall.
Múltiples Perfiles
- Cambios: Para los sistemas
incorporados a un dominio se permite tener dos
perfiles de políticas de configuración Firewall.
Uno para cuando se encuentra en la red corporativa
y otro para cuando no lo esta. Esta opción esta
especialmente concebida para dispositivos móviles
que han de trabajar en entornos no controlados
como son redes inalámbricas en aeropuertos y
hoteles.
Soporte RPC
En las versiones anteriores del Firewall, el
tratamiento de las aplicaciones que hacían uso de la
asignación de puertos RPC, de forma dinámica, era muy
problemático. El Firewall podía permitir el acceso al
puerto del “asignador dinámico de puertos RPC” para
que se asignara un puerto al cliente. Pero el puerto
asignado era aleatorio, y por tanto, el Firewall no
permitía el acceso al tenerlo previamente bloqueado.
- Cambios: Windows Firewall
permitirá la apertura dinámica de puertos si la
aplicación RPC que llama al asignador lo hace en
el contexto de seguridad de “Sistema local”,
“servicio de red” o “Servicio local”. Existe la
posibilidad de para que esto se haga incluso si la
aplicación no estuviera en la lista de
excepciones.
Restauración de la configuración por defecto
- Cambios: Anteriormente no
había posibilidad de configurar el sistema con las
opciones por defecto una vez que estas se habían
modificado. Con SP2 esto ya es posible, y, además,
se permite que las organizaciones u OEMs definan
estos perfiles por defecto de forma personalizada.
Soporte para la instalación desatendida
- Cambios: Posibilidad para
que los OEM o las organizaciones configuren
Windows Firewall durante las instalaciones
desatendidas. Se puede preconfigurar opciones
como: Modo operacional, aplicaciones de la lista
de excepciones, opciones ICMP y opciones de
registro.
Soporte ampliado de tráfico multicast y broadcast
Existen ciertos
escenarios donde es necesario captar tráfico difundido
en modo multicasts o broadcast. Este tipo de tráfico
es rechazado por el Firewall ya que provienen de una
máquina desconocida tras una petición previa del
sistema. Esto impide el uso de ciertas aplicaciones de
difusión de media o descubrimiento de servicios en
red.
- Cambio: Para habilitar
estos escenarios, Windows Firewall permite una
respuesta unicast por 3 segundos desde cualquier
dirección de procedencia en el mismo puerto desde
donde el trafico uni o broadcast se originó.
Configuración a través de políticas de grupo
En la versión de
Windows Firewall disponible hasta ahora solo se podía
controlar, por políticas de grupo, la prohibición o no
del uso del Firewall.
- Cambio: Con SP2 cada opción
de configuración de Windows Firewall puede ser
controlada desde las políticas de grupo haciendo
increíblemente fácil administrar de forma
centralizada un gran número de sistemas.
WINDOWS MESSENGER
Windows Messenger es el
cliente de mensajería instantánea que permite
comunicar en tiempo real con otros usuarios de Windows
Messenger y MSN Messenger. Se han añadido nuevas
funcionalidades con objeto de incrementar la
seguridad. Estas son algunas:
Bloqueo de transferencias de ficheros no seguras
Cuando alguien trata de
enviarnos un fichero Windows Messenger primero mira a
ver si esta en la lista de contactos. Posteriormente
examina el tipo de fichero y salvo que sean .img , .jpg,
o .txt nos preguntará qué queremos hacer con él. Los
ficheros considerados no seguros son todos los que
podrían tener algún tipo de código embebido como .doc,
ppt, pdf, zip, exe, cmd, wsh,…
Obligación de presentar el nombre de contacto
Con SP2 será necesario
tener un nombre de contacto diferente del alias de
correos usado para entrar en el servicio de mensajería
instantánea. Con esto se evita el riego de que ciertos
virus sean capaces de descubrir el alias de correos en
los ficheros de texto donde se guarden las
conversaciones.
SERVICIO DE APROVISIONAMIENTO WIRELESS
Los servicios de
aprovisionamiento Wireless, SAW, son una extensión a
los servicios de Wireless e interfaces de
administración de conexiones de red dentro de Windows
XP y Windows Server 2003. Por tanto, están construidos
sobre características ya existentes como la auto
configuración Wireless y seguridad WPA (Wi-Fi
protected Access) y PEAP (Protected Extensible
Authentication). Este nuevo servicio trabaja en
conjunto con Windows Server 2003 SP1 ya que se
requiere de la funcionalidad modificada del servicio
IAS (Internet Authentication Service, Radius) para el
servicio de autenticación de clientes en el proceso de
aprovisionamiento.
El objeto de SAW es
permitir a las empresas y a los proveedores de acceso
a Internet Wireless enviar información de
aprovisionamiento y configuración a los clientes
móviles que intentan conectar a Internet o los
servicios de red corporativos de una organización.
Entre la información que es posible enviar a los
clientes están los nombres de diferentes
identificadores SSID, redes opcionales, información de
costo, facturación y cobro por uso, así como políticas
de uso.
Toda la información de
configuración e información que se descarga al cliente
queda registrada y en accesos sucesivos la entrada
será automática refrescando las configuraciones. El
resultado final es el acceso transparente, automático
y seguro de un cliente a redes Wireless corporativas o
públicas.
2. TECNOLOGÍAS DE PROTECCIÓN DE LA MEMORIA
Hay una variedad de
ataques que están basados en la posibilidad de
inyectar código ejecutable en zonas de memoria donde
sólo debería haber datos. Una vez colocado el código y
por diversas técnicas se explota esta posibilidad. La
protección de ejecución básicamente lo que hace es
marcar todas las posiciones de memoria en un proceso
como no-ejecutables a menos que el lugar contenga de
forma explicita código ejecutable. Cuando desde una
posición de datos se intenta ejecutar código, la
protección de ejecución eleva una excepción a la
aplicación.
La protección de
memoria trabaja junto con el procesador para marcar la
memoria con un atributo que indica que no se debe
ejecutar desde esa área de memoria. Además funciona en
base a páginas de memoria virtual, cambiando un bit en
la tabla de entradas de página (PTE) para marcar la
página de memoria.
Tanto Intel como AMD
han presentado procesadores con este tipo de
protección. Windows soporta protección en la
plataforma AMD64 e Intel Itanium Processor. La versión
32 bits de Windows (comenzando con XP SP2) utiliza la
protección NX según la define AMD. Para ello el
procesador debe ejecutar en modo PAE (physical Address
Extensión). Las versiones de 64bits usan la
característica NX del procesador y ciertos valores de
derechos de acceso a la PTE en los procesadores Intel
IPF. Se espera que las futuras versiones de
procesadores 32 y 64 bits soporten protección de
ejecución.
Protección de ejecución en versiones 32bits Windows
y sus aplicaciones
Para poder aprovechar
esta protección es necesario que lo soporte el
procesador. Como es lógico pensar, por ahora, la mayor
parte de los sistemas Windows y las aplicaciones
compatibles Windows en el futuro consistirán en
procesadores 32 bits y aplicaciones 32 bits. El primer
paso de la industria son los procesadores con
extensiones 64 bits tales como al AMD Opteron y Athlon
64 que soportan ambos modos de ejecución y que son
capaces de trabajar con aplicaciones antiguas y nuevas
con soporte NX cuando PAE esta activado.
- Cambios: Windows XP SP2
añade el soporte para protección de ejecución. El
usuario o administrador es capaz de desactivar
esta funcionalidad a través de registro o panel de
control. A su vez, y con el propósito de
deshabilitar de forma selectiva la protección
aciertas aplicaciones 32bits, se ha incluido una
opción para impedir que esta función les afecte.
3. TECNOLOGÍAS PARA EL MANEJO SEGURO DEL CORREO
Outlook Express
Outlook Express es una de los clientes de correo
usados mas frecuentemente para acceso al correo
electrónico y foros de noticias. Por ello se han
aplicado los siguientes cambios en su funcionalidad:
Modo Texto plano
Al recibir un correo en formato HTML, Outlook Express
utiliza el control MSHTML. Este control procesa de
forma automática la cabecera de script HTML donde se
puede encontrar código malicioso y exponer, de esta
forma, al sistema.
- Cambios: Al entrar el
correo en el buzón, el usuario, ahora tiene la
opción de presentar el mensaje en modo texto plano
en vez de formato HTML. Cuando Outlook presenta el
correo en esta forma usa el control de texto rico
en vez de MSHTML. Este control no procesa los
posibles scripts. Esto supone una barrera al
correo malicioso ya que impide la ejecución de
código no consentido.
No bajar contenido HTML externo
Los autores de correo spam suelen recurrir a
referencia a imágenes que residen en sus web dentro de
los correos. Cuando el correo es recibido por el
usuario, al abrirlo, se produce una búsqueda
automática de estas imágenes, confirmando al creador
del spam que la dirección de envío es correcta. Una
vez confirmada esta dirección se podrá ver sometida a
nuevas acciones de spam en adelante.
- Cambios: Outlook presenta
una nueva opción para no bajar de forma automática
los contenidos externos. Al no contactar el
servidor web externo el origen del spam no podrá
confirma la dirección y con ello disminuir la
recepción de nuevos correos no deseados. Esta
opción también facilita el trabajo a los usuarios
que trabajan con acceso a través de modem ya que
al abrir los correos, éstos no intentarán
establecer conexión a Internet.
Integración en el API de AES
AES es un nuevo conjunto de interfaces de programación
llamado servicio de ejecución de adjuntos o
“Attachment Execution Service”. El objeto de AES es
eliminar todo el código de las distintas aplicaciones
orientado a chequear los ficheros adjuntos y crear un
marco invocable por todas las aplicaciones que hagan
uso de adjuntos. AES de esta forma, presenta una
gestión centralizada del tratamiento de adjuntos,
reforzando centralizadamente las políticas de uso
seguro de adjuntos.
- Cambios: Outlook Express se
integra ahora en este marco de tratamiento de
adjuntos. No aporta ningún cambio visible al
usuario.
4. TECNOLOGÍAS PARA LA NAVEGACIÓN SEGURA POR
INTERNET
En este apartado vamos
a ver las tecnologías incluidas en el SP2 de Windows
XP que hacen posible una navegación Web más segura.
Mejoras en la descarga, adjuntos y Authenticode
Los avisos que aparecen
en la descarga de ficheros, adjuntos en el correo,
ejecución de procesos e instalación de programas se
han modificado en el SP2 para ser más claros y
consistentes. Además, Windows XP muestra al usuario el
editor de un fichero cuando se seleccionan ficheros
ejecutables en Internet Explorer u Outlook Express.
Con este cambio se mejora la experiencia en la
descarga de ficheros de Internet y se impide que
ficheros sospechosos comprometan la seguridad del
sistema.
- Cambios: Cuando un usuario
se descarga un fichero desde Internet Explorer o
desde Outlook Express, le aparecerá un cuadro de
diálogo con información más completa, en función
de si el fichero tiene más o menos riesgo. Después
de descargarlo, IE muestra información sobre el
editor del fichero. Si el fichero no incluye la
firma del editor, tiene una firma inválida o está
bloqueado por el administrador del sistema, no
podrá ejecutarse en la máquina.
- Implicaciones: Con este
cambio, los ficheros ejecutables con firmas
inválidas o bloqueadas no se ejecutarán. Para
poder ejecutarlos, se deberá desbloquear al editor
del fichero en Internet Explorer.
Componentes de detección de fallos y gestión en
Internet Explorer
Los datos obtenidos con
los informes de errores de Windows han mostrado que
una de las principales causas de la inestabilidad de
Internet Explorer son los complementos añadidos al
mismo, además de que éstos podrían contener código
malicioso o desconocido. En el SP2 aparecen dos nuevos
componentes, el de gestión, que permite a los usuarios
ver y controlar la lista de complementos que pueden
cargarse en Internet Explorer (ver Pantalla 2)
y el de detección de fallos que intenta detectar
fallos en IE relativos a un determinado complemento;
cuando éste es identificado, el usuario puede
desactivar el mismo. Con esta funcionalidad, los
administradores pueden crear una lista con los
complementos permitidos o no y restringir los permisos
a los usuarios para que no puedan gestionarlos.
- Cambios: Los usuarios
pueden ver y gestionar la lista de complementos de
Internet Explorer con mayor control que antes,
desactivando cualquiera de ellos de una forma muy
sencilla. Los administradores pueden desactivar
este interfaz de usuario, para ser ellos quienes
controlen los complementos.
Siempre que Internet
Explorer falle, se iniciará el componente de Detección
de Fallos. Si detecta que el fallo lo ha provocado un
complemento, aparece un cuadro de diálogo con toda la
información al respecto.
Parámetros de seguridad del comportamiento binario
de IE
Internet Explorer
contiene componentes que encapsulan funcionalidad
específica para los elementos HTML a los que son
anexados. A estos componentes binarios no se los
controla con los parámetros de seguridad de IE, lo que
permite que funcionen en páginas Web incluso en la
zona de Sitios Restringidos.
- Cambios: En cada zona de
seguridad de IE, aparece un nuevo parámetro para
los componentes binarios que está activado en
todas las zonas, excepto en la zona de Sitios
Restringidos.
- Implicaciones: Si el código
de las aplicaciones utiliza complementos binarios
en la zona de Sitios Restringidos, se necesitará
cambiar el código implementando una gestión de la
seguridad personalizada.
Mitigación BindToObject de Internet Explorer
En SP2, el modelo de
seguridad de los ActiveX se aplica en todos los casos
donde el enlace URL se utiliza para instanciar e
inicializar un objeto. Por tanto, el modelo permite
controles que sean marcados como “seguro para
scripting” y “seguro para inicialización” y permite a
los usuarios bloquear o permitir los controles ActiveX
por zona de seguridad.
- Cambios: Ahora se aplica el
modelo de seguridad de los ActiveX a todas las
inicializaciones de objetos con una URL como
fuente. Antes, el código era el responsable de
asegurar la integridad y seguridad del control, lo
que podría con frecuencia resultar en una
vulnerabilidad de seguridad.
- Implicaciones: Los
problemas de compatibilidad con aplicaciones
deberían ser mínimos. Estas podrían optar por
tener su propio gestor de seguridad.
Barra de información de Internet Explorer
La barra de información
de IE en SP2 sustituye a muchas cajas de diálogo que
piden información a los usuarios y proporciona un área
de información a estos mismos usuarios. Las
notificaciones incluyen instalación de ActiveX
bloqueados, elementos emergentes, descargas y
contenido activo.
- Cambios: La barra de
información aparece debajo de las barras de
herramientas de IE y encima de la página web que
se está visualizando, tal y como reproducimos en
la Pantalla 3. Aparece cuando existe una
notificación y desaparece en la siguiente
navegación. El texto varía en función de la
notificación y pinchando sobre el mensaje,
aparecerá un menú relativo a la notificación. Los
usuarios podrán configurar la barra de información
para que se reproduzca un sonido cada vez que la
barra aparezca. Los tipos de notificaciones que
nos mostrará la barra de información son:
- Instalación de complementos, por
ejemplo un control ActiveX: Ahora es menos
probable que los usuarios instalen una aplicación
por accidente.
- Notificación de elementos
emergentes (Pop-ups) bloqueados: Dejarán de
aparecer esas molestas ventanas de información
cada vez que navegamos por Internet.
- Descargas automáticas: Impide que
el usuario instale código no deseado en sus
ordenadores.
- Contenido activo bloqueado.
- Controles ActiveX bloqueados.
- Implicaciones: Las páginas
web que lanzan descargas de ficheros automáticas
deberían asegurarse de que existe también un
enlace a estas descargas. Además, si una página
web reenvía a otra página a un usuario en función
de si tiene un determinado complemento instalado,
debería asegurarse de que este complemento está
también disponible en la página de destino, para
que el usuario tenga la posibilidad de instalarlo.
Parámetros de control de las zonas de seguridad de
IE
Los clientes indicaron
que se necesitaba una configuración más precisa en las
diferentes zonas de seguridad. Por ejemplo, un control
que proteja a los usuarios en la zona de Internet
podría romper una aplicación intranet. Por tanto, SP2
proporciona más precisión en el control de las zonas
de seguridad para ayudar a gestionar la compatibilidad
de aplicaciones intranet.
- Cambios: SP2 introduce una
nueva opción en los parámetros de seguridad de IE
llamada “Abrir archivos basados en el contenido,
no en la extensión”. Si esta opción está activada,
la zona está protegida como lo estaba con el SP1.
Si se desactiva, las acciones que pudieran ser
dañinas no pueden ejecutarse. Más información
sobre esta funcionalidad, más adelante en la
sección titulada “Refuerzo del manejo MIME en IE”.
Del mismo modo, existen dos opciones más “Los
sitios web pueden abrir nuevas ventanas en una
zona de contenido web menos restringida” (más
información en bloqueos de elevación de zona) y
“Permitir que se abran ventanas sin ninguna
restricción de seguridad” (más información en
Restricciones de Ventanas) que podrán ser
activadas o desactivadas por zona de seguridad.
- Implicaciones: Si el código
utiliza el gestor de seguridad URLmon, el
desarrollador debe llamar a
CoInternetIsFeatureEnabledForURL para chequear
estos parámetros de seguridad para la zona.
Parámetros de control de IE en políticas de grupo
El SP2 introduce nuevas
claves y valores del registro para IE llamadas Control
de Funcionalidades. Los administradores pueden
gestionar las nuevas políticas de control mediante
objetos de política de grupos (GPO).
- Cambios: Los
administradores pueden controlar mediante
políticas de grupo las restricciones de seguridad
del comportamiento binario, el bloqueo de la zona
máquina local, el manejo mime, la gestión de
elementos emergentes, etc. Los usuarios no pueden
ver estas políticas o parámetros mediante el
interfaz de usuario de IE. Las políticas pueden
sólo ser establecidas mediante el Editor de
Objetos de Políticas de Grupos. La herramienta
recomendada para que los desarrolladores
personalicen IE es Internet Explorer
Administration Kit (IEAK) SP1.
- Implicaciones: El SP2 añade
nuevas políticas a la Política de Grupos pero no
cambia la gestión de dichas políticas. Los
desarrolladores necesitan conocer cómo cada
característica de seguridad afecta a sus
aplicaciones.
Bloqueo de la zona máquina local de IE
Cuando IE abre una
página web, éste aplica restricciones a lo que la
página puede hacer, basado en la zona de seguridad de
esa página. Antes del SP2, el contenido del sistema de
ficheros local era asignado a la zona de seguridad de
la máquina local, y esta zona permite que el contenido
se ejecute con relativamente pocas restricciones. Por
tanto, los atacantes intentaban aprovecharse de esta
zona para elevar los privilegios y comprometer el
sistema.
Ahora SP2 protege al
usuario bloqueando la zona de la máquina local por
defecto. Además los administradores podrán utilizar
las políticas de grupo para gestionar el bloqueo de
esta zona y para aplicarlo a los diferentes grupos de
máquinas.
- Cambios: Con el SP2, el
bloqueo de la zona máquina local será incluso más
restrictivo que la zona Internet. Cuando el
contenido intente acceder al sistema, la barra de
información aparecerá comunicándonos que la página
ha sido restringida. Con este cambio, se impide
que el contenido eleve el privilegio de la máquina
del usuario.
- Implicaciones: Si la página
web necesita ejecutar un ActiveX o un script, se
puede añadir un comentario en el código HTML. Esto
fuerza a IE a que los ficheros HTML se ejecuten en
una zona diferente de la máquina local. Este
parámetro funciona en IE 4 y posteriores. Otra
opción es crear una aplicación separada que
mantenga el contenido HTML en el Internet Explorer
Web Object Control (WebOC). Los desarrolladores
por tanto tendrán que testear sus aplicaciones y
activar el bloqueo para ofrecer unos niveles
mayores de seguridad.
Los desarrolladores de
controles ActiveX que permitían privilegios elevados
en la zona máquina local no deberían cambiar sus
controles para permitir privilegios elevados en otra
zona; estos controles deberían ser convertidos para
ejecutarse sólo desde una aplicación HTML (fichero .hta)
o una aplicación que se ejecute fuera del bloqueo de
la zona máquina local.
Parámetros de seguridad de la MSJVM de IE
Las versiones
anteriores de Windows incluían la Máquina virtual de
Java de Microsoft (MSJVM). Existía un parámetro para
desactivar la MSJVM, pero este parámetro desactivaba
también la máquina virtual de Java de cualquier otro
fabricante. Con el SP2, este parámetro funciona
exclusivamente con la MSJVM. Por defecto, la MSJVM se
activa para todas las zonas, excepto para la de Sitios
Restringidos.
- Cambios: En el SP2, aparece
un nuevo parámetro en la zona de seguridad de IE,
llamado Microsoft Java VM. Por defecto, está
activado en todas las zonas, excepto en la de
Sitios Restringidos.
- Implicaciones: La MSJVM ya
no está incluida en Windows 2003, SP4 de Windows
2000 y SP2 de Windows XP. Si existen sitios web
que dependen de la MSJVM, éstos no se comportarán
correctamente cuando son accedidos por sistemas
que no la tienen instalada. Los desarrolladores
cuyas aplicaciones utilicen la MSJVM deberían
examinar las opciones de desarrollo en “Transición
de la MSJVM” en el sitio web de Microsoft, en [http://go.microsoft.com/fwlink/?LinkId=21850]
Refuerzo del manejo MIME de Internet Explorer
IE utiliza la
información tipo MIME (Extensiones de correo Internet
multipropósito) para decidir cómo manejar los ficheros
que han sido enviados por un servidor Web, es decir,
qué hacer con un ejecutable o con un fichero .jpg, por
ejemplo. En el SP2, IE sigue unas reglas estrictas
diseñadas para reducir la superficie de ataque y el
tipo de información que utiliza IE para saber cómo
manejar el fichero es la extensión, el tipo de
contenido de la cabecera HTTP, la disposición del
contenido y los resultados del análisis MIME.
- Cambios: Cuando un servidor
web sirve ficheros a un cliente, IE requiere que
la información sobre el tipo de fichero sea
consistente. Es decir, IE reforzará la
consistencia entre cómo se maneja un fichero en el
explorador de Internet y cómo se maneja en el
intérprete de comandos Windows. Por ejemplo, si el
tipo MIME del fichero es “texto/plano” pero el
análisis MIME indica que el fichero realmente es
un HTML o un fichero ejecutable, IE no
incrementará el privilegio del fichero comparado
al tipo MIME declarado por el servidor. Por tanto,
si un servidor Web mantiene ficheros HTML pero en
la cabecera HTTP envía “texto/plano” como el tipo
de contenido, IE mostrará el fichero como texto
plano.
- Implicaciones: Los
desarrolladores deben cambiar sus servidores Web
para mantener ficheros que utilicen cabeceras y
extensiones consistentes.
Caché de objetos de Internet Explorer
En versiones anteriores
al SP2, algunas páginas Web podrían acceder a objetos
cacheados de otro sitio Web. Por ejemplo, se podrían
crear scripts que escucharan eventos o contenido en
otro sitio Web, como números de tarjetas de crédito u
otro dato sensible. En el SP2, ya no está accesible la
referencia a un objeto cuando el usuario navega a un
nuevo dominio.
- Cambios: Nuevo contexto de
seguridad en todos los objetos hechos mediante
scripts, en el que el acceso a todos los objetos
cacheados está bloqueado. Además de bloquear este
acceso cuando se navega por diferentes dominios,
el acceso también está bloqueado cuando se navega
dentro del mismo dominio.
- Implicaciones: Los
desarrolladores Web deberían revisar esta
característica y adoptar los cambios necesarios a
su sitio Web.
Bloqueador de elementos emergentes de Internet
Explorer
El bloqueador de
elementos emergentes (pop-ups) bloquea la mayoría de
las ventanas no deseadas que aparecen cuando se
navega. Los usuarios finales y administradores pueden
permitir a dominios específicos que abran este tipo de
ventanas. Con esta funcionalidad, la navegación por
Internet será menos molesta.
- Cambios: El bloqueador de
elementos emergentes, que podemos ver en la
Pantalla 4, es una nueva funcionalidad de IE,
que proporciona cambios en la experiencia del
usuario, cambios en el comportamiento de las APIs
actuales (window.open y showHelp, por ejemplo) y
un nuevo interfaz INewWindowsManager que permite a
las aplicaciones utilizar esta tecnología en IE.
Se puede configurar o desactivar en el menú
Herramientas de IE. Cuando se bloquea un elemento
emergente, aparece una notificación en la barra de
estado de IE, que nos permitirá mostrar el
elemento, permitir los elementos de este sitio
Web, bloquearlos o mostrar las opciones avanzadas.
- Implicaciones: Si tu
aplicación abre ventanas automáticamente, éstas
serán bloqueadas, y se tendrán que buscar otras
alternativas para hacer lo mismo. Una posibilidad
de abrir una ventana es mediante un enlace o
elemento gráfico en el que el usuario haga clic.
Bloqueo de los editores en los que no se confía de
IE
Esta característica
permite que el usuario bloquee todo el contenido
firmado de un determinado editor sin necesidad de
mostrar el cuadro de diálogo de Authenticode. Esto
permite que el código del editor bloqueado no sea
instalado ni tampoco el código con firmas inválidas.
- Cambios: Cuando aparece el
cuadro de diálogo de Authenticode, el usuario
puede seleccionar “Nunca confiar en el contenido
de Nombre_del_Editor”. Si lo selecciona, el código
de este editor será automáticamente bloqueado en
las siguientes ocasiones, sin preguntar nuevamente
al usuario. Antes no había forma de decir “No
quiero contenido de este editor y no me preguntes
de nuevo”, sólo podía seleccionarse la opción de
“Siempre confiar en el contenido de
Nombre_del_Editor”. Además, por defecto, Windows
bloquea la instalación de código firmado con firma
inválida.
Restricciones de ventanas de Internet Explorer
IE tiene la capacidad
de poder desarrollar scripts que programáticamente
abran ventanas adicionales de diferentes tipos y que
reposicionen y cambien el tamaño de las ventanas
existentes. La característica “Restricciones de
ventanas” restringe dos tipos de ventanas: las
ventanas popup (que no tienen componentes como la
barra de dirección, la barra del título, la barra de
estado y barras de herramientas) y las que incluyen la
barra del título y la barra de estado.
- Cambios: Las ventanas con
barra de título y barra de estado, iniciadas por
scripts, son forzadas a que estas barras estén
visibles después de que la operación se complete.
Los scripts no pueden posicionar ventanas con la
barra de título o la barra de dirección por encima
de la parte visible de la pantalla ni la barra de
estado por debajo de la parte visible de la
pantalla. Sin este cambio, las ventanas pueden
esconder elementos importantes del interfaz de
usuario y éste podría pensar que están en una
página segura, cuando en realidad están en un
servidor Web malicioso.
- Implicaciones: El diseño
del script podría necesitar ser revisado para
asegurar que las ventanas son visibles al usuario
y que la barra de estado contiene información
exacta. Si el script crea o mueve una ventana
fuera de la pantalla, se debería examinar este
requerimiento y elegir otra forma de llevarlo a
cabo.
Bloqueos de elevación de zona de Internet Explorer
Cuando se abre una
página Web en Internet Explorer, éste aplica
restricciones en lo que la página puede hacer, basado
en dónde esté la página: Internet, un servidor
intranet, un sitio en el que se confía, etc. La zona
de seguridad Máquina Local es la zona con menos
restricciones de seguridad, por lo que hace que sea el
principal destino para los usuarios maliciosos. La
característica de Bloqueo de Elevación de Zona
endurece la posibilidad de ejecutar código en esta
zona, además de hacerla menos vulnerable.
- Cambios: IE impide que el
contexto de seguridad de cualquier enlace dentro
de una página sea mayor que el contexto de
seguridad de la URL raíz. Esto significa que una
página en la zona Internet no puede navegar a una
página en la zona Intranet, excepto si es una
acción iniciada por el usuario. Esta
característica también desactiva la navegación
JavaScript si no existe contexto de seguridad.
- Implicaciones: Las páginas
Web que llaman automáticamente a otras páginas Web
con más privilegios fallarán. Si una aplicación
Web falla, habrá que modificar las opciones de
seguridad de zona para permitir que la aplicación
continúe funcionando.
5. TECNOLOGÍAS
MEJORADAS PARA EL MANTENIMIENTO DEL SISTEMA
Esta sección muestra
las tecnologías incluidas en SP2 que ayudan al usuario
a mantenerse informado sobre tecnologías de seguridad
y asegurar que los sistemas tienen las actualizaciones
de seguridad más actuales.
Filtro para añadir o quitar programas
Este filtro (ver
Pantalla 5) permite a los usuarios visualizar las
actualizaciones instaladas en la máquina sólo cuando
es seleccionado, en lugar de combinarlas con los
programas instalados.
- Cambios: En el SP2 el
usuario puede elegir si ver o no las
actualizaciones instaladas, seleccionando la
opción Mostrar actualizaciones. Por defecto,
Añadir o Quitar Programas no mostrará las
actualizaciones instaladas en el sistema.
- Implicaciones: Los
programas no necesitan ningún tipo de cambio para
seguir funcionando con Añadir o Quitar Programas
en el SP2. Un programa puede aprovecharse de esta
opción no mostrando sus actualizaciones por
defecto. Los detalles de cómo no mostrarlas
estarán disponibles más adelante en MSDN.
Servicios de Actualización Windows y
Actualizaciones Automáticas
Los servicios de
actualización de Windows WUS (antes conocidos como
SUS, Servicios de Actualización de Software) permiten
a los administradores automatizar el despliegue de
actualizaciones críticas y de seguridad a los sistemas
con Windows XP Professional, Windows 2000 o Windows
2003. El programa de Actualizaciones Automáticas (ver
Pantalla 6) se conecta periódicamente al sitio
Web de Actualizaciones Windows en Internet o a un
servidor WUS interno de la organización y según la
configuración, se instalarán todas las actualizaciones
automáticamente o se notificará al administrador o
usuario del sistema de la existencia de
actualizaciones preparadas para instalarse.
- Cambios: Los más relevantes
son:
- Soporte para Microsoft Office,
Microsoft SQL Server y Microsoft Exchange, además
de distribución de drivers de hardware.
- Soporte de actualizaciones de
seguridad, actualizaciones críticas, service packs,
y paquetes “roll-up”
- Ahora el programa de
Actualizaciones Automáticas puede priorizar la
descarga de actualizaciones. Por ejemplo,
descargará antes una actualización que resuelve
una vulnerabilidad que un Service Pack.
- Cuando se utiliza un servidor WUS,
los administradores pueden asignar los sistemas a
diferentes grupos de forma que puedan controlar
qué actualizaciones se instalan en ellos. De esta
forma, podríamos instalar una actualización a los
clientes y no a los servidores.
- Ahora existen un conjunto de APIs
que pueden utilizarse para gestionar las
Actualizaciones Automáticas programáticamente o
desde scripts.
- Los administradores pueden
configurar la frecuencia con la que los sistemas
clientes chequean un servidor WUS buscando
actualizaciones.
- No existe interrupción durante la
instalación de actualizaciones, puesto que pueden
consolidarse varias para que el sistema pueda ser
reiniciado una única vez. Además, se ha eliminado
la necesidad de que el usuario apruebe el acuerdo
de licencias, será el administrador del servidor
quien lo apruebe.
- Cuando las actualizaciones están
descargadas y preparadas para ser instaladas,
aparece una nueva opción para “Instalar
actualizaciones al apagar el sistema”. Esto
permite que se instalen cuando el sistema no está
siendo utilizado para otras actividades.
- Los administradores pueden
configurar el comportamiento de las
Actualizaciones Automáticas utilizando Políticas
de Grupo.
- Nueva versión del servicio de
transferencia, BITS 2.0 (Background Intelligent
Transfer Service) cuyas características
principales son:
- Permite descargar actualizaciones
en un periodo determinado, en el que haya menos
uso de la red.
- Puede utilizar sólo una porción
del ancho de banda disponible.
- Descarga sólo las porciones de
ficheros que han cambiado.
- Se recobra de fallos en la red. No
reiniciará la descarga de un fichero sino que
comenzará donde se paró.
- Mediante Políticas de Grupos, se
pueden configurar las opciones de programación y
de notificación a los usuarios.
- Los clientes pueden actualizar
automáticamente a nuevas versiones el programa de
Actualizaciones Automáticas sin necesidad de que
el administrador reconfigure el sistema.
- Reglas mejoradas para asegurar que
las actualizaciones son aplicadas al sistema
apropiado.
Conjunto Resultante de Políticas
El conjunto resultante
de políticas (RSoP) nos informa de la configuración de
políticas que se aplican a un usuario o sistema. Una
consola (Resultados de Política de Grupos) pide datos
RSoP a un determinado sistema y los presenta en un
informe HTML. El Modelado de Política de Grupos pide
la misma información a un servicio que devuelve una
simulación de RSoP para una combinación de sistema y
usuario.
- Cambios: En el SP2, el
cortafuegos Windows está activado por defecto y
por tanto las peticiones entrantes contra puertos
cerrados son bloqueadas. Esto afecta al uso de
RSoP de dos formas:
- El acceso remoto a datos RSoP
desde un sistema con SP2 no funciona cuando el
cortafuegos es instalado en el sistema destino.
- Si el cortafuegos se activa, un
sistema con SP2 en el que se ejecuta la consola de
política de grupos no podrá recuperar los datos
RSoP.
- Implicaciones: Para
asegurar que las peticiones entrantes RSoP puedan
ser servidas, el sistema destino debe escuchar por
los puertos adecuados. Estos puertos pueden
configurarse mediante políticas. Cuando el
cortafuegos se activa, el SP2 bloquea las
respuestas a las peticiones RSoP. Para no tener
que abrir puertos, lo recomendable es instalar
GPMC (consola de gestión de política de grupos)
con SP1, disponible en [http://go.microsoft.com/fwlink/?LinkId=23529].
Centro de Seguridad
El Centro de Seguridad
(Pantalla 7) es un nuevo servicio del SP2 que
proporciona una localización central para cambiar los
parámetros de seguridad, aprender más sobre seguridad
y asegurarnos que el sistema está actualizado con las
opciones recomendadas por Microsoft.
El Centro de Seguridad
chequea el estado del cortafuegos (si está activado o
no), del antivirus (chequea la presencia de software
antivirus y si éste está actualizado) y de las
actualizaciones dinámicas (si éstas no están
activadas, el Centro de Seguridad da las
recomendaciones adecuadas). Si falta algún componente,
el Centro de Seguridad coloca un icono rojo en la
barra de tareas.
Esta característica se
aplica a todos los sistemas de un grupo de trabajo y,
mediante la política de grupos, los administradores
pueden activar esta característica para los sistemas
de un dominio.
Instalación de Paquetes
El SP2 se instala
mediante el Instalador de Paquetes Windows que
actualiza y cambia la instalación existente de Windows
XP. Existen algunas consideraciones, como por ejemplo:
- Se han añadido algunos parámetros
nuevos para lanzar Update.exe desde línea de
comandos.
- Dado que se han introducido muchas
características nuevas en el SP2, existe un
incremento en el tiempo de instalación.
- Los antivirus pueden afectar en el
tiempo total requerido para instalar un service
pack. Si se desactiva durante la instalación, se
puede reducir el tiempo alrededor de un 20%.
El Instalador Windows
(Windows Installer 3.0) define y gestiona un formato
estándar para la instalación y actualización de
aplicaciones. Windows Installer 3.0 es una nueva
versión incluida dentro del SP2 de Windows XP.
- Cambios: Windows Installer
3.0 proporciona la infraestructura necesaria para
que los sistemas de distribución de software
envíen e instalen actualizaciones a las
aplicaciones basadas en el Instalador de Windows.
Esto significa que Windows Installer 3.0 y WUS
facilitan la actualización de los sistemas con los
últimos parches de Microsoft. Además, los
desarrolladores pueden usar Windows Installer 3.0
para crear paquetes de parches que utilicen la
tecnología de compresión delta, lo que reduce
significativamente la carga del parche.
Windows Installer 3.0 soporta la desinstalación de
los parches mediante el Panel de Control, el
intérprete de comandos o directamente llamando a
una función de Windows Installer. Cuando se
desinstala un parche, el sistema se queda en el
mismo estado que tenía antes de instalar el
parche.
En algunos escenarios, Windows Installer puede
requerir acceso al recurso original de la
instalación de la aplicación. Ahora los
administradores pueden gestionar la lista de
recursos para productos y parches, incluyendo la
red, URL, otros dispositivos y permitir el acceso
para leer, editar y reemplazar las listas de
Microsoft Installer desde un proceso externo.
Otra característica
importante de Windows Installer 3.0 es que permite a
los desarrolladores de parches proporcionar
instrucciones explícitas sobre el orden en el que las
actualizaciones deberían ser aplicadas a los sistemas.
Windows Installer 3.0 utiliza WinHTTP para gestionar
las descargas URL y como resultado de ello ya no se
soportan ni FTP ni GOPHER. Se siguen soportando los
protocolos HTTP, HTTPS y FILE. Y por último, el
servicio de Windows Installer ya no es interactivo, se
ejecuta en el contexto de seguridad de la cuenta Local
del Sistema.
- Mitigación de cambios: Los
paquetes y parches que fueron creados para Windows
Installer 2.0 pueden instalarse utilizando Windows
Installer 3.0, sin ningún problema.
Actualización Windows
Este componente (ver
Pantalla 8) ayuda a los usuarios a mantener
actualizados sus sistemas en cuanto a parches y otras
actualizaciones software de componentes de Windows se
refiere. Con el SP2, la Actualización Windows junto
con los Servicios de Actualización Windows (WUS)
proporciona dos servicios:
- Actualización Windows:
Parches y actualizaciones de componentes Windows,
además de drivers.
- Actualización Microsoft:
Parches de seguridad y actualizaciones para
componentes Windows y otros productos. Los
primeros productos que se incluirán son SQL,
Exchange y Office.
- Cambios: Los principales
cambios con respecto a la versión anterior son:
- Actualizaciones para aplicaciones
Microsoft, como Office, SQL y Exchange. El usuario
ya no tiene que navegar a múltiples
localizaciones, recibe estas actualizaciones o
bien navegando al sitio Web de Actualizaciones
Microsoft o bien configurando las Actualizaciones
Automáticas en el sistema.
- Existen dos opciones de
instalación: la Express y la Personalizada. Con la
instalación Express, se preseleccionan las
actualizaciones críticas y el usuario no puede
editar la lista. Con la instalación personalizada,
el usuario tiene el control completo sobre estas
actualizaciones críticas.
- En la página Web de Actualización
Windows y de Actualización Microsoft, se ha
revisado el diseño visual, se le muestra al
usuario su configuración de Actualización Windows,
se le sugiere la configuración óptima, existe una
nueva sección de “Noticias de Microsoft” con
información de incidencias críticas y trucos al
usuario, información al administrador sobre el
Catálogo de Actualizaciones, etc.
- Se han hecho cambios en la
organización y en la navegación del sitio Web: se
han categorizado las actualizaciones, se ha
optimizado el proceso de instalación de
actualizaciones que deben ser instaladas de forma
separada al resto, ahora se ofrece al usuario
únicamente la versión de actualización última (si
por ejemplo un Service Pack incluye un
parche de seguridad, sólo se ofrece el Service
Pack), se dan más detalles al usuario, existe
la posibilidad de seleccionar todas las
actualizaciones con un clic, el usuario puede
ahora esconder actualizaciones que no quiere
instalar, el usuario puede descargar productos en
beta y actualizaciones en beta, la descarga
continúa donde se quedó si se produce un corte en
las comunicaciones, se da más información sobre
los drivers, etc.
- Además se muestran procedimientos
de resolución de problemas, el histórico de
instalaciones más detallado, mensajes de error
mejorados, etc.
Hacking
