in Software

Agujero de seguridad en UAC de Windows 7 (y otras novedades)

por Lisandro Pardo 2 febrero, 2009, 5:51 pm 37 Comments

Análisis: Windows 7 beta 1

Bueno, era inevitable que algo así apareciera de la nada, si tenemos en cuenta que se trata de una beta. Pero no deja de tratarse de Windows 7, y tanto sus defensores como sus detractores se han expresado de forma extensa sobre este bug encontrado en el Control de Acceso de Usuario, más conocido como UAC. Dejando pasar de largo la polvareda, notamos que además del asunto con el UAC, se saltará un par de betas para llegar directo a Release Candidate (¡¿?!), y hasta ya hay gente que pide el lanzamiento de Windows 7, digamos… ahora.

¿Se acuerdan del UAC? Aquellos que usen o hayan usado a Windows Vista probablemente lo tengan muy fresco en su memoria, pero en defensa de aquellos que utilizan XP o que recurren a otros sistemas operativos, nos tomaremos el atrevimiento de repasar. El UAC es el Control de Acceso de Usuario, función incorporada en Windows Vista para incrementar la seguridad del sistema operativo, advirtiendo al usuario de acciones que puedan representar un riesgo de seguridad para el sistema operativo y los datos almacenados en el ordenador. Hasta aquí, todo perfecto. En teoría, todo lo que incremente la seguridad de nuestros ordenadores debería tener un alto valor entre los usuarios.

Un ejemplo del UAC, interceptando al Centro de Seguridad de Windows

Sin embargo, con el caso del UAC no fue así. De hecho, resultó ser una de las primeras funciones en ser desactivadas en casi todas las instalaciones de Windows Vista pre-SP1. ¿La razón? El UAC era, según muchos usuarios, demasiado paranoico. Pero lo que tal vez más irritó a la gente fue la respuesta de Microsoft, declarando que dicha paranoia fue hecha a propósito, en un intento de demostrarle a los usuarios y a los desarrolladores lo inseguros que eran los programas actuales. Claro que esta declaración quedó en ridículo al ver que incluso funciones internas y "supuestamente seguras" de Windows eran interceptadas de todas formas por el UAC. En otras palabras, el UAC desconfiaba hasta del propio Windows. Incluso no faltó oportunidad para que los seguidores de la manzana expresaran su "opinión" sobre el UAC.

Con la salida del Service Pack 1 para Windows Vista, las cosas se hicieron bastante más tolerables. Se redujeron la cantidad de avisos por parte del UAC, lo que llevó a muchos a creer que ya no estaba tan loco de la cabeza como antes. A pesar de estas mejoras, y como ha sucedido con todo lo relacionado con Windows Vista, el UAC pasó a tener un "expediente manchado" y ha sido visto con cierto rechazdo desde entonces. Pero en teoría, la función del UAC es viable, por lo que Microsoft aplicó el concepto una vez más en Windows 7. Las evaluaciones preliminares del UAC para Windows 7 fueron muy buenas. Incluso en nuestras extensas pruebas nos lo habremos encontrado solo tres o cuatro veces, y no fue ningún inconveniente para nosotros el dejarlo activado.

Lamentablemente, hay un problema. Cuando leí por primera vez sobre esto, lo primero que me vino a la mente es una frase que encaja perfectamente con este tema: "La seguridad molesta". Una persona puede tener media docena de contraseñas en su ordenador, pero llega un momento en que se cansa de escribirlas todas cada día, y comienza a buscar alguna forma de automatizar la seguridad o de reducirla. El problema específico del UAC en Windows 7 es que, por defecto, ahora está "demasiado relajado". El UAC advierte al usuario sobre cualquier cambio realizado en el sistema por un programa hecho por un tercero, pero no advierte sobre los cambios realizados en la configuración de Windows. La consecuencia fue que no se necesitó demasiado tiempo para que apareciera un script de Visual Basic haciéndose pasar por el usuario que desactivara el UAC, agregara un ejecutable en la sección de Inicio de Windows, y reiniciara el sistema. Más que suficiente para tomar control de un ordenador, todo frente a las narices del UAC. La solución que se ha planteado para este bug es, bueno, una vieja conocida: Llevar el UAC al conocido "modo paranoia" de Windows Vista, reportado cada cambio en el sistema por más pequeño que sea. Ahora, ¿cuál ha sido la respuesta de Microsoft? Los consultados dijeron que "no se trata de un bug" porque "así fue diseñada" la función. Caso cerrado, al menos para ellos.

Cualquier malware barato podría desactivar el UAC fácilmente, pero según Microsoft "así fue diseñado"

En otras palabras, esto no va a tener una solución oficial debido a que no existe un problema en primer lugar. Así que, niños y niñas, apenas obtengan su copia de Windows 7, suban un punto el regulador del UAC, o desactívenlo por completo y dejen la seguridad de su sistema en manos programas hechos por terceros. Evidentemente no habrá un "punto medio" aquí, o tendremos el UAC que ofrece Vista actualmente (con todos sus berriches incorporados), o el UAC de Windows 7, mucho menos intrusivo pero al mismo tiempo, con un agujero de seguridad más grande que una sandía.

Otro dato que puede parecer chocante a aquellos que han pasado una buena parte de estos últimos días reportando bugs en Windows 7 es que Microsoft ha confirmado que no habrá, repetimos, no habrá beta 2. El gigante de Redmond decidió, después de todas las respuestas positivas que han cosechado tanto en la red como en su sistema de feedback, que el Release Candidate será la última versión de pruebas antes de alcanzar el estado RTM; La versión final disponible tanto para consumidores como para empresas. Esto nos da una sensación de prisa por parte de Microsoft, y la historia ha dejado más que en claro cuál es el destino del software que sale a las apuradas. Lo único más reciente que ha salido de Windows 7 son los llamados "checked builds", especialmente orientados para desarrolladores de controladores y para quienes necesitan servicios de depuración.

Pero la prisa no sólo parece estar del lado de Microsoft. De la nada ha aparecido una solicitada para que Windows 7 sea lanzado "de inmediato", o sea, dejando de lado todo proceso de beta y de Release Candidate. Uno puede pensar que una petición así a esta altura del año es una locura, pero lo cierto es que el sitio ya ha registrado más de dos mil votos. La fecha estimada de lanzamiento para Windows 7 aún sigue siendo entre fines de este año y principios del siguiente, y todavía se desconocen con exactitud la cantidad de versiones disponibles que tendrá el sistema.

Hasta aquí, este es (más o menos) el estado de Windows 7. Gente que lo pide a gritos, versiones que son saltadas por completo, y un bug que aparentemente todos han reconocido, excepto Microsoft. Habrá mucha más tela que cortar si Windows 7 sigue apareciendo en las noticias con esta clase de novedades, y por supuesto, defensores y detractores tendrán más terreno fértil para sacarse los ojos.

Reportar

Sistemas Operativos