lunes, 16 de noviembre de 2009

Mitos y leyendas: UAC, ese gran incomprendido II (UAC de forma útil)

La potencia del UAC se muestra realmente cuando se utiliza una cuenta con privilegios limitados. Con UAC bien configurado, Windows se comporta de forma parecida a otros sistemas operativos que llevan años obligando al usuario (con éxito) a utilizar cuentas de usuario estándar: GNU/Linux y Mac OS.

Por defecto, el primer usuario creado cuando se instala Vista es una cuenta de administrador en "modo de aprobación". En este modo de UAC no se pide credenciales, sino que simplemente, ante una acción potencialmente peligrosa, se pregunta si realmente se quiere hacer. Lo que ha dado mala fama al UAC y probablemente un gran error de Windows Vista (corregido al parecer en Windows 7) ha sido obligar a responder preguntas de si realmente se quiere realizar una acción a un usuario que ya de por sí es administrador.

Para usar de forma útil el UAC el usuario debe ser usuario raso y preferiblemente, configurarlo para que pida las credenciales. En XP, cada vez que se quería elevar privilegios para realizar tareas de administrador, había que utilizar herramientas incómodas como "runas" o realizar ciertos trucos para que el proceso "explorer.exe" heredara el token de administrador. Esto era un suplicio. Con UAC, cada vez que el usuario desee realizar una acción como administrador, el diálogo aparecerá mágicamente, y solo será necesario aprobar la acción o introducir las credenciales. Todo es mucho más cómodo. Pero para conseguir esto, hay que manipular y entender algunos aspectos del UAC.

La pantalla gris

A muchos usuarios les molesta que la pantalla se oscurezca cuando aparece el diálogo del UAC. Incluso, algunas tarjetas gráficas no lo soportan y se obtienen resultados extraños cuando UAC se interpone en su camino. Esto no es un capricho de Microsoft, de hecho, es bastante útil. Básicamente, el diálogo del UAC se ejecuta en otro contexto al que el fondo de escritorio normal, "no puede llegar". Si no fuera así, un malware alojado en el sistema, podría acceder a esa pantalla de diálogo y aprobar por él mismo las acciones sin que el usuario pudiese evitarlo. Claro está que para que esto ocurriera, el sistema debería, ya de por sí, estar infectado, pero no está de más prevenir. Es una medida interesante y útil. Aun así, es posible deshabilitarla.

Aprobando todo el rato

Como comentamos, si un usuario quiere usar Vista como XP bajo su cuenta y riesgo, es fácil deshabilitar el UAC para la cuenta de administrador. A muchos choca que, aun siendo administrador, se le pregunte si quiere realizar ciertas acciones. Simplemente hay que desactivar el "Modo de aprobación de administrador" para la cuenta de Administrador.

Aprobar o introducir la contraseña.

Esto se configura con el "comportamiento del indicador de elevación para los usuarios estándar". Si se configura para pedir credenciales, cada vez que un usuario estándar necesite realizar una acción con privilegios deberá introducir la contraseña de un administrador. Especialmente útil para no tener que realizar los viejos trucos de XP con el fin de elevar privilegios. Esto, unido a la capacidad de detectar qué programas requieren privilegios y cuáles no, es lo que acerca a Vista y 7 al mundo de gestión multiusuario de Mac OS o GNU/Linux.

Todos estos cambios pueden realizarse en el registro o desde la consola de modificación de políticas, y ayudan a aprovechar realmente UAC. Windows 7, tras la desastrosa experiencia, ha limitado el número de acciones que necesitan de elevación de privilegios, y además, eliminado el modo de aprobación para el primer usuario, en un intento de contentar a todo sus clientes.

Si bien UAC no es ninguna panacea (como no lo es ninguna solución de seguridad por sí misma) usado junto a un usuario estándar, resulta muy útil. Microsoft no se atreve todavía a dar el salto y a obligar al uso de cuentas limitadas, sin embargo, parece que tarde o temprano tendrá que hacerlo. Y solo entonces los usuarios deberán aprender a moverse en el entorno limitado en el que siempre debieron hacerlo.


Sergio de los Santos
ssantos@hispasec.com


Más información:

Mitos y leyendas: UAC, ese gran incomprendido I (Introducción)
http://www.hispasec.com/unaaldia/4040

No hay comentarios:

Publicar un comentario en la entrada