Aunque a primera vista pueda costar de creer, el gigante de Redmond
acaba de obtener un prestigioso reconocimiento relacionado con la
seguridad.
El pasado 29 de octubre Microsoft anunció que la línea de sistemas
operativos Windows 2000 (versiones Professional, Server y Advanced
Server) han obtenido la certificación “Common Criteria”. Se trata de un
estándar aprobado por la ISO (ISO- IEC 15408) establecido para la
evaluación de las funciones de seguridad y las prestaciones de los
productos tecnológicos. Actualmente está certificación es reconocida por
14 países (Australia, Nueva Zelanda, Canadá, Francia, Alemania, Reino
Unido, Estados Unidos, Finlandia, Grecia, Italia, Israel, Holanda,
Noruega y España) y que se considera como una de las máximas
certificaciones que pueden obtenerse en lo relativo a la seguridad
informática.
¿Significa este paso que Microsoft se está tomando en serio todo lo
relacionado con la seguridad informática? Con el riesgo de verme atacado
por todos los detractores de Microsoft, mi impresión es que sí.
Para obtener la certificación, Microsoft ha tenido que asumir la
realización de auditorías de seguridad del código fuente, exhaustivas y
costosas. Y si alguna cosa no se le puede negar a Microsoft es que
últimamente está invirtiendo muchos recursos, tecnológicos, financieros
y humanos a los diferentes aspectos de la seguridad. En total, Microsoft
ha sido un ejercicio de tres años de duración, desarrollado por cientos
de ingenieros, con un coste de varios millones de dólares.
Dicho esto, la obtención del “Common Criteria” es únicamente un punto de
partida para aumentar el nivel de seguridad. Como si fuera un mal
presagio, sólo un día después del anuncio de la obtención de esta
certificación, Microsoft anunció la existencia de tres nuevas
vulnerabilidades, una de ellas considerada como crítica. Una de estas
vulnerabilidades afectaba a un sistema de seguridad evaluado durante el
proceso de obtención de la certificación.
Versiones certificadas
La certificación se ha expedido para Windows 2000 Professional, Windows
2000 Server y Windows 2000 Advanced Server con el Service Pack 3 y el
hotfix Q326886 instalado (este hotfix elimina un problema en el gestor
de conexiones de red que puede ser utilizado por un atacante para
aumentar sus privilegios en el sistema).
La certificación ha consistido en el análisis de diversos componentes
del sistema operativo: módulo criptográfico, directorio activo, sistema
de archivos y los sistemas de control de acceso. También se han
analizado los otros componentes del sistema que tienen alguna relevancia
desde el punto de vista de la seguridad.
También debe tenerse en cuenta que las configuraciones presentadas por
Microsoft no son configuraciones especialmente diseñadas para aumentar
la seguridad a costas de las funcionalidades. Se trata de
configuraciones estándar, en las que únicamente se han modificado
algunos parámetros de seguridad de acuerdo con las guías de seguridad de
Microsoft.
xavi@hispasec.com
Deja un comentario