[Descarga]Service pack 2

Configuraciones de seguridad más robustas

El objetivo impuesto por Microsoft, es conseguir computadoras e información personal inmunes a ataques externos, y para ello SP2 aplica configuraciones de seguridad más robustas.

Mejora del Windows Firewall

Windows Firewall (anteriormente denominado Internet Connection Firewall o ICF) es un cortafuego de filtrado basado en software para Microsoft Windows XP y Microsoft Windows Server 2003. Windows Firewall proporciona protección para los PC que se encuentran conectados a una red, impidiendo las conexiones entrantes no solicitadas mediante TCP/IP versión 4 (IPv4) y TCP/IP versión 6 (IPv6).

El cortafuego, ahora se activará por defecto de forma predeterminada (esto hubiera evitado infecciones como las producidas por el Blaster o el Sasser entre otros). También puede proteger al equipo mientras éste se inicia o se apaga. Debido a la gran cantidad de equipos conectados las 24 horas a Internet, este tipo de protección es hoy día vital, ya que un paquete de información podría ser recibido y reenviado a un servicio sin que Windows Firewall lo filtrara, exponiendo potencialmente al equipo a cualquier ataque. Sólo se permitirá en ese punto, llevar a cabo las tareas de red básicas, como DNS y DHCP, y la comunicación con un controlador de dominio para obtener una política.

Es importante hacer ver, que como la nueva configuración predeterminada de Windows Firewall bloqueará todo el tráfico, se pueden llegar a mostrar algunos mensajes de error hasta que se habiliten los servicios autorizados a conectarse.

Por defecto el cortafuegos del SP2, cierra todos los puertos mientras no se estén utilizando. Además, agrega mejoras en la interfase de usuario para facilitar las tareas de configuración, entre ellas la posibilidad de aplicar políticas de grupo para un uso corporativo del sistema.

Con las mejoras, la posibilidad de un ataque al protocolo RPC (Llamada de Procedimiento Remoto) se reduce notoriamente, por lo que es posible ejecutar objetos RPC con credenciales de seguridad reducidas. La infraestructura DCOM también tiene restricciones de control de acceso adicionales para reducir el riesgo de que un ataque a la red tenga éxito.

Una "Llamada a Procedimiento Remoto", es un estándar de amplia utilización definido por Open Software Foundation (OSF) para entornos distribuidos. El transporte RPC permite que un proceso haga llamadas a funciones que forman parte de otro proceso. El otro proceso puede residir en el mismo equipo o en un equipo distinto de la red.

DCOM (Modelo de Objetos Componentes Distribuido), son extensiones del Modelo de Objetos Componentes (COM), que facilita la distribución transparente de objetos a través de redes y de Internet. Un objeto es una variable que comprende rutinas y datos, y que se basa en un modelo específico, donde un cliente que utiliza los servicios de un objeto obtiene acceso a los datos del objeto a través de una interfase.

En la nueva versión del cortafuego, cuando se activa la compartición de archivos e impresoras, cuatro puertos se verán específicamente afectados por la restricción de subred local. Los siguientes puertos sólo recibirán tráfico de dicha subred:

UDP/137
UDP/138
TCP/139
TCP/445

Si una aplicación o servicio también utiliza estos puertos, sólo podrá comunicarse con otros nodos de la subred local.

Cuando está activada la arquitectura UPnP, dos son los puertos que se verán específicamente afectados por la restricción de subred local y sólo se recibirá tráfico de esa subred:

UDP/1900
TCP/2869

Protección de la memoria

Algunos ataques llevados a cabo por programas malintencionados inciden especialmente en las vulnerabilidades en la seguridad del software que permiten la copia de una gran cantidad de datos en diversas áreas de la memoria de la computadora. Estas vulnerabilidades suelen conocerse como desbordamientos de búfer, y aunque ninguna técnica puede eliminarlos por completo, SP2 agrega importantes mejoras para mitigar los efectos de este tipo de ataque.

En primer lugar, los componentes del núcleo de Windows han sido recompilados. Por otro lado, Microsoft está trabajando en colaboración con los fabricantes de microprocesadores para que Windows soporte hardware con protección de ejecución (tecnología también conocida como NX, o "No Execute") en aquellos microprocesadores que posean esta característica. La protección de ejecución utiliza la CPU para marcar todas las posiciones de memoria de una aplicación como no-ejecutables a menos que dicha localización contenga explícitamente código ejecutable. De esta forma, cuando un gusano o un virus inserten código en una parte de la memoria marcada como "sólo de datos", cualquier aplicación o componente Windows no funcionará.

Archivos adjuntos

Un nuevo Servicio de Ejecución de Archivos Adjuntos (Attachment Execution Service), determina si los archivos son seguros para abrirse/ejecutarse cuando están adjuntos a mensajes del Outlook Express o Windows Messenger, o son abiertos vía Internet Explorer. La protección se basa en abrir archivos basándose en su contenido, no en su extensión.

Esta tecnología de seguridad pretende ayudar a detener la propagación y ejecución de aquellos virus y gusanos que se envían a través del correo electrónico y de la mensajería instantánea. Cualquier archivo adjunto que no sea seguro y que sea enviado a través de dichos medios, será aislado para que no pueda afectar a otras partes del sistema.

Mejoras de seguridad en el Internet Explorer

En el Internet Explorer también se han hecho importantes cambios a nivel de código, que ayudarán a facilitar la protección contra ciertos tipos de exploits, por ejemplo restricciones de seguridad aplicadas al HTML hospedado en el disco duro y procesado por el IE.

Anteriormente, el contenido del sistema de archivos local, aparte de lo almacenado en caché por Internet Explorer, era considerado seguro, y estaba asignado a la zona de seguridad local (Mi PC). Esta zona de seguridad normalmente permite que ingrese contenido en Internet Explorer con relativamente pocas restricciones. Sin embargo, los atacantes a menudo intentan aprovecharse de esta zona para elevar su privilegio y comprometer al sistema atacado.

Una de estas mejoras permite bloquear la zona de seguridad local (Mi PC), para protegerla de la ejecución de secuencias de comandos malintencionadas y reforzarla ante descargas web perjudiciales.

Muchos de los exploits que involucran a la zona local serán mitigados por estos cambios. No obstante, los atacantes todavía pueden ser capaces de descubrir modos de sacar provecho de dicha zona. El SP2 protegerá aún más al usuario al cerrar por defecto la mencionada zona en el Internet Explorer. El HTML local hospedado en otras aplicaciones funcionará bajo las configuraciones anteriores predeterminadas y menos restrictivas de la zona Mi PC. Los administradores podrán utilizar las políticas de grupo para administrar estas características.

Además, SP2 incluye mejores controles e interfases de usuario que protegen de los controles ActiveX malintencionados e impiden la ejecución de programas espías (spyware, adware y otros parásitos).

Luego de estas restricciones, si una página web utiliza ciertos tipos de controles ActiveX, Internet Explorer visualiza una barra de información, con el siguiente texto:

Esta página no puede ejecutar contenido activo que pueda ser
susceptible de acceder a su equipo. Si confía en esta página,
haga clic aquí para que pueda acceder a su equipo.

Los archivos HTML que están hospedados en el equipo local se ejecutarán automáticamente bajo la configuración de seguridad de la zona Internet.

Un diseñador Web que desee utilizar estos controles, puede incluir una marca de comentario en el código HTML. Esta característica de Internet Explorer hace que los archivos HTML se coloquen a la fuerza en una zona en lugar de dirigirse hacia la zona local, lo que permite que puedan ejecutar la secuencia de comandos o el código ActiveX con una plantilla de seguridad específica. Este parámetro funciona en Internet Explorer 4 y versiones posteriores. Para insertar una marca de comentario web en el archivo HTML, añada una de las siguientes líneas de código:

<!-- saved from url=(0022)http://www.su_url.com -->

Se debe utilizar dicho comentario cuando esté insertando una marca de la Web en una página cuyo dominio esté identificado, sustituyendo http://www.su_url.com por el URL del dominio Internet o Intranet en el cual está alojada la página.

<!-- saved from url=(0013)about:internet -->

Este segundo comentario puede ser usado si se necesita insertar una marca de la Web de tipo genérico.

Como parte de los cambios de Internet Explorer en Windows XP SP2, este tipo de comentario HTML puede utilizarse también con archivos .mht, los cuales se conocen como HTML multiparte. La marca de la Web no se respetará en los archivos .mht en versiones antiguas de Internet Explorer.

Mejoras en la Actualización Automática (Automatic Update)

En el primer inicio después de la instalación, es altamente recomendable habilitar las actualizaciones automáticas. Están optimizadas para la utilización en entorno con conexión sin banda ancha y para descargar las actualizaciones de una forma más eficiente. Para ello, se utiliza una nueva versión del Servicio de transferencia inteligente en segundo plano (BITS, Background Intelligent Transfer Service).

BITS 2.0, incluye una eficacia muy mejorada en el manejo del ancho de banda. Esto significa que, cuando Automatic Updates conecta con el sitio Windows Update o con un servidor que ejecuta Windows Update Services, tiene que transferir menos datos, y los transfiere más rápidamente, minimizando el impacto que Automatic Updates podría tener en la conexión de Internet o en la red corporativa.

Por ejemplo, BITS 2.0 está optimizado para descargar sólo las partes que han cambiado de los archivos. Si sólo ha cambiado un byte en la actualización de un archivo de 1 megabyte (MB), BITS transferirá unos cuantos bytes en lugar de transferir el archivo de 1 MB completo.

Estas ventajas a la hora de actualizar, nos permite asegurarnos de estar al día en cuanto a los ataques contra la seguridad y las distintas tendencias relacionadas. Por ejemplo, algunas actualizaciones de software que previenen contra el ataque de gusanos y virus suelen estar disponibles antes de que comience cualquier ataque significativo. Tanto el Blaster como el Sasser no podrían haber actuado si se hubieran instalado los parches respectivos, disponibles varias semanas antes de la aparición de dichos gusanos.

Herramientas de seguridad para la gestión y el control

Con el objetivo de proteger los PCs con herramientas más fáciles de manejar y con un mejor control sobre las configuraciones de seguridad, se han implementado los siguientes puntos de mejora:

Centro de Seguridad de Windows: El Panel de Control añade un applet de configuraciones de seguridad que reúne, en un sólo sitio, todos los informes sobre los niveles de seguridad en curso en ese momento específico, en el PC. Este servicio se ejecuta como un proceso de fondo y comprueba el estado de diversos componentes.

Primero, comprueba si Windows Firewall está activado o no. También comprueba la presencia de otros cortafuegos por software preguntando por proveedores específicos.

El Centro de Seguridad también comprueba la presencia o no, de programas antivirus efectuando consultas sobre proveedores específicos. Si la información está disponible, el servicio determina también si el software está actualizado y si está activado el escaneo en tiempo real.

También se comprueba que las actualizaciones automáticas estén activadas.

Bloqueador de Pop-Up en el Internet Explorer: Servicio que bloquea los pop-up y pop-under de Explorer (ventanas emergentes de publicidad, etc.). Un nuevo parámetro de registro restringe este tipo de ventana y de toda ventana que incluya la barra de título y estado, iniciada por una secuencia de comandos.

Centralización de la Gestión del Windows Firewall: Más opciones de configuración para los administradores - políticas de grupo, línea de comandos, soporte para multicast, y setup desatendido.

Soporte para múltiples perfiles en el Windows Firewall: Permite múltiples perfiles dentro del cortafuego - por ejemplo, uno cuando la máquina está conectada a la red corporativa, y otro para cuando no lo está.

Lista de excepciones del Windows Firewall: El Administrador puede añadir aplicaciones a la "lista de excepciones" del WF habilitando puertos necesarios para determinadas aplicaciones.

Mejorar la experiencia del usuario

El objetivo es actualizar los equipos con los últimos avances en soporte, tanto software, como hardware, mediante las siguientes mejoras:

Nuevo cliente de Wireless LAN (redes inalámbricas): Actualización directa con la carpeta de Conexiones de Red y con el sistema de seguimiento por iconos, para conectarse y desconectarse de forma más sencilla de los wireless "hotspots".

Actualización de Bluetooth: Mayor facilidad para conectar los últimos dispositivos compatibles con Bluetooth como teclados, teléfonos móviles o PDAs. La tecnología inalámbrica Bluetooth es una especificación de bajo coste para la conexión de dispositivos móviles de corto alcance, y está disponible en una gran variedad de dispositivos.

Windows Media 9 Series: Mayor seguridad y consistencia a la hora de disfrutar de la música y el vídeo con la instalación del último Windows Media Player.

Movie Maker 2.1: proporciona mejoras de estabilidad sobre la V 1.0, además de mejoras clave como el soporte para USB2.

SmartKey Wireless Setup: Simplifica la implantación de redes inalámbricas seguras. USB Flash Drive o cualquier otro medio portable para transferir configuraciones y claves de seguridad entre PCs y dispositivos. Mayor facilidad para añadir dispositivos conectados a la red sin UI, como por ejemplo impresoras.

Solo para copias legítimas de Windows

Se espera que el SP2 esté disponible en los próximos meses. Por otra parte, se confirma que el Service Pack 2 solo podrá ser instalado en software legítimo.

Microsoft ha desmentida recientemente cierta información, según la cual se daría preferencia a la seguridad y al bien común, permitiendo que SP2 también beneficiara a los usuarios de software ilegal. Sin embargo, la versión oficial es que no protegerá a los equipos con copias piratas de Windows XP.