viernes, febrero 02, 2007

No Compres Vista por la Seguridad

Durante los últimos tiempos he estado leyendo comentarios del tipo “Vista no trae nada nuevo” un “XP SP2 con software de terceros es suficiente”, “XP SP2 es suficientemente bueno”, “…”.

Ahora he leído por algún sitio, “Spectra nos la ha metido otra vez”, “tendrá el 50 % del mercado en un año, porque tiene el poder de los medios”, “etc…”

Bien, creo que llevan razón en casi todo (Menos en lo de que Vista no trae nada nuevo, con respecto a XP SP2 y a otros sistemas operativos). XP SP2 es un buen sistema operativo, y se puede estar seguro con él. En mi opinión, un Windows XP SP2 bien configurado con un buen usuario y/o admin y las cosas pueden ir perfectamente.

Ahora bien, XP SP2 viene de XP, un sistema operativo que no estuvo dentro de la TCI (trustworthy Computing Iniciative) y que no se desarrolló bajo el SDL (Secure Development Lifecycle). Cuando apareció SP2 (ya bajo TCI y SDL) se aplicaron las reglas de la fortificación de sistemas (defensa en profundidad, mínimo punto de exposición y mínimo privilegio posible) pero, no se pudo rehacer el sistema desde cero, la arquitectura era la que era y sobre ella había que fortificarlo.

Windows Vista, bajo SDL, empieza de cero y se trabaja limpio. Se cambia el sistema, de crean cuatro niveles de integridad en el sistema que se controlan con las nuevas tecnologías MIC (Mandatory Integrity Control) y UIPI (User Interface Privilege Isolation), se cambia la estructura de servicios ( se les añade, SID, un manifiesto de limitación y se reduce la superficie privilegiada), se añade la virtualización de procesos para evitar el acceso a ficheros y claves de registro, se añade el Bitlocker, el uso del chip TPM (Trusted Platform Module), se añaden las tecnologías DEP (Data Execution Prevention) (ya disponible en XP SP2) y el uso de ASLR (Address Space Layout Randomization) para evitar ataques de desbordamientos de buffer. Se hace que el firewall sea de entrada/salida, que se controle por políticas, se restringen por políticas los dispositivos que se pueden pinchar, se añade el modo protegido para que el IE no sea un proceso sino 2, uno de ellos corriendo en el nivel de integridad más bajo del sistema operativo, que no puede acceder a nada, se firman los drivers que entran en el kernel para subir la calidad de los desarrollos y para evitar intrusiones no autorizadas, se añade el UAC (User Account Control) para evitar el uso de privilegios incluso para los usuario logados con una cuenta privilegiada, Se añade la tecnología NAP (Network Address Proteccion) para comprobar la “salud” de las máquinas en la red, la posibilidad de usar LDAP para firmar las conexiones IPSec, el Windows defender, el Centro de Seguridad, el monitor de confiabilidad, los diagnósticos de memoria, disco duro, red. Recuperación en arranque, firma y comprobación de librerías del sistema para garantizar la integridad del sistema en llamadas a funciones,….

Y luego todo lo demás, el Aero, el ReadyBoot, el ReadyBoost, la integración de las búsquedas, Superfetch, y el resto de las cositas molonas, que me las conozco menos, lo siento.

En fin, os extraigo un párrafo de un artículo, y por favor, luego leedlo entero, que las extracciones son partidistas.

Litchfield and other security researchers are impressed with the work Microsoft has done on Vista, in particular because the operating system has gone through the company's Security Development Lifecycle, a process designed to prevent flaws and vet code before it ships. Also, Microsoft challenged hackers to break Vista before its release.

"If you're looking to buy a new computer, the security features built into Vista tip the balance in its favor over other options such as Mac OS X," Litchfield [a noted security bug hunter] said. "We've moved beyond the days of lots of bugs and worms. Recent history shows that Microsoft can get it right, as they did with XP SP2. With Vista, they will again demonstrate that."

"To be clear, XP SP2 was a massive leap for Windows security. But XP SP2 was not the systemic, top-to-bottom, scrub-everything experience that Vista is," said Dan Kaminsky, an independent security researcher. "XP SP2 secured the surface. Vista security goes much deeper. It's a far bigger leap."

Kaminsky was among about two dozen hackers asked by Microsoft to try to hack Vista. The exercise took about eight months, and Microsoft paid attention to the feedback, he said. "They did what we asked," Kaminsky said. "The security community spent years bashing Microsoft, and (Microsoft) deserved to get bashed. But they listened."
If you are in the market for a new Windows PC because your old computer is outdated or otherwise failing on you, Vista is your best bet, all experts agree.


Experts: Don't buy Vista for the security

11 comentarios:

  1. El chip TPM creo que sirve para desarrollar DRM por hardware (lo que antiguamente se conocía como el "chip Fritz" en honor a quien lo propuso), así que te doy la razón, aunque cambiaría un poco la frase:

    "No compres Vista, por tu seguridad" :-D

    (entendiendo "seguridad" como "safety" y no como "security")

    ResponderEliminar
  2. Txipi, Txipi, Txipi, que ahora eres tú el que está haciendo una cosa que no se debe. El chip TPM sirve para muchas cosas y tú decides para que quieres usarla. Se usa para garantizar la integridad del sistema en arranque, la integridad del hardware en arranque, almacenar la clave de Bitlocker, en fin ... lo que quieras.

    El título del artículo original es security no safety.

    ResponderEliminar
  3. Pues yo ya tengo instalado el Vista Business (bendito msdn alliance...) y bueno, aparte de la porculada de tener que bajar drivers y las pegas que pone con los certificados (aunque sean de marcas como Realtek) estoy contento. No hay que ser muy sagaz para darse cuenta de que los privilegios asi de entrada están bastante restringidos, y aun entrando como admin, cada vez que tocas o haces algo que pueda comprometer el sistema te saltan un par de pop-ups. De momento no estoy muy frito, pero llegará a ser cansino. En cuaquier caso son medidas proactivas bastante eficaces, por lo menos si estás trabajando y de repente te aparece alguna y piensas "pero que coño...".
    Lo único que me mosquea, es que tenga fallos por descubrir o no, es taaaan bonito, y taaan "in" que no se hasta donde le preocupa la imagen de seguro o inseguro que tengan los clientes a microsoft, al fin y al cabo, seguirán vendiendo igual, al menos en el mercado doméstico (monopolic power!)

    Por lo demás, muy bonito. Y el cuestionado rendimiento no es malo, para nada. He jugado ya a varios juegos y no noto la diferencia, y el tiempo de respuesta en aplicaciones corrientes y molientes es incluso ligeramente mejor (nada espectacular, pero la gente que tenga memoria se acordará de lo que era cargar el works en un pentium I. Se ha mejorado bastante)

    ResponderEliminar
  4. Hola Grangolf, esa es una de las características del superfetch, el sistema está realizando muchas tareas, usando los recursos del sistema para que la experiencia del usuario sea mejor. A mi me tiene muy contento.

    ResponderEliminar
  5. Si bueno, la sensación de seguridad de Vista, es muy buena, según dicen por ahí.

    Además hay que ir por ahí buscando drivers, mmm, ¿a qué me suena?

    Y bueno Maligno, en toda esa nube de siglas siempre te olvidas de algunas de las más sabrosas...

    Saludos.

    ResponderEliminar
  6. Estás diciendo que el Vista está hecho desde cero? Anda va!

    Puede que le hayan pegado una gran batida en busca de posibles fallos y agujeros, que hayan cambiado muuucho el kernel para fortalecer el sistema que es lo que extraigo de tu post.

    Veremos lo que tardan en buscarle las cosquillas.

    ResponderEliminar
  7. Buenas.

    A la espera de que me llegue mi copia para el portátil, he tenido la oportunidad de probar el ultimate edition un par de días.

    La verdad es que me ha impresionado la fluidez en mi portátil; la navegació es rápida y simple. El aspecto visual es genial. Lo que no me gusta mucho es que las mejores herramientas no se encuentran "a la vista", sino que están algo escondidas.

    En cuanto a drivers, sin problemas; tan sólo tuve que buscar unos para la gráfica, ya que mi gráfica es algo "especial" (geforce Go 6150).

    En cuanto a los avisos de seguridad, no sé si llegaré a acostumbrarme; lo ideal sería poder desactivarlo en cuentas con privilegios de adminitrador.

    Poco más he podido probar, aunque mi impresión ha sido satisfactoria; eso sí, todavía me da miedo a que sea mi SO principal xD.

    ResponderEliminar
  8. Hola Benigno, pues sí, hay te voy a dar la razón 1 vez y media. El antivirus será de pago, por aquello de no acusarle de monopolio (recuerdas el caso del IE y el Windows Media=?) y la otra el Windows Defender no detecta el 84 % del spyware. Bueno, tal vez sea esa la cifra o tal vez no, pero sí he de decirte que hay soluciones mejores que el Windows Defender como antispyware.

    Netvicious!! bueno, supongo que código habrán cogido, pero la arquitectura del sistema es distinta y se ha diseñado desde abajo. ya veremos como dice usted. ;)

    Gangrolf, disfutalo y nos vas contando!

    ResponderEliminar
  9. Chema,

    Me lo estoy pasando bomba. Acabo de ver esto en slashdot y es divertidisimo.

    Lo mejor, el enlace de la noticia del email de Jim Allchin a sus jefes.... francamente divertido que esto haya acabado siendo público, pero hay mas... desde esto sobre si se debe o no decir que un estudio ha sido financiado por Microsoft.

    Uno de los mejores es este otro donde se pueden leer cosas sobre un programa de Microsoft denominado EDGI: "Shoflly before MGB, Orlando sent a mail to the GM’s to let them know about an exciting new
    program to equip the field with a new tool to ensure that we never lose to linu× - the
    Education and Government Incentives [EDGI] program."

    Francamente divertido.

    Un saludo,

    ResponderEliminar
  10. Ya sé que el artículo original dice security, pero yo informo: por tu seguridad física y personal (safety), cuidado con el chip TPM, que puede servir para chivarse a Disney de que ves La Sirenita sin pasar por caja y que te envíen a hombrecillos verdes (no precisamente de Marte) a tu casa a buscarte.

    También vale para cifrar y proteger otras muchas cosas, también, también, no te lo discuto. Pero es que eso ya nos lo habías contado ;-P

    ResponderEliminar
  11. Hola ptarra!!!

    veo que estás leyendo cositas "antiguas". Te recomiendo un libro que me ha encantando y es uno de los pocos que he leido dos veces "A brave new world" es antiguo pero está chupi.

    Respecto a los mails:

    El primero, el de Jim diciendo que se compraría un mac. Ya lo comentamos por aquí, gracias a otro ilustre de Navarra, el señor Benigno, y es que cada uno es libre de elegir lo que quiera y en algunos departamentos de Spectra hay gente que prefiere MACs, como no, como por ejemplo Ian Murdock usaba Tablet XP.

    El segundo que citas, es del año 2002, de Gartner, y como ves, no se habla de falsear absolutamente nada, sino simplemente de poner o no el logo en la portada, pq el Windows 2000 no queda muy bien en algunas áreas (recuerda, que como hemos discutido hace tiempo, Windows viene del PC y sube hacia el server, no como *NIX, que viene del server y quiere llegar al PC). Lo de poner o no el logo es algo que los jefes luego miran mucho. Hace 1 año y medio, se puso un logo en de Spectra en una Gira de HP que era "Servers con Linux". Y llovieron somanta de leches. ¿Spectra había financiado esa gira de Servers con Linux? pues sí. Alguien llamó a Spectra EMEA (Europe Middle East Africa) la central en europa y pidió fondos de marketing para una gira de servers. Se concedieron y luego la gira se torno en una gira de linux servers. El que puso el logo se llevó las gallofas.

    Respecto al tercer programa, no se de que te asombras, yo estoy trabajando en programas de gobierno. El MGB es una de las reuniones anuales en Spectra, y se querían presentar las acciones que se iban a hacer en gobierno. Oracle tiene programas de gobierno, de universidades, de ISVs, etc... ¿Para que están esos programas? Para competir!!

    Spectra tiene programas de gobierno, el programa académico, de ISV, de integradores, de partners, de ....

    PTarra. ¿Te suena la campaña de "adopta a un político"? A ver si sabes quien la creo. Saludos!!



    Txipi!!

    Bueno, el DRM funciona sin TPM también txipi.

    Ja,ja. Eres muy malo!!! :P

    ResponderEliminar