Comercio electrónico

Criptología y seguridad

Cuestiones legales

Intimidad y privacidad

Virus

Estás en Criptonomicón > Artículos invitados > Criptología y seguridad > ¿Es Windows NT 4.0 seguro?

Por Jorge González, María José Gil y Beatriz Viejo

El término "seguridad", cuando se aplica a ambientes informáticos, cubre diversos aspectos. Entre ellos, cabe destacar la prevención de accesos no autorizados (accesos no deseados) sean o no malintencionados.

Cuando hablamos de prevención de accesos, nos referimos a cualquier parte de un sistema de computación, es decir, Sistemas Operativos, Bases de Datos, Aplicaciones, etc. El presente texto se centra en la seguridad aplicada al sistema operativo Microsoft Windows NT 4.0, tratando de exponer algunas vías que permiten atacarlo, con el único objetivo de que los administradores de sistemas puedan estar prevenidos o "cerrar" las vías de ataque descritas.

CIFRADO / DESCIFRADO DE DATOS

El elemento más importante del esqueleto de Microsoft Windows NT 4.0, es probablemente un API (Application Programming Interface) denominado Win32. Este API, incluye diversos elementos, entre los que se encuentra uno denominado CAPI, o API básico de Cifrado, que ofrece - -entre otras- funciones de codificación de datos tanto a las aplicaciones como a los propios desarrolladores. Es decir, gracias al CAPI, Windows NT 4.0 puede implementar un almacenamiento y transmisión de información seguros, basados en este caso, en el uso de claves públicas y privadas.

CLASE DE SEGURIDAD DE MICROSOFT WINDOWS NT 4.0

Cuando Microsoft comenzó a construir Windows NT, lo hizo con el propósito de que el producto final cumpliera los requisitos de la clase C2 de la Agencia de Seguridad Nacional (NSA - National Security Agency -). Así, los ingenieros y diseñadores de Microsoft comenzaron a trabajar con el NCSC - National Computer Security Center- en 1992 para que Windows NT pudiera ser evaluado dentro de esta clase. En agosto de 1995, Microsoft anunció públicamente la superación por parte de sus productos Microsoft NT Server 3.5 y Microsoft NT Workstation 3.5 (ambos junto con el "ServicePack" número 3), de las pruebas requeridas para su inclusión en la Lista Oficial de Productos Evaluados de clase C2 para sistemas operativos, publicada por la NSA.

El pasado 2 de diciembre de 1999, se hizo público que también Microsoft Windows NT 4.0, en sus versiones Server y Workstation, habían superado con éxito la evaluación de nivel C2, del denominado libro "naranja".

Esta normativa, dictamina los requisitos de seguridad para sistemas de procesamiento automático de datos, y se ve completada por el libro rojo, que extiende la especificación anterior a la evaluación de sistemas basados en red. La clase de Seguridad C, se denomina "División de Protección Discreta", y dentro de la misma se encuentran los niveles C1 y C2. El segundo de ellos, el más seguro, se denomina "Protección de Acceso Controlado".

Lograr la certificación dentro de este nivel, obliga al producto a disponer de un mecanismo para conceder o restringir el acceso a los archivos de datos en función de la identidad de cada usuario. Además, es preciso que estos sistemas sean capaces de identificar y ofrecer un sistema de auditorias, permitiendo registrar las acciones que cada usuario realiza.

De todas formas, debemos ser conscientes de que el nivel de seguridad de un sistema en concreto depende además de la configuración que su administrador establezca. Microsoft recomienda seguir los pasos de la "Guía C" de Seguridad para Administradores" para lograr un sistema NT seguro.

INTRUSIONES POSIBLES: VÍAS DE ATAQUE

Ataques directos Al acceder a un sistema Microsoft Windows NT Server, la posibilidad de hacerse con el control de la máquina sin tener los privilegios requeridos es relativamente elevada. Si se puede arrancar mediante disquete, desde una partición tipo FAT (particiones de los sistemas MS-DOS o Windows 3.x), o Ext2 (tipo de partición de los sistemas Linux), ya se está en disposición de escribir sobre particiones NTFS

Ataques a través de la red Otra forma de atacar un sistema que tiene instalado Microsoft Windows NT Server es mediante accesos no autorizados por red. El ataque más común es el que se lleva a cabo utilizando NetBIOS, aunque también hay quien se afana en localizar posibles bugs o agujeros de seguridad en el propio NT, sus ServicePacks o en el Option Pack. De cualquier forma, atacar a sistemas NT a través de la red suele requerir una combinación de varias técnicas.

Acceso a través de cuentas de usuario Una vía interesante de ataque, es la cuenta anónima para conexión al servidor de Internet, que suele recibir internamente el identificador IUSR_nombre_servidor. La obtención del nombre del servidor no es complicada. Puede realizarse, por ejemplo, haciendo una conexión ftp a la máquina y observando el nombre que aparece. Si se logra dar con la clave de acceso de una cuenta de usuario, ya es posible la conexión al servidor remoto. No obstante, en este caso, los privilegios de que se dispone pueden ser aún limitados.

Otro hecho destacable, que permite seleccionar el objetivo de un ataque dentro de un servidor en concreto es que la cuenta de Administrador, al contrario que el resto de cuentas de usuario, no está configurada para desactivarse automáticamente tras cierto número de intentos de validación fallidos. Es cierto que esta cuenta podría renombrarse, dificultando así la obtención de un nombre de cuenta válido para el sistema, sin embargo, es posible obtener su nuevo nombre, ejecutando un NBTSAT (en la línea de comandos) y seleccionando la cuenta cuyo identificador sea el "03".

OBTENCIÓN DE PRIVILEGIOS DE ADMINISTRADOR

De cualquier manera, y si al acceder mediante NetBIOS u otros métodos, se ha conseguido lograr una copia del fichero \WINNT\System32\config\SAM, es posible el acceso a las contraseñas cifradas haciendo uso de L0pthcrack.

Esta utilidad fue desarrollada en The L0pth, y puede ser accedida, en versión de prueba válida para 15 días en http://www.l0pth.com. No solamente sirve para el 'break' o violación de un fichero SAM, sino que además ofrece la posibilidad de explorar graves defectos en el algoritmo que emplea Microsoft Windows NT cuando cifra las claves de acceso de los usuarios, permitiendo obtener todas las claves de acceso en pocas horas. Esta intrusión al fichero SAM puede realizarse en una máquina ajena a la que se desea "reventar".

CONCLUSIÓN

A través de cualquiera de las vías descritas, cualquiera podría averiguar la contraseña del usuario Administrador (o de cualquier otro usuario con sus privilegios), con lo que podría llegar a tener el control sobre la máquina objeto del ataque -remota o no-. En consecuencia, se trata de "cerrar" las puertas descritas a potenciales intrusos y reforzar así la seguridad del sistema.

Publicado en el Boletín del Criptonomicón #75.

Jorge González Barturen es profesor de la Facultad de Ingeniería de la Universidad de Deusto, María José Gil Larrea es directora del Departamento de Ingeniería del Software de la Facultad y Beatriz Viejo Ramos es alumna de Postgrado de la Facultad.

Seguridad en Windows NT Problemas y soluciones

Security Focus

Shields Up

Puedes consultarlos por temas, o también por orden de aparición en el boletín.

Si consideras que este artículo puede interesarle a alguien que conozcas, puedes enviárselo por correo electrónico. No tienes más que indicar la dirección del destinatario, el asunto y tu nombre.

Copyright © 1997-2000 Gonzalo Álvarez Marañón, CSIC. Todos los derechos reservados.

Criptonomicón es un servicio ofrecido libremente desde el Instituto de Física Aplicada del CSIC. Para información sobre privacidad, por favor consulte la declaración de política sobre privacidad. Para sugerencias, comentarios o quejas, acuda al libro de visitas. Para contribuir al Criptonomicón, lea la página de contribuciones.