LapSec pretende ser una solución capaz de asegurar un sistema operativo de forma extremadamente sencilla, automatizando tareas que de otra formar resultarían complejas o tediosas para un administrador o usuario de sistema operativo preocupado por la seguridad informática.
Descargar desde este enlace.
Objetivo
Cada vez que se instala (o se encuentra de serie) un Windows en un ordenador portátil, se deberían realizar los mismos cambios (específicamente útiles para portátiles) para intentar que se mantenga un poco más seguro. La idea es de Sergio de los Santos, la programación de Marcin "Icewall" Noga, y el diseño es de Alberto García.
El programa no es "complejo" pero creemos es muy cómodo. Agradecemos que los errores y sugerencias nos sean reportados a lapsec@hispasec.com . Básicamente, se trata de comprobar si se está seguro, o de asegurar. Hay que marcar lo que se quiera asegurar y, a su vez, lo asegurado quedará marcado.
Para asegurar un portátil, probablemente lo más eficaz es utilizar TrueCrypt en la partición del sistema. Pero este programa pretende ayudar ahí donde, por cualquier razón, usar TrueCrypt no es posible.
Riesgos
Se recomienda leer detenidamente las instrucciones antes de realizar acciones potencialmente peligrosas.
Desconfiguración del sistema
El programa permite borrado de ficheros de forma totalmente irreversible. Mal aplicado, puede hacer que un sistema deje de responder.
No asegurar por completo el sistema
LapSec no está destinado a asegurar por completo un sistema. Se trata de una capa más que añadir a la labor continuada de aseguración de un sistema operativo. Por ejemplo, es imprescindible usar una cuenta que no pertenezca al grupo de administradores, mantener actualizado el sistema operativo y los programas en él, etc.
Pérdida de información
Un usuario podría llegar a perder información del sistema aplicando LapSec puesto que el programa utiliza técnicas de cifrado y borrado fuerte. Si un usuario hace un mal uso del programa y no sigue las recomendaciones, podría llegar a perder información sensible.
Para cualquier duda, se recomienda que escriban a lapsec@hispasec.com
Funcionamiento base
El funcionamiento pretende ser muy sencillo. Solo existe una pantalla y dos opciones. Una, llamada “Am I secure?” permite comprobar qué opciones de las que comprueba el programa están activas en el sistema en el que se está ejecutando. Marcará con un “checkbox” las opciones activas. La segunda “Secure me!” realiza en el sistema los cambios marcados con el “checkbox”.
El usuario puede elegir libremente qué opciones quiere implementar en el sistema y cuáles no, marcando o desmarcando las que considere oportunas. Cuando esté satisfecho, podrá pulsar sobre “secure me!” para aplicar los cambios, pero debe tener en cuenta que las opciones no marcadas, serán revertidas. Por ejemplo, si no se ha marcado la opción “Eliminar el cifrado LM de las contraseñas”, y se pulsa sobre “secure me!” esta opción será revertida y por tanto, el cifrado LM será impuesto y no eliminado.
Para saber qué opciones tiene ya implementadas el sistema, se utiliza el botón “am I secure?” que marcará las opciones que el sistema tiene implementadas.
Es muy recomendable que el programa se ejecute bajo la cuenta de administrador o una cuenta en el grupo de administradores, puesto que si no es así, será incapaz de realizar los cambios.
Cómo comprobar la seguridad del sistema operativo (Am I secure?)
Pulsando sobre esta opción, quedarán marcados con un “checkbox” los cambios que realmente estén aplicados en el sistema.
Esta opción es de solo consulta.
Ej:1 Si se pulsa sobre este botón, y se marca la opción “Deshabilitar hibernación” significará que la opción de hibernación está ya deshabilitada en el sistema.
Ej:2 Si se pulsa sobre este botón, y se marca la opción “Cifrar Mis documentos” significará que “mis documentos” ya está cifrado en el sistema
Cómo asegurar el sistema operativo (Secure me!)
Pulsando sobre esta opción, se aplicarán los cambios marcados y se revertirán los cambios no marcados.
Ej 1: Si se marca “Eliminar el cifrado LM de las contraseñas” y se desmarca “Comprobar complejidad de la contraseña”, al pulsar “Secure me!” se indicará al sistema que elimine el cifrado LM de las contraseñas y que deje de comprobar y exigir la complejidad de las contraseñas.
Ej 2: Si se desmarca “Instalar / Desinstalar limpiador del menú contextual” y se demarca “Cifrar “Mis documentos””, al pulsar “Secure me!” se indicará al sistema que desinstale secdel, el borrador seguro del menú contextual y además, dejará de cifrar la carpeta de “mis documentos”
Cifrado de carpetas y exportación de certificados
Además de “Mis documentos”, LapSec permite cifrar la carpeta elegida por el usuario con EFS de forma sencilla. Es importante tener en cuenta que, por la propia limitación de EFS, no se pueden cifrar archivos de sistema, o la carpeta Windows. SE RECOMIENDA CIFRAR SOLO DIRECTORIOS DE DATOS DE USUARIO.
Si por alguna razón, tras cifrar una carpeta, el usuario del sistema operativo se pierde, LOS DATOS NO SERÁN RECUPERABLES. Aunque se cree un usuario del mismo nombre. Se recomienda realizar una copia de seguridad de los datos que vayan a ser cifrados.
Para evitar esto, es necesario exportar el certificado y almacenarlo en un lugar seguro.
El certificado solo puede ser exportado una vez se haya cifrado alguna carpeta.
Borrado seguro
El sistema de borrado seguro puede ser instalado o desinstalado de esta manera. Para utilizarlo, solo se debe pulsar con el botón derecho sobre el archivo que se quiere borrar y elegir la opción “secdel”.
Opciones
El programa permite, de forma automática y en un solo click:
Eliminar el cifrado LM de las contraseñas
Cuando nos presentamos en una máquina Windows, la contraseña que proporcionamos debe estar almacenada en algún lugar para que el sistema operativo la reconozca y bien nos deje pasar, bien rechace el acceso. Almacenar la contraseña y compararla sin más sería una muy mala política de seguridad, pues se estaría dando vía libre a que cualquiera con acceso al disco duro robara la contraseña en texto plano. Lo que se almacena es precisamente un hash, una firma de la contraseña, creado con un algoritmo que se aplica a la contraseña introducida. Esto da como resultado una firma, un valor único que sólo es producido por una contraseña en concreto. Son firmas lo que siempre se comparará entre sí, nunca contraseñas. En Windows, ese hash se encuentra en el archivo SAM (Security Account Manager) para contraseñas locales y en el archivo ntds.dit del controlador de dominio para los usuarios que se validan contra controladores de dominio. El cifrado LM que aún se mantiene por defecto en Windowx XP supone un grave problema de seguridad.
Sobreescribir el archivo de memoria paginada (pagefile.sys) cuando se apaga el sistema operativo
Pagefile.sys es el archivo utilizado por Windows para almacenar la información de paginación de memoria RAM. En pagefile.sys puede quedarse información privada que haya sido paginada durante el uso del sistema operativo y programas. Esta medida hace que ese archivo sea sobrescrito antes de apagar el ordenador y por tanto la información quede inaccesible.
Ocultar el nombre del usuario que el Sistema Operativo muestra en la pantalla de presentación (login)
Esto permite a un atacante conocer información sensible útil que podría facilitarle acceder al sistema operativo.
Activar la protección por contraseña del salvapantallas
Esta medida activa la protección por contraseña del salvapantallas. Cuando el sistema operativo pase a estado inactivo porque el usuario ha dejado de realizar actividades en él, pasará a mostrar el salvapantallas protegido por contraseña, de forma que un atacante no pueda retomar la sesión inactiva en beneficio propio.
Eliminar la autoejecución de archivos cuando se introducen unidades extraíbles. (Cdrom, USB.. etc)
Esta medida desactiva la autoejecución de archivos cuando se introducen unidades extraíbles, de forma que un atacante no pueda ejecutar código en el sistema con solo introducir una unidad extraíble en el sistema a través de puertos USB o unidades ópticas.
Comprobar la existencia de contraseña del usuario
El programa comprueba la existencia de contraseña para el usuario. Esta opción es de solo lectura en LapSec. Esto quiere decir que no se puede forzar a que el usuario tenga contraseña. Un atacante necesitará así conocer la contraseña para acceder al sistema operativo si el sistema queda desatendido.
Comprobar la complejidad de las contraseñas
Windows mantiene una política en el sistema operativo para comprobar la complejidad de las contraseñas. Con esta política activa, No permite que se definan contraseñas que sólo contengan caracteres o números. Además, es necesario que contengan algún carácter especial y mayúsculas y minúsculas. En concreto las condiciones son: Longitud mínima 6 caracteres y caracteres de al menos tres de los cuatro grupos siguientes: Números, signos especiales, mayúsculas y minúsculas. Además, en ningún momento puede contener parte del nombre del usuario.
Añade la funcionalidad de un sistema de borrado seguro accesible a través del menú contextual de los archivos
Se añade la funcionalidad de borrado seguro (sobrescribir la zona de disco duro ocupada por el archivo) de forma segura, sobreescribiendo repetidamente los datos según los estándares de seguridad DOD 5220.22-M.
Comprueba la activación de la contraseña en la consola de recuperación
La otra directiva Consola de recuperación: permitir el inicio de sesión administrativo automático es un problema de seguridad y no debería ser activada. Permite acceder a la consola de recuperación sin necesidad de introducir la contraseña local de administración.
Deshabilitar el almacenamiento de contraseñas en el navegador Internet Explorer
Las contraseñas no serán nunca almacenadas en el navegador por defecto.
Deshabilitar la hibernación (hibernation.sys)
Hibernation.sys es una copia de la memoria RAM en forma de fichero físico. En este fichero puede quedarse información privada que haya sido paginada durante el uso del sistema operativo y programas. Esta medida deshabilita esta posibilidad.
Deshabilitar la cuenta de administrador e invitado del sistema
El sistema operativo permite utilizar varias cuentas que pertenezcan al grupo de administradores, todos con los mismos privilegios. Sin embargo siempre existe por definición la cuenta de administrador en el sistema. Esto puede facilitar información relevante a un atacante. El programa las deshabilita.
Cifrado de la carpeta Mis Documentos
EFS es un sistema de cifrado transparente (que sólo puede usarse bajo NTFS) para Windows. En XP y Vista, desde las propiedades de archivos o carpetas, se puede acceder a un menú donde se le puede indicar al sistema que el directorio o unidad será empleado para almacenar archivos cifrados (con lo que todo lo que se almacene en él se cifrará) o se puede indicar también el cifrado de un archivo, cosa poco recomendable. También es posible utilizar la herramienta cipher.exe. Una vez marcada una unidad o directorio como cifrado, todo lo que se almacene en él quedará cifrado, pero NO lo que ya hubiese dentro. El usuario no tendrá que preocuparse de nada más. Cada vez que inicie sesión, los datos estarán ahí para poder ser manipulados, pero una vez cerrada la sesión o si otro usuario se presenta en el sistema, los datos aparecerán inaccesibles. Incluso si el disco es explorado con otro sistema operativo desde un CD, los datos permanecerán cifrados e ilegibles.
EFS se basa en una mezcla de criptografía pública y privada. Crea certificados digitales para el usuario, que sirven para cifrar y descifrar en base a claves públicas y privadas. También utiliza claves simétricas para agilizar el proceso. En realidad EFS utiliza una clave única por fichero para cifrarlo y descifrarlo. Esta clave (FEK o File Encryption key) se genera cuando se cifra un fichero y se almacena con él. Esta FEK es a su vez cifrada con la clave pública del usuario. Las claves públicas y privadas del usuario se generan de forma transparente para él la primera vez que cifra un archivo. Se almacenan en forma de certificado en el repositorio de certificados accesible desde certmgr.msc o el menú “contenidos” dentro de “opciones” de Internet Explorer. EFS utiliza una variante de DES como algoritmo de cifrado.
El programa cifrará con un solo click la carpeta Mis Documentos.
Exportación automática del certificados
Resulta muy conveniente exportar y realizar una copia de seguridad de estos certificados si se utilizan para cifrar archivos. Estos certificados están unidos al SID del usuario, de forma que si este usuario de borra o el sistema se corrompe, los datos se perderán. No importa si se crea un nuevo usuario con igual nombre, si el certificado no es el mismo, los datos no podrán ser recuperados. Para prevenir este tipo de problemas, en Windows 2000 existe por defecto al figura del “agente de recuperación de datos” que resulta ser el administrador de sistema. El administrador podrá siempre recuperar la información de los usuarios con su certificado y además no puede eliminarse (esto desactivaría EFS del sistema). Esto vulnera en cierta manera la privacidad de los usuarios así que en Windows XP trabaja de otra manera. No existe la figura del agente de recuperación de datos a menos que se le indique.
En cualquier caso, la mejor opción, es exportar y realizar una copia de seguridad de los certificados (clave privada incluida). Con estos archivos, aunque el sistema o el usuario desaparezcan, siempre se podrán importar como agentes de recuperación de datos en otro Windows y desde ahí se podrán descifrar los datos perdidos. En un entorno de dominio, los agentes de recuperación de datos serán los administradores de dominio.
El producto exporta de forma automática el certificado para que los datos cifrados EFS no sean nunca perdidos.
No hay comentarios:
Publicar un comentario