Aviso de seguridad de Microsoft: Actualización para mejorar la protección y administración de credenciales: 13 de mayo de 2014

INTRODUCCIÓN

Microsoft ha publicado un aviso de seguridad de Microsoft sobre este problema para los profesionales de TI. El aviso de seguridad contiene información adicional relacionada con la seguridad. Para ver el aviso de seguridad, ve al siguiente sitio web de Microsoft:

https://technet.microsoft.com/security/advisory/2871997 Importante Además de actualizar 2871997, ha habido varias actualizaciones adicionales que contribuyen a mejorar la protección de credenciales. Lea este artículo detenidamente para comprender todo el conjunto de actualizaciones que están disponibles.

Preguntas más frecuentes sobre actualizaciones

¿Contiene esta actualización algún cambio adicional relacionado con la seguridad en la funcionalidad?
Además de los cambios que se enumeran para las vulnerabilidades descritas en este boletín, esta actualización incluye actualizaciones de defensa en profundidad para ayudar a mejorar la protección de credenciales y los controles de autenticación de dominio para reducir el robo de credenciales. Para obtener más información, consulta microsoft security advisory 2871997.

Más información

Esta actualización presenta una configuración del Registro TokenLeakDetectDelaySecs

ImportanteEn esta sección, método o tarea se incluyen pasos que le permitirán modificar el Registro Pero, si modifica el Registro de forma incorrecta, pueden producirse problemas graves. Por lo tanto, asegúrese de seguir estos pasos con atención. Para mayor protección, realice una copia de seguridad del Registro antes de modificarlo. Después, puede restaurar el registro si se produce un problema. Para obtener más información acerca de cómo realizar una copia de seguridad y restaurar el Registro, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

322756 Hacer una copia de seguridad del Registro y restaurarlo en Windows
Después de instalar esta actualización de seguridad, la configuración predeterminada para los usuarios no protegidos en Windows 7 y Windows 8 es no forzar la eliminación de credenciales de sesión filtradas. Para invalidar este valor predeterminado, puede agregar la siguiente dword del Registro y establecerla en un valor recomendado de 30 segundos.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TokenLeakDetectDelaySecs

Esto desencadenará el borrado de las credenciales de los usuarios con sesión iniciada después de 30 segundos, independientemente de que todavía haya una referencia a ella. Este comportamiento es el mismo que el predeterminado para Windows 8.1 y Windows 10.

Comportamiento predeterminado después de aplicar 3126593 de actualización de seguridad (MS16-014)

Después de instalar la actualización de seguridad 3126593, el valor predeterminado es forzar credenciales claras para todos los usuarios. Si desea volver al comportamiento heredado anterior, establezca la entrada TokenLeakDetectDelaySecs en 0. Esto deshabilita el borrado de credenciales de los usuarios no protegidos con sesión iniciada siempre y cuando se mantenga una referencia.

Revisiones

El 14 de octubre de 2014, Microsoft publicó las siguientes actualizaciones para agregar un modo de Administración restringido para conexión a Escritorio remoto y protocolo de Escritorio remoto:

2984972 para las ediciones compatibles de Windows 7 y Windows Server 2008 R2

2984976 para las ediciones compatibles de Windows 7 y Windows Server 2008 R2 que tengan instaladas 2592687 de actualización (actualización de Protocolo de Escritorio remoto 8.0). Los clientes que instalen 2984976 de actualización también deben instalar la actualización 2984972 .

2984981 para las ediciones compatibles de Windows 7 y Windows Server 2008 R2 que tengan instaladas 2830477 de actualización (actualización de cliente de Conexión a Escritorio remoto 8.1). Los clientes que instalen 2984981 de actualización también deben instalar 2984972 de actualización .

2973501 para las ediciones de Windows 8, Windows Server 2012 y Windows RT admitidas.
Nota Las ediciones compatibles de Windows 8.1, Windows Server 2012 R2 y Windows RT 8.1 ya incluyen esta característica y no requieren esta actualización.

El 9 de septiembre de 2014, Microsoft publicó lo siguiente:

2982378 Microsoft Security Advisory: Actualización para mejorar la protección y administración de credenciales para Windows 7 y Windows Server 2008 R2: 9 de septiembre de 2014 El 8 de julio de 2014, Microsoft publicó lo siguiente:

2973351 Microsoft Security Advisory: Actualización del Registro para mejorar la protección y administración de credenciales para los sistemas basados en Windows que tienen instalada la actualización 2919355: 8 de julio de 2014

2975625 Aviso de seguridad de Microsoft: Actualización del Registro para mejorar la protección y administración de credenciales para los sistemas Windows que no tienen instalada la actualización 2919355: 8 de julio de 2014 Esta actualización proporciona una configuración configurable del Registro para administrar el modo de Administración restringido para el proveedor de soporte técnico de seguridad de credenciales (CredSSP).

Nota La actualización cambia la funcionalidad predeterminada del modo Administración restringido en Windows 8.1, Windows Server 2012 R2 y Windows RT 8.1. Para obtener más información, consulte la sección de preguntas más frecuentes del aviso. Los archivos siguientes pueden descargarse desde el Centro de descarga de Microsoft.

Nota Usa la tabla siguiente para determinar qué actualizaciones son adecuadas para tu sistema.

Configuración de WDigest

Después de instalar esta actualización de seguridad, puede controlar cómo se pueden guardar las credenciales WDigest instaladas mediante una configuración del Registro. Para evitar que las credenciales WDigest se almacenen en memoria, se puede aplicar una configuración de directiva de grupo a la entrada del Registro UseLogonCredential en la subclave siguiente:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\WDigest

• Si el valor UseLogonCredential se establece en 0, WDigest no almacenará credenciales en la memoria.
• Si el valor UseLogonCredential se establece en 1, WDigest almacenará las credenciales en memoria.

Después de instalar esta actualización de seguridad, la configuración predeterminada para este valor es 1 en Windows 7, Windows Server 2008 R2, Windows 8 y Windows Server 2012. Puede usar la solución "easy fix" de este artículo para cambiar esta configuración a 0. Esto deshabilitará las contraseñas de WDigest para que no se almacenen en la memoria.

Nota De forma predeterminada, en Windows 8.1 y Windows Server 2012 R2 y versiones posteriores, el almacenamiento en caché de credenciales en memoria para WDigest está deshabilitado (el valor UseLogonCredential predeterminado es 0 cuando la entrada del Registro no está presente).

El cambio observado en el comportamiento cuando el valor UseLogonCredential se establece en 0 es que es posible que observe que las credenciales se requieren con más frecuencia al usar WDigest.

He aquí una solución fácil

Esta solución de fácil corrección cambia la clave del Registro UseLogonCredential para deshabilitar que las contraseñas de WDigest se almacenen en la memoria. Después de instalar la actualización de seguridad 2871997 y, a continuación, aplicar esta solución de fácil corrección a los sistemas que ejecutan Windows 7, Windows Server 2008 R2, Windows 8 o Windows Server 2012, ya no debería tener credenciales básicas (texto claro) almacenadas en la memoria.

Nota Debes tener instalada la actualización de seguridad 2871997 antes de poder usar esta solución de fácil corrección.

Para habilitar esta solución de corrección sencilla, haga clic en el botón Descargar . En el cuadro de diálogo Descarga de archivos, haga clic en Ejecutar o en Abrir y, después, siga los pasos del asistente de soluciones fáciles.

• Este asistente podría estar solo en inglés. Sin embargo, la solución automática también funciona con versiones de Windows en otros idiomas.
• Si no está usando el equipo que tiene el problema, guarde la solución fácil en una unidad flash o en un CD para ejecutarla posteriormente en el equipo con el problema.

Deshabilitar que las contraseñas de WDigest se almacenen en memoria

Centro de descarga de Microsoft

Puede obtener el paquete de actualización independiente en el Centro de descarga de Microsoft. Siga las instrucciones de instalación de la página de descarga para instalar la actualización.

Haz clic en el vínculo de descarga de la tabla siguiente que corresponda a la versión de Windows que estás ejecutando. Averiguar si el equipo ejecuta la versión de 32 o 64 bits de Windows

Para todas las versiones compatibles basadas en x86 de Windows 7 ahora el paquete.

Para todas las versiones compatibles basadas en x64 de Windows 7 ahora el paquete.

Para todas las versiones compatibles basadas en x86 de Windows Embedded Standard 7 ahora el paquete.

Para todas las versiones compatibles basadas en x64 de Windows Embedded Standard 7 ahora el paquete.

Para todas las versiones compatibles basadas en x64 de Windows Server 2008 R2 ahora el paquete.

Para todas las versiones compatibles basadas en IA-64 de Windows Server 2008 R2 el paquete ahora.

Para todas las versiones compatibles basadas en x86 de Windows 8 ahora el paquete.

Para todas las versiones compatibles basadas en x64 de Windows 8 ahora el paquete.

Para todas las versiones compatibles basadas en x64 de Windows Server 2012 ahora el paquete.

Fecha de publicación: 9 de septiembre de 2014

Para obtener más información sobre cómo descargar archivos de soporte técnico de Microsoft, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

119591 Cómo obtener archivos de soporte técnico de Microsoft de servicios en línea Microsoft ha digitalizado este archivo en busca de virus. Microsoft usó el software de detección de virus más reciente que había disponible en la fecha en la que se publicó el archivo. El archivo está guardado en servidores de seguridad mejorada que ayudan a prevenir cambios no autorizados del archivo.

INFORMACIÓN DEL ARCHIVO

Con la versión en inglés (Estados Unidos) de esta actualización de software, se instalan archivos que cuentan con los atributos que se incluyen en las siguientes tablas. Las fechas y horas de estos archivos se expresan de acuerdo con la hora universal coordinada (UTC). Las fechas y horas de estos archivos en el equipo local se muestran en la hora local y con el sesgo del horario de verano (DST) actual. Además, las fechas y horas pueden cambiar cuando realiza determinadas operaciones en los archivos.

Información sobre archivos de Windows 7 y Windows Server 2008 R2

• Los archivos que se aplican a un producto, hito (RTM, SPn) y tipo de servicio (LDR, GDR) específicos se pueden identificar consultando los números de versión de los archivos, recogidos en la siguiente tabla:

  Versión	Producto	Hito	Rama de servicio
  6.1.760 1. 18 xxx	Windows 7 y Windows Server 2008 R2	SP1	GDR
  6.1.760 1. 22 xxx	Windows 7 y Windows Server 2008 R2	SP1	LDR

• Los tipos de servicio GDR contienen solo las correcciones de amplia distribución para solucionar problemas críticos generalizados. Los tipos de servicio LDR contienen revisiones, además de las correcciones de amplia distribución.

Nota Los archivos MANIFEST (.manifest) y MUM (.mum) instalados no aparecen en la lista.

Para todas las versiones compatibles basadas en x86 de Windows 7

Para todas las versiones basadas en x64 compatibles de Windows 7 y Windows Server 2008 R2

Para todas las versiones basadas en IA-64 compatibles de Windows Server 2008 R2