Somos conscientes de que es posible utilizar herramientas e información detallada para tener acceso a los archivos de dispositivos extraíbles. Estas herramientas pueden omitir los permisos de archivos NTFS en distribuciones que no sean de servidor de Microsoft Windows. Sabemos que este problema puede afectar a discos internos, discos fijos marcados como extraíbles y medios externos como USB, Firewire, E-SATA, SD y otros medios extraíbles. Igualmente, estamos al tanto de determinadas situaciones en las cuales algunos controladores de almacenamiento pueden marcarse como "extraíbles" independientemente de su posición física dentro o fuera de la caja del equipo o del tipo de conexión que utiliza el disco.
Este problema no afecta al volumen del sistema principal (esto es, el dispositivo desde el que se está ejecutando Windows).
Los sistemas afectados en una configuración predeterminada están más expuestos. Por ejemplo, esto incluye sistemas de varios discos que ejecutan Windows Vista, Windows 7 y Windows 8.
INTRODUCCIÓN
Cómo saber si su entorno está afectado
-
Abra una ventana de símbolo del sistema con privilegios elevados. Para ello, haga clic en Inicio, escriba CMD, haga clic con el botón secundario en Cmd.exe y, a continuación, haga clic en Ejecutar como administrador.
-
Escriba el comando siguiente en un símbolo del sistema con privilegios elevados y presione Entrar:
Powershell
-
Escriba el comando siguiente en el símbolo del sistema de Powershell:
Get-WmiObject -Class Win32_DiskDrive | Format-Table Name,Model, MediaType
Este script devolverá resultados similares a los siguientes:
|
Nombre |
Modelo |
Tipo de medio |
|---|---|---|
|
\\.\PHYSICALDRIVE0 |
ST31000528AS |
Medios de disco duro fijo |
|
\\.\PHYSICALDRIVE3 |
WD Ext HDD 1021 USB Device |
Medios de disco duro externo |
|
\\.\PHYSICALDRIVE4 |
Corsair Voyager 3.0 USB Device |
Medios extraíbles |
Si el tipo de medio que se devuelve es del tipo "Medios extraíbles" o "Medios de disco duro externo", la configuración está afectada por el problema que se documenta en este artículo.
Más información
Recomendamos a los usuarios que deseen conservar los permisos de disco al nivel del sistema operativo para los discos secundarios marcados como "extraíbles" que sigan alguno de los siguientes pasos de protección:
-
Habilite Microsoft Bitlocker (recomendado).
-
Habilite los controles de acceso de lectura y escritura de los medios o dispositivos extraíbles.
Habilitar los controles de acceso de lectura y escritura de los medios o dispositivos extraíbles
Para habilitar los controles de acceso de lectura y escritura de los medios o dispositivos extraíbles, siga estos pasos:
-
Presione la tecla Windows y R para abrir el menú Ejecutar.
-
Escriba MMC.exe y presione Entrar.
-
En el menú Archivo, haga clic en Agregar o quitar complemento (CTRL+M) y, a continuación, seleccione Editor de objetos de directiva de grupo. Haga clic en Aceptar.
-
Haga clic en Examinar, haga clic en la pestaña Usuarios y, a continuación, haga doble clic en No administradores.
-
Haga clic en Finalizar y, después, en Aceptar.
-
En el panel izquierdo, expanda sucesivamente Equipo local\Directiva de no administradores, Configuración de usuario, Plantillas administrativas y Sistema. A continuación, haga clic en Acceso de almacenamiento extraíble.
-
Haga doble clic en Todas las clases de almacenamiento extraíble: denegar acceso a todo y, a continuación, haga clic para seleccionar la opción Habilitado.
-
Haga clic en Aplicar y, después, en Aceptar.
Si no puede realizar estos pasos de protección, le recomendamos que no almacene información delicada en los discos o dispositivos afectados. Por ejemplo, no almacene información personal o de autenticación cuando diferentes usuarios compartan una estación de trabajo o alguna copia de seguridad del sistema de archivos. Para obtener más información, póngase en contacto con el fabricante del hardware del controlador de disco.
Hay soluciones automatizadas de Microsoft Fix It disponibles para configurar sistemas con el fin de no permitir el acceso de lectura o escritura a los dispositivos extraíbles.
Para que podamos solucionar su problema, diríjase a la sección "Solucionarlo en mi lugar".
Solución
Soluciones Fix it para Windows 7 o Windows 8
Para habilitar o deshabilitar esta solución Fix it, haga clic en el botón o en el vínculo Fix it que se muestra bajo Habilitar o bajo Deshabilitar. Haga clic en Ejecutar en el cuadro de diálogo Descarga de archivos y, a continuación, siga los pasos del Asistente Fix it.
|
Habilitar |
Deshabilitar |
|---|---|
Soluciones Fix it para Windows Vista
Para habilitar o deshabilitar esta solución Fix it, haga clic en el botón o en el vínculo Fix it que se muestra bajo Habilitar o bajo Deshabilitar. Haga clic en Ejecutar en el cuadro de diálogo Descarga de archivos y, a continuación, siga los pasos del Asistente Fix it.
|
Habilitar |
Deshabilitar |
|---|---|
Notas
-
Estos asistentes podrían estar solo en inglés. Sin embargo, las soluciones automáticas también funcionan con otras versiones de idioma de Windows.
-
Si no está utilizando el equipo que tiene el problema, puede guardar la corrección automática en una unidad flash o en un CD para ejecutarla posteriormente en el equipo que tiene el problema.
Solucionarlo en mi lugar
-
¿Por qué Windows cuenta con diferentes directivas de seguridad para los distintos tipos de medios de almacenamiento?
Windows admite muchos dispositivos de almacenamiento, desde los tradicionales discos fijos (como las unidades de disco duro y las unidades de estado sólido) hasta diferentes discos extraíbles (como tarjetas SD o unidades "miniatura" USB). El hecho de admitir tal cantidad de dispositivos de almacenamiento permite utilizar Windows en diversas situaciones junto al rico ecosistema de hardware compatible con Windows. Esto incluye dispositivos como cámaras, teléfonos móviles, etc. Windows ofrece una excelente experiencia integral para todas estas situaciones y dispositivos a través de la gran cantidad de entornos diferentes en los que Windows está presente: el hogar, un pequeño negocio o una gran empresa.
Para hacer posible el uso de Windows en todas estas situaciones, es necesario ser consciente de los diversos requisitos y prioridades que conlleva cada una de ellas. Aquí se incluyen diversas consideraciones como su facilidad de uso, seguridad, sencillez y otras características. Por tanto, existen diferencias en la manera de administrar determinadas categorías de dispositivos de almacenamiento desde una perspectiva de seguridad. Para ello se tienen en cuenta diversos factores. Entre ellos, está el entorno en el que se utilizará el dispositivo (por ejemplo, si se va a utilizar principalmente en el hogar o en un entorno empresarial) y si este se utilizará entre diferentes dispositivos. Esto incluye dispositivos no basados en Windows. -
¿Por qué se produjo el problema?
La principal diferencia en la directiva de seguridad se da entre los discos tradicionales, fijos y extraíbles.
De manera predeterminada, el acceso a los datos almacenados en un disco duro tradicional está limitado por las listas de control de acceso (ACL) del sistema para requerir permisos administrativos con privilegios elevados. De este modo se ofrece un nivel adecuado de seguridad en entornos diferentes. Esto se puede aplicar en sistemas de usuario único y en sistemas con varios usuarios. En la mayoría de equipos, el disco duro es la parte en la que se encuentran los datos importantes, como el sistema operativo, y las ACL requieren credenciales administrativas con privilegios elevados para tener acceso a estos datos. Windows ofrece diferentes herramientas de administración para permitir el control de esta directiva de manera más detallada (si fuera necesario). Entre ellas están Bitlocker, la directiva de grupo y otras ACL adicionales. En los discos duros, los usuarios no administradores no pueden ejecutar herramientas a nivel de volumen, como dar formato, o tienen acceso directo a nivel de bloque al contenido del sistema de archivos.
Un medio extraíble, por el contrario, está diseñado básicamente para transportarse entre distintos dispositivos. Esto incluye dispositivos electrónicos de consumo y dispositivos que no están basados en Windows, como cámaras y teléfonos móviles. De forma predeterminada, el acceso a los datos almacenados en medios extraíbles no requiere permisos de administrador con privilegios elevados. Estos dispositivos se asocian normalmente a dispositivos electrónicos de consumo. Debe asegurarse de que es fácil tener acceso a los datos de estos dispositivos y de que son fáciles de administrar. Por ejemplo, si el sistema de archivos de un dispositivo extraíble resulta dañado, cualquier usuario puede ejecutar chkdsk y tratar de reparar ese daño. En entornos en los que la seguridad adicional es una prioridad, los usuarios pueden aplicar controles adicionales que impidan el acceso a los medios extraíbles o que requieran el cifrado de todos los medios extraíbles. Esto limita el uso de medios extraíbles como parte de los requisitos de seguridad. -
¿Cómo puedo determinar si mi configuración es vulnerable?
Los usuarios pueden determinar si tienen dispositivos extraíbles en su entorno mediante el icono de acceso rápido "Quitar hardware de forma segura" del área de notificación de escritorio. Si aparece algún dispositivo en este menú, ese dispositivo está marcado como "extraíble".
Los usuarios también pueden tener acceso a una lista de dispositivos extraíbles en el Panel de Control. Por ejemplo, abra Todos los elementos de Panel de control, abra Dispositivos e impresoras y, a continuación, haga clic en la pestaña Dispositivos.
Consulte la sección "Cómo saber si su entorno está afectado" para obtener más información acerca de cómo usar Windows PowerShell para determinar si su configuración es vulnerable. -
¿Qué sistemas operativos de Windows resultan afectados en las configuraciones predeterminadas?
Windows Vista, Windows 7 y Windows 8 se ven afectados en las configuraciones predeterminadas. -
¿Cuáles son los posibles riesgos de la aplicación del acceso de lectura y escritura a un medio extraíble mediante una directiva de grupo?
La restricción del acceso a los dispositivos de almacenamiento extraíbles mediante una directiva de grupo puede hacer que existan problemas de inicio en determinadas aplicaciones o que se requieran permisos elevados. Por ejemplo, es posible que el software de copia de seguridad no realice una copia de seguridad en los dispositivos extraíbles o desde dichos dispositivos. Del mismo modo, cualquier tipo de actividad de comprobación de disco (chkdsk) o de aplicación de formato de disco requiere permisos administrativos. Esto puede provocar errores en el software de manipulación y administración de discos en el modo de ejecución restringido. -
¿Cuáles son los posibles riesgos de Bitlocker?
BitLocker es la solución recomendada para la proteger la seguridad de los datos en dispositivos extraíbles. El uso de Bitlocker provocará una pequeña disminución del rendimiento cuando esté cifrando y descifrando datos. -
¿Cómo puede utilizar un atacante esta vulnerabilidad?
Un atacante con acceso no administrativo podría leer un disco o escribir en él con independencia de si es administrador local o no. Un atacante tendría acceso arbitrario de lectura y escritura al dispositivo y al sistema de archivos. Esto podría conducir a la divulgación de información específica.
P+F
Microsoft agradece a las siguientes personas su colaboración en la protección de los usuarios:
-
George Georgiev Valkov por colaborar con nosotros en este problema.
