Aviso de seguridad de Microsoft: Protección ampliada para la autenticación


INTRODUCCIÓN


Microsoft ha publicado el aviso de seguridad 973811. Para ver el aviso de seguridad completo, visite el siguiente sitio web de Microsoft:

Cómo obtener ayuda y soporte técnico para este aviso de seguridad

Para los usuarios particulares, hay soporte técnico gratuito llamando al teléfono 1-866-PCSAFETY en Estados Unidos y Canadá o poniéndose en contacto con la filial local de Microsoft. Para obtener más información acerca de cómo ponerse en contacto con su subsidiaria local de Microsoft en caso de problemas de soporte técnico a actualizaciones de seguridad, visite el sitio web de Microsoft International Support: Los clientes de Norteamérica también pueden obtener acceso instantáneo a soporte técnico gratuito por correo electrónico, así como soporte técnico de carácter ilimitado e individualizado por chat si visitan el siguiente sitio web de Microsoft: Para clientes de empresas, el soporte para las actualizaciones de seguridad está disponible a través de los contactos de soporte habituales.

Más información


¿Cómo se configura NET para que use la protección ampliada para la autenticación?

A continuación se muestra cómo habilitar la protección ampliada para Microsoft .NET Framework 2.0 Service Pack 2, .NET Framework 3.0 Service Pack 2 y .NET Framework 3.5 SP1.

Para .NET Framework 2.0 Service Pack 2 (biblioteca de clases Network)

Puede activar la protección ampliada si establece las propiedades en HttpListener. Para obtener más información, visite las siguientes páginas web de Microsoft MSDN:

Si se usa NegotiateStream, las sobrecargas adecuadas de [Begin]AuthenticateAsServer y [Begin]AuthenticateAsClient se deben usar: Para obtener más información, visite las siguientes páginas web de Microsoft MSDN:



Además de las recomendaciones encontradas en estos sitios web de Microsoft, siga estos pasos:
  1. En el cliente, instale la actualización de la protección ampliada para la autenticación para la interfaz del proveedor de compatibilidad para seguridad (SSPI). Esta actualización cambia la SSPI para mejorar la autenticación de Windows. Además, esta actualización impide que las credenciales se reenvien. Tras instalar esta actualización, debe implementar la configuración del Registro descrita en el artículo 968389 de Microsoft Knowledge Base (KB) para habilitar la protección ampliada.

    Para obtener más información, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
    968389 Protección ampliada para la autenticación
  2. En el servidor, instale la actualización de la protección ampliada para la autenticación para la pila de protocolo HTTP.

Para .NET Framework 2.0 Service Pack 2 (ASP.NET)

No se requiere ninguna acción especial para usar la protección ampliada.

Para .NET Framework 3.0 Service Pack 2 (WCF)

Para habilitar la característica protección ampliada para la autenticación en WCF, siga estos pasos: Para realizar esta tarea, siga estos pasos:
  1. En el cliente, instale la actualización de la protección ampliada para la autenticación para la interfaz del proveedor de compatibilidad para seguridad (SSPI). Esta actualización cambia la SSPI para mejorar la autenticación de Windows. Además, esta actualización impide que las credenciales se reenvíen. Tras instalar esta actualización, debe implementar la configuración del Registro descrita en el artículo 968389 de Microsoft Knowledge Base (KB) para habilitar la protección ampliada.

    Para obtener más información, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
    968389 Protección ampliada para la autenticación
  2. En el servidor, instale la actualización de la protección ampliada para la autenticación para la pila de protocolo HTTP.
  3. Instale la actualización de la protección ampliada para la autenticación para Internet Information Services (IIS) cuando IIS esté instalado.



    Tras la instalación, siga las instrucciones del artículo 973917 de KB para configurar la protección ampliada en IIS.


    Para obtener más información al respecto, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
    973917 Descripción de la actualización que implementa la protección ampliada para la autenticación en Internet Information Services (IIS)
    970430
    Descripción de la actualización que implementa la protección ampliada para la autenticación en la pila del protocolo HTTP (http.sys)
  4. Use la clase ExtendedProtectionPolicy de WCF para representar la directiva de protección ampliada que los servidores usan para validar las conexiones de clientes entrantes. La clase se puede aplicar sólo cuando el modo de seguridad se establece en Transport o TransportWithMessageCredential. A continuación puede encontrar un código muestra de la configuración de un elemento de enlace de un archivo de configuración de servicio:

    <binding>
    ……………
    <security mode="Transport">
    <transport ……………>
    <extendedProtectionPolicy policyEnforcement ="WhenSupported"/>
    </transport >
    </security>
    </binding>

    Para obtener más información acerca de la característica protección ampliada de autenticación, visite el siguiente sitio web de Microsoft TechNet:







Para obtener más información de configuración, haga clic en los números siguientes para ver los artículos correspondientes en Microsoft Knowledge Base:

Número de artículoTítulo del artículo
982532 Descripción de la actualización acumulativa para .NET Framework 3.5 Service Pack 1 en Windows Vista Service Pack 1 y Windows Server 2008 Service Pack 1 (976767 y 980843): 8 de junio de 2010
982533 Descripción de la actualización acumulativa para .NET Framework 3.5 Service Pack 1 en Windows Vista Service Pack 2 y Windows Server 2008 Service Pack 2 (976768 y 980842): 8 de junio de 2010
982535 Descripción de la actualización acumulativa para .NET Framework 3.5 Service Pack 1 en Windows Vista Service Pack 1 y Windows Server 2008 Service Pack 1 (976767, 980843 y 976771): 8 de junio de 2010
982536 Descripción de la actualización acumulativa para .NET Framework 3.5 Service Pack 1 en Windows Vista Service Pack 2 y Windows Server 2008 Service Pack 2 (976768, 980842 y 976772): 8 de junio de 2010
982167 Descripción de la actualización acumulativa para .NET Framework 3.5 Service Pack 1 y .NET Framework 2.0 Service Pack 2 en Windows XP y Windows Server 2003 (976765 y 980773): 8 de junio de 2010
982168 Descripción de la actualización acumulativa para .NET Framework 3.5 Service Pack 1 en Windows XP y Windows Server 2003 (976765, 980773 y 976769): 8 de junio,
2262911 "No se ha podido cargar el error de excepción 'System.Security.Authentication.ExtendedProtection.ExtendedProtectionPolicy'" de tipo tras instalar la actualización 982167 o 982168

Problemas conocidos


Para obtener más información acerca de problemas conocidos con este software, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:




Número de artículoTítulo del artículo
2197146 Las actualizaciones de .NET Framework 3.5 Service Pack 1 y .NET Framework 2.0 Service Pack 2 pueden producir que, en vez del título completo de la actualización, aparezca el número del artículo de KB en Agregar o quitar programas en el Panel de control