Blogger Long Zheng on I Started Something ha puesto de relieve un posible problema de seguridad con la versión beta de Windows 7, donde la decisión de Microsoft de cambiar la forma en que funciona el UAC podría permitir que un atacante inhabilite el UAC sin el conocimiento del usuario..

La configuración de UAC predeterminada de Windows 7 está configurada para notificar al usuario cuando los programas realizan cambios, pero no para avisar cuando un usuario o Windows cambia la configuración.

"La forma en que distingue entre un programa (de terceros) y Windows es con un certificado de seguridad", explica Zheng. "Las aplicaciones / applets que administran la configuración de Windows están firmadas con un certificado especial de Microsoft Windows 7. Como tal, los elementos del panel de control están firmados con este certificado para que no indiquen UAC si cambia alguna configuración del sistema".

Zheng continúa: "El talón de Aquiles de este sistema es que el cambio de UAC también se considera un 'cambio en la configuración de Windows', que junto con el nuevo nivel de seguridad predeterminado de UAC, no le indicaría si se cambia. Incluso para deshabilitar el UAC por completo".

Atajo para explotar

"Por supuesto, no es una vulnerabilidad de seguridad si tiene que obligar al usuario a deshabilitar a UAC", dice Zheng. "Tuve que pensar en 'malos pensamientos' para encontrar una manera de deshabilitar UAC sin la interacción del usuario".

Eso no tomó mucho tiempo. "La solución fue trivial, se podía completar todo el proceso con solo los atajos de teclado, así que ¿por qué no hacer una aplicación que emule una secuencia de entradas de teclado?"

Long Zheng y su ayudante Rafael Rivera crearon un VBScript de prueba de concepto para emular las pulsaciones de teclado sin pedir ayuda a UAC.

Es un problema simple con una solución simple: establezca la política de UAC en Notificar siempre, pero plantea la antigua pregunta acerca de la usabilidad frente a la seguridad.

Error de usuario

A menudo se dice que el punto de seguridad más débil de cualquier computadora es el usuario, y al inclinarse ante las llamadas para calmar el UAC irritante, Microsoft puede haber comprometido la seguridad..

Con el problema ganando notoriedad, parece probable que Microsoft vuelva a analizar el potencial de daño..

Y para eso son las betas, ¿verdad??