Adrián Cerdeiro Regueira Bernardo Núñez Porteiro Laura Sande Castro Luis Rey Póveda Matei Lihaciu

Transcripción

1 Adrián Cerdeir Regueira Bernard Núñez Prteir Laura Sande Castr Luis Rey Póveda Matei Lihaciu

2 Cnfiguraci n ba sica de usuaris. Privilegis La idea de ls usuaris es similar en la mayría de sistemas perativs en cuant a l que aprta a ls usuaris y ls beneficis y limitacines que cnllevan. La finalidad de tener varis usuaris en un mism sistema perativ, es la de pder acceder al sistema perativ pr distints perfiles de usuari, cada un cn sus crrespndientes permiss y restriccines. Pr l que cada perfil estará separad un de tr y pr l tant, ls archivs que cada perfil cntenga. Es una herramienta para prprcinar seguridad y privacidad. Per existen diferencias en su implementación Ls sistemas UNIX cmpatibles POSIX, incluyend sistemas basads en Linux y Mac OS X, pseen un sistema simple para el manej de permiss sbre archivs individuales. Las variantes de DOS (incluyend ls prducts de Micrsft MS-DOS, Windws 95, Windws 98 y Windws Me) n implementan ningún sistema de permiss. Existe un atribut de "sl lectura" que puede ser asignad quitad de cualquier archiv pr cualquier usuari. Micrsft Windws NT y sus derivads (incluyend Windws 2000 y Windws XP), usan listas de cntrl de acces (ACLs) para administrar un cnjunt más cmplej y variad de permiss. Para pder hablar de ests cncepts, primer hay que situarse en el entrn de ls usuaris en Windws. Cuenta de usuari: Clección de infrmación que indica a Windws ls archivs y carpetas a ls que cada usuari puede acceder, ls cambis que puede realizar en el equip y las preferencias persnales (fnd de escritri, prtectr de pantalla, ). Las cuentas de usuari le permiten cmpartir un equip cn varias persnas, y mantener sus prpis archivs y cnfiguracines. Cada persna accede a su prpia cuenta de usuari cn un nmbre de usuari y una cntraseña. Tips de cuenta: (Cada tip de cuenta prprcina al usuari un nivel diferente de cntrl sbre el equip) Cuentas estándar: se usan para las tareas habituales. Cuentas de administradr: prprcinan el máxim cntrl sbre un equip y sl se deben usar cuand sea necesari. Cuentas de invitad: se destinan principalmente a persnas que necesitan usar tempralmente un equip.

3 El administradr puede cambiar el tip de cuenta de usuari y es psible que exista más de una cuenta cn privilegis de administración. La cuenta estándar puede ayudar a prteger el equip, dad que evita que ls usuaris realicen cambis que afecten a tds ls que usen el equip (eliminar archivs que sn necesaris para que el crrect funcinamient del equip,...). Se recmienda crear una cuenta estándar para cada usuari. Si inicia sesión en Windws cn una cuenta estándar, puede hacer prácticamente td l que se puede hacer cn una cuenta de administradr, per si desea hacer alg que afecte a ls demás usuaris del equip (instalar sftware, cambiar la cnfiguración de seguridad,...) Windws puede pedirle que prprcine una cntraseña para una cuenta de administradr. Cm gestina Windws ests permiss? Gracias al sistema de fichers NTFS Sistema de fichers NTFS permite un gran avance de seguridad en cuant a las cncesines de permiss Este sistema de fichers trata a ls elements cm bjets Objet: element que puede asegurarse y prtegerse mediante permiss archiv, directri, clave de registr, bjet de sistema canalización cn nmbre: scket, prces, subprces, etc. ACE (Access Cntrl Entry - Entrada de Cntrl de Acces) element de una ACL. Una ACE está cmpuesta pr un SID, una máscara de acces que define ls permiss cncedids al SID (ya sean: Lectura, escritura, etc.), un indicadr que determina el tip de ACE y tr indicadr que determina a que bjets se refieren ests permiss. Tres tips de ACE: Acces cncedid, Acces denegad y Audit (para auditar la seguridad del sistema). ACL (Access Cntrl List): Es una lista de cntrl de acces que regula ls permiss de acces a ls bjets del sistema. Está cmpuesta pr entradas de cntrles de acces ACE

4 Herencia: La herencia permite la prpagación de ACL psicinadas en bjets cntenedres padres a sus hijs. Al crear una ACE, es psible precisar si se va aplicar al bjet, sól a sus hijs (indicadr de herencia slamente Inherit Only) al bjet en sí y a sus hijs. SD (Security Descriptr): Un descriptr de seguridad es la estructura vinculada a td bjet al que se le puede aplicar seguridad que cntiene el SID del prpietari del bjet, su grup primari y las ds listas de ACL: DACL y SACL. DACL (Discretinary Access Cntrl List): Una lista de cntrl de acces discrecinal es la que está cntrlada pr el prpietari del bjet. Especifica quién tiene permis y quién n para acceder a dich bjet. SACL (System Access Cntrl List): Una lista de cntrl de acces de sistema es la que cntrla la generación de mensajes de auditría durante ls intents de acceder a un bjet segur. (Es necesari tener privilegis SE_SECURITY_NAME para mdificar una SACL). SDDL (Security Descriptr Definitin Language): Un lenguaje de definición descriptr de seguridad que permite definir y transprtar dats almacenads en un descriptr de seguridad en frmat de text. Pr ejempl, el cmand "sc sdshw" muestra el descriptr de seguridad ligad al servici en frmat SDDL. Permiss y descriptres de seguridad Cada cntenedr y bjet de la red tiene infrmación de cntrl de acces adjunta. Esta infrmación se denmina descriptr de seguridad y cntrla el tip de acces permitid a usuaris y grups. El descriptr de seguridad se crea autmáticamente junt cn el cntenedr u bjet que se crea. Un ejempl típic de bjet cn un descriptr de seguridad es un archiv. Ls permiss se definen en el descriptr de seguridad de un bjet. Se ascian asignan a usuaris y grups específics. Pr ejempl, para el archiv Temp.dat, el grup de cuentas predefinidas de administradr pdría tener asignads permiss para leer, escribir y eliminar, mientras que el grup de peradres de cpia de seguridad sól permiss para leer y escribir. Cada asignación de permiss a un usuari grup se representa en el sistema cm una entrada de cntrl de acces (ACE). Al cnjunt cmplet de entradas de permis de un descriptr de seguridad se le denmina cnjunt de permiss lista de cntrl de acces (ACL). De esta frma, para un archiv denminad Temp.dat, el cnjunt de permiss incluye ds entradas de permis: una para el grup de cuentas predefinidas de administradr y tra para el grup de peradres de cpia de seguridad.

5 Permiss explícits y heredads Hay ds tips de permiss: permiss explícits y permiss heredads. Ls permiss explícits sn aquells que se establecen de frma predeterminada en bjets que n sn secundaris cuand se crea el bjet, ls que crea el usuari en bjets secundaris, primaris que n sn secundaris. Ls permiss heredads sn ls que se prpagan a un bjet desde un bjet primari. Ls permiss heredads facilitan la tarea de administrar permiss y aseguran su cherencia entre tds ls bjets de un cntenedr determinad. De frma predeterminada, ls bjets de un cntenedr heredan ls permiss desde ese cntenedr cuand se crean ls bjets. Pr ejempl, cuand crea la carpeta Mi carpeta, tdas las subcarpetas y archivs creads en la carpeta Mi carpeta heredan de frma autmática ls permiss de la carpeta. De esta manera, la carpeta Mi carpeta tiene permiss explícits, mientras que las subcarpetas y ls archivs heredan ls permiss. Ls permiss Denegar heredads n impiden el acces a un bjet si éste cuenta cn una entrada de permis explícit Permitir. Ls permiss explícits tienen priridad sbre ls permiss heredads, incluids ls permiss Denegar heredads.

6 Limitacines de acces para cada cnjunt de permiss NTFS especiales Recrrer carpeta ejecutar archiv Para carpetas: el permis Recrrer carpeta permite impide que el usuari pase de una carpeta a tra para llegar a trs archivs carpetas, inclus aunque el usuari n tenga permiss para las carpetas recrridas (sól se aplica a carpetas). Recrrer carpeta sól surte efect cuand al grup al usuari n se le ha cncedid el permis Omitir cmprbación de recrrid, que cmprueba ls derechs de usuari en el cmplement Directiva de grup. De manera predeterminada se cncede al grup Tds el derech de usuari Omitir cmprbación de recrrid. Para archivs: el permis Ejecutar archivs permite deniega ls archivs de prgrama que hay en ejecución (sól se aplica a archivs). Al cnfigurar el permis Recrrer carpeta en una carpeta n se cnfigura autmáticamente el permis Ejecutar archiv en tds ls archivs de dicha carpeta. Listar carpeta / Leer dats El permis Listar carpeta permite impide que el usuari vea ls nmbres de archiv y de subcarpeta en la carpeta. El permis Listar carpeta sól afecta al cntenid de dicha carpeta, n a si se muestra n el cntenid de la carpeta para la que está cnfigurand el permis. Est se aplica sól a carpetas. El permis Leer dats permite impide ver dats de archivs (sól se aplica a archivs). Atributs de lectura El permis Atributs de lectura permite impide que el usuari vea ls atributs de un archiv de una carpeta, cm sól lectura y cult. Ls atributs están definids pr el sistema de

7 archivs NTFS. Atributs extendids de lectura El permis Atributs extendids de lectura permite impide que el usuari vea ls atributs extendids de un archiv de una carpeta. Ls atributs extendids están definids pr ls prgramas y pueden variar de un a tr. Crear archivs / Escribir dats El permis Crear archivs permite impide al usuari crear archivs en la carpeta (se aplica sól a carpetas). El permis Escribir dats permite impide que el usuari haga cambis en el archiv y sbrescriba cntenid existente (se aplica sól a archivs). Crear carpetas / Anexar dats El permis Crear carpetas permite impide al usuari crear carpetas en la carpeta (se aplica sól a carpetas). El permis Anexar dats permite impide que el usuari haga cambis en el final del archiv per que n cambie, elimine ni sbrescriba dats existentes (se aplica sól a archivs). Atributs de escritura El permis Atributs de escritura permite impide que el usuari cambie ls atributs de un archiv de una carpeta, cm sól lectura y cult. Ls atributs están definids pr el sistema de archivs NTFS. El permis Atributs de escritura n implica la creación eliminación de archivs carpetas; sól incluye el permis para hacer cambis en ls atributs de un archiv de una carpeta. Para permitir denegar peracines de creación eliminación, cnsulte Crear archivs / Escribir dats, Crear carpetas / Anexar dats, Eliminar subcarpetas y archivs y Eliminar. Atributs extendids de escritura El permis Atributs extendids de escritura permite impide que el usuari cambie ls atributs extendids de un archiv de una carpeta. Ls atributs extendids están definids pr ls prgramas y pueden variar de un a tr. El permis Atributs extendids de escritura n implica que el usuari pueda crear eliminar archivs carpetas; sól incluye el permis para hacer cambis en ls atributs de un archiv de una carpeta. Para permitir denegar peracines de creación eliminación, cnsulte las seccines Crear archivs / Escribir dats, Crear carpetas / Anexar dats, Eliminar subcarpetas y archivs y Eliminar de este artícul. Eliminar subcarpetas y archivs El permis Eliminar subcarpetas y archivs permite impide que el usuari elimine subcarpetas y archivs, inclus aunque n se haya cncedid el permis Eliminar para la subcarpeta el archiv. Este permis se aplica sól a las carpetas. Eliminar El permis Eliminar permite impide que el usuari elimine el archiv la carpeta. Si n tiene el permis Eliminar para un archiv una carpeta, puede eliminarl si se le han cncedid ls permiss Eliminar subcarpetas y archivs en la carpeta principal.

8 Leer permiss El permis Leer permiss permite impide que el usuari lea permiss del archiv de la carpeta, cm Cntrl ttal, Leer y Escribir. Cambiar permiss El permis Cambiar permiss permite impide que el usuari cambie permiss del archiv de la carpeta, cm Cntrl ttal, Leer y Escribir. Tmar psesión El permis Tmar psesión permite impide que el usuari tme psesión del archiv de la carpeta. El prpietari de un archiv de una carpeta puede cambiar ls permiss crrespndientes, cualesquiera que sean ls permiss existentes que prtegen el archiv la carpeta. Sincrnizar El permis Sincrnizar permite impide que distints subprcess esperen en el cntrladr del archiv de la carpeta y se sincrnicen cn tr subprces que pueda señalarls. Este permis se aplica únicamente a prgramas multiprces de múltiples subprcess. Cnfigurar, ver, cambiar quitar permiss especiales de archivs y carpetas En las Prpiedades del element vams a la ficha de Seguridad.

9 Haga clic en Avanzada y siga un de ests pass: Para cnfigurar permiss especiales para un grup un usuari adicinal, haga clic en Agregar y después, en el cuadr Nmbre, escriba el nmbre de usuari el grup y haga clic en Aceptar. Para ver cambiar permiss especiales de un grup un usuari existente, haga clic en el nmbre del grup del usuari y, después, haga clic en Mdificar. Para quitar un grup un usuari existente y sus permiss especiales, haga clic en el nmbre del grup del usuari y, después, haga clic en Quitar. Si el btón Quitar n está dispnible, haga clic para desactivar la casilla de verificación Heredar del bjet principal las entradas de permiss relativas a ls bjets secundaris. Incluirlas junt cn las entradas indicadas aquí de frma explícita, haga clic en Quitar y mita ls ds pass siguientes.

10 Si seleccinams Agregar... la ayuda del menú anterir:

11 Si seleccinams Editar... En el cuadr Permiss, haga clic para activar desactivar la casilla de verificación Permitir Denegar crrespndiente. En el cuadr Aplicar en, haga clic en las carpetas las subcarpetas a las que desee aplicar ests permiss. Para cnfigurar la seguridad de manera que las subcarpetas y ls archivs n hereden ests permiss, haga clic para desactivar la casilla de verificación Aplicar ests permiss a bjets y/ cntenedres sól dentr de este cntenedr. Haga clic en Aceptar y después en Aceptar en el cuadr Cnfiguración de seguridad avanzada para nmbrede nmbredecarpeta, dnde nmbredecarpeta es el nmbre de la carpeta.

12 Grups de trabaj Ls grups de trabaj (Wrkgrups) es cm Micrsft llama a la frma en la que se rganizan ls equips cn Windws de una red lcal, siend en el cas de ls grups de trabaj, una rganización tip P2P, l que facilita que ls usuaris puedan cmpartir archivs, impresras, etc. Tds ls equips cn Windws frman parte de, bien, un grup de trabaj, de un dmini. Las principales diferencias entre ls dminis y ls grups de trabaj sn estas: En un grup de trabaj: - Tds ls equips se encuentran en el mism nivel, ningun tiene el cntrl sbre tr. - Cada equip dispne de un cnjunt de cuentas de usuari. Para iniciar sesión en cualquier equip del grup de trabaj, debe dispner de una cuenta en equip. - Nrmalmente, enfcad a pcs equips (n más de 20). - Un grup de trabaj n está prtegid cn cntraseña. - Tds ls equips deben encntrarse en la misma red lcal subred. En un dmini: - Un más equips sn servidres. Ls administradres de red utilizan ls servidres para cntrlar la seguridad y ls permiss de tds ls equips del dmini. Así resulta más sencill efectuar cambis, ya que ésts se aplican autmáticamente a tds ls equips. Ls usuaris de dmini deben prprcinar una cntraseña algún tr tip de credencial cada vez que accedan al dmini. - Si dispne de una cuenta de usuari en el dmini, puede iniciar sesión en cualquier equip del dmini sin necesidad de dispner de una cuenta en dich equip. - Prbablemente sl pdrá hacer cambis limitads a la cnfiguración de un equip prque ls administradres de red cn frecuencia desean garantizan un nivel de hmgeneidad entre ls equips. - Un dmini puede incluir miles de equips. - Ls equips pueden encntrarse en diferentes redes lcales.

13 Histria Ls grups de trabaj se intrdujern en 1992 cm una extensión de Windws 3.1, cncida cm Windws fr Wrkgrups, y desde entnces ha acmpañad a tdas las versines de Windws. Cm anécdta, Linus Trvalds decidió hace 3 añs sacar una versión de su kernel Linux cn el nmbre de Linux 3.11 fr Wrgrups, en hmenaje/brma a ls 20 añs desde que habían pasad desde esta versión de Windws. En Windws 7 se intrdujern l que se cnce cm grups en el hgar, de ls que hablarems mas adelante, para simplificar el us de ls grups de trabaj a ls usuaris básics. Captura de Windws 3.1 fr Wrkgrups

14 Funcinamient Básicamente, el funcinamient de ls grups de trabaj se basa en el prtcl Service Message Blck (SMB): - Usad sbre TCP, habitualmente en el puert 445 aunque antiguamente se usaba cn la NetBIOS API a través de TCP 139 y UDP 137 y N se debe cnfundir cn el prvect Samba para sistemas basads en Unix, cread cn ingeniería inversa para pder emplearse cm SMB. - Cn la llegada de SMB 2.0 se publicarn las especificacines del prtcl para que pudiera ser implementad en trs sistemas, pr ejempl en Mac en l que Apple llama SMBX, en sistemas Unix integrándl en Samba. - Para el intercambi de recurss se utiliza una arquitectura similar a la de cliente servidr. Un equip frece sus recurss que desea cmpartir y ls demás pueden pedirls. - Para la seguridad, se implementan prtcls cn NTLMv2 Kerbers, aunque se pueden utilizar trs prtcls mens segurs cm NTLMv1 cntraseñas en text plan. - SMB es un de ls principales punts de ataque debid a la multitud de vulnerabilidades que ha tenid a l larg del tiemp. Un de ls cass más cncids es el rb de películas a Sny (

15 Micrsft creó una implementación de SMB diferente a la especificada, cncida cm CIFS (Cmmn Internet File System) que básicamente simplifica el intercambi de mensajes SMB, pr l que es 100% cmpatible. Intercambi de mensajes SMB Cambiar nmbre del grup de trabaj actual Dentr de una misma red lcal pueden encntrarse multitud de grups pr l que es necesari un identificadr para saber en que grup se encuentra cada equip, pr defect, este identificadr es WORKGROUP. Este identificadr es guardad en el registr de Windws en HKEY_LOCAL_MACHINE\Security aunque sl es accesible cn privilegis de administradr. Para cambiar el identificadr se puede hacer us del prmpt de windws cn la instrucción: wmic cmputersystem where name="%cmputername%" call jindmainrwrkgrup name="wrkgrup-name" Cambiand Wrkgrup-Name pr el nmbre del grup. Otra pción es entrar en Inici > Equip > Prpiedades > Cambiar nmbre.

16

17 Para que se hagan efectivs ls cambis es necesari reiniciar el equip. Cmpartir archivs Cmpartir archivs dentr de un grup de trabaj de Windws es alg muy trivial: 1º Estar unid a un grup de trabaj

18 2º Tenems un archiv carpeta que querems cmpartir (LOGICO!) 3º Pinchams cn el btón derech sbre el archiv y seleccinams Cmpartir cn > Usuaris Específics

19 4º Seleccinams cn quien querems cmpartir el archiv. Pdems seleccinar a td el grup de trabaj algún usuari especific.

20 5º Y cn est ya debería funcinar, debems fijarns en la ruta para entrar desde tr equip. Esta ruta se encuentra en ntación UNC (

21 6º Y así se vería en tr equip: Para hacer más segura la cmpartición, además de darle permiss sl a ls usuaris que se quiera, se puede establecer una cntraseña de acces. Del mism md que se cmparten archivs, también se pueden cmpartir impresras (+inf Grups de trabaj Cm ya hems cmentad anterirmente en Windws 7 se intrdujern ls grups del hgar, que sn cm un cmplement a ls grups de trabaj para facilitar la cmpartición de archivs, especialmente enfcad a ls archivs multimedia. Para unirse a un grup del hgar es necesari estar en el mism grup de trabaj que ls equips cn ls que se desea cmpartir. Est hace que se hereden tds ls mecanisms de seguridad existentes en ls grups de trabaj y además se añade a mayres una cntraseña de grup, ttalmente bligatria (en ls grups de trabaj se pdía prteger ls archivs cn cntraseña per era alg pcinal) y slamente es necesaria para unirse al grup. Td l referente a ls grups del hgar se almacena en el registr de Windws, cncretamente baj esta ruta HKLM\SOFTWARE\Micrsft\Windws\CurrentVersin\HmeGrup\

22 Cnfigurar un grup del hgar: 1º Entrams en Panel de Cntrl > Grup Hgar:

23 2º Creams un grup nuev y seleccinams l que deseams cmpartir:

24 3º Se genera una cntraseña:

25 4º Entrams en grup del hgar desde el explradr, intrducims la cntraseña y list, ya tenems cmpartids nuestrs archivs: Ls grups del hgar sincrnizan las biblitecas multimedia de Windws, pr l que al unirse a un el reprductr multimedia detecta tds ls archivs cm si estuvieran en la bibliteca del prpi equip.

26 Users and Grups General infrmatin A user is a persn wh uses a cmputer r netwrk service. Users generally use a system r a sftware prduct withut the technical expertise required t fully understand it. Pwer users use advanced features f prgrams, thugh they are nt necessarily capable f cmputer prgramming and system administratin. A user has in general a user accunt and is identified t the system by a username, lgin name, screen name, nickname, etc. End users are the ultimate human users (als referred t as peratrs) f a sftware prduct. The term is used t abstract and distinguish thse wh nly use the sftware frm the develpers f the system, wh enhance the sftware fr end users. This abstractin is primarily useful in designing the user interface, and refers t a relevant subset f characteristics that mst expected users wuld have in cmmn. A user's accunt allws a user t authenticate t a system and t be granted authrizatin t access resurces prvided by r cnnected t that system; hwever, authenticatin des nt imply authrizatin. T lg int an accunt, a user is typically required t authenticate neself with a passwrd r ther credentials fr the purpses f accunting, security, lgging, and resurce management. Once the user has lgged n, the perating system will ften use an identifier such as an integer t refer t them, rather than their username, thrugh a prcess knwn as identity crrelatin. Cmputer systems are divided int tw grups based n what kind f users they have: 1) Single-user systems d nt have a cncept f several user accunts; 2) Multi-user systems have such a cncept, and require users t identify themselves befre using the system. Each user accunt n a multi-user system typically has a hme directry, in which t stre files pertaining exclusively t that user's activities, which is prtected frm access by ther users (thugh a system administratr may have access). User accunts ften cntain a public user prfile, which cntains basic infrmatin prvided by the accunt's wner. While mst user accunts are intended t be used by nly a single persn, many systems have a special accunt intended t allw anyne t use the system, such as the username "annymus" fr annymus FTP and the username "guest" fr a guest accunt. The term grup refers t a gruping f users. In principle, users may belng t nne, ne, r many grups (althugh in practice sme systems place limits n this). The primary purpse f user grups is t simplify access cntrl t cmputer systems.

27 Many systems prvide facilities fr delegatin f grup administratin. In these systems, when a grup is created, ne r mre users may be named as grup administratrs. These grup administratrs are then capable f adding and remving ther users frm the grup, withut relying n a system administratr. Many systems ffer the facility f dynamic grups. Traditinally grups are static: ne defines a grup by individually selecting its members. In dynamic grups, hwever, an administratr can specify search criteria. All users which match the search criteria will be cnsidered a member f this dynamic grup. The primary uses f grups are: - Access cntrl - Accunting - allcating shared resurces like disk space and netwrk bandwidth - Default per-user cnfiguratin prfiles - Cntent selectin User accunts in Windws Seven Windws 7 supprts three basic types f user accunts: Administratr, Standard User and Guest. 1) Administratr Members f the Administratrs grup are classified as administratr accunts. By default, the Administratrs grup includes the first accunt yu create when yu set up the cmputer and an accunt named Administratr that is disabled and hidden by default. Unlike ther accunt types, administratrs have full cntrl ver the system. Amng the tasks that nly administratrs can perfrm are the fllwing: Create, change, and delete user accunts and grups Install and uninstall prgrams Cnfigure autmatic updating with Windws Update Install an ActiveX cntrl Install r remve hardware device drivers Share flders Set permissins Access all files, including thse in anther user's flder Take wnership f files Cpy r mve files int the Prgram Files r System Rt flders Restre backed-up system files Grant rights t ther user accunts and t themselves Cnfigure Parental Cntrls Cnfigure Windws Firewall 2) Standard User Members f the Users grup are classified as standard user accunts. (In Windws XP, Users grup members are called limited accunts.) Many tasks that were available nly t

28 administratrs in previus Windws versins can be perfrmed in Windws 7 by standard users. These additinal tasks d nt affect verall system security, and their prhibitin in Windws XP and Windws 2000 made it impractical fr mst peple t run withut full administrative privileges; in Windws 7-as in Windws Vista-it makes sense t use a standard accunt. A partial list f tasks available t standard user accunts includes: Change the passwrd and picture fr their wn user accunt Use prgrams that have been installed n the cmputer Install system and driver updates using Windws Update Install apprved ActiveX cntrls Cnfigure a secure Wi-Fi cnnectin Refresh a netwrk adapter and the system's IP address View permissins Create, change, and delete files in their dcument flders and in shared dcument flders Restre their wn backed-up files View the system clck and calendar, and change the time zne Set persnalizatin ptins, such as themes, desktp backgrund, and s n Select a display dts-per-inch (DPI) setting t adjust text size Cnfigure pwer ptins Lg n in Safe Mde View Windws Firewall settings 3) Guest Members f the Guests grup are shwn as guest accunts. Guest accunts have privileges similar t standard accunts, with sme limitatins. A user lgged n the Guest accunt (but nt any ther accunt that is a member f the Guests grup) cannt create a passwrd fr the accunt.

29 Grups available n a Windws Seven Cmputer Windws Seven includes built-in lcal grups, such as Administratrs r Guests. These grups already have all the permissins needed t accmplish specific tasks. Windws 7 als uses default special grups, which are managed by the system. Users becme members f special grups based n their requirements fr cmputer and netwrk access. Lcal grups can be created and managed thrugh the Lcal Users and Grups utility. With this utility, yu can add grups, change grup membership, rename grups, and delete grups. Grups are used t simplify the prcess f assigning security rights and permissins. Members f a grup have access t all f the resurces that the grup has been given permissins t access. Windws Seven has the fllwing built-in grups: 1) Administratrs It cntains all user accunts with administrative permissins n the cmputer. The Administratrs grup has full permissins and privileges. Its members can grant themselves any permissins they d nt have by default t manage all the bjects n the cmputer (this includes the file system, printers, and accunt management). By default, the Administratr accunt (which is disabled by default) and the initial user accunt are members f the Administratrs lcal grup. Members f the Administratrs grup can perfrm the fllwing tasks: Install the perating system. Install and cnfigure hardware device drivers. Install system services. Install service packs, ht fixes, and Windws updates. Upgrade the perating system. Repair the perating system. Install applicatins that mdify the Windws system files. Cnfigure passwrd plicies. Cnfigure audit plicies. Manage security lgs. Create administrative shares. Create administrative accunts. Mdify grups and accunts that have been created by ther users. Remtely access the Registry. Stp r start any service. Cnfigure services. Increase and manage disk qutas. Increase and manage executin pririties. Remtely shut dwn the system. Assign and manage user rights. Re-enable lcked-ut and disabled accunts.

30 Manage disk prperties, including frmatting hard drives. Mdify system wide envirnment variables. Access any data n the cmputer. Back-up and restre all data. 2) Backup Operatrs Backup Operatrs are user accunts that have permissin t perfrm backup and restre peratins using tls such as Backup. 3) Cryptgraphic Operatrs Cryptgraphic Operatrs are user accunts with permissins t encrypt r decrypt data using applicatins such as BitLcker. 4) Distributed COM Object The Distributed COM Users grup has the ability t launch and run Distributed COM bjects n the cmputer. There are n default members f the Distributed COM Users lcal grup. 5) Event Lg Readers The Event Lg Readers grup has access t read the event lg n the lcal cmputer. There are n default members f the Event Lg Readers lcal grup. 6) Guests The Guests grup has limited access t the cmputer. This grup is prvided s that yu can allw peple wh are nt regular users t access specific netwrk resurces. As a general rule, mst administratrs d nt allw Guest access because it pses a ptential security risk. By default, the Guest user accunt is a member f the Guests lcal grup. 7) IIS_IUSRS The IIS_IUSRS grup is used by Internet Infrmatin Services (IIS). The NT AUTHORITY\IUSR user accunt is a member f the IIS_IUSRS grup by default. 8) Netwrk Cnfiguratin Operatrs Members f the Netwrk Cnfiguratin Operatrs grup have sme administrative rights t manage the cmputer's netwrk cnfiguratin-fr example, editing the cmputer's TCP/IP settings. 9) Perfrmance Lg Users The Perfrmance Lg Users grup has the ability t access and schedule lgging f perfrmance cunters and can create and manage trace cunters n the cmputer.

31 10) Perfrmance Mnitr Users The Perfrmance Mnitr Users grup has the ability t access and view perfrmance cunter infrmatin n the cmputer. Users wh are members f this grup can access perfrmance cunters bth lcally and remtely. 11) Pwer Users The Pwer Users grup is included in Windws 7 fr backward cmpatibility. The Pwer Users grup is included t ensure that cmputers upgraded frm Windws XP functin as befre with regard t flders that allw access t members f the Pwer Users grup. Otherwise, the Pwer Users grup has limited administrative rights. 12) Remte Desktp Users: The Remte Desktp Users grup allws members f the grup t lg n remtely fr the purpse f using the Remte Desktp service. 13) Replicatr The Replicatr grup is intended t supprt directry replicatin, which is a feature that dmain servers use. Only dmain users wh will start the replicatin service shuld be assigned t this grup. The Replicatr lcal grup has n default members. 14) Users The Users grup is intended fr end users wh shuld have very limited system access. If yu have installed a fresh cpy f Windws 7, the default settings fr the Users grup prhibit its members frm cmprmising the perating system r prgram files. By default, all users wh have been created n the cmputer, except Guest, are members f the Users lcal grup. Lgn Users and administratrs must lg n t a Windws Seven cmputer befre they can use that cmputer. When the user accunts are created, the cmputer is set up t accept the lgn infrmatin prvided by the Windws Seven user. Yu can lg n lcally t a Windws Seven cmputer using a lcal cmputer accunt, r yu can lg n t a dmain using an Active Directry accunt. When Windws Seven is installed n a cmputer, it must be specified that it will be a part f a wrkgrup, which implies a lcal lgn, r that the cmputer will be a part f a dmain, which implies a dmain lgn. - Standalne The Windws Seven cnfiguratins are as fllws: This is a Windws 7 cmputer withut netwrk cnnectivity. All user accunts are lcal accunts.

32 - Wrkgrup member This is a Windws 7 cmputer that has netwrk cnnectivity. Wrkgrups are lgical grupings f Windws cmputers n the netwrk. All user accunts are lcal accunts with n synchrnizatin f accunts between cmputers. -Dmain client This is a Windws 7 cmputer that has netwrk cnnectivity and is a member f a dmain. Mst f the time a user lgs n by using a dmain user accunt, but lcal user accunts are still supprted when required. Windws Seven supprts several lgn methds: 1) Windws Welcme: It is a lgn methd used by standalne cmputers and wrkgrup members. Windws Welcme authenticates users by using the lcal SAM database. If yu frget yur passwrd, and yu previusly created a passwrd reset disk, yu can use the reset disk t gain access t yur accunt. If yu dn't have a passwrd reset disk, yu'll have t have anther user lg n using a Cmputer Administratr accunt and reset yur accunt's passwrd fr yu. This prcess culd make yu lse access t sme infrmatin in yur accunt, including website passwrds that Windws remembered fr yu, and if yu were using the Encrypted Files feature n Windws 7 Prfessinal, Enterprise, r Ultimate editin, yu culd lse yur encrypted files t. 2) Secure Lgn It increases security n yur cmputer by frcing yu t press Ctrl + Alt + Delete befre lgging n. Secure Lgn prtects yur cmputer frm viruses and spyware that may attempt t steal yur passwrd. When the cmputer is a dmain client, then secure lgn is required. When the cmputer is a standalne r a wrkgrup member, secure lgn can be selected n the Advanced tab f the advanced User Accunts. 3) Fast User Switching It allws multiple users t have applicatins running in the backgrund n a Windws Seven cmputer at the same time. Hwever, nly ne user can be actively using the cmputer at a time. Fr example, if User X lgs n t Windws 7 and starts creating a dcument and then he lcks the cmputer befre leaving fr lunch with the dcument still pen, the User Y can cme t the cmputer during that time, and lgn t d his business. After lunch, User X returns and can lgin and cntinue his wrk. Faster user switching allws this t happen. Withut fast user switching, User X wuld have been lgged ff autmatically when User Y lgged n. Any unsaved wrk wuld have been lst. In envirnments where multiple users share the same cmputer, fast user switching is a very imprtant feature. It ensures that a secnd user can lg n t a lcked cmputer withut lgging ff the first user and lsing their wrk. This is cmmnly desired in lab envirnments and fr receptin cmputers.

33 Windws XP included fast user switching, but nly fr standalne cmputers and wrkgrup members. Windws XP culd nt perfrm fast user switching when cnfigured as a dmain client. Windws Vista and Windws 7 can perfrm fast user switching fr standalne cmputers, wrkgrup members, and dmain clients. 4) Autmatic lgn In sme envirnments it is desirable fr the cmputer t autmatically lgn as a specific user each time it is started. This is apprpriate fr libraries and ther public lcatins where users are nt assigned their wn lgn credentials. The term kisk is smetimes used t refer t an envirnment where autmatic lgn is desired. Autmatic lgn is cnfigured n the Users tab f the User Accunts. When yu deselect the Users must enter a user name and passwrd t use this cmputer check bx and click OK, yu are prmpted fr the credentials t be used fr the autmatic lgn. Frm this pint frward, Windws 7 autmatically lgs n using the credentials yu specified. If a cmputer has nly ne user accunt (aside frm built-in accunts, such as Administratr and Guest), and if that user accunt desn't have a passwrd, Windws autmatically lgs n that user during startup. Any welcme screen r any ther lgn screens wn t be seen. Windws launches straight t the desktp. The cmputer might need t be set up t lg n autmatically even if it has mre than ne user accunt and even if the preferred user accunt is passwrd-prtected. This kind f lgn can be cnvenient in several situatins: if yu're the primary user f the cmputer but ther peple ccasinally need t use it; if yu ccasinally need t lg n as a different user t install sftware r perfrm ther tasks; r if yu have set up a passwrd fr yur accunt (s that yu can use scheduled tasks r cnnect remtely, peratins that are available nly t accunts with passwrds), but yu still want it t lg yu n autmatically at startup. Lg ff methds When a user finishes using the cmputer, he wants t be sure that it wn t be left it in a cnditin in which thers can use its credentials t access its files. T d that, he can lg ff, switch users, r lck the cmputer: 1) Lg Off With this ptin, all the prgrams are clsed and dial-up cnnectins are ended. T lg ff, the user must click n the arrw in the lwer right crner f the Start menu and click Lg Off. 2) Switch User With this ptin (smetimes called Fast User Switching), the prgrams cntinue t run. The accunt is still lgged n, but (if it's prtected by a passwrd) nly the same user can return t the sessin. T switch users, the user must click n the arrw in the lwer right

34 crner f the Start menu and click Switch User. This wuld take him t the welcme screen, where there can be clicked n the name f the accunt that is wanted t switch t. 3) Lck With this ptin, the prgrams cntinue t run, but the lgn screen appears s that n ne can see the desktp r use the cmputer. Only the same user can unlck the cmputer t return t the sessin. Hwever, ther users can lg n in their wn sessins withut disturbing the previus ne. T lck a cmputer, the user must click n the arrw in the lwer right crner f the Start menu and click Lck.

35 Dminis en Windws Qué es un dmini? Un dmini de sistemas permite tener centralizada la infrmación administrativa (cuentas de usuaris, impresras, directris, etc.) y de seguridad de una red, en un varis servidres, facilitand su gestión. Cada dmini tiene un nmbre únic. Un directri es una estructura jerárquica que guarda infrmación sbre bjets en la red, implementada cm una gran base de dats. Windws Server utiliza el cncept de directri para implementar un dmini de sistemas. El Directri Activ es el servici de directri de una red de Windws 2000/2003/2008 Server. Ls Directris Activs sn ampliamente utilizads en el entrn empresarial debid a las grandes facilidades que ests aprtan a la hra de administrar un númer significativ de máquinas Windws. Qué ventajas tiene? Qué ns aprta? Prprcina una administración centralizada, tant de ls equips cm de ls usuaris, facilitand así la labr del administradr. Psibilidad de crear grups de usuaris y máquinas, así cm asignar permiss diferenciads para las distintas unidades rganizativas dentr de la red. Dispne de múltiples rles de usuari pr defect, que ns facilitan el cntrl de acces a nuestra red. Ns permite llevar a cab td tip de accines sbre ls equips cliente, así cm la instalación remta de sftware, mediante el us de plíticas de grup GPO (Grup Plicy Object). Tenems la psibilidad de centralizar la distribución de actualizacines de ls equips cliente, mediante un servidr WSUS (Windws Server Update Services). Ns da facilidades para crear cntrladres de dmini secundaris y así mantener el Uptime en cas de fall del servidr principal. Cuáles sn sus incnvenientes? En principi, est sl es aplicable a sistemas Windws, aunque cn matices (clientes Linux cn likewise-pen y cntrladres de dmini cn samba4) Estructura y funcinamient de un dmini Directri Activ (DA) El Directri Activ es el términ que usa Micrsft para referirse a su implementación de servici de directri en una red distribuida de cmputadres; utiliza distints prtcls (principalmente LDAP, DNS,DHCP, Kerbers...). Un Servici de Directri es un depósit estructurad de la infrmación de ls

36 diverss bjets que cntiene el Directri Activ, en este cas pdrían ser impresras, usuaris, equips, Debaj del Directri Activ se encuentra realmente un esquema LDAP versión 3, l cual permite integrar trs sistemas que sprten el prtcl. En este LDAP se almacena infrmación de usuaris, recurss de la red, plíticas de seguridad, cnfiguración, asignación de permiss, etc. Gracias a esta estructura de árbl LDAP mantiene una interperabilidad cn trs servicis de Micrsft cm sn: Micrsft Exchange, Micrsft Dynamics NAV, Windws Server Update Services (WSUS), SQL Server, etc ; y cn trs servicis de tercers cm sn (Ownclud, Alfresc, Asterisk, etc). El Directri Activ es un servici de red que guarda en una base de dats tda la infrmación sbre ls recurss de la red y permite el acces de ls usuaris a dichs recurss y a determinadas aplicacines. De esta frma se cnvierte en un mdel para rganizar, cntrlar y administrar de frma centralizada el acces a ls recurss de la red. Una de las ventajas fundamentales del DA es separar la estructura lógica de una rganización (dminis) de la estructura física (tplgía de red); est permite a ls administradres crear plíticas a nivel de empresa, aplicar actualizacines a una rganización cmpleta desplegar prgramas en múltiples rdenadres. En general, el Directri Activ almacena infrmación de una rganización en una base de dats central. La estructura de un DA se basa en ls siguientes cncepts: Dmini: Estructura fundamental. Permite agrupar tds ls bjets que se administran de frma estructural y jerárquica. Unidad rganizativa (OU): Es la unidad jerárquica inferir al dmini y que puede estar cmpuesta pr una serie de bjets y/ pr tras unidades rganizativas. Las unidades rganizativas sn cntenedres del Directri Activ. Grups: Cnjunt de bjets del mism tip que se utilizan fundamentalmente para la asignación de derechs de acces a ls recurss. Objets: Frman una representación de un recurs de red, cm pueden ser usuaris, impresras, rdenadres, unidades de almacenamient, etc. Al instalar el Directri Activ en un equip Windws Server de nuestra red, se cnvierte en servidr del dmini, cntrladr de dmini; y el rest de ls equips de la red actuarán cm clientes del servici de directri, y recibirán tda la infrmación almacenada en ls cntrladres de dmini. Ls dminis de Windws Server utilizan ls nmbres DNS para identificar a ls equips en la red; cada dmini de Windws Server queda identificad unívcamente mediante un nmbre DNS, pr ejempl prueba.cm. El nmbre DNS siempre estará representad pr un sufij (cm, es, rg, etc.) y el nmbre prpi del dmini. Cada equip basad en Windws Server que frme parte de un dmini tiene un nmbre DNS cuy sufij es precisamente es el nmbre DNS de dich dmini. Ejempl:

37 Cntrladr de dmini El centr neurálgic de un dmini Windws, es el Cntrladr de dmini, Dmain Cntrller. Ls cntrladres de dmini tienen una serie de respnsabilidades. Una de ellas es la autentificación. La autentificación es el prces de garantizar denegar a un usuari el acces a recurss cmpartids a tra máquina de la red, nrmalmente a través del us de una cntraseña. Cada cntrladr de dmini usa un Security Accunt Manager (SAM), NTDS en Windws 2003 Server (que es la frma prmvida de la SAM, al pasar cm Cntrladr de Dmini), para mantener una lista de pares de nmbre de usuari y cntraseña. El cntrladr de dmini entnces crea un repsitri centralizad de passwrds, que están enlazads a ls nmbres de usuaris (un passwrd pr usuari), l cual es más eficiente que mantener en cada máquina cliente centenares de passwrds para cada recurs de red dispnible. En un dmini Windws, cuand un cliente n autrizad slicita un acces a ls recurss cmpartids de un servidr, el servidr actúa y pregunta al cntrladr de dmini si ese usuari está autentificad. Si l está, el servidr establecerá una cnexión de sesión cn ls derechs de acces crrespndientes para ese servici y usuari. Si n l está, la cnexión es denegada. Una vez que un usuari es autenticad pr el cntrladr de dmini, una ficha especial ( tken) de autentificación será retrnada al cliente, de manera que el usuari n necesitará vlver a "lguearse" para acceder a trs recurss en dich dmini, ya que el usuari se cnsidera "lguead" en el dmini. Clientes del dmini El rest de ls equips de la red que n sean servidres pueden actuar cm clientes del dmini. Inclus pueden actuar cm clientes ls servidres que n se hayan

38 cnvertid en cntrladres de dmini. Ls clientes del dmini tienen acces a la infrmación almacenada en ls cntrladres de dmini (cuentas de usuari, grup, equip, etc.). Ls clientes en un dmini sn usuaris glbales y n lcales, de frma que si un cliente es usuari lcal y quiere trabajar en varis equips, necesita dispner de una cuenta lcal de usuari dada de alta en cada un de ells; per al tratarse de un usuari glbal puede iniciar sesión en cualquier equip del dmini, siempre y cuand n existan plíticas de grup que se l impidan. Directivas de Grup (GPOs) La directiva de grup es una infraestructura que le permite implementar cnfiguracines específicas para ls usuaris y equips. Las cnfiguracines de la directiva de grup se encuentran en ls bjets de directiva de grup (GPO), que se vinculan cn ls siguientes cntenedres de servici de directri del Directri Activ (DA): sitis, dminis unidades rganizativas. Lueg, ls destins afectads evalúan las cnfiguracines dentr de las GPOs mediante la naturaleza jerárquica del Directri Activ (DA). Pr l tant, la directiva de grup es una de las principales raznes para implementar Directri Activ (DA), ya que le permite administrar bjets de usuaris y equips. Las GPO s pueden estar cntenidas en cuatr tips de bjets: Equips Lcales: sn aplicadas únicamente en el equip que las tiene asignadas, independientemente del dmini al que pertenezcan; sn mdificadas cn gpedit.msc. Estas sn las únicas plíticas que se aplican a ls equips que n están en un dmini, cm servidres independientes (stand alne) clientes en red igual a igual (peer tpeer). Sitis de Directri Activ: se aplican para tds ls equips y/ usuaris de un siti, independientemente del dmini al que pertenezcan. Dminis de Directri Activ: se aplican a tds ls equips y/ usuaris de un dmini. Unidades Organizativas de Directri Activ: se aplican únicamente a ls equips y/ usuaris que pertenezcan a la prpia unidad rganizativa (OU). Windws Server Especificacines de Dmini en Windws Server Necesitams saber: 1) Si instalarems el Directri Activ en un únic servidr cntrladr de dmini de la red. 2) Si habrá más servidres cntrladres de dmini de la red además del nuestr dnde tengams instalad el directri activ. 3) El nmbre del rdenadr dnde se instalará el Directri Activ.

39 Si sól necesitams 1 dmini. Un servidr cntrla td el sistema, teniend n dminis, subdminis. Si necesitams más de un dmini. Sn necesaris 2 cntrladres principales de dmini cn sus crrespndientes subdminis, de esta manera tendríams ds dminis independientes, cada un cn su estructura jerárquica. La estructura jerárquica de dminis se crea de arriba hacia abaj: Primer se crea el dmini raíz del árbl y después el rest de subdminis. Cuand instalams el primer cntrladr de dmini en la rganización, se crea el dmini raíz del bsque, que cntiene la cnfiguración y el esquema del bsque. Más adelante, se pueden agregar dminis cm subdminis de dicha raíz (árbl de dminis) bien crear trs dminis «hermans» de la raíz (bsque de dminis), debaj de ls cuales pdems crear subdminis, y así sucesivamente. Requisits para crear un Dmini en Windws Server - Tener instalad Windws Server. - Tener cnfigurad manualmente un prtcl de red TCP/IP. - Tener un servidr de nmbres DNS instalad y cnfigurad en la red. - Dispner de más de 250 MB de espaci libre en disc y pr l mens una partición debe estar frmateada en NTFS (n necesariamente dnde está instalad el S.O.). Tras el prces de instalación pdrems hacer que el equip se cnvierta en un cntrladr de dmini, para ejecutar ls servicis del Directri Activ. Intrduciend Linux en un dmini Windws Otra pción que tenems para gestinar dminis en Windws es utilizar Linux cm un cntrladr de dmini cm un cliente. Linux cm cntrladr de dmini En Linux, a diferencia de Windws Server, n existe una aplicación específica cm dcprm que ns permita realizar la prmción del servidr independiente a cntrladr de dmini; en Linux la cnfiguración de un equip cm cntrladr de dmini se puede hacer mediante Samba, mdificand el ficher smb.cnf. Linux cm cliente en el dmini Para autenticar Linux cntra un Cntrladr de Dmini se puede utilizar likewisepen que n sól permite esta autenticación, sin que también permite a ls equips cn Unix Macintsh acceder a cualquier servici basad en Kerbers. Para hacer est tendríams que instalar likewise-pen en la máquina Linux, que ns instala ls paquetes winbind/likewise-pen que sn ls que permiten la autenticación en el Cntrladr de Dmini vía Kerbers. Después se reinicia el equip y se prueba sesión cn DOMINIO\Usuari.

40 Credenciales UNA ACLARACIÓN PREVIA: Pr un lad está el administradr de credenciales de Windws el cual maneja y da sprte al recrdatri de cuentas del sistema, usuaris, cntraseñas, etc mediante el servici VaultSvc que se ejecuta llamad pr tr subprces, y que tiene su ruta en la carpeta Vault, y también su espaci en el regist de Windws, cm cmentarems psterirmente, Y pr tr lad tenems ls administradres de credenciales de las aplicacines Que tienen sus espacis prpis en el registr de windws, sus carpetas de almacenamient y sus mds de almacenamient. N se pueden cnfundir un y el tr, prque aunque hacen csas similares prácticamente iguales, l hacen separadamente. Qué es el administradr de credenciales? El administradr de credenciales permite almacenar credenciales, cm nmbres de usuaris y cntraseñas que usa para iniciar sesión en sitis web en trs equips de una red. Mediante el almacenamient de credenciales, Windws le permite iniciar sesión autmáticamente en sitis web en trs equips. Las credenciales se guardan en carpetas especiales del equip llamadas almacenes. Windws y determinads prgramas (cm ls explradres web) pueden prprcinar cn seguridad las credenciales de ls almacenes a trs equips y sitis web. El administradr de credenciales de Windws En el administradr de credenciales de Windws Cada usuari cread en una cuenta Windws que utilice el administradr de credenciales tendrá su almacén de dats en la carpeta Vault, cifrada y en la ruta: C:\Users\tu_usuari\AppData\Raming\Micrsft\Vault DESCRIPCIÓN DEL SERVICIO: Este servici n existe en versines anterires de Windws 7 y es el que da sprte a la nueva característica denminada Administradr de Credenciales que pdéis encntrar en el panel de cntrl > cuentas de usuari.

41 Si iniciáis el administradr de credenciales del Panel de cntrl encntrareis una breve reseña de para que se utiliza. Si deshabilitáis el servici, bviamente, el administradr de credenciales del panel de cntrl dejará de funcinar. Ruta del ejecutable: C:\Windws\system32\lsass.exe Nmbre en Inglés: Credential Manager Nmbre de Windws: VaultSvc Archivs asciads: VaultSvc.dll Establece una cnexión escucha tras algún puert? N Tip de Inici: Manual en Windws 7 en tdas sus versines Inicia en alguna cuenta?: Se ejecuta en la Cuenta del Sistema Lcal Depende de: Llamada a prcedimient remt Servicis que dependen : Servici Bimétric de Windws Ubicación en el registr: HKEY_LOCAL_MACHINE\SYSTEM\CurrentCntrlSet\services\VaultSvc

42 Nta: Imágenes de S.O Windws 8.1 Cóm se cntrla y accede al administradr de credenciales de windws? Hasta el Windws XP y el Server 2003 La caché de credenciales estaba bastante culta en Windws. Esta caché incluye credenciales de dmini y credenciales de acces a recurss cmpartids. Las cntraseñas se empiezan a almacenar cuand seleccinams el tick de guardar cntraseña. Para a psteriri brrarlas n hay un métd gráfic direct en la interfaz de Windws XP. Se debe hacer a través de un frmulari cult llamad Passwrd Manager.

43 Para invcar la ventana de Passwrd Manager desde la que se pueden brrar basta cn intrducir en un cmmand prmpt en la venta de ejecutar el cmand: Rundll32.exe keymgr.dll, KRShwKeyMgr Este frmulari muestra las entradas de recurss cn cntraseñas guardadas y permite para cada cnexión establecer credenciales pr usuari pudiend eliminar ls bslets, ls que ns den prblemas y ls n necesaris a nuestr antj. También se almacenan aquí las credenciales de cuenta de ls servicis.net Passprt de Micrsft que hayams usad en la máquina habiend elegid Guardar Cntraseña. En las siguientes versines de Windws Para agregar una cntraseña a su almacén de Windws se sigue el siguiente prcedimient: 1. Para abrir Cuentas de usuari, haga clic en el btón Inici, en Panel de cntrl, en Cuentas de usuari y prtección infantil ( haga clic en Cuentas de usuari si está cnectad a un dmini de red) y, a cntinuación, haga clic en Cuentas de usuari. 2. En el panel izquierd, haga clic en Administrar credenciales. 3. Haga clic en Agregar una credencial de Windws.

44 4. En el cuadr Dirección de red Internet, escriba el nmbre del equip de la red al que desea btener acces. Puede ser el nmbre NetBIOS (ejempl: servidr1) el nmbre DNS (ejempl: servidr1.fabrikam.cm). 5. En ls cuadrs Nmbre de usuari y Cntraseña, escriba el nmbre de usuari y la cntraseña que se usan para ese equip siti web y haga clic en Aceptar. NOTA: También cuand ns cnectams pr medi de escritri remt pdems guardar las credenciales (nmbre de inici de sesión y cntraseña), estas credenciales se guardan en el mism siti que las prpias del usuari en el equip y pdems acceder a ellas, mdificarlas, eliminarlas agregar más. Seguridad de las credenciales en ls principales navegadres. - Ggle Chrme El almacenamient de cntraseñas generó bastante revuel hace uns añs. Se habló de una grave vulnerabilidad que permitía ver las cntraseñas fácilmente y, realmente, n era alg nuev (simplemente, Ggle Chrme funcinaba así y muchs usuaris n l sabían). Para acceder a las cntraseñas almacenadas en Ggle Chrme, slamente tenems que escribir en la barra de direccines:

45 chrme://settings/passwrds O bien lcalizar la pción del menú de pcines de cnfiguración llamada Administrar cntraseñas guardadas. Si entrams ahí, verems el listad de páginas web cn sus respectivs nmbres de usuari y cntraseñas fuscadas que hems id almacenand en el navegadr. A priri, Ggle Chrme n ns muestra las cntraseñas, per si hacems clic sbre alguna de las cntraseñas fuscadas verems que aparece un btón para mstrar la cntraseña. Si pulsams sbre dich btón, Ggle Chrme ns lanzará un mensaje para que escribams la cntraseña de nuestr usuari en el sistema (la que usams para acceder a nuestr PC, pr ejempl, en Windws). Esta petición de cntraseña, realmente, es alg reciente; viene derivada del revuel que se generó cuand se habló de l fácil que era acceder a las cntraseñas almacenadas en Chrme. Tampc es que esta petición de cntraseña sea la mejr de las medidas de seguridad, per puede evitar filtracines de cntraseña si alguien tma nuestr equip en algún descuid nuestr. De tdas frmas, si alguien tiene acces físic a nuestr PC (en el cas que ns l sustraigan, pr pner un ejempl) 'reventar' la cntraseña del PC pasa pr usar recurss cm Hiren s Bt y cambiar la cntraseña del PC.

46 - Firefx En Firefx las cntraseñas almacenadas se lcalizan dentr del menú de Seguridad, dentr de las Opcines de cnfiguración del navegadr. Dentr de dicha sección lcalizarems una pción denminada Cntraseñas guardadas y, si pulsams sbre la misma verems también un listad cn el trí servici-usuari-cntraseña. Una de las ventajas que presenta Firefx cn respect a la seguridad de las cntraseñas almacenadas es la psibilidad de definir una cntraseña maestra cn la que cifrar tda la infrmación almacenada y evitar que ésta esté accesible a alguien que se haga cn el cntrl de nuestr equip y tenga acces físic al mism. Pr tant, cifrar la infrmación mediante cntraseña maestra es una buena frma de tener cmdidad (cntraseñas almacenadas) y seguridad (cifrad de infrmación). - Internet Explrer, mejr y per En el cas de usar Internet Explrer, el escenari cambia bastante tant para l buen cm para l mal. En el cas de utilizar Windws 7 ( Windws Vista, inclus, seguir usand Windws XP a pesar de finalizar el sprte de este sistema perativ), también dependerems de cóm de bien custdiems nuestr PC. Al fin y al cab, si alguien tiene acces físic a nuestr rdenadr, nuestrs dats pueden ser vulnerables si la infrmación n está cifrada. Pr ejempl, aplicacines cm IE PassView ns l demuestran fácilmente. Se trata de una aplicación que es capaz de listar tdas las cntraseñas almacenadas en Internet Explrer (slamente se requiere acces al PC e instalarla y, cm ya hems cmentad, saltarse la cntraseña del PC es psible cn alguna que tra utilidad que circula pr la Red).

47 En Windws 8 el administradr de credenciales de Windws diferencia entre el navegadr y credenciales del sistema. - La cntraseña maestra de Firefx La cntraseña maestra de Firefx es muy buena pción prque genera un archiv de cntraseñas cifrad que slamente se puede usar si se cnce la cntraseña de seguridad. Otra herramienta muy útil (que además frece extensines para Ggle Chrme y también para Firefx) es KeePass, un gestr de cntraseñas muy interesante que trabaja también cn fichers cifrads (usand un cifrad muy rbust basad en cifrad AES cn un hash SHA-256) y que ns permite gestinar tdas nuestras cntraseñas de manera sencilla y, pr supuest, segura. Si cnfías en la nube y, además, quieres sincrnizar la infrmación de cntraseñas cn varis navegadres y varis dispsitivs, LastPass es un nmbre a tener presente. Cn este servici pdrems mantener nuestras cntraseñas almacenadas de manera segura y, además, sincrnizadas cn múltiples navegadres y dispsitivs. Cncretamente, el servici sprta Firefx, Ggle Chrme, Internet Explrer, Opera y Safari en el entrn de escritri y también está dispnible en ios, Windws Phne y Andrid.

48 La mejr manera de almacenar una cntraseña es recrdándla nstrs misms, sin tener que apuntarla en un papel almacenarla en el navegadr. Si n cnfiams en nuestra memria, al mens, busquems una vía segura para almacenar esta infrmación sensible y, sbre td, spesems cóm almacenan ls navegadres la infrmación. Se pdrían intercambiar fichers de credenciales entre usuaris? Pr desgracia, a veces se prducen errres que impiden el acces al Administradr de credenciales. Al intentar abrir la ventana del Administradr de Credenciales, alguns usuaris pueden encntrar ls mensajes de errr que indica que Windws n puede acceder al Administradr de Credenciales. Siempre que Windws n pueda acceder al Administradr de Credenciales, nuevas credenciales n se pueden guardar en el sistema. El errr puede ser debid a ls permiss de archivs mal establecids que n recncen al usuari cm titular de las credenciales ls archivs dañads del sistema que sn necesaris para acceder al Administradr de Credenciales y de Windws Vault. Para crregir ls prblemas de prpiedad El usuari debe activar la pción de archivs avanzad que hace visibles ls archivs cults y lueg vaya a la carpeta: AppData\Lcal\Micrsft\Credenciales baj su nmbre de usuari en la sección Usuaris de su rdenadr. Una vez allí, el usuari debe cmprbar la prpiedad de ls archivs en el directri mirand las pcines de seguridad avanzadas en la ventana de prpiedades de ls

49 archivs. Si el usuari n está en la lista cm el prpietari de ls archivs en la pestaña prpietari se puede mdificar la prpiedad de cada archiv para que Windws l recnzca cm el dueñ. Sabiend que a un archiv se le puede cambiar el prpietari y dnde está el almacen de credenciales Se s curre alguna maldad? Cpiar las credenciales de tr usuari a nuestr almacén de dats, cambiarle el prpietari y pdrems disfrutar de sus cntraseñas almacenadas. Pues n! Muchas aplicacines almacenan las cntraseñas en una frma que les impide pasar a tr equip e inclus a tr perfil de usuari. Las rutas y trs dats ls verems a cntinuación. Dónde se almacenan las credenciales de las aplicacines? Verems ahra mediante entradas en el registr dnde guardan algunas aplicacines sus almacenes de dats - Internet Explrer Las cntraseñas se almacenan en un lugar secret en el Registr cncid cm "Prtected Strage". En el registr de sistema la zna "Prtected Strage" se encuentra baj la siguiente clave: "HKEY_CURRENT_USER \ Sftware \ Micrsft \ Prtected Strage System Prvider". Puedes usar el Editr del Registr (Regedit), per n serás capaz de ver las cntraseñas, prque están cdificads. Además, esta clave n puede mverse fácilmente de un rdenadr a tr, al igual que l hace cn regular claves del Registr. - Internet Explrer Las nuevas versines de Internet Explrer almacenan las cntraseñas en 2 lugares diferentes. Las cntraseñas que se usan para Autcmpletar están almacenadas en el Registr baj: HKEY_CURRENT_USER \ Sftware \ Micrsft \ Internet Explrer \ IntelliFrms \ Strage2. Las cntraseñas de autenticación HTTP se almacenan en el archiv de Verificación, en: Dcuments and Settings \ Applicatin Data \ Micrsft \ Credentials. junt cn las cntraseñas de acces de LAN y trs equips las cntraseñas. * IE PassView se puede utilizar para recuperar las cntraseñas.

50 - Firefx Las cntraseñas se almacenan en un de ls siguientes archivs: signns.txt, signns2.txt, y signns3.txt (depende de la versión Firefx) Ests archivs se encuentran en el interir de la carpeta de perfil de Firefx, en el [Perfil de Windws] \ Dats de prgrama \ Mzilla \ Firefx \ Prfiles \ [Nmbre de perfil] Además, key3.db, ubicad en la misma carpeta, se utiliza para el cifrad / descripción de las cntraseñas. De tdas frmas tecleand esta dirección (chrme://passwrdmgr/cntent/passwrdmanager.xul) en el navegadr se revelarán las cntraseñas almacenadas. - Ggle Chrme Las cntraseñas se almacenan en: [Perfil de Windws] \ Lcal Settings \ Applicatin Data \ Ggle \ Chrme\ Dats de Usuari \ Default \ web data (Este nmbre de archiv es la base de dats SQLite, que cntiene las cntraseñas encriptadas y tras csas) - Opera Las cntraseñas se almacenan en wand.dat nmbre de archiv, se encuentra en: [Perfil de Windws] \ Dats de prgrama \ Opera \ Opera \ perfil - Outlk Express,Outlk 98/2000 (tdas las versines): Las cntraseñas POP3/SMTP/IMAP también se almacenan en el Prtected Strage, cm las cntraseñas de versines antiguas de Internet Explrer. Existen empresas especializadas cm Mail PassView y Prtected Strage PassViewque pueden recuperar estas cntraseñas pr ti. - Outlk Tdas las nuevas versines de Outlk almacenan las cntraseñas en la misma clave del Registr :

51 HKEY_CURRENT_USER \ Micrsft \ Windws NT \ CurrentVersin \ Windws Messaging Subsystem \ Prfiles \ [Nmbre de perfil] \ 9375CFF d3B88A00104B2A6676 \ [Índice de cuenta] Si utilizas Outlk para cnectarte a una cuenta en el servidr de Exchange, la cntraseña se almacena en el archiv de credenciales, junt cn las cntraseñas de acces LAN de cmputadras. - Windws Live Mail Tds ls ajustes de la cuenta, incluid el cifrad de cntraseñas, sn almacenads en: [Perfil de Windws] \ Lcal Settings \ Applicatin Data \ Micrsft \ Windws Live Mail \ [Nmbre de cuenta] La cuenta es un archiv xml cn extensión *. Oeaccunt. - Thunderbird El archiv de cntraseñas se encuentra en: [Perfil de Windws] \ Dats de prgrama \ Thunderbird \ Prfiles \ [Nmbre de perfil] Debes buscar un nmbre de archiv cn extensión *. S. - Ggle Talk Tds ls ajustes de la cuenta, incluid el cifrad de cntraseñas, sn almacenads en el Registr baj: HKEY_CURRENT_USER \ Sftware \ Ggle \ Ggle Talk \ Cuentas \ [Nmbre de cuenta]. - Ggle Desktp Las cntraseñas de sn almacenadas en el Registr baj HKEY_CURRENT_USER \ Sftware \ Ggle \ Ggle Desktp \ MailBxes\ [Nmbre de cuenta]. - MSN / Windws Messenger versión 6.x e inferires Las cntraseñas se almacenan en una de las siguientes ubicacines: 1. Clave del Registr: HKEY_CURRENT_USER \ Sftware \ Micrsft \ MSNMessenger

52 2. Clave del Registr: HKEY_CURRENT_USER \ Sftware \ Micrsft \ MessengerService 3. En el archiv de credenciales, en la entrada "Passprt.Net\\*". (Sól cuand el sistema perativ es XP más) - MSN Messenger versión 7.x Las cntraseñas se almacenan en: HKEY_CURRENT_USER \ Sftware \ Micrsft \ IdentityCRL \ Creds \ [Nmbre de cuenta]. - Windws Live Messenger versión 8.x/9.x Las cntraseñas se almacenan en el archiv de credenciales, cn la entrada que cmienza cn "WindwsLive: nmbre =". - Yah Messenger 6.x La cntraseña se almacena en el Registr, baj: HKEY_CURRENT_USER \ Sftware \ Yah \ Messenger (en la cadena de valr "EOptins " ) - Yah Messenger 7.5 psterir La cntraseña se almacena en el Registr, baj: HKEY_CURRENT_USER \ Sftware \ Yah \ Pager - "ETS". El valr almacenad en "ETS" n puede ser recuperad a la cntraseña riginal, así que cuidad. - AIM Pr Las cntraseñas se almacenan en el Registr, baj: HKEY_CURRENT_USER \ Sftware \ AIM \ AIMPRO \ [Nmbre de cuenta] - AIM 6.x Las cntraseñas se almacenan en el Registr, baj:

53 HKEY_CURRENT_USER \ Sftware \ America Online \ AIM6 \ Cntraseñas - ICQ Lite 4.x/5.x/2003 Las cntraseñas se almacenan en el Registr, baj: HKEY_CURRENT_USER \ Sftware \ Mirabilis \ ICQ \ NewOwners \ [Númer de ICQ] (valr "MainLcatin"). - ICQ 6.x El hash de la cntraseña es almacenada en: [Perfil de Windws] \ Dats de prgrama \ ICQ \ [nmbre de usuari] \ Owner.mdb (Base de dats Access ) Habilitar deshabilitar el us cmpartid de credenciales para las cnexines a través de la puerta de enlace de escritri remt Este tema se aplica a Windws Server 2008 R2 Nta: El us cmpartid de credenciales está dispnible cn el cliente de la versión 6.1 de Cnexión a Escritri remt 6.1 Para que ls usuaris se cnecte a ls recurss de una red interna (equips) a través de una puerta de enlace de escritri remt, se necesitan ds niveles de autenticación. El primer nivel de autenticación debe prducirse de manera crrecta para que ls usuaris se cnecten al servidr de puerta de enlace del escritri remt. El segund nivel de autenticación debe prducirse de manera crrecta para que ls usuaris se cnecten a ls equips remts (equips de la red interna). Para cada nivel de autenticación, a ls usuaris se les piden credenciales, a mens que una más de las siguientes credenciales estén dispnibles para ls usuaris mediante credenciales cn inici de sesión lcal, credenciales guardadas y credenciales cmpartidas. Cuand el us cmpartid de credenciales está habilitad, ls usuaris pueden especificar el mism cnjunt de credenciales para autenticar el servidr de puerta de enlace de escritri remt y el equip remt. En este cas, al usuari se le pide prprcinar credenciales sól una vez. De manera predeterminada, el us cmpartid de credenciales está habilitad per puede deshabilitarse si las directivas de seguridad de la rganización así l requieren.

54 El servici cmpartid de credenciales puede deshabilitarse de cualquiera de las siguientes ds maneras: 1º Editand un ficher de cnfiguración a man: Mediante la edición de la cnfiguración de cnexión en el cliente de Servicis de Escritri remt (Cnexión a Escritri remt). En el cliente, la cnfiguración del us cmpartid de credenciales se cnfigura activand desactivand la casilla Usar mis credenciales de Puerta de enlace de Escritri remt para el equip remt. Editand la cnfiguración del archiv RDP. En el archiv RDP, la cnfiguración del us cmpartid de credenciales se cnfigura agregand mdificand la línea PrmptCredentialOnce:i, cm se describe psterirmente en este tema. Si el us cmpartid de credenciales está habilitad, cuand ls usuaris traten de cnectarse a un equip a través de Puerta de enlace de Escritri remt, aparecerá un cuadr de diálg Seguridad de Windws que le slicitará a ls usuaris las credenciales una vez y les infrmará de que las credenciales que prprcinan se usarán para cnectarse al servidr de Puerta de enlace de Escritri remt y al equip remt (el equip de red interna). Ls nmbres de ls ds equips se antan en el cuadr de diálg Seguridad de Windws. El cuadr de diálg Seguridad de Windws también incluye la casilla Recrdar mis credenciales. Si ls usuaris activan esta casilla después de que suministren sus credenciales, éstas se guardarán para el servidr de Puerta de enlace de Escritri remt y el equip remt. Las mismas credenciales se usarán en cnexines psterires al mism servidr de Puerta de enlace de Escritri remt y equip remt. Para editar un archiv RDP para habilitar deshabilitar el us cmpartid de credenciales 1. Abra el archiv RDP que desea editar cn un editr de text, cm el Blc de ntas. 2. Realice una de estas accines: Para deshabilitar el us cmpartid de credenciales, agregue la línea siguiente ( asegúrese de que cualquier línea PrmptCredentialOnce:i existente aparece de la siguiente manera): PrmptCredentialOnce:i:0 Para vlver a habilitar el us cmpartid de credenciales, edite la línea PrmptCredentialOnce:i de manera que aparezca de la siguiente manera:prmptcredentialonce:i:1 3. Guarde el archiv y ciérrel. 2º Mediante el gestr: 1. Abra el cliente de Cnexión a Escritri remt. Para abrir el cliente de Cnexión a escritri remt, haga clic en Inici, apunte a Tds ls prgramas, apunte aaccesris y, a cntinuación, haga clic en Cnexión a Escritri remt. 2. En el cuadr de diálg Cnexión a Escritri remt, haga clic en Opcines para expandir el cuadr de diálg y ver la cnfiguración.

55 3. En la ficha Opcines avanzadas, en el área Cnectarse desde cualquier parte, haga clic en Cnfiguración. 4. En el cuadr de diálg Cnfiguración del servidr de puerta de enlace de Escritri remt, en el área Cnfiguración de inici de sesión, active la casilla Usar mis credenciales de Puerta de enlace de Escritri remt para el equip remt. 5. Cmpruebe y cnfigure la cnfiguración de cnexión del cliente para Puerta de enlace de Escritri remt según sea necesari y, a cntinuación, haga clic en Aceptar para cerrar el cuadr de diálg 6. Efectúe un de ls siguientes pass: Para guardar la cnfiguración y cerrar el cuadr de diálg Cnexión a Escritri remt, en la ficha General, haga clic en Guardar y, a cntinuación, en Cancelar. La cnfiguración se guardará cm archiv RDP en una ubicación predeterminada (de manera predeterminada, el archiv se guarda en Unidad:\<Username>\Dcuments). Para guardar el archiv RDP en una ubicación especificada (puede persnalizar y distribuir el archiv psterirmente a varis clientes según sea necesari), haga clic en Guardar cm. En el cuadr de diálg Guardar cm, en el cuadr Nmbre de archiv, especifique el nmbre de archiv y la ubicación y, a cntinuación, haga clic en Guardar. 7. Para cntinuar cn una cnexión a un recurs de red interna, en la ficha General, cnfigure ls valres en Cnfiguración del inici de sesión según sea necesari, haga clic en Guardar, en Cnectar y, a cntinuación, escriba las credenciales cuand se le slicite. Deshabilitar el servici de credenciales de Windws. Deshabilitar el servici n afecta para nada a la autentificación de ls usuaris al iniciar sesión ni a ninguna de las funcines nrmales de lgin, Slamente si iniciáis sesión en el equip mediante huella dactilar tendréis prblemas. Est es así prque el administradr de dispsitivs bimétrics preinstalad cn el Windws guarda la infrmación registrada mediante el administradr de credenciales, si desactivas el prces (VaultSvc) n puede cntrastar la base de dats y n lguea, prduce un errr. Recmendacines cn el administradr de credenciales. El usuari, pr naturaleza, tiende a buscar aplicacines y servicis que le hagan la vida más cómda. Ns gusta acceder a nuestr crre a nuestrs perfiles sciales cn apenas un clic de ratón y, a ser psible, sin demasiadas trabas barreras. Cn la idea de simplificar el prces de lgin en más de un servici, ls navegadres ns frecen la psibilidad de almacenar nuestras cntraseñas para que, cada vez que visitems ests servicis a ls que accedems de manera habitual, se evite tener que escribir nuestr usuari y cntraseña y sea el navegadr el que realice dich trabaj pr nstrs.

56 Es ciert que es alg muy cómd, sin embarg, si ns parece una barbaridad apuntar las cntraseñas en una libreta en un Pst-it, almacenar las cntraseñas en el navegadr n es igual que apuntarlas en un papel? Quizás esta cmparativa pueda parecer exagerada per realmente cuant más cómd es el prces para el usuari, mayres sn ls riesgs para la seguridad de la infrmación.

57 Acces Remt Primer ns centrarems en las ideas básicas de que es un escritri remt y darems ideas generales sbre ls principales prtcls y aplicacines. Lueg ns centrarems en RDP, prtcl prpietari de Windws y analizarems sus diferentes versines, características, seguridad y vulnerabilidades. Qué es escritri remt? La primera idea que se viene a la cabeza cn tecnlgía de escritri remt es que desde un pc puedas visualizar y manejar el cntenid de tr que n se encuentra en el mism lugar físicamente, pr l mens n estés trabajand directamente sbre él, sin a través de un tercer. Es much más que es, la tecnlgía de escritri remt permite la centralización de aquellas aplicacines que generalmente se ejecutan en entrn de usuari (pr ejempl, prcesadr de texts navegadres). De esta manera, dichs entrns de usuari se transfrman en mers terminales de entrada/salida. Pc más que una pantalla cn un teclad y un ratón para interactuar cntra un servidr de escritri remt. Ls events de pulsación de teclas y mvimients del ratón se transmiten a un servidr central dnde la aplicación ls prcesa cm si se tratase de events lcales. La imagen en pantalla de dicha aplicación es retrnada al terminal cliente cada ciert tiemp. Ls rets clave de la arquitectura sn la latencia de la red y el desempeñ. Una aplicación gráfica intensiva (cm l sn la mayría cuand se presentan usand una GUI) que es servida sbre una cnexión de red lenta de anch de banda restringid requiere cnsiderable cmpresión y ptimización para hacer la aplicación usable pr el cliente. Alguns prtcls de cmunicación El element característic en cualquier implementación de escritri remt es su prtcl de cmunicacines, que varía dependiend del prgrama que se utilice: - Un prtcl de cmunicacines es un cnjunt de reglas y nrmas que permiten que ds más entidades de un sistema de cmunicación se cmuniquen entre ells para transmitir infrmación pr medi de cualquier tip de variación de una magnitud física. Se trata de las reglas el estándar que define la sintaxis, semántica y sincrnización de la cmunicación, así cm psibles métds de recuperación de errres. Ls prtcles pueden ser implementads pr hardware, sftware, una cmbinación de ambs.

58 - Independent Cmputing Architecture (ICA), utilizad pr MetaFrame. También denminad Citrix ICA, es un prtcl prpietari para un sistema servidr de aplicacines, diseñad pr Citrix Systems. El prtcl crea una especificación para pasar dats entre el servidr y ls clientes, per n está ligad a ninguna platafrma en particular. Prducts práctics cnfrme al ICA sn WinFrame, Citrix XenApp (antes llamad MetaFram/Presentatin Server), y Citrix XenDesktp. Ests permiten que aplicacines rdinarias de Windws puedan crrer en un servidr de Windws cnveniente, y que cualquier cliente sprtad pueda ganar acces a esas aplicacines. Además de Windws, el ICA también sprta un númer de platafrmas de servidres Unix y puede ser usad para dar acces a aplicacines crriend en estas platafrmas. Hay cliente para Mac, Unix, Linux y varis smartphnes. El sftware cliente del ICA también está incrprad en varias platafrmas de cliente liger. El ICA es bastante similar en prpósit a ls servidres de ventanas tales cm el X Windws System. También prvee retralimentación de la entrada del usuari desde el cliente al servidr y una variedad de medis para que el servidr envíe salida gráfica, así cm trs medis tales cm audi, desde la aplicación que se está ejecutand hacia el cliente. La máquina del cliente puede ser una platafrma diferente, y puede n tener dispnibles lcalmente las mismas rutinas GUI. En este cas el servidr puede necesitar enviar ls dats de bitmap reales sbre la cnexión. Dependiend de las capacidades del cliente, ls servidres también pueden dejar parte del prcesamient gráfic al cliente, ej. Para reprducir cntenid multimedia. El ICA crre nativamente sbre el puert CP 1494 puede ser encapsulad en el Cmmn Gateway Prtcl (CGP) en el TCP El ICA sprta el cncept de canales en una capa de sesión para encapsular la redirección de medis rics la extensión de USB dentr del ICA. - Remte Desktp Prtcl (RDP), utilizad pr Terminal Services. Más adelante ns centrarems en él. Es un prtcl prpietari de Windws. - Virtual Netwrk Cmputing (VNC), utilizad pr el prduct del mism nmbre. El prtcl VNC (RFB) es muy simple, basad en una primitiva gráfica del servidr al cliente: Put a rectangle f pixel data at the specified X,Y psitin y mensajes de events desde el cliente al servidr. El métd nrmal de peración, un visr (espectadr) se cnecta a un puert en el servidr (puert pr defect 5900). Alternativamente, un navegadr puede cnectarse al servidr

59 (dependiend de la implementación) (puert pr defect 5800). Y un servidr puede cnectarse a un espectadr en md escucha en el puert Una de las ventajas del md escucha es que el siti del servidr n tiene que cnfigurar su crtafuegs para permitir el acces en el puert , la respnsabilidad recae en el espectadr, l cual es útil si el siti del servidr n tiene cncimients infrmátics, mientras que del visr de usuari se espera que sea más sabi. Est es práctic pr ejempl cuand alguien desde su casa tiene un prblema en el rdenadr que querems slucinar desde tr lugar, y que ns apetece físicamente persnarns dnde tiene el equip. Se le puede enviar el servidr pr crre electrónic de tra manera y simplemente cn que l instale nstrs ns cuparems del rest para hacer la cmunicación. A alguien n le suena esta situación? La manera de funcinar del prtcl es que el servidr envía pequeñs rectánguls de la framebuffer para el cliente. * Se le llama framebuffer a una categría de dispsitivs gráfics, que representan cada un de ls píxeles de la pantalla cm ubicacines en la memria de acces aleatri. También se le llama así en el área de ls sistemas perativs, a ls dispsitivs que usan aparentan usar dich métd de acces a dispsitivs gráfics. Ls framebuffers usads en rdenadres persnales muchas veces tienen un cnjunt de "mds" baj ls cuales el framebuffer puede perar. Ests mds recnfiguran autmáticamente el hardware para mstrar diferentes reslucines, prfundidades de clr, diseñs de memria y tasas de refresc. En su frma más simple, el prtcl VNC puede utilizar una gran cantidad de anch de banda, pr l que han sid diseñads varis métds para reducir la sbrecarga de cmunicación. Pr ejempl, hay varias cdificacines (métds para determinar la manera más eficiente de transferencia d ests rectánguls). El prtcl VNC permite que el cliente y el servidr negcien la cdificación que se utilizará. La frma más simple de cdificación, que es apyada pr tds ls clientes y servidres, es la cdificación cruda (raw), dnde ls dats se envían en píxeles en rden scanline de izquierda a derecha, y después de haber transmitid la pantalla cmpleta riginal, sól se transfieren ls rectánguls que cambien. Esta cdificación funcina muy bien si sól una pequeña prción de la pantalla cambia de un ftgrama a tr (cm un punter del ratón se mueve en un escritri, el text que se escriben en el cursr), per las demandas de anch de banda crecen radicalmente si una gran cantidad de píxeles cambia al mism tiemp, cm al desplazarse pr una ventana visualizar un víde a pantalla cmpleta. VNC pr defect usa el puert TCP 5900+N, dnde N es el númer de la pantalla (pr l general: 0 para una pantalla física). Varias implementacines también inician un servidr básic HTTP en el puert 5800+N para prprcinar un visr VNC cm applet Java, que permite la cnexión fácil a través de cualquier navegadr web cn Java activad.

60 Se pueden utilizar distintas asignacines de puert siempre y cuand el cliente y el servidr estén cnfigurads para ell. El us de VNC a través de Internet funcina bien si el usuari tiene una cnexión de banda ancha en ambs extrems. El prtcl VNC se puede cmbinar cm aplicacines de redes privadas al igual que cn trs prtcls para hacer el us más simple, pr ejempl mntar una Red Privada Virtual (VPN) utilizar prgramas cm Hamachi para ahrrarse ls pass de cnfigurar crtafuegs, reenví de puerts, cnfigurar el ruter, etc. Téngase en cuenta que la máquina dnde se ejecuta el servidr VNC n necesita tener una pantalla física. También una máquina que puede ser una estación de trabaj un servidr de red cn pantalla, teclad y ratón se pueden cnfigurar para arrancar y ejecutar el servidr VNC cm un servici demni y entnces la pantalla, el teclad y el ratón pueden ser eliminads y la máquina almacenada en una ubicación fuera, de la frma (ut-f-the way). Además, la pantalla que muestra VNC n es necesariamente la misma pantalla vista pr un usuari en el servidr. En cmputadres Unix/Linux que sprten múltiples sesines simultáneas X11, VNC puede ser cnfigurad para servir a una sesión particular existente de X11, para iniciar una prpia. También es psible ejecutar múltiples sesines de VNC desde el mism rdenadr. En Micrsft Windws la sesión VNC servida (prprcinada) es siempre la sesión del usuari actual. VNC es cmúnmente usad cm un sistema de escritri multiplatafrma a distancia. Pr ejempl, Apple Remte Desktp de Mac OS X (y, más recientemente, "Back t My Mac" in 'Lepard' - Mac OS X 10.5) interactúa cn VNC y se cnectará al escritri actual de un usuari de Linux, si se sirve cn x11vnc, a una sesión de X11 separada si se sirve cn TightVNC. Desde Linux, TightVNC se cnecta a una sesión de Mac OS X servida pr Apple Remte Desktp, si la pción VNC está activada, en un servidr VNC que se ejecute en Micrsft Windws. - X11, utilizad pr el sistema de ventanas X. La cmunicación entre el cliente X y el servidr se realiza pr medi de un prtcl cncid cm Xprtcl, que cnsiste en una serie de bytes interpretads cm cmands básics para generar ventanas, psicinarlas, cntrlar events. Ls clientes X acceden al Xprtcl mediante el us de una bibliteca llamada Xlib, que evita al prgramadr de clientes X tener que lidiar cn el códig binari del Xprtcl. Sin embarg, ls aspects de decración de ventana y manejs de ventanas n están definids en esa bibliteca. X n es un gestr de ventanas, necesita de un para cntrlar el manej de ventanas. Est trae la ventaja de que permite al usuari instalar un más administradres de ventanas de su preferencia.

61 También trae la ventaja de que hace de X estrictamente un sistema gráfic, de tal md que un cliente X pdría estar enviand un gráfic a una pantalla, a una impresra a cualquier tr hardware sin darse cuenta, flexibilizand la salida gráfica. Pr tr lad, la desventaja que trae el hech de n tener un únic entrn gráfic es que ls prgramadres de clientes X que deseen hacer us de ls recurss de ls entrns gráfics (btnes, barras de deslizamients, etc) deben elegir un entrn gráfic específic para prgramar y cntar que el usuari tenga pr l mens las biblitecas de dich entrn gráfic instalad. Las biblitecas de ls entrns gráfics se cncen cm Tlkits, el estándar X prvee sól de un cnjunt de herramientas básicas llamadas Xintrisics que permiten a s prgramadres de ls entrns gráfics armar sus Tlkits sbre éstas. La idea de X11 es un pc diferente a la de VNC, ya que mientras que VNC pinta la pantalla en el lad del cliente de la misma manera que se btiene del servidr, en X11 mediante cmands te da indicacines de dnde está cada ventana, el tamañ que tiene y tras indicacines, per para pintarl, el cliente tiene que tener un gestr gráfic y mldearl a partir del códig btenid del servidr x11. Aplicacines de escritri remt Hay que tener en cuenta que el crazón de cualquier aplicación de escritri remt es el prtcl de cmunicación que utiliza. Sin el prtcl sería impsible la cmunicación pr cualquier parte del cliente-servidr en cualquier aplicación. - VNC/RealVNC La implementación riginal de este escritri remt tuvl lugar en ls labratris de Oliveti en Cambridge. Psterirmente fue adquirid pr AT&T alcanzand el grad de desarrll cncid actualmente. Más recientemente, el mantenimient de VNC ha pasad a la cmpañía RealVNC cnvirtiéndse en sftware de códig abiert de carácter gratuit. Tras el cierre de ORL en el añ 2002, varis miembrs del equip de desarrll (incluyend Richardsn, Harter, Weatherall y Hpper) crearn RealVNC cn el fin de seguir trabajand en sftware libre y sftware cmercial VNC baj ese nmbre. Varias tras versines de VNC se han desarrllad a partir del códig fuente riginal GPL. Tal bifurcación n ha dad lugar a prblemas de cmpatibilidad ya que el prtcl RFB está diseñad para ser extensible. Ls clientes y servidres VNC negcian sus capacidades, al hacer apretón de mans (handshaking) para utilizar las pcines más aprpiadas sprtadas en ambs extrems.

62 VNC es un prgrama de sftware libre basad en una estructura cliente-servidr el cual permite tmar el cntrl del rdenadr servidr remtamente a través de un rdenadr cliente. También llamad sftware de escritri remt. VNC n impne restriccines en el sistema perativ del rdenadr servidr cn respect al del cliente: es psible cmpartir la pantalla de una máquina cn cualquier sistema perativ que sprte VNC cnectándse desde tr rdenadr dispsitiv que dispnga de un cliente VNC prtad. VNC es independiente de la platafrma - un cliente VNC en un sistema perativ pueden cnectarse a un servidr VNC en la misma de cualquier tr sistema perativ. Hay clientes y servidres tant para muchs sistemas perativs basads en GUI cm para Java. Varis clientes pueden cnectarse a un servidr VNC al mism tiemp. Ls uss ppulares de esta tecnlgía incluyen sprte técnic remt y acces a ls archivs presentes en el rdenadr del trabaj desde la cmputadra de un hgar, viceversa. Hay una serie de variantes de VNC,1 que frecen, aparte de las funcines típicas de VNC, funcines particulares; pr ejempl, alguns están ptimizads para Micrsft Windws; trs dispnen de transferencia de archivs, (que n es prpiamente parte de VNC), etc. Muchs sn cmpatibles (sin funcines adicinales) cn el prpi VNC en el sentid de que un usuari de una variante de VNC puede cnectar cn un servidr de tra, mientras que trs se basan en el códig fuente de VNC, per n sn cmpatibles cn el estándar VNC. El servidr de frma pasiva permite al cliente tmar el cntrl de la misma. El cliente es el prgrama que vigila, cntrla e interactúa cn el servidr. El cliente cntrla al servidr.

63 - X11 El sistema de ventanas x11 es un sftware que fue desarrllad a mediads de ls añs 1980 en el IT para dtar de una interfaz gráfica a ls sistemas Unix. Este prtcl permite la interacción gráfica en red entre un usuari y una más cmputadras haciend transparente la red para éste. Generalmente se refiere a la versión 11 de este prtcl, X11, el que está en us actualmente. X11 es el encargad de mstrar la infrmación gráfica de frma ttalmente independiente del sistema perativ. X11 fue diseñad principalmente para implementar clientes ligers, dnde mucha gente usaba simultáneamente la capacidad de prcesamient de un mism cmputadr trabajand en tiemp cmpartid. Cada persna usaba un terminal en red que tenía capacidades limitadas para dibujar la pantalla y aceptar la entrada del usuari. Debid a la ubicuidad del sprte para el sftware X en Unix, es usad en ls cmputadres persnales inclus cuand n hay necesidad del tiemp cmpartid. El sistema de ventanas X distribuye el prcesamient de aplicacines especificand enlaces cliente-servidr. El servidr prvee servicis que utilizan ests recurss para interacción cn el usuari. De este md mientras el servidr se ejecuta de manera lcal, las aplicacines pueden ejecutarse remtamente desde tras máquinas, prprcinand así el cncept de transparencia de red. Debid a este esquema cliente-servidr, se puede decir que X se cmprta cm un terminal gráfic virtual. El hech que exista un estándar definid par X permite que se desarrllen servidres X para distints sistemas perativs y platafrmas, l que hace que el códig sea muy prtable. Pr ejempl, permite tener clientes X ejecutándse en un ptente servidr UNIX mientras ls resultads sn visualizads en un PC de escritri cn cualquier tr sistema perativ funcinand.

64