Introducción a Windows NT

Windows NT presenta una arquitectura del tipo cliente–servidor. Los programas de aplicación son contemplados por el sistema operativo como si fueran clientes a los que hay que servir, y para lo cual viene equipado con distintas entidades servidoras.

Uno de los objetivos fundamentales de diseño fue el tener un núcleo tan pequeño como fuera posible, en el que estuvieran integrados módulos que dieran respuesta a aquellas llamadas al sistema que necesariamente se tuvieran que ejecutar en modo privilegiado (también llamado modo kernel, modo núcleo y modo supervisor). El resto de las llamadas se expulsarían del núcleo hacia otras entidades que se ejecutarían en modo no privilegiado (modo usuario), y de esta manera el núcleo resultaría una base compacta, robusta y estable. Por eso se dice que Windows NT es un sistema operativo basado en micro-kernel.

Por tanto en un primer acercamiento a la arquitectura distinguimos un núcleo que se ejecuta en modo privilegiado, y se denomina Executive, y unos módulos que se ejecutan en modo no privilegiado, llamados subsistemas protegidos.

Los programas de usuario (también llamados programas de aplicación) interaccionan con cualquier sistema operativo (s.o. en adelante) a través de un juego de llamadas al sistema propio de dicho sistema. En el mundo Windows en general, las llamadas al sistema se denominan API (Application Programming Interfaces, interfaces para la programación de aplicaciones). En Windows NT y en Windows 95 se usa una versión del API llamada API Win32.

Los subsistemas protegidos.

Son una serie de procesos servidores que se ejecutan en modo no privilegiado, al igual que los procesos de usuario, pero que tienen algunas características propias que los hacen distintos.

Se inician al arrancar el s.o. y existen dos tipos: integrales y de entorno.

Un subsistema integral es aquel servidor que ejecuta una función crítica del s.o. (como por ejemplo el que gestiona la seguridad). Un subsistema de entorno da soporte a aplicaciones procedentes de s.o. distintos, adaptándolas para su ejecución bajo Windows NT. Existen tres de este tipo:

• Win32, que es el principal, y proporciona la interfaz para aplicaciones específicamente construidas para Windows NT.
• POSIX, que soporta aplicaciones UNIX.
• OS/2, que da el entorno a aplicaciones procedentes del s.o. del mismo nombre.

El subsistema Win32.

Es el más importante, ya que atiende no sólo a las aplicaciones nativas de Windows NT, sino que para aquellos programas no Win32, reconoce su tipo y los lanza hacia el subsistema correspondiente. En el caso de que la aplicación sea MS-DOS o Windows de 16 bits (Windows 3.11 e inferiores), lo que hace es crear un nuevo subsistema protegido. Así, la aplicación DOS o Win16 se ejecutaría en el contexto de un proceso llamado VDM (Virtual DOS Machine, máquina virtual DOS), que no es más que un simulador de un ordenador funcionando bajo MS-DOS. Las llamadas al API Win16 serían correspondidas con las homónimas en API Win32. Microsoft llama a esto WOW (Windows On Win32). El subsistema soporta una buena parte del API Win32. Así, se encarga de todo lo relacionado con la interfaz gráfica con el usuario (GUI), controlando las entradas del usuario y salidas de la aplicación. Por ejemplo, un buen número de funciones de las bibliotecas USER32 y GDI32 son atendidas por Win32, ayudándose del Executive cuando es necesario. El

funcionamiento como servidor de Win32 lo veremos un poco más adelante, en el apartado de llamadas a procedimientos locales.

El subsistema POSIX.

La norma POSIX (Portable Operating System Interface for UNIX) fue elaborada por IEEE para conseguir la portabilidad de las aplicaciones entre distintos entornos UNIX. La norma se ha implementado no sólo en muchas versiones de UNIX, sino también en otros s.o. como Windows NT, VMS, etc. Se trata de un conjunto de 23 normas, identificadas como IEEE 1003.0 a IEEE 1003.22, o también POSIX.0 a POSIX.22, de las cuales el subsistema POSIX soporta la POSIX.1, que define un conjunto de llamadas al sistema en lenguaje C. El subsistema sirve las llamadas interaccionando con el Executive. Se encarga también de definir aspectos específicos del s.o. UNIX, como pueden ser las relaciones jerárquicas entre procesos padres e hijos (las cuales no existen en el subsistema Win32, por ejemplo, y que por consiguiente no aparecen implementadas directamente en el Executive).

El subsistema OS/2.

Igual que el subsistema POSIX proporciona un entorno para aplicaciones UNIX, este subsistema da soporte a las aplicaciones del s.o. OS/2. Proporciona la interfaz gráfica y las llamadas al sistema; las llamadas son servidas con ayuda del Executive.

El subsistema proceso de inicio.

El proceso de inicio (Logon Process) recibe las peticiones de conexión por parte de los usuarios. En realidad son dos procesos, cada uno encargándose de un tipo distinto de conexión: el proceso de inicio local, que gestiona la conexión de usuarios locales directamente a una máquina Windows NT; y el proceso de inicio remoto, el cual gestiona la conexión de usuarios remotos a procesos servidores de NT.

El subsistema de seguridad.

Este subsistema interacciona con el proceso de inicio y el llamado monitor de referencias de seguridad (del que trataremos en el Executive), de esta forma se construye el modelo de seguridad en Windows NT. El subsistema de seguridad interacciona con el proceso de inicio, atendiendo las peticiones de acceso al sistema. Consta de dos subcomponentes: la autoridad de seguridad local y el administrador de cuentas.

El primero es el corazón del subsistema de seguridad, en general gestiona la política de seguridad local, así, se encarga de generar los permisos de acceso, de comprobar que el usuario que solicita conexión tiene acceso al sistema, de verificar todos los accesos sobre los objetos (para lo cual se ayuda del monitor de referencias a seguridad) y de controlar la política de auditorías, llevando la cuenta de los mensajes de auditoría generados por el monitor de referencias.

El administrador de cuentas mantiene una base de datos con las cuentas de todos los usuarios (login, claves, identificaciones, etc.). Proporciona los servicios de validación de usuarios requeridos por el subcomponente anterior.

BOOTEO DEL EQUIPO

Todos los archivos que definiremos a continuación deben estar en el directorio raíz de la partición del sistema y son para tecnología INTEL x86:

• NTLDR (H,R,S)
• BOOT.INI (R,S)
• BOOTSECT.DOS (H,S)
• NTDETECT.COM (H,R,S)
• NTBOOTDD.SYS ( Solamente para los sistemas que butean de un SCSI, en donde el BIOS en el adaptador SCSI se encuentra deshabilitado ).

Los archivos que definiremos a continuación son necesarios para tecnologías RISC:

• OSLOADER.EXE
• *.PAL
• NTOSKRNL.EXE
• Pasos para el buteo en tecnologías INTEL x86:

1. El archivo NTLDR cambia el procesador del modo real al modo 32-bits de la memoria plana. NTLDR como es el caso con código de 32-bits, requiere de este modo de memoria antes de que pueda llevar a cabo las funciones.
2. NTLDR arranca el sistema de Drivers Minifile apropiado. Los sistemas de dispositivos Minifile se construyen en NTLDR para encontrar y cargar Windows NT de diferentes formatos de sistemas de archivos ( FAT o NTFS ).
3. NTLDR lee el archivo BOOT.INI y muestra la selección del sistema operativo.
4. NTLDR carga el sistema operativo cargado por el usuario. Uno de los dos siguientes eventos puede ocurrir:

– Si el Windows NT es seleccionado, NTLDR corre el NTDETECT.COM.

– Para otro sistema operativo, NTLDR carga y ejecuta el BOOTSECT.DOS y le pasa el control. Entonces el otro sistema operativo butea.

• Pasos para el buteo en tecnologías RISC:

– Luego de la secuencia del prebuteo:

1. OSLOADER.EXE carga el NTOSKRNL, HAL.DLL los archivos *.PAL y el sistema HIVE.
2. OSLOADER.EX Escanea el sistema y carga los drivers de los dispositivos configurados para que arranque en el tiempo de buteo.

OSLOADER.EXE pasa el control a NTOSKRNL.EXE en el punto que el proceso de buteo termina y comienza las fases de carga.

ADMINISTRACION DEL SISTEMA, INTERPRETE DE COMANDOS Y PANEL DE CONTROL

La mayoría de la información del sistema se encuentra en el panel de control. A este se puede acceder haciendo click en inicio, configuración y panel de control.

Fecha y hora

El cuadro de diálogo Fecha y hora permite modificar la fecha y hora del sistema, así como la zona horaria en la que se haya el sistema. En caso de ser necesario, una utilidad del kit de recursos permite modificar y crear nuevas zonas horarias que complementen a las suministradas con el sistema.

Para cambiar la hora y/o la fecha y/o la zona horaria, simplemente cliquear en la barra deslizante y seleccionar la zona horaria deseada. Para cambiar la fecha u hora, posicionarse con el mouse en el lugar deseado, hacer un click y con el tecleado lo cambiamos.

Configuración regional

NT, al igual que Windows, está preparado para soportar diversos idiomas y trabajar en diferentes países, con diferentes esquemas de ordenación alfabética, moneda y formas de escribir la fecha, hora y signos de puntuación en números y monedas. Se puede modificar:

Configuración regional: Permite seleccionar las características del idioma de cada región.

Número. Selecciona el formato para números y el sistema de medida.

Moneda. Selecciona la representación de cantidades monetarias.

Hora: Selecciona el formato para representar las horas

Fecha: Selecciona el formato para representar las fechas.

Idioma. Permite seleccionar y añadir diferentes idiomas, con sus correspondientes configuraciones de teclado. También permite habilitar atajos del teclado que intercambian las configuraciones del teclado.

También permite cambiar los seteos de inicio y apagado. Esto es en la parte de propiedades del sistema, hacemos un click donde dice startup/shoutdown.

Impresoras

Normalmente la mayoría de las aplicaciones informáticas necesitan una impresora predeterminada para funcionar.

Para instalar una nueva impresora al sistema NT dispone de un sencillo asistente que nos guía en el proceso de instalación. Para acceder a este asistente se utiliza el icono Agregar impresora del Panel de controlImpresoras.

En NT la impresora puede estar instalada en el propio equipo o ser una impresora de red. El caso más sencillo consiste en que la impresora esté conectada a un servidor NT, que la ha compartido. En este caso para conectarnos a la impresora basta seleccionar en el asistente la opción Servidor de impresora de red. Al seleccionar esta opción aparece un cuadro de diálogo con las impresoras compartidas por los equipos. Las impresoras compartidas por los NT aparecen aparte, como elementos separados del equipo que las comparte, haciendo más fácil su localización.

La opción instalar la impresora en el propio equipo conduce a una serie de asistentes que nos permiten configurar y compartir la impresora.

Panel de Control, Impresoras, Asistente

El primer paso consiste en seleccionar el puerto al que está conectada la impresora. Puede ser:

Un puerto paralelo LPT, normalmente el LPT1

Un puerto serie (los trazadores gráficos antiguos los suelen usar)

Un puerto de red (cuando hay conexiones a impresoras de red)

Un archivo. En este archivo se almacenarán los comandos necesarios para imprimir el documento en la impresora. Se suele usar para generar archivos Postcript.

Un puerto nuevo, que quizás usa un hardware o software especial. Un ejemplo de este tipo son los puertos Jetdirect de red usados por las impresoras HP.

En este cuadro de diálogo se puede activar la cola de impresión de NT (normalmente esta opción no se activa por defecto, sino que se imprime directamente en el puerto)

Luego hay que elegir el modelo de la Impresora. El cuadro de diálogo está organizado por Fabricantes y modelos, por lo que se encuentran rápidamente los modelos adecuados. También se puede añadir una impresora no disponible en NT con los controladores proporcionados por el fabricante.

Tras elegir el modelo hay que ponerle un nombre en el siguiente cuadro de diálogo. Normalmente NT elige un nombre adecuado, que coincide con el modelo de la impresora.

El siguiente cuadro de diálogo permite compartir la impresora. Si se comparte NT se debe elegir:

Un nombre para la impresora, que también sugiere el asistente.

Los controladores que se van a compartir. Se puede añadir el soporte para otras plataformas NT y Windows, aunque hará falta tener los discos correspondientes. Esto permite que los clientes se conecten a

nuestra impresora sin necesidad de instalar ellos ningún controlador de impresora. Al conectarse a la impresora los controladores se transfieren al cliente de forma automática.

El proceso de instalación finaliza con la impresión de una página de prueba opcional, que permite verificar la correcta instalación de la impresora.

Agregar o quitar programas

En este icono podemos acceder a un cuadro de diálogo que nos permite realizar varias labores:

-Instalar nuevas aplicaciones. El botón instalar lanza un asistente que busca en las unidades de disco y de CD-ROM ficheros con nombre típico de programas de instalación , como pueden ser instalar.exe y setup.exe y si los encuentra nos permite ejecutarlos.

-Eliminar los programas instalados. Muchos programas para Windows 95 y NT traen sus propios programas de desinstalación automática. Estos programas saben como registrarse en el registro de NT, de manera que pulsando el botón de agregar o quitar se reinstalan o desinstalan automáticamente.

-Instalar o eliminar componentes adicionales de NT. Durante el proceso de instalación, al elegir una de las posibles instalaciones (típica, portátil, a medida…) se seleccionan los componentes que se han de instalar. Con este cuadro de diálogo podemos añadir o eliminar componentes adicionales desde el CD-ROM de instalación.

Desinstalación manual de aplicaciones.

Ocurre a veces que el programa de instalación de una aplicación no es capaz de desinstalarla. Esto puede ocurrir por un fallo del propio programa o porque otra aplicación la ha alterado. En este caso se debe proceder manualmente. Para ello:

-.Se deben eliminar todos los ficheros de la aplicación. Normalmente hay que borrar el directorio de la aplicación y algunos directorios de datos.

– Se deben borrar los accesos directos creados por la aplicación. Esto se puede hacer con el explorador de NT, en el escritorio y en el menú de inicio.

– Se deben borrar las librerías de haya dejado la aplicación en el sistema. En NT y 95 al instalar una librería se incrementa la clave del registro:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionSharedDlls

correspondiente a la librería

-.Se deben eliminar las claves del registro que ha añadido la aplicación, normalmente en:

HKEY_LOCAL_MACHINESoftwareCompañíaAplicación y en otras partes del registro. La clave del registro:

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionUninstall

Indica el nombre del programa de desinstalación para la aplicación.

Dispositivos

Este cuadro de diálogo permite ver el estado de los dispositivos instalados en el sistema. NT por defecto instala gran cantidad de dispositivos aunque no los utilice. En particular, el programa de instalación de NT carga los controladores SCSI y algunos controladores de dispositivos de pantalla. Esto es necesario ya que durante el proceso de instalación le puede pedir a NT que busque estos dispositivos. Para ello NT carga cada controlador de dispositivos e intenta iniciarlo. Si el controlador de dispositivo arranca quiere decir que el dispositivo está funcionando correctamente.

Cada dispositivo puede tener:

• Un tipo de inicio.
• Inicio. Se utiliza para controladores de dispositivos que se cargan en las primeras etapas de carga del sistema, como por ejemplo el controlador ATAPI y el DISK.
• Sistema. Son los dispositivos que se cargan después de cargar el sistema. Por ejemplo el controlador del ratón y de la disquetera (floppy)
• Automático. Estos dispositivos se cargan de la carga completa del sistema.
• Manual. Estos dispositivos los carga el usuario u otros controladores de dispositivos. Por ejemplo el controlador de la tarjeta de red normalmente lo carga los servicios de red.
• Deshabilitado. Son controladores de dispositivos que no se pueden cargar normalmente, como por ejemplo los controladores SCSI de adaptadores no instalados. Hay algunos dispositivos que aparecen como deshabilitados pero están iniciados. Estos dispositivos se cargan en la primera fase de arranque del sistema operativo. Por ejemplo los controladores de sistemas de ficheros FastFAT y NTFS son un ejemplo.
• Un estado. El dispositivo puede estar iniciado o no iniciado.
• Un perfil asociado. NT permite definir perfiles del sistema diferentes. Cada perfil tiene su propia configuración del sistema. Normalmente se usa para equipos portátiles con unidades de expansión de puertos (docking stations), que permiten añadir periféricos al portátil al insertar el portátil en la ranura de expansión.

Dispositivos de cinta

Este cuadro de diálogo permite agregar dispositivos de cinta. El funcionamiento es análogo al de Adaptadores SCSI, aunque se ha incluido un botón para detectar los dispositivos de cinta instalado.

MEMORIA

Windows NT y UNIX implementan un direccionamiento lineal de 32 bits y memoria virtual paginada bajo demanda. El VMM se encarga de todo lo relacionado con la política de gestión de la memoria.

Determina los conjuntos de trabajo de cada proceso, mantiene un conjunto de páginas libres, elige páginas víctima, sube y baja páginas entre la memoria RAM y el archivo de intercambio en disco, etc.

El cuadro de diálogo de Memoria virtual nos permite ajustar los archivos de paginación y de registro.

Este cuadro de diálogo permite ver todos los ficheros de intercambio creados. Para cada unidad de disco se puede establecer un fichero de intercambio, que tendrá un tamaño mínimo y máximo. Este cuadro de diálogo nos indica el total de espacio de intercambio disponible para el sistema y las aplicaciones.

También en este cuadro de diálogo se puede establecer el tamaño del registro máximo. Esto evita que el mal funcionamiento de una aplicación pueda desbordar el registro. Normalmente no hace falta modificar el tamaño sugerido por el sistema.

El Windows NT utiliza un proceso llamado demanda de página para intercambiar datos entre la RAM y uno o más páginas memoria. Cuando el Windows NT es instalado crea una memoria virtual de estas páginas de memoria llamada PageFile.SYS.

Para acceder a este ítem se cliquea dentro del panel de control propiedades del sistema y luego en la barra memoria virtual.

Administrador de Procesos

Se encarga (en colaboración con el administrador de objetos) de crear, destruir y gestionar los procesos y subprocesos. Una de sus funciones es la de repartir el tiempo de CPU entre los distintos subprocesos. Suministra sólo las relaciones más básicas entre procesos y subprocesos, dejando el resto de las interrelaciones entre ellos a cada subsistema protegido concreto. Por ejemplo, en el entorno POSIX existe una relación filial entre los procesos que no existe en Win32, de manera que se constituye una jerarquía de procesos. Como esto sólo es específico de ese subsistema, el administrador de objetos no se entromete en ese trabajo y lo deja en manos del subsistema.

El administrador de entrada/salida (I/O Manager).

Consta de varios subcomponentes: el administrador del sistema de ficheros, el servidor de red, el redirector de red, los drivers de dispositivo del sistema y el administrador de cachés.

Buena parte de su trabajo es la gestión de la comunicación entre los distintos drivers de dispositivo, para lo cual implementa una interfaz bien definida que permite el tratamiento de todos los drivers de una manera homogénea, sin preocuparse del funcionamiento específico de cada uno. Trabaja en conjunción con otros componentes del Executive, sobre todo con el VMM. Le proporciona la E/S síncrona y asíncrona, la E/S a archivos asignados en memoria y las caches de los ficheros. El administrador de caches no se limita a gestionar unos cuantos buffers de tamaño fijo para cada fichero abierto, sino que es capaz de estudiar las estadísticas sobre la carga del sistema y variar dinámicamente esos tamaños de acuerdo con la carga. El VMM realiza algo parecido en su trabajo.

Administración de discos

Para llegar al administrador de discos, debemos cliquear en inicio, luego señalamos programas y luego el menú herramientas administrativas (común). Allí encontraremos el administrador de discos el cual nos permite administrar los recursos del disco, realizar cambios a mi disco duro, o para crear particiones en un disco duro adicional.

Para la administración de usuarios también en las herramientas administrativas se encuentra un administrador de usuarios para dominio. Este nos permite establecer, eliminar o desactivar cuentas de usuarios del dominio. También puede establecer directivas de seguridad y agregar cuentas de usuarios a grupos.

El Windows NT permite al administrador y el cliente manejar las aplicaciones bajo este sistema operativo.

Command Prompt. Se encuentra en inicio y programas. Desde el Command Prompt un usuario puede hacer entre otras cosas:

Ejecutar cualquier archivo batch, ya sea .Bat o Cmd

Comenzar cualquier Windows NT (32-bit), Windows 3.x (16-bit), Ms-Dos, OS/2 1.x.

Administrar o usar los recursos de la red.

Copia y pegar información entre las aplicaciones, aun cuando las aplicaciones corran bajo distintos subsistemas.

También nos permite configurar el Command Prompt, mediante las propiedades de la consola de la ventana.

Windows NT prioriza las aplicaciones y distribuye el tiempo de proceso entre las mismas. La base de la prioridad puede ser ajustada para aumentar o disminuir la performance.

Los niveles de las prioridades van desde 0 a 31.

Prioridad

0-15 aplicaciones dinámicas

16-31 aplicaciones de tiempo real.

Comenzar una aplicación con una prioridad específica:

Para cambiar la base de la prioridad de una aplicación.

Usar el comando Start y alguna de estas opciones.

/realtime (establecer la base de la prioridad a 24)

/high (establecer la base de la prioridad a 13)

/normal (establecer la base de la prioridad a 7)

/low (establecer la base de la prioridad a 4).

Para dar un ejemplo. Si se quiere comenzar el Notepad con una prioridad alta, en el Command Prompt

Star/High Notepad.

MANEJO DE ARCHIVOS, DIRECTORIOS, ETC

Para el manejo de directorios, archivos, creación, eliminación, etcétera existen varias formas:

• Para crear una carpeta o directorio:

a) Hacer doble click en mi PC y luego hacer doble click en la unidad o carpeta en la que se quiere colocar la nueva carpeta.

b) En el menú archivo señalar nuevo y hacer click en carpeta.

c) Escribir el nombre de la carpeta y presionar enter.

• Para mover o copiar un archivo o carpetas:

a) Hacer doble click en mi pc. Buscar el archivo o carpeta que se quiere mover o copiar y hacer click en el mismo.

b) Hacer click en edición. Para mover el archivo, hacer click en cortar para hacer una copia del archivo, hacer click en copiar.

c) Abrir la carpeta donde se quiere colocar el archivo, hacer click en edicion y luego hacer click en pegar.

• Para eliminar un archivo una carpeta.

a) Hacer doble click en Mi pc. Buscar la carpeta o el archivo que se quiera eliminar y cliquearlo.

b) En el menú archivo hacer click en eliminar.

• Para copiar un archivo a un disquete.

a) Hacer doble click en Mi Pc. Buque el archivo o la carpeta la que se quiere copiar y hacer doble click en el.

b) En el menú archivo, señalar a enviar y hacer click en la unidad en la que se desea el archivo o la carpeta.

* Forma alternativa

Otra forma de mover, copiar o eliminar la información deseada es arrastrarla de un lugar a otro usando el mouse.

1. En el Explorador de Windows NT, abra la Carpeta que contiene el archivo o la Carpeta que se quiera mover o copiar.
2. Presionar el botón del mouse y mantenerlo presionado mientras arrastramos el icono a la carpeta donde se quiere moverlo o copiarlo. Luego soltar el botón del mouse.
3. Hacer click en mover aquí o copiar aquí.

* Forma Alternativa II

Otra de las formas es utilizando el explorador de Windows, que es idéntico al de Windows 95.

Copias de Resguardo

1. Hacer clic en el botón inicio, señalar a programas y luego a herramientas administrativas ( común )
2. Hacer clic en copias de seguridad.

Desde esa ventana se puede seleccionar los archivos de los que desea hacer copias de seguridad, comprobar el estado de la copia de seguridad y establecer diversas opciones.

El Administrador de usuarios

En NT hay dos tipos de usuarios, aquellos que pertenecen a una máquina que corre NT WK o Server y aquellos que pertenecen a un dominio NT. Para cada uno de estos tipos de usuarios existe una herramienta de administración: el administrador de usuarios incluido en NT Workstation y el administrador de usuarios para dominios incluido en NT Server. El funcionamiento de ambos es muy similar, pero el administrador de usuarios para dominios dispone de más opciones. Por ello, se describirá el administrador de usuarios para dominios.

Las tareas que se pueden realizar con el administrador de usuarios:

– Añadir, modificar y eliminar usuarios del dominio.

– Añadir, modificar y eliminar grupos locales y globales del dominio.

– Fijar el plan de cuentas y contraseñas en el dominio.

– Fijar la política de derechos de usuario en el dominio.

– Establecer el sistema de auditoria en el dominio.

– Establecer relaciones de confianza entre dominios.

Creación y modificación de usuarios en el dominio.

Para crear un usuario se pulsa UsuariosNuevo y se completa el cuadro de diálogo.

Usuario nuevo

En este cuadro hay que rellenar una serie de campos:

Nombre de usuario: Es el identificador que representa al usuario en el dominio. Debe ser una palabra completa, sin espacios en blanco ni caracteres especiales, de hasta14 caracteres [verificar]. este identificador debe ser único en el dominio. Se le suele conocer también como nombre de cuenta o login. Este identificador es el que se debe suministrar, junto con la contraseña, para iniciar sesión en un dominio NT.

Nombre completo: Es el nombre completo del usuario. Si este usuario es una persona se suele escribir el nombre u apellidos.

Descripción. Conviene añadir una descripción de la labor, grupo de personas o

departamento al que pertenecen el usuario, sobre todo si la base de datos de usuarios en el dominio es grande. Contraseña. Aquí se debe escribir la contraseña para el usuario. Puede incluir espacios, mayúsculas y minúsculas, e incluso caracteres especiales. NT admite hasta 14 caracteres. Cuando se va escribiendo aparecen asteriscos, y una vez completada en el cuadro aparece una línea de asteriscos, siempre de la misma longitud.

Repetir contraseña. Hay que introducir de nuevo la contraseña, para comprobar que se ha escrito correctamente.

Tras estos campos aparecen una serie de botones activables:

El usuario debe cambiar su contraseña. La primera vez que inicia sesión en NT se va a solicitar que introduzca una nueva contraseña. Habitualmente los administradores crean los usuarios nuevos con contraseñas del tipo "cámbiame", que obligan al nuevo usuario a cambiar su contraseña al iniciar sesión por primera vez.

El usuario no puede cambiar su contraseña. Se utiliza en tareas administrativas especiales,

y bloquea el cambio de contraseña por parte del usuario.

La contraseña nunca caduca. Desactiva la caducidad de contraseñas para esta usuario. Se utiliza normalmente sólo para algunos usuarios que lo necesitan.

Cuenta desactivada. Permite bloquear la cuenta fácilmente sin borrarla. Se suele utilizar cuando el usuario no va a iniciar sesión durante un periodo de tiempo o cuando se va a cambiar la configuración o entorno del usuario y se necesita que no pueda acceder temporalmente al sistema.

Administrador de Usuarios, Usuario nuevo, Grupos

Al final del cuadro de diálogo aparecen varios botones:

Grupos. Permite establecer los grupos a los que pertenece un usuario. En NT hay dos tipos de grupos:

• Grupos globales. Válidos para dominios en los que se confían. Aparecen marcados con el icono de grupo global.
• Grupos locales. Son grupos locales al servidor o estación de trabajo.

Además se puede asignar un grupo primario para el usuario [Este grupo es utilizado en entornos Macintosh]

Administrador de Usuarios, Usuario nuevo, Perfiles

Perfil. Permite controlar las características del entorno de un usuario.

Se puede establecer:

Perfil. Nombre del fichero que representa el perfil del usuario para NT. Hay que escribir un fichero en formato UNC (Univer name convention), es decir: /servidorrecursodirectoriofichero.bat.

Archivo de inicio. Asigna un archivo que se ejecutará al iniciar la sesión de red en el dominio. El archivo debe residir en el servidor que valida el inicio de sesión. Este fichero se debe hallar en la carpeta NETLOGON del servidor que valida el inicio de sesión.

Directorio de trabajo. Admite dos modalidades de uso.

Ruta de acceso local. Utilizar una ruta local al ordenador en que se inicia la sesión.

Conectar una letra de unidad a una unidad de red del tipo /servidorrecurso.

A. El directorio de trabajo es el que aparece por defecto en los cuadros de diálogo de guardar un fichero en una aplicación Windows.

Horas. En el botón Horas podemos acceder al cuadro de diálogo de Horas de inicio de sesión.

Administrador de Usuarios, Usuario nuevo, Horas de inicio

En este cuadro de diálogo se pueden fijar las horas de inicio de sesión en los servidores del dominio, en intervalos de 1 hora, para cada día de la semana. En principio una vez iniciada la sesión el usuario puede seguir trabajando en los servidores, aunque se puede modificar esto para que los servidores cierren la sesión del usuario al terminar las horas permitidas, mediante el cuadro de diálogo Plan de cuentas en el menú de Directivas del Administrador de Usuarios.

Iniciar desde. Este cuadro de diálogo permite seleccionar los ordenadores desde los cuales un usuario puede iniciar sesión. Se pueden especificar hasta 8 ordenadores que ejecuten NT, o permitir el inicio en todos los ordenadores del dominio.

Administrador de Usuarios, Usuario nuevo, Cuenta

Cuenta. El cuadro de diálogo Información de cuenta permite especificar el tipo de cuenta y su duración. Se puede elegir que la cuenta caduque en una fecha determinada o que no tenga caducidad. También se puede especificar si es una cuenta global o local.

Administrador de Usuarios, Usuario nuevo, Marcado

Marcado. El cuadro de diálogo de Marcado permite especificar las propiedades de marcado para el usuario.

Modificar un usuario.

Utilizando el menú UsuarioPropiedades o haciendo doble clic sobre un usuario o grupo se puede modificar el mismo.

Al modificar un usuario se acceden a los mismos cuadros de diálogo empleados al crearlo salvo que ahora aparece una casilla para cuentas bloqueadas. Si el bloqueo de cuentas está activado en el dominio y el usuario ha fallado el número de veces limitado para ese dominio, esta casilla aparece activada. Al desactivarla, la cuenta del usuario es desbloqueada.

Nota importante: existe una ligera demora al cambiar las propiedades de un usuario o grupo del dominio, debido a que la base de datos de usuarios del dominio tarda unos minutos en actualizarse en los controladores secundarios. Se puede forzar la actualización inmediata mediante la sincronización manual de los servidores.

Creación de Grupos

Para un NT Workstation (o Server configurado como servidor) el administrador de usuarios permite crear grupos locales, que sólo tienen validez en el propio ordenador. El administrador de usuarios para dominios permite crear dos tipos de grupos: globales y locales.

Los grupos locales pueden obtener permisos en los servidores del dominio propio. Pueden ser miembros de los grupos locales los miembros del dominio, los grupos globales del dominio y los grupos globales de otros dominios en los que se confía. Los grupos globales tienen como miembros a los usuarios del dominio y se pueden utilizar tanto en los servidores del dominio como en las estaciones de trabajo del dominio. También se pueden usar en otros dominios en los que se confía.

Creación de un Grupo Global nuevo.

Para añadir un grupo global nuevo se selecciona el menú UsuarioGrupo Global nuevo y se proporcionan en el cuadro de diálogo el nombre del grupo y una descripción opcional. Podemos además añadir usuarios al grupo.

Creación de un Grupo Local nuevo

Para añadir un grupo local nuevo se selecciona el menú UsuarioGrupo Local nuevo y se proporcionan en el cuadro de diálogo el nombre del grupo y una descripción opcional. Podemos además añadir usuarios al grupo.

Usos de grupos locales y globales.

Cuando se crea un dominio el programa de instalación de NT crea una serie de grupos globales y locales del dominio. También se crea la cuenta del administrador del dominio, y se añade al grupo administradores del dominio.

El grupo administradores que se ha creado permite administrar todos los servidores del dominio. NT añade al grupo local administradores el grupo administradores del dominio. De igual manera ocurre con el grupo de usuarios e invitados.

Cuando una estación de trabajo es añadida al dominio, NT añade automáticamente los tres grupos globales del dominio (administradores, usuario e invitados del dominio) a los grupos locales correspondientes de la estación de trabajo.

Los grupos locales se utilizan para asignar tareas especiales en las estaciones de trabajo o servidores del dominio. Por ejemplo se pueden crear los grupos especiales para trabajar con el recurso como una impresora láser en color, cuyo acceso queremos restringir. Uno lo podemos llamar "Administradores de láser color" y otro "Usuarios de láser color". Ahora basta dar permisos de impresión al grupo "Usuarios de láser color" y control total al grupo "Administradores de láser color".

Para añadir usuarios a estos grupos bastaría añadir al grupo "Administradores de láser color" el grupo "Administradores del dominio" y al grupo "Usuarios de láser color" los miembros del dominio autorizados a imprimir en ella. Este último paso lo podemos hacer de un medio más eficiente si creamos un grupo global "Usuarios de impresora láser color" y añadimos este grupo al grupo local "Usuarios de láser color". Para dar permisos de impresión a los usuarios y grupos utilizaremos elAdministrador de Impresión de dicha impresora, accesible desde el menú de inicio ConfiguraciónImpresoras.

Cada usuario en NT debe pertenecer a uno o varios grupos globales o locales, indistintamente. Los grupos locales se definen en cada estación de trabajo NT o en cada servidor. Para los servidores hay dos posibles configuraciones : si el servidor está configurado como controlador de dominio, primario o secundario, los grupos locales son los que se definen para todos los servidores controladores del dominio. Es decir, todos los controladores del dominio comparten la misma lista de grupos locales. Para los servidores configurados como servidor, los grupos locales se definen en el propio servidor, del mismo modo en que se hacen con las estaciones de trabajo.

La siguiente tabla muestra los grupos de que se pueden crear en NT y los usuarios y grupos que les pueden añadir.

Administración del plan de seguridad.

En NT se pueden fijar una serie de directivas comunes para todo el dominio. Entre estas se puede fijar el plan de cuentas para el dominio, que fija propiedades de las cuentas tales como la política de contraseñas, el plan de derechos de usuarios, que permite asignar determinados permisos genéricos a usuarios o grupos del dominio, o el plan de auditoria, que permite activar los elementos del sistema de auditoria en el dominio.

Administración del plan de cuentas.

Desde el menú DirectivasCuentas podemos acceder al cuadro de diálogo "Plan de cuentas".

En este cuadro podemos fijar las limitaciones de las contraseñas y el sistema de bloque de cuentas.

Cuando se ha seleccionado caducidad para la contraseña de un usuario, la contraseña utilizará las opciones elegidas en este cuadro de diálogo. Se puede elegir:

• Duración máxima de la contraseña, en días.
• Duración mínima de la contraseña, para que el usuario cambie dos veces su contraseña
• y vuelva a usar la contraseña antigua.
• Longitud mínima de la contraseña. Las contraseñas con más de 6 caracteres son
• difíciles de saltar por métodos de asalto masivo (crackers), también llamados de "fuerza bruta". Esto es útil en redes conectadas a Internet.
• Historia de la contraseña, que obliga al usuario a no repetir las últimas contraseñas.
• Bloqueo de Cuentas

El sistema de bloqueo de cuentas permite a los controladores de dominio reaccionar frente a los intentos fallidos de iniciar sesión en el dominio. Si se activa el bloque de cuentas entonces al alcanzarse el numero de intentos especificado la cuenta es bloqueada. Su el número de intentos fallidos no alcanza al especificado, el usuario puede esperar el tiempo fijado en "restablecer cuenta" para poder volver a intentarlo. Fijando por ejemplo estos parámetros a 4 intentos y 10 minutos suele bastar para disuadir de accesos no autorizados. Una vez bloqueada la cuenta se puede elegir entre desbloqueo automático o manual, con intervención del administrador del dominio.

También en este cuadro de diálogo se puede seleccionar si los usuarios remotos serán

desconectados de los servidores al acabar su tiempo de conexión y si un usuario debe iniciar sesión en una estación de trabajo para poder cambiar su contraseña.

Administración del plan de derechos de usuarios.

Los derechos de usuarios son una serie de permisos que no se aplican sobre un objeto concreto, como un fichero, impresora o directorio, sino que se aplican al sistema completo. Estos permisos tienen prioridad sobre los permisos asignados sobre los objetos del sistema. Se pueden asignar a cada tipo de derecho de usuario los usuarios o grupos de usuarios a los que se necesite otorgar ese derecho.

Los derechos de usuarios pueden ser modificados desde el cuadro de diálogo "Plan de derechos de usuarios" accesible desde el menú DirectivasDerechos de usuarios.

Si se activa la casilla "Mostrar derechos de usuario avanzados" se pueden ver algunos derechos de usuarios más específicos. Normalmente los derechos de usuario asignados por NT asignan derechos suficientes a los grupos de usuarios creados por NT. Cuando se instalan algunos servicios, como servidores de correo, de Web y similares suele ser necesario cambiar algunos de estos derechos. Los más frecuentes suelen ser:

• Iniciar sesión como servicio. Permite asignar un usuario a un servicio. Suele ser usuario en servidores de ficheros tipo FTP, Gopher y Web, ya que permite asignar permisos a los ficheros para ese usuario, limitando el acceso a otros ficheros del sistema. También lo usa el servicio de duplicación de directorios.
• Iniciar sesión como proceso por lotes. Este derecho está pensado para los servicios que atienden las peticiones de usuarios en forma de transacciones, como por ejemplo servidores POP3 y otros. Actualmente no está implementado en el sistema operativo, pero algunos servicios verifican que el usuario posea este derecho antes de atender su petición.

Seguridad

La seguridad en Windows NT es una combinación de técnicas que aseguran un nivel de protección consistente contra los accesos no deseados. Para implementar la seguridad, tendremos que proteger la red, el sistema operativo y los datos. Para eso, disponemos de la autentificación de acceso propia de Windows NT, seguridad a nivel de objeto y derechos de usuarios. Para sacar provecho de los más altos niveles de seguridad que permite Windows NT, el nivel de seguridad C2, necesitaremos tanto el hardware como el software adecuados. NT dispone de herramientas de auditoría que nos permitirán conocer nuestros niveles de seguridad, pero tendremos que tener muy presentes los temas relativos a la seguridad cuando entran en juego las comunicaciones sobre la Internet. Para estar seguro que estamos protegidos en todos los frentes, nos es necesario conocer determinadas técnicas.

La seguridad

La seguridad puede ser clasificada en tres diferentes áreas funcionales: seguridad a nivel de red, seguridad del sistema operativo y encriptación de datos.

-La Seguridad de red ofrece autentificación (verificando que el servidor de datos y que el receptor de los mismos son correctos) y verificando la integridad de la información (de forma que los datos enviados y los recibidos sean los mismos). Conseguir este nivel de seguridad a nivel de red significa haber implementado un protocolo de red, como NetBEUI o TCP/IP, ajustado a las necesidades de la red.

Esos protocolos ofrecen varios niveles de seguridad, rendimiento (conseguidos reduciendo al mínimo la carga derivada de la seguridad), flexibilidad, y disponibilidad sobre múltiples plataformas.

Tras haber definido e instalado una determinada infraestructura de red, añadir y extender protocolos de seguridad es algo teóricamente muy simple. Todo lo que necesita es un llegar a un consenso entre los miembros de su equipo.

-La seguridad a nivel de sistema operativo debe estar integrada con el mismo desde un buen principio. Si esas funciones básicas de seguridad no han sido implementadas al propio sistema operativo desde un principio, implementarlas con posterioridad será casi imposible. Por ejemplo, Microsoft no fue capaz de implementar una seguridad seria a sus versiones de 16 bits de Windows tras su fase de desarrollo. Fue necesario un nuevo sistema operativo de 32 bits, y un nuevo modelo de programación (la API Win32) para poder hacerlo. Windows NT dispone de unas robustas funciones de seguridad que controla el acceso de los usuarios a los objetos como archivos, directorios, registro de sistema e impresoras.

También incluye un sistema de auditoría que permite a los administradores rastrear los accesos a los archivos u a otros objetos, reintentos de inicio de sesión, apagados y encendidos del sistema, etc… En cambio, Windows 95 dispone únicamente de un rudimentario sistema de seguridad en el inicio de sesión, y no dispone de seguridad a nivel de objetos.

-Encriptación de datos. Puede operar de distintas formas. Muchas aplicaciones disponen de encriptación por sí mismas. Algunos protocolos, como SSMTP (Secure Simple Mail Transfer Protocol) soportan encriptación automática. La encriptación ofrecida por terceras compañías, como PGP (Pretty Good Privacy) también está disponible. Incluso Microsoft ha añadido un sistema de encriptación básico, CAPI (Cryptography API) a la API Win32.

CAPI consiste en un juego de funciones que permiten a las aplicaciones y a los desarrolladores de sistemas de software acceder de forma independiente a los servicios de criptografía. NT dispone de un servicio básico de criptografía que nos permite codificar los datos facilitando así el almacenamiento seguro y una transmisión segura combinando claves públicas y privadas. El método de encriptación es similar al PGP.

Aspectos de la seguridad NT

NT ofrece seguridad en tres áreas fundamentales. Se trata de autentificación en el inicio de sesión, seguridad a nivel de objetos y derechos de los usuarios.

La "Local Security Authority" efectúa validaciones interactivas y remotas (a través del RAS), inicios de sesión locales y globales (en dominios) verificándolo contra SAM (Security Account Manager), la base de datos donde se almacenan los nombres de los usuarios y sus contraseñas. La "Local Security Authority" también gestiona los mensajes de auditoría.

El "Security Reference Monitor" verifica si un usuario tiene derecho a acceder a un objeto y ejecutar la acción solicitada. Además, es el responsable de los mensajes de auditoría. Con el diálogo permisos del Administrador de archivos (si se encuentra en NT 3.51) o el Explorador de archivos (en Windows NT 4.0), podrá controlar la seguridad de la mayoría de los objetos. Por ejemplo, la activación y el acceso al objeto servidor del DCOM (en Windows NT 4.0) están completamente integrados con el modelo de seguridad de Windows NT.

Aparte de la seguridad de los objetos, el NT permite controlar, y monitorizar funciones de sistema.

Con el Administrador de usuarios podrá controlar qué cuenta de usuario o grupo puede, por ejemplo, añadir estaciones de trabajo a un dominio, salvar o restaurar archivos y directorios, cambiar la hora del sistema, iniciar una sesión localmente, gestionar las registros de auditoría y seguridad y cerrar el sistema. La Local Security Authority mantiene la Planificación de cuentas de usuario.

Administración de cuentas: Autentificación de inicio de sesión

El NT gestiona tanto a usuarios como máquinas. De forma que deberá validar a los usuarios autorizados y proveerlos de lo necesario para acceder al sistema.

A un nivel general, un dominio NT es una colección de máquinas, a las cuales el controlador de dominio administra como si se tratase de una única máquina, compartiendo una misma base de datos de seguridad. Dicha base de datos mantiene información de todos los usuarios y grupos de ese dominio. Una cuenta de dominio, llamado de otra forma cuenta global, tiene el formato dominiousuario. Si iniciamos una sesión en una máquina del dominio e intentamos conectarnos a una unidad de red, tendremos que introducir nuestros datos con ese formato.

Además de las cuentas de usuarios, cada máquina puede disponer de una base de datos de seguridad local que contendrá la información de los usuarios y grupos de usuarios exclusivos de ese sistema. De hecho, las máquinas locales funcionan como dominios independientes. Las cuentas de usuarios o grupos en esas máquinas locales tiene el formato maquinausuario y serán exclusivas de esa máquina.

La herramienta básica para administrar los usuarios y grupos de un dominio es el programa USRMGR.EXE, conocido por Administrador de Usuarios para dominios. Windows NT Workstation incluye una versión reducida de este programa y permite la gestión únicamente de esa máquina. En la figura 1 podemos ver la pantalla resultante de la ejecución de USRMGR.EXE, la cual puede visualizar información local y del dominio, dependiendo de si añadimos parámetros o no al ejecutar el programa. Ejecutar USRMGR sin parámetros, gestionará el dominio al cual es usuario esté conectado en ese momento. Si ejecutamos USRMGR nombre_dominio como parámetro, se gestionará ese dominio en concreto, y si se ejecuta USRMGR /nombre_máquina, se gestionarán los usuarios de esa máquina en concreto.

Cargar los dominios puede ser cuestión de minutos si se trata de organizaciones con muchos dominios, por lo que se agradece a la larga la posibilidad de parametrizar y gestionar un dominio o máquina en concreto. El programa también permite a los administradores gestionar las relaciones de confianza de los dominios, de forma que el usuarios del dominio A puedan acceder a los recursos del dominio B como si fueran usuarios del segundo.

Un valor único y permanente, el SID (Security Identifier) identifica usuarios individuales y grupos de usuarios. Después de que el sistema asigne un SID, no lo volverá a utilizar, por lo que si por lo que sea borramos un usuario o grupo y más tarde nos vemos en la necesidad de volverlo a crear, se le asignará un nuevo SID. Será necesario volver a reestablecer de nuevo los derechos de acceso sobre los objetos para ese nuevo SID.

Acceso a través de APIs: Seguridad de objectos

NT asegura la seguridad a nivel de objetos verificando todas las peticiones sobre los objetos a través de un mecanismo de seguridad integrado. Muchas de las funciones de la API Win32 disponen de parámetros de seguridad opcionales, y todos los programas que se ejecuten deben utilizar esas APIs para acceder a los objetos. Si pudiésemos ejecutar el interfaz de mandatos y desde allí copiar, renombrar o borrar archivos sin utilizar esas funciones, la seguridad en Windows NT quedaría más que en entredicho. De hecho, la capacidad de manipular el hardware directamente desde Windows 16 bits o desde el DOS era el escollo más importante para ofrecer un sistema de seguridad en esos entornos.

Los parámetros de seguridad en las funciones de la API Win32 son opcionales, pero normalmente el NT echa mano de ellas cuando un programa accede a un recurso general de sistema, como por ejemplo, cambiar la hora del sistema. Algunas aplicaciones pueden implementar niveles de seguridad si trabajan con archivos de usuario o directorios (el impacto sobre el rendimiento es insignificante) pero muchas de las APIs no especifican información de seguridad.

En cambio Windows 95 no tiene en cuenta temas relativos a la seguridad e ignora todos los parámetros de seguridad posibles existentes en la API Win32. Esta "ceguera" de Windows 95 frente a Windows NT puede comportar una sutil diferencia a la hora de programar para un sistema operativo u otro. Precisamente, es esta una de las razones por las cuales es conveniente verificar el adecuado funcionamiento de las aplicaciones en ambas plataformas.

Pero implementar seguridad a nivel de APIs también comporta otra sutileza. En aplicaciones Cliente/Servidor, la aplicación servidor acostumbra a controlar el acceso a los objetos. Puesto que la aplicación cliente, normalmente, no gestiona la seguridad directamente, la aplicación servidor se ve a menudo obligado a trabajar como proxy de la parte cliente. También podría despersonalizar al cliente utilizando APIs del tipo Impersonate…() o iniciar una sesión como cliente (si la aplicación servidor conoce el nombre del usuario y su contraseña.

Asegurar los objetos

Además de archivos y directorios, Windows NT controla la seguridad de otros objetos. La API Win32 implementa cinco grupos de funciones que operan con cinco tipos de objetos distintos.

1. Objetos de archivos y directorios: NT almacena la información relativa a la seguridad. Sólo está disponible en volúmenes formateados NTFS.

2. Objetos de usuario (objetos de gestión de ventanas): Estos objetos incluyen los objetos del escritorio y las ventanas. Estos objetos de usuario residen siempre en memoria y nunca son salvados a disco (no son persistentes).

3. Objetos del Kernel: El kernel del Windows utiliza estos objetos, entre los que se incluyen procesos, hebras, semáforos y "mutes". Al igual que los objetos de usuario, tampoco son persistentes.

4. Objetos de servicio: Estos objetos, entre los que se incluyen todos los servicios que podamos encontrar en el icono Servicios del Panel de Control, se encuentran bajo el control del SMC (Service Control Manager) y tampoco son persistentes.

5. Objetos privados: Los programas de las aplicaciones pueden implementar y deben mantener su propia seguridad, siendo los objetos privados los encargados de interactuar con el sistema de seguridad de la API Win32. Por ejemplo, un sistema de base de datos, como SQL Server, puede necesitar almacenar información de seguridad internamente y utilizar la validación de usuarios por dominios del NT. El Registro es una implementación Win32 de esos objetos privados. La información relativa a la seguridad está almacenada en el Registro del Sistema.

Un SD (Security Descriptor) describe los atributos de seguridad de cada objeto susceptible de ser protegido. Estos atributos identifican el propietario del objeto y dos ACL (Access Control List), una para el acceso al objeto propiamente dicho y otro para las funciones de auditoría. La ACL para el acceso a los objetos se llama DACL

(Discretionary Access Control List) e incluye varias entradas de control de acceso (ACE,

Access-Control Entries). Cada ACE identifica un SID y si es accesible o no. La otra ACL es la SACL (System Access Control List) la cual controla la auditoría de eventos.

Los derechos de los usuarios

Además de los derechos de acceso, los cuales están asociados con los objetos, Windows NT implementa también privilegios. Para asignar derecho a objetos, utilizaremos el Administrador de archivos o el Explorador, dependiendo de la versión de Windows NT. Para asignar privilegios, utilizaremos el Administrador de Usuarios. Los privilegios forman parte del identificador que se asigna al usuario cuando inicia una sesión en el sistema. Es el Sistema Operativo quien determina los privilegios de los usuarios, y no las aplicaciones. En la Tabla 1 podemos ver los privilegios que son reconocidos por NT 4.0.

Los privilegios son siempre fuente de frustración. ¿Se ha encontrado alguna vez que tras crear una cuenta de usuario, al intentar iniciar una sesión local con ese perfil, ha recibido el mensaje "las directivas locales de este sistema no le permiten iniciar una sesión interactiva"? Por defecto, NT asigna los nuevos usuarios al grupo de Usuarios, pero este grupo, también por defecto, no dispone de permisos para iniciar una sesión local.

Con Microsoft Internet Information Server (IIS), nos podemos encontrar con un problema similar.

La cuenta de usuario predefinida IUSR_maquina, es una cuenta local con unos pocos privilegios, de forma que no puede ser utilizada de inicio de sesión anónimo si se especifica autentificación básica HTTP.

Si echa un vistazo con detenimiento a USRMGR.EXE, verá el grupo "Todos" bajo la opción "Acceder a este ordenador desde la red", aunque este grupo no aparezca después como tal. NT define un grupo de SID, como Todos o Interactivo para ayudar así al administrador de la red con los más frecuentes derechos de acceso.

En general, los privilegios sobreescriben la seguridad individual de los objetos. Un ejemplo de esta sobreescritura se da cuando un administrador de copias de seguridad cambia el indicador (o "flag") a todos los archivos de un volumen. Sin los correspondientes privilegios, el administrador tendría que añadir otro ACE a cada archivo para que el programa de copias de seguridad pudiera modificar sus indicadores. Si añadimos un nuevo SID al grupo Todos, la seguridad del NT no tendrá que verificar si tiene derechos o no, por lo que determinadas operaciones se ejecutarán más rápido.

Acceso a travez de RAS ( remote access sevice )

El Windows NT RAS ( remote access service ) o servicio de acceso remoto implementa un número de medidas de seguridad para validar acceso remoto de un cliente a la red.

En algunas ocasiones conectarse a la red a través de un RAS es más seguro que acceder a través de una colección local.

El Windows NT Server provee para empresas un método de seguridad usando un dominio confiable. Este método elimina la necesidad de duplicar las cuentas de usuario trabajando en redes de múltiple server. El Single-Network modelo de logearse se extiende para usuarios de RAS.

El servidor de usuarios RAS utiliza la misma base de datos para las cuentas de usuario que el Windows NT. Esto permite una administración más fácil, porque los clientes se pueden logear con la misma cuenta de usuario que usan en la oficina esta característica asegura que los clientes tengan los mismos privilegios y permisos que normalmente tienen en la oficina.

Para conectarse a un servidor RAS, el cliente debe tener una cuenta de usuario válida, así como un permiso de discado RAS.

Los clientes deben ser auténtificados por el RAS antes de que ellos intenten logearse al Windows NT.

Encriptado automático y proceso de logeo.

Todas las autentificaciones e información de logeo, son encriptadas cuando se transmiten a través del RAS. De todas formas como complemento, es posible configurar el discado de la red (Dial-up-Networking ) y el RAS, para que todos los datos que pasan entre un cliente y un servidor sean encriptados.

Hosts de seguridad intermedia

Es posible agregar otro nivel de seguridad a la configuración de un RAS mediante la conexión de una tercer pared intermediaria de seguridad de un Host, entre el cliente/s de un RAS y el RAS del servidor/es. Cuando un Host de intermediario de seguridad es usado, los clientes deben tipear una clave o un código para pasar el dispositivo de seguridad, antes de que una conexión se establezca con el servidor RAS.

Seguridad C2

De acuerdo con la TCSEC (Trusted Computer System Evaluation Criteria) publicado por la NCSC (National Computer Security Center), la seguridad C2 requiere una específica combinación y configuración de software y hardware. NT no es "per se" un sistema operativo que cumpla con el nivel C2 de seguridad, pero podemos hacer que lo sea. Microsoft diseñó esta posibilidad dentro del modelo de seguridad del NT desde los primeros momentos. El nivel C2 de seguridad requiere lo siguiente:

• Cada recurso tiene un propietario que debe controlar el acceso al recurso.

• Cada usuario debe iniciar la sesión con un identificador y contraseña exclusivos antes de poder acceder al sistema.

• El sistema monitoriza toda actividad de los usuarios.

• Los administradores de sistema deben auditar los eventos relativos a la seguridad del sistema, y el acceso a los datos de auditoría deben ser seguros.

• El sistema debe poder protegerse a sí mismo de interferencias externas.

El Resource Kit de Windows NT incluye el programa C2CONFIG.EXE (C2 Configuration Manager), que verifica que el sistema cumpla con los requisitos C2, de la forma en que podemos verlo en las figuras 2 y 3.

Auditoría de eventos

La auditoría nos puede descubrir intentos de acceso no autorizados. Tendría que buscar un equilibrio entre los costes y los beneficios derivados de la utilización de la auditoría. Los costes incluyen el impacto en el rendimiento del sistema y en el espacio del disco, además de los esfuerzos que significan escarbar entre grandes cantidades de transacciones, intentando encontrar información interesante.

La herramienta básica de auditoría de Windows NT es el Visor de Eventos. Nos permite auditar accesos a objetos tanto fallidos como efectuados, además de los eventos relativos a los derechos de los usuarios. El diálogo Auditoría en el Explorador del NT, por ejemplo, permite controlar eventos de lectura, escritura, ejecución, borrado, cambio de permisos y adjudicación de propiedad del objeto y del directorio. En la figura 4 podemos ver la información que ofrece el registro de eventos.

Con el programa USRMGR.EXE podemos activar o desactivar la auditoría sobre inicios y fin de sesión, acceso a objetos y archivos, uso de los permisos de los usuarios, gestión de usuarios y grupos, cambios en la directivas de seguridad, reinicialización y apagado del sistema y rastreo de los procesos del mismo. Obviamente, si no asigna a ningún usuario derechos para "Administrar los registros de auditoría y seguridad" (vea la tabla 1 para la lista de derechos), no podrá cambiar nada.

Seguridad e Internet

A diferencia del bien definido sistema de seguridad del NT, el modelo de seguridad de Microsoft respecto a Internet se encuentra sometido al continuo proceso de cambio al que a su vez se encuentra la misma Internet. El ISF (Internet Security Framework) es hoy por hoy más un compendio de protocolos que una definición de normas de seguridad.

ISF ofrece diversos protocolos de red especializados sobre el estándar de criptografía CAPI de Microsoft y sobre lo que Microsoft denomina Authenticode, un sistema de verificación por firma de objetos instalables, que garantizan que estos módulos u objetos no han sido manipulados y que tienen un autor determinado que de alguna forma, responde de la actuación de dicho objeto software. Para más información acerca de Authenticode, vea http://www.microsoft.com/intdev/signcode.

Los protocolos IFS incluyen:

• PPTP (Point to Point Tunneling Protocol), el cual permite establecer redes seguras sobre segmentos de redes inseguras, creando líneas seguras virtuales.

• SSL (Secure Sockets Layer) y su versión ampliada PTC (Private Communications Technology) que ofrecen autentificación de servidores, encriptación e integridad de datos.

• SET (Secure Electronic Transaction) que permite autentificación y confidencialidad de tarjetas de crédito, vendedores y clientes. SET dispone de un amplio soporte por parte de la industria (Microsoft, IBM, Netscape, etc…) y las últimas especificaciones están disponibles en los sitios web de VISA (http://www.visa.com) y Mastercard (http://www.mastercard.com)

• PFX (Personal Information Exchange) que transfiere información personal entre ordenadores y plataformas.

ISF encripta todos los paquetes de la red. De todas maneras, las aplicaciones pueden disponer de funciones de encriptación adicionales. Por ejemplo, con el código que Microsoft ha licenciado de Nortel (antes Northern Telecomm) y de RSA, Microsoft Exchange puede proteger el correo electrónico con firma/encriptación. La versión estadounidense de MS Exchange también puede utilizar encriptaciones de 56 bits o hasta encriptaciones de 64 bits. Otras versiones, como la española, únicamente pueden utilizar encriptación de 40 bits.

Accidentes

NT emplea una variedad de tecnologías para mantener la seguridad. La naturaleza de las aplicaciones actuales, cada vez más distribuidas, además del crecimiento de las comunicaciones externas fuera de la empresa (el método más frecuente, la Internet), complican sobremanera determinar qué es seguro y qué no. Aunque cada situación en concreto dispone de el método más adecuado, es necesario conocer qué soluciones están disponibles en el mercado en cada momento, de forma que podamos proteger nuestro sistema antes de que nos pase.

Microsoft Exchange

La principal característica del cliente de Exchange es que combina una interfaz única de usuario para correo electrónico, compartición de información, acceso a Internet, proceso de textos, fax, etc.y éste es personalizable y extensible.

Exchange define dos tipos de carpetas de información: Personal Folders y Public Folders.

Los Personal Folders o carpetas personales se usan para almacenar mensajes y documentos que el usuario no desea compartir con los demás miembros de la organización. Las carpetas personales pueden residir tanto en el servidor de Exchange como en el disco duro local de la máquina del usuario o en cualquier otro servidor de ficheros de la red.

Los Public Folders o carpetas públicas son almacenados en el servidor de Exchange y proporcionan la capacidad de que todos o determinados miembros de la organización puedan compartir todo tipo de información: mensajes, documentos o aplicaciones. Una carpeta pública es una aplicación del tipo de una BBS (Bulletin Board Service) a la cual varios usuarios pueden acceder e interactuar con la información.

Este tipo de aplicaciones pueden ser diseñadas en Exchange sin necesidad de programar; los usuarios simplemente seleccionan opciones desde ventanas de diálogo que describirán el tipo de información y como ésta va a estar organizada.

Además del sistema de organización por carpetas, el Cliente de Exchange proporciona nuevas características que facilitan tanto el acceso, como la visualización y organización de la información.

Cuando instala Microsoft Exchange Server 5.0, el soporte de POP3 (Post Office Protocol 3) esta activado de forma predeterminada, permitiendo a los clientes POP3 recuperar su correo electrónico tan pronto como se configura el servidor.

La administración del POP3 se encuentra completamente integrada con la del Exchange Server, proporcionando una única e intuitiva interfaz de administración centralizada. El servicio de Internet Mail puede servir de guía para los administradores principiantes para configurara el protocolo SMTP.

Las actividades de monitoreo se realizaran integradas con los mensajes de Exchange, el Visor de Eventos y el Monitor de rendimiento que Windows NT Server 4.0 provee.

La característica Key Manager Server de Exchange 4.0 ha permitido que los usuarios de una empresa puedan intercambiar mensajes firmados y encriptados para proteger su seguridad, confidencialidad y autenticidad.

Sin embargo, la transferencia de correo electrónico a través de Internet ha resultado mucho menos segura, pero con Exchange Server 5.0, es posible intercambiar individualmente claves y certificados de seguridad, incluso entre empresas diferentes, lo que permite intercambiar mensajes firmados y encriptados en forma segura a través de Internet.

Microsoft diseño Exchange Server 5.0 para la satisfacción de las necesidades de correo electrónico de los clientes internacionales al incluir los juegos de caracteres para los lenguajes:

Swedish IA5

Norwegian IA5

Latin-1 (ISO ((%)-1)

Japan-JIS (ISO -2022-JP) per RCF 1468

Japan EUC

Japan Shift-JIS

Korean (RCF 1557)

Chinese GB 2312 (RFC 1842)

Taiwanese (BIG5) (RFC 1842)

Exchange Server 5.0 amplia más estas opciones incluyendo mas de 30 juegos de caracteres configurados durante la instalación. Además los administradores podrán seleccionar una fuente de tamaño proporcional o fijo en cada uno de los mensajes entrantes.

El soporte de RFC 1521 permite agregar a los mensajes una etiqueta de juego de caracteres y con RFC 1522 se puede especificar la información del encabezado, como por ejemplo las direcciones de correo electrónico y asuntos.

FTP

La mayoría de las veces cuando pensamos en Internet pensamos en el Word Wide Web, pero uno de los servicios más interesantes para una aplicación es el File Transfer. Por medio de este servicio podemos construir un sistema de actualización automática de nuestro software, recepción de pedidos de nuestros clientes o recogida de informes desde oficinas remotas. Las posibilidades son muchas y no es muy complicado.

Servidores y Clientes FTP

Como la mayoría de los protocolos de Internet el FTP requiere la existencia de un servidor que nos permita recoger (y en algunos casos enviar) ficheros desde un cliente. También, como la mayoría de protocolos de Internet, el servidor FTP sólo actúa bajo las peticiones del cliente y no es posible enviar un fichero si este no ha sido solicitado.

Para nuestro sistema necesitaremos utilizar un servidor FTP. La mayoría de los servidores FTP públicos de Internet sólo permiten conexiones anónimas para extraer ficheros y no permiten recibirlos. Si queremos aprovechar todas las posibilidades deberemos hacernos con un servidor FTP.

Windows NT trae dos servidores FTP, el incorporado dentro de sus servicios TCP/IP y el incluido con el servidor Microsoft Internet Information Server. Existe una buena colección de servidores FTP para Windows NT.

En el mundo de los programas comerciales, shareware y freeware existen algunos servidores FTP para Windows 95 excelentes. Deberemos pensar en alguno de ellos si queremos utilizar Windows 95 como un servidor FTP más allá de unas pocas peticiones.

Windows NT y Windows 95 disponen de un cliente FTP por medio de órdenes de comando. Este cliente es muy similar al que se dispone en la mayoría de los sistemas UNIX, pero bastante pobre para los usuarios acostumbrados a la interface gráfica, que preferirán hacer uso del Browser de WWW como cliente FTP. Otra posibilidad es utilizar algún programa FTP gráfico shareware y freeware como CuteFTP o WsFTP, programas muy difundidos entre los usuarios de Internet.

Usuario y Password

En FTP, a diferencia de otros protocolos, entre el servidor y el cliente se establece una sesión en la que se permite al cliente, dependiendo de su usuario y password, acceder a unos determinados ficheros y/o directorios, en sólo lectura o en escritura y lectura. No es posible realizar una sesión FTP sin una identificación de usuario. La mayoría de los servidores de Internet permiten el acceso de un usuario llamado anonymous cuya password es simplemente la dirección de correo del que se conecta (en la práctica puede ser cualquier cosa) que permite acceder a la parte pública del servidor.

Deberemos tener clara una cierta política de usuarios si tenemos intención de recibir ficheros en un servidor FTP, pues no sería buena idea dar al usuario anonymous estos privilegios. Si sólo va a servir ficheros es posible utilizar únicamente este usuario genérico.

La orden FTP

Como hemos dicho, Windows 95 y Windows NT disponen de una orden FTP en modo comando que nos permite realizar todas las operaciones del cliente FTP. Para arrancarlo debemos abrir una ventana de Interfaz de Comando (DOS) y escribir simplemente FTP. Nos aparecerá una especie de símbolo del sistema con el texto ftp>. Una vez en este punto podemos escribir ordenes FTP.

ftp> open ftp.server1.es

Connected to ftp.server1.es.

220 server1 Microsoft FTP Service

User (ftp.server1.es:(none)): anonymous

331 Anonymous access allowed, send identity (e-mail name) as password.

Password:

230-Windows NT FTP Service.

230 Anonymous user logged in as anonymous.

ftp> binary

200 Type set to I.

ftp> get parche.exe

200 PORT command successful.

150 Opening BINARY mode data connection for parche.exe(48790 bytes).

226 Transfer complete.

48790 bytes received in 1,43 seconds (34,12 Kbytes/sec)

ftp> quit

221 Bye.

Se pueden observar algunas de las ordenes comprensibles por el cliente FTP para conectarse (OPEN), configurar (BINARY) o recibir los ficheros (GET). Es importante fijarse en la necesidad de configurar la trasferencia como binaria si vamos a trasmitir un fichero que no sea sólo texto.

Desde un programa como FoxPro 2.x o Visual FoxPro podemos utilizar este sistema con un fichero en el que pasamos las operaciones que deseamos realizar y uno de los parámetros que este programa admite en Windows 95 y en Windows NT.

RUN FTP -s:fichero.ftp >resultado.txt

Aquí se puede ver un programa FoxPro que baja el fichero con el índice de la Knowledge Base de FoxPro del servidor FTP de Microsoft:

*** Construir el fichero para ftp

SET ALTERNATE TO indexkb.ftp

SET ALTERNATE ON

SET CONSOLE OFF

? "open ftp.microsoft.com"

? "anonymous"

? "usuario[arroba]servidor.es"

? "cd /developr/fox/kb"

? "get index.txt"

? "quit"

SET CONSOLE ON

SET ALTERNATE OFF

SET ALTERNATE TO

*** Llamar al comando ftp

RUN ftp -s:indexkb.ftp >resultado.txt

Al ejecutar este programa se muestra una ventana donde aparecen las distintas órdenes que hemos pasado. Desde luego no es un sistema muy elegante, pero funciona. Podríamos mejorarlo haciendo que la ventana de comandos no se visualizara, leyendo de un fichero el resultado de la orden, etc. De todas formas está es la forma más sencilla, y posiblemente más formativa, de utilizar el FTP.

Cada cliente FTP permite incluir más o menos órdenes, pero las principales están en todos los programas. Para saber más sobre la orden FTP y sus posibilidades se puede consultar el comando por medio del parámetro /? o desde su prompt por medio de la orden HELP.

Trabajo enviado por:

Facundo Pellegrini

fpellegrini[arroba]logitron.com.ar