Instructor: En esta lección, vamos a
explorar algunas de las características
de seguridad dentro de la BIOS y la UEFI.
Además de proporcionar protecciones en nuestra red
y en el entorno de nuestro sistema operativo,
también debemos tener en cuenta la seguridad
de nuestro entorno previo al sistema operativo.
Esta es el área del ordenador
que puede ser atacada durante la fase de arranque
y, por lo tanto, hay que tener en cuenta las protecciones
del cargador de arranque, incluidas las contraseñas de la BIOS y la UEFI, el proceso
de arranque seguro y la configuración de permisos en los puertos
USB de la placa base.
Recuerda, la BIOS y la UEFI son dos tipos diferentes de firmware
que se utilizan en nuestros ordenadores para ayudarnos durante
la carga y el arranque de nuestro sistema operativo.
Cada ordenador puede tener la BIOS o la UEFI,
pero no ambas.
La BIOS es el sistema básico de entrada/salida
y es una interfaz de firmware que inicializa el hardware
de un sistema operativo para que pueda arrancar.
Los ordenadores que dependen de la BIOS van a utilizar
un registro de arranque maestro, o MBR, para mantener su información de arranque e identificar
las particiones de un disco duro determinado que contienen
el sistema operativo que se va a cargar.
La BIOS es el tipo de firmware más antiguo y heredado.
Por otro lado, UEFI, o iniciativa de firmware extensible
unificado, es un tipo de firmware más reciente.
La UEFI es un tipo de firmware de sistema que ofrece soporte
para operaciones de CPU de 64 bits en el arranque, una interfaz gráfica
de usuario completa y operaciones de ratón en el arranque y una mayor
seguridad en el arranque.
Los ordenadores que se basan en UEFI van a utilizar una
tabla de particiones GUID conocida como GPT para mantener su información de arranque.
UEFI permite acceder y arrancar desde discos
de más de dos terabytes de tamaño y proporciona una
arquitectura y controladores independientes de la
CPU, así como un entorno preOS que puede incluir
capacidad de red y acceso a navegación web.
En general, la UEFI es más nueva y avanzada que la BIOS y ofrece comprobaciones
adicionales de seguridad e integridad durante
el proceso de arranque, incluido el arranque seguro.
Ahora, la BIOS y la UEFI también pueden protegerse
con distintos tipos de contraseñas.
Esto incluye la contraseña de supervisor,
administrador o configuración, la contraseña de usuario o sistema
y la contraseña de almacenamiento o disco duro.
La contraseña de supervisor, administrador o configuración
es el primer tipo de contraseña que vas a encontrar
cuando utilices la BIOS o la UEFI.
Esta contraseña se utiliza para proteger el acceso
al programa de configuración de la BIOS o UEFI e impide que
usuarios no autorizados accedan a esta sensible
herramienta de configuración.
Si configuras esta contraseña, cada vez que alguien intente
entrar en la BIOS o la UEFI, se le pedirá que introduzca
la contraseña antes de concederle el acceso,
pero no impedirá que alguien encienda el ordenador y arranque
en el entorno normal del sistema operativo.
Esta contraseña casi siempre se configurará en ordenadores
de una red corporativa o empresarial para
que los usuarios finales no puedan acceder a la BIOS o la UEFI, pero los
administradores y técnicos del sistema sí puedan
si tienen la contraseña correcta.
La contraseña de usuario o del sistema es el segundo
tipo de contraseña que se puede configurar en la BIOS o UEFI.
Esta contraseña se utiliza para bloquear el acceso a todo el ordenador.
Cada vez que se encienda el ordenador,
se detendrá y pedirá una contraseña.
Si el usuario final introduce la contraseña correcta, el ordenador
seguirá cargando el sistema operativo y arrancará.
Aunque se trata de un método muy seguro para proteger un ordenador,
casi nunca se utiliza en redes corporativas o empresariales, porque esta
contraseña tendría que compartirse con todos
los usuarios que accedan a ese ordenador, y esta contraseña compartida
anula entonces parte de la seguridad que estamos intentando
ganar.
En su lugar, normalmente verás una contraseña de usuario o de sistema
que sólo se utiliza en el ordenador de
alguien cuando es el único usuario.
Se trata de una contraseña distinta y separada
de la contraseña de usuario que se va
a utilizar para acceder a Windows, Linux o al sistema MacOS, y en su lugar
concede al usuario acceso al sistema en ese entorno
previo al sistema operativo.
El tercer tipo de contraseña se conoce como contraseña
de almacenamiento o de disco duro.
Este tipo de contraseña solía ser muy popular
antes de la inclusión del módulo de plataforma de confianza
o módulo de seguridad de hardware en los ordenadores modernos.
Esta contraseña bloquearía el acceso a un disco
duro conectado a un sistema y exigiría que el usuario
final introdujera la contraseña para poder leer
ese disco duro y cargar el sistema operativo.
A diferencia de la contraseña de usuario o del sistema, que bloquea
al usuario de todo el sistema hasta que se introduce
la contraseña adecuada, la contraseña de almacenamiento
o del disco duro sólo lo bloqueará del disco duro
y de la capacidad de arrancar el sistema operativo desde él.
La siguiente característica de seguridad que tenemos
que cubrir se conoce como arranque seguro.
El arranque seguro se puede activar en la interfaz
y la configuración de UEFI y no es compatible con BIOS.
Si está activada, va a realizar tres verificaciones diferentes
durante el proceso de arranque de Windows u otros
sistemas operativos que soporten esta capacidad con el fin de asegurar
que el ordenador no ha sido secuestrado por algún tipo de
código malicioso inyectado en el sistema operativo.
Veamos el proceso completo de arranque
en un sistema Windows normal.
El primer paso del proceso tiene lugar cuando se inicia un ordenador
con Windows, se cargan los componentes de arranque del firmware y
se inicia el gestor de arranque.
A continuación, se iniciará el cargador de Windows,
se iniciará el kernel de Windows y se producirán
las instalaciones de los controladores críticos
para el arranque.
Ahora, cualquier inicialización adicional del sistema operativo
va a suceder, y, finalmente, el usuario se presenta con la pantalla
de inicio de sesión de Windows.
Ahora, cuando los componentes de arranque del firmware
se cargan durante un arranque seguro, el firmware primero va
a verificar que todos los archivos ejecutables UV y el propio cargador del SO tienen
su integridad intacta y no han sido comprometidos
por ningún tipo de malware.
Esto significa que van a ser seguros para cargar.
A continuación, los componentes de arranque de Windows
van a verificar la firma digital de cada componente
antes de cargarlos.
Si algún componente no supera esta comprobación
de firma, no se cargará y se activará una alerta
para el usuario final.
Por último, los controladores críticos para el arranque
se comprobarán con sus hashes conocidos y, si pasan
esta comprobación, se cargarán como parte final del
proceso de arranque seguro.
Ahora, cuando se trata de arranque seguro, quiero que recuerdes
que este es un procedimiento que se va a utilizar para
asegurar que nuestro sistema operativo en sí es de confianza
y no ha sido víctima de un tipo especial de malware conocido
como root kit.
Para que el arranque seguro funcione, tiene que
estar habilitado dentro de tu sistema UEFI, y tu sistema operativo
también tiene que soportarlo.
La última característica de seguridad que tenemos que cubrir
dentro de la BIOS o UEFI es la configuración de permisos para los puertos
USB de la placa base.
La mayoría de los sistemas modernos pueden configurarse
para activar o desactivar los puertos USB de la placa
base, y algunos incluso permiten restringir los puertos USB
para que no admitan determinados tipos
de dispositivos USB, pero permitiendo el uso de otros.
Ahora, la gran preocupación aquí normalmente
va a ser con el malware y la pérdida de datos.
En términos de malware, los puertos USB pueden proporcionar una gran
vía de ataque para alguien que esté
intentando entrar en tu sistema.
Por ejemplo, si cargo una memoria USB con
malware, puedo dejarla en un aparcamiento fuera
de un edificio de oficinas y, si alguien curioso
la coge y la conecta a su máquina, puede
instalar malware en sus sistemas.
Así que queremos evitar esto desactivando la capacidad de USB
para leer y escribir desde dispositivos de almacenamiento masivo.
Puedes hacerlo bloqueando el USB por completo, pero
entonces no podrías usar cosas como auriculares
y cámaras web, ratones y teclados, y cosas por el estilo.
Así que, en su lugar, podríamos restringir la capacidad de utilizarlos
como dispositivos de almacenamiento masivo, y esto evitaría
que cualquier cosa como unidades USB o unidades flash
o discos duros externos se conecten al sistema.
Esto puede ayudarnos a evitar que
se introduzca malware en nuestro sistema.
Pero además de eso, también podría ayudarnos a evitar que los
datos salgan de nuestro sistema.
Por ejemplo, supongamos que trabajas para una organización
de alto secreto del gobierno.
No te gustaría que alguien pudiera
entrar con una pequeña memoria USB, conectarla al ordenador,
descargar toda tu información y salir
por la puerta principal con ella.
Así que para evitar esto, puedes configurar tu UEFI para bloquear
esos puertos USB o evitar que se utilicen para dispositivos de almacenamiento
masivo, y de nuevo, bloquear la capacidad de utilizar unidades
de memoria USB y discos duros externos, lo que hará que la
gente no pueda salir por la puerta principal
con tu información crítica.
Así que recuerda, cuando se trata de seguridad, hay tres cosas
principales que tu BIOS o UEFI pueden proporcionarte.
La primera es la posibilidad de establecer contraseñas
para controlar el acceso a distintas partes del sistema.
La segunda es la posibilidad de activar el arranque seguro
para asegurarse de que su sistema operativo no ha sido comprometido
antes de cargarlo.
Y la tercera es la posibilidad de restringir o desactivar los puertos
USB de la placa base para evitar que
se introduzca malware en el
sistema o que se filtren datos del mismo.