Novedades de Control de cuentas de usuario
Antes de la introducción del Control de cuentas de usuario (UAC), cuando un usuario iniciaba sesión como administrador, a dicho usuario se le concedía automáticamente acceso completo a todos los recursos del sistema. Aunque la ejecución de software como administrador permitía al usuario instalar software legítimo, el usuario también podía instalar involuntariamente o no un programa malintencionado. Un programa malintencionado instalado por un administrador puede afectar completamente al equipo y a todos los usuarios.
Con la introducción de UAC, el modelo de control de acceso ha cambiado para ayudar a mitigar el impacto de un programa malintencionado. Cuando un usuario intenta iniciar una tarea o un servicio de administrador, el cuadro de diálogo Control de cuentas de usuario solicita al usuario que haga clic en Sí o No para que pueda usarse el token de acceso de administrador completo del usuario. Si el usuario no es administrador, debe proporcionar las credenciales de un administrador para ejecutar el programa. Debido a que UAC requiere que un administrador apruebe instalaciones de aplicación, las aplicaciones no autorizadas no se pueden instalar automáticamente o sin el consentimiento explícito de un administrador.
En Windows® 7 y Windows Server® 2008 R2, la funcionalidad UAC ha mejorado para:
- Aumentar el número de tareas que puede realizar un usuario estándar que no solicitan la aprobación del administrador.
- Permitir que un usuario con privilegios de administrador configure la experiencia UAC en el Panel de control.
- Proporcionar otras directivas de seguridad locales que permiten que un administrador local cambie el comportamiento de los mensajes UAC para administradores locales en el Modo de aprobación de administrador.
- Proporcionar otras directivas de seguridad locales que permiten que un administrador local cambie el comportamiento de los mensajes UAC para usuarios estándar.
Usuarios que se benefician de UAC
UAC ayuda a los usuarios estándar y a los administradores a proteger sus equipos impidiendo la ejecución de programas que podrían ser malintencionados. La experiencia de usuario mejorada simplifica la realización de tareas diarias por parte del usuario, al mismo tiempo que protege su equipo.
UAC ayuda a los administradores de empresa a proteger su red impidiendo que los usuarios ejecuten software malintencionado.
Ventajas de las características nuevas y modificadas
De forma predeterminada, los usuarios estándar y los administradores obtienen acceso a los recursos y ejecutan aplicaciones en el contexto de seguridad de los usuarios estándar. Cuando un usuario inicia sesión en un equipo, el sistema crea un token de acceso para dicho usuario. Este token de acceso contiene información acerca del nivel de acceso que se le concede al usuario, incluidos identificadores de seguridad específicos (SID) y privilegios de Windows.
Cuando un administrador inicia sesión, se crean dos tokens de acceso diferentes para el usuario: un token de usuario estándar y un token de acceso de administrador. El token de acceso de usuario estándar contiene la misma información específica de usuario que el token de acceso de administrador pero se han quitado los privilegios de Windows administrativos y los SID. El token de acceso de usuario estándar se usa para iniciar aplicaciones que no realizan tareas administrativas (aplicaciones de usuario estándar).
Cuando el usuario ejecuta aplicaciones que realizan tareas administrativas (aplicaciones de administrador), se le pide al usuario que cambie o "eleve" el contexto de seguridad de un usuario estándar a un administrador, lo que recibe el nombre de Modo de aprobación de administrador. En este modo, el administrador debe aprobar la ejecución de aplicaciones en el escritorio seguro con privilegios administrativos. Las mejoras realizadas en UAC en Windows 7 y Windows Server 2008 R2 dan lugar a una experiencia de usuario mejorada a la hora de configurar el equipo y solucionar problemas del equipo.
Reducción del número de avisos UAC
Windows 7 y Windows Server 2008 R2 reducen el número de avisos UAC a los que deben responder los administradores locales y los usuarios estándar.
Para reducir el número de avisos a los que debe responder un administrador local:
- Se han combinado los avisos de operaciones de archivos.
- Se han combinado los avisos de Internet Explorer de ejecución de instaladores de aplicaciones.
- Se han combinado los avisos de Internet Explorer de instalación de controles ActiveX®.
La configuración predeterminada de UAC permite que un usuario estándar realice las siguientes tareas sin recibir ningún aviso UAC:
- Instalar actualizaciones de Windows Update.
- Instalar controladores descargados de Windows Update o incluidos con el sistema operativo.
- Ver la configuración de Windows. (No obstante, a un usuario estándar se le pedirán privilegios administrativos cuando cambie la configuración de Windows.)
- Acoplar dispositivos Bluetooth al equipo.
- Restablecer el adaptador de red y realizar otras tareas de diagnóstico de red y reparación.
Configurar la experiencia UAC en el Panel de control
Windows Vista® ofrece dos niveles de protección UAC al usuario:activado o desactivado. Windows 7 y Windows Server 2008 R2 presenta dos niveles de aviso adicionales similares al modelo de zonas de seguridad de Internet Explorer. Si ha iniciado sesión como administrador local, puede habilitar o deshabilitar los avisos UAC, o seleccionar cuándo se le deben notificar los cambios realizados en el equipo. Existen cuatro niveles de notificación entre los que puede elegir:
-
No notificarme nunca. No se notifica al usuario ningún cambio realizado en la configuración de Windows, ni se le notifica si se instala software.
-
Notificarme solo cuando un programa intente realizar cambios en el equipo. No se notifican los cambios realizados por el usuario en la configuración de Windows, pero se envían notificaciones cuando un programa intenta realizar cambios en el equipo.
-
Notificarme siempre. Se notifican los cambios realizados por el usuario en la configuración de Windows y si los programas intentan realizar cambios en el equipo.
-
UAC enviará siempre una notificación y esperará una respuesta. El usuario recibe avisos para todas las tareas de administrador en el escritorio seguro. Esta opción es similar al comportamiento actual de Windows Vista.
En la siguiente tabla se compara el número de avisos UAC para las acciones del usuario en Windows 7 y Windows Server 2008 R2 con el número de avisos UAC en Windows Vista Service Pack 1.
| Acciones |
Notificarme solo cuando un programa intente realizar cambios en el equipo
|
Notificarme siempre
|
|
Cambiar la configuración de personalización
|
Sin avisos
|
Menos avisos
|
|
Gestionar el escritorio
|
Sin avisos
|
Menos avisos
|
|
Configurar y solucionar problemas de la red
|
Sin avisos
|
Menos avisos
|
|
Usar Windows Easy Transfer
|
Menos avisos
|
Mismo número de avisos
|
|
Instalar controles ActiveX a través de Internet Explorer
|
Menos avisos
|
Menos avisos
|
|
Conectar dispositivos
|
Sin avisos
|
Sin avisos si los controladores están en Windows Update, o un número similar de avisos si los controladores no están en Windows Update
|
|
Usar Windows Update
|
Sin avisos
|
Sin avisos
|
|
Configurar copias de seguridad
|
Sin avisos
|
Mismo número de avisos
|
|
Instalar o quitar software
|
Sin avisos
|
Menos avisos
|
Cambiar el comportamiento de los mensajes UAC para administradores locales
Si ha iniciado sesión como administrador local, puede cambiar el comportamiento de los avisos UAC en las directivas de seguridad local para administradores locales del Modo de aprobación de administrador.
-
Elevar sin preguntar. Las aplicaciones marcadas como aplicaciones de administrador y las aplicaciones detectadas como aplicaciones de configuración se ejecutan automáticamente con el token de acceso de administrador completo. Todas las demás aplicaciones se ejecutan automáticamente con el token de usuario estándar.
-
Pedir credenciales en el escritorio seguro. El cuadro de diálogo Control de cuentas de usuario se muestra en el escritorio seguro. Para dar consentimiento a una aplicación para que se ejecute con el token de acceso de administrador completo, el usuario debe especificar credenciales administrativas. Esta configuración admite el cumplimiento de los criterios comunes o las directivas corporativas.
-
Pedir consentimiento en el escritorio seguro. El cuadro de diálogo Control de cuentas de usuario se muestra en el escritorio seguro. Para dar consentimiento a una aplicación para que se ejecute con el token de acceso de administrador completo, el usuario debe hacer clic en Sí o en No en el cuadro de diálogo Control de cuentas de usuario. Si el usuario no es miembro del grupo local Administradores, se le pedirán credenciales administrativas. Esta configuración admite el cumplimiento de los criterios comunes o las directivas corporativas.
-
Pedir credenciales. Esta opción es similar a Pedir credenciales en el escritorio seguro, pero el cuadro de diálogo Control de cuentas de usuario se muestra en el escritorio seguro.
-
Pedir consentimiento. Esta opción es similar a Pedir consentimiento en el escritorio seguro, pero el cuadro de diálogo Control de cuentas de usuario se muestra en el escritorio.
-
Pedir consentimiento para binarios que no son de Windows. El cuadro de diálogo Control de cuentas de usuario se muestra en el escritorio para todos los archivos que no están firmados digitalmente con el certificado digital de Windows.
Cambiar el comportamiento de los mensajes UAC para usuarios estándar
Si ha iniciado sesión como administrador local, puede cambiar el comportamiento de los avisos UAC en las directivas de seguridad local para usuarios estándar.
-
Rechazar solicitudes de elevación automáticamente. No pueden ejecutarse las aplicaciones del administrador. El usuario recibe un mensaje de error que indica que una directiva está impidiendo la ejecución de la aplicación.
-
Pedir credenciales. Éste es el valor predeterminado. Para que una aplicación se ejecute con un token de acceso de administrador completo, el usuario debe especificar credenciales administrativas en el cuadro de diálogo Control de cuentas de usuario que se muestra en el escritorio.
-
Pedir credenciales en el escritorio seguro. Para que una aplicación se ejecute con un token de acceso de administrador completo, el usuario debe especificar credenciales administrativas en el cuadro de diálogo Control de cuentas de usuario que se muestra en el escritorio seguro.
¿Cómo afectan estos cambios a UAC?
En respuesta a las solicitudes de los clientes, el UAC mejorado permite a los usuarios realizar sus tareas diarias con un número inferior de avisos y ofrece a los administradores un mayor control sobre la forma en que UAC pregunta a los usuarios.