Miglioramenti della sicurezza DCOM in Windows XP Service Pack 2 e Windows Server 2003 Service Pack 1

Windows Server XP Service Pack 2 (SP2) e Windows Server 2003 Service Pack 1 (SP1) introducono impostazioni di sicurezza predefinite avanzate per il DCOM (Distributed Component Object Model). In particolare, introducono diritti più granulari che consentono a un amministratore di avere un controllo indipendente sulle autorizzazioni locali e remote per l'avvio, l'attivazione e l'accesso ai server COM.

Che cosa fa DCOM?

Microsoft Component Object Model (COM) è un sistema indipendente dalla piattaforma, distribuito e orientato agli oggetti per la creazione di componenti software binari che possono interagire. Distributed Component Object Model (DCOM) consente la distribuzione delle applicazioni tra posizioni che hanno più senso per l'utente e per l'applicazione. Il protocollo di collegamento DCOM fornisce in modo trasparente il supporto per comunicazioni affidabili, sicure ed efficienti tra i componenti COM.

Destinatari del servizio

Se si usa COM solo per i componenti COM in-process, questa funzionalità non si applica all'utente.

Questa funzionalità si applica all'utente se si dispone di un'applicazione server COM che soddisfa uno dei criteri seguenti:

• L'autorizzazione di accesso per l'applicazione è meno rigorosa dell'autorizzazione di avvio, necessaria per eseguire l'applicazione.
• L'applicazione viene in genere attivata da un client COM remoto senza usare un account amministrativo.
• L'applicazione deve essere usata solo in locale. Ciò significa che è possibile limitare l'applicazione server COM in modo che non sia accessibile in remoto.

Quali nuove funzionalità vengono aggiunte a questa funzionalità in Windows XP Service Pack 2 e Windows Server 2003 Service Pack 1?

Restrizioni a livello di computer

È stata apportata una modifica in COM per fornire controlli di accesso a livello di computer che regolano l'accesso a tutte le chiamate, l'attivazione o le richieste di avvio nel computer. Il modo più semplice per considerare questi controlli di accesso è una chiamata AccessCheck aggiuntiva eseguita su un elenco di controllo di accesso (ACL) a livello di computer in ogni chiamata, attivazione o avvio di qualsiasi server COM nel computer. Se AccessCheck ha esito negativo, la chiamata, l'attivazione o la richiesta di avvio viene negata. Oltre a qualsiasi controllo di accesso eseguito sugli elenchi di controllo di accesso specifici del server. In effetti, fornisce uno standard di autorizzazione minimo che deve essere passato per accedere a qualsiasi server COM nel computer. È disponibile un ACL a livello di computer per le autorizzazioni di avvio per coprire i diritti di attivazione e avvio e un ACL a livello di computer per le autorizzazioni di accesso per coprire i diritti di chiamata. È possibile configurarli tramite Microsoft Management Console (MMC) di Servizi componenti.

Questi ACL a livello di computer consentono di eseguire l'override delle impostazioni di sicurezza vulnerabili specificate da un'applicazione specifica tramite Le impostazioni di sicurezza specifiche dell'applicazione o CoInitializeSecurity. Questo fornisce uno standard di sicurezza minimo che deve essere passato, indipendentemente dalle impostazioni del server specifico.

Questi elenchi di controllo di accesso vengono controllati quando si accede alle interfacce esposte da RPCSS. Fornisce un metodo per controllare l'accesso a questo servizio di sistema.

Questi elenchi di controllo di accesso forniscono una posizione centralizzata in cui un amministratore può impostare criteri di autorizzazione generali che si applicano a tutti i server COM nel computer.

Per impostazione predefinita, le impostazioni di restrizione del computer Windows XP SP2 sono:

Per impostazione predefinita, le impostazioni relative alle restrizioni del computer di Windows Server 2003 SP 1 sono le seguenti.

Vantaggi della nuova funzionalità e rischi che consente di attenuare

Molte applicazioni COM includono codice specifico della sicurezza (ad esempio, la chiamata di CoInitializeSecurity), ma usano impostazioni deboli, spesso consentendo l'accesso non autenticato al processo. Attualmente non esiste alcun modo per consentire a un amministratore di eseguire l'override di queste impostazioni per forzare una maggiore sicurezza nelle versioni precedenti di Windows.

L'infrastruttura COM include RPCSS, un servizio di sistema che viene eseguito durante l'avvio del sistema e viene sempre eseguito dopo tale operazione. Gestisce l'attivazione di oggetti COM e la tabella oggetti in esecuzione e fornisce servizi helper per la comunicazione remota DCOM. Espone interfacce RPC che possono essere chiamate in remoto. Poiché alcuni server COM consentono l'accesso remoto non autenticato, queste interfacce possono essere chiamate da chiunque, inclusi gli utenti non autenticati. Di conseguenza, RPCSS può essere attaccato da utenti malintenzionati in computer remoti non autenticati.

Nelle versioni precedenti di Windows non c'era modo per un amministratore di comprendere il livello di esposizione dei server COM in un computer. Un amministratore ha un'idea del livello di esposizione controllando sistematicamente le impostazioni di sicurezza configurate per tutte le applicazioni COM registrate nel computer, ma, dato che ci sono circa 150 server COM in un'installazione predefinita di Windows, tale attività era scoraggiante. Non c'era modo di visualizzare le impostazioni per un server che incorpora la sicurezza nel software, senza esaminare il codice sorgente per tale software.

Le restrizioni a livello di computer DCOM attenuano questi tre problemi. Offre inoltre a un amministratore la possibilità di disabilitare l'attivazione, l'avvio e le chiamate DCOM in ingresso.

Differenze di funzionamento

Per impostazione predefinita, al gruppo Everyone viene concesso l'avvio locale, l'attivazione locale e le autorizzazioni di chiamata di accesso locale. Ciò consente a tutti gli scenari locali di funzionare senza modifiche al software o al sistema operativo.

Per impostazione predefinita, in Windows XP SP2 al gruppo Everyone sono concesse autorizzazioni di chiamata di accesso remoto. In Windows Server 2003 SP1 ai gruppi Everyone e Anonymous vengono concesse autorizzazioni di accesso remoto. Ciò consente la maggior parte degli scenari client COM, incluso il caso comune in cui un client COM passa un riferimento locale a un server remoto, trasformando il client in un server. In Windows XP SP2, questo potrebbe disabilitare gli scenari che richiedono chiamate di accesso remoto non autenticate.

Inoltre, per impostazione predefinita, solo ai membri del gruppo Amministrazione istrators viene concessa l'attivazione remota e le autorizzazioni di avvio. In questo modo, le attivazioni remote da parte di non amministratori vengono disabilitate nei server COM installati.

Ricerca per categorie risolvere questi problemi?

Se si implementa un server COM e si prevede di supportare l'attivazione remota da un client COM non amministrativo, è consigliabile valutare se il rischio associato all'abilitazione di questo processo è accettabile o se è necessario modificare l'implementazione in modo da non richiedere l'attivazione remota da parte di un client COM non amministrativo o di chiamate remote non autenticate.

Se il rischio è accettabile e si vuole abilitare l'attivazione remota da parte di un client COM non amministrativo o di chiamate remote non autenticate, è necessario modificare la configurazione predefinita per questa funzionalità.

È possibile modificare le impostazioni di configurazione usando Microsoft Management Console (MMC) di Servizi componenti o il Registro di sistema di Windows.

Se si utilizza lo snap-in MMC Servizi componenti, queste impostazioni possono essere configurate nella scheda Sicurezza COM della finestra di dialogo Proprietà per il computer che si gestisce. L'area Autorizzazioni di accesso è stata modificata per consentire di impostare limiti a livello di computer oltre alle impostazioni predefinite standard per i server COM. Inoltre, è possibile fornire impostazioni ACL separate per l'accesso locale e remoto ai limiti e alle impostazioni predefinite.

Nell'area Autorizzazioni di avvio e attivazione è possibile controllare le autorizzazioni locali e remote, nonché i limiti a livello di computer e le impostazioni predefinite. È possibile specificare sia le autorizzazioni di attivazione locale che remota e di avvio in modo indipendente.

In alternativa, è possibile configurare queste impostazioni ACL usando il Registro di sistema.

Questi elenchi di controllo di accesso vengono archiviati nel Registro di sistema nei percorsi seguenti:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\MachineAccessRestriction=ACL
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\MachineLaunchRestriction=ACL

Questi sono valori denominati di tipo REG_BINARY che contengono dati che descrivono l'ACL delle entità che possono accedere a qualsiasi classe COM o oggetto COM nel computer. I diritti di accesso nell'elenco di controllo di accesso sono:

COM_RIGHTS_EXECUTE 1
COM_RIGHTS_EXECUTE_LOCAL 2
COM_RIGHTS_EXECUTE_REMOTE 4
COM_RIGHTS_ACTIVATE_LOCAL 8
COM_RIGHTS_ACTIVATE_REMOTE 16

Questi elenchi di controllo di accesso possono essere creati usando le normali funzioni di sicurezza.

Quali funzionalità esistenti stanno cambiando in Windows XP Service Pack 2 e Windows Server 2003 Service Pack 1?

RPCSS viene eseguito come servizio di rete

RPCSS è un servizio chiave per l'infrastruttura Rpc Endpoint Mapper e DCOM. Questo servizio è stato eseguito come sistema locale nelle versioni precedenti di Windows. Per ridurre la superficie di attacco di Windows e fornire difesa avanzata, la funzionalità del servizio RPCSS è stata suddivisa in due servizi. Il servizio RPCSS con tutte le funzionalità originali che non richiedevano privilegi di sistema locale ora viene eseguito con l'account del servizio di rete. Nuovo servizio DCOMLaunch che include funzionalità che richiedono privilegi di sistema locale eseguiti con l'account di sistema locale.

Vantaggi della nuova funzionalità e

Questa modifica riduce la superficie di attacco e fornisce una difesa approfondita per il servizio RPCSS perché un'elevazione dei privilegi nel servizio RPCSS è ora limitata al privilegio del servizio di rete.

Differenze di funzionamento

Questa modifica deve essere trasparente per gli utenti perché la combinazione dei servizi RPCSS e DCOMLaunch equivale al servizio RPCSS precedente fornito nelle versioni precedenti di Windows.

Autorizzazioni COM più specifiche

Le applicazioni server COM hanno due tipi di autorizzazioni: autorizzazioni di avvio e autorizzazioni di accesso. Avviare l'autorizzazione di controllo delle autorizzazioni per avviare un server COM durante l'attivazione COM se il server non è già in esecuzione. Queste autorizzazioni sono definite come descrittori di sicurezza specificati nelle impostazioni del Registro di sistema. Autorizzazione di controllo delle autorizzazioni di accesso per chiamare un server COM in esecuzione. Queste autorizzazioni vengono definite come descrittori di sicurezza forniti all'infrastruttura COM tramite l'API CoInitializeSecurity o usando le impostazioni del Registro di sistema. Sia le autorizzazioni di avvio che di accesso consentono o negano l'accesso in base alle entità e non distinguono se il chiamante è locale per il server o il remoto.

La prima modifica distingue i diritti di accesso COM, in base alla distanza. Le due distanze definite sono Local e Remote. Un messaggio COM locale arriva tramite il protocollo LRPC (Local Remote Procedure Call), mentre un messaggio COM remoto arriva tramite un protocollo host RPC (Remote Procedure Call), ad esempio TCP (Transmission Control Protocol).

L'attivazione COM è l'atto di ottenere un proxy di interfaccia COM in un client chiamando CoCreateInstance o una delle relative varianti. Come effetto collaterale di questo processo di attivazione, a volte un server COM deve essere avviato per soddisfare la richiesta del client. Un ACL di autorizzazione di avvio asserisce chi è autorizzato ad avviare un server COM. Un ACL di autorizzazione di accesso asserisce chi è autorizzato ad attivare un oggetto COM o chiamare tale oggetto dopo che il server COM è già in esecuzione.

La seconda modifica consiste nel fatto che i diritti di chiamata e attivazione sono separati per riflettere due operazioni distinte e per spostare l'attivazione direttamente dall'ACL di autorizzazione di accesso all'ACL di autorizzazione di avvio. Poiché l'attivazione e l'avvio sono entrambi correlati all'acquisizione di un puntatore di interfaccia, l'attivazione e l'avvio dei diritti di accesso appartengono logicamente a un elenco di controllo di accesso. Inoltre, poiché si specificano sempre le autorizzazioni di avvio tramite la configurazione (rispetto alle autorizzazioni di accesso, che vengono spesso specificate a livello di codice), l'inserimento dei diritti di attivazione nell'ACL di autorizzazione di avvio fornisce all'amministratore il controllo sull'attivazione.

Le voci di controllo di accesso alle autorizzazioni di avvio sono suddivise in quattro diritti di accesso:

• Avvio locale (LL)
• Avvio remoto (RL)
• Attivazione locale (LA)
• Attivazione remota (RA)

Il descrittore di sicurezza delle autorizzazioni di accesso è suddiviso in due diritti di accesso:

• Chiamate di accesso locale (LC)
• Chiamate di accesso remoto (RC)

In questo modo l'amministratore può applicare configurazioni di sicurezza molto specifiche. Ad esempio, è possibile configurare un server COM in modo che accetti chiamate di accesso locale da tutti, accettando solo chiamate di accesso remoto da Amministrazione istrator. Queste distinzioni possono essere specificate tramite modifiche ai descrittori di sicurezza delle autorizzazioni COM.

Vantaggi della nuova funzionalità e rischi che consente di attenuare

Le versioni precedenti dell'applicazione server COM non possono limitare un'applicazione in modo che possano essere usate solo in locale senza esporre l'applicazione in rete tramite DCOM. Quando un utente ha accesso a un'applicazione server COM, ha accesso sia per uso locale che remoto.

Un'applicazione server COM può esporsi agli utenti non autenticati per implementare uno scenario di callback COM. In questo scenario, l'applicazione deve anche esporre l'attivazione a utenti non autenticati, che potrebbero non essere auspicabili.

Le autorizzazioni COM precise offrono flessibilità all'amministratore per controllare i criteri di autorizzazione COM di un computer. Queste autorizzazioni consentono la sicurezza per gli scenari descritti.

Differenze di funzionamento Esistono dipendenze?

Per garantire la compatibilità con le versioni precedenti, i descrittori di sicurezza COM esistenti vengono interpretati per consentire o negare l'accesso locale e remoto contemporaneamente. Ovvero, una voce di controllo di accesso (ACE) consente sia locale che remota o nega sia locale che remota.

Non sono presenti problemi di compatibilità con le versioni precedenti per i diritti di chiamata o avvio. Esiste tuttavia un problema di compatibilità dei diritti di attivazione. Se, nei descrittori di sicurezza esistenti per un server COM, le autorizzazioni di avvio configurate sono più restrittive delle autorizzazioni di accesso e sono più restrittive rispetto a quelle richieste minimamente per gli scenari di attivazione client, è necessario modificare l'ACL delle autorizzazioni di avvio per concedere ai client autorizzati le autorizzazioni di attivazione appropriate.

Per le applicazioni COM che usano le impostazioni di sicurezza predefinite, non sono presenti problemi di compatibilità. Per le applicazioni avviate dinamicamente tramite l'attivazione COM, la maggior parte non presenta problemi di compatibilità, perché le autorizzazioni di avvio devono includere già chiunque sia in grado di attivare un oggetto. In caso contrario, tali applicazioni generano errori di attivazione anche prima di applicare Windows XP SP2 o Windows Server 2003 SP1, quando i chiamanti senza autorizzazione di avvio tentano di attivare un oggetto e il server COM non è già in esecuzione.

Le applicazioni della maggior parte dei problemi di compatibilità sono le applicazioni COM già avviate da altri meccanismi, ad esempio Esplora risorse o Gestione controllo dei servizi. È anche possibile avviare queste applicazioni con un'attivazione COM precedente, che esegue l'override delle autorizzazioni di accesso e avvio predefinite e specifica le autorizzazioni di avvio più restrittive rispetto alle autorizzazioni di chiamata. Per altri dettagli sulla risoluzione di questo problema di compatibilità, vedere "Ricerca per categorie risolvere questi problemi?" nella sezione successiva.

Se viene eseguito il rollback di un sistema aggiornato a Windows XP SP2 o Windows Server 2003 SP1 a uno stato precedente, qualsiasi ACE modificato per consentire l'accesso locale, l'accesso remoto o entrambi viene interpretato per consentire l'accesso locale e remoto. Qualsiasi ACE che è stato modificato per negare l'accesso locale, l'accesso remoto o entrambi, viene interpretato per negare sia l'accesso locale che quello remoto. Ogni volta che si disinstalla un Service Pack, è necessario assicurarsi che nessun nuovo set di ACL causi l'interruzione del funzionamento delle applicazioni.

Ricerca per categorie risolvere questi problemi?

Se si implementa un server COM e si eseguono l'override delle impostazioni di sicurezza predefinite, verificare che l'ACL delle autorizzazioni di avvio specifiche dell'applicazione conceda l'autorizzazione di attivazione agli utenti appropriati. In caso contrario, è necessario modificare l'ACL di autorizzazione di avvio specifica dell'applicazione per concedere agli utenti i diritti di attivazione appropriati in modo che le applicazioni e i componenti di Windows che usano DCOM non hanno esito negativo. Queste autorizzazioni di avvio specifiche dell'applicazione vengono archiviate nel Registro di sistema.

Gli ACL COM possono essere creati o modificati usando le normali funzioni di sicurezza.

Quali impostazioni vengono aggiunte o modificate in Windows XP Service Pack 2?

Nella tabella seguente vengono usate queste abbreviazioni:

LL - Avvio locale

LA - Attivazione locale

RL - Avvio remoto

RA - Attivazione remota

LC - Chiamate di accesso locale

RC - Chiamate di accesso remoto

ACL - Elenco Controllo di accesso

Quali impostazioni vengono aggiunte o modificate in Windows Server 2003 Service Pack 1?

Nella tabella seguente vengono usate queste abbreviazioni:

LL - Avvio locale

LA - Attivazione locale

RL - Avvio remoto

RA - Attivazione remota

LC - Chiamate di accesso locale

RC - Chiamate di accesso remoto

ACL - Elenco Controllo di accesso

Argomenti correlati

Sicurezza in COM