Seguridad

1. La seguridad de PowerShell por defecto

Lo ha entendido, la seguridad es una área muy importante, sobre todo en el dominio del scripting. Por este motivo los creadores de PowerShell han incluido dos reglas de seguridad por defecto.

Los archivos ps1 asociados al bloc de notas

La extensión «.ps1» de los scripts PowerShell está por defecto asociada al bloc de notas (o Notepad). Este procedimiento permite evitar ejecutar automáticamente scripts potencialmente peligrosos por una mala manipulación. El bloc de notas es, realmente, un editor un poco clásico, pero tiene la doble ventaja de ser inofensivo y de no bloquear la ejecución de un script cuando este está abierto con el editor. Observará sin embargo que la edición (clic con el botón derecho + Modificar) de archivos .ps1 está asociada al editor ISE.

Una directiva de ejecución restringida

La segunda barrera de seguridad es la aplicación de la directiva de ejecución Restricted por defecto para los puestos clientes y RemoteSigned por defecto para los servidores (desde Windows Server 2012 R2).

La directiva Restricted es la más restrictiva. Es decir que bloquea sistemáticamente la ejecución de todos los scripts. Solo se ejecutan los comandos tecleados en la shell. Para remediar a esta situación, PowerShell requiere que el usuario cambie el modo de ejecución con el comando Set-ExecutionPolicy <modo de ejecución>. Pero para ello debe ser administrador del equipo.

2. Las directivas de ejecución

PowerShell integra un concepto de seguridad que llamamos directivas de ejecución (execution policies) para que un script no autorizado no pueda ejecutarse en contra de la voluntad del usuario. Existen siete configuraciones posibles: Restricted, RemoteSigned, AllSigned, UnRestricted, Bypass, Default y Undefined. A cada una de ellas le corresponde un nivel de autorización de ejecución de determinados scripts. Podrá llegar a cambiar en función de la directiva que desee aplicar.

1. Las firmas digitales

Una firma digital es un «proceso» que permite identificar al firmante y que garantiza la integridad del documento. Las firmas digitales, llamadas también firmas electrónicas, se usan en PowerShell para gestionar la ejecución de scripts según la directiva de ejecución elegida.

Desde un punto de vista conceptual, una firma digital corresponde generalmente al cifrado, con la ayuda de una clave privada, de una forma abreviada del mensaje llamada «huella». La huella de un mensaje es el resultado obtenido después de aplicar una función de hash al contenido del documento.

Al otro lado de la cadena, el destinatario se asegura de que los datos no han sido modificados durante la transmisión efectuando una comparación entre la huella que acompaña al documento descifrado gracias a la clave pública y la huella que él mismo ha calculado. Si ambas huellas son idénticas entonces significa que los datos son íntegros.

2. Los certificados

Un certificado es indisociable de una clave pública. Es el elemento que va a permitir asociar la clave a su propietario. Es decir que cuando desciframos una firma con la clave pública, no es necesario verificar que esta clave es del firmante. Al igual que con un documento oficial, un certificado contiene información acerca de la identidad del propietario. Añadir una firma a un script significa que debe estar en posesión de un certificado electrónico de firma, que permite identificar de manera segura a la persona que firma el script. Este certificado se puede obtener de diferentes maneras: o bien decide comprar un certificado de firma a una autoridad de certificación reconocida, o bien crea su propio certificado (certificado «auto firmado»).