jperezduerto.info
Seguridad a fondo · Unidad 22 · Lección 34 de 44
La suplantación tiene un alcance
Lee una traza proporcionada distinguiendo contexto del cliente e identidad del proceso de servicio.
Para prepararteEscalada de privilegios en Windows
Después de esta lección puedes
- Identificar qué evidencia verifica el manejo de contexto entre dos solicitudes.
Un servicio puede representar al cliente
La suplantación de cliente permite a un hilo servidor realizar una operación permitida en el contexto de un cliente autenticado. El proceso conserva su identidad principal. Por ello, el nombre de su cuenta no identifica necesariamente el contexto efectivo de cada operación de sus hilos.
El diseño debe establecer cliente autenticado, nivel de suplantación permitido, operación autorizada y momento de restaurar el contexto previsto. Representar al cliente localmente no implica poder hacerlo en cualquier sistema remoto; la delegación es otra cuestión.
Traza proporcionada del servicio documental
Supón un diseño aprobado con una comprobación documental por cliente y solicitud. Son observaciones ficticias, no un procedimiento:
- Etapa 1: identidad de proceso DocumentService; cliente A autenticado.
- Etapa 2: la comprobación registra contexto efectivo de A y resultado permitido.
- Etapa 3: comienza la solicitud de B; falta registrar el contexto efectivo del hilo.
La segunda etapa respalda lo observado para A. La tercera no demuestra restauración correcta ni contaminación de contexto. Pide evidencia de transición y contexto de operación en lugar de inventar un resultado. Un nombre cambiado en un mensaje de aplicación no establecería por sí solo el contexto del sistema operativo.
Define la siguiente evidencia
Solicita resultados que muestren que cada operación utiliza el contexto previsto, funciona el trabajo autorizado y la siguiente solicitud no conserva autoridad indebida de la anterior. Incluye rutas de error: los éxitos pueden omitir un fallo de limpieza. Limita la conclusión a lo observado; representar legítimamente al cliente no demuestra compromiso y una solicitud correcta no verifica todo el servicio.
Términos que viste
Compruébate
Sin reloj ni penalizaciones. Lee cada explicación y vuelve a intentarlo cuando quieras.
Las preguntas de esta lección han cambiado. Tu lectura sigue guardada; repasa las preguntas actualizadas.
-
La traza confirma el contexto de A al comprobar su documento, pero no registra el contexto efectivo de la siguiente solicitud de B. ¿Qué está respaldado?
Ver la respuesta
Respuesta correcta: Hay evidencia de la operación de A; el aislamiento de la siguiente solicitud sigue sin verificar. El nombre de la cuenta del proceso no completa la observación ausente del contexto del hilo.
Pruébalo
- EscribeAnota el contexto previsto en cada etapa, identifica la observación ausente y define un resultado de aceptación para el segundo cliente sin realizar operaciones.