Microsoft ha anunciado un nuevo modo de impresión llamado Windows Protected Print Mode (WPP), que introduce mejoras significativas en la seguridad del sistema de impresión de Windows.
Base y funcionamiento
WPP se basa en la pila de impresión IPP existente, admitiendo únicamente impresoras certificadas por Mopria. Además, desactiva la capacidad de cargar controladores de terceros.
Vulnerabilidades y riesgos
El equipo de MORSE destacó que los errores de impresión han sido responsables de vulnerabilidades como Stuxnet y Print Nightmare, representando el 9% de todos los casos reportados a MSRC. WPP mitigó más de la mitad de esas vulnerabilidades.
Cambios en el comportamiento del sistema
Una vez implementado y habilitado por defecto, Redmond dejará de ejecutar el servicio Print Spooler como SYSTEM y lo iniciará como un servicio restringido. Esto reducirá su acceso a recursos y privilegios.
Eliminación de vectores de ataque
Microsoft eliminará varios puntos finales RPC y componentes heredados que han sido explotados previamente por actores maliciosos. Además, se implementarán mitigaciones binarias para dificultar la explotación.
Mitigaciones técnicas
- Control Flow Enforcement Technology (CFG/CET): ayuda a mitigar ataques basados en programación orientada al retorno (ROP).
- Creada de procesos secundarios deshabilitada: bloqueará la creación de nuevos procesos si se obtiene ejecución de código en Spooler.
- Protección de redirección: evita ataques de redirección de rutas comunes que afectan al administrador de trabajos de impresión.
- Guardia de código arbitrario: impide la generación de código dinámico dentro de un proceso.
Mejoras en el funcionamiento del Spooler
- Configuración de impresión limitada/segura: limita la oportunidad de los atacantes para modificar archivos en el sistema.
- Bloqueo de módulos: las API que permiten la carga de módulos se modificarán para evitar la carga de nuevos módulos.
- Representación XPS por usuario: se ejecutará como usuario en lugar de SYSTEM, minimizando el impacto de vulnerabilidades de corrupción de memoria.
- Mejor seguridad en el transporte: WPP informará a los usuarios cuando su tráfico esté cifrado y los alentará a habilitar el cifrado cuando sea posible.
Flexibilidad y compatibilidad
WPP se encuentra en versiones Insider, con la posibilidad de recibir comentarios. Los usuarios pueden habilitar la función siguiendo las instrucciones proporcionadas. Microsoft también aseguró que estas mejoras no afectarán a los clientes con impresoras más antiguas, ya que podrían habilitar el soporte heredado.
Plan de despliegue de controladores
A partir de 2025, Microsoft bloqueará los envíos de controladores por parte de proveedores de impresoras. Para 2026, ajustará el sistema de clasificación de controladores dando prioridad a los internos basados en IPP. En 2027 dejará de distribuir actualizaciones de terceros a través de Windows Update, salvo correcciones de seguridad.
Conclusión
WPP representa una evolución importante en la seguridad del sistema de impresión de Windows. Aunque se encuentra en fase temprana y aún hay mejoras por implementar, su introducción marca un cambio significativo en el enfoque de Microsoft hacia la protección de los procesos de impresión.