De SUS a WSUS con ayuda de Miguelito

PadreParada — Thu, 09 Jun 2005 13:12:00 GMT

Pues eso, que ya está por fin aquí entre nosotros ese pequeño pero gran producto que tanto se ha hecho esperar. Parece ser que ayer, durante el Teched 2005 (Versión Americana), se ha puesto por fin disponible para su descarga gratuita a todo el público la evolución de SUS, cuyo nombre definitivo será WSUS (Windows Server Update Services). Los que a estas alturas mantengan dudas sobre los diferentes servicios de actualización que ofrece Microsoft, no dejen de consultar este link.

Han sido muchas las modificaciones, cambios de rumbo y retrasos que ha sufrido, desde que al poco de salir la primera versión SUS 1.0 (Mayo 2002) ya se empezara a trabajar en lo que en principio sería el SUS 2.0. Como objetivos principales del nuevo proyecto se estableció el dotar a la nueva versión de ciertas funcionalidades que los clientes echaban de menos en la primera. Como por ejemplo la capacidad de actualizar otro tipo de software clave, como Office, Exchange o SQL y de alguna funcionalidad para realizar informes. Las primeras fechas de lanzamiento de las que oímos hablar databan de finales del 2003, principios de 2004. Mucho ha llovido desde entonces, y ya se sabe que con la lluvia se forman ciénagas donde proliferan a sus anchas todo tipo de virus (Slammer, Blaster, etc...) que sin duda han tenido alguna incidencia en su diseño y funcionalidades definitivas y por tanto en la fecha de su lanzamiento.
Aparte de las dos nuevas funcionalidades expuestas en el párrafo anterior, y de otras que sin duda tiene nuestro recién llegado, sus creadores destacan las siguientes cuatro características:

1. Facilidad de uso de la nueva interfaz gráfica
2. Flexibilidad para agrupar PCs y distribuir las actualizaciones a los PCs que queramos, o para publicar las actualizaciones desde el servidor por otro puerto distinto al 80.
3. Extensibilidad mediante unas API (.NET) en cliente y servidor que nos permiten personalizar y ampliar las funcionalidades
4. Seguridad en las comunicaciones mediante la posibilidad de establecer un túnel SSL

Durante el último IT Forum 2004 hice un “Hands on Lab” con una de las versiones Beta, pero como no he vuelto a probar el producto, pensaba preguntar a mi nuevo compañero, David Cervigón, su opinión sobre todo lo anterior. Para los que no lo sepan, David se ha incorporado recientemente a esta saludable tarea del evangelismo activo y, el curso que viene, nuestro sufrido público tendrá la oportunidad de asistir a sus sermones. Parece un buen fichaje, pues pese a la gran experiencia que atesora, todavía mantiene la pasión, el entusiasmo y la ilusión por ir desgranando las virtudes y defectos de las últimas piezas de software provenientes de nuestra factoría de Redmond. Sentado a mi vera, se ha pasado las últimas semanas en la oficina instalando el producto y probando sus funcionalidades. He de confesar que ha tenido algún problemilla en el despliegue del WSUS en nuestro pequeño aunque creciente entorno de pruebas, pero entre el infinito elenco de expresiones que han llegado hasta mis oídos desde el otro lado de la mampara que separa nuestros cubículos, han predominado los “¡Cómo MOOOLA!”, “¡GENIAL!”, “¡Esto es DEBUUUTI!” y “¡Qué pasada!” frente a los “¡¿Y ahora qué?!” o “¡Esto no me rula!”. Claro que los dos contratiempos que tuvo los podía haber evitado consultado a la comunidad de expertos, pero David es de ese tipo de gente a la que le gusta hacer las cosas a pelo. Tanto es así, que todo esto lo hacia mientras iba recibiendo con resignada paciencia las últimas novedades sobre el retraso en el alumbramiento de su segundo hijo. Miguel, que así se llama la criatura, se ha hecho de rogar, pero al final se adelantó al WSUS en unos días, y aunque está rollizo y bien de salud, no pesa tanto como éste (3 Kilos 600 Gramos frente a 124 Mb).
Hoy David es un hombre satisfecho, tiene una nueva versión de sí mismo y toda su plataforma al día de parches y actualizaciones. ¿Y tú, a qué esperas? Para lo primero hay que ponerse cariñoso y esperar 9 meses, pero para lo segundo solo hace falta hacer click. Sí, el software viene de Redmond, pero los niños no vienen de París.

El PadreParada

PD. Este post se lo dedico a toda la familia Cervigon Recuero, y en especial a Paloma madre de la criatura y principal artífice de este magno acontecimiento.

El Tiempo de las Declaraciones

PadreParada — Wed, 25 May 2005 20:18:00 GMT

En España, con el calor vuelve el tiempo de las declaraciones, y no me refiero a las que por efecto de la subida térmica se producen al incrementarse los estímulos elementales que disparan nuestra atención hacia el sexo contrario. No, no es de las declaraciones de cupido de lo que va este pequeño párrafo, es de algo mas intranscendental, menos espiritual, mas material y por tanto mas aburrido. Es en definitiva de nuestras declaraciones para con el fisco.

Es el momento del año en el que florece este minúsculo pero útil fichero llamado Certificado de la FNMT con el que los ciudadanos podemos presentar la declaración anual que nos deja a bien con el fisco.

¿Pero es cierto que los certificados de la FNMT solo sirven para esto?, ¿Qué mas podemos hacer con ellos durante el resto del año?

De la misma forma que el certificado de usuario de la FNMT nos sirve para identificarnos como ciudadanos ante hacienda https://www.aeat.es/ también nos sirve para identificarnos en algunos otros servicios que la Administración y algunas empresas ponen a nuestra disposición y que están enumerados en http://www.cert.fnmt.es/clase2/organismain.htm

Pero la identificación como usuario ante una página Web no es la única funcionalidad de estos certificados, también nos sirve para otros menesteres, entre los que yo destaco los siguientes dos:

Firmado de correos electrónicos

Si hemos tenido la precaución de poner nuestra dirección de correo electronico dentro del certificado al solicitarlo, podemos utilizar estos para firmar los correos que mandemos desde nuestra cuenta de correo. Si la dirección de correo del certificado no coincide con el de la cuenta de correo que utilizamos podemos tener problemas a la hora de firmar los correos, dependiendo la especificación S/MIME que utilice la aplicación cliente de correo electrónico y de la versión de esta. En concreto con Outlook, tenemos la siguiente casuística:

Las versiones de Outlook 2000 y anteriores cumplían con la especificación del estándar S/MINE V.2 Certificate handling (RFC2312) http://www.faqs.org/rfcs/rfc2312.html, que exigía que el e-mail de la cuenta coincidiera con el del certificado, por ello no es posible firmar correos con certificados que contengan una dirección mail distinta de la dirección de correo desde la que se envía.

3.1 Using Distinguished Names for Internet Mail........Sending agents SHOULD make the address in the From header in a mail message match an Internet mail address in the signer's certificate. Receiving agents MUST check that the address in the From header of a mail message matches an Internet mail address in the signer's certificate. A receiving agent MUST provide some explicit alternate processing of the message if this comparison fails, which may be to reject the message.

De la versiones de Outlook 2000 SR-1 en adelante, se cumple con la especificación del estándar S/MINE V.3 Certificate handling (RFC2632) http://www.ietf.org/rfc/rfc2632.txt, que ya no exige que el e-mail de la cuenta desde la que se envía, coincida con el del certificado.

3. Using Distinguished Names for Internet Mail........Sending agents SHOULD make the address in the From or Sender header in a mail message match an Internet mail address in the signer's certificate. Receiving agents MUST check that the address in the From or Sender header of a mail message matches an Internet mail address in the signer's certificate, if mail addresses are present in the certificate. A receiving agent SHOULD provide some explicit alternate processing of the message if this comparison fails, which may be to display a message that shows the recipient the addresses in the certificate or other certificate details.

Esta funcionalidad no esta activada por defecto y para que funcione es necesario introducir una clave en el registro de la maquina. El procedimiento esta explicado en el siguiente artículo:

276597 OL2000: How to Turn Off E-mail Matching for Certificates http://support.microsoft.com/?id=276597

Por tanto, si se tiene Outlook 2000 SR-1 o posterior como cliente de correo, si es posible firmar correos con certificados cuya dirección de mail no corresponda con la de la cuenta que envía el correo.

Logon en Windows XP con Tarjetas y Certificados FNMT (CERES)

No quiero extenderme en este punto, pues lo tratamos este año en una Web Cast que organizamos desde Technet en colaboración con Antonio Vila y Oscar Anaya que son los consultores de Microsoft que desarrollaron la solución que actualmente permite hacer logon en Windows XP con la Tarjeta y los Certificados de CERES. Si os interesa el tema y teneís interes en implementarlo no dejeís de consultar la WebCast en:

http://msevents-eu.microsoft.com/CUI/WebCastEventDetails.aspx?EventID=118755947&Culture=es-ES

Y dejo ya de momento el tema, (lo siento se que me ha quedado un poco largo) para terminar de una vez con lo que estaba haciendo antes de que se me fuera la olla y empezar este post, que no es otra cosa que mi declaración de la renta. Por cierto, me sale a devolver, así que si no me hacen la paralela que sufrí el año pasado, espero que me den la pasta lo antes posible para fundírmela este verano.

No, los evangelistas no estamos exentos y también cotizamos.

Este Post esta dedicado a Victor Recuero, que me dio la inspiración necesaria para abandonar por un instante la tediosa tarea de rellenar la declaración de la renta.

El PadreParada

El Blog del PadreParada : Utilidades

De SUS a WSUS con ayuda de Miguelito

El Tiempo de las Declaraciones