Notas de seguridad para desarrolladores de soluciones de Office

Establecer la seguridad de Office en un entorno de prueba

Para instalar y ejecutar un complemento COM sin firmar, las opciones Requerir que los complementos de aplicación estén firmados por el publicador de confianza y deshabilitar todos los complementos de aplicación deben borrarse en la pestaña Complementos del Centro de confianza. Para abrir la pestaña Complementos, elija la pestaña Archivo y, a continuación, elija Opciones>Complementos deconfiguración> del Centro de confianza delCentro> de confianza.

Para ejecutar todas las macros de VBA, incluidas las que no se han firmado digitalmente, debe haberse activado la opción Habilitar todas las macros en el Centro de confianza. Para ver las opciones de Configuración de macros, elija la pestaña Archivo y, a continuación, elija Opciones> Configuración demacrosde configuración> del Centro de confianza delCentro> de confianza. Por razones de seguridad, se recomienda fehacientemente que haga esto solo en un entorno de prueba. Una vez que complete la prueba, vuelva a establecer las opciones como estaban originalmente.

En la pestaña Configuración de macros del Centro de confianza, establezca las opciones en Deshabilitar todas las macros sin notificación, Deshabilitar todas las macros con notificación o Deshabilitar todas las macros excepto las macros firmadas digitalmente. Deshabilite las macros guardando el documento de Word, la hoja de cálculo de Excel o la presentación de PowerPoint como archivos deshabilitados por macros (.docm, .xlsm o .pptm, respectivamente). Establezca o deshabilite el acceso al modelo de objetos de proyecto vba desde la pestaña Configuración de macros seleccionando o desactivando la opción Confiar en el acceso al modelo de objetos de proyecto vba .

Vea una lista de complementos disponibles en la pestaña Complementos del Centro de confianza. En la misma pestaña, habilite, deshabilite, agregue o quite complementos COM o Word seleccionando el tipo de complemento en el cuadro desplegable situado junto a la etiqueta Administrar y, a continuación, elija el botón Ir .

Modificación del Registro de Windows

Modificar el Registro de Windows de cualquier manera, ya sea en el Editor del Registro o mediante programación, siempre conlleva algún grado de riesgo. Las modificaciones incorrectas pueden ocasionar serios problemas que pueden requerir la reinstalación del sistema operativo. Siempre es recomendable realizar una copia de seguridad del registro de un equipo antes de modificarlo. Si ejecuta Microsoft Windows NT, Windows 2000, Windows XP o Windows Server 2003, también debe actualizar el disco de reparación de emergencia (ERD).

Para obtener información sobre cómo editar el Registro, vea el tema de ayuda Cambiar claves y valores en el Editor del Registro (Regedit.exe) o los temas Agregar y eliminar información en el Registro y Editar información del Registro en el Editor del Registro (Regedt32.exe).

Realizar llamadas a funciones de API de Windows

Antes de llamar a las funciones de la Interfaz de programación de aplicaciones (API) de Windows, debe comprender cómo se controlan los argumentos y los tipos de datos mediante los archivos DLL de la API de Windows. La realización incorrecta de una llamada a las funciones de Windows puede provocar errores de página no válida u otros comportamientos inesperados. Para obtener más información sobre cómo llamar a funciones de Windows, vea el tema "La API de Windows y otras bibliotecas de Dynamic-Link" en la documentación de Office 2000 Developer Online.

Firma digital de código

La firma digital de un documento es el proceso de "sellado" de un documento para que el destinatario del documento se asegure de que procede de un origen determinado y pueda detectar si el contenido del documento ha cambiado desde que se firmó. Además, las firmas digitales pueden usarse para marcar un documento como de solo lectura y proteger su autenticidad e integridad.

Además de estas firmas digitales, los documentos pueden también contener firmas en documento que se encuentran visibles en el contenido del documento. El autor del documento puede crear documentos sin firmar con líneas de firma que se pueden transmitir al destinatario para que los firme. El destinatario abre el documento, ubica las líneas de firma, firma el documento y, a continuación, lo devuelve al remitente.

Básicamente, los pasos para firmar digitalmente un documento son los siguientes:

1. El originador del documento compacta el contenido del documento en unas pocas líneas mediante un proceso denominado "hashing". El contenido comprimido se denomina resumen de mensaje. El hashing se realiza mediante el software creado para ese propósito.
2. El autor del documento cifra la codificación del mensaje mediante una clave privada que se obtiene de una autoridad de firma. El resultado es una firma digital.
3. El autor adjunta la firma digital al documento. Ya se han firmado todos los datos con hash y la firma se ha cifrado y adjuntado al documento.
4. A continuación, el autor envía el documento al destinatario.
5. El destinatario primero descifra el documento mediante una clave pública que proporciona el autor. De esta forma, la firma se vuelve a convertir en una codificación de mensaje. Si funciona, significa que el autor ha firmado el documento.
6. El destinatario, mediante el software de firma digital, realiza el hash del documento en una codificación de mensaje y compara ese hash con el del del remitente. Si coinciden, significa que el contenido del documento no ha cambiado desde que el autor lo envió.

Las firmas digitales se encuentran disponibles para los clientes desde Office XP. Sin embargo, Office 2007 agregó características que facilitaban a los usuarios la firma digital de documentos, que permitían firmar documentos para hacerlos de solo lectura y que agregaban líneas de firma incluidas en el documento al propio documento. Los usuarios de Office pueden realizar estas tareas desde la interfaz de usuario de Office que está disponible en la pestaña Archivo .

Office 2007 también incluyó características que facilitaron el uso de firmas incluidas y firmas digitales mediante programación.

Implementación segura de complementos COM administrados en Office

Para cumplir con la seguridad de Office, los complementos COM administrados (complementos COM destinados a Common Language Runtime) deben estar firmados digitalmente y la configuración de seguridad de los usuarios debe establecerse en el Centro de confianza de Office para permitir complementos en las aplicaciones de Office. Además, debe incorporar al proyecto de complementos COM administrados un pequeño proxy sin administrar denominado correcciones de compatibilidad (shim) para evitar advertencias de seguridad inesperadas.

Automatización del Editor de Visual Basic

En Office, al llamar a las características del modelo de objetos extensibilidad de Visual Basic para Aplicaciones, es posible que reciba un mensaje de error que indica que el acceso mediante programación al proyecto de Visual Basic no es de confianza. Para evitar que aparezca este mensaje, elija la pestaña Archivo pestaña >Opciones>Centro de confianza y, a continuación, elija Configuración del Centro de confianza. A continuación, en la pestaña Configuración de macros , elija el cuadro Confiar en el acceso al modelo de objetos de proyecto vba . Al activar esta casilla, permite que las macros de los documentos habilitados para macros que se abran tengan acceso a los objetos, métodos y propiedades principales de Visual Basic.

La activación de la opción implica un posible riesgo para la seguridad. La acción recomendada es la de activar la casilla Confiar en el acceso al modelo de objetos de proyectos de VBA solo mientras se esté ejecutando una macro que obtiene acceso al modelo de objeto de Visual Basic. Asegúrese de que desactiva la casilla Confiar en el acceso al modelo de objetos de proyectos de VBA una vez que la macro acabe de ejecutarse.

Uso de contraseñas

No use contraseñas codificadas de forma rígida en las aplicaciones. Si se requiere la contraseña en un procedimiento, pídale la contraseña al usuario, almacénela en una variable y luego use la variable en el código.

Use siempre contraseñas seguras. Las contraseñas seguras deben contener lo siguiente:

• Caracteres en minúsculas y mayúsculas
• Números
• Símbolos (como #, $, %y ^)
• Al menos ocho caracteres

Las contraseñas seguras no deben contener patrones, temas o palabras que puedan encontrarse en el diccionario.

Ejemplos

• $tR0n9p@$s
• G80dn[s$M4!

Soporte técnico y comentarios

¿Tiene preguntas o comentarios sobre VBA para Office o esta documentación? Vea Soporte técnico y comentarios sobre VBA para Office para obtener ayuda sobre las formas en las que puede recibir soporte técnico y enviar comentarios.