• Artículo

Planeación de la configuración de seguridad para controles ActiveX para Office 2010

 

Se aplica a: Office 2010

Última modificación del tema: 2016-11-29

Puede cambiar la forma en que se comportan los controles ActiveX de Microsoft en Microsoft Office 2010 mediante la modificación de la configuración de los controles ActiveX.

En este artículo:

  • Acerca de la planeación de la configuración de los controles ActiveX

  • Deshabilitación de controles ActiveX

  • Cambio de la forma en que se inicializan los controles ActiveX

  • Configuración relacionada con los controles ActiveX

Acerca de la planeación de la configuración de los controles ActiveX

Office 2010 proporciona varias opciones de configuración de seguridad que permiten controlar el comportamiento de los controles ActiveX y el modo en que se informa a los usuarios acerca de aquellos que podrían ser no seguros. Al configurar estas opciones, podrá realizar las siguientes tareas:

  • Deshabilitar controles ActiveX.

  • Modificar el modo en que los controles ActiveX se inicializan en función de los parámetros de modo seguro, seguro para inicialización (SFI) y no seguro para inicialización (UFI).

Para obtener información acerca de los procedimientos para establecer la configuración de seguridad en la Herramienta de personalización de Office (OCT) y en las plantillas administrativas de Office 2010, vea Configuración de seguridad para Office 2010.

De forma predeterminada, los controles ActiveX de confianza se cargan en modo seguro con valores persistentes y no se notifica a los usuarios que los cargan. Un control ActiveX de confianza es cualquiera que tenga la firma de un editor de confianza o que esté incluido en un documento que se abre desde una ubicación de confianza o que se considera como un documento de confianza. Los controles ActiveX que no son de confianza se cargan de manera distinta en función de cómo estén marcados y de si existe un proyecto de VBA en el archivo junto con el control ActiveX. El comportamiento predeterminado de los controles ActiveX que no son de confianza es el siguiente:

  • Si un control ActiveX está marcado como seguro para inicialización (SFI) y está incluido en un documento que no contiene un proyecto de VBA, el control ActiveX se carga en modo seguro con valores persistentes. No aparecerá la barra de mensajes y no se notificará a los usuarios sobre la presencia del control ActiveX. Todos los controles ActiveX del documento deben estar marcados como SFI para que ocurra este comportamiento.

  • Si un control ActiveX está marcado como no seguro para inicialización (UFI) y está incluido en un documento que no contiene un proyecto de VBA, se notificará a los usuarios en la barra de mensajes que los controles ActiveX están deshabilitados. Sin embargo, los usuarios pueden hacer clic en la barra de mensajes para habilitarlos. Si un usuario habilita los controles ActiveX, todos los controles ActiveX (aquellos marcados como SFI y UFI) se cargarán en modo seguro con valores persistentes.

  • Si un control ActiveX marcado como UFI o SFI está incluido en un documento que también contiene un proyecto de VBA, se notificará a los usuarios en la barra de mensajes que los controles ActiveX están deshabilitados. Sin embargo, los usuarios pueden hacer clic en la barra de mensajes para habilitarlos. Si un usuario habilita los controles ActiveX, todos (aquellos marcados como SFI y UFI) se cargarán en modo seguro con valores persistentes.

Importante

Si se establece un bit de cierre en el Registro para un control ActiveX, el control no se cargará y no se podrá cargar bajo ninguna circunstancia. Además, no aparecerá la barra de mensajes y no se notificará a los usuarios sobre la presencia del control ActiveX.

Deshabilitación de controles ActiveX

Office 2010 proporciona una opción de configuración que permite deshabilitar los controles ActiveX. Si los deshabilita, se impide que se inicialicen (es decir, se carguen) todos los controles ActiveX de un archivo al abrirlo. También se evita que los usuarios agreguen controles ActiveX a un documento. En determinados casos, es posible que aparezca un control ActiveX deshabilitado en un archivo como una x roja o cualquier otro símbolo. Sin embargo, el control está deshabilitado y no se realiza ninguna acción si un usuario hace clic en el símbolo. Además, al deshabilitar los controles ActiveX, no se informa a los usuarios.

Las siguientes instrucciones le ayudan a determinar si debe deshabilitar los controles ActiveX o no.

Nombre de la opción: Deshabilitar todo ActiveX


  • Descripción: esta opción controla si se deshabilitan los controles ActiveX en Office 2010. Es una configuración global y no se puede configurar en cada aplicación.


  • Impacto: si habilita esta opción, los controles ActiveX no se inicializan y no se notifica a los usuarios que los controles ActiveX están deshabilitados. Además, los usuarios no pueden insertar controles ActiveX en documentos. Dado que los controles ActiveX pueden proporcionar funcionalidad adicional a los documentos, si se deshabilitan se puede reducir la funcionalidad para los usuarios. Debe asegurarse de que los usuarios sean conscientes de que esta opción está habilitada, porque la aplicación no les informará de que se han deshabilitado los controles ActiveX. También es importante determinar si se usan controles ActiveX para proporcionar funcionalidad crítica para la empresa antes de habilitar a esta opción.


  • Instrucciones: las organizaciones que tienen un entorno de seguridad altamente restrictivo normalmente habilitan esta opción.

Nota

Si habilita esta opción, se deshabilitan los controles ActiveX en los archivos que están guardados en las ubicaciones de confianza.

También puede usar el bit de cierre COM de Office, que se incluye en Office 2010, para evitar que determinados objetos COM, incluidos los controles ActiveX, se ejecuten dentro de las aplicaciones de Office 2010. Esta función estaba disponible en 2007 Office System. Sin embargo, dependía de la configuración del bit de cierre de ActiveX de Internet Explorer. Ahora, con Office 2010, puede controlar de manera independiente en el Registro los objetos COM que no se podrán ejecutar mediante Office 2010. Si, por ejemplo, el bit de cierre está establecido para el mismo control ActiveX en las dos ubicaciones, Office e Internet Explorer, y se origina un conflicto entre ambas opciones, el bit de cierre COM de Office tiene prioridad. Un escenario común donde vería el bit de cierre COM de Office establecido es cuando se aplica una actualización que se incluye en un boletín de seguridad de Microsoft para solucionar un problema de seguridad específico de Office 2010.

Advertencia

No se recomienda quitar el bit de cierre (deshacer la acción de cierre) en un objeto COM. Si lo hace, podrían surgir vulnerabilidades de seguridad. El bit de cierre se establece, normalmente, por un motivo que podría ser crítico, y por ello, se debe tener mucho cuidado al quitar el bit de cierre en un control ActiveX.

Es posible agregar un AlternateCLSID (también conocido como "bit Phoenix") cuando necesita poner en correlación el CLSID de un nuevo control ActiveX que se modificó para prevenir la amenaza de seguridad, con el CLSID del control ActiveX al que se aplicó el bit de cierre COM de Office. Office 2010 admite el uso de AlternateCLSID únicamente con objetos COM de controles ActiveX. Para obtener más información sobre el comportamiento del bit de cierre, incluido AlternateCLSID, consulte el tema sobre el procedimiento para impedir que se ejecute un control ActiveX en Internet Explorer (https://go.microsoft.com/fwlink/?linkid=183124\&clcid=0xC0A).

Dado que el siguiente procedimiento es muy técnico, no continúe a menos que esté muy familiarizado con él.

Importante

Esta sección, método o tarea contiene pasos que indican los procedimientos para modificar el Registro. Sin embargo, pueden producirse problemas graves si modifica el Registro incorrectamente. Por lo tanto, asegúrese de seguir estos pasos cuidadosamente. Para conseguir protección adicional, haga una copia de seguridad del Registro antes de modificarlo. De esta manera, podrá restaurar el Registro si se produce un problema.

La ubicación para establecer el bit de cierre COM de Office en el Registro es HKLM/Software/Microsoft/Office/Common/COM Compatibility/{CLSID}, donde CLSID es el identificador de clase del objeto COM. Para habilitar el bit de cierre COM de Office, deberá agregar la clave del Registro, incluido el CLSID del control ActiveX y agregar el valor 0x00000400 a los marcadores de compatibilidad REG_DWORD.

Nota

El comportamiento del bit de cierre (de Internet Explorer y COM de Office) se puede ver afectado al habilitar la categorización de COM en Office 2010. Para obtener más información, vea Planeación de la categorización de objetos COM para Office 2010.

Controles que se pueden en la lista de denegación de Office:


  • Microsoft HTA Document 6.0 - 3050F5C8-98B5-11CF-BB82-00AA00BDCE0B


  • htmlfile - 25336920-03F9-11CF-8FD0-00AA00686F13


  • htmlfile_FullWindowEmbed - 25336921-03F9-11CF-8FD0-00AA00686F13


  • mhtmlfile - 3050F3D9-98B5-11CF-BB82-00AA00BDCE0B


  • Control del explorador web - 8856F961-340A-11D0-A96B-00C04FD705A2


  • DHTMLEdit - 2D360200-FFF5-11d1-8d03-00a0c959bc0a

Cambio de la forma en que se inicializan los controles ActiveX

Office 2010 proporciona una opción de configuración que permite controlar el modo de inicialización de los controles ActiveX según los parámetros de SFI, UFI y modo seguro. Los programadores pueden configurar estos parámetros al crear controles ActiveX. Los controles ActiveX marcados como SFI usan orígenes de datos seguros para inicializarse. Un origen de datos seguro es un origen de confianza conocido que no provoca infracciones de seguridad. Los controles que no están marcados como SFI, se consideran UFI.

El modo seguro es otro mecanismo de seguridad que los programadores pueden usar para garantizar la seguridad de los controles ActiveX. Cuando un programador crea un control ActiveX que implementa el modo seguro, el control se puede inicializar de dos formas: en modo seguro y en modo no seguro. Si se inicializa un control ActiveX en modo seguro, se aplican determinadas restricciones al control, que limitan su funcionalidad. A la inversa, si se inicializa un control ActiveX en modo no seguro, no se aplica ninguna restricción a su funcionalidad. Por ejemplo, un control ActiveX que lee y escribe en archivos solo podría leer los archivos si se inicializa en modo seguro y podría leer y escribir en los archivos si se inicializa en modo no seguro. Solo los controles ActiveX que son SFI se pueden inicializar en modo seguro. Los controles ActiveX que son UFI siempre se inicializan en modo no seguro.

Si la inicialización predeterminada para los controles ActiveX no es suficiente para la organización, pero no desea deshabilitar los controles ActiveX, use las siguientes instrucciones para determinar cómo se puede cambiar la forma en que se inicializan los controles ActiveX.

Nombre de la opción: Inicialización del control ActiveX


  • Descripción: esta opción especifica el modo de inicialización de los controles ActiveX para todas las aplicaciones de Office 2010. Es una configuración global y no se puede configurar en cada aplicación. Puede seleccionar uno de los seis niveles de seguridad de inicialización posibles para esta opción:

    • Nivel de seguridad 1: independientemente de cómo esté marcado el control, lo carga y usa valores persistentes (si hay alguno). Esta opción evita que se pida confirmación al usuario.

    • Nivel de seguridad 2: si el control está marcado como SFI, lo carga en modo seguro y usa valores persistentes (si hay alguno). Si el control no está marcado como SFI, lo carga en modo no seguro con valores persistentes (si hay alguno) o usa la configuración predeterminada (primera inicialización). Este nivel se parece a la configuración predeterminada, pero a diferencia de ella, esta opción evita que se notifique a los usuarios.

    • Nivel de seguridad 3: si el control está marcado como SFI, carga el control en modo no seguro y usa valores persistentes (si hay alguno). Si no está marcado como SFI, solicita confirmación al usuario e informa de que está marcado como no seguro. Si el usuario elige No en el pedido de confirmación, no carga el control. En caso contrario, carga el control con la configuración predeterminada (primera inicialización).

    • Nivel de seguridad 4: si el control está marcado como SFI, carga el control en modo seguro y usa valores persistentes (si hay alguno). Si no está marcado como SFI, solicita confirmación al usuario e informa que está marcado como no seguro. Si el usuario elige No en el pedido de confirmación, no carga el control. En caso contrario, carga el control con la configuración predeterminada (primera inicialización).

    • Nivel de seguridad 5: si el control está marcado como SFI, carga el control en modo no seguro y usa valores persistentes (si hay alguno). Si no está marcado como SFI, solicita confirmación al usuario e informa que está marcado como no seguro. Si el usuario elige No en el pedido de confirmación, no carga el control. En caso contrario, se carga con valores persistentes.

    • Nivel de seguridad 6: si el control está marcado como SFI, carga el control en modo seguro y usa valores persistentes (si hay alguno). Si no está marcado como SFI, solicita confirmación al usuario e informa que está marcado como no seguro. Si el usuario elige No en el pedido de confirmación, no carga el control. En caso contrario, se carga con valores persistentes.


  • Impacto: si el control no está marcado como SFI, podría afectar negativamente al equipo, o podría significar que los programadores no probaron el control en todas las situaciones y no pueden saber con seguridad si podría ponerlo en peligro en el futuro. Además, algunos controles ActiveX no respetan la configuración de modo seguro del Registro y, por tanto, podrían cargar datos persistentes aunque la configuración esté establecida de manera que los controles ActiveX se inicialicen en modo seguro. Si habilita esta opción y selecciona los niveles de seguridad 2, 4 ó 6 solo aumentará la seguridad de los controles ActiveX que están marcados correctamente como SFI. En situaciones que implican código malintencionado o mal diseñado, puede que se marque un control ActiveX incorrectamente como SFI.


  • Instrucciones: la mayoría de las organizaciones habilitan esta opción y seleccionan el nivel de seguridad 2, que usa los mismos criterios de inicialización que la configuración predeterminada, pero no informa a los usuarios en la barra de mensajes. Normalmente, las organizaciones que tienen un entorno de seguridad muy restrictivo deshabilitan esta opción, que es la configuración predeterminada.

Configuración relacionada con los controles ActiveX

Muchas otras configuraciones afectan al comportamiento de los controles ActiveX en las aplicaciones de Office 2010. Si modifica la configuración de los controles ActiveX porque tiene un entorno de seguridad especial, es posible que desee evaluar la siguiente configuración:


  • Cargar controles en Formularios3: esta opción determina cómo se inicializan los controles ActiveX en UserForms.


  • Deshabilitar todas las notificaciones de la barra de confianza para problemas de seguridad: esta opción evita que los usuarios vean las advertencias de la barra de mensajes, incluidas las que son sobre los controles ActiveX no seguros.

Nota

Para obtener la información más reciente acerca de la configuración de directiva, vea el libro de Microsoft Excel 2010 Office2010GroupPolicyAndOCTSettings_Reference.xls, que está disponible en la sección Archivos en esta descarga en la página de descarga de los archivos de plantillas administrativas de Office 2010 (ADM, ADMX, ADML) y la Herramienta de personalización de Office (https://go.microsoft.com/fwlink/?linkid=189316&clcid=0xC0A).