Microsoft quiere sacar a los antivirus del núcleo de Windows
Después de décadas permitiendo que el software de seguridad operara en las profundidades del sistema operativo, Microsoft está intentando cambiar las reglas del juego y llevar a los antivirus fuera del kernel de Windows. Y no, no es casualidad que esta medida llegue meses después del catastrófico incidente de CrowdStrike que dejó millones de equipos fuera de servicio.
¿Qué está haciendo Microsoft exactamente?
David Weston, vicepresidente de Seguridad Empresarial y de Sistemas Operativos de Microsoft, lo ha dejado bastante claro: «Esto significa que los productos de seguridad como antivirus y soluciones de protección de endpoints pueden ejecutarse en modo usuario, igual que las aplicaciones normales».
La idea es simple pero revolucionaria: trasladar los antivirus desde el núcleo del sistema (donde tienen acceso prácticamente ilimitado) a la capa de usuario, donde operan las aplicaciones convencionales. Microsoft ya ha iniciado un programa de vista previa con los principales desarrolladores de seguridad como CrowdStrike, Bitdefender, ESET, SentinelOne o Trend Micro.
Lo interesante aquí es que Microsoft dice que los desarrolladores de seguridad «pueden» (no «deben») desarrollar sus aplicaciones para funcionar en modo usuario. Todavía no está claro si esto es el primer paso para expulsar definitivamente a terceros del kernel o simplemente una opción alternativa para quienes no necesiten ese nivel de acceso.
Un movimiento con historia (y polémica)
Esta no es la primera vez que Microsoft intenta restringir el acceso al kernel. Ya en 2006, durante el desarrollo de Windows Vista y los cimientos de lo que serían las versiones de 64 bits de Windows, intentó limitar la capacidad de las empresas de seguridad para parchear el núcleo como habían hecho en las versiones de 32 bits.
La coincidencia no era menor: por aquellas fechas Microsoft comenzaba a ofrecer sus propias soluciones antivirus, incluyendo la primera versión de Windows Defender. Compañías como Symantec no tardaron en acusar a Microsoft de comportamiento anticompetitivo, argumentando que esta restricción daría a los productos de seguridad de Microsoft capacidades que los de terceros no podrían igualar.
Microsoft parece haber aprendido la lección y esta vez está colaborando estrechamente con sus socios a través de la Microsoft Virus Initiative (MVI). Weston ha insistido: «Continuaremos colaborando profundamente con nuestros socios MVI durante la vista previa privada».
Adiós a la pantalla azul (ahora será negra)
Si hay algo que todos asociamos con los fallos catastróficos en Windows es la icónica «pantalla azul de la muerte». Pues bien, Microsoft ha decidido que también es hora de renovarla.
Para empezar, ya no será azul sino negra, un cambio que Microsoft intentó brevemente al principio de Windows 11 pero que luego revirtió. Según la compañía, la pantalla ha sido «simplificada» para mejorar la legibilidad y alinearse mejor con los principios de diseño de Windows 11, aunque mantendrá la información técnica esencial.
Pero el cambio más importante está bajo el capó: una nueva función llamada «recuperación rápida de máquina» (QMR). Si un PC de Windows sufre múltiples reinicios inesperados o entra en un bucle de arranque —como sucedió con muchos sistemas afectados por el error de CrowdStrike—, el equipo intentará arrancar en Windows RE, un entorno de recuperación simplificado.
La función QMR permitirá a Microsoft «implementar ampliamente soluciones específicas para dispositivos afectados a través de Windows RE», haciendo posible que algunos problemas se solucionen incluso si los equipos no pueden arrancar en Windows estándar, «devolviendo rápidamente a los usuarios a un estado productivo sin requerir intervención manual compleja por parte de TI».
¿Es esto realmente mejor para la ciberseguridad?
La pregunta del millón es si sacar a los antivirus del kernel realmente mejorará la seguridad o si simplemente limitará su capacidad de detección y protección. Por un lado, Microsoft argumenta que esta medida reducirá los riesgos de estabilidad: si un software de seguridad falla (como vimos con CrowdStrike), el impacto será menor y más fácil de recuperar.
Por otro lado, muchos expertos en seguridad señalan que ciertos tipos de malware sofisticado requieren detección a nivel de kernel para ser identificados eficazmente. Limitar el acceso podría teóricamente crear puntos ciegos para las soluciones de terceros.
Posiblemente estemos ante un cambio de paradigma en la seguridad de Windows: Microsoft quiere más control sobre quién puede tocar las entrañas del sistema, mientras los desarrolladores de antivirus tendrán que adaptar sus productos a un entorno más restrictivo. Todo esto con la sombra del incidente de CrowdStrike como recordatorio de lo que puede salir mal cuando un software con privilegios elevados falla.
¿El futuro cercano? Windows 11 24H2, que llegará a finales de este verano, ya incorporará la nueva pantalla negra y la funcionalidad QMR. Microsoft promete añadir más opciones de personalización para QMR «más adelante este año». Lo que está claro es que la era de los antivirus con acceso ilimitado al kernel de Windows parece estar llegando a su fin.
