Capítulo 4. Acreditación

Aquí estan algunos de los archivos de configuración más importantes usados por PAM y NSS.

Las normas para la selección de contraseñas se desarrolla en los módulos PAM, pam_unix(8) y pam_cracklib(8). Pueden ser configuradas por sus parámetros.

	Sugerencia
	Los nombres de archivos de los módulos de PAM usan el sufijo «.so».

La gestión moderna de sistemas centralizados puede desplegarse empleando un servidor central LDAP (Protocolo Ligero de Acceso a Directorios) que administre los sistemas en la red, sean estos tipo Unix o de otro tipo. La implementación de código libre de este protocolo es el software OpenLDAP.

El servidor LDAP proporciona información de la cuenta mediante PAM y NSS con los paquetes libpam-ldap y libnss-ldap del sistema Debian. Se necesitan distintas acciones para activarlo (La siguiente configuración no está comprobada y es información totalmente secundaria. Por favor léala en este contexto).

Consulte los documentos pam_ldap.conf(5) y «/usr/share/doc/libpam-doc/html/» que contiene el paquete libpam-doc e «info libc 'Name Service Switch'» que contiene el paquete glibc-doc.

De forma parecida, se pueden instalar sistemas centralizados para otro métodos.

Esta frase famosa al final de la página antigua de «info su» de Richard M. Stallman. Para no preocuparse: la orden actual su en Debian usa PAM, así este puede limitar el uso de su al grupo root habilitando la línea «pam_wheel.so» en «/etc/pam.d/su».

password required pam_cracklib.so retry=3 minlen=9 difok=3
password [success=1 default=ignore] pam_unix.so use_authtok nullok md5
password requisite pam_deny.so
password required pam_permit.so

sudo(8) es un programa diseñado para permitir que el administrador de sistemas conceda ciertos privilegios de superusuario a los usuarios y registre su actividad. sudo necesita únicamente la contraseña del usuario normal. Una vez instalado el paquete sudo la configuración se realiza en el archivo «/etc/sudoers». Consulte una configuración de ejemplo en «/usr/share/doc/sudo/examples/sudoers» y Sección 1.1.12, “Configuración de sudo”.

En un sistema monousuario, el uso que yo realizo de sudo (consulteSección 1.1.12, “Configuración de sudo”) pretende evitar mi propia estupidez. Personalmente, considero el uso de sudo como la mejor alternativa al uso de la cuenta de superusuario de forma constante. Por ejemplo, lo siguiente cambia el dueño de «<un_archivo>» a «<mi_nombre>».

$ sudo chown <mi_nombre> <un_archivo>

Desde luego si conoce la contraseña de «root« (como la conoce cualquier usuario que se instala Debian), cualquier orden puede ser ejecutada por «root« desde cualquier cuenta de usuario utilizando «su -c».

PolicyKit es un componente del sistema operativo con el fin de controlar los privilegios del sistema en toda su extensión para sistemas operativos tipo Unix.

Los nuevas aplicaciones de interfaz gráfico de usuario no esan diseñadas para ejecutarse como procesos privilegiados. Se comunican con los procesos privilegiados a través de PolicyKit realizando de forma eficiente las operaciones administrativas.

PolicyKit restrinje cada operación a cuentas de usuario que pertenecer al grupo sudo en el sistema Debian.

Consulte polkit(8).

Security-Enhanced Linux (SELinux) es un marco que se ajusta a un modelo de privilegios más preciso que el modelo de seguridad de tipo Unix con las políticas de control de acceso obligatorio (MAC). El poder del superusuario pueden ser limitado bajo ciertas condiciones.

Para la seguridad del sistema, es una buena idea deshabilitar tantos programas del servidor como sea posible. Esto es crítico en servidores en red. Tener servidores sin utilidad, ejecutándose como demonios o por medio de un programa super servidor, se considera un riesgo de seguridad.

Muchos programas, como sshd(8), utilizan PAM como control de acceso. Existen muchas maneras de limitar el acceso a algunos servicios de servidor.

See Sección 3.2.6, “System management under systemd”, Sección 4.5.1, “Archivos de configuración utilizados por PAM y NSS”, and Sección 5.10, “Infraestructura Netfilter”.

Los servicios de la capa de transporte más usados usan mensajes que incluyen la acreditación mediante contraseñas en texto plano. Es una mala idea emitir contraseñas en texto plano en una red descentralizada donde pueden ser interceptados. Puede ejecutar estos servicios sobre la «Capa de Transporte Segura« (TLS) o su predecesor «Secure Sockets Layer« (SSL) para asegurar por medio del cifrado todas las comunicaciones incluidas las contraseñas.

El coste de tiempo de CPU del cifrado. Como alternativa más eficiente para la CPU, se pueden mantener las comunicaciones en texto plano y securizando la contraseña con el protocolo de acreditación como «Acreditación de Oficina de Correos (Authenticated Post Office Protocol, APOP )« para POP y «Mecanismo de acreditación reto-respuesta MD5(Challenge-Response Authentication Mechanism MD5, CRAM-MD5)« para SMTP e IMAP. (Para el envio de mensajes de correo en Internet a su servidor de correo desde su cliente de correo, se ha vuelto usual el uso del puerto 587 para la recepción de mensajes en vez del tradicioal puerto 25 SMTP para evitar el bloqueo del puerto 25 por el proveedor de red mientras se acredita con CRAM-MD5.)

El programa Secure Shell (SSH) ofrece comunicaciones cifradas seguras entre dos equipos no confiables sobre una red insegura con acreditación segura. Consiste en el cliente OpenSSH, ssh(1) y el demonio OpenSSH, sshd(8). Este SSH puede ser usado para realizar un túnel de un protocolo de comunicación inseguro como es POP y securizar X sobre Internet con la funcionalidad de reenvio de puerto (port forwarding).

El cliente intenta acreditarse a si mismo usando la acreditación basada en equipos, acreditación de clave pública, acreditación reto-respuesta, o acreditación por contraseña. El uso de acreditación por clave pública permite acceso remoto sin contraseña. Consulte Sección 6.9, “Servidor de acceso remoto (SSH) y utilidades”.

Incluso cuando ejecute servicios seguros como servidores Secure Shell (SSH) y Protocolo de Túnel Punto a Punto (Point-to-point tunneling protocol, PPTP), todavía existen posibilidades de «hackeo« usando ataques de fuerza bruta para adivinar la contraseña etc. desde Internet. El uso de directrices de cortafuegos (consulte Sección 5.10, “Infraestructura Netfilter”) junto con las herramientas de seguridad que siguen pueden mejorar la seguridad.

Para evitar que la gente acceda a su equipo con privilegios de root, necesita realizar las siguientes acciones:

• Impide el acceso físico al disco duro

• Bloquea la BIOS y evita el arranque de un medio externo

• Asigne una contraseña a las sesiones interactivas de GRUB

• Bloquee la edición del menú de GRUB

Con acceso físico al disco duro, resetear la contraseña es relativamente fácil siguiendo los pasos:

1. Mueva el disco duro a un PC con una BIOS capaz de arrancar desde CD.

2. Arranque el sistema con un medio de rescate (disco de arranque Debiam. Knoppix CD, GRUB CD, ...).

3. Monte la partición raíz con permisos de lectura/escritura.

4. Edite «/etc/passwd» en la partición raíz y cree un segundo registro para la cuenta de root vacía.

Si tiene acceso edite el registro del menú GRUB (consulte Sección 3.1.2, “Fase 2: el cargador de arranque”) para grub-rescue-pc en el arranque, es incluso más fácil siguiendo los pasos:

El intérprete de órdenes del superusuario del sistema es accesible sin contraseña.

La única solución software razonable es evitar lo anterior con la utilización de software que cifra la partición raíz (o la partición «/etc») usando dm-crypt e initramfs (consulte Sección 9.8, “Trucos para cifrar información”). Sin embargo, siempre necesitará la contraseña para arrancar el sistema.