SEGURIDAD EN UNIX Y REDES

134CAPÍTULO 8. AUTENTICACIÓN DE USUARIOSexisten muchos programas adivinadores que se ejecutan en un PC normal, bajo MS-DOS o Windows.Obviamente, este segundo caso es mucho más difícil de detectar, ya que se necesita una auditoríade los programas que ejecuta cada usuario (y utilidades como cp o ftp no suelen llamar la atencióndel administrador). Esta auditoría la ofrecen muchos sistemas Unix (generalmente en los ficherosde log /var/adm/pacct o /var/adm/acct), pero no se suele utilizar por los excesivos recursosque puede consumir, incluso en sistemas pequeños; obviamente, no debemos fiarnos nunca de losarchivos históricos de órdenes del usuario (como $HOME/.sh history o $HOME/.bash history), yaque el atacante los puede modificar para ocultar sus actividades, sin necesidad de ningún privilegioespecial.Contraseñas aceptablesLa principal forma de evitar este tipo de ataque es utilizar passwords que no sean palabras de losficheros diccionario típicos: combinaciones de minúsculas y mayúsculas, números mezclados contexto, símbolos como &, $ o %, etc. Por supuesto, hemos de huir de claves simples como internet obeatles, nombres propios, combinaciones débiles como Pepito1 o qwerty, nombres de lugares, actores,personajes de libros, deportistas. . . Se han realizado numerosos estudios sobre cómo evitar este tipode passwords en los usuarios ([dA88], [Kle90], [Spa91b], [Bel93a], [Bis91], [BK95]. . . ), y tambiénse han diseñado potentes herramientas para lograrlo, como Npasswd o Passwd+ ([Spa91b], [Bis92],[CHN + 92]. . . ). Es bastante recomendable instalar alguna de ellas para ‘obligar’ a los usuarios autilizar contraseñas aceptables (muchos Unices ya las traen incorporadas), pero no conviene confiartoda la seguridad de nuestro sistema a estos programas 5 . Como norma, cualquier administradordebería ejecutar con cierta periodicidad algún programa adivinador, tipo Crack, para comprobarque sus usuarios no han elegidos contraseñas débiles (a pesar del uso de Npasswd o Passwd+): sepuede tratar de claves generadas antes de instalar estas utilidades o incluso de claves asignadas porel propio root que no han pasado por el control de estos programas.Por último es necesario recordar que para que una contraseña sea aceptable obligatoriamente hade cumplir el principio KISS, que hablando de passwords está claro que no puede significar ‘Keepit simple, stupid!’ sino ‘Keep it SECRET, stupid!’. La contraseña más larga, la más difícil derecordar, la que combina más caracteres no alfabéticos. . . pierde toda su robustez si su propietariola comparte con otras personas 6 .Para verificar el hecho que de no hay que confiar toda la seguridad de un sistema a ningúnprograma, hemos crackeado el fichero de claves de un servidor de la Universidad Politécnicade Valencia. Se trata de un sistema Unix con unos 1300 usuarios, dedicado a cálculo científico(obviamente, no vamos a decir el nombre del servidor). A pesar de utilizar un mecanismo queno permite que los usuarios elijan claves débiles, en menos de dos horas de ejecución sobreun Pentium MMX a 233 MHz el programa Crack corriendo sobre Solaris ha encontrado seisclaves de usuario utilizando exclusivamente diccionarios de demostración que acompañan alprograma (seguramente si utilizáramos diccionarios en castellano o relacionados con temascomo el deporte o la música nacionales – que los hay– habríamos encontrado alguna clavemás. . . ). Se puede pensar que sólo seis usuarios de entre 1300 es algo bastante aceptable,pero no es así: cualquier combinación válida de login y password es una puerta abierta ennuestro sistema; si un intruso consigue entrar por esta puerta, tiene más del 70% del caminorecorrido para obtener el control total de la máquina. Si queremos conseguir un sistemamínimamente fiable, no podemos permitir ni una sola clave débil.Sin embargo, tampoco hay que pensar que programas como Passwd+ no desempeñan biensu labor: en 1994, cuando en el sistema con el que hemos realizado la prueba anteriorno disponía de estos mecanismos de seguridad, en menos de 12 horas de ejecución de unprograma adivinador sobre un 486DX a 33 MHz utilizando Linux, se consiguieron extraermás de cien claves, entre ellas algunas de usuarios con cierto nivel de privilegio dentro delsistema.5 ¡Ni a ningún otro!6 ‘Three can keep a secret. . . if two of them are dead’. Benjamin Franklin.