SEGURIDAD EN UNIX Y REDES

174CAPÍTULO 11. ALGUNOS SERVICIOS Y PROTOCOLOSComo sucedía con systat, es recomendable deshabilitar este servicio comentando la línea correspondientede /etc/inetd.conf, o en todo caso restringir el acceso al mismo a máquinas de nuestrared local, mediante TCP Wrappers. La información sobre el estado del sistema de red – o al menosde parte del mismo – puede ser muy útil para un atacante, ya que por ejemplo le está mostrandonombres de hosts y además le permite hacerse una idea del tráfico que soporta la máquina, de losservicios que ofrece, de los hábitos de conexión de los usuarios. . .11.2.4 chargenchargen (puerto 19, tcp y udp) es un generador de caracteres servido internamente por inetd, quese utiliza sobre todo para comprobar el estado de las conexiones en la red; cuando alguien accedea este servicio simplemente ve en su terminal una secuencia de caracteres ASCII que se repite indefinidamente.Los posibles problemas de seguridad relacionados con chargen suelen ser negaciones de servicio,tanto para la parte cliente como para la servidora. Sin duda el ejemplo más famoso de utilizaciónde chargen es una de las anécdotas del experto en seguridad Tsutomu Shimomura (el principalcontribuidor en la captura de Kevin Mitnick, el pirata más famoso de los noventa): cuando conectabaa un servidor de ftp anónimo, Shimomura se dió cuenta de que la máquina lanzaba unfinger contra el cliente que realizaba la conexión. Esto no le gustó, y decidió comprobar si esesistema utilizaba el finger habitual; para ello modificó el fichero /etc/inetd.conf de su sistema deforma que las peticiones finger se redireccionaran al generador de caracteres chargen. Conectó alservidor de nuevo, y al hacer éste otro finger, la máquina de Shimomura se dedicó a enviar megasy megas de caracteres (chargen no finaliza hasta que el cliente corta la conexión); en unas pocashoras el sistema remoto quedó inoperativo, y a la mañana siguiente ese finger automático habíasido eliminado de la configuración del servidor. Ese servidor no habría sufrido una caída si hubierautilizado safe finger, un programa de Wietse Venema que se distribuye junto a TCP Wrappers yque limita la potencial cantidad de información que finger puede recibir.11.2.5 tftptftp (Trivial File Transfer Protocol) es un protocolo de transferencia de ficheros asociado al puerto 69y basado en udp que no proporciona ninguna seguridad. Por tanto en la mayoría de sistemas esobligatorio que este servicio esté desactivado; su uso principal es el arranque de estaciones disklesso de routers a través de la red, ya que la simpleza del protocolo permite implementarlo en unchip, y sólo en ese caso nos veremos obligados a ofrecer el servicio. Si es este el caso, los ficherosque deseemos que sean públicos se han de situar en un determinado directorio (dependiendo delclon de Unix, /tftpboot/, /etc/tftpboot/, /usr/local/boot/. . . ) o utilizar otros nombres dedirectorio como argumentos del demonio en /etc/inetd.conf, algo no recomendable. Por ejemplo,si en /tftpboot/ guardamos una copia de la imagen del kernel, los clientes podrán acceder a ellamediante la orden tftp:luisa:~# tftp rositatftp> get vmlinuzReceived 531845 bytes in 3.4 secondstftp> quitluisa:~#Podemos ver que en ningún momento se solicita un nombre de usuario o una clave, lo que nos dauna idea de los graves problemas de seguridad que el ofrecer este servicio puede implicarnos. Hastahace unos años, era normal que los fabricantes de sistemas Unix vendieran sus productos con tftpabierto y sin configurar, con lo que un pirata lo tenía muy fácil para conseguir cualquier fichero decontraseñas:luisa:~# tftp victima