SEGURIDAD EN UNIX Y REDES

188CAPÍTULO 11. ALGUNOS SERVICIOS Y PROTOCOLOSbien en estaciones monousuarios o bien en equipos donde todos los usuarios son confiables ([Vic94]).Además, en sistemas antiguos es el único modelo de seguridad disponible, por lo que en ocasiones noqueda más remedio que limitarse a él. Funciona configurando el servidor para permitir conexionesa él provenientes de una lista de máquinas, por ejemplo con la orden xhosts:anita:~# xhost +luisaluisa being added to access control listanita:~#Si ejecutamos la sentencia anterior en la máquina donde se ejecuta el servidor, cualquier usuariodel sistema remoto estará autorizado a lanzar aplicaciones contra él 3 :luisa:~# xterm -display anita:0.0 &[1] 11974luisa:~#La orden xhost sin opciones nos dará una lista de los clientes que pueden lanzar aplicacionescontra el servidor, mientras que la opción especial ‘+’ deshabilitará este control de acceso, algo queevidentemente no es recomendable: cualquier usuario de cualquier sistema podrá utilizar nuestroservidor:anita:~# xhostaccess control enabled, only authorized clients can connectLOCAL:INET:anitaINET:localhostINET:luisaanita:~# xhost +access control disabled, clients can connect from any hostanita:~# xhostaccess control disabled, clients can connect from any hostLOCAL:INET:anitaINET:localhostINET:luisaanita:~#Una medida de seguridad básica utilizando este modelo es habilitar la máquina en nuestra lista dehosts sólo el tiempo necesario para que el cliente arranque, y deshabilitarla después; así la ejecuciónde la aplicación cliente funcionará normalmente, pero no se podrán lanzar nuevas peticiones alservidor. También para eliminar una dirección de la lista utilizamos la orden xhost:anita:~# xhostaccess control enabled, only authorized clients can connectLOCAL:INET:anitaINET:localhostINET:luisaanita:~# xhost -luisaluisa being removed from access control listanita:~# xhostaccess control enabled, only authorized clients can connectLOCAL:INET:anitaINET:localhostanita:~#3 En determinados casos, por ejemplo utilizando autenticación sun-des-1 o utilizando Kerberos, es posible indicarnombres de usuario autorizados de cada sistema; no lo veremos aquí por no ser el caso más habitual.