SEGURIDAD EN UNIX Y REDES

15.4. SSH 241Acabamos de configurar los sistemas con acceso a ciertos demonios; para indicar a TCP Wrappersque nuestros servicios no van a ser ofertados a nadie más, creamos el fichero /etc/hosts.deny ydenegamos todo a todos:llegona_(/) # cat /etc/hosts.denyALL: ALLllegona_(/) #Una vez hemos configurado todo, hemos de hacer que inetd relea su fichero de configuración enviándolela señal sighup, por ejemplo con la orden killall -HUP inetd 4 . A partir de ese momentolos cambios han tenido efecto; en función de nuestro /etc/syslog.conf, pero generalmente en archivoscomo /var/adm/SYSLOG o /var/adm/messages vamos a poder ver las conexiones aceptadasy las rehusadas:Dec 2 02:16:47 llegona ftpd[18234]: refused connect from bill.microsoft.comDec 2 02:45:23 llegona telnetd[18234]: connect from corbella.dsic.upv.esCuando alguien desde una máquina que tiene permiso para acceder a cierto servicio conecte a él nonotará nada raro, pero si lo hace desde un equipo no autorizado, la conexión se cerrará:anita:~# telnet llegona.dsic.upv.esTrying 158.42.49.37...Connected to llegona.dsic.upv.esEscape character is ’^]’.llegona login: Connection closed by foreign host.anita:~#15.4 SSHTradicionalmente el intercambio de datos entre sistemas Unix (desde la transferencia de ficheros ola compartición de archivos vía NFS hasta el acceso remoto) se ha realizado utilizando mecanismosen los que la seguridad era un factor poco importante frente a otros como la velocidad o ladisponibilidad. Sin embargo, conforme ha ido aumentando la calidad de los medios de transmisión(en la actualidad cualquier pequeña organización tiene al menos una red Fast Ethernet capaz dealcanzar velocidades de 100 Mbps, cuando no una ATM, una FDDI o incluso una GigaEthernetque alcanza los 1000 Mbps de velocidad), y también conforme ha ido aumentando la peligrosidadde las redes, especialmente de Internet, se ha ido considerando más el grave problema que implicauna transmisión de datos en texto claro, ya sea un telnet, un ftp o incluso la transmisión de datosque tiene lugar al utilizar sistemas de ficheros en red. Por suerte, en la actualidad, casi nadie sigueusando los medios clásicos de intercambio de datos entre equipos Unix: por ejemplo, muy pocagente sigue conectando mediante telnet a máquinas remotas, mientras que hace unos pocos años erahabitual ver estas conexiones incluso entre máquinas separadas por multitud de redes. Casi todoslos mecanismos clásicos se han reemplazado por protocolos que incorporan el cifrado en mayor omenor medida, de forma que un pirata que captura datos transmitidos entre sistemas lo tiene muydifícil para conseguir información importante, como una clave de usuario; ejemplos de protocolosque incorporan la criptografía son SSL (Secure Socket Layer) o TCFS (Transparent CryptographicFile System, del que ya hemos hablado en este proyecto).Dentro de todo estos modelos considerados seguros está Secure Shell (ssh), un software cuya principalfunción es permitir la conexión remota segura a sistemas a través de canales inseguros, aunquetambién se utiliza para la ejecución de órdenes en ese sistema remoto o transferir ficheros desde ohacia él de manera fiable ([Ylo96]); es, por tanto, el sustituto ideal de órdenes como telnet, ftp or∗ de Unix BSD. Todo esto utilizando RSA, SecurID, Kerberos, TIS o la autenticación clásica de4 Concretamente en IRIX este mecanismo no funciona, hay que matar el demonio y volverlo a lanzar.