SEGURIDAD EN UNIX Y REDES

264APÉNDICE A. SEGURIDAD BÁSICA PARA ADMINISTRADORESmismo nos mostrará una s en el campo de ejecución para propietario, mientras que si estásetgidado aparecerá una s en el campo de ejecución para grupo; podemos resetear los dos bitscon la orden vista anteriormente:anita:/# ls -l /usr/lib/fs/ufs/ufsdump-r-sr-sr-x 1 root tty 144608 Oct 6 1998 /usr/lib/fs/ufs/ufsdumpanita:/# chmod -s /usr/lib/fs/ufs/ufsdumpanita:/# ls -l /usr/lib/fs/ufs/ufsdump-r-xr-xr-x 1 root tty 144608 Oct 6 1998 /usr/lib/fs/ufs/ufsdump• Cifrado de datosEl principal problema de las claves viajando en texto claro por la red es que cualquier atacantepuede leerlas: si usamos telnet, rlogin o ftp, cualquier persona situada entre nuestraestación de trabajo y el servidor al que conectamos puede ‘esnifar’ los paquetes que circulanpor la red y obtener así nuestro nombre de usuario y nuestro password. Para evitar esteproblema es conveniente utilizar software que implemente protocolos cifrados para conectar;el más habitual hoy en día es ssh (Secure Shell). Por una parte, tenemos el programa servidorsshd, que se ha de instalar en el equipo al que conectamos, y por otra programas clientes(ssh para sustituir a rsh/rlogin y scp para sustituir a rcp).Una vez instalado, este software es transparente al usuario: simplemente ha de recordar suclave, igual que si conectara por telnet o rlogin.• Relaciones de confianzaEn el fichero /etc/hosts.equiv se indican, una en cada línea, las máquinas confiables. ¿Quésignifica confiables? Básicamente que confiamos en su seguridad tanto como en la nuestra, porlo que para facilitar la compartición de recursos, no se van a pedir contraseñas a los usuariosque quieran conectar desde estas máquinas con el mismo login, utilizando las órdenes bsd r∗(rlogin, rsh, rcp. . . ). Por ejemplo, si en el fichero /etc/hosts.equiv del servidor anitahay una entrada para el nombre de host luisa, cualquier usuario 1 de este sistema puedeejecutar una orden como la siguiente para conectar a anita ¡sin necesidad de ningunaclave!:luisa:~$ rlogin anitaLast login: Sun Oct 31 08:27:54 from localhostSun Microsystems Inc. SunOS 5.7 Generic October 1998anita:~$Obviamente, esto supone un gran problema de seguridad, por lo que lo más recomendablees que el fichero /etc/hosts.equiv esté vacío o no exista. De la misma forma, los usuariospueden crear ficheros $HOME/.rhosts para establecer un mecanismo de confiabilidad bastantesimilar al de /etc/hosts.equiv; es importante para la seguridad de nuestro sistema elcontrolar la existencia y el contenido de estos archivos .rhosts. Por ejemplo, podemos aprovecharlas facilidades de planificación de tareas de Unix para, cada cierto tiempo, chequear losdirectorios $HOME de los usuarios en busca de estos ficheros, eliminándolos si los encontramos.Un shellscript que hace esto puede ser el siguiente:1 Excepto el root.#!/bin/shfor i in ‘cat /etc/passwd |awk -F: ’{print $6}’‘; docd $iif [ -f .rhosts ]; thenecho "$i/.rhosts detectado"|mail -s "rhosts" rootrm -f $i/.rhostsfidone