SEGURIDAD EN UNIX Y REDES

40CAPÍTULO 3. ADMINISTRADORES, USUARIOS Y PERSONALPor suerte, la naturaleza de la información con la que se trabaja en la mayor parte de entornoshace poco probable que alguien amenaze o chantajee a un operador para conseguir ciertosdatos; al tratarse de información poco sensible, en la mayoría de situaciones los atacantes no llegana estos extremos para acceder al sistema, sino que utilizan procedimientos menos arriesgados comola ingeniería social o la captura de datos que viajan por la red. No obstante, si en alguna ocasiónnos encontramos en estas situaciones, siempre es conveniente la denuncia; aunque en principio podamosceder ante las presiones de un delincuente, hemos de tener presente que si mostramos ciertadebilidad, una vez que éste consiga sus propósitos nada le va a impedir seguir amenazándonos ochantajeándonos para obtener más información. Si actuamos con la suficiente discrección, las autoridadespueden fácilmente llevar al individuo ante la justicia sin necesidad de grandes escándalosque pueden afectar gravemente a la imagen de nuestra organización.3.3 ¿Qué hacer ante estos problemas?La solución a problemas relacionados con el personal es con frecuencia mucho más compleja quela de problemas de seguridad lógica o seguridad de la red: mientras que un administrador puedeaprovechar herramientas de seguridad, capacidades del sistema operativo, o cifrado de datos paraprevenir ciertos ataques, es mucho más difícil para él concienciar a los usuarios de unas mínimasmedidas de prevención o convencer a un guardia de seguridad de que sólo deje acceder a la sala deoperaciones a un número restringido de personas.Generalmente los usuarios de máquinas Unix en entornos habituales son personas muy poco formadasen el manejo del sistema operativo, y mucho menos en lo que a seguridad informática se refiere;se suele tratar de usuarios que sólo utilizan la máquina para ejecutar aplicaciones muy concretas(simulaciones, compiladores, gestión del correo electrónico, aplicaciones científicas. . . relacionadascon su área de trabajo), y cuya única preocupación es que sus datos estén listos cuando los requieren,de la forma más fácil y rápida posible. Incluso el administrador de ciertos sistemas es uno deestos usuarios, elegido dentro del grupo (o mucho peor, son todos los usuarios). Evidentemente,resulta muy difícil concienciar a estas personas de la necesidad de seguridad en el entorno; posturascomo ‘no importa que mi clave sea débil, sólo utilizo la cuenta para imprimir con la láser’ son pordesgracia demasiado frecuentes. El responsable de seguridad ha de concienciar a todas estas personasde la necesidad de la seguridad para que el entorno de trabajo funcione como se espera de él;la seguridad informática se ha de ver como una cadena que se rompe si falla uno de sus eslabones:no importa que tengamos un sistema de cifrado resistente a cualquier ataque o una autenticaciónfuerte de cualquier entidad del sistema si un intruso es capaz de obtener un nombre de usuario consu correspondiente contraseña simplemente llamando por teléfono a una secretaria.Además de concienciación de los usuarios y administradores en cuanto a seguridad se refiere (estosería el qué), para conseguir un sistema fiable es necesaria la formación de los mismos (el cómo).De la misma forma que a nadie se le ocurre conducir sin tener unos conocimientos básicos sobre unautomóvil, no debería ser tan habitual que la gente utilice o administre Unix sin unos conocimientosprevios del sistema operativo. Evidentemente, a un químico que utiliza el sistema para simular elcomportamiento de determinada sustancia bajo ciertas condiciones no se le puede exigir un cursointensivo o unos grandes conocimientos de mecanismos de seguridad en Unix; pero sí que seríarecomendable que conozca unas ideas básicas (volviendo al ejemplo del automóvil, para conducirun coche a nadie se le exige ser un as de la mecánica, pero sí unas cualidades mínimas). Estasideas básicas se pueden incluso resumir en una hoja que se le entregue a cada usuario al darlos dealta en el sistema. Si pasamos a hablar de administradores, sí que sería recomendable exigirles uncierto nivel de conocimientos de seguridad, nivel que se puede adquirir simplemente leyendo algún libro(especialmente recomendado sería [GS96] o, para los que dispongan de menos tiempo, [RCG96]).Un grupo de personas más delicado si cabe es el conjunto formado por todos aquellos que noson usuarios del sistema pero que en cierta forma pueden llegar a comprometerlo. Por ejemplo,