SEGURIDAD EN UNIX Y REDES

4.7.RECUPERACIÓN DE DATOS 61anita:~# getfacl /usr/local/sbin/sshd >/tmp/ficheroanita:~# setfacl -f /tmp/fichero /usr/local/sbin/demonioanita:~# getfacl /usr/local/sbin/demonio# file: /usr/local/sbin/demonio# owner: root# group: otheruser::rwxuser:toni:r-x#effective:r-xgroup::---#effective:---mask:r-xother:---anita:~#Esto es equivalente a utilizar una tubería entre las dos órdenes, lo que produciría el mismo resultado:anita:~# getfacl /usr/local/sbin/sshd | setfacl -f - /usr/local/sbin/demonioAntes de finalizar este apartado dedicado a las listas de control de acceso, quizás sea convenientecomentar el principal problema de estos mecanismos. Está claro que las ACLs son de gran ayudapara el administrador de sistemas Unix, tanto para incrementar la seguridad como para facilitarciertas tareas; sin embargo, es fácil darse cuenta de que se pueden convertir en algo también degran ayuda, pero para un atacante que desee situar puertas traseras en las máquinas. Imaginemossimplemente que un usuario autorizado de nuestro sistema aprovecha el último bug de sendmail(realmente nunca hay un ‘último’) para conseguir privilegios de administrador en una máquina;cuando se ha convertido en root modifica la lista de control de acceso asociada a /etc/shadow ycrea una nueva entrada que le da un permiso total a su login sobre este archivo. Una vez hechoesto, borra todo el rastro y corre a avisarnos del nuevo problema de sendmail, problema querápidamente solucionamos, le damos las gracias y nos olvidamos del asunto. ¿Nos olvidamos delasunto? Tenemos un usuario que, aunque los bits rwx no lo indiquen, puede modificar a su gusto unarchivo crucial para nuestra seguridad. Contra esto, poco podemos hacer; simplemente comprobarfrecuentemente los listados de todos los ficheros importantes (ahora entendemos por qué apareceel símbolo ‘+’ junto a las ternas de permisos), y si encontramos que un fichero tiene una lista decontrol que otorga permisos no reflejados en los bits rwx, analizar dicha lista mediante getfacl yverificar que todo es correcto. Es muy recomendable programar un par de shellscripts simples, queautomaticen estos procesos y nos informen en caso de que algo sospechoso se detecte.4.7 Recuperación de datosLa informática forense es un campo que día a día toma importancia; de la misma forma que la medicinaforense es capaz de extraer información valiosa de un cadáver, incluso mucho después de habermuerto, la informática forense pretende extraer información de un ‘cadáver’ computerizado (porejemplo, un sistema en el que un intruso ha borrado sus huellas), también incluso mucho despuésde haber ‘muerto’ (esto es, haber sido borrado). Aunque las técnicas de recuperación de datos enUnix se aplican habitualmente para potenciar la seguridad de un equipo (por ejemplo, como hemosdicho, para analizar el alcance real de un acceso no autorizado), éstas mismas técnicas utilizadaspor un atacante pueden llegar a comprometer gravemente la seguridad del sistema: un intruso quehaya conseguido cierto nivel de privilegio puede recuperar, por ejemplo, el texto plano de un documentoque un usuario haya cifrado con pgp y posteriormente borrado – almacenando únicamenteel documento cifrado –. Aunque esto no es tan trivial como en otros sistemas menos seguros (enlos que incluso se facilitan herramientas tipo undelete), parece claro que este tipo de actividadesconstituyen una amenaza a la seguridad (principalmente a la privacidad) de cualquier sistema Unix.En 1996, Peter Gutmann publicó [Gut96], un excelente artículo donde se demostró que la recuperaciónde datos de memoria (estoy incluye por supuesto la memoria secundaria) es posible con