Administración avanzada de GNU/Linux (PDF) - SW Computación

Administración avanzada de GNU/Linux
ª FUOC • XP04/90785/00019
Si se comenta, esta posibilidad de reiniciar quedará desactivada. O
por el contrario, puede crearse un fichero /etc/shutdown.allow, que
permite a ciertos usuarios poder reiniciar.
9.3.2. Passwords y shadows
Las contraseñas típicas de los sistema UNIX iniciales (y de primeras versiones
GNU/Linux), estaban encriptadas mediante unos algoritmos DES
(pero con claves pequeñas, y una llamada de sistema se encargaba de
encriptar y desencriptar, en concreto crypt (ver man).
Normalmente, se encontraban en el fichero /etc/passwd, en el segundo
campo, por ejemplo:
user:sndb565sadsd:...
Pero el problema está en que este fichero es legible por cualquier
usuario, con lo que un atacante podía obtener el fichero y utilizar un
ataque de fuerza bruta, hasta que desencriptase passwords contenidos
en el fichero, o bien mediante ataques de fuerza bruta por medio
de diccionarios.
El primer paso es utilizar los nuevos ficheros /etc/shadow, donde se
guarda ahora la contraseña. Este fichero es sólo legible por el root,
y por nadie más. En este caso, en /etc/passwd aparece un asterisco
(*) donde antes estaba la contraseña encriptada. Por defecto, las distribuciones
de GNU/Linux actuales usan contraseñas de tipo shadow
a no ser que se les diga que no las usen.
Un segundo paso es cambiar el sistema de encriptación de las
contraseñas por uno más complejo y difícil de romper. Ahora, tanto
Red Hat como Debian ofrecen contraseñas por md5; normalmente
nos dejan escoger el sistema en tiempo de instalación. Hay
que tener cuidado con las contraseñas md5, ya que si usamos
NIS, podríamos tener algún problema; si no, todos los clientes y
servidores usarán md5 para sus contraseñas. Las contraseñas se
pueden reconocer en /etc/shadow porque vienen con un prefijo
“$1$”.
ANOTACIONES
357