Administración avanzada de GNU/Linux (PDF) - SW Computación

ª FUOC • XP04/90785/00019
Software libre
dulos pam_unix.so es el que realmente hace la verificación de la
contraseña del usuario (viendo ficheros passwd, shadow, ...).
Otros controlan su sesión para ver cuándo ha entrado por última
vez, o guardan cuándo entra y sale (para el comando lastlog), también
hay un módulo que se encarga de verificar si el usuario tiene
correo por leer (también hay que autentificarse), y otro que controla
que cambie la contraseña (si está obligado a hacerlo en el primer login
que haga) y que tenga de 4 a 8 letras, y puede utilizarse md5 para la
encriptación.
En este ejemplo podríamos mejorar la seguridad de los usuarios: el
auth y el password permiten contraseñas de longitud nula: es el argumento
nullok del módulo. Esto permitiría tener usuarios con contraseñas
vacías (fuente de posibles ataques). Si quitamos este argumento,
ya no permitimos contraseñas vacías en el proceso de login. Lo mismo
puede hacerse en el fichero de configuración de passwd (en este caso,
el comando de cambio del password), que también presenta el nullok.
Otra posible acción es incrementar en ambos ficheros el tamaño máximo
de las contraseñas, por ejemplo, con max = 16.
9.3.6. Alteraciones del sistema
Nota
CERT UNIX checklist:
http://www.cert.org/
tech_ tips/usc20_full.html
Otro problema puede ser la alteración de comandos o configuraciones
básicas del sistema, mediante la introducción de troyanos o backdoors
en el sistema, por la simple introducción de software que sustituya
o modifique ligeramente el comportamiento del software de sistema.
ANOTACIONES
Un caso típico es la posibilidad de forzar el root para que ejecute comandos
falsos de sistema; por ejemplo, si el root incluyese el “.” en
su variable de PATH, esto permitiría la ejecución de comandos desde
su directorio actual, lo que habilitaría para colocar archivos que sustituyesen
comandos del sistema y que serían ejecutados en primer
término antes que los de sistema. El mismo proceso puede hacerse
con un usuario, aunque por ser más limitados sus permisos, puede
no afectar tanto al sistema, cuanto más a la propia seguridad del
usuario. Otro caso típico es el de las pantallas de login falsas, pudiéndose
sustituir el típico proceso de login, passwd, por un programa
falso que almacene las contraseñas introducidas.
362