La Herramienta sudo. Administración Delegada de Servidores Linux. Amaya Rodrigo

Transcripción

1 Administración Delegada de Servidores Linux Ministerio de Administraciones Públicas Alanta OpenSource Technologies 2 3 y 4 de Octubre, 2006

2 Índice 1 Presentación 2 Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su 3

3 Índice Presentación 1 Presentación 2 Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su 3

4 Diferentes técnicas Presentación Administración delegada de servidores Linux Permisos del sistema de archivos. La herramienta su Cuentas con uid 0 Mediante ssh La herramienta La herramienta sh La herramienta gksu Peticiones especiales

5 Objetivos Presentación Convivencia de varios administradores Otorgar los permisos de forma granular Proteger la contraseña de root Evitar implicaciones serias de seguridad Permitir que el sistema se mantenga seguro, pero usable Monitorizar el uso de estos privilegios

6 Índice Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su 1 Presentación 2 Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su 3

7 Permisos Unix Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su Los permisos de un archivo se definen según a quién se otorgan: Al propietario del archivo A los miembros del grupo al que pertenece el archivo Al resto de usuarios del sistema Sólo el dueño de un archivo y root pueden cambiar los permisos

8 Visualizar los permisos Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su Para visualizar los permisos, ejecutamos la orden ls con el parámetro -l ls -l $ ls -l -rw -r- -r- 1 tux1 users :40 archivo1 -rw -r- -r- 1 tux2 users :40 archivo2 drwx r-x r-x 1 tux1 users :40 directorio1 u g a dueño grupo tamaño mtime nombre -> número de enlaces simbólicos que apuntan al archivo

9 Permisos: Notación simbólica Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su archivos ordinarios r lectura: el archivo se puede leer w escritura: el archivo se puede modificar o borrar x ejecución: el archivo es ejecutable directorios r lectura: se puede listar el contenido del directorio (ls) w escritura: se puede modificar el contenido del directorio permite crear, renombrar y borrar archivos aunque no se tenga permiso de escritura sobre el archivo x ejecución: se puede entrar en el directorio (cd)

10 Permisos: Notación octal Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su Notación Octal -rwx r-x --- r = 4 w = 2 -> 0+0+0=0 x = 1 -> 4+0+1=5 - = 0 -> 4+2+1=7 Los permisos son: 750

11 Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su Permisos: Combinaciones más comunes 600 (rw ) Archivos privados 700 (rwx ) Programas y directorios privados 644 (rw- r-- r--) Archivos legibles por todos 666 (rw- rw- rw-) Archivos modificables por todos (no muy común) 777 (rwx rwx rwx) Directorios públicos con permiso de escritura (/tmp)

12 Permisos especiales Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su El bit SUID (Switch UID) El programa se ejecuta con el UID y los permisos del propietario Suele usarse para poder ejecutar órdenes como root Suele aplicarse en el caso de ejecutables Carece de significado en directorios No sirve para scripts de shell (en algunos sistemas)

13 Permisos especiales Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su El bit SGID (Switch GID) En ejecutables: El programa se ejecuta con el UID y los permisos del grupo En directorios: Cualquier archivo/directorio creado en su interior conservará los permisos del padre en lugar de los del usuario que lo crea. Podemos encontrar estos archivos con la orden: find / -perm ls

14 Permisos especiales Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su El Sticky Bit En ejecutables: El programa no debe ser eliminado de la memoria tras ejecutarse. Acelera posteriores ejecuciones del programa También aumenta el consumo de memoria En desuso, el kernel lo ignora En directorios, incluso aunque haya permisos de escritura globales en el directorio: Los usuarios sólo pueden borrar/modificar los archivos de los que son dueños El dueño del directorio, en cambio, tiene acceso total a todo el contenido

15 Permisos: casos especiales Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su Permisos de un enlace simbólico $ ls -l bin/vi lrwxrwxrwx 1 root root :50 bin/vi -> /usr/bin/vim $ ls -l /usr/bin/vim -rwxr-xr-x 1 root root :27 /usr/bin/vim Los permisos de los enlaces simbólicos parecen universales, pero no tienen efecto. Los permisos reales son los del archivo al que apuntan.

16 Cambio de permisos: chmod Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su Sintaxis de chmod chmod { [ugoa] {+-=} [rwx] [ug] {+-=}s [0] {+-w}t } archivo chmod <octal> archivo Admite notación octal o simbólica Los bits SUID, SGID y Sticky tienen parámetros especiales

17 Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su Cambio de permisos: propietarios chown permite cambiar los propietarios de un archivo Sintaxis de chown chown [-R] usuario:grupo archivo chown [-R] usuario.grupo archivo chgrp permite cambiar el grupo a un archivo Sintaxis de chgrp chgrp grupo archivo

18 Conclusiones Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su Ventajas Jugando con los permisos del sistema, podemos permitir a otros usuarios ejecutar órdenes como root, sin desvelar la contraseña Inconvenientes Es relativamente fácil escalar privilegios aprovechando un agujero de seguridad en un ejecutable con el bit suid activado Conviene extremar las precauciones

19 Índice Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su 1 Presentación 2 Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su 3

20 Cuentas con uid 0 Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su $ cat /etc/passwd root:x:0:0:root:/root:/bin/bash root-carmen:x:0:0:root:/root:/bin/bash root-jorge:x:0:0:root:/root:/bin/bash jmartinez:x:0:0:root:/root:/bin/bash

21 Índice Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su 1 Presentación 2 Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su 3

22 Con claves de ssh Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su SSH (Secure Shell) Puede autentificar por clave pública, permitiendo ejecutar órdenes de root local o remotamente. Permite restringir privilegios forzando las órdenes con ssh. Restringir el acceso ssh $ cat /root/.ssh/authorized_keys: command="/usr/local/bin/programa" ssh-dss fky7dj7bgyxdhryuhn... $ ssh -l root -i ruta_clave_privada localhost

23 Problemas Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su Las cuentas con uid 0 y las claves públicas de ssh, constituyen un método: Fácil y rápido, pero aporta pocas ventajas Y muchos inconvenientes Es faćil perder la cuenta No es granular Difícil de registrar qué hace cada uno

24 Índice Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su 1 Presentación 2 Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su 3

25 La Herramienta su Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su su: switch user Permite cambiar a otro usuario cuando se está dentro de una sesión y en particular ejecutar órdenes como root Pide la contraseña del usuario al cual se pretende cambiar root puede ejecutar su y cambiar a cualquier usuario sin introducir ninguna contraseña Para salir, se puede usar Ctrl-d, logout, o exit Implica revelar la contraseña de root

26 La Herramienta su Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su Sintaxis de su su [-] [usuario] [-c orden] Sin argumentos, se asume root Seguido de un nombre de usuario, cambia a éste su con el argumento - importa el entorno del usuario de destino, como una shell de login Si se incluye el argumento -c, se ejecuta la instrucción unix que va detrás de -c con el usuario indicado Se puede configurar mediante PAM (Plugable Authentication Modules)

27 su: entorno de usuario Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su Diferencias de una shell de root y una shell de root tipo login su $ env > /tmp/env.user $ su # env > /tmp/env.rootshell # diff /tmp/env.user /tmp/env.rootshell # exit su - $ su - # env > /tmp/env.rootlogin # diff /tmp/env.rootshell /tmp/env.rootlogin # exit

28 Índice 1 Presentación 2 Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su 3

29

30 : superuser do Permite ejecutar órdenes con permisos de root Pide la contraseña del propio usuario en lugar de la de root Ejemplo $ vi /etc/shadow We trust you have received the usual lecture from the local System Administrator. It usually boils down to these three things: #1) Respect the privacy of others. #2) Think before you type. #3) With great power comes great responsibility. Password: (su propia contraseña de usuario)

31 Si tux1 intenta usar sin los permisos adecuados: Ejemplo $ vi /etc/passwd Sorry, user tux1 is not allowed to execute "/usr/bin/vi /etc/passwd" as root on

32 Diferencias con su su da aceso a una consola de root, se emplea dando el nombre del programa su pide la clave de root, la del propio usuario guarda un registro de las órdenes que ejecuta cada usuario vuelve a pedir la contraseña cada X minutos (configurable) Y muchas más...

33 Un poco de historia 1980: Nace en el Departamento de Computer Science en SUNY/Buffalo 1991: se relicencia bajo GPL 1999: se reescribe y relicencia bajo ISC (parecida a la BSD) Última versión: 1.6.8p12, 8 de Noviembre, 2005 software muy estable y probado Pocos cambios, sólo problemas de seguridad Licencia ISC-style, tipo BSD

34 Instalación Se puede obtener Un paquete binario, con la propia distribución (recomendado) Compilar e instalar el código fuente Requiere conocimientos avanzados Puede tener resultados imprevisibles Pero hay parémetros que sólo se pueden cambiar recompilando Lo mejor es obtener los paquetes fuentes de la distribución que estemos usando

35 /usr/sbin/ El propio es un binario de tipo suid Permisos ---s--x--x 1 root root Jan 14 15:36 /usr/bin/ La s significa que es un programa suid Con permisos de ejecución para todos Al ejecutarlo, y pertenecer a root, se ejecuta con permisos de root Si lo invocáramos para abrir una shell, nos convertiríamos en root

36 Configuración /etc/ers Enumera qué usuarios pueden ejecutar qué órdenes Se pueden definir macros para reducir la complejidad Sintaxis de /etc/ers $ ls -l /etc/ers -r--r root root :42 /etc/ers $ cat /etc/ers # Sintaxis básica de /etc/ers # user host = commands User_Alias OPERATORS = tux1, tux2, tux3 Host_Alias WEBSERVERS = www, www-1, www-3 Cmnd_Alias PRINTCMNDS = /usr/bin/printtool, /usr/bin/lpq tux1 WEBSERVERS = (root) /sbin/service/httpd restart OPERATORS printssvr = (root) PRINTCMNDS

37 Configuración Sintaxis de /etc/ers $ cat /etc/ers # Hacemos alias, que es la forma normal de trabajar con : User_Alias WEBROOT = tux1 Host_Alias WEBSERVER = webserver.dmz Cmnd_Alias SERVICES = /etc/init.d/httpd,/etc/init.d/named,/etc/init.d/sshd Cmnd_Alias COMMAND = /bin/mount # Traduccion: Los usuarios dentro de WEBROOT, en el HOST WEBSERVER, # pueden ejecutar los servicios SERVICES. WEBROOT WEBSERVER = SERVICES,COMMAND WEBROOT WEBSERVER = NOPASSWD: SERVICES,COMMAND # Usuarios sin restricciones tux2 ALL=(ALL) NOPASSWD: ALL tux3 ALL=(ALL)ALL # Añadimos un log Defaults logfile=/var/log/.log, log_year, mail_badpass, \ mailto=tux3@localhost

38 vi Sintaxis de vi vi [ -c ] [ -f ers ] [ -q ] [ -s ] [ -V ] -c comprueba la sintaxis (devuelve 0 ó 1) -f ruta al archivo ers -q modo silencioso No imprime los errores se usa junto a -c se usa en scripts: vi -cq el valor de salida se almacena en $? -s comprobación estricta -f ruta al archivo ers -V nos da la versión

39 vi Al ejecutar vi se crea el archivo /etc/ers.tmp Indica que el fichero está en uso Impide que varias personas lo editen a la vez Antes de guadar /etc/ers, se realizan comprobaciones de sintaxis El editor se puede configurar con la variable $EDITOR

40 Sintaxis de Opciones -K -L -V -h -k -l -v -H la variable $HOME cambia a la del usuario de destino. Por defecto se conserva el $HOME del usuario de origen -K la contraseña es borrada de la memoria por completo -L lista los valores existententes en la línea Defaults -V (como usuario) Da la versión de -V (como root) Da más información. Valores por defecto, opciones de compilación, info de la máquina -h muestra la ayuda

41 Parámetros -l nos muestra lo permitido o prohibido para nuestro usuario en este host Listar los permisos $ -l User swift may run the following commands on this host: (root) /usr/libexec/xfsm-shutdown-helper (root) /usr/bin/emerge (root) /usr/bin/passwd [a-za-z]* (root)!/usr/bin/passwd root (apache) /usr/bin/pkill (apache) /bin/kill

42 Parámetros -k la contraseña es borrada de la memoria revocar privilegios desde el.bash_logout -v refresca el timestamp de la contraseña. Si es necesario, la pide. Si no ha caducado, no. Prolongar el tiempo de expiración de la contraseña $ -v Por defecto, si un usuario ha introducido su contraseña para autenticarse ante, ésta es recordada durante 5 o 15 minutos, según el sistema, o el /ect/ers. Si el usuario quiere prolongar este periodo, puede ejecutar -v para reiniciar la marca de tiempo de modo que pasen otros cinco minutos antes de que pregunte de nuevo por la contraseña. Lo contrario es matar la marca de tiempo usando -k

43 Parámetros Parámetros completos [-HPSb] [-a auth_type] [-c class -] [-p prompt] [-u username #uid] {-e file [...] -i -s command} -S lee la contraseña de stdin -b ejecuta la orden en segundo plano -a tipo de autentificación (/etc/login.conf) usando el parámetro auth- en /etc/login.conf compilado con -with-bsdauth -c class la orden se ejecuta con el límite de recursos definido en /etc/login.conf para la clase class

44 Parámetros -p Personaliza cómo pedimos la contraseña %u login del usuario %U login del usuario de destino %h nombre de la máquina %H fqdn: nombre de la máquina con dominio % % Pinta un % Prompt personalizado $ -p %u@%h: ls tux1@www:

45 Parámetros Parámetros completos [-HPSb] [-a auth_type] [-c class -] [-p prompt] [-u username #uid] {-e file [...] -i -s command} -u usuario ejecuta la orden como el usuario especificado -e archivo no se ejecuta una orden, se edita el archivo indicado: se hacen copias temporales del archivo a editar se editan los archivos temporales con el editor indicado por $HOME con el editor indicado en /etc/ers (variable editor) Si se guardan los cambios, los archivos editados sustituyen a los reales. Si el archivo no existe, se crea En caso de error, o si no se puede guardar, se avisa al usuario y se conservan los temporales Es indiferente invocar edit o -e

46 Parámetros Parámetros completos [-HPSb] [-a auth_type] [-c class -] [-p prompt] [-u username #uid] {-e file [...] -i -s command} -i simula un login inicial con la shell del usuario según dicte /etc/passwd intenta entrar en el $HOME del usuario de destino inicializa el entorno, conservando la variable $TERM, pero cambia $HOME, $SHELL, $USER, $LOGNAME, y $PATH -s ejecuta la shell definida por $SHELL o en /etc/passwd

47 realiza una comprobación del entorno antes de ejecutarse Al ejecutarlo con -V, muestra las variables de entorno que comprueba

48 Sudo version [...] Environment variables to check for sanity: LANGUAGE LANG LC_* Environment variables to remove: BASH_ENV ENV TERMCAP TERMPATH TERMINFO_DIRS TERMINFO _RLD* LD_* PATH_LOCALE NLSPATH HOSTALIASES RES_OPTIONS LOCALDOMAIN IFS

49 Variables de entorno utiliza las siguientes variables de entorno: $EDITOR editor por defecto para usar con -e o edit si $VISUAL está vacía $HOME qué valor usar con -s o -H si se compiló con la opción -enable-shell-sets-home, el del usuario de destino $PATH se examina, y se limpia si se compiló con la opción -with-secure-path $SHELL qué shell ejecutar ocn la opción -s $SUDO_PROMPT prompt de contraseña por defecto $SUDO_COMMAND orden a ejecutar por $SUDO_USER login usuario que ejecuta $SUDO_UID el del usuario que ejecuta $SUDO_GID el del usuario que ejecuta $SUDO_PS1 prompt o símobolo del sistema $USER usuario de destino por defecto (root o el indicado con -u) $VISUAL editor por defecto para usar con -e / edit

50 Variables de entorno borra las siguientes variables de entorno, para protegernos: Variables peligrosas IFS LOCALDOMAIN RES_OPTIONS HOSTALIASES NLSPATH PATH_LOCALE TERMINFO TERMINFO_DIRS TERMPATH TERMCAP ENV BASH_ENV LC_ (si contiene / o % ) LANG (si contiene / o % ) LANGUAGE (si contiene / o % ) LD_* SHLIB_PATH (solo HP-UX) LIBPATH (solo AIX) KRB_CONF (solo kerberos4) KRBCONFDIR (solo kerberos4) KRBTKFILE (solo kerberos4) KRB5_CONFIG (solo kerberos5)

51 Sintaxis de /etc/ers Dos tipos de entradas Alias: son variables Especificaciones de usuario: quién ejecuta qué Cuando varias reglas afectan a un usuario, se aplican por orden En caso de conflicto, se aplica la última Se usa la gramática Extended Backus-Naur Form (EBNF).

52 Guía rápida de EBNF EBNF es una forma concisa y exacta de describir la gramática de un lenguaje. Cada definición de EBNF se compone de reglas: symbol ::= definition alternate1 alternate2 Cada regla hace referencia a otras reglas, se forma una gramática para el lenguaje Operadores (iguales que en las expresiones regulares)? El símbolo anterior (o grupo de símbolos) es opcional, puede aparecer una vez o ninguna. * El símbolo anterior (o grupo de símbolos) puede aparecer cero o más veces. + El símbolo anterior (o grupo de símbolos) puede aparecer una o más veces.

53 Sintaxis de /etc/ers Los alias se definen así Alias_Type NAME = item1, item2,... Tipos de Aliases User_Alias Runas_Alias Host_Alias Cmnd_Alias

54 Sintaxis de /etc/ers User_Alias Uno o más nombres de usuario. grupos del sistema: se indican con % Se puede usar el operador! Número impar de! -> niega Número par de! -> se cancelan entre ellos Runas_Alias Se parece a User_Alias, pero también puede contener uids Los uids llevan el prefijo # Los nombres de usuario y grupo se comparan en cadenas completas, su valor numérico no tiene efecto: Dos usuarios (o grupos) con el mismo uid (o gid) se consideran diferentes Para denotar a todos los usuarios con el mismo uid a la vez, se puede usar el valor númerico de su uid: Si el usuario root tiene uid 0 y el usuario toor tiene también uid 0, se puede referenciar a ambos con: #0

55 Sintaxis de /etc/ers Host_Alias Nombres de host, direcciones IP, o redes. Las máscaras de red: Notación numérica: Número de bits: /24 Cmnd_Alias Lista de órdenes, directorios o aliases. Las órdenes pueden incluir. a steriscos", y la ruta completa. Con indicamos que sólo se puede ejecutar sin arcgumentos. Una ruta del tipo: /usr/bin/ indica un directorio. Se pueden ejecutar las órdenes en ese directorio, pero no en los subdirectorios que haya en él.

56 Los valores por defecto Se pueden cambiar algunos parámetros de configuración sin recompilar, cambiando las directivas por defecto: Se pueden cambiar para todos los usuarios, en cualquier máquina, usuarios específicos de una máquina, un usuario específico, o sólo órdenes ejecutadas por un usuario en concreto. Default_Type ::= Defaults Host Defaults : User Defaults > RunasUser Default_Entry ::= Default_Type Parameter_List Parameter_List ::= Parameter Parameter, Parameter_List Parameter ::= Parameter = Value Parameter += Value Parameter -= Value! * Parameter

57 Los valores por defecto Modificar el entorno # /etc/ers file. Defaults:tux1 timestamp_timeout=-1, env_delete+="boop" += Añade al entorno = Sobreescribe el entorno -= Quita del entorno timestamp_timeout=0 La contraseña no será recordada timestamp_timeout=-1 Sólo se pedirá la contraseña una vez, será recordada, aunque salga de la sesión. hasta reiniciar el sistema

58 Los valores por defecto ignore_dot: ignorar. o (directorio actual en el PATH. Por defecto sí. No se puede cambiar. Para uso futuro. mail_always: envia cada vez que un usuario ejecuta. Por defecto no. mail_badpass: envia cada vez que un usuario se equivoca con la contraseña. Por defecto no. mail_no_user: envia si el usuario no está en el ers. Por defecto sí. mail_no_host: envia si el usuario está en el ers, pero no puede ejecutar órdenes en este host. Por defecto no.

59 Los valores por defecto mail_no_perms: envia si el usuario está en el ers, pero no puede ejecutar la orden que intentó ejecutar. Por defecto no. tty_tickets: obliga al usuario a poner la contraseña en cada terminal que use. Por defecto no. Lo normal es tener un timestamp por usuario sin que importe el terminal. Por defecto no. authenticate: exige contraeña antes de ejcutar nada. Admite variaciones con los parámetros: PASSWD y NOPASSWD. Por defecto sí. root_: root puede usar. Si se deshabilita impide que los usuarios encadenen órdenes apra obtener root: /bin/sh o que root ejecute y edit. Sólo existe por motivos históricos. No aporta mayor seguridad. Por defecto sí.

60 Los valores por defecto log_host: el nombre de host se registrará en el archivo de log de. Por defecto no. log_year: Uso de los 4 dígitos del año. Por defecto no. shell_noargs: ejecuta una shell de root si no se dan parámetros al ejecutar. Por defecto no. Actúa como -s set_home: en caso de ejecutar -s ls variable de entorno HOME cambia a la del usuario de destino. Fuerza que -s implique además -H. Por defecto no. always_set_home: establece que la variabe de entorno HOME cambie a la del usuario de destino. Por defecto no.

61 Los valores por defecto path_info: da información sobre el contenido del PATH autorizado: habilitado: le dice al usuario que la orden no está en el PATH deshabilitado: le dice al usuario que no tiene permiso (confunde al usuario). Por defecto no. fqdn: si vamos a usar fqdn en el archivo. Si el dns deja de funcionar, (p.e: no hay red) también deja de funcionar. Ignora los alias (CNAME). Por defecto sí. insults: insulta a los usuarios si se equivocan de contraseña. Por defecto no. requiretty: impide ejecutar a no ser que se esté en un terminal. Se habilita porque en ciertos terminales no reales"se ve la contraseña. Por defecto no.

62 Los valores por defecto env_editor: fuerza a usar un editor, ignorando la variabe de entorno EDITOR o VISUAL. Lista de editores, separada por : Por defecto sí. rootpw: pide la clave de root en vez de la del usuario. Por defecto no. runaspw: pide la conraseña del usuario de destino que indica runas. Por defecto no. targetpw: pide la conraseña del usuario de destino. Por defecto no. env_reset: borra el entorno y lo restringe: HOME, LOGNAME, PATH, SHELL, TERM, USER y SUDO_*. Sólo TERM se copia del entorno original. noexec: Impide ejecutar órdenes desde un editor u otro programa que permita salir a una shell. Por defecto no.

63 Los valores por defecto Valores numéricos: passwd_tries: número de intentos fallidos permitidos. Por defecto 3. timestamp_timeout: minutos en que expira la contraseña. Por defecto 15. Cadenas: mailsub: Asunto del Por defecto: *** SECURITY information for %h *** badpass_message: se muestra cuando el usuario se equivoca de contraseña. Por defecto: Sorry, try again. A no ser que se habiliten los insultos. runas_default: usuario de destino. Por defecto: root.

64 Los valores por defecto passprompt: cambia la cadena de petición de contraseña. Por defecto: Password:. %u login del usuario %U login del usuario de destino %h nombre de la máquina %H fqdn: nombre de la máquina con dominio % % Pinta un % editor: Por defecto: vi. lecture: instrucciones antes de pedir la contraseña: never nunca once la primera vez always siempre

65 Los valores por defecto lecture_file: ruta completa al archivo que contiene las instrucciones lecture_file: ruta completa al archivo que contiene las instrucciones logfile: ruta completa al archivo donde queramos que quede el registro mailerpath: ruta completa al binario del servidor de correo mailerflags: parámetros con que invocar el binario del servidor de correo. Por defecto: -t mailto: del encargado de recibir los avisos exempt_group: grupo exento de contraseña y comprobaciones de PATH. Por defecto, grupo listpw: pide contraseña para una opción que normalmente no la necesita: -l

66 /etc/ers # User alias specification User_Alias FULLTIMERS = millert, mikef, dowdy User_Alias PARTTIMERS = bostley, jwfox, crawl User_Alias WEBMASTERS = will, wendy, wim # Runas alias specification Runas_Alias OP = root, operator Runas_Alias DB = oracle, sybase # Host alias specification Host_Alias SPARC = bigtime, eclipse, moet, anchor :\ SGI = grolsch, dandelion, black :\ ALPHA = widget, thalamus, foobar :\ HPPA = boa, nag, python Host_Alias CUNETS = / Host_Alias CSNETS = , /24, Host_Alias SERVERS = master, mail, www, ns Host_Alias CDROM = orion, perseus, hercules # Cmnd alias specification Cmnd_Alias DUMPS = /usr/bin/mt, /usr/sbin/dump, /usr/sbin/rdump,\ /usr/sbin/restore, /usr/sbin/rrestore Cmnd_Alias KILL = /usr/bin/kill Cmnd_Alias PRINTING = /usr/sbin/lpc, /usr/bin/lprm Cmnd_Alias SHUTDOWN = /usr/sbin/shutdown Cmnd_Alias HALT = /usr/sbin/halt Cmnd_Alias REBOOT = /usr/sbin/reboot Cmnd_Alias SHELLS = /usr/bin/sh, /usr/bin/csh, /usr/bin/ksh, \ /usr/local/bin/tcsh, /usr/bin/rsh, \ /usr/local/bin/zsh Cmnd_Alias SU = /usr/bin/su

67 Configuración Definir valores por defecto # Override built-in defaults Defaults syslog=auth Defaults>root!set_logname Defaults:FULLTIMERS!lecture Defaults:millert!authenticate Defaults@SERVERS log_year, logfile=/var/log/.log

68 Configuración I # Host alias specification # User alias specification Runas_Alias OP = root # Cmnd alias specification Cmnd_Alias ADMIN = /usr/bin/apt-get, /usr/bin/dpkg, /bin/mv, /bin/cp, /usr/bin/nbtscan, \ /sbin/reboot, /etc/init.d/*, /usr/bin/tail, /bin/ping Cmnd_Alias ADMIN_NOPASS = /bin/kill, /usr/bin/lsof, /usr/sbin/iptraf Cmnd_Alias ADMIN_NOEXEC = /usr/bin/more, /usr/bin/vi, /usr/bin/less Cmnd_Alias OPERADOR = /usr/bin/nbtscan, /sbin/reboot, /etc/init.d/*, /usr/bin/tail, /bin/ping Cmnd_Alias OPERADOR_NOPASS = /bin/kill, /usr/bin/lsof, /usr/sbin/iptraf Cmnd_Alias OPERADOR_NOEXEC = /usr/bin/more, /usr/bin/less # User privilege specification root ALL=(ALL) ALL tecnico ALL=(OP) ADMIN, (OP) NOPASSWD: ADMIN_NOPASS, (OP) NOEXEC: ADMIN_NOEXEC #hector ALL=(OP) OPERADOR, (OP) NOPASSWD: OPERADOR_NOPASS, (OP) NOEXEC: OPERADOR_NOEXEC

69 Configuración II # Host alias specification Host_Alias SERVERS=+sun-servers Host_Alias BUSOPS=HOST1,HOST2,HOST3 Host_Alias HPCLIENTS=+NETGROUP1 Host_Alias IOTCHOSTS=HOST4,HOST5,HOST6 # Cmnd alias specification Cmnd_Alias REBOOT=/etc/reboot,/etc/halt Cmnd_Alias LPCS=/usr/ucb/lpc,/usr/etc/lpc,/usr/ucb/lprm Cmnd_Alias CAPSTUFF=/usr/local/cap/etc/stop-cap-servers, /usr/local/cap/etc/start-cap-servers Cmnd_Alias INTERNCMD=/usr/local/bin/changepassword, /usr/local/etc/mkaliases, /usr/local/etc/mkhosts, /usr/local/bin/pprdist, /usr/local/etc/nismake, /usr/local/bin/edadmin, /usr/local/bin/chuser, /usr/ucb/lpc, /usr/etc/lpc,/usr/ucb/lprm, /usr/local/cap/etc/stop-cap-servers, /usr/local/cap/etc/start-cap-servers Cmnd_Alias HTTP=/app/http/httpd_1.4/restart_httpd Cmnd_Alias HTTP1=/app/http/httpd_1.4/start_httpd

70 Configuración III Cmnd_Alias SHELLS=/bin/sh,/sbin/sh,/sbin/jsh,/usr/bin/sh, /bin/csh,/usr/bin/csh, /bin/ksh,/usr/bin/ksh, /usr/local/share/bin/tcsh, /usr/local/share/bin/bash, /usr/local/bin/tcsh, /usr/local/bin/bash Cmnd_Alias SU=/bin/su,/usr/bin/su # User specification # Sysadmins sa1 ALL=ALL sa2 ALL=ALL # machine drew drews-a1 drew=all drews-a2 drew=all

71 Configuración IV # DNS functions # dns-sa1 HOST1=ALL:+HOST1-sun-clients=ALL dns-sa2 HOST1=/usr/local/bin/DNSpush:+HOST1-sun-clients=ALL dns-sa3 HOST1=/usr/local/bin/DNSpush:+HOST1-sun-clients=ALL # Remote Sysadmins REM1-sa1 ALL=ALL REM2-sa2 REMOTEHOSTS=ALL:REMOTECLIENTS=ALL:ALL=INTERNCMD REM3-sa1 ALL=ALL REM3-sa2 ALL=INTERNCMD REM4-sa1 REM4HOSTS=ALL:ALL=INTERNCMD REM4-sa2 REM4HOSTS=ALL:ALL=INTERNCMD REM5-sa1 REM5HOSTS=ALL:ALL=INTERNCMD # Intern Admins intern-sa1 ALL=INTERNCMD intern-sa2 ALL=INTERNCMD

72 Configuración V ############################################## ## HOST1 ############################################## sa1 HOST1=/usr/local/etc/mkhosts sa2 HOST1=/usr/local/etc/nismake: HOST2=ALL:HOST3=ALL ############################################## ## Remote print servers, etc ############################################## REM1-sa1 REMOTECLIENTS=ALL:HOST1=ALL:HOST2=LPCS,/bin/chmod, /bin/chgrp,/bin/rm, /bin/cp,/usr/ucb/vi REM1-sa2 REMOTECLIENTS=ALL REM1-sa3 HOST1=LPCS REM1-sa4 HOST1=LPCS:itl-titan=LPCS # pre-1/96. Added per request from ADMIN1 to allow USER1 to reboot HP s user1 HPCLIENTS=REBOOT # pre-1/96. Allow the guys to start/restart HTTP # Huge security hole BTW, since they can change these scripts... user2 HOST1=HTTP,HTTP1 user3 HOST2=HTTP,HTTP1 # pre-1/96. Added per these guys request (they said they needed the rope...) user1 SOMEHOSTS=ALL user2 SOMEHOSTS=ALL # pre-1/96. These guys say they need to do development (see comment above) user1 MOREHOSTS=ALL user2 MOREHOSTS=ALL

73 syslog Nov 14 18:02:44 HOST1 : ADM1 : TTY=pts/4 ; PWD=/appl//etc ; USER=root ; COMMAND=/usr/bin/date Nov 14 18:03:40 HOST2 : ADM1 : TTY=pts/0 ; PWD=/var/adm/syslog ; USER=root ; COMMAND=/usr/bin/vi /etc/syslog.conf Nov 14 18:04:15 HOST3 : ADM3 : TTY=pty/ttys0 ; PWD=/tmp_mnt/home/ADM3 ; USER=root ; COMMAND=/usr/bin/vi /etc/defaultdomain Nov 14 18:04:38 HOST4 : ADM1 : TTY=pts/0 ; PWD=/var/adm/syslog ; USER=root ; COMMAND=/etc/reboot Nov 14 18:28:23 HOST5 : ADM1 : TTY=pts/2 ; PWD=/var/adm ; USER=root ; COMMAND=/usr/sbin/poweroff Nov 14 18:59:10 HOST6 : ADM1 : TTY=pts/5 ; PWD=/appl//etc ; USER=root ; COMMAND=/usr/bin/cp ers /tmp Nov 14 18:59:15 HOST7 : ADM1 : TTY=pts/5 ; PWD=/tmp ; USER=root ; COMMAND=/usr/bin/chmod 777 ers Nov 14 19:01:38 HOST8 : ADM2 : TTY=pts/2 ; PWD=/appl/someapp/bin ; USER=root ; COMMAND=/usr/bin/vi applwrapper Nov 14 21:33:42 HOST9 : ADM1 : 3 incorrect passwords ; TTY=pts/4 ; PWD=/home/ADM1 ; USER=root ; COMMAND=/usr/bin/date Nov 14 21:34:02 HOST9 : ADM8 : user NOT in ers ; TTY=pts/6 ; PWD=/home/ADM8 ; USER=root ; COMMAND=/usr/bin/date Nov 14 21:36:53 HOST9 : ADM9 : command not allowed ; TTY=pts/6 ; PWD=/home/ADM9 ; USER=root ; COMMAND=/usr/bin/vi /etc/passwd

74 Índice 1 Presentación 2 Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su 3

75 sh sh es un filtro que se usa como shell (login shell) Diseñado para ser usado con, o en solitario Permite ejecutar órdenes como root, o una shell de root Todo queda registrado, tanto las órdenes como la salida

76 Diferencias con Si se ejecuta una shell con... -s /bin/sh no registra en syslog qué órdenes se ejecutaron sólo que se abrió una shell sh independientemente de qué shell se use tenga implementado la funcionalidad de un archivo histórico o no registra en syslog todas la órdenes incluso lo que se teclea en una sesión de vi script (

77 Precaución sh Es un programa relativamente nuevo Poco usado Puede tener problemas de seguridad no conocidos Puede tener resultados imprevisibles Puede penalizar el rendimiento del sistema Escrituras masivas a disco con syslog

78 Índice 1 Presentación 2 Permisos Unix Cuentas con uid 0 Claves ssh La Herramienta su 3

79 xsu Nos podemos crear nuestro propio script, si queremos ejecutar aplicaciones gráficas como otro usuario: El archivo.xauthority de root no tiene las credenciales adecuadas para acceder a nuestro display gráfico: ** WARNING ** cannot open display Se ejecuta: $ xsu orden Con esta solución, XAUTHORITY sería en lugar de root/.xauthority user/.xauthority No funciona con NFS sin acceso remoto como root (si usamos la opción root_squash en /etc/exports, porque el usuario root se mapea al anómino.

80 gksu Interfaz gráfica para su y. COmo opciones, ofrece: shell de login Preservar el entorno Se usa en elementos de menú que requieren preguntar contraseñas:

81 gksu O para ejecutar órdenes como usuario: