GESTION DE TERMINALES. Airam Godoy Hernández José María Rodríguez Rodríguez 5º Ingeniería en Informática

Transcripción

1 GESTION DE TERMINALES Airam Godoy Hernández José María Rodríguez Rodríguez 5º Ingeniería en Informática

2 Qué es un terminal En Linux y otros SO similares se considera la posibilidad de que un ordenador tenga varios usuarios trabajando simultáneamente. Cada dispositivo que permite a un usuario interactuar con una máquina se le llama terminal. Hay terminales de entrada como por ejemplo un lector de código de barras, los ya obsoletos lectores de tarjetas perforadas, terminales salida como por ejemplo una impresora, y terminales de entrada salida como los clásicos terminales de pantalla. La palabra tty usada para designar los dispositivos que controlan los terminales viene de TeleTYpe (teletipo). Los primeros terminales no tenían monitor. Eran simples y primitivos teletipos.

3 Terminales virtuales En Linux existe una emulación de varios terminales sobre un único monitor. Se denominan frecuentemente terminales virtuales. Para cambiar de un terminal virtual a otro pulsaremos <Alt< Alt><F1>, <Alt< Alt><F2>, <Alt< Alt><F3>, etc. Con ello tendremos acceso a los terminales /dev/ dev/tty1, /dev/ dev/tty2, /dev/tty3, etc respectivamente. En cada uno de estos terminales puede mantenerse una sesión de trabajo distinta. Es como si tuviéramos varios terminales físicos distintos formados por monitor, teclado, altavoz, memoria, y cable de conexión al ordenador, pero solo pudiéramos usar uno de ellos en un momento dado. La información de cada terminal virtual se encuentra almacenada en dispositivos /dev/ dev/vcsvcs pero no es accesible para usuarios normalitos.

4 Dispositivos controladores de terminales Cada terminal virtual está gestionado por un controlador de dispositivo. Si ejecuta el comando 'tty' tty' ' obtendrá el nombre del controlador que está usando. $ tty /dev/tty3 Los terminales virtuales están numerados del 0 al 63. Para ver cual es el número del terminal actual también se puede usar 'fgconsole' Hay otros tipos de terminales. Son dispositivos de tipo carácter y hay un montón de ellos disponibles.

5 Acceso a consola Se conceden dos tipos de permisos especiales cuando un usuario normal (no root) ) se registra en un equipo localmente : 1. Pueden ejecutar ciertos programas que de otra forma no podrían ejecutar. 2. Pueden tener acceso a ciertos archivos (archivos de dispositivos especiales para acceder a disquetes, CD- ROMs...) a los que no tendrían acceso de otro modo. El primer usuario que se registra en la consola será el propietario de los archivos (varias consolas y varios usuarios se s pueden registrar localmente).

6 Acceso a consola Cuando el primer usuario sale de la sesión, el siguiente usuario que se registra pasa a ser el propietario de los archivos. En contraste, cada usuario que se registra en la consola podrá ejecutar programas que realizan tareas normalmente restringidas para ser ejecutadas por usuario root (por ejemplo los comandos halt, poweroff,, y reboot).

7 Desactivación del apagado con la combinación de teclas Ctrl-lt lt-del Por defecto, /etc/inittab especifica que su sistema se ha establecido para apagarse y rearrancar el sistema si se utiliza la combinación de teclas [Ctrl[ Ctrl]-[Alt]-[Del] en la consola. Para desactivar completamente esta opción, deberá crear un comentario en la línea /etc/inittab colocando un símbolo de numeral o almohadilla (#) en frente a ella: ca:: ::ctrlaltdel:/sbin/shutdownshutdown -t3 -r now

8 Desactivación del apagado con la combinación de teclas Ctrl-lt lt-del Para limitar que determinados usuarios tengan derechos para apagar el sistema desde la consola con [Ctrl[ Ctrl]-[Alt]-[Del], hay que seguir los pasos siguientes: 1. Agregar la opción -a a a la línea /etc/inittab mostrada arriba, de modo que se lea lo siguiente: ca:: ::ctrlaltdel:/sbin/shutdownshutdown -a -t3 -r La opción -a a indica al comando shutdown que debe buscar el archivo /etc/shutdown.allow shutdown.allow,, que creará en el paso siguiente. 2. Crear un archivo denominado shutdown.allow en /etc que debe mostrar los nombres de los usuarios que pueden apagar el sistema con [Ctrl[ Ctrl]-[Alt]-[Del]. El formato del archivo es una lista de nombres de usuario en cada línea.

9 Desactivación del apagado con la combinación de teclas Ctrl-lt lt-del Cuando se utiliza esta combinación de teclas, el archivo shutdown -a a en /etc/inittab comprueba si alguno de los usuarios en /etc/shutdown.allow (o root) ) están registrados en una consola virtual. Si alguno de ellos lo está, continuará el apagado del sistema; en e caso contrario, se registrará un mensaje de error en la consola del sistema.

10 Derivación n del acceso de programas a la consola Para desactivar el acceso de los usuarios a los programas de la consola, debe ejecutar este comando como root: rm -f f /etc/security security/console.apps/* En entornos en los que la consola tiene otro sistema de seguridad (contraseñas en la BIOS y en el gestor de arranque, se ha desactivado [Ctrl[ Ctrl]-[Alt]-[Delete] ]...), probablemente no desee que ningún usuario que trabaje en una consola ejecute los comandos poweroff, halt,, y reboot,, a los que de manera predeterminada se puede tener acceso desde la consola.

11 Derivación n del acceso de programas a la consola Para quitar estas opciones, ejecute los comandos siguientes como root: rm -f f /etc/security security/console.apps/poweroffpoweroff rm -f f /etc/security security/console.apps/halt rm -f f /etc/security security/console.apps/reboot

12 Desactivación de todos los accesos a la consola El módulo pam_console.so de PAM, gestiona los permisos y la autentificación de los archivos de la consola. Si desea desactivar todos los accesos a la consola, incluyendo el acceso a programas y a archivos, coloque en comentarios todas las líneas que se refieren a pam_console.so en el directorio /etc/pam.d pam.d. Como usuario root,, el siguiente script puede ayudarle: cd /etc/pam.d for i in * ; do sed '/[^#].*pam_console.so pam_console.so/s/^/#/' < $i > foo && mv foo $i done

13 Definición n de consola El módulo pam_console.so usa el archivo /etc/security security/console.permsconsole.perms para determinar los permisos que tienen los usuarios en la consola del sistema. El archivo por defecto tiene una línea similar a la siguiente: <console>=tty[0-9][0-9]* 9]* :[0-9] 9]\.[0-9] :[0-9]

14 Definición n de consola Cuando los usuarios se registran, se conectan a algún terminal, bien sea un servidor X con un nombre como :0 o mymachine.example.com:1.0 o un dispositivo como /dev/ttys0 o /dev/ dev/pts/2. La opción por defecto es definir esas consolas virtuales locales y que los servidores X locales se consideren locales, pero si desea considerar también el terminal serial próximo en el puerto /dev/ dev/ttys1 puede cambiar la línea para que muestre: <console>=tty[0-9][0-9]* 9]* :[0-9] 9]\.[0-9] :[0-9] /dev/ dev/ttys1

15 Colocar los archivos accesibles desde la consola En /etc/security security/console.perms,, hay una sección con líneas similares: <floppy>=/ >=/dev/fd[0-1]* \ /dev/floppy/* /mnt/ mnt/floppy* <sound>=/ >=/dev/dsp* * /dev/ dev/audio* /dev/ dev/midi* \ /dev/mixer** /dev/ dev/sequencer \ /dev/sound/* /dev/ dev/beep <cdrom>=/ >=/dev/cdrom* * /dev/ dev/cdroms/* /dev/ dev/cdwriter* * /mnt/ mnt/cdrom* Se pueden agregar líneas propias a esta sección, asegurándonos de que todas las introducidas hacen referencia al dispositivo pertinente. Por ejemplo : <scanner>=/dev/scanner /dev/usb/scanner*

16 Colocar los archivos accesibles desde la consola El siguiente paso consiste en definir lo que se realiza con estos archivos. Observe la última sección de /etc/security security/console.permsconsole.perms para buscar líneas similares <console> 0660 <floppy> 0660 root.floppy <console> 0600 <sound> 0640 root <console> 0600 <cdrom> 0600 root.disk #Añadiendo la siguiente línea <console> 0600 <scanner> 0600 root

17 Colocar los archivos accesibles desde la consola Luego, cuando se registra en la consola, se tendrá derechos de propiedad sobre el dispositivo /dev/ dev/scanner y los permisos serán 0600 (exclusivo de lectura y escritura). Cuando cierre la sesión, el dispositivo será propiedad del root y seguirá teniendo permisos 0600 (ahora: permiso exclusivo de lectura y escritura para el usuario root.

18 Activación n del acceso a la consola para otras aplicaciones Para que los usuarios de la consola puedan acceder a otras aplicaciones: En primer lugar, el acceso a la consola sólo funciona para las aplicaciones que residen en /sbin/ o /usr/ usr/sbin,, de modo que la aplicación que se desee ejecutar deberá estar ubicada en este lugar. Después hay que seguir los pasos siguientes:

19 Activación n del acceso a la consola para otras aplicaciones 1. Crear un vínculo del nombre de la aplicación, como el programa ejemplo foo,, en la aplicación /usr/bin/consolehelper: cd /usr/bin ln -s consolehelper foo 2. Crear el archivo /etc/security security/console.apps/foo: touch /etc/security/console.apps/foo 3. Crear un archivo de configuración de PAM para el servicio foo en /etc/pam.d pam.d/. Realizando esto con una copia del archivo de configuración del servicio detenido y luego modificar el archivo si desea cambiar su comportamiento: cp /etc/pam.d/halt /etc/pam.d/foo

20 Activación n del acceso a la consola para otras aplicaciones Ahora, cuando se ejecute /usr/ usr/bin/foo,, se llamará al comando consolehelper,, el cual validará al usuario con la ayuda de /usr/sbin/userhelper. Para validar al usuario, consolehelper solicitará una contraseña del usuario si /etc/pam.d pam.d/foo es una copia de /etc/pam.d pam.d/halt (en caso contrario, hará precisamente lo que se haya especificado en /etc/pam.d pam.d/foo) A continuación ejecutará /usr/ usr/sbin/foo con permisos de root. En el archivo de configuración PAM, una aplicación puede ser configurada para usar el módulo pam_timestamp para recordar (caché) un intento de conexión exitoso. Cuando una aplicación inicia y se proporciona una autentificación adecuada (la contraseña de root), se crea un archivo timestamp.

21 Activación n del acceso a la consola para otras aplicaciones Por defecto, una validación con éxito está cacheada durante cinco minutos. Durante este tiempo, cualquier otra aplicación que sea configurada para usar pam_timestamp y ejecutar desde la misma sesión, está automáticamente autenticada para el usuario (no se introduce la contraseña de root otra vez). Para activar esta característica, el archivo de configuración PAM en etc/pam.d pam.d/ / debe incluir las líneas siguientes: auth sufficient /lib/security/pam_timestamp.so session optional /lib/security/pam_timestamp.so La primera línea que inicie con auth debería estar tras cualquier otra línea auth sufficient y la línea que empieza con session debería estar tras cualquier otra línea session optional..

22 El grupo floppy Si el acceso a la consola no es adecuado y necesita conceder acceso a los usuarios no root a la unidad de disquete del sistema, puede hacerlo con el grupo floppy.. Para ello se agrega el usuario(s) al grupo floppy.. A continuación se incluye un ejemplo mostrando cómo utilizar gpasswd para añadir un usuario airam al grupo floppy: gpasswd -a airam floppy

23 FIN