Administración de Usuarios

Transcripción

1 Administración de Usuarios Departamento de Sistemas Telemáticos y Computación (GSyC) gsyc-profes (arroba) gsyc.es Abril de 2010 GSyC Administración de Usuarios 1

2 c 2010 GSyC Algunos derechos reservados. Este trabajo se distribuye bajo la licencia Creative Commons Attribution Share-Alike 3.0 GSyC Administración de Usuarios 2

3 Usuarios y grupos Usuarios y grupos Cada usuario tiene un identificador (UID), un grupo principal (o primario) al que pertenece (GID), una serie de grupos adicionales, un nombre de usuario (login), un directorio de trabajo (home) La orden id nos da el UID, el GID y los grupos adicionales de un usuario Cada usuario puede tener dos tipos de recursos en un sistema UNIX: Procesos y Ficheros GSyC Administración de Usuarios 3

4 Usuarios y grupos Cada UID y cada GID puede tener asociado un nombre, especificado en los ficheros /etc/passwd y /etc/group, respectivamente La información de /etc/passwd y /etc/group la utilizan diversas órdenes de administración. Ambos ficheros deben existir y ser coherentes para que el sistema funcione correctamente Es recomendable modificar la información de los usuarios con mandatos como usermod Si se edita /etc/passwd y /etc/group/ directamente, debe usarse vipw y vigr GSyC Administración de Usuarios 4

5 Usuarios y grupos Elección de la palabra clave El campo passwd en el /etc/passwd y el /etc/shadow se encuentra cifrado con una función hash para evitar que los usuarios (y administradores) puedan conocer las contraseñas de otros usuarios. Se usa un cifrado de un solo sentido: no existe algoritmo para averiguar la contraseña a partir de estos ficheros. Pero se pueden probar varias contraseñas, hasta millones por segundo (John the Ripper). Es imprescindible elegir palabras clave seguras, que no aparezcan en diccionarios, evitando nombres o fechas significativas, combinando símbolos, y de la mayor longitud posible. GSyC Administración de Usuarios 5

6 Usuarios y grupos Ejemplos de malas contraseñas: toby r2d2 tornillo fromage mostoles Contraseñas que parecen buenas, pero son malas: XCV330 NCC-1701-A ARP2600V GSyC Administración de Usuarios 6

7 Usuarios y grupos Buenas contraseñas Una buena contraseña será parecida ( pero no igual!) a una de estas Contrase~na Nemotécnico QuReMa: Queridos Reyes Magos: 3x4doze 3x4=doce 1pt,tp1 uno para todos,todos para uno 19dy500n 19 dias y 500 noches R,cmqht? Rascayú, cuando mueras que harás tú? waliays we all live in a Yellow Submarine lh10knpr le hare una oferta que no podrá rechazar GSyC Administración de Usuarios 7

8 Usuarios y grupos Es conveniente que busquemos e inutilicemos las contraseñas débiles de nuestros usuarios, ya que suponen un primer punto de entrada en nuestro sistema En Unix, el root no puede leer las contraseñas. Pero en otros entornos sí. Y muchos usuarios emplean siempre la misma contraseña Ejemplo: 1 Juan Torpe usa como contraseña dgj441iu en juan.torpe@hotmail.com 2 Juan Torpe se apunta en con su cuenta de correo y su contraseña de siempre 3 El administrador malicioso de este web ya conoce el nombre de Juan, su cuenta de correo y su contraseña. Puede usar la función contraseña olvidada? y colarse en cualquier otra cuentas de Juan Debemos instruir a nuestros usuarios sobre esto GSyC Administración de Usuarios 8

9 Usuarios y grupos Los usuarios sin duda olvidarán en ocasiones su contraseña y tendremos que generles una nueva, de forma segura Pero es muy poco profesional que nosotros como administradores olvidemos una contraseña. Debemos usar varias y guardarlas de forma medianamente segura (gpg, lastpass, etc) GSyC Administración de Usuarios 9

10 /etc/passwd Usuarios y grupos Contiene la información de todos los usuarios del sistema. Contenido: ĺıneas con campos separados por dos puntos: login:passwd:uid:gid:info:home-dir:shell El campo login puede tener hasta 32 caracteres en Linux, pero se recomienda limitarlo a 8, como en los UNIX clásicos El campo passwd contiene la contraseña cifrada (con DES o con MD5) y puede estar en otro fichero, en el /etc/shadow. El campo info contiene el nombre real del usuario e información adicional como el teléfono, etc. Por (desafortunados) motivos históricos, también se le denomina GECOS En algunos sistemas, puede haber información externa (NIS, LDAP... ) Programas que lo utilizan directamente: login, su, passwd. GSyC Administración de Usuarios 10

11 /etc/group Usuarios y grupos Nombres de grupos del sistema, y miembros de cada grupo. Contenido: ĺıneas con campos separados por dos puntos: nombre:passwd:gid:lista-logins lista-logins son usuarios separador por comas que pertenecen a ese grupo. El campo passwd no se suele utilizar. Permite ingresar en un grupo en el que no se es miembro. En algunos sistemas, puede haber información externa (NIS, LDAP... ) GSyC Administración de Usuarios 11

12 /etc/shadow Usuarios y grupos Si existe, contiene las contraseñas cifradas de los usuarios del sistema. Contenido: ĺıneas con campos separados por dos puntos: login:passwd:a:b:c:d:e:f:g a : momento en que la passwd fue cambiada por última vez. b : días que deben pasar antes de que pueda cambiarse. c : días después de los cuales la passwd debe cambiarse. d : días antes de la expiración para avisar al usuario. e : días después de la expiración para desactivar la cuenta. f : momento en que la cuenta se ha desactivado. g : campo reservado. GSyC Administración de Usuarios 12

13 Usuarios y grupos Para mejorar la seguridad se añade un salt salt es un tipo de nounce: Number used once. 2 bytes aleatorios que se añaden a la contraseña Sin salt password --> hash (password) "sesamo" --> zv/corb$pjgtogeqnzf434tmq7bah.rvi3i.o7iwqai9qqzegke/jkjq bdfqe2gbfyzbtdnchyoxpzvslhenkpt3l6azn0 El atacante puede usar una rainbow table: El resultado de aplicar hash a un diccionario completo. Si encuentra la hash en la tabla, conoce la contraseña que fue usada rainbow table hash(palabra1) hash(palabra2) hash(palabra3) GSyC Administración de Usuarios 13

14 Usuarios y grupos Con salt password+salt --> hash (password+salt) rainbow table: hash(palabra1+salt1) hash(palabra1+salt2) hash(palabra1+salt3) salt se guarda en abierto: se añade al hash, son los primeros dos bytes Esto obliga a que la rainbow table sea mucho mayor, puede hacerla inviable GSyC Administración de Usuarios 14

15 Usuarios y grupos Desactivar un usuario del sistema Bloquear su contraseña en el /etc/passwd o /etc/shadow (añadiendo un carácter - o *, por ejemplo). Eliminar sus tareas periódicas (/var/spool/cron). Revisar /etc/aliases y.forward por si el usuario tuviera acciones a realizar con el correo recibido. Revisar sus ficheros de personalización, haciendo hincapié en.forward.rhosts.shosts.ssh/authorized keys Eliminar un usuario userdel userdel -r también borra su correo y su home GSyC Administración de Usuarios 15

16 Usuarios y grupos Ficheros de personalización Residen en el directorio de inicio ($HOME). Cada intérprete, cada programa, cada orden puede usar ficheros distintos. Su nombre suele comenzar por. bash:.profile.bash profile.bashrc.bash history ssh:.rhosts.shosts.ssh/ .forward GSyC Administración de Usuarios 16

17 Usuarios especiales Usuarios y grupos No todas las ĺıneas del /etc/passwd corresponden con usuarios físicos. Super-usuario: uid=0 (su login es normalemente root). Otros usuarios del sistema: se utilizan para: tareas específicas de administración propietarios de determinados ficheros del sistema ejecución de determinadas aplicaciones (bases de datos, servidores de web, ftp, , noticias, etc) Normalmente, los usuarios normales tienen UIDs entre el 1000 y el GSyC Administración de Usuarios 17

18 Usuarios y grupos Cambio de contraseña Para cambiar la contraseña y otros datos se utilizan las órdenes passwd (contraseña), chfn (info/gecos), chsh (shell): Estas órdenes tienen set-uid para que un usuario normal pueda modificar información privilegiada. Antes de nada, piden la passwd del usuario para verificar que es quien dice ser. Bloquean cada fichero a modificar para asegurar exclusión de accesos. Realizan las modificaciones. Desbloquean ficheros. GSyC Administración de Usuarios 18

19 Usuarios y grupos Cambios de usuario y grupo su ejecuta otra shell bajo un usuario distinto. su sin argumentos cambia a usuario con uid=0 (root). su pide la contraseña del usuario destino (salvo si el origen es root). newgrp ejecuta una shell con distinto GID. Tiene set-uid newgrp permite cambiar el GID a otro grupo al que pertenezcamos (cambia el grupo primario) GSyC Administración de Usuarios 19

20 Usuarios y grupos mandatos que sólo pueden ejecutarse como root groupadd grupo crea un grupo adduser usuario 1 añade un usuario. Copia en su home el directorio /etc/skel adduser usuario grupo añade un usuario a un grupo usermod -g grupo primario usuario Cambia el grupo primario por omisión del usuario passwd usuario Cambia la contraseña de un usuario 1 En RedHat, useradd usuario y chfn usuario GSyC Administración de Usuarios 20

21 Usuarios y grupos chown dueño fichero(s) cambia el dueño de un fichero chgrp dueño fichero(s) cambia el grupo de un fichero mandatos para cualquier usuario passwd Cambia la contraseña newgrp grupo Entre los grupos de un usuario, elige el grupo primario GSyC Administración de Usuarios 21

22 Copias de seguridad Copias de seguridad tar o similares Problema: Siempre se duplican los directorios enteros rsync Mirror unidireccional. Permite mantener una réplica de un directorio. Solo se actualizan las novedades. No permite modificar la réplica unison Sincronización bidireccional. Sincroniza dos (o más) directorios. Cualquiera de los dos puede modificarse GSyC Administración de Usuarios 22

23 Bacula Copias de seguridad Bacula Herramienta para realizar, automatizar, monitorizar y recuperar copias de seguridad en sistemas grandes o pequeños Arquitectura cliente/servidor sobre una red TCP/IP Mantiene en una base de datos MySQL, PostgreSQL o SQLite un catálogo completo de qué ha hecho, dónde está cada fichero... Gestiona robots auto-cargadores de cinta Disponible para Linux, diversos Unix, Solaris, Windows (con limitaciones), MacOS, xbsd... GSyC Administración de Usuarios 23

24 Copias de seguridad Bacula Bacula está formado por un conjunto de herramientas Demonio director Coordina todos los demonios Demonio de almacenamiento Controla los dispositivos de almacenamiento: disco, dvd, cinta... Demonio de ficheros Demonio en cada cliente que lee, comprime, encripta y envía los datos al servidor Consola Interfaz desde donde el administrador controla el sistema Bandeja Interfaz para el escritorio desde donde se puede monitorizar bacula GSyC Administración de Usuarios 24

25 Copias de seguridad Sistemas de almacenamiento permanente Sistemas de almacenamiento permanente Time Machine (Mac OS) dumpfs (bsd) pdumpfs (Linux, Windows) TimeVault, FlyBack (Linux) venti (Plan 9) Se registran los cambios en los ficheros, sin borrar nunca nada Mantienen una foto del estado diario del sistema de ficheros, en un directorio con formato yyyy/mm/dd Parece mucho, pero hoy el almacenamiento es muy barato. P.e. si generamos 10 Mb diarios, necesitamos unos 4Gb anuales GSyC Administración de Usuarios 25

26 unison Copias de seguridad unison Sincroniza directorios entre Windows, Linux, Mac OS X,... Resistente a fallos. Las operaciones son atómicas (o casi) Ejemplo de uso 1 Tengo mi home en el trabajo 2 Hago una copia del home en casa 3 Modifico el de casa 4 Al llegar al trabajo, sincronizo. Los cambios se replican 5 Modifico el del trabajo 6 Al volver a casa, sincronizo. Los cambios se replican Puede usarse con más de dos directorios. Se recomienda topología en estrella GSyC Administración de Usuarios 26

27 Copias de seguridad unison Si hay conflictos, es imposible corregirlos automáticamente. Ejemplo: 1 El lunes modifico el home del trabajo 2 El martes llego a casa y sincronizo. Luego modifico. No sincronizo. 3 El miércoles en el trabajo olvido sincronizar. Edito sobre la versión del lunes, ignorando los cambios del martes 4 Intento sincronizar. Aparece un conflicto, que debo corregir a mano GSyC Administración de Usuarios 27

28 Copias de seguridad unison Uso: unison directorio1 opciones Podemos referirnos a un directorio en el home en la máquina remota: unison directorio1 ssh://usuario@maquina/directorio2 opciones Algunas opciones: -ignore Name.* Omite ficheros ocultos -ignore Name *.bak Omite ficheros con extensión bak Las opciones deben ir en la misma ĺınea. Podemos unir varias ĺıneas físicas en una única ĺınea lógica usando \ Por omisión los enlaces simbólicos son opacos: Se sincroniza el enlace, no el fichero apuntado GSyC Administración de Usuarios 28

29 Copias de seguridad unison Al sincronizar, unison compara cada fichero o directorio mandatos básicos: Máquina local Máquina remota f Seguir (follow) la opción recomendada > Llevar a la máquina remota < Traer a la máquina local / No sincronizar b Volver al elemento anterior Si no hay conflictos, unison indica [f] (follow) Si hay conflicto, unison indica <-?-> Pulsando d (diff) compara los ficheros conflictivos y señala las discrepancias --- Líneas locales conflictivas +++ Líneas remotas conflictivas Si solo ha cambiado el inodo (dueño, permisos, etc), se indica props GSyC Administración de Usuarios 29

30 Copias de seguridad Dropbox Servicios de alojamiento de archivos File hosting service Normalmente basado en cloud computing: Término acuñado en 2006 por George Gilder. Paradigma de computación empleado en Internet, derivado de cliente/servidor, donde el servidor está en algún lugar de la red. El cliente necesita saber muy poco sobre los recursos que emplea, software y datos se almacenan en el servidor. Servicios como Rapidshare y Megaupload se centran en almacenar y compartir ficheros normalmente voluminosos Servicios como Dropbox, Box.net, idisk (Apple), Windows Live SkyDrive, Ubuntu One se centran en la sincronización de los ficheros personales del usuario GSyC Administración de Usuarios 30

31 DropBox Copias de seguridad Dropbox Uno de los servicios de almacenamiento y sincronización más populares Ofrece funcionalidad similar a una estrella de máquinas con unison, pero el nodo central está en la nube Multiplataforma: Windows, MacOs, Linux Ofrece entre 2Gb y 8Gb de forma gratuita. Cualquiera puede abrir una cuenta gratuita. Aunque si se hace mediante invitación, invitante e invitado reciben 250 Mb extra cada uno Muy sencillo: Demonio que está continuamente funcionando y que de forma continua sincroniza el directorio ~/Dropbox (Linux) Mis Documentos/Dropbox (Windows) GSyC Administración de Usuarios 31

32 Copias de seguridad Dropbox Permite acceder a mis ficheros desde el web Permite compartir ficheros con otros usuarios de DropBox Permite compartir ficheros con cualquier usuario de Internet (enviamos un enlace, no un correo voluminoso) Cuando encuentra una discrepancia, genera un nuevo fichero Ventajas de DropBox frente a Unison No hace falta tener un servidor propio siempre funcionando y accesible Multiplataforma (real) GSyC Administración de Usuarios 32

33 Copias de seguridad Dropbox Inconvenientes de DropBox frente a Unison Dependemos de empresa que puede desaparecer o cambiar poĺıtica de precios Tenemos que creer a esta empresa cuando dice que nuestros datos son privados Tamaño de almacenamiento limitado Consume continuamente ancho de banda y energía Falta de flexibilidad sobre directorios, permisos, tratamiento de enlaces, etc Los enlaces se convierten en el fichero enlazado Podemos colocar los ficheros originales en ~/Dropbox, y crear enlaces que apunten aquí GSyC Administración de Usuarios 33

34 Copias de seguridad Dropbox Envío de invitaciones: Desde la página web de Dropbox vamos a Account (icono de llave inglesa en la parte superior derecha) Referral Status Invite more people to join Dropbox Instalación en Ubuntu con Gnome Añadimos a /etc/apt/sources.list deb karmic main aptitude install nautilus-dropox dropbox start -i Aceptamos la instalación del demonio y aceptamos el nombre de directorio por omisión (~/Dropbox) Instalación en máquinas Unix sin Gnome Menos maduro, pero usable GSyC Administración de Usuarios 34

35 Copias de seguridad Dropbox en Unix sin Gnome Dropbox Dropbox trabaja de forma independiente para cada usuario, por tanto los apartados siguientes los ejecuta cada usuario, no el root Instalación de Dropbox: 1 Comprobamos que tenemos acceso a internet 2 Obtenemos el fichero dropbox_texto.tgz desde el directorio /var/tmp/dasr de pantuflo o desde 3 Descomprimos el fichero dropbox_texto.tgz en ~ Esto creará el directorio ~/.dropbox-dist 4 Entramos al directorio ~/.dropbox-dist 5 Ejecutamos dbmakefilelib.py, hasta que aparezca el mensaje dropboxd ran for 15 seconds without quitting - success? Matamos este proceso pulsando ctrl C dos veces Matamos los procesos dropbox y dropboxd GSyC Administración de Usuarios 35

36 Copias de seguridad Dropbox Enlace de la máquina con nuestra cuenta Dropbox: 1 Basta con visitar cierta URL, puede hacerse en otro PC. Para obtener la URL, ponemos en marcha el demonio dropbox ejecutando dropboxd ~/.dropbox-dist/dropboxd > /tmp/traza (Esto no concluye, podemos dejar que el demonio siga corriendo) 2 Desde otra terminal, llevamos el fichero /tmp/traza a cualquier máquina que tenga un navegador web, y visitamos la URL que indica GSyC Administración de Usuarios 36

37 Copias de seguridad Dropbox Para saber qué hace el demonio Ejecutamos ~/.dropbox-dist/dbcli.py status Si tenemos a mano otra maquina que sí tiene Gnome (p.e. el host de las prácticas), una forma rápida de ver que el demonio está funcionando es entrar en ~/Dropbox y hacer touch de un fichero cualquiera. Si todo va bien, el applet de gnome dirá que ha creado o actualizado el fichero GSyC Administración de Usuarios 37

38 Copias de seguridad Dropbox Puesta en marcha del demonio: Para poner en marcha el demonio, ejecutamos ~/.dropbox-dist/dropboxd Para que se ejecute automáticamente en el inicio de todas las shell de login, podemos invocarlo en segundo plano desde ~/.bash_profile Es muy importante invocarlo en segundo plano, de lo contrario no tendremos acceso a esta shell El script para manejar el demonio desde /etc/init.d de la versión actual no funciona correctamente GSyC Administración de Usuarios 38

39 Copias de seguridad Almacenamiento de contraseñas Almacenamiento de contraseñas Actualmente todos tenemos que manejar muchas contraseñas distintas. No debemos confiar exclusivamente en nuestra memoria, debemos guardarlas cifradas en algún sitio estable Hay muchas herramientas disponibles gpg. Multiplataforma, software libre, muy seguro KeePassX. De más alto nivel que gpg. Multiplataforma, software libre, seguro LastPass GSyC Administración de Usuarios 39

40 LastPass Copias de seguridad Almacenamiento de contraseñas Ventajas Muy cómodo: Se integra en cualquier navegador web de los habituales. No hace falta leer y escribir contraseñas a mano: La primera vez que entramos en un sitio nos ofrece guardar la contraseña, la siguiente vez nos permite entrar directamente, sin teclear la contraseaña Permite guardar cifrado cualquier texto, por ejemplo contraseñas que no usemos via web, como una nota segura Nuestras contraseñas se almacenan en la nube LastPass afirma que las contraseñas se cifran localmente con la clave principal de LastPass y que por tanto solo el usuario tiene acceso a sus claves Permite tener varias identidades: Se puede asignara cada login/password a una identidad distinta (todas protegidas con la misma contraseñas maestra). Luego, la sesión puede manejar solo una identidad o todas las identidades GSyC Administración de Usuarios 40

41 Copias de seguridad Almacenamiento de contraseñas Inconvenientes El código fuente no está disponible, tenemos que creer a esta empresa cuando dice que todo el proceso es seguro Si la empresa cierra repentinamente, perdemos nuestras contraseñas Instalación Solución: de vez en cuando, exportar las contraseñas a un fichero de texto y guardarlas cifradas con gpg o KeePassX Googleamos firefox complementos Buscamos LastPass GSyC Administración de Usuarios 41