Protección contra el acceso de dispositivos remotos al sistema

Para proteger el sistema contra el acceso remoto, adopte las siguientes medidas de precaución:

Exija el uso de un sistema de marcación de retorno con equipo físico para todos los módems interactivos.
Exija una contraseña adicional a los usuarios de módem; para ello, agregue una entrada para el dispositivo de módem en el archivo /etc/dialups y, de forma opcional, en el archivo /etc/d_passwd. Consulte la Sección .
Exija a los usuarios que renueven con frecuencia las cuentas de marcación de entrada.
Cancele rápidamente el acceso al sistema cuando un usuario deje de trabajar para la empresa.
Establezca un programa de auditoría periódica para revisar el uso remoto.
Conecte los módems y el equipo de marcación de retorno en un solo sistema HP-UX y deje que los servicios de red lleguen al sistema de destino desde este punto.
Establezca excepciones con la marcación de retorno en el caso del acceso UUCP. Se pueden establecer restricciones adicionales mediante la configuración apropiada del protocolo UCCP. Para obtener más información, consulte la página de manual de uucp(1).
Otra excepción posible es la transferencia de archivos mediante el comando kermit. Para obtener más información, consulte la página de manual de kermit(1).
Si se produce una infracción de la seguridad debido a factores desconocidos, cierre el acceso tanto a través de la red como del teléfono e informe al administrador de la red.
Para potenciar la seguridad cuando se configure un sistema de módem de marcación de retorno, dedique el mecanismo de marcación de salida sólo a la función de marcación de salida. No debe configurarse para aceptar operaciones de marcación de entrada. Utilice otro módem conectado a otra línea de teléfono para el servicio de marcación de entrada.
No mantenga una lista de los números de teléfono de los módems y téngalos en un sistema distinto de otros teléfonos empresariales. No haga públicos los números de teléfono de marcación de entrada.
Proteja físicamente los módems.
Utilice la característica de identificación del llamante para identificar todas las llamadas entrantes a los módems.
No permita el desvío de llamada u otros servicios telefónicos adicionales en las líneas de los módems. No utilice módems de teléfonos celulares.
Para el acceso de forma local y remota, considere la posibilidad de instalar un producto de servidor AAA de HP-UX. Mediante el protocolo de servicio de usuario de acceso telefónico de autenticación remota (RADIUS - Remote Authentication Dial-In User Service) estándar en el sector, el servidor AAA de HP-UX ofrece servicios de autenticación, autorización y contabilidad del acceso de los usuarios a la red en el punto de entrada a una red. Para obtener más información, consulte el documento HP-UX AAA Server Administrator's Guide.
En lo que respecta a las conexiones móviles con Mobile IPv6, utilice HP-UX IPSec para cifrar y autenticar los mensajes con el protocolo Mobile IPv6 entre el cliente Mobile IPv6 y Home Agent. Para obtener más información, consulte el documento HP-UX IPSec Administrator's Guide.

Control del acceso con los archivos /etc/dialups y /etc/d_passwd

Para conseguir una seguridad adicional en la identificación de usuarios remotos, agregue entradas en los archivos /etc/dialups y /etc/d_passwd. Estos archivos se utilizan para controlar la seguridad del inicio de sesión mediante marcación telefónica. Para obtener más información, consulte las páginas de manual de dialups(4) y login(1).

Si el archivo /etc/dialups existe, el proceso de inicio de sesión compara el terminal con los que se indican en el archivo /etc/dialups. Si el terminal aparece indicado en el archivo /etc/dialups, login solicitará una contraseña. Esta contraseña se compara con las que aparecen en el archivo /etc/d_passwd.

Además, el archivo /etc/passwd se utiliza para comprobar la contraseña.

A continuación, se muestra un ejemplo de cómo configurar el archivo /etc/dialups:

# vi /etc/dialups (enumera los terminales permitidos)

/dev/ttyd0p1

/dev/ttyd0p2

# vi /etc/d_passwd

/usr/bin/sh:xxxencrypted-passwordxxxxxxxxx:comments

/usr/bin/ksh:xxxencrypted-passwordxxxxxxxx:comments

/sbin/sh:xxxencrypted-passwordxxxxxxxxx:comments

Lo que el usuario ve es:

Login:
Password:

Dialup password:

Para modificar contraseñas en el archivo /etc/d_passwd, utilice el comando passwd como sigue:

# passwd -F /etc/d_passwd ruta_shell

La ruta_shell es la ruta del shell que se indica en el archivo /etc/d_passwd.

Protección contra el acceso de dispositivos remotos al sistema

Documentación técnica

» Tabla de contenido

» Glosario

» Índice

Control del acceso con los archivos /etc/dialups y /etc/d_passwd