Administración de las contraseñas y del acceso en un sistema estándar

La contraseña es el símbolo más importante de identificación individual. El sistema la utiliza para autenticar a un usuario y franquearle el acceso al sistema. Puesto que las contraseñas son susceptibles a su divulgación cuando se utilizan, almacenan o conocen, deben mantenerse en secreto en todo momento.

Responsabilidades del administrador del sistema

El administrador del sistema y todos los usuarios del sistema deben compartir la responsabilidad de la seguridad de las contraseñas. El administrador del sistema lleva a cabo las siguientes tareas relacionadas con la seguridad:

Garantizar que todos los usuarios tienen contraseñas.
Mantener los permisos de acceso apropiados en todos los archivos del sistema, incluidos los archivos estándar de contraseñas y de grupos: /etc/passwd y /etc/group.
Eliminar o anular las identificaciones de usuario y las contraseñas de los usuarios que ya no sean aptos para obtener acceso al sistema.

Responsabilidad del usuario

Todos los usuarios deben atenerse a las siguientes normas:

Recordar la contraseña y guardarla en secreto en todo momento.
Cambiar la contraseña inicial de inmediato y modificar la contraseña cada cierto tiempo.
Informar de los cambios de estado y de las presuntas infracciones de seguridad que se produzcan.
Asegurarse de que nadie les observa mientras escriben la contraseña.
Elegir una contraseña distinta para cada equipo en el que exista una cuenta.

Criterios para establecer una contraseña correcta

Observe las siguientes pautas al elegir una contraseña:

Una contraseña debe presentar una longitud mínima de seis caracteres y una longitud máxima de 80 caracteres. Entre los caracteres especiales se pueden incluir caracteres de control y símbolos, como asteriscos y barras. En modo estándar, sólo se utilizan los ocho primeros caracteres.
No elija una palabra extraída de un diccionario de ningún idioma, aun cuando la escriba al revés. Hay programas de software con capacidad para buscarla con tino.
No elija una contraseña que pueda asociársele fácilmente; por ejemplo: el nombre de un familiar o el de una mascota, o un pasatiempo.
No utilice secuencias de teclado sencillas, como asdfghjkl, ni repeticiones del nombre de inicio de sesión (p. ej., si el nombre de inicio de sesión es ana, una contraseña no aconsejable sería anaana).
Las palabras escritas incorrectamente o las combinaciones de sílabas de dos palabras que no guarden relación entre sí son buenas candidatas a contraseñas adecuadas. Otro método extendido para crear contraseñas consiste en utilizar las iniciales de un título o una frase predilectos.
Considere el uso de un generador de contraseñas que combine sílabas para conformar un galimatías pronunciable.

La dirección debe prohibir que se compartan contraseñas. Constituye una infracción de la seguridad que los usuarios compartan contraseñas.

Archivo de contraseñas

Un sistema estándar tiene un archivo de contraseñas: /etc/passwd.

Si se ha configurado el NIS+, este proceso es más complejo; consulte la sección «Network Information Service Plus (NIS+)».

Todas las contraseñas se cifran inmediatamente después de crear la entrada correspondiente y se almacenan en el archivo de contraseñas: /etc/passwd. En las comparaciones sólo se utilizan contraseñas cifradas.

El archivo de contraseñas no debe contener ningún campo vacío ni nulo. Si lo hubiere, se dejaría un resquicio a que se produjera una vulneración de la seguridad, porque cualquier usuario puede definir la contraseña para una cuenta con un campo vacío o nulo antes de la primera inicialización.

No modifique directamente el archivo de contraseñas. Utilice el SAM o los comandos useradd, userdel o usermod para modificar las entradas de los archivos de contraseñas.

El archivo /etc/passwd

El archivo /etc/passwd se utiliza para autenticar a un usuario en el momento de iniciar una sesión en un sistema HP-UX estándar. Dicho archivo contiene una entrada para cada cuenta del sistema HP-UX. Cada entrada consta de siete campos separados por el signo ortográfico de dos puntos; consulte la página de manual de passwd(4). Una entrada típica del archivo /etc/passwd presenta este aspecto:

robin:Z.yxGaSvxAXGg:102:99:Robin Hood,Rm 3,x9876,408-555-1234:/home/robin:/usr/bin/sh

Los campos contienen los siguientes datos (enumerados en orden de aparición) separados por dos puntos:

El nombre de usuario (inicio de sesión), que consta de un máximo de ocho caracteres. (En el ejemplo: robin)
El campo de contraseña cifrada. (Z.yxGaSvxAXGg)
El número de identificación de usuario (uid), un número entero que varía entre 0 y MAXINT-1 (igual a 2.147.483.646 o 2³¹ -2). (102)
La identificación de grupo (gid), un número entero guardado en el archivo /etc/group que varía entre 0 y MAXINT-1. (99)
El campo de comentario, que se utiliza para escribir información de identificación, como el nombre completo del usuario, la ubicación y los números de teléfono. Por motivos históricos, este campo también se llama gecos. (Robin Hood,Rm 3,x9876,408-555-1234)
El directorio inicial, es decir, el directorio de inicio de sesión original del usuario. (/home/robin)
El nombre de ruta del shell de inicio de sesión, que se ejecuta cuando el usuario inicia una sesión. (/usr/bin/sh)

El usuario puede cambiar la contraseña al llamar al comando passwd, el campo de comentario (el quinto campo) con el comando chfn y el nombre de ruta del programa de inicio de sesión (el séptimo campo) con el comando chsh. El administrador del sistema configura el resto de los campos. El número de identificación de usuario (uid) debe ser único. Consulte las páginas de manual de chfn(1), chsh(1), passwd(1) y passwd(4).

Eliminación de las seudocuentas y protección de los subsistemas clave

Por tradición, el archivo /etc/passwd contiene muchas «seudocuentas»: entradas que no están asociadas a usuarios individuales y que no tienen auténticos shells de inicio de sesión interactivo.

Algunas de dichas entradas, por ejemplo, date, who, sync y tty, se han desarrollado sólo para ofrecer mayor comodidad al usuario, ya que presentan comandos que se pueden ejecutar sin iniciar una sesión. Al efecto de fortalecer la seguridad, estas entradas se han eliminado del archivo /etc/passwd distribuido para que estos programas sólo los pueda ejecutar un usuario que haya iniciado una sesión.

El archivo /etc/passwd contiene otras entradas de este tipo porque se corresponden con procesos que son propietarios de archivos. Los programas con propietarios como adm, bin, daemon, hpdb, lp y uucp abarcan subsistemas completos y constituyen un caso especial. Puesto que estos programas conceden acceso a los archivos que protegen o utilizan, debe permitirse que funcionen como seudocuentas con entradas registradas en el archivo /etc/passwd. Las seudocuentas y las cuentas especiales acostumbradas se relacionan en la Figura 8-1, «Seudocuentas y cuentas especiales del sistema».

Figura 8-1 Seudocuentas y cuentas especiales del sistema

root::0:3::/:/sbin/sh
daemon:*:1:5::/:/sbin/sh
bin:*:2:2::/usr/bin:/sbin/sh
sys:*:3:3::/:
adm:*:4:4::/var/adm:/sbin/sh
uucp:*:5:3::/var/spool/uucppublic:/usr/lbin/uucp/uucico
lp:*:9:7::/var/spool/lp:/sbin/sh
nuucp:*:11:11::/var/spool/uucppublic:/usr/lbin/uucp/uucico
hpdb:*:27:1:ALLBASE:/:/sbin/sh
nobody:*:-2:-2::/:

La clave del estado privilegiado de estos subsistemas es la capacidad que tienen para conceder acceso a los programas que están a su cargo, sin otorgar acceso al directorio raíz (uid 0). En su lugar, se define el bit de setuid del archivo ejecutable y el usuario efectivo del proceso se corresponde con el propietario del archivo ejecutable. Por ejemplo, el comando cancel forma parte del subsistema lp y se ejecuta como el usuario efectivo lp.

Una vez definido el bit de setuid, la seguridad del subsistema asociado media para imponer la seguridad de todos los programas que abarque dicho subsistema, no el sistema completo. Por tanto, la vulnerabilidad del subsistema a una infracción de la seguridad también se limita sólo a los archivos del subsistema. Las infracciones de seguridad no pueden afectar a los programas de otros subsistemas. Por ejemplo, los programas de lp no afectan a los programas de daemon.

Acceso al sistema mediante módem

Para proteger el sistema contra el acceso a través de un módem, adopte las siguientes medidas de precaución:

Exija el uso de un sistema de marcación de retorno con equipo físico para todos los módems interactivos.
Exija una contraseña adicional a los usuarios de módem; para ello, agregue una entrada para el dispositivo de módem en el archivo /etc/dialups y, de forma opcional, en el archivo /etc/d_passwd.
Exija a los usuarios que renueven con frecuencia las cuentas de marcación de entrada.
Cancele rápidamente el acceso al sistema cuando un usuario deje de trabajar para la empresa.
Establezca un programa de auditoría cabal para revisar el uso remoto.
Conecte los módems y el equipo de marcación de retorno en un solo sistema HP-UX y deje que los servicios de red lleguen al sistema de destino desde este punto.
Deben hacerse excepciones con la marcación de retorno en el caso del acceso UUCP (Unix-to-Unix Copy Protocol). Se pueden establecer restricciones adicionales mediante la configuración apropiada del protocolo UCCP. Otra excepción posible es la transferencia de archivos mediante el comando kermit. Consulte la página de manual de kermit(1).
Si se produce una infracción de la seguridad debido a factores desconocidos, cierre el acceso tanto a través de la red como del teléfono e informe al administrador de la red.
Para potenciar la seguridad cuando se configure un sistema de módem de marcación de retorno, dedique el mecanismo de marcación de salida sólo a la función de marcación de salida. Dicho mecanismo no debe configurarse para aceptar operaciones de marcación de entrada. Utilice otro módem conectado a otra línea de teléfono para el servicio de marcación de entrada.

Protección de los programas contra la ejecución ilícita

A partir de HP-UX 11i, un nuevo parámetro del kernel, executable_stack, permite impedir que un programa ejecute el código de su pila. Esto salvaguarda el sistema contra la transmisión por parte de un intruso de datos no válidos a un programa, lo que haría que el programa ejecutara un código arbitrario desde su pila de programa.

Por defecto, a efectos de compatibilidad retroactiva, el parámetro executable_stack se define en 1, lo que permite la ejecución de la pila. Para cambiar el valor a 0, lo que impide la ejecución de la pila, puede utilizar el SAM.

Si un programa no necesita ejecutar su pila, puede utilizar el comando

chatr +es enable programa

para permitir la ejecución de la pila. Para obtener más detalles, consulte la página de manual de chatr(1).