seguridad en unix y redes

696 Pages·2003·2.82 MB·Spanish

SEGURIDAD EN UNIX Y
REDES
Versi´on 2.1
Antonio Villalo´n Huerta
Julio, 2002
ii
i
Copyright (cid:13)c 2000,2002 Antonio Villalo´n Huerta.
Permission is granted to copy, distribute and/or modify this do-
cument under the terms of the GNU Free Documentation License,
Version 1.1 or any later version published by the Free Software
Foundation; with the Invariant Sections being ‘Notas del Autor’
and ‘Conclusiones’, with no Front-Cover Texts, and with no Back-
CoverTexts. Acopyofthelicenseisincludedinthesectionentitled
‘GNU Free Documentation License’.
ii
´
Indice General
Notas del autor 1
1 Introducci´on y conceptos previos 1
1.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.2 Justificacio´n y objetivos . . . . . . . . . . . . . . . . . . . . . . . 2
1.3 ¿Qu´e es seguridad? . . . . . . . . . . . . . . . . . . . . . . . . . . 4
1.4 ¿Qu´e queremos proteger? . . . . . . . . . . . . . . . . . . . . . . 5
1.5 ¿De qu´e nos queremos proteger? . . . . . . . . . . . . . . . . . . 6
1.5.1 Personas . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
1.5.2 Amenazas l´ogicas . . . . . . . . . . . . . . . . . . . . . . . 10
1.5.3 Cat´astrofes . . . . . . . . . . . . . . . . . . . . . . . . . . 14
1.6 ¿C´omo nos podemos proteger? . . . . . . . . . . . . . . . . . . . 15
1.7 Redes ‘normales’ . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
1.7.1 Redes de I+D . . . . . . . . . . . . . . . . . . . . . . . . . 19
1.7.2 Empresas . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
1.7.3 ISPs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
1.8 ¿Seguridad en Unix? . . . . . . . . . . . . . . . . . . . . . . . . . 24
I Seguridad del entorno de operaciones 27
2 Seguridad f´ısica de los sistemas 29
2.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
2.2 Protecci´on del hardware . . . . . . . . . . . . . . . . . . . . . . . 30
2.2.1 Acceso f´ısico . . . . . . . . . . . . . . . . . . . . . . . . . 31
2.2.2 Desastres naturales . . . . . . . . . . . . . . . . . . . . . . 33
2.2.3 Desastres del entorno . . . . . . . . . . . . . . . . . . . . 37
2.3 Protecci´on de los datos . . . . . . . . . . . . . . . . . . . . . . . . 41
2.3.1 Eavesdropping . . . . . . . . . . . . . . . . . . . . . . . . 41
2.3.2 Backups . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
2.3.3 Otros elementos . . . . . . . . . . . . . . . . . . . . . . . 44
2.4 Radiaciones electromagn´eticas . . . . . . . . . . . . . . . . . . . . 45
iii
iv ´INDICE GENERAL
3 Administradores, usuarios y personal 49
3.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
3.2 Ataques potenciales . . . . . . . . . . . . . . . . . . . . . . . . . 50
3.2.1 Ingenier´ıa social . . . . . . . . . . . . . . . . . . . . . . . 50
3.2.2 Shoulder Surfing . . . . . . . . . . . . . . . . . . . . . . . 51
3.2.3 Masquerading . . . . . . . . . . . . . . . . . . . . . . . . . 52
3.2.4 Basureo . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53
3.2.5 Actos delictivos . . . . . . . . . . . . . . . . . . . . . . . . 54
3.3 ¿Qu´e hacer ante estos problemas?. . . . . . . . . . . . . . . . . . 56
3.4 El atacante interno . . . . . . . . . . . . . . . . . . . . . . . . . . 57
II Seguridad del sistema 61
4 El sistema de ficheros 63
4.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
4.2 Sistemas de ficheros . . . . . . . . . . . . . . . . . . . . . . . . . 64
4.3 Permisos de un archivo . . . . . . . . . . . . . . . . . . . . . . . . 68
4.4 Los bits suid, sgid y sticky . . . . . . . . . . . . . . . . . . . . . 72
4.5 Atributos de un archivo . . . . . . . . . . . . . . . . . . . . . . . 76
4.6 Listas de control de acceso: ACLs. . . . . . . . . . . . . . . . . . 78
4.7 Recuperaci´on de datos . . . . . . . . . . . . . . . . . . . . . . . . 83
4.8 Almacenamiento seguro . . . . . . . . . . . . . . . . . . . . . . . 84
4.8.1 La orden crypt(1) . . . . . . . . . . . . . . . . . . . . . . 84
4.8.2 PGP: Pretty Good Privacy. . . . . . . . . . . . . . . . . . 85
4.8.3 TCFS: Transparent Cryptographic File System . . . . . . 87
4.8.4 Otros m´etodos de almacenamiento seguro . . . . . . . . . 88
5 Programas seguros, inseguros y nocivos 91
5.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
5.2 La base fiable de c´omputo . . . . . . . . . . . . . . . . . . . . . . 92
5.3 Errores en los programas. . . . . . . . . . . . . . . . . . . . . . . 93
5.3.1 Buffer overflows. . . . . . . . . . . . . . . . . . . . . . . . 94
5.3.2 Condiciones de carrera . . . . . . . . . . . . . . . . . . . . 95
5.4 Fauna y otras amenazas . . . . . . . . . . . . . . . . . . . . . . . 96
5.4.1 Virus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 98
5.4.2 Gusanos . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99
5.4.3 Conejos . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101
5.4.4 Caballos de Troya . . . . . . . . . . . . . . . . . . . . . . 101
5.4.5 Applets hostiles . . . . . . . . . . . . . . . . . . . . . . . . 104
5.4.6 Bombas l´ogicas . . . . . . . . . . . . . . . . . . . . . . . . 105
5.4.7 Canales ocultos . . . . . . . . . . . . . . . . . . . . . . . . 105
5.4.8 Puertas traseras . . . . . . . . . . . . . . . . . . . . . . . 107
5.4.9 Superzapping . . . . . . . . . . . . . . . . . . . . . . . . . 108
5.4.10 Programas salami . . . . . . . . . . . . . . . . . . . . . . 109
5.5 Programacio´n segura . . . . . . . . . . . . . . . . . . . . . . . . . 110
´INDICE GENERAL v
6 Auditor´ıa del sistema 121
6.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 121
6.2 El sistema de log en Unix . . . . . . . . . . . . . . . . . . . . . . 122
6.3 El demonio syslogd . . . . . . . . . . . . . . . . . . . . . . . . . 123
6.4 Algunos archivos de log . . . . . . . . . . . . . . . . . . . . . . . 127
6.4.1 syslog . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127
6.4.2 messages . . . . . . . . . . . . . . . . . . . . . . . . . . . 128
6.4.3 wtmp . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130
6.4.4 utmp . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130
6.4.5 lastlog . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131
6.4.6 faillog . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131
6.4.7 loginlog . . . . . . . . . . . . . . . . . . . . . . . . . . . 131
6.4.8 btmp . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 132
6.4.9 sulog . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 132
6.4.10 debug . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 133
6.5 Logs remotos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 133
6.6 Registros f´ısicos . . . . . . . . . . . . . . . . . . . . . . . . . . . . 136
7 Copias de seguridad 139
7.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 139
7.2 Dispositivos de almacenamiento . . . . . . . . . . . . . . . . . . . 140
7.3 Algunas ´ordenes para realizar copias de seguridad. . . . . . . . . 145
7.3.1 dump/restore . . . . . . . . . . . . . . . . . . . . . . . . 145
7.3.2 La orden tar . . . . . . . . . . . . . . . . . . . . . . . . . 150
7.3.3 La orden cpio . . . . . . . . . . . . . . . . . . . . . . . . 152
7.3.4 Backups sobre CD-ROM . . . . . . . . . . . . . . . . . . . 154
7.4 Pol´ıticas de copias de seguridad . . . . . . . . . . . . . . . . . . . 155
8 Autenticaci´on de usuarios 161
8.1 Introducci´on y conceptos ba´sicos . . . . . . . . . . . . . . . . . . 161
8.2 Sistemas basados en algo conocido: contrasen˜as . . . . . . . . . . 162
8.3 Sistemas basados en algo pose´ıdo: tarjetas inteligentes . . . . . . 163
8.4 Sistemas de autenticaci´on biom´etrica . . . . . . . . . . . . . . . . 165
8.4.1 Verificaci´on de voz . . . . . . . . . . . . . . . . . . . . . . 168
8.4.2 Verificaci´on de escritura . . . . . . . . . . . . . . . . . . . 169
8.4.3 Verificaci´on de huellas . . . . . . . . . . . . . . . . . . . . 170
8.4.4 Verificaci´on de patrones oculares . . . . . . . . . . . . . . 172
8.4.5 Verificaci´on de la geometr´ıa de la mano . . . . . . . . . . 175
8.5 Autenticaci´on de usuarios en Unix . . . . . . . . . . . . . . . . . 175
8.5.1 Autenticaci´on cl´asica . . . . . . . . . . . . . . . . . . . . . 175
8.5.2 Mejora de la seguridad . . . . . . . . . . . . . . . . . . . . 177
8.6 PAM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 184
vi ´INDICE GENERAL
III Algunos sistemas Unix 189
9 Solaris 191
9.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 191
9.2 Seguridad f´ısica en SPARC . . . . . . . . . . . . . . . . . . . . . 192
9.3 Servicios de red . . . . . . . . . . . . . . . . . . . . . . . . . . . . 195
9.4 Usuarios y accesos al sistema . . . . . . . . . . . . . . . . . . . . 196
9.5 El sistema de parcheado . . . . . . . . . . . . . . . . . . . . . . . 202
9.6 Extensiones de la seguridad . . . . . . . . . . . . . . . . . . . . . 206
9.6.1 aset . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 206
9.6.2 jass . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 208
9.6.3 sfpdb . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 210
9.7 El subsistema de red . . . . . . . . . . . . . . . . . . . . . . . . . 212
9.8 Para´metros del nu´cleo . . . . . . . . . . . . . . . . . . . . . . . . 216
10 Linux 219
10.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 219
10.2 Seguridad f´ısica en x86 . . . . . . . . . . . . . . . . . . . . . . . . 221
10.3 Usuarios y accesos al sistema . . . . . . . . . . . . . . . . . . . . 224
10.4 El sistema de parcheado . . . . . . . . . . . . . . . . . . . . . . . 231
10.5 El subsistema de red . . . . . . . . . . . . . . . . . . . . . . . . . 234
10.6 El nu´cleo de Linux . . . . . . . . . . . . . . . . . . . . . . . . . . 236
10.6.1 Opciones de compilaci´on . . . . . . . . . . . . . . . . . . . 236
10.6.2 Dispositivos . . . . . . . . . . . . . . . . . . . . . . . . . . 237
10.6.3 Algunas mejoras de la seguridad . . . . . . . . . . . . . . 238
11 AIX 243
11.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 243
11.2 Seguridad f´ısica en RS/6000 . . . . . . . . . . . . . . . . . . . . . 244
11.3 Servicios de red . . . . . . . . . . . . . . . . . . . . . . . . . . . . 245
11.4 Usuarios y accesos al sistema . . . . . . . . . . . . . . . . . . . . 249
11.4.1 El fichero /etc/security/.ids . . . . . . . . . . . . . . . 250
11.4.2 El fichero /etc/security/passwd . . . . . . . . . . . . . 250
11.4.3 El fichero /etc/security/failedlogin . . . . . . . . . . 251
11.4.4 El fichero /etc/security/lastlog. . . . . . . . . . . . . 251
11.4.5 El fichero /etc/security/limits . . . . . . . . . . . . . 252
11.4.6 El fichero /etc/security/login.cfg . . . . . . . . . . . 254
11.4.7 El fichero /etc/security/user . . . . . . . . . . . . . . . 256
11.4.8 El fichero /etc/security/group . . . . . . . . . . . . . . 261
11.5 El sistema de log . . . . . . . . . . . . . . . . . . . . . . . . . . . 262
11.6 El sistema de parcheado . . . . . . . . . . . . . . . . . . . . . . . 266
11.7 Extensiones de la seguridad: filtros IP . . . . . . . . . . . . . . . 268
11.8 El subsistema de red . . . . . . . . . . . . . . . . . . . . . . . . . 272
´INDICE GENERAL vii
12 HP-UX 277
12.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 277
12.2 Seguridad f´ısica en PA–RISC . . . . . . . . . . . . . . . . . . . . 278
12.3 Usuarios y accesos al sistema . . . . . . . . . . . . . . . . . . . . 279
12.4 El sistema de parcheado . . . . . . . . . . . . . . . . . . . . . . . 283
12.5 Extensiones de la seguridad . . . . . . . . . . . . . . . . . . . . . 286
12.5.1 Product Description Files . . . . . . . . . . . . . . . . . . 286
12.5.2 inetd.sec(4) . . . . . . . . . . . . . . . . . . . . . . . . 289
12.6 El subsistema de red . . . . . . . . . . . . . . . . . . . . . . . . . 291
12.7 El nu´cleo de HP-UX . . . . . . . . . . . . . . . . . . . . . . . . . 294
IV Seguridad de la subred 297
13 El sistema de red 299
13.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 299
13.2 Algunos ficheros importantes . . . . . . . . . . . . . . . . . . . . 299
13.2.1 El fichero /etc/hosts . . . . . . . . . . . . . . . . . . . . 299
13.2.2 El archivo /etc/ethers . . . . . . . . . . . . . . . . . . . 300
13.2.3 El fichero /etc/networks . . . . . . . . . . . . . . . . . . 300
13.2.4 El fichero /etc/services . . . . . . . . . . . . . . . . . . 301
13.2.5 El fichero /etc/protocols . . . . . . . . . . . . . . . . . 301
13.2.6 El fichero /etc/hosts.equiv . . . . . . . . . . . . . . . . 302
13.2.7 El fichero .netrc . . . . . . . . . . . . . . . . . . . . . . . 303
13.2.8 El fichero /etc/inetd.conf . . . . . . . . . . . . . . . . . 304
13.3 Algunas ´ordenes importantes . . . . . . . . . . . . . . . . . . . . 306
13.3.1 La orden ifconfig . . . . . . . . . . . . . . . . . . . . . . 306
13.3.2 La orden route . . . . . . . . . . . . . . . . . . . . . . . . 307
13.3.3 La orden netstat . . . . . . . . . . . . . . . . . . . . . . 308
13.3.4 La orden ping . . . . . . . . . . . . . . . . . . . . . . . . 310
13.3.5 La orden traceroute . . . . . . . . . . . . . . . . . . . . 312
13.4 Servicios . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 313
14 Algunos servicios y protocolos 317
14.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 317
14.2 Servicios b´asicos de red . . . . . . . . . . . . . . . . . . . . . . . 318
14.2.1 systat . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 319
14.2.2 daytime . . . . . . . . . . . . . . . . . . . . . . . . . . . . 319
14.2.3 netstat. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 320
14.2.4 chargen . . . . . . . . . . . . . . . . . . . . . . . . . . . . 321
14.2.5 tftp . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 321
14.2.6 finger . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 322
14.2.7 POP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 323
14.2.8 auth . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 324
14.2.9 NNTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 325
14.2.10NTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 326
viii ´INDICE GENERAL
14.2.11UUCP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 326
14.3 El servicio FTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . 327
14.3.1 FTP ano´nimo . . . . . . . . . . . . . . . . . . . . . . . . . 328
14.3.2 FTP invitado . . . . . . . . . . . . . . . . . . . . . . . . . 335
14.4 El servicio TELNET . . . . . . . . . . . . . . . . . . . . . . . . . 338
14.5 El servicio SMTP . . . . . . . . . . . . . . . . . . . . . . . . . . . 341
14.6 Servidores WWW . . . . . . . . . . . . . . . . . . . . . . . . . . 343
14.7 Los servicios r-∗. . . . . . . . . . . . . . . . . . . . . . . . . . . . 345
14.8 XWindow . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 348
14.8.1 Autenticaci´on por m´aquina . . . . . . . . . . . . . . . . . 349
14.8.2 Autenticaci´on por testigo . . . . . . . . . . . . . . . . . . 351
15 Cortafuegos: Conceptos te´oricos 353
15.1 Introducci´on. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 353
15.2 Caracter´ısticas de disen˜o . . . . . . . . . . . . . . . . . . . . . . . 356
15.3 Componentes de un cortafuegos . . . . . . . . . . . . . . . . . . . 358
15.3.1 Filtrado de paquetes . . . . . . . . . . . . . . . . . . . . . 358
15.3.2 Proxy de aplicaci´on . . . . . . . . . . . . . . . . . . . . . 360
15.3.3 Monitorizacio´n de la actividad . . . . . . . . . . . . . . . 361
15.4 Arquitecturas de cortafuegos . . . . . . . . . . . . . . . . . . . . 362
15.4.1 Cortafuegos de filtrado de paquetes. . . . . . . . . . . . . 362
15.4.2 Dual-Homed Host . . . . . . . . . . . . . . . . . . . . . . 363
15.4.3 Screened Host. . . . . . . . . . . . . . . . . . . . . . . . . 364
15.4.4 Screened Subnet (DMZ) . . . . . . . . . . . . . . . . . . . 365
15.4.5 Otras arquitecturas. . . . . . . . . . . . . . . . . . . . . . 367
16 Cortafuegos: Casos de estudio 369
16.1 Firewall-1 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 369
16.1.1 Introducci´on . . . . . . . . . . . . . . . . . . . . . . . . . 369
16.1.2 Arquitectura . . . . . . . . . . . . . . . . . . . . . . . . . 370
16.1.3 Instalaci´on . . . . . . . . . . . . . . . . . . . . . . . . . . 371
16.1.4 Gesti´on . . . . . . . . . . . . . . . . . . . . . . . . . . . . 374
16.1.5 El sistema de log . . . . . . . . . . . . . . . . . . . . . . . 376
16.1.6 inspect . . . . . . . . . . . . . . . . . . . . . . . . . . . . 378
16.2 ipfwadm/ipchains/iptables . . . . . . . . . . . . . . . . . . . . 378
16.2.1 Introducci´on . . . . . . . . . . . . . . . . . . . . . . . . . 378
16.2.2 Arquitectura . . . . . . . . . . . . . . . . . . . . . . . . . 380
16.2.3 Gesti´on . . . . . . . . . . . . . . . . . . . . . . . . . . . . 381
16.2.4 El sistema de log . . . . . . . . . . . . . . . . . . . . . . . 384
16.3 IPFilter . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 385
16.3.1 Introducci´on . . . . . . . . . . . . . . . . . . . . . . . . . 385
16.3.2 Instalaci´on . . . . . . . . . . . . . . . . . . . . . . . . . . 386
16.3.3 Gesti´on . . . . . . . . . . . . . . . . . . . . . . . . . . . . 387
16.3.4 El sistema de log . . . . . . . . . . . . . . . . . . . . . . . 390
16.4 PIX Firewall . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 391
16.4.1 Introducci´on . . . . . . . . . . . . . . . . . . . . . . . . . 391