Please enable JavaScript.

Coggle requires JavaScript to display documents.

Usuarios y Recursos - Coggle Diagram

- - - - Toda está información se organiza en una base de datos, tratándose del fichero plano /etc/passwd (debiendo de ser editada con vipw)
        
        Cada entrada corresponde a un usuario y presenta el siguiente formato:
        
        username:x:UID:GID:user-information:home-directory:login-shell
        
        Username: nombre por el que se conoce al usuario en el sistema y con el que accede al mismo.
        
        X: Campo de contraseña cifrada del usuario, (aunque se recomienda guardarla en el archivo /etc/shadow) en este caso vacía, peligrando la seguridad del sistema
        
        UID: Nº de identificación de usuario, siendo por debajo de 500 cuentas del sistema, siendo root 0, se aconseja que el UID del usuario en cada máquina sea único para evitar errores al compartir archivos
        
        GID: Identificador del grupo asociado al usuario
        
        USER-INFORMATION: Información del usuario, tal como nombre completo, dirección, etc.., pudiendo cambiarse con el comando chfn
        
        HOME-DIRECTORY: Directorio por defecto del usuario, siendo el punto de acceso, pudiendo gestionarse a través de un servidor de datos, cuando hay múltiples usuarios, montándose en /home/username (directorio "/" raíz por defecto)
        
        LOGIN-SHELL: Programa que será el intérprete de comandos para el usuario, automáticamente al acceder al sistema, puede cambiar con el comando chsh, siendo /etc/shells donde residen dichos programas
  - - - username:encoded-password:changed:minlife:maxlife:warn:inactive:expires:unused
        
        username: El que aperece en /etc/passwd
        
        encoded-password: Incluye 3 subcampos "$", 1º el tipo de codificación, 2º la palabra aleatoria "salt" al crear o modificar el password, 3º es la unión del salt con la clave introducida, si la pasword junto con la clave, cifradas es igual a la almacenada se permite el acceso
        
        changed: Último fecha de modificación del password, en días desde el 1 de enero de 1970
        
        minlife: Nº de días mínimos que deben transcurrir para que el usuario pueda cambiar su contraseña (0 significa no hay mínimo)
        
        maxlife: Nº de días en el que se puede mantener la misma contraseña, (si no está definido 9999)
        
        warn: Días anteriores a su caducidad en el que se avisará dicho evento
        
        inactive: Días que se puede seguir usando la password después de su caducidad, antes de ser la cuenta bloqueada.
        
        expires:Fecha desde 1 de enero de 1970, en la que la cuenta será deshabilitada, usada para trabajadores temporales, estudiantes, etc...
        
        unused: Reservado para usos futuros, se suele dejar en blanco
        
        Recomendación: Dejar un tiempo adicional antes de eliminar una cuenta de usuario, para posible futuro uso, usando "*" o "!" como primer carácter de password puesto que no se cifran y no se podría acceder a la cuenta o también podemos cambiar su maxlife no pudiendo acceder a ella.
  - - - Dichos grupos se almacenan /etc/group
        
        group-name:x:GID:additional-users
        
        group-name: es el nombre que identifica al grupo.
        
        encoded-pasword: se almacena en un fichero root /etc/gshadow, apareciendo una x
        
        group-name:encoded-password:group-admins:additional-users
        
        group name: nombre con que se identifica al grupo
        
        encoded-password: contraseña del grupo, se puede convertir en el grupo primario, si se conoce la contraseña y se usa newgrp
        
        group-admins: usuarios que pueden gestionar dicho grupo (gpasswd), no tienen porque ser miembros
        
        additional-users:lo mismo que en /etc/group
        
        GID: Identificador entero, para el grupo
        
        additional-users: Integrantes del grupo, su username, separados por comas, sin espacio
        
        Un usuario solo puede tener un grupo primario (estando declarado ene /etc/passwd), pero puede tener varios grupos suplementarios
  - - - PID (identificador)
      - prioridad de planificación (nice number)
      - terminal asociado (TTY)
      - Identificador real del usuario (RUID)
        
        UID del usuario que inicia el proceso (almacenado en los atributos del proceso)
      - Identificador efectivo del usuario (EUID)
        
        Para comprobar si el proceso tiene acceso a ese recurso y como, aunque en la mayoría de los casos el RUID y EUID coinciden, dependiendo al final de cual es el usuario
        
        Si EUID=0 (root), puedes acceder a cualquier recurso libremente , al tener privilegios
      - El GID real (RGID), es el identificador del grupo primario del usuario que inicia el proceso
      - El (EGID), sirve para acceder a los recursos, tanto EGID Y RGID en la mayoría de los casos coinciden
      - Guarda una lista de los GID's de grupos suplementarios, por si tiene acceso a un recurso por estar en dichos grupos
  - - - En general un archivo pertenece al usuario creador y el grupo propietario es el grupo primario de este
        
        Se modifican dichos propietarios con chown y chrgp
        
        -Solo modificando el usuario con root
        -Solo modificando el grupo con root o usuario propietario, este último solo puede cambiar a otro grupo en el que esté
  - - - "-": Texto normal, script,ejecutable,etc...
        "d": Directorio
        "l": Enlace a otro archivo
        "p": Tubería que permite a dos procesos independientes comunicarse entre sí
        "s": Socket que permite conexiones entre dos procesos
        "b": Archivo especial asociado a un dispositivo de bloques como disco duro,dvd,etc...
        "c": Archivo especial asociado a un dispositivo carácter, donde se leen/escriben datos al ser recibidos (ratón,terminal,etc...)
  - - - "r": Ver los contenidos (fichero y directorio(ls))
        "w": Modificar contenido (fichero y directorio)
        "x": Ejecutar archivos o entrar al directorio (cd)
        
        Se separan los modos de los campos, usuario propietario, grupo propietario y otros respectivamente con rwx
  - - - setUID
        
        El EUID será distinto al RUID, coincidiendo con el UID del usuario propietario del ejecutable
        
        Acceso a recursos que serían ajenos
        
        Ocupan los permisos de ejecución del usuario o grupo propietario (s activo, x inactivo)
      - setGID
        
        El EGID será distinto al RGID, coincidiendo con el GID del grupo propietario del ejecutable
    - - Sticky bit (t)
        
        El propietario de un archivo solo puede borrarlo (T inactiva x)
        
        Si es un directorio afectará a los archivos dentro de este
      - setGID (s)
        
        Todos los archivos dentro tendrán el mismo grupo propietario que el directorio
  - - - getfacl
        
        Proporciona las ACEs de un archivo, devolviendo los mismos en el formato ACL
        
        Dichas entradas, pueden referenciar a un user, group, others, siendo su formato:
        
        user:<username/uid>:<permisos>
        group:<groupname/gid>:<permisos>
        other::<permisos
        (d:u/g/o significa default, se aplica dentro del directorio)
        
        Si el medio está vacío suponemos que es el propietario
        
        Puede aparecer mask
        
        Indica los permisos máximos de grupos y usuarios sin incluir el usuario propietario y los "otros"
        
        1 more item...
      - setfacl
        
        Especificamos nuevas entradas
  - - - Evitando un uso discrecional de la seguridad con los recursos de los usuarios
        
        Comprobando que hay reglas que permiten al usuario interactuar con sus esos recursos
- - - - Password
        
        Inconvenientes
        
        Todo el sistema está en riesgo, por la robustez de esta
        
        Todos los admins usan la misma cuenta
        
        No quedan grabadas las acciones cometidas, por lo que no se puede averiguar la causa de un error
      - Comando "sudo"
        
        Toma como argumento, el contenido del que se quiere ejercer como root
        
        Consulta el fichero /etc/sudoers, para ver
        
        Los usuarios que están validados para su respectivo comando
        
        Los comandos permitidos en la máquina
        
        Sudoers se edita con el comando "visudo"
        
        "visudo" comprueba si la sintaxis es correcta y guarda una copia de la versión anterior
        
        Configuración de sudoers
        
        -Las rutas a los comandos deberían ser absolutas
        -Tener cuidado que dichos comandos no posibilitan usar la shell a través de un proceso hijo
        -Peligro al no saber con certeza el resultado de ejecutar comandos como root
        
        Tiene un registro de los comandos usados y su respectiva información
        
        Gestionado por el admin en un archivo o el demonio "syslog" gestiona los mensajes de los procesos no pertencientes al kernel
        
        Se puede configurar "syslog" para que envie el registro a un servidor central seguro
        
        Pudiendo averiguar quién y que fue la causante de un incidente grave
      - su
        
        Los usuarios tienen capacidad para algunas tareas de root, teniendo un mayor control sobre la seguridad
        
        Se guarda un registro, de quién accedió y cuando a root en un fichero log
        
        Al acceder se cambia al directorio home de root
        
        Usar rutas absolutas, ya que programas maliciosos pueden llamarse igual