Agujeros de seguridad Parte 1

Agujeros de seguridad se manifiestan (en general) en cuatro modos....

1. Agujeros de seguridad fisicos
   Cuando el problema potencial esta causado debido al hecho de dar a personas sin autorizacion acceso fisico a la maquina, cuando esto les permitira realizar cosas que no deberian ser capaces de hacer.Un buen ejemplo de esto podria ser una sala publica con estaciones de trabajo donde seria facilisimo para un usuario el reinicializar una maquina en modo mono-ususario y trastear con los archivos de la estacion de trabajo, si no se tomasen precauciones.Otro ejemplo de esto es la necesidad de restringir el acceso a cintas backup confidenciales, que de otro modo podrian ser leidas por cualquier usuario con acceso a las cintas y con una unidad de cinta, independientemente de si tuvieran o no permiso.
2. Agujeros de seguridad en el software
   Cuando el problema esta causado por una mala escritura de partes "privilegiadas" de software (daemons, cronjobs) que pueden estar comprometidos a realizar tareas que no deberian.El ejemplo mas famoso de esto es el bug del sendmail (ver bibliografia) que podia permitir a un cracker el pillar una shell root. Esto podria ser usado para borrar archivos, crear nuevas cuentas, copiar el fichero de passwords, cualquier cosa. (Contrariamente a lo que la gente piensa, los ataques via sendmail no estaban solo restringidos al infame "Gusano de Internet" (Internet Worm) - cualquier cracker podia hacer esto Telneteando al puerto 25 de la victima. La historia detras de un agujero similar (esta vez en el software "move-mail" de EMACS) se describe en [Stoll].) Nuevos agujeros como este aparecen todo el tiempo, y tus mejores esperanzas son:
   
   • tratar de estructurar tu sistema de forma que el menor software posible con privilegios root/daemon/bin corra en tu maquina, y que el que lo haga sepamos que sea robusto.
   • suscribirse a una lista de mail para poder tener lo antes posible informacion con detalles acerca de problemas y/o parches, y actuar en cuanto la tengas. From: Wes Morgan morgan@edu.uky.ms
   • Cuando instales/actualices un sistema dado, trata de instalar/habilitar solo aquellos paquetes de software por los que tengas una necesidad inmediata o previsible. Muchos paquetes incluyen daemons o utilidades que pueden revelar informacion a extraños. Por ejemplo, el paquete de contabilidad del Unix System V de AT&T incluye acctcom(1), que podria permitir (por omision) a cualquier ususario el revisar los datos de las cuentas diarias de cualquier otro usuario. >>Muchos paquetes TCP/IP instalan/cargan automaticamente programas tales como rwhod, fingerd, y (ocasionalmente) tftpd, pudiendo todos presentar problemas de seguridad.Una administracion del sistema cuidadosa es la solucion. Muchos de estos programas son inicializados/iniciados en el arranque; desearas cambiar tus scripts de arranque (normalmente en los directorios /etc, /etc/rc, /etc/rcX.d) para prevenir su ejecucion. Desearas eliminar algunas utilidades completamente. Para algunas utilidades, un simple chmod(1) puede prevenir el acceso de usuarios no autorizados. Resumiendo, NO CONFIES EN LOS SCRIPTS/PROGRAMAS DE INSTALACION! Tales facilidades tienden a instalar/cargar todo lo que hay en el paquete sin preguntartelo. Muchos manuales de instalacion incluyen listas de "los programas incluidos en este paquete"; asegurate de revisarlo.
3. Agujeros de seguridad de uso incompatible
   Cuando, a traves de la falta de experiencia, o no por fallo suyo, el administrador del sistema reune una combinacion de hardware y software y esta es usada como un sistema, estara seriamente dañado desde el punto de vista de la seguridad. Es la incompatibilidad de intentar hacer dos inconexos pero utiles actos lo que crea agujeros de seguridad.Problemas como este son muy dificiles de encontrar una vez que el sistema esta creado y funcionando, asi que es mejor el crear el sistema con ellos en mente(fallos). Aunque nunca es tarde para volver a pensarlo.Algunos ejemplos estan detallados abajo; no entremos en ellos aquí, ya que estropearia la sorpresa.
4. Elegir una filosofia de seguridad adecuada y mantenerla
   From: Gene Spafford spaf@cs.purdue.edu El cuarto tipo de problema de seguridad es el de la percepcion y el entendimiento. Software perfecto, hardware protegido, y componentes compatibles no funcionan a menos que hayas elegido una politica de seguridad correcta y que hayas puesto en marcha las partes de tu sistema que la refuercen. Tener el mejor mecanismo de password del mundo es inutil si tus usuarios creen que la ultima parte del nombre de su login es un buen password! La seguridad esta relacionada con una politica (o conjunto de politicas/normas) y el funcionamiento de tu sistema conforme a dicha politica