Protección de inicios de sesión y contraseñas

Puede limitar inicios de sesión remotos y solicitar a los usuarios que tengan contraseñas. También puede supervisar intentos de acceso fallidos y deshabilitar inicios de sesión temporalmente.

Cómo mostrar el estado de inicio de sesión de un usuario

Asuma el rol de administrador principal o conviértase en superusuario.
El rol de administrador principal incluye el perfil de administrador principal. Para crear el rol y asignarlo a un usuario, consulte el Capítulo 2, Trabajo con Solaris Management Console (tareas) de Guía de administración del sistema: administración básica.
Visualice el estado de inicio de sesión de un usuario mediante el comando logins.
```
# logins -x -l username
```
-x

Muestra un conjunto ampliado de información de estado de inicio de sesión.

-l nombre_usuario

Muestra el estado de inicio de sesión para el usuario especificado. La variable nombre_usuario es el nombre de inicio de sesión de un usuario. Varios nombres de inicio de sesión deben especificarse en una lista separada por comas.

El comando logins utiliza la base de datos de contraseñas adecuada para obtener el estado de inicio de sesión de un usuario. La base de datos puede ser el archivo /etc/passwd local o una base de datos de contraseñas para el servicio de nombres. Para obtener más información, consulte la página del comando man logins(1M).

Ejemplo 3-1 Visualización del estado de inicio de sesión de un usuario

En el ejemplo siguiente, se muestra el estado de inicio de sesión del usuario rimmer.

# logins -x -l rimmer
rimmer       500     staff           10   Annalee J. Rimmer
                     /export/home/rimmer
                     /bin/sh
                     PS 010103 10 7 -1

rimmer

Identifica el nombre de inicio de sesión del usuario.

500

Identifica el ID de usuario (UID).

staff

Identifica el grupo principal del usuario.

10

Identifica el ID de grupo (GID).

Annalee J. Rimmer

Identifica el comentario.

/export/home/rimmer

Identifica el directorio principal del usuario.

/bin/sh

Identifica el shell de inicio de sesión.

PS 010170 10 7 -1

Especifica la información de caducidad de las contraseñas:

Última fecha en la que se cambió la contraseña
Número de días que son necesarios entre los cambios
Número de días antes de que un cambio sea necesario
Período de advertencia

Cómo visualizar usuarios sin contraseñas

Asuma el rol de administrador principal o conviértase en superusuario.
El rol de administrador principal incluye el perfil de administrador principal. Para crear el rol y asignarlo a un usuario, consulte el Capítulo 2, Trabajo con Solaris Management Console (tareas) de Guía de administración del sistema: administración básica.
Visualice todos los usuarios que no tienen contraseñas con el comando logins.
```
# logins -p
```
La opción -p muestra una lista de usuarios que no tienen contraseñas. El comando logins utiliza la base de datos de contraseñas del sistema local, a menos que un servicio de nombres esté habilitado.

Ejemplo 3-2 Visualización de usuarios sin contraseñas

En el siguiente ejemplo, el usuario pmorph no tiene una contraseña.

# logins -p
pmorph          501     other           1       Polly Morph
#

Cómo deshabilitar temporalmente inicios de sesión de usuarios

Deshabilite temporalmente inicios de sesión de usuarios durante el cierre o el mantenimiento de rutina del sistema. Los inicios de sesión de superusuarios no se ven afectados. Para obtener más información, consulte la página del comando man nologin(4).

Asuma el rol de administrador principal o conviértase en superusuario.
El rol de administrador principal incluye el perfil de administrador principal. Para crear el rol y asignarlo a un usuario, consulte el Capítulo 2, Trabajo con Solaris Management Console (tareas) de Guía de administración del sistema: administración básica.
Cree el archivo /etc/nologin en un editor de texto.
```
# vi /etc/nologin
```
Incluya un mensaje sobre la disponibilidad del sistema.
Cierre y guarde el archivo.

Ejemplo 3-3 Deshabilitación de inicios de sesión de usuarios

En este ejemplo, se notifica a los usuarios que el sistema no está disponible.

# vi /etc/nologin
(Add system message here)
 
# cat /etc/nologin 
***No logins permitted.***

***The system will be unavailable until 12 noon.***

También puede llevar el sistema al nivel de ejecución 0, modo de un solo usuario, para deshabilitar inicios de sesión. Para obtener información sobre cómo llevar el sistema al modo de un solo usuario, consulte el Capítulo 10, Cierre de un sistema (tareas) de Guía de administración del sistema: administración básica.

Cómo supervisar intentos de inicio de sesión fallidos

Este procedimiento captura intentos de inicio de sesión fallidos de ventanas de terminales. Este procedimiento no captura inicios de sesión fallidos de un intento de inicio de sesión o CDE.

Asuma el rol de administrador principal o conviértase en superusuario.
El rol de administrador principal incluye el perfil de administrador principal. Para crear el rol y asignarlo a un usuario, consulte el Capítulo 2, Trabajo con Solaris Management Console (tareas) de Guía de administración del sistema: administración básica.
Cree el archivo loginlog en el directorio /var/adm.
```
# touch /var/adm/loginlog
```
Establezca permisos de lectura y escritura para el usuario root en el archivo loginlog.
```
# chmod 600 /var/adm/loginlog
```
Cambie la pertenencia de grupo a sys en el archivo loginlog.
```
# chgrp sys /var/adm/loginlog
```
Verifique que el registro funcione.
Por ejemplo, inicie sesión en el sistema cinco veces con la contraseña incorrecta. A continuación, visualice el archivo /var/adm/loginlog.
```
# more /var/adm/loginlog
jdoe:/dev/pts/2:Tue Nov  4 10:21:10 2010
jdoe:/dev/pts/2:Tue Nov  4 10:21:21 2010
jdoe:/dev/pts/2:Tue Nov  4 10:21:30 2010
jdoe:/dev/pts/2:Tue Nov  4 10:21:40 2010
jdoe:/dev/pts/2:Tue Nov  4 10:21:49 2010
#
```
El archivo loginlog contiene una entrada para cada intento fallido. Cada entrada contiene el nombre de inicio de sesión del usuario, el dispositivo TTY y la hora del intento fallido. Si una persona realiza menos de cinco intentos incorrectos, no se registran intentos fallidos.
Un archivo loginlog cada vez más grande puede indicar un intento de entrar ilegalmente al sistema del equipo. Por lo tanto, compruebe y borre el contenido de este archivo con regularidad. Para obtener más información, consulte la página del comando man loginlog(4).

Cómo supervisar todos los intentos de inicio de sesión fallidos

Este procedimiento captura en un archivo syslog todos los intentos de inicio de sesión fallidos.

Asuma el rol de administrador principal o conviértase en superusuario.
El rol de administrador principal incluye el perfil de administrador principal. Para crear el rol y asignarlo a un usuario, consulte el Capítulo 2, Trabajo con Solaris Management Console (tareas) de Guía de administración del sistema: administración básica.
Configure el archivo /etc/default/login con los valores deseados para SYSLOG y SYSLOG_FAILED_LOGINS.
Edite el archivo /etc/default/login para cambiar la entrada. Asegúrese de que SYSLOG=YES no tenga comentarios.
```
# grep SYSLOG /etc/default/login
# SYSLOG determines whether the syslog(3) LOG_AUTH facility 
# should be used
SYSLOG=YES
…
SYSLOG_FAILED_LOGINS=0
#
```
Cree un archivo con los permisos correctos para mantener la información de registro.
1. Cree el archivo authlog en el directorio /var/adm.
```
# touch /var/adm/authlog
```
2. Establezca permisos de lectura y escritura para el usuario root en el archivo authlog.
```
# chmod 600 /var/adm/authlog
```
3. Cambie la pertenencia de grupo a sys en el archivo authlog.
```
# chgrp sys /var/adm/authlog
```
Edite el archivo syslog.conf para registrar intentos de contraseña incorrectos.
Los fallos deben enviarse al archivo authlog.
1. Escriba la siguiente entrada en el archivo syslog.conf.
  Los campos en la misma línea de syslog.conf están separados por tabulaciones.
```
auth.notice <Press Tab>  /var/adm/authlog
```
2. Actualice la información de la configuración del daemon syslog.
```
# svcadm refresh system/system-log
```
Verifique que el registro funcione.
Por ejemplo, como usuario común, inicie sesión en el sistema con la contraseña incorrecta. A continuación, en el rol de administrador principal o como superusuario, visualice el archivo /var/adm/authlog.
```
# more /var/adm/authlog
Nov  4 14:46:11 example1 login: [ID 143248 auth.notice] 
 Login failure on /dev/pts/8 from example2, stacey
#
```
Supervise el archivo /var/adm/authlog de manera regular.

Ejemplo 3-4 Registro de intentos de acceso después de tres fallos de inicio de sesión

Siga el procedimiento anterior, pero, en este caso, establezca el valor de SYSLOG_FAILED_LOGINS en 3, en el archivo /etc/default/login.

Ejemplo 3-5 Cierre de conexión después de tres fallos de inicio de sesión

Elimine el comentario de la entrada RETRIES en el archivo /etc/default/login y, luego, establezca el valor de RETRIES en 3. Las ediciones surten efecto inmediatamente. Después de tres reintentos de inicio en una sesión, el sistema cierra la conexión.

Cómo crear una contraseña de marcación telefónica

Precaución - Al establecer una contraseña de marcación telefónica por primera vez, asegúrese de permanecer conectado, al menos, a un puerto. Pruebe la contraseña en un puerto diferente. Si cierra la sesión para probar la nueva contraseña, es posible que no pueda iniciar la sesión de nuevo. Si sigue conectado a otro puerto, puede volver y corregir el error.

Asuma el rol de administrador principal o conviértase en superusuario.
El rol de administrador principal incluye el perfil de administrador principal. Para crear el rol y asignarlo a un usuario, consulte el Capítulo 2, Trabajo con Solaris Management Console (tareas) de Guía de administración del sistema: administración básica.
Cree un archivo /etc/dialups que contenga una lista de dispositivos en serie.
Incluya todos los puertos que se están protegiendo con contraseñas de marcación telefónica. El archivo /etc/dialups debe ser similar al siguiente:
```
/dev/term/a
/dev/term/b
/dev/term/c
```
Cree un archivo /etc/d_passwd que contenga los programas de inicio de sesión que necesita que tengan una contraseña de marcación telefónica.
Incluya programas de shell que un usuario podría estar ejecutando en el inicio de sesión, por ejemplo, uucico, sh, ksh y csh. El archivo /etc/d_passwd debe ser similar al siguiente:
```
/usr/lib/uucp/uucico:encrypted-password:
/usr/bin/csh:encrypted-password:
/usr/bin/ksh:encrypted-password:
/usr/bin/sh:encrypted-password:
/usr/bin/bash:encrypted-password:
```
Más adelante, en el procedimiento, va a agregar la contraseña cifrada para cada programa de inicio de sesión.
Establezca la propiedad en root, en los dos archivos.
```
# chown root /etc/dialups /etc/d_passwd
```
Establezca la propiedad de grupo en root, en los dos archivos.
```
# chgrp root /etc/dialups /etc/d_passwd
```
Establezca permisos de lectura y escritura para root en los dos archivos.
```
# chmod 600 /etc/dialups /etc/d_passwd
```
Cree las contraseñas cifradas.
1. Cree un usuario temporal.
```
# useradd username
```
2. Cree una contraseña para el usuario temporal.
```
# passwd username
New Password:  <Type password>
Re-enter new Password:   <Retype password>
passwd: password successfully changed for username
```
3. Capture la contraseña cifrada.
```
# grep username /etc/shadow > username.temp
```
4. Edite el archivo nombre_usuario.temp.
  Elimine todos los campos, excepto la contraseña cifrada. El segundo campo contiene la contraseña cifrada.
  Por ejemplo, en la siguiente línea, la contraseña cifrada es U9gp9SyA/JlSk.
```
temp:U9gp9SyA/JlSk:7967:::::7988:
```
5. Elimine el usuario temporal.
```
# userdel username
```
Copie la contraseña cifrada del archivo nombre_usuario.temp en el archivo /etc/d_passwd.
Puede crear una contraseña diferente para cada shell de inicio de sesión. También puede utilizar la misma contraseña para cada shell de inicio de sesión.
Informe la contraseña a los usuarios de marcación telefónica.
Debe asegurarse de que sus medios para informar a los usuarios no puedan manipularse.

Cómo deshabilitar temporalmente inicios de sesión de marcación telefónica

Asuma el rol de administrador principal o conviértase en superusuario.
El rol de administrador principal incluye el perfil de administrador principal. Para crear el rol y asignarlo a un usuario, consulte el Capítulo 2, Trabajo con Solaris Management Console (tareas) de Guía de administración del sistema: administración básica.
Coloque la siguiente entrada de una sola línea en el archivo /etc/d_passwd:
```
/usr/bin/sh:*:
```

Omitir V�nculos de navegaci�n
Salir de la Vista de impresi�n
	Guía de administración del sistema: servicios de seguridad