Protección de inicios de sesión y contraseñas (tareas)

Puede limitar inicios de sesión remotos, solicitar que los usuarios tengan contraseñas y solicitar que la cuenta root tenga una contraseña compleja. También puede supervisar intentos de acceso fallidos y deshabilitar inicios de sesión temporalmente.

Protección de inicios de sesión y contraseñas (mapa de tareas)

El siguiente mapa de tareas hace referencia a procedimientos que supervisan inicios de sesión de usuarios y que deshabilitan inicios de sesión de usuarios.

Cómo cambiar la contraseña root

Para cambiar la contraseña root, debe cumplir con los requisitos de contraseñas que se aplican a todos los usuarios del sistema.

Antes de empezar

Debe tener el rol root.

• Cambie la contraseña.

  # passwd root
  New Password:
  Re-enter new Password:
  passwd: password successfully changed for root

  Un mensaje aparecerá en la pantalla si su contraseña no cumple con los requisitos. Los mensajes son informativos. Después de tres intentos, debe volver a ejecutar el comando nuevamente para cambiar la contraseña.

  passwd: Password too short - must be at least 6 characters.
  passwd: The password must contain at least 2 alphabetic character(s).
  passwd: The password must contain at least 1 numeric or special character(s).

Cómo mostrar el estado de inicio de sesión de un usuario

Antes de empezar

Debe tener el rol root.

• Visualice el estado de inicio de sesión de un usuario mediante el comando logins.

  # logins -x -l username

  -x

  Muestra un conjunto ampliado de información de estado de inicio de sesión.

  -l nombre_usuario

  Muestra el estado de inicio de sesión para el usuario especificado. La variable nombre_usuario es el nombre de inicio de sesión de un usuario. Varios nombres de inicio se sesión se separan con comas.

  El comando logins utiliza la base de datos de contraseñas adecuada para obtener el estado de inicio de sesión de un usuario. La base de datos puede ser el archivo /etc/passwd local o una base de datos de contraseñas para el servicio de nombres. Para obtener más información, consulte la página del comando man logins(1M).

Ejemplo 3-1 Visualización del estado de inicio de sesión de un usuario

En el ejemplo siguiente, se muestra el estado de inicio de sesión del usuario jdoe.

# logins -x -l jdoe
jdoe       500     staff           10   Jaylee Jaye Doe
                   /home/jdoe
                   /bin/bash
                   PS 010103 10 7 -1

jdoe

Identifica el nombre de inicio de sesión del usuario.

500

Identifica el ID de usuario (UID).

staff

Identifica el grupo principal del usuario.

10

Identifica el ID de grupo (GID).

Jaylee Jaye Doe

Identifica el comentario.

/home/jdoe

Identifica el directorio principal del usuario.

/bin/bash

Identifica el shell de inicio de sesión.

PS 010170 10 7 -1

Especifica la información de caducidad de las contraseñas:

• Última fecha en la que se cambió la contraseña

• Número de días que son necesarios entre los cambios

• Número de días antes de que un cambio sea necesario

• Período de advertencia

Cómo visualizar usuarios sin contraseñas

Antes de empezar

Debe tener el rol root.

• Visualice todos los usuarios que no tienen contraseñas con el comando logins.

  # logins -p

  La opción -p muestra una lista de usuarios que no tienen contraseñas. El comando logins utiliza la base de datos passwd del sistema local a menos que se especifique un servicio de nombres distribuido en el archivo nsswitch.conf.

Ejemplo 3-2 Visualización de usuarios sin contraseñas

En el siguiente ejemplo, el usuario pmorph no tiene una contraseña.

# logins -p
pmorph          501     other           1       Polly Morph
# 

Cómo deshabilitar temporalmente inicios de sesión de usuarios

Deshabilite temporalmente inicios de sesión de usuarios durante el cierre o el mantenimiento de rutina del sistema. Los inicios de sesión de superusuarios no se ven afectados. Para obtener más información, consulte la página del comando man nologin(4).

Antes de empezar

Debe tener el rol root.

1. Cree el archivo /etc/nologin en un editor de texto.

   # vi /etc/nologin

2. Incluya un mensaje sobre la disponibilidad del sistema.
3. Cierre y guarde el archivo.

Ejemplo 3-3 Deshabilitación de inicios de sesión de usuarios

En este ejemplo, se notifica a los usuarios que el sistema no está disponible.

# vi /etc/nologin
(Add system message here)
 
# cat /etc/nologin 
***No logins permitted.***

***The system will be unavailable until 12 noon.***

También puede llevar el sistema al nivel de ejecución 0, modo de un solo usuario, para deshabilitar inicios de sesión. Para obtener información acerca de cómo llevar el sistema al modo de un solo usuario, consulte el Capítulo 3, Cierre de un sistema (tareas) de Inicio y cierre de Oracle Solaris en plataformas x86.

Cómo supervisar intentos de inicio de sesión fallidos

Este procedimiento captura intentos de inicio de sesión fallidos de ventanas de terminales. Este procedimiento no captura inicios de sesión fallidos de un intento de inicio de sesión de escritorio.

Antes de empezar

Debe tener el rol root.

1. Cree el archivo loginlog en el directorio /var/adm.

   # touch /var/adm/loginlog

2. Establezca permisos de lectura y escritura para el usuario root en el archivo loginlog.

   # chmod 600 /var/adm/loginlog

3. Cambie la pertenencia de grupo a sys en el archivo loginlog.

   # chgrp sys /var/adm/loginlog

4. Verifique que el registro funcione.

   Por ejemplo, inicie sesión en el sistema cinco veces con la contraseña incorrecta. A continuación, visualice el archivo /var/adm/loginlog.

   # more /var/adm/loginlog
   jdoe:/dev/pts/2:Tue Nov  4 10:21:10 2010
   jdoe:/dev/pts/2:Tue Nov  4 10:21:21 2010
   jdoe:/dev/pts/2:Tue Nov  4 10:21:30 2010
   jdoe:/dev/pts/2:Tue Nov  4 10:21:40 2010
   jdoe:/dev/pts/2:Tue Nov  4 10:21:49 2010
   #

   El archivo loginlog contiene una entrada para cada intento fallido. Cada entrada contiene el nombre de inicio de sesión del usuario, el dispositivo TTY y la hora del intento fallido. Si una persona realiza menos de cinco intentos incorrectos, no se registran intentos fallidos.

   Un archivo loginlog cada vez más grande puede indicar un intento de entrar ilegalmente al sistema del equipo. Por lo tanto, compruebe y borre el contenido de este archivo con regularidad. Para obtener más información, consulte la página del comando man loginlog(4).

Cómo supervisar todos los intentos de inicio de sesión fallidos

Este procedimiento captura en un archivo syslog todos los intentos de inicio de sesión fallidos.

Antes de empezar

Debe tener el rol root.

1. Configure el archivo /etc/default/login con los valores deseados para SYSLOG y SYSLOG_FAILED_LOGINS.

   Edite el archivo /etc/default/login para cambiar la entrada. Asegúrese de que SYSLOG=YES no tenga comentarios.

   # grep SYSLOG /etc/default/login
   # SYSLOG determines whether the syslog(3) LOG_AUTH facility should be used
   SYSLOG=YES
   # The SYSLOG_FAILED_LOGINS variable is used to determine how many failed
   #SYSLOG_FAILED_LOGINS=5
   SYSLOG_FAILED_LOGINS=0
   #

2. Cree un archivo con los permisos correctos para mantener la información de registro.
   1. Cree el archivo authlog en el directorio /var/adm.

      # touch /var/adm/authlog

   2. Establezca permisos de lectura y escritura para el usuario root en el archivo authlog.

      # chmod 600 /var/adm/authlog

   3. Cambie la pertenencia de grupo a sys en el archivo authlog.

      # chgrp sys /var/adm/authlog

3. Edite el archivo syslog.conf para registrar intentos de contraseña incorrectos.

   Envíe los fallos al archivo authlog.

   1. Escriba la siguiente entrada en el archivo syslog.conf.

      Los campos en la misma línea de syslog.conf están separados por tabulaciones.

      auth.notice <Press Tab>  /var/adm/authlog

   2. Refresque el servicio system-log.

      # svcadm refresh system/system-log

4. Verifique que el registro funcione.

   Por ejemplo, como usuario común, inicie sesión en el sistema con la contraseña incorrecta. A continuación, como superusuario, muestre el archivo /var/adm/authlog.

   # more /var/adm/authlog
   Nov  4 14:46:11 example1 login: [ID 143248 auth.notice] 
    Login failure on /dev/pts/8 from example2, stacey
   #

5. Supervise el archivo /var/adm/authlog de manera regular.

Ejemplo 3-4 Registro de intentos de acceso después de tres fallos de inicio de sesión

Siga el procedimiento anterior, pero, en este caso, establezca el valor de SYSLOG_FAILED_LOGINS en 3, en el archivo /etc/default/login.

Ejemplo 3-5 Cierre de conexión después de tres fallos de inicio de sesión

Elimine el comentario de la entrada RETRIES en el archivo /etc/default/login y, luego, establezca el valor de RETRIES en 3. Las ediciones surten efecto inmediatamente. Después de tres reintentos de inicio en una sesión, el sistema cierra la conexión.