Control de acceso a archivos

Oracle Solaris es un entorno multiusuario. En un entorno multiusuario, todos los usuarios que iniciaron sesión en un sistema pueden leer los archivos que pertenecen a otros usuarios. Con los permisos de archivo adecuados, los usuarios también pueden utilizar archivos que pertenecen a otros usuarios. Para obtener más información, consulte el Capítulo 7, Control de acceso a archivos (tareas). Para obtener instrucciones paso a paso sobre cómo configurar permisos adecuados en los archivos, consulte Protección de archivos (tareas).

Protección de archivos con cifrado

Para mantener un archivo seguro, puede impedir que otros usuarios accedan a él. Por ejemplo, nadie puede leer un archivo con permisos de 600, excepto el propietario y la cuenta root. De manera similar, un directorio con permisos de 700 es inaccesible. Sin embargo, alguien que adivine su contraseña o que descubra la contraseña root puede acceder a ese archivo. Además, el archivo inaccesible se conserva en una cinta de copia de seguridad cada vez que se realiza una copia de seguridad de los archivos del sistema en medios sin conexión.

Los sistemas de archivos ZFS se pueden crear con cifrado de discos. Para obtener más información, consulte Cifrado de sistemas de archivos ZFS de Administración de Oracle Solaris 11.1: sistemas de archivos ZFS.

La estructura criptográfica proporciona los comandos digest, mac y encrypt. Los usuarios normales pueden utilizar estos comandos para proteger archivos y directorios. Para obtener más información, consulte el Capítulo 11, Estructura criptográfica (descripción general).

Uso de listas de control de acceso

Las ACL pueden proporcionar un mayor control de los permisos de archivo. Puede agregar ACL cuando las protecciones de archivos UNIX tradicionales no son suficientes. Las protecciones de archivos UNIX tradicionales proporcionan permisos de lectura, escritura y ejecución para las tres clases de usuarios: propietario, grupo y otros usuarios. Una ACL proporciona un nivel de seguridad de archivos más específico.

Las ACL permiten definir permisos de archivos detallados, incluidos los siguientes:

• Permisos de propietario de archivo

• Permisos de archivo para el grupo del propietario

• Permisos de archivo para otros usuarios que están fuera del grupo del propietario

• Permisos de archivo para usuarios específicos

• Permisos de archivo para grupos específicos

• Permisos predeterminados para cada una de las categorías anteriores

Para proteger archivos ZFS con listas de control de acceso (ACL), consulte el Capítulo 7, Uso de listas de control de acceso y atributos para proteger archivos Oracle Solaris ZFS de Administración de Oracle Solaris 11.1: sistemas de archivos ZFS. Para obtener más información sobre el uso de las ACL en sistemas de archivos antiguos, consulte Uso de listas de control de acceso para proteger archivos UFS.

Uso compartido de archivos entre equipos

Un servidor de archivos de red puede controlar qué archivos están disponibles para uso compartido. Un servidor de archivos de red también puede controlar qué clientes tienen acceso a los archivos y qué tipo de acceso está permitido para esos clientes. En general, el servidor de archivos puede otorgar acceso de lectura y escritura o acceso de sólo lectura a todos los clientes o a clientes específicos. El control de acceso se especifica cuando los recursos están disponibles con el comando share.

Al crear un recurso compartido NFS de un sistema de archivos ZFS, el sistema de archivos se comparte permanentemente hasta que se elimine el recurso compartido. SMF gestiona automáticamente el recurso compartido cuando el sistema se reinicia. Para obtener más información, consulte Oracle Solaris ZFS y sistemas de archivos tradicionales de Administración de Oracle Solaris 11.1: sistemas de archivos ZFS.

Restricción de acceso root a archivos compartidos

En general, al superusuario no se le permite el acceso root a los sistemas de archivos que se comparten en la red. El sistema NFS impide el acceso root a los sistemas de archivos montados cambiando el usuario del solicitante al usuario nobody con el ID de usuario 60001. Los derechos de acceso del usuario nobody son los mismos que se otorgan al público. El usuario nobody tiene los derechos de acceso de un usuario sin credenciales. Por ejemplo, si el público sólo tiene permiso de ejecución para un archivo, el usuario nobody sólo puede ejecutar ese archivo.

Un servidor NFS puede otorgar acceso root a un sistema de archivos compartidos por host. Para otorgar estos privilegios, utilice la opción root=hostname para el comando share. Debe utilizar esta opción con cuidado. Para obtener una explicación de opciones de seguridad con NFS, consulte el Capítulo 3, Acceso a los sistemas de archivos de red (referencia) de Gestión de sistemas de archivos de red en Oracle Solaris 11.1.