Estas aquiContenido / Pregunta típica de nuevo usuario de Linux: ¿Qué antivirus?
Pregunta típica de nuevo usuario de Linux: ¿Qué antivirus?
Es cierto. Basta darse una vuelta por cualquier foro donde recalen nuevos usuarios de Linux (ejemplo) para darse cuenta de que se trata de una pregunta recurrente.
Y es lógico. Los usuarios de Windows están mentalizados del alto riesgo que corren y tienden a vigilar su antivirus con tanta atención como la enfermera de una UCI vigila los monitores de sus pacientes críticos. Por eso, cuando llegan a Linux, se sienten "desnudos" y vulnerables.
De estas cosas trata un ameno artículo que hoy mismo publica Linux.com...
Su autor considera que los usuarios de Windows pagan una especie de "impuesto" por su seguridad, ya que las empresas se encargan de explotar en su publicidad el miedo a la inseguridad que atenaza a los usuarios de Windows, y la paranoia que cada nuevo ejemplar de malware afianza y refuerza.
En ese sentido, la llegada a Linux representa toda una liberación, por cuanto en ese sistema esa tasa añadida es innecesaria, debido a su eficiente sistema de permisos:
Los permisos en Linux son universales. Cubren tres cosas que pueden hacerse con ficheros: leer, escribir y ejecutar. Y no sólo eso, sino que vienen en tres niveles: para el usuario root, para el usuario común logueado y para el resto del mundo. Típicamente, el software que puede impactar en el sistema como un todo requiere privilegios de root para ejecutarse.
La situación es bien diferente en Windows:
Microsoft diseñó Windows para permitir a los de fuera ejecutar software en su sistema. La empresa justifica ese diseño diciendo que enriquece la experiencia del usuario el hecho de que un sitio web pueda realizar acciones "guay" en su escritorio. Debería quedar claro que la única gente enriquecida por esa decisión de diseño es la que gana dinero proporcionando seguridad adicional o reparando los daños que provoca en el sistema.
Continúa el autor diciendo:
Algunos programas maliciosos requieren que se abra un adjunto. Otros ni siquiera necesitan que el usuario cometa ese error. Por las buenas o por las malas, el malware en Windows a menudo es ejecutado, infectando primero el sistema local y propagándose después a otros. Qué horrorosa vecindad. Me alegro de no vivir ahí.
En Linux existe protección incorporada contra esa tropa. Los ficheros recién descargados desde su programa de correo o navegador web no reciben privilegios de ejecución. Renombrar los ejecutables tampoco sirve, porque Linux y sus aplicaciones no dependen de las extensiones de los ficheros para identificar sus propiedades, de modo que no pueden ejecutar malware inadvertidamente mientras se interactúa con él.
En definitiva:
Por eso han elegido Linux, para liberarse de pagar una tasa de seguridad por protegerlos del malware, u otra posterior para que su sistema sea esterilizado tras haber sido infectado.
El autor, no obstante, también recomienda precaución a los usuarios de Linux:
Los usuarios de Linux, como los de cualquier sistema operativo, deben siempre ser conscientes de los temas de seguridad. Deben actuar con inteligencia para mantener sus sistemas seguros. No deberían ejecutar con privilegios de root programas que no los necesiten, y deberían aplicar regularmente parches de seguridad.
Fuente:
- Note to new Linux users: No antivirus needed [Linux.com].
No hay peor virus que el propio usuario, y si hablamos de un usuario Windows, hablariamos de "malware" :)
Que nunca nos viene mal a los usuarios de GNU/Linux, porque nada hay más peligroso que una falsa sensación de confianza.
Siempre se suele decir que el peligro de la ejecución de malware en GNU/Linux está bastante minimizado, puesto que el sistema de permisos es muy sólido y nada puede afectar al sistema mientras todo se haga desde el espacio de usuario corriente.
Pero claro, esto parte de la concepción clásica de un sistema UNIX como servidor, en el que lo importante no son los datos sino el funcionamiento del sistema. Sin embargo, en un equipo doméstico la cosa cambia. Si un virus llegara a afectar al sistema, no sería tan grave como si nos borrara todos los archivos personales que tenemos guardados. Sí, el directorio /home/usuario, para cuyo control total no hacen falta permisos de administrador.
Yo, por si acaso, tengo todos los documentos importantes con dueño 'root' y permisos rw-r--r--. Y los muy importantes, con su correspondiente copia de seguridad en un sistema aparte.
En primer lugar agradecer siempre cualquier autocrítica porque sin duda siempre ayuda a mejorar.
Como opinión personal y dentro de lo que a seguridad y permisos se refiere discrepo en el aspecto de considerar al sistema de permisos 'tradicional' de linux sea muy sólido. En efecto el sistema de permisos clásico es una buena concepción inicial pero queda muy lejos de las necesidades de sistemas multiusuario actuales. Para solucionar estas carencias existen una serie de extensiones como las ACLs (man acl) y los atributos extendidos de los ficheros (man chattr).
Desde ese punto de vista un correcto uso de los permisos del sistema Windows de Microsoft (llamado ACE) tampoco es un mal control de los permisos de los ficheros, el problema reside en que desde Microsoft, al menos hasta la versión XP (no he probado aún ninguna versión de Vista) se educa al usuario de que lo "normal" es usar una cuenta de administrador del equipo la cual posee todos los privilegios.
Linux, a la hora de controlar los permisos de los ficheros usa una sistema de control de acceso discrecional DAC (de sus siglas inglesas Discretionary Access Controls) lejos de los controles de acceso obligatorios (MAC, de sus siglas inglesas Mandatory Access Control) que serían los deseables. Para implementar estos controles en linux es posible hacerlo a través de SELinux que implementa a través de atributos extendidos en los ficheros y a través de un gestor de políticas un control mucho más efectivo de los permisos de ficheros aunque en ocasiones la gestión de las políticas puede resultar un tanto tedioso.
En cuanto al cambio de propietario de los ficheros al usuario root es sin duda una opción interesante aunque desconozco la practicidad del escenario. Si precisas modificar los ficheros se me antojan los siguientes escenarios:
En cualquiera de los casos esto implicaría que para cada fichero a modificar habría que perder un tiempo adicional (por poco que fuese) a realizar unas operaciones adicionales lo que causaría una ligera molestia al usuario final. No debemos olvidar nunca que el objetivo a la hora de asegurar un sistema no sólo implica el reforzarlo si no también el que el sistema siga siendo usable para el usuario final.
Personalmente (y es una opinión, no me creo el poseedor de la razón pura ni mucho menos) me inclino más por una buena política a la hora de la realización de copias de seguridad de manera que si surgiese algún incidente de seguridad fuese posible la recuperación de los datos antes del incidente.
Se agradece cualquier tipo de corrección o matización en lo que a este comentario se refiere.
Una vez más gracias por la autocrítica ;)
redundancia = seguridad ¿?
Una buena politica de backup es un hilo importante dentro de la seguridad, cuando ésta se entiende como lo que es, un proceso. Sin embargo, creo que es inútil si no se pone remedio a la verdadera vulnerabilidad. Mientras tanto, uno puede entretenerse llenando terabytes de forma eficiente y reponiendo el sistema indefinidamente porque realizar una copia de respaldo es más facil que auditar un sistema y mantenerlo al día ...
Si dentro del directorio D del usuario U hay un fichero que no es suyo este podrá igualmente borrarlo aunque no modificarlo. No obstante el comando "rm" te avisa de que esta ¿protegido? contra escritura, pero por lo visto a la llamada "unlink" le da igual :S
Debí escribir archivos *y directorios*.
Pues creo que perder todo el correo de una empresa, su espacio web, sus bases de datos o varios proyectos software de un servidor cvs sería un buen ejemplo de lo importante que son los datos xD otra cosa es la alta disponibilidad que deba ofrecer un servidor que no deja de seguir siendo "alta disponibilidad" de servicios que se basan en datos xD
Muchos exploits escalan privilegios desde uids de usuarios "corrientes" o sin privilegios ... perfectamente puedes ejecutar, desde espacio de usuario, código que comprometa todo el sistema (sin hablar de permisos suids y sgids, etc ...)
"others" puede leer cualquiera de tus documentos importantes :) prueba con esto:
~# umask 0077
GNU/Linux no es seguro por defecto
Es cierto lo de los exploits. Pero eso ya entra en el capítulo "mantener una política adecuada de actualización de sistema y aplicaciones", que es aplicable a cualquier sistema operativo. Siempre habrá vulnerabilidades "zero exploit" para las que no haya parches en un momento determinado, pero para tapar en lo posible ese agujero tenemos las copias de seguridad periódicas.
Gracias por el umask, pero cuando hablaba de documentos importantes me refería más bien a los que no pueden ser borrados. Para los que *además* son confidenciales prefiero tirar de GnuPG.
" ... pero para tapar en lo posible ese agujero tenemos las copias de seguridad periódicas ... "
Yo simplemente creo que la excesiva confianza en el backup da lugar, a veces, a cierta dejadez en el mantenimiento de un sistema seguro.
" ... me refería más bien a los que no pueden ser borrados ..."
Existen ficheros con información sensible (con configuracion de servicios, por ejemplo) que no pueden ser borrados ni encriptados porque ralentizaría el sistema o simplemente no es posible el funcionamiento del servicio que lo use, por lo que en cualquier caso creo que siempre es bueno usar una buena mascara :)
Escalar privilegios es algo que se podría hacer sólo en el caso de que hubiera problemas de seguridad en algún programa. Es factible pero:
1) Dada la gran variedad de versiones de linux (en un momento dado podrás encontrar fácilmente 100 versiones diferentes), es muy dificil hacer un programa para todas ellas y muy dificilmente todas ellas serán vulnerables.
2) Las actualizaciones y correcciones de problemas de escalada de permisos son más rápidas que los desarrolladores de virus.
3) Los casos de escalada de privilegios son muy aislados y cada vez menos frecuentes.
Con respecto a los suid, claro que existen y estan ahí con una función muy concreta. Los programas que lo usan suelen estar hechos con mucho cuidado para evitar peligros de escalada de privilegios.
Dices que "perfectamente puedes ejecutar, desde espacio de usuario, código que comprometa todo el sistema" pero deberías aclarar que eso es posible únicamente cuando hay algún error de seguridad, y esos errores son sumamente escasos y se corrigen con la mayor prontitud (dependiendo de la distribución claro está).
Finalmente, si piensas que Linux no es seguro por defecto, podrías crear una distribución o un paquete para tu distribución favorita para que altere las configuraciones "por defecto" para ponerlas de la manera que consideras más segura. Si funciona bien será rápidamente aceptada por toda la comuinidad y linux sí será seguro por defecto.
Alejandro Nestor Vargas