Menú principal

viernes, 17 de septiembre de 2010

Mac OS X: Permisos inseguros en la creación de usuarios

Mantener un sistema seguro no es tarea fácil, y mucho menos cuando se trata de un equipo compartido en el que más de un usuario tiene acceso a él. Son en estos casos en donde hay que prestar una mayor atención a los posibles puntos débiles en las restricciones de seguridad ya que, como se vio en el artículo ‘Elevación de privilegios en local a través de permisos inseguros en aplicaciones’, una mala configuración de permisos en las aplicaciones instaladas podría llegar a provocar la elevación de privilegios o la ejecución de código con otras credenciales. En este artículo se verá con que permisos crea Mac OS X las carpetas de perfil de usuario, y lo que podría llegar a suceder.

Primero, realizaremos la creación de un nuevo usuario a través del sistema de gestión de cuentas (‘preferencias del sistema / Cuentas’).


A continuación nos autenticamos como ‘usuario’ y procedemos a abrir una terminal. Como se puede ver en la siguiente captura, el usuario ‘usuario’ tiene permisos de lectura (o+x,g+x) sobre el directorio ‘/Users/i64/’, el cual no le pertenece. Esto le permite realizar un listado de los archivos existentes en esa localización, pudiendo de este modo obtener ficheros críticos con información confidencial.


Como se puede ver, en un entorno donde existan equipos compartidos por varios usuarios se pueden recibir desagradables noticias si te enteras que tus datos confidenciales (los cuales recomendamos cifrar) han sido robados.

Para solventar esta falta de permisos únicamente es necesario la ejecución del siguiente comando, chmod o-rx,g-rx /Users/directorio/. De este modo nuestra carpeta de perfil de usuario estará a salvo de curiosos.


Como conclusión, no olvides nunca que después de la creación de un usuario debes establecer una configuración de permisos adecuada para la carpeta de tu perfil.

No hay comentarios:

Publicar un comentario

Entrada destacada

Proteger tu cuenta de Google y de Gmail con Latch Cloud TOTP #Latch #Gmail #Google

La semana pasada se liberó la nueva versión de Latch y nuestro compañero Chema Alonso hizo un repaso de todo ello en su artículo Latch...

Otras historias relacionadas

Entradas populares