Sophie: howto-html-es-9.1-0.5mdk noarch

howto-html-es-9.1-0.5mdk.noarch.rpm

<HTML>
<HEAD>
<TITLE>Sistema de Archivos Criptogr&aacute;fico bajo Linux (CFS) COMO: Protecci&oacute;n del CFS.</TITLE>
</HEAD>
<BODY>
<A HREF="SAC-Como-5.html">Anterior</A>
<A HREF="SAC-Como-7.html">Siguiente</A>
<A HREF="SAC-Como.html#toc6">Indice</A>
<HR>
<H2><A NAME="s6">6. Protecci&oacute;n del CFS.</A></H2>


<P>Para conceder acceso a un usuario a partes encriptadas del &aacute;rbol de
directorios, CFS necesita que el usuario proporcione la frase de paso que
es usada para generar un conjunto de llaves de acceso. Una vulnerabilidad
de una frase de paso, permitir&aacute; a un intruso acceder a la informaci&oacute;n
encriptada a trav&eacute;s del modulo de seguridad Unix. </P>
<P>Por ello, es extremadamente importante proteger el acceso a las frases de
paso. Hay dos maneras b&aacute;sicas que pueden ser utilizadas por los intrusos
para obtener su frase de paso. Son:</P>
<P>
<OL>
<LI>Ataques con <I>Sniffers</I> </LI>
<LI>Ataques contra el protocolo.</LI>
</OL>
</P>
<P>Las siguientes instrucciones pueden ser utilizadas para minimizar la
posibilidad de un ataque exitoso contra CFS: </P>
<P>
<OL>
<LI>Asegurar que los binarios de CFS no est&eacute;n comprometidos de ninguna
forma. 
</LI>
<LI> Asegurar que <CODE>cattach</CODE>, <CODE>ccat</CODE>, <CODE>cmkdir</CODE>, <CODE>cname</CODE>, el
servidor CFS <CODE>cfsd</CODE> y finalmente, <CODE>cdattach</CODE> no ser&aacute;n sustituidos
por versiones ``<I>troyanas</I>'' que capturen las frases de paso o, en el
caso del <CODE>cfsd</CODE>, las llaves de acceso.
</LI>
<LI>Asegurar que el Servidor CFS no est&eacute; comprometido de modo que no se
realice el procedimiento de encriptaci&oacute;n correctamente. 
</LI>
<LI>Un ataque contra <CODE>cdeattach</CODE> usualmente involucra una peque&ntilde;a
modificaci&oacute;n que evita la correcta destrucci&oacute;n de las llaves de acceso,
permitiendo a un intruso obtener acceso a una parte supuestamente separada
del &aacute;rbol de directorios. 
</LI>
<LI>La manera m&aacute;s simple para asegurar que los binarios no sean
comprometidos es compilarlos est&aacute;ticamente y guardarlos en un CD. Otra
manera es compilar est&aacute;ticamente los binarios, usar <CODE>md5sum</CODE>, la
calculadora de procesado de mensaje (<CODE>message-digest</CODE>) y escribir los
hashes MD5 en un medio protegido contra escritura.

Antes de usar alguno de los programas de CFS sobre un sistema, monte un
disquete y compare los hashes MD5 de los binarios del sistema con los
hashes de las copias limpias compiladas est&aacute;ticamente, localizadas en el
disquete, sustituyendo las versiones comprometidas.
</LI>
<LI>Capturadores de teclado usados para capturar las frases de paso, tal
como los usuarios las van tecleando. Dependiendo de las circunstancias,
muchos usuarios no son lo bastante cuidadosos ignorando las siguientes
indicaciones: 

<OL>
<LI>Cuando escriba una frase de paso en una <CODE>xterm</CODE>, asegurar que el
programa <CODE>xterm</CODE> no est&aacute; comprometido y use la opci&oacute;n "Teclado seguro" 
mientras se escribe la frase de paso. Esto previene que las pulsaciones
sean interceptadas por capturadores X-Window. 
</LI>
<LI>Escriba las frases de paso desde la terminal conectada directamente
a un puerto serie del sistema cuando dicha terminal est&eacute; disponible.
</LI>
<LI>Cerci&oacute;rese de que sus permisos en <CODE>pty</CODE>s y <CODE>tty</CODE>s no permitan
a otros la lectura de tus pulsaciones directamente del dispositivo. 
</LI>
</OL>

</LI>
<LI>Nunca escriba su frase de paso a trav&eacute;s de la red, aunque la red
est&eacute; localizada tras un cortafuegos y conf&iacute;e en que todos los que est&aacute;n
conectados a su red no usen sniffers. Esto es aplicable tambi&eacute;n a redes
que usen routers seguros (scrambling routers), porque no hay garant&iacute;a en
absoluto que los routers usen un encriptamiento s&oacute;lido o no tengan una
puerta trasera o un agujero de seguridad que potencialmente pueda permitir
a un intruso anular la encriptaci&oacute;n usada por el router. Si tiene que
escribir su clave de acceso a trav&eacute;s de la red, h&aacute;galo solamente si est&aacute;
usando un canal encriptado entre sistemas tal como el creado por el
protocolo <CODE>deslogin(8)</CODE>. 
</LI>
<LI>Los &aacute;rboles protegidos CFS deben ser desligados siempre
(<CODE>de-attach</CODE>) del sistema de archivos cuando no sean usados, aun cuando
vaya a dejar su sistema "s&oacute;lo" por un par de minutos. </LI>
</OL>
</P>

<HR>
<A HREF="SAC-Como-5.html">Anterior</A>
<A HREF="SAC-Como-7.html">Siguiente</A>
<A HREF="SAC-Como.html#toc6">Indice</A>
</BODY>
</HTML>