Auditoría de sistemas UNIX. Parte 14. Ficheros host.equiv y .rhosts

En los sistemas UNIX es muy frecuente el uso de host-equiv y ficheros .rhosts. Como veremos, entraña bastante riesgo su utilización siempre y cuando este empleo no esté controlado.

El fichero hosts.equiv, en combinación con cualquier fichero local $HOME/.rhosts, define aquellos accesos remotos que consideramos confiables. Se denominan confiables porque se trata de usuarios remotos operando en máquinas remotas que pueden ejecutar comandos en nuestra máquina, sin necesidad de autenticarse en el sistema.

Si yo tengo una máquina A y en ésta máquina defino una máquina B en hosts.equiv, así como los usuarios de B que pueden ejecutar comandos en A, a través de un fichero .rhosts, habremos constituído un entorno de máquinas confiables donde la máquina A se fía de los accesos definidos para la máquina B, y por tanto, no le exigirá autenticación.

En circunstancias normales, debería impedirse que los usuarios creen ficheros .rhosts en sus directorios /home. Si es necesario que se utilicen podemos plantear limpiezas periódicas de estos ficheros vía cron o con mecanismos similares. La existencia de una definición de host.equiv dependerá de las necesidades de la máquina, ya que aún no siendo recomendable, es posible que la operativa así lo exija.

Ejemplo práctico

Localizamos e identificamos ficheros .rhosts:

/usr/bin/find / -name .rhosts -exec ls -la {} \; >> ficheros_rhost.txt

Localizamos e identificamos host.equiv:

/usr/bin/find / -name host.equiv -exec ls -la {} \; >> hostequiv.txt

Resumen:

El objetivo de esta secuencia de la auditoría es la identificación de los ficheros host.equiv y los posibles .rhosts que hayan creado los usuarios de la máquina en sus directorios personales.

Debemos identificarlos y caso de existir, debe justificarse su presencia, para lo que consultaremos con el administrador del sistema con el fin de conocer el porqué del empleo de estos mecanismos.

No debemos perder de vista que la combinación de host.equiv y .rhosts permite que usuarios remotos de máquinas remotas accedan a nuestra máquina sin necesidad de autenticarse, con lo que debe tratarse con especial cuidado cualquiera de estos indicios en la máquina auditada.