Capítulo 3: Jerarquía y Seguridad. Creación de usuarios y grupos.

Niveles de seguridad de la red:

Para proteger la información, NetWare provee de tres niveles de seguridad:

• Login security (seguridad de ingreso), consiste básicamente en definir una lista de usuarios autorizados y exigirles que ingresen al sistema mediante una clave.
• Rights security (seguridad por derechos), impide que un usuario pueda acceder a directorios y/o archivos del disco a los que no está autorizado, y define qué acciones puede llevar a cabo en las áreas donde está autorizado.
• Attributes security (seguridad por atributos), es un complemento de la anterior, ya que define permisos a nivel de directorio y archivo, en lugar de hacerlo a nivel de usuario.

Clases de usuarios:

Cuando se trabaja bajo DOS, cada uno es dueño de todos los recursos de su máquina, pero esto no es posible en un ambiente multiusuario ya que los recursos a compartir son proporcionalmente más escasos. También es deseable acotar el peligro de que alguien borre datos o programas que no le pertenecen. Esto lleva a la creación de un usuario especial denominado "supervisor" que es el reponsable de decidir de qué forma se compartirán los recursos y quienes están autorizados a hacer qué cosas. Una consecuencia de ésto es la limitación del acceso al sistema al personal autorizado, lo que ayuda a proteger la confidencialidad e integridad de información valiosa. El supervisor, es además el encargado de decidir qué programas residirán en el server. Se establece así una correspondencia entre seguridad y usuarios de distinta jerarquía.
Bajo NetWare, hay varias categorías de usuarios: el supervisor, el operador de consola y los usuarios (común).

Supervisor:

Es el usuario de mayor jerarquía y es creado en forma automática durante la instalación. Para no comprometer las condiciones de seguridad, no debe haber más de un supervisor por server. Un supervisor tiene todos los derechos en todos los directorios. Las demás categorías tienen derechos restringidos según el directorio.

File Server Console Operators (Operadores de consola):

Son usuarios con derecho a operar FCONSOLE. Debido a que es un área sensible (especialmente porque el comando DOWN baja la red pero puede ser activado por el supervisor o alguien con equivalencia de seguridad de supervisor), el operador de FCONSOLE debe ser alguien capacitado. En versiones anteriores se podía monitorear el rendimiento del servidor y consultar las estadísticas, actualmente sus tareas se reducen a monitorear la entrada y salida de los usuarios al sistema y el supervisor lo puede utilizar para enviar mensajes a todos los usuarios conectados como el típico "En 5 minutos se procederá a apagar el server".

Usuarios (Users):

Esta categoría incluye a la mayoría de los usuarios de una red. Como se verá oportunamente, los usuarios y sus derechos son definidos por el supervisor. Durante la instalación NetWare también crea un usuario denominado GUEST (invitado), con derechos mínimos.

Otras clases de usuarios:

Hasta ahora se presentaron los tipos de usuarios "tradicionales", es decir el usuario, el operador de consola y el supervisor. NetWare 3.11 permite crear varias categorías intermedias, tal como se ve a continuación. A todas estas categorías las crea un supervisor. La idea es que el supervisor pueda designar ayudantes o responsables de área sin necesidad de cederles derechos innecesarios (tal como ocurriría si los designara como "security equivalents" suyos).

User Account Managers

Estos "Gerentes de Cuentas de Usuarios" tienen derechos de supervisión sobre los usuarios que se les asignen. Su área de acción está vinculada con la facturación de recursos.

Workgroup Managers

Son "Gerentes de Grupos de trabajo" a los que se les asigna derechos de supervisión sobre determinados directorios. Su principal tarea es asignar derechos a los usuarios que trabajen en los directorios a su cargo. En muchos casos, la estructura de archivos del disco rígido guarda semejanza con el organigrama por lo que un Workgroup Manager puede coincidir con un jefe de área o un empleado de su confianza.

Print Queue Operators

Son usuarios con derecho a operar con PCONSOLE y las colas de impresión. Pueden eliminar trabajos de la cola, cambiar su ordenamiento, cambiar el estado de la cola, etc.

Print Server Operators

Son usuarios con derecho a operar con las impresoras asignadas en PCONSOLE. Pueden conectar, desconectar y resetear impresoras cuando las tareas de la red lo exijan. Suelen declararse de esta manera a los operadores de tareas de impresión por una cuestión práctica.

Grupos:

Un grupo es un conjunto de usuarios con los mismos derechos. La creación de grupos le simplifica al supervisor la tarea de asignarle derechos a los usuarios, ya que se las asigna al grupo en vez de hacerlo individualmente. Un usuario puede pertenecer a varios grupos, y también tener derechos propios. En definitiva, los derechos de un usuario están constituídos por el conjunto de los propios y de todos los que tengan los grupos a los que pertenezca.
Hay un grupo especial denominado EVERYONE, al que, tal como su nombre lo indica, pertenecen todos los usuarios automáticamente. Lo crea NetWare al instalarlo y lo dota de derechos RF en PUBLIC y C en MAIL.

Equivalentes de seguridad:

Es otro atajo para supervisores, consistente en especificar los derechos de un usuario como equivalentes a los de otro ya definido.

Ingreso al sistema:

El ingreso al sistema se efectúa mediante una clave. El comando para ingresar es LOGIN. La clave consta de dos partes: una de conocimiento general (el login name) y tiene por propósito identificar al usuario; la otra es de conocimiento exclusivo del usuario (la password), evita que otra persona que conoce el login name ingrese indebidamente.
Si la red tiene varios servers, la orden LOGIN debe especificar el server al que el usuario quiere estar conectado (mediante el comando SLIST explicado en el capítulo 4 se pueden conocer los servers disponibles). A tal fin el comando toma la forma LOGIN nombre_server/usuario. En caso de no especificar el server, el usuario se conectará al más cercano o al preferido, si lo definió en su shell.cfg o net.cfg
Si se quiere estar conectado simultáneamente a más de un server, después de haber entrado con LOGIN al primero, debe ejecutarse el comando ATTACH nombre-server/nombre -usuario.
Cuando un usuario deja de trabajar en red NO DEBE APAGAR SU EQUIPO SIN ANTES haber procedido a desconectarse del server. El comando LOGOUT desconecta al usuario de todos los servers a la vez.
Para cambiar una clave, se usa el comando SETPASS (de SET PASSword).
El comando USERLIST permite saber quienes están en un determinado instante conectados al sistema identificándolos por su login name. Además indica en qué máquina están trabajando, cuando se conectaron (login time), etc. La sintaxis es:


USERLIST server/usuario/A.


La opción server se especifica si se está conectado a más de uno; usuario si se desea información de un usuario en especial (si no se especifica, salen todos y marcado con * el que ejecutó el comando) y la A (de All) es para que aparezcan al listar las informaciones de red y nodo (identificando así las estaciones en las que los usuarios están conectados).
Solamente el supervisor puede ejecutar el comando SECURITY para verificar el estado de seguridad de la red. Esto abarca varias facetas:

• usuarios que no poseen password.
• passwords iguales a los login names.
• passwords de menos de cinco caracteres.
• usuarios cuyas claves no cambian cada 60 días como máximo.
• usuarios con nivel de seguridad equivalente al supervisor.
• usuarios con derechos en el directorio raíz.
• usuarios sin secuencia de conexión (login script) definida.
• usuarios con derechos excesivos. Sobre el directorio SYSTEM sólo debe tener derechos el supervisor. Sobre PUBLIC y LOGIN sólo se necesitan R, F; y sobre MAIL C y W.

Derechos de los usuarios:

La siguiente es la lista de derechos que le pueden llegar a corresponder a un usuario en un directorio determinado:

• F = File scan (rastreo de archivos); es necesario para poder listar los archivos.
• M = Modify (modificación); es necesario para que el usuario pueda modificar el nombre y los atributos de los archivos o el nombre de un subdirectorio.
• R = Read (lectura); es necesario para leer datos o ejecutar programas.
• W = Write (escritura); es necesario para escribir o modificar un archivo de datos.
• C = Create (creación); es necesario para crear nuevos archivos o subdirectorios.
• E = Erase (borrado); es necesario para eliminar archivos y subdirectorios.
• A = Access control (control de acceso); es necesario para cambiar la máscara de derechos máximos de un subdirectorio, y para cambiar los derechos de acceso, y puede ser filtrado dentro de ese árbol.
• S = Supervisor (supervisión) otorga todos los derechos antes mencionados mediante uno solo, sobre el directorio y los subdirectorios asociados; modifica la máscara de derechos máximos de un subdirectorio y no puede ser filtrado dentro de ese árbol.

Bajo otras versiones de NetWare, los derechos son ligeramente distintos.
Según la actividad que se desarrolle, será el tipo de derechos requeridos:
Algunas actividades requieren sólo un derecho, para borrar basta E, para cambiar derechos de acceso basta A, para listar el directorio basta F, para leer archivos se necesita R; para cambiar el nombre o los atributos de un archivo, M, pero a veces se requieren combinaciones: para crear o copiar un archivo, C y W, para escribir W,C y E, para cambiar el nombre o los atributos de un archivo, M y F, etc. Si a un usuario se le da el derecho A sobre el directorio raíz, es como dárselo sobre todo el disco. Se recomienda no hacerlo nunca, porque compromete la seguridad del sistema. Este derecho solamente puede limitarse a través del filtro de derechos máximos.
Si a un usuario se le da el derecho S sobre el directorio raíz, es como otorgarle todos los derechos sobre la totalidad del disco. Se recomienda no hacerlo nunca, porque compromete la seguridad del sistema. Su finalidad se asemeja a la del derecho "A" con la diferencia que este derecho no puede ser limitado mediante el "filtro de derechos máximos que se explica más abajo.

Filtro de derechos máximos, derechos efectivos:

Así como un usuario tiene derechos, los directorios también los tienen y se llaman filtro de derechos máximos. Esto limita los derechos de los usuarios a la intersección entre sus derechos y los derechos máximos del directorio. De esta forma se definen los derechos efectivos (effective rights). El supervisor puede asignarle a un usuario todos los derechos en un directorio y mediante los filtros de derechos máximos le impide que modifique archivos de directorios de uso compartido e incluso que liste el directorio de los que tienen información confidencial.

Comandos asociados:

• GRANT (otorgar) sirve para otorgar a un usuario o grupo derechos sobre un directorio. La sintaxis es:
  GRANT opciones FOR path TO nombre del usuario o grupo
  
  ej: GRANT FR FOR SYS:PUBLIC\PROGRAMAS TO ALE , le agrega al usuario ALE derechos de apertura, búsqueda y lectura sobre el directorio SYS:PUBLIC\PROGRAMAS
• 
  
  
• REVOKE (revocar) es el comando opuesto a GRANT.
• 
  
• REMOVE es para eliminar a un usuario la autorización a entrar a un directorio. La diferencia con REVOKE es que REVOKE se usa para sacarle algunos derechos mientras que REMOVE los quita todos y saca al usuario de la Trustee List.
  
  ej: REMOVE ALE FROM J:
  
• 
  
• RIGHTS (derechos) se emplea para conocer los derechos efectivos que tiene un usuario sobre un directorio.
  
  ej: RIGHTS SYS:PUBLIC
• 
  
  
• WHOAMI (quien soy yo) sirve para dar al usuario una rápida idea de "dónde está parado". La sintaxis es:
  
  ej: WHOAMI server opciones
  
  siendo las opciones: /G indica la pertenencia a grupos, /S si tiene equivalencias de seguridad, /R (de Rights) los derechos y /A (de All) que es lo mismo que haber seleccionado las tres anteriores. En todos los casos menciona: nombre del usuario (Login_Name), nombre del server/s conectado/s, número de estación conectada y la fecha y hora de conexión.
• TLIST (de Trustee LIST, lista de autorizados), indica la nómina de usuarios y grupos con derechos sobre un directorio.
  ej: TLIST K:

Menúes asociados:
Varios menúes tienen relación con la jerarquía, seguridad y derechos: USERDEF, MAKEUSER, SYSCON y FILER. Se explican en capítulo aparte.

Seguridad por atributos:

Este esquema impone restricciones adicionales al manejo de archivo. Cada archivo tiene definidos atributos y éstos tienen precedencia sobre los derechos efectivos del usuario. Atributos de los directorios y archivos: Al margen de los derechos que posea el usuario, los directorios y archivos también tienen atributos. Para los directorios pueden ser:

• Normal, significa que no hay otros atributos activos.
• Hidden (oculto), significa que no aparece al listarse.
• Purge (purgable), mediante este atributo se eliminan de la red los archivos borrados en forma definitiva, en capítulos siguientes se verá que es posible "desborrar" archivos eliminados en forma accidental mediante un utilitario de red, siempre y cuando el directorio en que se hayan borrado archivos no posea este atributo. Se suele utilizar purge en directorios que contengan archivos temporarios.
• System (del sistema), no aparece en la búsqueda de directorios con el DIR del DOS.
• Delete Inhibit (borrado inhabilitado) como su nombre lo indica, impide el borrado del directorio con su contenido, a pesar de .tener el derecho "E"
• Rename Inhibit (renombrado inhabilitado) restringe a los usuarios la posibilidad de renombrar el directorio a pesar de poseer el derecho "M"

Tener en cuenta que esto no es absoluto, sino mas bien genérico, ya que usuarios con derechos o conocimientos más profundos de Netware podrán conocer la existencia y nombre de directorios privados o Hidden, y según sus derechos, leer, escribir y modificar el contenido de dichos directorios. Estos atributos se modifican mediante el comando FLAGDIR. La sintaxis es: FLAGDIR path opción ej: FLAGDIR J: PH. Si no se especifican opciones, como en FLAGDIR J:, se nos indica cuáles son las que están seleccionadas; si se ingresa un * al final del path, como en FLAGDIR J:*, la información que aparece abarca también los subdirectorios de J:. Para los archivos tenemos:

• CI = Copy inhibit (copia inhabilitada) limita el derecho de copia de usuarios conectados desde terminales de red Macintosh a pesar que el usuario posea derecho "R" y "F". Este atributo se puede cancelar mediante el derecho "M".
• DI = Delete inhibit (borrado inhabilitado) limita el derecho de borrado de archivos por usuarios a pesar que tengan el derecho "E" en el directorio. Si los usuarios poseen el derecho "M" pueden cancelar su efecto y borrar el archivo.
• RI = Rename inhibit (renombrado inhabilitado) impide el cambio de nombre en archivos por usuarios. Si se posee el derecho "M" se puede cancelar su efecto y renombrar el archivo.
• N = Normal , implica que no se seleccionaron atributos (corresponde al "Public folder" en los entornos Macintosh).
• P = Purge, evita la posibilidad de "desborrar" archivos.
• S = Shareable (compartible), puede ser accedido por más de un usuario simultáneamente; se usa casi siempre combinado con RO.
• RW/RO = Read-Write (lectura-escritura) / RO = Read Only (sólo lectura) indica si un archivo puede ser escrito (RW) o si sólo está permitida su lectura (RO).
• X = Execute Only (sólo ejecución), suele usarse para proteger programas de virus o de cambios de versión no autorizados; también impide su copia o backup. Este atributo sólo puede asignarlo el supervisor, pero ni siquiera él puede desasignarlo, por lo que debe emplearse con extrema precaución.
• A = Archive needed (necesita archivarse), equivale al bit de archivo bajo DOS, se usa en conexión con programas de backup.
• T = Transactional (transaccional), protegido por el TTS del NetWare SFT.
• H = Hidden (oculto), similar al bit homónimo bajo DOS.
• Sy = System (sistema), ídem anterior.
• H y Sy ocultan el archivo ante un comando DIR pero no ante un NDIR.
• Ra = Read Audit (auditoría de lectura) y Wa = Write Audit (auditoría de escritura) son dos atributos que se encuentran asociados al sistema de facturación de Netware y suelen utilizarse para accesos a bases de datos. Estos atributos sirven para saber qué usuario accede y graba información en una base de datos. Suelen utilizarse juntos, el atributo Wa permite efectuar una copia de seguridad contínua.

El comando FLAG maneja los bits anteriormente mencionados. La sintaxis es: FLAG archivo opciones

• All (todos los archivos)
• SUB (para incluir subdirectorios)
• N (para eliminar los atributos que posean los archivos)

ej: FLAG G:*.EXE SRO marca a todos los archivos con del directorio G: con extensión EXE con atributos S (shared) y RO (read only). Si se omiten las opciones, FLAG muestra los atributos actuales. Otra forma de ver los atributos actuales es con NDIR, descripto en el capítulo siguiente. El menú FILER provee de otra forma de hacer lo mismo.

CAPITULO ANTERIOR DEL CURSO

PROXIMO CAPITULO DEL CURSO