La base de datos de los usuarios: /etc/passwd
En Linux la base de datos de usuarios se almacena en el fichero /etc/passwd. Este fichero contiene una línea por cada usuario de la siguiente forma
pfabrega:x:500:500:Pedro Pablo:/home/pfabrega:/bin/bash
es decir siete campos distintos separados por el carácter ":" y en el siguiente orden:
- nombre de usuario
- contraseña cifrada
- UID (User IDentifier) o número de usuario
- GID (Group IDentifier) o número de grupo primario
- Nombre completo
- Directorio personal
- Shell del usuario
La principal característica del fichero /etc/passwd es que es de lectura pública y sólo el root tiene permiso de escritura. Por este motivo, el programa que escribe en él, /bin/passwd, tiene que tener asignado el bit SUID.
nombre de usuario
Es el primer campo del fichero /etc/passwd.
El nombre de usuario es poco relevante en la gestión interna del sistema, aunque es necesario identificarse con él para iniciar una sesión de trabajo; como veremos más adelante, lo que realmente asigna la identidad es el UID o número de usuario.
Si eliminamos un usuario del sistema del fichero /etc/passwd y quedan ficheros de su propiedad, al hacer un ls -la, en lugar de aparecer el nombre de usuario aparecerá el UID que tuviera ese usuario. Si volvemos a dar de alta otro usuario con ese mismo UID esos ficheros ahora serán de su propiedad; es un detalle a tener en cuenta, tanto para conocer el funcionamiento del sistema como para prevenir posibles problemas de privacidad de la información.
contraseña cifrada
El siguiente campo incluye la contraseña cifrada mediante el algoritmo DES (Data Encryption Standard), un algoritmo de cifrado de una sola vía: una vez cifrado no se puede descifrar. Para verificar que una contraseña cifrada coincide con la que suministramos, primero se cifra y después se compara.
Cada contraseña cifrada consta de 13 caracteres, los dos primeros son un valor semilla y los once restantes son la contraseña cifrada propiamente dicha.
De esta forma una misma contraseña puede tener múltiples valores cifrados.
De todas formas observamos como en el ejemplo de línea del fichero que poníamos anteriormente en este campo aparece una 'x'. Esto se debe a que no resulta aconsejable dejar las contraseñas cifradas al alcance de cualquier usuario; existen programass que probando combinaciones (lo que se conoce como ataque de fuerza bruta) consiguen descifrar algunas contraseñas, comprometiendo a los usuarios y a todo el sistema. Por este motivo, las contraseñas cifradas reales se guardan en el fichero /etc/shadow que además añade nuevas prestaciones a la gestión de usuarios de un sistema Unix.
Si un sistema no tiene activas las shadow password, cosa poco habitual, conviene hacerlo con la orden pwconv. Esta orden pertenece al paquete shadow-utils.
Los sistemas también admiten otros mecanismos de cifrado de contraseñas tales como md5.
UID
Es el número que identifica al usuario. Este número es el que se guarda en cada i-nodo de fichero para determinar quién es su propietario. El UID también se utiliza para identificar al propietario de un proceso.
Es posible tener en un mismo fichero /etc/passwd que tenga dos usuarios con el mismo UID. A todos los efectos son el mismo usuario y tienen los mismos privilegios.
El UID 0 pertenece a root y lo identifica como administrador del sistema concediéndolo todos los privilegios. Ésta es un forma de acceder a privilegios del sistema, editando el fichero y modificando el UID; por este motivo es importante que el root no deje sesiones de trabajo abiertas que permitan a un usuario en un instante modificar el fichero y acceder a privilegios que no le corresponden.
En un sistema Unix existen diversos usuarios propios del sistema y otros que el administrador da de alta. El administrador del sistema, en primer lugar deberá familiarizarse con los usuarios predeterminados del fichero /etc/passwd para evitar que alguien cree un usuario fraudulento que pase inadvertido entre otros usuarios del sistema.
Para facilitar la administración es conveniente crear rangos de usuarios según su tipo. Por ejemplo, los UID desde cero hasta 100 serán los usuarios especiales del sistema, a partir de 500 los usuarios normales, desde 1000 los usuarios del servidor HTTP, desde 5000 los usuarios sólo de correo electrónico, etc.
GID
Este es el número que identifica el grupo principal del usuario. Se utiliza para asignar una serie de propiedades a un conjunto de usuario. Muchos sistema, de forma predeterminada, crean un nuevo grupo exclusivo para cada usuario para garantizar un máximo de privacidad. Además un usuario puede pertenecer a otros grupos alternativos, lo que permite organizar los permisos de acceso a los recursos según las necesidades del sistema.
De la misma forma que el UID, el GID 0 es del grupo root, lo que permite a los miembros de este grupo realizar diversas labores de administración. De todas formas, incluir a un usuario en el grupo root debería hacerse con mucha precaución, si es estrictamente necesario, o mejor, no hacerlo.
nombre completo
Este campo es meramente informativo, y lo utilizan diversas utilidades del sistema. Este campo puede estar vacío sin más repercusiones.
directorio personal
Este campo es importante. Es donde cada usuario tiene permiso para crear sus ficheros y es el directorio activo cuando un usuario inicia una sesión en el sistema. Normalmente este directorio se crea dentro del directorio /home, pero esto no es ninguna exigencia del sistema; si las necesidades son otras también se puede crear el directorio personal en otra ubicación distinta. Por ejemplo, si queremos que un usuario sólo pueda modificar páginas web dentro del directorio /var/www/html, entonces podríamos hacer que éste fuera su directorio personal y asignarle permiso de escritura sobre él.
shell
En general en este último campo se especifica un programa que se ejecutará cuando un usuario inicia una sesión de trabajo en el sistema.
Normalmente este campo especifica una shell, aunque puede ser cualquier otro programa que queramos que se ejecute cuando se conecta un usuario.Por ejemplo, en los casos de usuarios del sistema que nunca iniciarán una sesión de trabajo tienen un /bin/false como campo de shell. Este podría ser el caso de cierto tipo de usuario del sistema, por ejemplo aquéllos que sólo sean usuarios de correo electrónico.
Este campo se puede utilizar para crear un usuario y lanzar un determinado proceso en el sistema de forma remota. Por ejemplo, para lanzar una conexión a internet por módem sólo lo puede lanzar el root o darle privilegios de root a otro usuario. Otra posibilidad sería crear un usuario con los UID y GID adecuados y ponerle en el campo correspondiente a la shell el programa que lanza la conexión. De esta forma sólo tendremos que dar la contraseña de ese usuario a quienes queramos que puedan lanzar la conexión.
Crear un usuario
Para crear un usuario, escribimos, entrando como root, "useradd" o "adduser" sin las comillas más el nombre del usuario. Ej.:
adduser carlos
Habrás creado un usuario sin clave de acceso, y escribiendo al inicio de Linux en login el nombre carlos, entrarás en TU SESIÓN.
De esta forma crearemos un usuario con las características por defecto, que suelen ser las mejores. Pero para crear un usuario a nuestra medida, también podemos escribir:
(Forma general)
[root@Wakitaki /root]# adduser -u 500 -g users carlos
[root@Wakitaki /root]# passwd carlos
(y asignamos la clave para carlos)
[root@Wakitaki /root]# adduser -u 501 -g users javier
[root@Wakitaki /root]# passwd javier
(y asignamos la clave para javier)
o también:
[root@Wakitaki /root]# adduser -u 500 -g 100 -p 123 -r carlos
Ahora ya sabemos que -u 500 -g 100 -p 123 -r son opcionales y no hace falta escribirlos para crear al usuario. Estas son algunas de las características más importantes a la hora de crear usuarios:
- adduser -u : Indica la UID del usuario, o sea, el número con el que el sistema identificará al usuario. Es conveniente que los números de usuario/cuenta (definidos en el fichero /etc/passwd) sean consecutivos dentro del mismo grupo. Por ejemplo, podemos ponerle 500 para el primer usuario, 502 para el siguiente, 502 el 3º, etc.
- -g 100. Indica el GID, esto es, el grupo al que ese usuario pertenece. Esto es importante porque en Linux un grupo de usuarios puede compartir una serie de ficheros y directorios. El número ha de ser el mismo para todos los que formen el grupo. Así, el grupo de los que formen el grupo 100 será uno, el 101 será otro, el 102 otro, etc. (TODOS los USUARIOS, deberían estar bajo el mismo grupo, "users", que suele ser el grupo 100). El fichero que identifica a los grupos es: /etc/group.
- -p 123. Se refiere a la clave del usuario para entrar en el sistema. No es obligatorio ponerla, pero sí muy recomendable.
- -r carlos. Será el nombre con el que el usuario entre en el sistema.
El usuario creado se guardará en el directorio /home, y con el directorio con el nombre del usuario creado, en este caso será: /home/carlos, con todas las configuraciones por definir, un .bashrc y un fichero .bash_profile, que tienen una mínima configuración, la cual recomendamos (ver capítulos anteriores) para una gestión adecuada.
Editar usuarios
Para editar usuarios, editamos el archivo passwd, con el joe, por ej.: Escribiremos:
cd /etc
joe passwd
joe shadow
o bien:
joe /etc/passwd
joe /etc/shadow
En este fichero la estructura es como sigue:
passwd carlos
para cambiarle la clave a Carlos.
Sólo root puede cambiarle la clave a otros usuarios. Como usuarios normales podemos cambiar nuestra clave escribiendo: passwd
donde se nos preguntará por la antigua contraseña, la nueva y que la verifiquemos.
Si no te acuerdas, o cualquier usuario no se acuerda de su password, root deberá encargarse de editar el fichero /etc/passwd y suprimir la línea donde aparece la clave:
javier:ClaveOlvidada:...
Para quedar:
javier::...
La orden usermod dispone de las mismas opciones que la orden userdd por lo que no vamos a repetirlas por completo, podremos cambiar el directorio personal, la cuenta el UID, la shell, etc.
La opción -L bloquea una cuenta de usuario añadiéndole a la clave cifrada un carácter !
Con la opción -U se levanta el bloqueo de la cuenta.
Por ejemplo:
y la cuenta antonio permanecería bloqueda en el sistema.
Para desbloquearla usaríamos:
Cuando se prevea que una cuenta de usuario no va a utilizarse pero no interesa borrarla por cualquier circunstancia lo mejor que podemos hacer es bloquearla para evitar que sea utilizada indebidamente y pueda comprometer otras cuentas o el sistema.
Borrar un usuario
Para eliminar usuarios tenemos la orden userdel.
Si ejecutamos:
eliminaríamos de la base de datos la cuenta antonio pero dejaría en el sistema su directorio personal. Si también queremos eliminar el directorio personal tendríamos que utilizar la opción -r
y en este caso se eliminaría el directorio personal también. El resto de ficheros propiedad de este usuario que hubiera en otros directorios, normalmente en /tmp o en ya que no debería tener permiso de escitura en otros, permanecen y tendría que borrarlos explícitamente el administrador, por ejemplo con:
# find / -uid xxx -exec rm {} \; |
donde xxx sería el UID del usuario que hemos borrado.
Antes de utilizar la orden con la opción rm sería conveniente que mostrara los ficheros que vamos a borrar para evitar llevarnos una sorpresa y borrar más de lo que realmente queríamos.
Extraído de:
http://dns.bdat.net/blog/index.php?option=com_content&task=view&id=61&Itemid=15http://www.linux-party.com/TutorialLinux/linux_files/linux5.html
