Pam_unix.so: Seguridad de Contraseñas en Linux

El módulo pam_unix.so es un componente esencial para la autenticación en sistemas unix so como Linux. Se encarga de gestionar las contraseñas de los usuarios, lo que lo convierte en un objetivo vital para garantizar la seguridad del sistema. En este artículo, exploraremos las opciones de configuración de pam_unix.so que te permiten fortalecer la seguridad de las contraseñas y proteger tu sistema de ataques.

Opciones de Configuración para Mayor Seguridad

El archivo /etc/pam.d/login es el lugar donde se configuran las opciones de autenticación para el servicio de inicio de sesión. En este archivo, puedes especificar las opciones que deseas aplicar a pam_unix.so para mejorar la seguridad. Algunas de las opciones más relevantes son:

1. nullok: Permite el uso de contraseñas vacías. No se recomienda activar esta opción, ya que deja la cuenta vulnerable a accesos sin autorización.

2. try_first_pass: Intenta utilizar una contraseña proporcionada por otro módulo de autenticación antes de solicitarla al usuario. Si la contraseña es válida, no se solicita una contraseña al usuario.

3. use_first_pass: Si la contraseña proporcionada por otro módulo de autenticación no es válida, no se solicita la contraseña al usuario. Esto puede ser peligroso, ya que permite que los usuarios ingresen sin proporcionar una contraseña válida.

4. nodelay: Reduce el tiempo de espera para la respuesta de autenticación a 0 segundos. Esto puede ser útil para mejorar el rendimiento en sistemas muy concurridos, pero puede ser menos seguro si hay problemas de red.

5. not_set_pass: Anula las opciones que dependen de contraseñas previas o futuras. Se utiliza cuando se necesita realizar una acción sin la necesidad de una contraseña (por ejemplo, cambiar la contraseña sin la necesidad de proporcionar la contraseña actual).

6. remember=n: Impide el uso de las últimas n contraseñas. Las contraseñas anteriores se almacenan en el archivo /etc/security/opasswd. Esta opción es útil para prevenir el uso de contraseñas fáciles de adivinar basadas en patrones.

7. shadow: Obliga al módulo a usar el archivo /etc/shadow para la gestión de contraseñas en lugar del archivo /etc/passwd. El archivo /etc/shadow almacena las contraseñas en formato hash, lo que las hace más seguras.

8. Algoritmos de Hash:

* **`sha512`:** Algoritmo de hash seguro y recomendado para la gestión de contraseñas.
* **`blowfish`:** Un algoritmo de hash robusto que ofrece una mayor seguridad.
* **`md5`:** Un algoritmo de hash menos seguro que se ha visto comprometido en el pasado. **No se recomienda**.

9. rounds=n: Define el número de rondas para el hash de la contraseña. Un valor más alto significa que el hash de la contraseña tomará más tiempo, lo que dificulta los ataques de fuerza bruta. Se recomienda utilizar un valor alto, como 10 o más.

10. minlen=n: Especifica la longitud mínima de la contraseña. Se recomienda un mínimo de 8 caracteres.

11. obscure: Realiza comprobaciones adicionales para la fortaleza de la contraseña. Esta opción puede ser útil para garantizar que las contraseñas no sean demasiado simples o fáciles de adivinar.

Mejores Prácticas de Seguridad

Para garantizar la seguridad de tu sistema unix so, se recomienda utilizar las siguientes mejores prácticas al configurar pam_unix.so:

• Utiliza sha512 o blowfish como algoritmos de hash.
• Establece un valor alto para rounds (por ejemplo, 10 o más).
• Establece una longitud mínima de contraseña de 8 caracteres o más.
• Considera utilizar obscure para mejorar la seguridad de las contraseñas.
• Implementa una política de contraseñas que exija un cambio periódico de contraseñas.
• Desactiva nullok y use_first_pass.

Ejemplo de Configuración

El siguiente ejemplo muestra una configuración de pam_unix.so que utiliza sha512 como algoritmo de hash, rounds=12, minlen=8, y la opción obscure:


auth required pam_unix.so sha512 rounds=12 minlen=8 obscure


Conclusión

La configuración de pam_unix.so es crucial para la seguridad de los sistemas unix so. Utilizando las opciones de configuración adecuadas, puedes fortalecer la seguridad de las contraseñas y proteger tu sistema de ataques. Asegúrate de seguir las mejores prácticas de seguridad y revisar la configuración de pam_unix.so periódicamente para garantizar la protección de tu sistema.