Credenciales de acceso en claro en ficheros de configuración

Después de ver en twitter una serie de comentarios entre Lorenzo (@lawwait) y Borja (@Bberasatigui) sobre el comando unset histfile o export histfile=”/dev/null”, me vino a la cabeza la variable http_proxy. Se usa para poder salir por la consola de Linux por el proxy de turno. Para definirla, la sintaxis suele ser algo tal que así “export http_proxy=http://username:password@proxy.thing.com:8080/” Sí, uno sólo puede acceder al .bash_history de su propia sesión, no al del resto, al menos así debería ser. Pero, en un entorno de laboratorio, no se suele tener mucho cuidado en las configuraciones, permitiendo root por ssh o directamente usando siempre ese usuario para todo.

Sin embrago, hay casos en los que no depende de la sesión con la que estés interactuando con el sistema. Para poder usar las herramientas por consola de gestión de paquetes (aptitude, yum…) hay veces que no es suficiente con definir esta variable, se deben añadir los datos en algunos ficheros de configuración. En el caso de Ubuntu (supongo que debian también), /etc/apt/apt.conf o en el de RedHat/Fedora/CentOS /etc/yum.conf. Pero éstos no son los únicos ficheros, también te puedes encontrar estos datos de acceso del proxy dentro de .wgetrc por ejemplo. La sintaxis es la misma o muy parecida en todos.

http_proxy=proxy.host.com:8080
ftp_proxy=proxy.host.com:8080
proxy_user=MyUserName
proxy_passwd=MyPassword

Hay formas de dejar esto configurado y que sea algo más “seguro”, teniendo en cuenta que está una contraseña escrita en claro en un fichero editable 😦 que sería dar sólo permisos de lectura y escritura a root, dejando configurado un usuario único para ese cometido.

Es una forma extremadamente sencilla y fácil de averiguar las credenciales de alguien de la compañía, sin hashes, Jonh the ripper y demás molestias 🙂

En fin, ficheros a tener en cuenta a la hora de realizar una auditoría en una empresa. Como siempre, tener una buena política de usuarios implantada facilita mucho la labor, pero sin descuidar los entornos de prueba, laboratorios de desarrollo y demás, ya que parece que las buenas prácticas se olvidan aquí.

Saludos

Anuncios

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s