Seguridad

LPI 110.1 Tareas de seguridadLPI 110.2 Seguridad del hostLPI 110.3 Cifrado de datos

Último módulo del curso. LPIC-1 no es una certificación de seguridad ofensiva — no esperes nada parecido a GhostOffensive aquí — pero sí exige que un administrador de sistemas sepa las tareas mínimas de higiene de seguridad que le corresponden: quién puede hacer qué, qué servicios están expuestos, y cómo proteger una conexión y unos datos con cifrado real.

1. LPI 110.1 — Tareas de administración de seguridad

1.1 Buscar lo que no debería estar ahí

$ find / -perm -4000 -type f 2>/dev/null
/usr/bin/passwd
/usr/bin/sudo
/usr/bin/su

$ awk -F: '($2=="") {print $1}' /etc/shadow

Ese awk busca cuentas con el campo de contraseña vacío en /etc/shadow — es decir, cuentas sin contraseña que permitirían entrar sin credenciales. En un sistema sano, no debería devolver nada.

$ grep -v nologin /etc/passwd | grep -v '/bin/false'
root:x:0:0:root:/root:/bin/bash
jose:x:1001:1001:Jose Perez:/home/jose:/bin/bash

Útil para ver rápidamente qué cuentas pueden iniciar sesión de verdad, descartando las cuentas de servicio que ya bloqueaste con /usr/sbin/nologin en el módulo 107.

1.2 Límites de recursos por usuario

$ ulimit -a
core file size          (blocks, -c) 0
open files                      (-n) 1024
max user processes               (-u) 15938
stack size              (Kbytes, -s) 8192

ulimit fija límites para la sesión actual; para que persistan por usuario/grupo se configuran en /etc/security/limits.conf (parte de PAM, que ya trabaja por debajo de login/sudo/SSH sin que lo veas directamente):

$ cat /etc/security/limits.conf | grep -v '^#' | grep .
jose    hard    nproc    100
jose    soft    nofile   2048
@desarrollo hard   core     0

1.3 Delegar privilegios con sudo, no con contraseñas compartidas de root

$ visudo
# abre /etc/sudoers con bloqueo y validacion de sintaxis antes de guardar - nunca lo edites con otro editor

$ cat /etc/sudoers.d/jose
jose ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx

La línea del ejemplo le da a jose permiso para reiniciar solo ese servicio concreto, sin pedir contraseña (NOPASSWD) — el principio de mínimo privilegio en la práctica: nunca ALL=(ALL) ALL si con un permiso más estrecho basta.

2. LPI 110.2 — Configurar la seguridad del host

2.1 Reducir la superficie de ataque: apagar lo que no usas

$ systemctl list-units --type=service --state=running
UNIT              LOAD   ACTIVE SUB     DESCRIPTION
ssh.service       loaded active running OpenBSD Secure Shell server
cups.service      loaded active running CUPS Scheduler
bluetooth.service loaded active running Bluetooth service

$ systemctl disable --now bluetooth
# lo para ahora mismo y evita que vuelva a arrancar en el proximo reinicio

2.2 TCP Wrappers: /etc/hosts.allow y /etc/hosts.deny

Un mecanismo antiguo pero que el examen todavía pregunta, para servicios compilados con soporte libwrap:

$ cat /etc/hosts.deny
ALL: ALL

$ cat /etc/hosts.allow
sshd: 192.168.1.0/24
sshd: 10.0.0.5

2.3 Firewall básico: iptables/nftables y ufw

$ ufw status verbose
Status: active
Default: deny (incoming), allow (outgoing)
To                         Action      From
22/tcp                     ALLOW       Anywhere
80,443/tcp                 ALLOW       Anywhere

$ ufw allow 22/tcp
Rule added

$ ufw deny from 203.0.113.50
Rule added

$ ufw enable
Firewall is active and enabled on system startup

3. LPI 110.3 — Asegurar datos con cifrado

3.1 SSH: la base de un acceso remoto seguro

El objetivo de examen más denso de todo el módulo. Empieza por la diferencia entre autenticarte con contraseña y con clave:

$ ssh-keygen -t ed25519 -C "jose@lpic1-lab"
Generating public/private ed25519 key pair.
Enter file in which to save the key (/home/jose/.ssh/id_ed25519):
Enter passphrase (empty for no passphrase):
Your identification has been saved in /home/jose/.ssh/id_ed25519
Your public key has been saved in /home/jose/.ssh/id_ed25519.pub

$ ssh-copy-id jose@servidor
Number of key(s) added: 1
Now try logging into the machine, with: "ssh 'jose@servidor'"
and check to make sure that only the key(s) you wanted were added.

$ ssh jose@servidor
# ya no pide contraseña: autentica con la clave privada local contra la publica ya copiada

3.2 Configuración del servidor SSH

$ grep -vE '^#|^$' /etc/ssh/sshd_config
Port 22
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
X11Forwarding yes

3.3 Configuración del lado cliente: ~/.ssh/config

$ cat ~/.ssh/config
Host servidor-bd
    HostName 192.168.1.20
    User jose
    Port 2222
    IdentityFile ~/.ssh/id_ed25519_bd

$ ssh servidor-bd
# usa automaticamente el host, usuario, puerto y clave de la entrada de arriba

3.4 GPG: cifrado y firma de datos

GPG (GNU Privacy Guard, implementación libre de OpenPGP) cifra ficheros y correo, y firma digitalmente para demostrar autoría e integridad — con el mismo par de claves pública/privada que ya conoces de SSH, pero para datos en reposo, no para una sesión interactiva.

$ gpg --full-generate-key
Please select what kind of key you want:
   (1) RSA and RSA
Requested keysize is 3072 bits
Real name: Jose Perez
Email address: jose@ejemplo.com
...
public and secret key created and signed.

$ gpg --list-keys
pub   rsa3072 2026-10-02 [SC]
      A1B2C3D4E5F6...
uid           [ultimate] Jose Perez <jose@ejemplo.com>

$ gpg --encrypt -r jose@ejemplo.com informe.pdf
# genera informe.pdf.gpg, cifrado con la clave publica de jose

$ gpg --decrypt informe.pdf.gpg > informe.pdf
# pide la frase de paso de tu clave privada para descifrar

Práctica guiada

1. En tu VM: ejecuta find / -perm -4000 -type f 2>/dev/null y revisa que reconoces todos los binarios SUID listados.
2. Genera un par de claves SSH con ssh-keygen -t ed25519 y cópialas a una segunda VM (o a la misma, por localhost) con ssh-copy-id.
3. Confirma que entras sin contraseña, y solo entonces pon PasswordAuthentication no en /etc/ssh/sshd_config y reinicia sshd con systemctl restart sshd.
4. Instala ufw si no lo tienes, activa el firewall con una regla que permita SSH (ufw allow 22/tcp antes de ufw enable, para no quedarte fuera) y revisa ufw status verbose.
5. Genera un par de claves GPG con gpg --full-generate-key, cifra un fichero de prueba para ti mismo y descífralo.
6. Añade una entrada a /etc/sudoers.d/ (con visudo -f) que te dé permiso para un único comando concreto sin contraseña, y pruébala.

Resumen de comandos del módulo

Autoevaluación

1. ¿Qué comando de awk usarías para detectar cuentas con contraseña vacía en /etc/shadow?
2. ¿Por qué se usa siempre visudo para editar /etc/sudoers en vez de un editor normal?
3. Explica el orden exacto de evaluación de /etc/hosts.allow y /etc/hosts.deny.
4. ¿Qué pasos debes seguir, en orden, antes de poner PasswordAuthentication no en un servidor SSH remoto, y por qué ese orden es tan importante?
5. ¿Qué fichero nunca debes compartir ni copiar a ningún servidor: la clave SSH pública o la privada?
6. ¿Qué diferencia hay entre cifrado simétrico (gpg -c) y asimétrico (gpg --encrypt -r) en cuanto a qué hay que compartir con quién?

🎓 Fin del curso

Con este módulo se completa el temario íntegro de LPIC-1 (exámenes 101-500 y 102-500): los 11 módulos de GhostLinux, de la instalación del sistema a la seguridad básica. El siguiente paso es la validación: repasa los tests temáticos y el simulador oficial de 250 preguntas en Recursos, y cuando encadenes simulacros por encima del 80% de aciertos de forma consistente, reserva el examen oficial con confianza.