Paquetes, copias y el rastro que deja cada orden

Lo que ya sabes: en la sala anterior, «Usuarios, grupos y quién puede qué», viste que un permiso de más es un camino para subir de privilegios. Aquí ves de dónde nacen esos permisos y cómo se instala sin abrir uno nuevo.

En Linux los programas llegan por un gestor de paquetes (apt en Debian y Ubuntu, dnf en Fedora y Red Hat). Instalar con él no es copiar un archivo suelto: el gestor consulta unos repositorios configurados, comprueba la firma digital de cada paquete contra una clave que ya tiene guardada y deja registro de lo instalado, de modo que luego se puede listar, actualizar o retirar.

La firma es lo que distingue un paquete del repositorio de uno cualquiera: dice que lo publicó quien tiene la clave y que no cambió por el camino. Por eso añadir un repositorio nuevo, o desactivar la comprobación de firma «para que instale», es una decisión de seguridad aunque parezca de comodidad.

Cuando un programa o una persona crea un archivo, Linux le pone permisos por defecto según una máscara (umask). La máscara no suma permisos: apaga los que indica. Con la habitual 022, los archivos nacen legibles por todos (644); con 077, solo el dueño los toca (600).

Importa porque el archivo nace así antes de que nadie revise nada. Una copia de seguridad o un informe con datos de clientes, creado con una máscara permisiva, queda leíble por cualquier cuenta del servidor desde el primer segundo, y corregirlo después no devuelve el tiempo en que estuvo abierto.

Para guardar o mover una carpeta entera se empaqueta y se comprime con tar (y gzip): un solo archivo .tar.gz que contiene los archivos con sus rutas, dueños y permisos. Al extraerlo, el sistema vuelve a crear todo eso, y de ahí salen dos cuidados.

El primero: una copia no deja de ser sensible por estar comprimida; comprimir no cifra, y un respaldo con datos de clientes necesita los mismos permisos estrictos que el original. El segundo: un paquete recibido de fuera no se extrae a ciegas; se lista antes su contenido, porque puede traer rutas absolutas o que suben de carpeta y sobrescribir archivos del sistema.

df dice cuánto espacio queda en cada disco y du cuánto ocupa cada carpeta. Parecen herramientas de orden doméstico y son de seguridad por dos razones. Un disco que se llena puede detener la base de datos, la web y, lo peor, los registros: cuando el sistema no tiene dónde escribir, deja de anotar lo que pasa justo cuando más importa.

Y un salto brusco de espacio es una señal: un directorio temporal que crece en una noche puede ser una copia de datos que alguien prepara para llevarse, o un registro que se desbordó por un ataque de fuerza bruta. Antes de borrar para liberar espacio, se mira qué lo llenó.

El intérprete de órdenes guarda las que cada cuenta escribe en un archivo de historial (en Bash, .bash_history en su carpeta personal). Para quien investiga es una fuente de primera mano: qué se ejecutó, en qué orden, con qué argumentos. Por eso un atacante con experiencia intenta no dejarlo: lo vacía, lo redirige o desactiva el historial al entrar.

Dos consecuencias. Un historial vacío o con huecos en una cuenta que sí trabaja a diario es una señal, no una tranquilidad. Y las órdenes que llevan una contraseña como argumento quedan escritas en claro: quien administra no debe pasar secretos así.