Linux, cron, unidades de servicio y claves SSH

Cada lugar es independiente de los otros. Cron lee un archivo del sistema, una carpeta de archivos sueltos y un archivo por cada cuenta; si solo se abre el primero, las tareas de las cuentas no se ven. Systemd tiene sus propias unidades y temporizadores, y un servicio nuevo no aparece en ningún archivo de cron. Y las claves autorizadas de una cuenta no ejecutan nada: son una lista de quién puede entrar.

Por eso una revisión de persistencia en Linux recorre los tres y compara cada hallazgo con el inventario del cliente. Encontrar algo en uno no dispensa de mirar los otros: quien dejó una puerta suele dejar más de una.

La cuenta www-data es la que usa el servidor web; no es una persona y casi nunca tiene tareas de cron propias. Que tenga una, que corra cada cinco minutos y que ejecute un archivo oculto en una carpeta temporal, es una combinación que se anota: la ubicación (una carpeta temporal donde cualquier proceso puede escribir) y el nombre que empieza por un punto (para no salir en un listado normal) describen un archivo puesto para pasar desapercibido, no uno para dar servicio.

En cron.txt busca la tarea que no tiene cambio aprobado.

Un paquete instala sus unidades de servicio en rutas del sistema, y el gestor de paquetes sabe a qué paquete pertenece cada una. Una unidad sin paquete puede ser legítima si la empresa la creó y alguien la aprobó. Por eso se piden las dos condiciones a la vez: sin paquete y sin cambio aprobado. Si falta cualquiera de las dos, no hay sospecha suficiente.

El resto de los datos de la unidad describe el comportamiento: con qué cuenta corre, qué ejecuta y si se reinicia sola. Una unidad que corre como root, ejecuta un archivo oculto y se reinicia siempre es un mecanismo hecho para durar.

Una línea de claves autorizadas deja entrar a quien tenga la clave privada que corresponde. El comentario del final de la línea lo escribe quien la añade: dos claves distintas pueden llevar el mismo comentario, y el comentario no demuestra nada. Lo que identifica una clave es su huella, un resumen que no se puede imitar. Se compara cada huella con el inventario que mantiene el cliente.

Una huella que no está en el inventario es una clave que nadie dio de alta. Antes de proponer retirarla se documenta: de qué cuenta es, cuándo se modificó el archivo y qué comentario lleva.