Al finalizar esta clase vas a poder:

• Explicar cómo identifica Linux a un usuario y a un grupo.
• Distinguir la función de /etc/passwd, /etc/shadow y /etc/group.
• Reconocer las herramientas para crear cuentas y administrar pertenencias.
• Diferenciar los grupos registrados para una cuenta de los grupos de una sesión existente.
• Interpretar la identidad asociada a un archivo y sus permisos básicos.

El sistema trabaja con números y nos muestra nombres

Comandos para saber quiénes somos:

• UID: identificador del usuario.
• GID: identificador del grupo principal de la sesión.
• Grupos suplementarios: otras pertenencias de esa sesión.

groups también permite consultar los grupos. En la salida de id, la lista groups incluye el principal.

Estar en el grupo sudo permite solicitar las acciones autorizadas por su configuración. La cuenta sigue siendo un usuario común mientras no eleva privilegios.

• root es la cuenta administrativa, con UID 0.
• sudo permite ejecutar un comando como otro usuario, normalmente root, según las autorizaciones configuradas.
• Tener permiso para usar sudo no convierte nuestra cuenta en root.

Los archivos almacenan el UID de su owner y un GID. Los programas consultan las bases de datos del sistema para mostrar los nombres correspondientes.

Si se elimina una cuenta, un archivo puede conservar su UID aunque ya no exista un nombre que mostrar. Eliminar la cuenta no transfiere automáticamente sus archivos a otro usuario.

-n muestra UID y GID sin traducirlos a nombres.

• UID 0 corresponde a root.
• En Debian son habituales los UID bajos para cuentas de sistema.
• Las cuentas comunes creadas con adduser suelen empezar en 1000.

Los rangos son convenciones configurables. El número por sí solo no demuestra si una cuenta corresponde a una persona o a un servicio.

UID → GID → nombres → identidad de la sesión

Qué contiene cada archivo y para qué se consulta

/etc/passwd · campos separados por :

El grupo principal de la cuenta se identifica en este archivo, mediante su GID.

/etc/passwd es normalmente legible por los usuarios. /etc/shadow restringe el acceso a la información de contraseñas y su vigencia.

Shadow puede guardar un hash, que permite verificar una contraseña. No es la contraseña en texto legible ni un cifrado que se descifre para recuperarla.

Esta línea es ficticia. Nos interesa entender la función del archivo, sin memorizar todos sus campos.

Restringir la lectura del hash reduce su exposición a intentos de adivinación fuera del sistema. También importan el algoritmo y la fortaleza de la contraseña.

Bloquear una contraseña no equivale a deshabilitar todas las formas de acceso. Una clave SSH podría seguir permitiendo el ingreso según la configuración.

passwd -S consulta el estado sin mostrar el hash: L indica contraseña bloqueada, P contraseña utilizable y NP ausencia de contraseña.

/etc/group · campos separados por :

La pertenencia por grupo principal no necesita aparecer en esta lista. No encontrar allí un nombre no alcanza para concluir que no pertenece al grupo.

getent consulta las fuentes de cuentas configuradas en el sistema. En nuestra VM son locales; en otro servidor pueden incluir un directorio central.

El comando getent nos puede servir como alternativa al clásico grep usuario /etc/passwd, por ejempo.

passwd: cuenta → shadow: contraseña → group: grupo → getent: consulta

Una cuenta puede pertenecer a varios grupos

• La cuenta tiene un grupo principal configurado.
• Puede pertenecer además a grupos suplementarios.
• Ambos intervienen en el acceso por grupo.
• Habitualmente, un archivo nuevo recibe el grupo efectivo del proceso que lo crea. Los directorios con SGID son una excepción que veremos en la clase 9.

Debian suele crear un grupo con el mismo nombre que cada usuario común. Ese grupo privado organiza pertenencias, pero no garantiza por sí solo privacidad: también cuentan los permisos del archivo y de la ruta.

Con la configuración habitual de Debian, adduser prepara el home, el grupo del mismo nombre y solicita una contraseña.

Los ejemplos muestran la función de cada herramienta. La creación de Ana, Bruno y el grupo de trabajo se realiza en el laboratorio.

En documentación también aparece esta forma de agregar una cuenta a un grupo:

• -G establece la lista de grupos suplementarios.
• -a indica que se agregan a las pertenencias existentes.

Sin -a, -G reemplaza la lista. Se puede perder una pertenencia importante, como sudo.

Los grupos de una sesión se cargan al iniciarla. Cambiar la pertenencia registrada no actualiza automáticamente los procesos que ya estaban abiertos.

Por eso alguien puede estar agregado correctamente a un grupo y necesitar iniciar una sesión nueva para usar esa pertenencia.

Grupo principal → grupos suplementarios → cuenta registrada → sesión existente

No todas las cuentas representan personas

Cuentas como www-data permiten ejecutar tareas del sistema con una identidad específica.

El propósito de la cuenta, su home y su intérprete ayudan a interpretarla. nologin es una señal habitual de que no se espera una sesión interactiva; no impide que existan procesos con esa identidad.

Los UID bajos son frecuentes en cuentas de sistema, pero no alcanzan para identificarlas por sí solos.

Un servicio debe ejecutar cada tarea con los privilegios que necesita. Algunas partes pueden requerir privilegios administrativos y otras ejecutarse con una cuenta dedicada.

Limitar sus permisos reduce el alcance de un fallo o de un compromiso. No garantiza por sí solo que cualquier ataque quede contenido.

Cuando instalemos servicios, comprobaremos con qué usuario corre cada proceso.

Unix: owner, grupo y otros (UGO)

Cada archivo tiene un owner y un grupo asociado. Los permisos tradicionales de Unix establecen qué puede hacer el owner, qué pueden hacer los miembros del grupo y qué pueden hacer los demás.

En cada conjunto se indican los permisos de lectura, escritura y ejecución: r, w y x.

UGO = User / Group / Others.

En UGO, user es el owner; la letra o corresponde a others. Estas letras reaparecen en la notación simbólica de chmod, que veremos en la clase 9.

En un archivo regular:

Un guion indica que ese bit no está habilitado. Los permisos de los directorios tienen otro significado y se desarrollan en la clase 9.

En este modelo, para un usuario común y un archivo cuya ruta es accesible:

1. Si es el owner, se aplican los bits de U.
2. Si no es el owner y pertenece al grupo del archivo, se aplican los bits de G.
3. En otro caso, se aplican los bits de O.

Los tres conjuntos no se suman. Se selecciona el que corresponde a esa identidad.

Para el archivo de Ana con grupo desarrollo y permisos rw-r-----:

El ejemplo supone que la ruta es accesible.

Owner → UGO → rwx → elegir un conjunto según la identidad

• UID y GID son identificadores numéricos; el sistema resuelve los nombres mediante sus bases de datos.
• /etc/passwd describe la cuenta, /etc/shadow su información de contraseña y /etc/group los grupos.
• getent consulta las fuentes configuradas.
• Grupo principal y suplementarios intervienen en el acceso; las sesiones existentes conservan sus grupos.
• Las cuentas de servicio permiten asignar privilegios según la tarea.
• UGO recuerda el orden: user —el owner—, group, others.
• rwx describe las operaciones permitidas; los conjuntos de UGO no se suman.

Laboratorio 7 — Usuarios, grupos e identidad

• Debian Policy — Usuarios, grupos y rangos
• Debian 13 — adduser(8)
• Debian 13 — passwd(1)
• Debian 13 — shadow(5)
• Debian 13 — Resolución de rutas y permisos