¿Es insegura Ubuntu Server? [Actualizada]

Al margen de lo que digan los típicos bocazas de Microsoft respecto a la supuesta superioridad en materia de seguridad de Windows Vista y Windows 7, lo cierto es que este post seguramente nos haga reflexionar un poco a todos los que creemos que las distribuciones GNU/Linux son especialmente seguras.

Y es que en un informe redactado en Linux Magazine se analizan los aspectos de seguridad de Ubuntu Server 8.10, y las conclusiones no son muy halagüeñas…

Como indican al principio del artículo,

Ubuntu Server has one of the cleanest and easiest Linux distribution installers. However, in many cases, its designers choose to ignore security in favor of ease-of-use. The result? An install that is not secure by default.

En el análisis se analizan tres grandes áreas -identidad, autenticación y autorización- a las que los diseñadores de esta versión servidora de Ubuntu deberían prestar más atención. El informe es interesante porque repasa los aspectos relacionados con la seguridad desde el propio momento en que la instalamos, y por ejemplo presta atención a los permisos de las cuentas de usuarios.

Afortunadamente, no se queda solo en eso y también da consejos para reforzar la seguridad de nuestra instalación, así que si sois usuarios de esta distro ya sabéis, aplicaros el cuento :) No soy un experto en seguridad, de modo que supongo que los problemas en realidad los tendrán en mayor o menor medida otras distros, así que si alguien tiene más datos sobre cuál es la distro más segura, por favor, aportad lo que queráis en los comentarios.

Actualización (15/04/2009, 18:25): Como han apuntado varios usuarios en los comentarios (agradecimientos a Lenny, vpadro y jose), el artículo original aporta pocos datos reales, y de hecho las listas de correo de Ubuntu Server sirvieron para que los desarrolladores de esta distro comentasen en varios mensajes que ese artículo no era especialmente afortunado.

consejos guias Linux Linux Magazine Seguridad Trucos Ubuntu 8.10 Server

juancarlospaco
A mi entender ninguna de Server es Segura ni esta lista luego de instalar, tiene una Etapa Lab y una Etapa Produccion, por lo tanto esta mal el analisis de Linux Magazine, seguro que ni un apt-get upgrade hicieron antes de mandarlo a produccion…
Pingback: meneame.net()
juanpablo
Lo real es que la seguridad en ubuntu, que he probado varias veces, deja mucho que decear. Esto es porque esta orientado a maquinas de un solo usuario, y canonical se enfoca en la sencilles en el dia a dia de un usuarioo comun. En mo caso utilzo slackware en mi Desktop y noteboock, es muy seguro en cuanto a cuentas de usuario, pero no se lo recomiendo a un ubuntero, porque hay que abilitar permisos hasta para leer un pendrive(muy bueno en un server). por lo demas concuerdo con juancarlospaco.
vpadro
Si alguien esta subscrito en la lista de ubuntu-server sabra que los mismos desarrolladores dieron su punto de vista sobre este tema publicado en Linux Magazine, el cual esta totalmente equivocado, no siempre se debe de creer todo lo que se lee o se oye.
Saludos.
Lenny
Está bien el artículo como toque de atención a los desarrolladores de instaladores, pero confunde un poco los conceptos.
Si se dice que GNU/Linux (o cualquier otro SSOO) es seguro, es por la estabilidad (sin cuelgues ni bloqueos), confiabilidad (sin agujeros de seguridad ni errores) y prestaciones (herramientas para aumentar la seguridad) que puede ofrecer el software que puedes utilizar en dicho SSOO. Nada que ver con cómo queda el SSOO recién instalado después de pulsar siguiente, siguiente, en un instalador.
Cualquier administrador que se precie, tiene que hacer un analisis previo a la implementación, la implementación en sí, y el periodo de testeo. Y eso en un instalador no se puede hacer. Te puede facilitar la vida, pero no te va a resolver ni un cuarto del trabajo que implica poner en marcha un servidor para producción. Por eso decía lo del toque de atención a los desarrolladores, porque quizás deberían cambiar el concepto de “instalador automático” por “instalador potente” en según qué distribución, pero ahí no entro.
Sobre las comprobaciones de seguridad que hace, no termino de entenderlas. Es como si hubiera echo una guía sobre los primeros pasos a llevar a cabo tras una instalación pelada. Vamos, que són las cuatro o cinco primeras cosas que configura un administrador si o si. El concepto de testeos de seguridad para determinar si un servidor es o no seguro, no lo tiene muy claro este hombre.
Pero estamos en lo de siempre, quiero lo mejor sin tener ni pajolera idea de informática. Y luego pasa lo que pasa… Para administrar un servidor con garantías tienes que ser administrador, en GNU/Linux, en BSD, en Windows Server, en Solaris, o en lo que sea. Es así de simple.
Cómo opinión personal, me parece casi tan absurdo como el enfoque del artículo el usar Ubuntu Server como distribución para un servidor, teniendo alternativas open source que cuidan y maduran muchísimo más el software, como Debian o los BSD.
PD: El título me parece exageradamente confuso, deberíais cambiarlo por algo más claro como “Ubuntu Server, sin configurar adecuadamente, es insegura”.
- diego
  Entonces no crees que ubuntu server sea una buena idea para montar servidores?
  Saludos(:
Picajoso
Lenny, buena apreciación, la verdad es que el título no era muy afortunado, lo he traducido directamente del original, y quizás era un poco exagerado. Gracias!
Lenny
De nada Picajoso, es que con el anterior uno se esperaba un fallo gordo de seguridad en Ubuntu Server o algo así.
Me he releído el artículo y sigo sin encontrarle mucho sentido. Se supone que el redactor es una persona que sabe de lo que habla, por el currículum del final, pero confunde cosas muy básicas.
Creo que esto no es más que una rabieta por tener un punto de vista diferente al de los desarrolladores que, como menciona vpadro, ya se posicionaron al respecto.
Saludos.
Picajoso
Pues gracias a los dos! vpadro, no tendrás un enlace de los comentarios de la distro en la lista de correo para hacer una actualización al artículo?
jose
https://lists.ubuntu.com/archives/ubuntu-server/2009-April/thread.html#2777
Picajoso
Gracias jose :)
Marcos Tzuc Cen
Naaaa piendo que es puro choro, o asino almenos mas seguro que windows si lo es, porque un vista, un 7 o un xp, no deja de ser un windows
juancarlospaco
jajajajaj te imaginas Vista de Server
GONZALO
Te apuesto que las críticas vienen de MICROSOFT. Si es así, son muy cara dura para criticar
UBUNTU acerca de seguridad, tengo entendido que el nuevo sistema operativo, 7, ya tuvieron
que hacer un parche de seguridad y aún no sale al mercado.
banyut
Mi ingles no es muy bueno, pero por lo poco que he entendido, la inseguridad de la que habla estriba en el propio usuario mas que en la distribución. El desconocimiento que este presenta a la hora de escoger las opciones de instalación que el sistema ofrece.
Que culpa tiene el sistema si uno pone 123456 de password.
jose
Respuesta de Dustin Kirkland, que curra en ubuntu server. Habla más que nada de los permisos de /home.
http://blog.dustinkirkland.com/2009/04/your-article-is-incorrect.html
jose
La verdad es que el artículo empieza de una manera un poquito ridícula, criticando que los permisos de los home de los usuarios sean 755 por defecto. En la pantalla de instalación te dice: “si quieres un directorio privado al que sólo tú tienes acceso, elige SI”. O sea, si quieres tener cosas privadas, lo único que tiene que hacer el muchacho es seleccionar YES y meterlas en la carpeta /home/pepito/Privado. En 9.04 desaparece la carpeta Privado y todo tu home pasa a ser privado si tú quieres.
Lo demás paso, a ver si otro se anima.
james
listo pasen todo.. … pero ahora hagan un sudo su – mail y postean el resultado de tan magna instruccion.. si les aparece un bash.. ejem ahi hay un problemita.. si lo quieren ignorar.. perfecto… total yo no uso ubuntu ( el bash de mail deberia ser /bin/false por si alguien lo pregunta) la puerta mas segura es la que es imposible de abrir
ya me anime
tampopo
Creo que es innecesario el termino bocazas. Como usuario multiplataforma que no se despeina interoperando entre entornos. Este tipo de cosas me dan ganas de coger y borrar la particion de Linux. Porque esta actitud es totalmente propietaria y nada libre :/ ¿no podemos ser todos amigos? Yo no me apunte para meterme en una trinchera y sentir nausea y odio al “mal”. Yo quiero ser REALMENTE libre de usar lo qeu quiera sin condicionamientos.
jose
james, hemos leído el artículo de linux magazine, lo digo porque no hace falta que repitas lo que dice el autor sobre mail… lo de que mail tenga /bin/bash está contestado en el hilo que enlacé antes.
jose
https://lists.ubuntu.com/archives/ubuntu-server/2009-April/002791.html
“The idea that setting a shell makes a service user vulnerable to
exploitation is ridiculous. If a service were exploited, the attacker
would have arbitrary code control, and could spawn whatever program they
wanted, regardless of the configured shell.
And besides, several of those services (cups, mysql, bind9, with dhcp added
in 9.04) are confined with AppArmor, so it matters even less.”

¿Es insegura Ubuntu Server? [Actualizada]

Lo último

Suscríbete gratis a MuyLinux

Gracias, recibirás un correo para confirmar tu suscripción.