Admin Libre - Administración de sistemas y redes

Navega un poco más seguro usando la separación de privilegios de Unix
Por Francisco Gaitán el 10 de Abril de 2022

El exploit pdf.js de 2015 que afectaba a Firefox, donde archivos pdf maliciosos leían ficheros del home del usuario (incluyendo las llaves ssh) despertó todas las alarmas sobre la forma despreocupada en que se suelen usar los navegadores, los cuales están cada vez más cargados de funcionalidades y de complejidad.

Aunque a día de hoy en OpenBSD tanto Firefox como Chromium vienen compilados con unveil(2) puede ser muy conveniente separar los distintos roles de navegación en distintos usuarios aislados, de forma que un fallo en un perfil de navegación no afecte a otro. Por ejemplo, se pueden crear tres usuarios para navegación:

  • Usuario compras donde se escriben los datos de la tarjeta
  • Usuario incognito para navegación casual sin login
  • Usuario webmail para acceder a un servicio de correo web

La idea es de Matthew Dillon y está explicada en este mensaje de la lista de correo de DragonflyBSD, el cual he adaptado a OpenBSD tal y como aquí explico.

Esta configuración, aunque no es perfecta ya que la sesión de X Windows es compartida por todos los usuarios, es muy conveniente ya que si un perfil queda comprometido los datos de los demás usuarios no son directamente accesibles. Además, cada instancia se puede lanzar desde un dominio de enrutado distinto y a través de un VPN road warrior con WireGuard.

Crear nuevos usuarios con vipw

Parto de un usuario principal de nombre y grupo johndoe con llave ssh. Esto sirve para no tener que teclear la contraseña cada vez que se usa el navegador, y se explica en las páginas de manual ssh-keygen(1) para la generación y ssh-agent(1).

Usaré vipw(8) para crear dos nuevas cuentas, usaré UID a partir del número 30000:

incognito:*:30000:30000::0:0:Navegación casual:/home/incognito:/bin/ksh
compras:*:30001:30001::0:0:Compras por internet:/home/compras:/bin/ksh
webmail:*:30002:30002::0:0:Foros:/home/webmail:/bin/ksh

Ahora creo los directorios correspondientes:

# mkdir -p /home/{incognito,compras,webmail}/.ssh 
# cp /home/johndoe/.ssh/id_rsa.pub /home/{incognito,compras,webmail}/.ssh/authorized_keys
# chown -R incognito /home/incognito
# chown -R compras /home/compras
# chown -R webmail /home/webmail
# chgrp -R johndoe /home/{incognito,compras,webmail}
# chmod -R 750 /home/{incognito,compras,webmail}
# chmod -R o-rwx /home/{incognito,compras,webmail}

Para probar ejecuto el comando ssh incognito@localhost -n ls -la. Si sshd está funcionando y todo se hizo bien debe aparecer la lista del directorio home del usuario incognito.

Ahora creo un script para cada instancia de Firefox/Chromium. Los llamaré incognito.sh, compras.sh y webmail.sh que estarán en el directorio /home/johndoe/bin:

#!/bin/csh
scp ~/.Xauthority incognito@localhost:
ssh incognito@localhost -n "export DISPLAY=":0.0"; chromium"

Después creo un par de scripts para webmail y compras de la misma manera. Para rizar el rizo, cada instancia podría usar un distinto dominio de enrutado usando VPNs tal y como explico en el artículo VPN Road Warrior con Wireguard y OpenBSD.

Enlaces a los directorios de descarga

Ahora creo unos enlaces del directorio de descargas de cada usuario al home de mi usuario principal. Como le di permisos de acceso al incluirlo en el grupo johndoe deberían ser accesibles. Si se quiere se le pueden dar permisos de escritura al grupo en el directorio Downloads de cada uno de estos usuarios.

$ mkdir ~/descargas
$ ln -s /home/incognito/Downloads ~/descargas/incognito
$ ln -s /home/compras/Downloads ~/descargas/compras
$ ln -s /home/webmail/Downloads ~/descargas/webmail

A tener en cuenta

  • Esta no es una solución perfecta porque estás dando a la cuenta secundaria acceso completo a la sesión de las X.
  • Estas aplicaciones serán capaces de usar la memoria compartida de las X y por tanto funcionar de forma rápida ya que no están usando un túnel ssh.
  • Puedes configurar el GID y permisos de grupo para acceder a archivos y directorios de estas cuentas desde tu usuario principal sin dar a las cuentas secundarias acceso a tus archivos.
  • La configuración de cada navegador se realiza individualmente.
  • Puedes copiar/pegar sin problemas al no estar funcionando a través de un túnel ssh.

Destacado

Misión

Admin Libre promueve el uso de software libre y de calidad tanto en los servidores como en el hardware de red con el objetivo de hacer los sistemas más seguros y auditables.