Control de usuarios personalizado con Apache y mod_authnz_external

A medida que pasa el tiempo me convenzo más de que es correcto separar la lógica de autentificación de los usuarios y el código de las aplicaciones web. En este artículo explicaré una alternativa para delegar estas tareas al servidor Apache, pero sin tener que escribir un nuevo módulo. Por fortuna existen muchas extensiones de propósito específico para hacer esto. Un ejemplo notable es mod-auth-pam, el cual expande las posibilidades pues se aprovecha toda la flexibilidad que ofrece la arquitectura Pluggable Authentication Modules. Pero por ejemplo, ¿qué hacer si ya tenemos una aplicación que brinda acceso a los usuarios de una forma muy particular y queremos reutilizar en nuevas aplicaciones ese método y los mismos datos? Continúe leyendo este artículo y encontrará la vía de solución. Notará que la configuración es relativamente fácil de hacer en sistemas GNU/Linux como Ubuntu . No olvide suscribirse a este blog si desea conocer más trucos del mundo de la informática.

¿Qué es mod_authnz_external?

Existen muchas extensiones de propósito específico para validar la identidad de los usuarios. La lista incluye a authn_alias, authn_anon, authn_dbd, authn_dbm, authn_default, authn_file, authnz_ldap, authz_dbm, authz_default, authz_groupfile, authz_host, authz_owner, authz_user, mod-auth-kerb, mod-auth-mysql, mod-auth-pgsql, mod-auth-plain, authcassimple-perl, authenntlm-perl, mod-auth-cas, mod-auth-openid, mod-auth-radius, mod-auth-sys-group, mod-authn-sasl, mod-authnz-external, mod-authz-unixgroup, webauth. El módulo mod_authnz_external es un módulo de Apache que permite autenticar los usuarios contra servicios externos. Sus ventajas consisten en que se puede utilizar para construir rápidamente infraestructuras de este tipo que sean seguros y fiables. Sin embargo hay que ser muy cuidadosos pues, si se utiliza mal, puede ser una fuente de vulnerabilidades. Esto se debe a que se delega todo el trabajo a un proceso externo que ejecuta un script configurado para este próposito. Además, debido a su diseño, no siempre es posible utilizarlo junto con autentificación del tipo Digest. Por tal razón frecuentemente se necesitaría transmitir las claves como texto plano. Una solución a este problema sería utilizar SSL. Pero, bueno, vayamos al grano ...

Seguridad web basada en los usuarios del sistema

Una de las aplicaciones más notables de este módulo es poder reutilizar la base de datos de usuarios locales del sistema para proteger una aplicación web, sin tener que exponer el fichero shadow. Para eso utilizaremos pwauth. Solo con unas pocas líneas ya es posible saber lo que hace

$ sudo apt-get install pwauth
$ sudo pwauth
myuser
mypassword
$ echo $?
0
$ sudo pwauth
myuser
wrong_password
$ echo $?
1

Como se puede observar el programa lee el usuario y la contraseña desde la entrada estándar y facilita el resultado a través del código de retorno del proceso (el valor 0 indica que los datos son correctos). Para ilustrar el resto del proceso, supongamos que tenemos una instancia de Trac corriendo con FastCGI. Para utilizaríamos unas líneas como las que aparecen a continuación:

ScriptAlias /trac /var/lib/trac/share/cgi-bin/trac.fcgi
<Location "/trac">
  Order allow,deny
  Allow from all
</Location>

ApacheConf

Para lograr nuestro objetivo solo debemos instalar el módulo y habilitarlo.

$ sudo apt-get install libapache2-mod-authnz-external
$ sudo ln -s /etc/apache2/mods-available/authnz_external.load /etc/apache2/mods-enabled/authnz_external.load

Luego procedemos a modificar el archivo de la siguiente forma.

# Registrar el método 'unix' para ejecutar `pwauth` e 
# interactuar a través de la entrada y salida estándar
DefineExternalAuth unix pipe /usr/sbin/pwauth   

ScriptAlias /trac /var/lib/trac/share/cgi-bin/trac.fcgi
<Location "/trac">
  Order allow,deny
  Allow from all

  # Autentificación básica
  AuthType Basic

  # Utilice un valor de su preferencia
  AuthName "swl"

  # El módulo `authnz_external` se hará cargo
  # de verificar la identidad de los usuarios
  AuthBasicProvider "external"

  # Para esta aplicación se utilizará el script identificado como 
  # 'unix' (ver la directiva `DefineExternalAuth` más arriba ;o)
  AuthExternal "unix"

  # Proteger el sitio (denegar acceso anónimo)
  require valid-user
</Location>

ApacheConf

¡Es así de simple! Espero que les sea útil en su quehacer cotidiano. Le sugiero suscribirse a este blog pues en próximos artículos podrán conocer cómo escribir su propio utilitario para validar los nombres de usuarios y las contraseñas.

Solo 12 minutos ... para volver a nacer

Recientemente publiqué un artículo acerca de la posibilidad de hackear la terjeta de identidad británica en solo 12 minutos. Pero un comentario de un lector me llevó a profundizar más en este tema. ¿Cuáles son los antecedentes de la introducción de la tarjeta de identidad en territorio británico? Se sorprenderá al conocer los detalles. Recuerde que simelo pide Usted, también habrá un comentario para abordar sus inquietudes. Y si le gusta, pues Usted puede seguir este blog.

La situación actual

El tema de las tarjetas de identificación y su introducción en territorio británico ha sido muy controvertido. Por solo citar ejemplos, en una sesión del parlamento británico se debatieron ambos temas. El Señor Chris Pond (cuyo cargo no quiero traducir y es Secretary of State for Work and Pensions) respondió unas preguntas acerca de los usos que su departamentoi daría a las tarjetas de identidad, y alegó que (texto en inglés) :

In addition, use of an identity card will ensure that the process of establishing identity for benefit claims is both more secure and more convenient for the customer, and we also envisage that the national identity card and its supporting database will be a useful tool in countering identity fraud.

¿Una tarjeta de identidad que se puede clonar en solo 12 minutos puede realmente ser la solución al robo de identidad y ofrecer un proceso de verificación de identidad más seguro y conveniente para los ciudadanos ?

En otra sesión parlamentaria con fecha 9 de febrero del 2009 se puede constatar que se incrementa el presupuesto para combatir el terrorismo, mientras que se redujo el que se destina al combate de otros crímenes comunes. En el debate también surgió el tema de las tarjetas de identidad y la prueba a realizar en la región de Manchester con trabajadores del sector aeronaval. En este caso la pregunta fue :

Mr. Leech I thank the Minister for her reply. Does she accept that there is no evidence to suggest that identity cards will have any positive impact on dealing with crime on our streets, and that a much better way of using the money would be to put extra police officers on our streets to combat burglary, for instance, which is on a massive increase in south Manchester?

Un tema muy candente, ¿qué es más efectivo para combatir el crímen, las tarjetas de identidad o los policias?. La respuesta fue muy curiosa :

Meg Hillier (Parliamentary Under-Secretary of State for the Home Department): There are already more police on the streets than there have been for some time, but perhaps I can give the hon. Gentleman a little lesson in how the cost of identity cards will work. There is not a big pot of money sitting and waiting to be spent on identity cards; there will be money to spend on them only if the general population choose to take them up. It is clear from my conversations with the public and other stakeholders that there is demand for identity cards.

Es decir, según la opinión pública y otros interesados, en el fondo alguien realmente demanda el sistema de tarjetas de identidad. Para acabar de ponerle la tapa al pomo en la misma sesión surgió otra pregunta muy interesante :

Damian Green (Ashford) (Con): The Minister has just said that airport workers in Manchester will be one of the first groups to have compulsory ID cards. Labour Members may wish to know that those airport workers themselves proposed a motion that was passed overwhelmingly at the TUC conference last year, to oppose ID cards with all the means at their disposal. Does that not tell the Minister that when real people are told that they must have an ID card, they recognise the scheme as expensive, intrusive, pointless and a dangerous threat to our freedom? Why does she not save time and scrap it right now?

Es decir, los mismos trabajadores propusieron una moción para oponerse a este sistema con todos los medios a su alcance, y la misma obtuvo un amplio respaldo debido a que los ciudadanos reales lo consideran caro, intrusivo, sin sentido y peligroso para las libertades individuales. Lo más curioso es que la respuesta indica que se trabajaba fuertemente para asegurar que se brindan beneficios reales a los trabajadores de los aeropuertos, entre ellos la agilidad en los trámites, basada en la seguridad que ofrece un sistema ... que no es seguro.

La historia se repite

Pero la historia se repite. Segun un artículo publicado en politics.co.uk en el año 1952. el Reino Unido rechazó su primer experimento con tarjetas de identidad. En las circunstancias actuales los activistas defensores de los derechos cívicos se oponen a su aplicación, a pesar de que las fuentes presentan este intento como la fórmula mágica para atacarlo todo ...

En aquella ocasión todo comenzó en tiempos de la Guerra Mundial" las tarjetas Briton llevaban el nombre, sexo, edad, ocupación, residencia, estado conyugal y profesión del portador. Se cuenta que incluso bajo la amenaza nazi, el parlamento efectuó un amplio debate, durante el cual John Tinker MP expresó : no queremos ser detenidos en la calle por cualquier persona, en cualquier momento y ser forzados a mostrar una tarjeta. Si ese tipo de cosas comienza, viviremos con miedo a encontrarnos con las personas y que nos soliciten nuestras tarjetas. Si hay algo que valoramos en este país es nuestra libertad para no ser interceptados en las calles en cada momento para mostrar algo con el objetivo de probar que realmente somos personas.

Las tarjetas duraron hasta 1951, cuando parece que alguien decidió que ya era demasiado. Ese hombre fue Willcock v Muckle, un chofer que fue interceptado y requerido a mostrar su tarjeta. Petición que el conductor rechazó varias veces, por lo que su caso fue llevado a la corte. El caso fue llevado a apelación, y allí hubo intervenciones muy interesantes como la siguiente (Lord Chief Justice Goddard de la King's Bench Division) :

El hecho de que la policia tenga poderes, no significa que tengan que ponerlos en práctica en todo momento como un asunto de rutina. A partir de lo que he escuchado es obvio que la policia ahora, como una cuestión rutinaria, demanda la producción de una tarjeta de identidad nacional a mostrar cada vez que detengan o interroguen a un conductor por la causa que fuere. Este accionar fue aprobado por razones de seguridad, nunca para los propósitos para los cuales está siendo utilizado.

Poco después el mismo orador se presentó dirigió al parlamento como estas palabras :

Es evidente que la policia ahora, como un procedimiento de rutina, solicita la tarjeta de identificación cada vez que detienen a un conductor por cualquier razón. Claro, si están buscando un auto robado o hay razones para creer que la persona está involucrada en un crímen, eso es una cosa, pero solicitarla por cualquier razón, por ejemplo, a una dama que pudo haber dejado su auto fuera de una tienda más tiempo que el que debía, o algún asunto menor de ese tipo, es completamente sin fundamento.

De todas formas, simelo preguntan en este caso, les digo que solo el tiempo dirá el desenlace definitivo.

Muchas gracias por su comentario, pues realmente había olvidado mencionar esta arista más social (menos tecnológica) del problema.

¿Quiénes somos realmente?

Al parecer nadie escapa del flagelo del robo de identidad. Ni siquiera el presidente de la Reserva Federal : Ben Bernanke. Desde Inglaterra llegan también noticias acerca de delitos similares. ¿Cuáles son los límites de este fenómeno? Simelo pregunta les respondo con otra pregunta : ¿Qué es lo que resulta realmente seguro?

La nueva tarjeta de identidad británica : hackeada

A principios de agosto del 2009 sucedió algo que puede parecer insólito. Una edición limitada de la nueva tarjeta digital de identificación para el territorio británico ha sido pirateada en solo ... 12 minutos. El encargado de realizarlo fue Adam Laurie, anteriormente famoso por haber hackeado el pasaporte inglés en solo ... cuatro horas.

Esta tarjeta es instituida por una ley llamada Identity Card Act, que abarca 50 categorias de datos personales, en especial : las características físicas, las huellas digitales, el statut de immigración, la dirección postal, el número de seguridad social y hasta la matrícula de un vehículo. Solamente quiénes residan más allá de los límites de la Unión Europea que desean vivir o trabajar en el Reino Unido serán obligados a adquirir esta tarjeta, bajo riesgo de multas por montos de hasta 1100 € en caso de no informar los cambios de dirección. Se estima que a finales del 2009 se hayan entregado alrededor de 75,000 tarjetas de este tipo. Todas contienen un chip RFID que facilita la obtención y consulta de estos datos en tiempo real utilizando canales inalámbricos.

¡Ah!, claro de más está decir que se afirma que la tarjeta es inviolable, y que la información solo puede ser extraída con dispositivos especiales. Es por esto que Adam Laurie y la revista Mail Online contactaron a un estudiante extranjero con el propósito de tener a mano uno de estos dispositivos. Solo se necesitaron 12 minutos para leer los datos almacenados en el dispositivo, y transferirlas hacia una tarjeta vírgen utilizada por una de las compañías londinenses de transporte público. Así de fácil resultó clonarla. ¡Claro!, olvidé mencionarles que para todo esto se utilizó nada más y nada menos que ... un teléfono celular Nokia con un software para comunicarse con dispositivos RFID. ¡Vaya dificultad! Según la revista Mail Online, también fue posible modificar las informaciones con el objetivo de asumir la identidad de otra persona. El señor Laurie explica que las víctimas se encuentran realmente en el centro del problema, pues será casi imposible probar su inocencia en el caso de pérdida de su tarjeta, y afirma que :

Si el gobierno desea realmente prevenir los robos de identidad, entonces se necesitará algo mejor que esto.

¿Cómo reaccionará el gobierno británico después de conocer esto?

¿El Banco Central de los Estados Unidos? ¿También?

Al parecer nadie escapa del flagelo del robo de identidad. Ni siquiera el presidente de la Reserva Federal : Ben Bernanke. El jefe del banco central y su esposa, Anna, se encuentran entre las víctimas de una red acusada de haber robado durante el año 2008 una suma superior a $ 2 millones USD.

Según Newsweek, un desconocido intentó sustraer $900 USD de la cuenta común de la pareja. Poco después una investigación habría arrojado a varios sospechosos, que habían combinado métodos tradicionales y alta tecnología para retirar el efectivo de las cuentas bancarias de los afectados.

En un comunicado reciente Ben Bernanke indica que el robo de identidad es un delito grave que afecta a millones de ciudadanos cada año y luego agregó nuestra familia no ha sido más que una de las 500 (víctimas) atribuidas a esta red solamente.

Conclusiones

Después de escuchar la intervención de un colega argentino en Informática 2009 y conversar un poco con él, me llevé la idea de que la búsqueda de la seguridad es una carrera muy, muy larga. Así que yo pregunto : ¿Qué es lo que resulta realmente seguro? ¿Cuál es el compromiso de los estados nacionales con la seguridad de sus ciudadanos? Mi opinión, bueno simelo preguntan solo les invito a que próximamente lean un artículo que preparo acerca de la reacción de los ciudadanos ante los fenómenos y los nuevos desafíos que se derivan del uso de las nuevas tecnologías. ¡No se lo pierda!

Lo que es seguro es que Windows no es seguro

Windows es seguro: ¿realidad o utopía? Échemosle un vistazo al reporte de seguridad del segundo semestre del 2008. Los datos son aportados por el propio Microsoft. Espero tener la posibilidad de redactar uno parecido sobre las vulnerabilidades en GNU/Linux, pero eso es un plan para el futuro. Por el momento les presento una cara de la moneda.

Introducción

Analicemos el reporte de Microsoft acerca de las debilidades y fallas de seguridad acontecidas entre julio y diciembre del 2008. Los datos son recolectados a través de las herramientas Windows Defender, Safety Scanner, Windows Live Care, Exchange Hosted Services o MSRT. Seguro que encontraremos varios temas muy curiosos.

Según Microsoft se constata un descenso en la cantidad de vulnerabilidades, y los ataques se dirigen más hacia las aplicaciones que hacia el sistema operativo en cuestión. Pero observando el gráfico se nota claramente que a partir del segundo semestre del 2008 ha ocurrido una disminución en el global de vulnerabilidades, pero un repunte de las que resultan más críticas. ¡Vaya descenso! Resulta ser que los expertos señalan que en este grupo se encuentran, además, las debilidades más fácilmente explotables (56% del total).

Bernard Ourghanlian, director técnico de seguridad de Microsoft Francia explica que los hackers se dedican cada vez menos a explotar los sistemas operativos, al estar estos cada vez más protegidos. Añade que en estos días los riesgos fundamentales se encuentran en las aplicaciones (más del 90%, y con un 4.5% para los navegadores web). Yo pregunto: ¿Cómo es posible que las aplicaciones sean seguras si el sistema operativo (que por cierto nadie fuera de la firma puede corregir por sus propios medios) ofrece unas interfaces de programación promiscuas e inseguras?

Aumentan los scarewares

Entre las amenazas más recientes se encuentran los scareware, falsas herramientas de seguridad que imitan a los programas legítimos para protección. Hay varias variantes populares. Unos instalan un caballo de Troya o algún otro espía. Otros estafan a los usuarios al proponerle transferencias de efectivo para posteriormente eliminar virus inexistentes.

Entre los caballos de Troya que se propagan a través de un scareware, se estima que Win32/Renos haya infectado en el año 2008 alrededor de 4.4 millones de computadoras. Esto representa un aumento del 66% con respecto al semestre anterior.

Formatos de ficheros inseguros

El paquete ofimático Microsoft Office al igual que la aplicación Acrobat Reader son frecuentemente el objetivo de personas mal intencionadas que desean aprovecharse de las fallas de seguridad. En general las versiones anteriores a Office 2007 son ampliamente vulnerables. Alrededor del mes de junio y julio del año analizado se elevó considerablemente el número de ataques a través de los ficheros PDF. Los mismos sacaban provecho de dos vulnerabilidades presentes en versiones viejas de Acrobat Reader.

Distribución geográfica

Los países con mayores índices de contaminación resultan ser Serbia y Montenegro (77 de cada 1000), Rusia (21.1) y Brasil (20.9); mientras que los de menos incidencias resultan ser Vietnam (1.3), Filipinas (1.4) y Japón (1.7).