Cómo asegurar tus comparticiones de Samba: mejores prácticas de seguridad para usuarios y grupos

Samba es un componente crítico para redes mixtas. Si tienes la intención de permitir que Linux, Mac y Windows se comuniquen entre sí de manera transparente, es probable que hayas considerado este servicio de código abierto. Si ese es el caso, seguramente también has considerado seriamente la seguridad de los usuarios. Después de todo, si abres una compartición de Samba sin considerar la seguridad de los usuarios, corres el riesgo de que los usuarios tengan acceso a datos a los que no deberían acceder.

Entonces, ¿por dónde empezar? ¿Cómo puedes asegurar tus comparticiones de Samba? Todo comienza con los usuarios.

Seguridad por usuario o grupo

Cuando creas una compartición de Samba, puedes hacerlo para usuarios individuales o grupos, esta es una excelente forma de asegurar una compartición específica para un usuario o grupo en particular. ¿Cómo hacer esto? Es simple. Supongamos que tienes una carpeta en un servidor que solo debe ser vista por Olivia. Dentro del archivo de configuración smb.conf, esa compartición se vería así:

[Olivia]
​ path = /data/olivia
​ read only = no
​ writeable = yes
​ browseable = yes
​ valid users = Olivia
​ create mask = 0640
​ directory mask = 0750
force user = Olivia

Debes asegurarte de que (en este caso) el usuario Olivia tenga permiso para acceder a la carpeta /data/olivia. Esto se puede hacer con un comando como este:

chown -R Olivia.Olivia /data/olivia

Corazones hackeables: St. Jude en la mira por riesgos de seguridad

La opción "valid users" le indica a Samba qué usuarios limitar en la compartición, mientras que la opción "force user" asegura que todos los archivos se escriban solo como ese usuario. Puedes configurar varios usuarios de la siguiente manera:

valid users = Olivia, Nathan, Bethany, Jamal

¿Qué pasa si tienes un grupo llamado "editorial" y quieres compartir el directorio /data/editorial con ese grupo? Una compartición para ese grupo se vería así:

[Editorial]
​ path = /data/editorial
​ read only = no
​ writeable = yes
​ browseable = yes
​ valid users = @editorial
​ create mask = 0660
​ directory mask = 0770

La parte crucial es el carácter @, que le indica a Samba que "editorial" es un grupo y no un usuario. Con los grupos, debes asegurarte de que todos los miembros hayan sido agregados al grupo con un comando como este:

usermod -a -G NOMBRE_GRUPO NOMBRE_USUARIO

Qué es Tor y por qué es importante para la privacidad en línea

NOMBRE_GRUPO es el nombre del grupo, y NOMBRE_USUARIO es el nombre del usuario que se agregará.

Control de acceso a las comparticiones

Querrás asegurarte de que determinados usuarios no puedan acceder a ninguna compartición de Samba en tu servidor; estos usuarios son root, bin, daemon, adm, sync, shutdown, halt, mail, news, uucp u operator. Bloqueamos su acceso en la definición [global] de la siguiente manera:

invalid users = root bin daemon adm sync shutdown halt mail news uucp operator

Para bloquear grupos específicos en la definición [global], se debe utilizar la opción "invalid groups" de esta manera:

invalid groups = root sudo

Observa que se agrega root tanto como usuario como grupo; esto podría evitar que cualquier persona agregada al grupo root (que tendría permisos más elevados) acceda a la compartición.

Cómo auditar y proteger tus sistemas Linux: Guía completa con Lynis

Configuración de contraseñas de Samba

Uno de los pasos más comúnmente pasados por alto al configurar Samba es agregar contraseñas para los usuarios. Si no estableces contraseñas de usuario de Samba, los usuarios no podrán acceder a sus comparticiones. El comando para agregar una contraseña de usuario de Samba es (USUARIO es el nombre de usuario real):

smbpasswd -a USUARIO

Ahora, el usuario podrá acceder a su compartición de Samba utilizando su nueva contraseña de usuario de Samba.

La seguridad de Samba hecha fácil

Una vez que comprendas cómo trabajar mejor con Samba, los usuarios y grupos, el aspecto de seguridad será significativamente más fácil. Hay mucho más que puedes hacer para asegurar tus comparticiones, pero seguir los pasos anteriores te pondrá en marcha hacia esa deseada tierra de mejores prácticas.

4 consejos para asegurar tu instalación de Apache 2

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a Cómo asegurar tus comparticiones de Samba: mejores prácticas de seguridad para usuarios y grupos , tenemos lo ultimo en tecnología 2023.