Necesitas leer rwx, notación octal y grupos. Usa una instantánea antes de cambiar atributos o privilegios.
CONTENIDO ORIGINAL
Avanza en orden. Cada lección está redactada para Palta es Cool, utiliza ejemplos propios y termina con una actividad cuya respuesta puedes desplegar.
ANTES DE EMPEZAR
Ubícate antes de avanzar
Al terminar deberías poder relacionar Sticky y SGID con SUID y capabilities y resolver un caso nuevo.
Reserva entre 75 y 120 minutos o divide el laboratorio en dos sesiones.
04 / PREPARA EL LABORATORIO
Prepara una máquina virtual Linux con red NAT e instantáneas, o WSL para las prácticas que no requieren kernel y systemd completos.
Abrir la guía de herramientas →Diagnóstico rápido: ¿cómo se relacionan Sticky y SGID y SUID y capabilities? ＋
No necesitas acertar todavía. Escribe una hipótesis de dos líneas y compárala con tu respuesta al finalizar; si puedes corregirla y justificar el cambio, hubo aprendizaje.
Aprende el tema paso a paso
Examinarás sticky bit, SGID, SUID, capabilities, ACL y atributos como mecanismos concretos que deben reducir privilegios, no ocultar problemas.
Al terminar podrás
- Sticky y SGID resuelven problemas diferentes
- SUID y capabilities cambian la identidad o capacidad efectiva
- ACL y atributos explican permisos que rwx no cuenta
01
Directorios compartidos
Sticky y SGID resuelven problemas diferentes
En un directorio con sticky bit, usuarios con permiso de escritura no pueden borrar libremente nombres ajenos; /tmp es el ejemplo típico. SGID en un directorio hace que nuevos objetos hereden el grupo del directorio, útil para equipos. Ninguno reemplaza una política de grupos y umask.
Sticky aparece como t en el bloque de otros.
SGID aparece como s en el bloque del grupo.
Una S mayúscula indica que falta el x correspondiente.
¿Qué problema resuelve SGID en un directorio de trabajo grupal?
Mostrar respuesta ＋
Hace que los objetos nuevos hereden el grupo del directorio, evitando que cada creador deje archivos asociados accidentalmente a otro grupo principal.
02
Privilegio acotado
SUID y capabilities cambian la identidad o capacidad efectiva
Un ejecutable SUID puede correr con el UID efectivo de su propietario; por eso cada binario SUID amplía la superficie de riesgo. Linux capabilities divide privilegios antes concentrados en root, pero una capacidad mal asignada también puede ser poderosa. Auditar significa justificar cada excepción y retirarla si no es necesaria.
No pongas SUID en scripts de shell.
getcap y getpcaps observan capacidades.
El mínimo privilegio concede solo la operación requerida.
¿Por qué una capability puede ser preferible a ejecutar todo el programa como root?
Mostrar respuesta ＋
Porque puede conceder una capacidad concreta sin entregar todos los privilegios de UID 0, reduciendo el impacto de un fallo.
03
Capas adicionales
ACL y atributos explican permisos que rwx no cuenta
Las ACL permiten entradas para usuarios y grupos adicionales; una máscara limita sus permisos efectivos. Atributos como inmutable o append-only pertenecen al sistema de archivos y se consultan con lsattr. Si chmod parece correcto pero el acceso falla, revisa ACL, atributos, montaje y controles como SELinux o AppArmor.
getfacl muestra permisos y máscara efectivos.
lsattr observa atributos compatibles.
chattr +i debe probarse solo en un laboratorio recuperable.
¿Por qué ls -l puede no explicar completamente un permiso efectivo?
Mostrar respuesta ＋
Porque puede haber ACL, atributos del sistema de archivos, opciones de montaje o controles de seguridad adicionales que no caben en los nueve bits rwx.
Tu recorrido en tres ideas
- Sticky y SGID resuelven problemas diferentes
- SUID y capabilities cambian la identidad o capacidad efectiva
- ACL y atributos explican permisos que rwx no cuenta
CIERRE DE LA SECCIÓN
Comprueba que puedes usarlo
Antes de continuar, revisa estos tropiezos frecuentes y resuelve un caso sin copiar los ejemplos.
Asignar SUID o capabilities a un binario sin justificar cada privilegio.
Creer que chmod explica ACL, atributos, opciones de montaje y controles de seguridad.
Ahora hazlo sin guía
Audita una carpeta de equipo y propone SGID, sticky, ACL o ninguna medida para tres necesidades distintas.
Mostrar pauta de corrección ＋
Una respuesta sólida:
- Cada mecanismo responde a una regla concreta.
- Conserva mínimo privilegio.
- Incluye comandos de observación y una forma de revertir.