Seguridad

Modelo de seguridad

La seguridad en IBM i es integrada al sistema operativo, no es un producto aparte. Cada objeto tiene un propietario y una lista de permisos. Cada usuario tiene un perfil que define qué puede y qué no puede hacer.

Niveles de seguridad (QSECURITY)

IBM i tiene niveles de seguridad configurables con el System Value QSECURITY. Cada nivel agrega protecciones sobre el anterior:

Perfiles de usuario

Cada usuario tiene un User Profile (*USRPRF) que es un objeto del sistema. Contiene toda la información de identidad, permisos, configuración de sesión y preferencias.

Un perfil de usuario define:

Perfiles especiales del sistema

Group Profiles

Los perfiles de grupo funcionan como grupos de Linux. Un usuario puede pertenecer a hasta 16 grupos. Las autoridades se heredan del grupo: si el grupo tiene acceso a un objeto, todos sus miembros también.

Clases de usuario

Cada perfil tiene una clase que determina un conjunto base de capacidades. De menor a mayor poder:

Autoridades sobre objetos

Cada objeto en IBM i tiene una lista de control de acceso que define qué usuarios o grupos pueden hacer qué con él. Hay autoridades predefinidas (shortcuts) y autoridades individuales.

Autoridades predefinidas (shortcuts)

Autoridades individuales

Los shortcuts se componen de autoridades individuales. Las principales son:

Public Authority

Cada objeto tiene una public authority que define el acceso por defecto para usuarios que no están listados explícitamente. Si creás una tabla con PUBLIC *CHANGE, cualquier usuario puede modificar sus datos a menos que tenga un *EXCLUDE explícito.

Autoridades especiales

Son permisos globales del sistema (no sobre un objeto específico). Se asignan al perfil del usuario y le dan capacidades amplias:

Listas de autorización (*AUTL)

En vez de asignar permisos objeto por objeto, podés crear una lista de autorización y asociarla a múltiples objetos. Cuando cambiás los permisos en la lista, se aplican automáticamente a todos los objetos asociados.

Es como un role-based access group pero a nivel de objetos del SO:

CRTAUTL AUTL(MIAPP_DATOS)               Crear lista
ADDAUTLE AUTL(MIAPP_DATOS) USER(FERNANDO) AUT(*CHANGE)  Agregar usuario
GRTOBJAUT OBJ(MILIB/CLIENTES) OBJTYPE(*FILE) AUTL(MIAPP_DATOS)  Asociar
DSPAUTL AUTL(MIAPP_DATOS)              Ver contenido de la lista
EDTAUTL AUTL(MIAPP_DATOS)              Editor interactivo

Adopted Authority

Un programa puede adoptar la autoridad de su propietario durante la ejecución. Esto permite que un usuario sin permisos directos sobre una tabla pueda acceder a ella a través de un programa controlado.

Auditoría

IBM i tiene un sistema de auditoría integrado que registra eventos de seguridad en un journal especial (QAUDJRN). Se configura con system values y atributos de objeto/perfil.

System Values de auditoría

Eventos que se pueden auditar

-- Ver intentos fallidos de login
SELECT TIMESTAMP, USER_NAME, REMOTE_ADDRESS
FROM QSYS2.AUDIT_JOURNAL_VA
WHERE ENTRY_TYPE = 'VA' AND AUDIT_VIOLATION_TYPE = 'A'
ORDER BY TIMESTAMP DESC
FETCH FIRST 20 ROWS ONLY;

Comandos de seguridad

CRTUSRPRF USRPRF(NUEVO) PASSWORD(xxx) USRCLS(*USER)  Crear perfil
CHGUSRPRF USRPRF(NUEVO) CURLIB(MILIB)    Cambiar biblioteca actual
DSPUSRPRF USRPRF(NUEVO) TYPE(*ALL)       Ver detalle del perfil
WRKUSRPRF USRPRF(*ALL)                   Listar todos los perfiles
DLTUSRPRF USRPRF(VIEJO) OWNOBJOPT(*CHGOWN)  Eliminar perfil
CHGPWD                                    Cambiar tu propia contraseña

GRTOBJAUT OBJ(MILIB/CLIENTES) OBJTYPE(*FILE) USER(FERNANDO) AUT(*CHANGE)
RVKOBJAUT OBJ(MILIB/CLIENTES) OBJTYPE(*FILE) USER(FERNANDO) AUT(*ALL)
DSPOBJAUT OBJ(MILIB/CLIENTES) OBJTYPE(*FILE)    Ver autoridades
EDTOBJAUT OBJ(MILIB/CLIENTES) OBJTYPE(*FILE)    Editor interactivo
CHGOBJOWN OBJ(MILIB/CLIENTES) OBJTYPE(*FILE) NEWOWN(ADMIN)  Cambiar dueño

-- Otorgar permisos SQL (funciona igual que en cualquier BD)
GRANT SELECT, INSERT, UPDATE ON MILIB.CLIENTES TO FERNANDO;
GRANT ALL ON MILIB.CLIENTES TO ADMIN WITH GRANT OPTION;
REVOKE DELETE ON MILIB.CLIENTES FROM FERNANDO;

-- Ver permisos de una tabla
SELECT * FROM QSYS2.OBJECT_PRIVILEGES
WHERE SYSTEM_OBJECT_SCHEMA = 'MILIB'
  AND SYSTEM_OBJECT_NAME = 'CLIENTES';

-- Ver perfiles con *ALLOBJ (riesgo de seguridad)
SELECT USER_NAME, SPECIAL_AUTHORITIES
FROM QSYS2.USER_INFO
WHERE SPECIAL_AUTHORITIES LIKE '%*ALLOBJ%';

MFA nativo en IBM i 7.6

IBM i 7.6 introduce autenticacion multifactor (MFA) integrada directamente en el sistema operativo. En releases anteriores, MFA requeria productos externos como PowerSC o soluciones de terceros. Ahora viene incluido en el SO.

Activar MFA

Para habilitar MFA en el sistema, se requieren estos pasos:

1. Configurar QPWDLVL a nivel 2 o superior (passwords largos)
2. Habilitar el atributo de seguridad: CHGSECA ADLSGNFAC(*ENABLED)
3. Configurar MFA para cada perfil de usuario individualmente
4. Los usuarios registran su dispositivo TOTP (app de autenticacion)

Como funciona

• Se usa la pantalla de sign-on QDSIGNON3 con un campo de 64 caracteres para el segundo factor
• El administrador configura MFA por perfil: se puede habilitar para unos usuarios y no para otros
• El usuario escanea un codigo QR con una app TOTP (Google Authenticator, Microsoft Authenticator, etc.)
• Cada login requiere password + codigo TOTP

MFA en interfaces no-5250

Varias interfaces de conexion no soportan nativamente un campo de segundo factor. IBM i 7.6 resuelve esto de diferentes formas:

MFA para Service Tools

IBM i 7.6 tambien soporta MFA para el acceso a Dedicated Service Tools (DST)y System Service Tools (SST). Se genera una recovery key de 64 caracteres que debe guardarse en un lugar seguro para escenarios de disaster recovery donde el reloj del sistema no sea preciso.

Cifrado de ASP1 (IBM i 7.6)

IBM i 7.6 permite por primera vez cifrar el ASP del sistema (ASP1), protegiendo todos los datos en reposo incluyendo datos del sistema operativo y de usuario.

Caracteristicas

• Cifrado completo de datos at-rest para el system ASP
• Aprovecha los aceleradores de cifrado de Power10 para minimizar impacto en rendimiento
• Se requiere un SAVSYS inmediatamente despues de cifrar para guardar claves y configuracion
• Complementa el cifrado de IASPs disponible desde releases anteriores
• El cifrado/descifrado tiene limitaciones: no se puede interrumpir una vez iniciado

TLS y protecciones adicionales (7.6)

TLS via Navigator

Navigator for i simplifica la habilitacion de TLS para los servicios del sistema. Permite visualizar el estado de TLS de cada servicio, habilitar HTTPS y desactivar puertos inseguros de forma grafica.

Proteccion contra impersonacion

IBM i 7.6 agrega controles para prevenir que programas adopten la identidad de perfiles con privilegios elevados de forma no autorizada. Esto protege contra ataques de escalacion de privilegios via adopted authority maliciosa.

SSO y Kerberos

Mejoras en la integracion con Single Sign-On y autenticacion Kerberos para entornos donde IBM i coexiste con Active Directory u otros proveedores de identidad corporativos. Network Authentication Enablement (5770-NAE) se incluye gratis con IBM i 7.6.

Exit points de seguridad

Nuevos exit points permiten monitorear y auditar conexiones entrantes a servicios del sistema. Combinados con programas de salida personalizados, proporcionan un mecanismo de control granular sobre quien accede y como.

Otros cambios de seguridad

• QPGMR restringido: el perfil QPGMR tiene permisos mas limitados para reducir la superficie de ataque
• DRDA/DDM: las conexiones ahora intentan cifrado AES primero por defecto
• NFS: los archivos de configuracion en /etc/nfs cambian ownership a QSYS y *PUBLIC a *EXCLUDE
• PKS para iSCSI: uso de Platform KeyStore para credenciales CHAP de iSCSI
• CFGHOSTSVR: nuevo comando para configurar servidores host de forma centralizada