- \n
- De grano fino<\/strong> En lugar de ser todopoderoso: dividir los derechos de root en privilegios m\u00e1s espec\u00edficos.<\/li>\n
- Capacidades de los archivos<\/strong> En lugar de Set-UID: vincular los permisos necesarios directamente a los archivos binarios.<\/li>\n
- Conjuntos de capacidades<\/strong> Configurar de forma espec\u00edfica los par\u00e1metros \u00absteueren\u00bb: \u00abPermitted\u00bb, \u00abEffective\u00bb, \u00abInheritable\u00bb y \u00abBounding\u00bb.<\/li>\n
- Separaci\u00f3n de privilegios<\/strong>: Separar estrictamente los servicios, las herramientas y las tareas.<\/li>\n
- Defensa en profundidad<\/strong>: Completar las capacidades con sudo, roles y protocolos.<\/li>\n<\/ul>\n\n\n
\n![\"\"](\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/08\/linux-serververwaltung-8291.png\")
\n<\/figure>\n\n\n\u00bfPor qu\u00e9 separar los derechos de root?<\/h2>\n\n
Una cuenta de root permite Acceso total<\/strong> en el \u00e1mbito de los archivos y los procesos, pero precisamente eso da pie a errores con graves consecuencias. Basta un comando err\u00f3neo o un exploit para que se bloquee toda la instalaci\u00f3n. Por eso limito las acciones de gran alcance a lo estrictamente necesario, reduciendo as\u00ed la magnitud de los da\u00f1os y el tiempo de recuperaci\u00f3n. El principio de los derechos m\u00ednimos mantiene los servicios reducidos y controlables. Desactivo el inicio de sesi\u00f3n directo como root, apuesto por los roles y genero registros exhaustivos.<\/p>\n\n
Explicaci\u00f3n breve de las capacidades de Linux<\/h2>\n\n
Las capacidades de Linux desglosan los poderes cl\u00e1sicos del usuario \u00abroot\u00bb en derechos claramente definidos Privilegios<\/strong>. Cada proceso recibe \u00fanicamente los componentes que realmente necesita para su tarea, como la asignaci\u00f3n de puertos por debajo de 1024 o el env\u00edo de se\u00f1ales especiales. De este modo, evito el antiguo enfoque de \u00abtodo o nada\u00bb. El n\u00facleo gestiona estos componentes por cada proceso y los aplica de forma estricta. De este modo, el control sigue siendo minucioso y trazable.<\/p>\n\n
Desde el punto de vista t\u00e9cnico, relaciono las habilidades con Procesos<\/strong> (a trav\u00e9s de sus conjuntos de capacidades) o a Archivos<\/strong> (como atributos extendidos
capacidad de seguridad<\/code> en los binarios ELF). En elexecve()<\/code>-Al iniciarse, el n\u00facleo fusiona las capacidades de los archivos con los conjuntos de privilegios de los procesos: en t\u00e9rminos sencillos, las capacidades permitidas del atributo del archivo, junto con los derechos heredables del proceso que realiza la llamada, se combinan para formar el nuevo conjunto \u00abPermitted\u00bb y, si as\u00ed se ha indicado, se activan al mismo tiempo en el conjunto \u00abEffective\u00bb. Esto evita los rodeos de Set-UID y mantiene los privilegios visibles y verificables.<\/p>\n\n\n\n![\"\"](\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/08\/linux_rechte_besprechung_3820.png\")
\n<\/figure>\n\n\nComprender los conjuntos de capacidades en el contexto de los procesos<\/h2>\n\n
Cada proceso cuenta con varios conjuntos de derechos que yo gestiono de forma espec\u00edfica control<\/strong>. El \u00abPermitted-Set\u00bb define lo que un proceso puede tener en principio. El \u00abEffective-Set\u00bb establece lo que est\u00e1 activo en cada momento. El \u00abInheritable-Set\u00bb regula qu\u00e9 privilegios pueden transmitirse a los procesos hijos. El \u00abBounding-Set\u00bb establece un l\u00edmite m\u00e1ximo estricto e impide que los procesos lo superen.<\/p>\n\n
Ambient Capabilities y Securebits<\/h2>\n\n
Adem\u00e1s de los sets ya conocidos, est\u00e1 el Conjunto de m\u00fasica ambiental<\/strong>, que en el
execve()<\/code> no caduca autom\u00e1ticamente. Lo utilizo cuando un proceso sin privilegios necesita, de forma espec\u00edfica, derechos m\u00ednimos en variosexec<\/code>-que se mantengan a pesar de los saltos (por ejemplo, al ejecutar programas auxiliares externos). Los derechos \u00abambient\u00bb solo se tienen en cuenta en los derechos efectivos si el propio archivo ejecutado no establece capacidades de archivo; de este modo, evito una escalada no deseada.<\/p>\n\nCon los Securebits<\/strong> controlo los detalles de las transiciones, por ejemplo, si un proceso puede conservar las capacidades que ten\u00eda antes tras el cambio de UID (
keepcaps<\/code>) o si, en general, no puede obtener nuevos privilegios (no_new_privs<\/code>). En la pr\u00e1ctica, configuro Securebits de forma estricta y renuncio a la comodidad para romper las cadenas de exploits.<\/p>\n\nCapacidades de archivo en lugar de Set-UID<\/h2>\n\n
Sustituyo los binarios con Set-UID por capacidades de archivo para reducir el riesgo de bajar<\/strong>. En lugar de otorgar privilegios de root a un programa, solo le asigno los derechos necesarios. Un cambio t\u00edpico es el siguiente:
setcap 'cap_net_bind_service=+ep' \/usr\/bin\/meinserver<\/code>. Congetcap -r \/<\/code> Compruebo qu\u00e9 archivos contienen las competencias. Esto reduce notablemente las v\u00edas de escalaci\u00f3n.<\/p>\n\nEs importante que las capacidades de los archivos solo se apliquen a Archivos binarios ELF<\/strong> funcionan. Los scripts de int\u00e9rprete (por ejemplo, Python, Bash) no los heredan de forma fiable. En esos casos, encapsulo la acci\u00f3n privilegiada en una peque\u00f1a utilidad sometida a comprobaci\u00f3n est\u00e1tica o utilizo la activaci\u00f3n por socket, para que mi servicio ni siquiera tenga que establecer la conexi\u00f3n por s\u00ed mismo. Adem\u00e1s, presto atenci\u00f3n a los permisos de los archivos: las capacidades otorgan derechos especiales frente al n\u00facleo, pero sustituyen ninguno<\/strong> las ACL habituales o los permisos POSIX.<\/p>\n\n
Al copiar o empaquetar, las habilidades se pierden r\u00e1pidamente:
cp<\/code> sin compatibilidad con XATTR, configurado incorrectamenteumask<\/code> o eliminar un artefacto de compilaci\u00f3n de un sistema de archivos sin atributos extendidoscapacidad de seguridad<\/code> De forma impl\u00edcita. Por eso trabajo de manera reproducible y utilizo:cp --preserve=xattr ...<\/code>,tar --xattrs<\/code>,rsync -X<\/code>. En las compilaciones de paquetes, configuro expl\u00edcitamente las capacidades de los archivos en el script de instalaci\u00f3n, pruebo la instalaci\u00f3n en una m\u00e1quina virtual limpia y compruebogetcap<\/code> en el CI.<\/p>\n\nSeparaci\u00f3n de privilegios con escenarios realistas<\/h2>\n\n
Un servidor web necesita acceso a los puertos 80 y 443, pero no a los m\u00f3dulos del n\u00facleo ni a los reinicios del sistema, por lo que configuro CAP_NET_BIND_SERVICE<\/strong> y nada m\u00e1s. Un agente de copia de seguridad puede leer y escribir archivos, pero no modificar la configuraci\u00f3n de red. Una herramienta de supervisi\u00f3n tiene acceso de lectura a los indicadores clave, pero carece de derechos de modificaci\u00f3n. Estas restricciones limitan los ataques al \u00e1mbito local, en lugar de permitir que afecten a todo el sistema. Es precisamente esta separaci\u00f3n la que permite que los servicios sean manejables y mantiene a raya las configuraciones err\u00f3neas.<\/p>\n\n\n
\n![\"\"](\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/08\/balancing-linux-capabilities-5618.png\")
\n<\/figure>\n\n\nCombinar con \u00absudo\u00bb y los roles<\/h2>\n\n
Las capacidades no sustituyen a una Estructura de funciones<\/strong>, las complementan. Concedo los permisos de sudo con mucha cautela, utilizo rutas completas de comandos y evito reglas generales como \u201eALL=(ALL) ALL\u201c. Registro cada concesi\u00f3n de permisos. Los grupos agrupan responsabilidades, mientras que las capacidades establecen l\u00edmites t\u00e9cnicos en los procesos. De este modo se crean competencias claras sin privilegios excesivos.<\/p>\n\n
Errores habituales y buenas pr\u00e1cticas<\/h2>\n\n
- \n
- No se utiliza CAP_SYS_ADMIN como abreviatura:<\/strong> Este derecho es un caj\u00f3n de sastre. Lo sustituyo por alternativas m\u00e1s espec\u00edficas (p. ej.,.
CAP_SYS_CHROOT<\/code>,CAP_SYS_TIME<\/code>,CAP_SYS_NICE<\/code>) o prescinde de ello por completo.<\/li>\n- Los permisos de los archivos se mantienen estrictos:<\/strong> Las capacidades no anulan el DAC de forma general. Sin
CAP_DAC_OVERRIDE<\/code> El n\u00facleo sigue respetando los bits de propietario y de modo. Por lo tanto, sigo concediendo los derechos de lectura de forma m\u00ednima.<\/li>\n- Endurecimiento por v\u00eda:<\/strong> Si asigno capacidades de archivo a un binario, evito la suplantaci\u00f3n de PATH (rutas absolutas en
sudoers<\/code>, derechos de escritura restringidos en los directorios de la ruta de b\u00fasqueda).<\/li>\n- Publica pronto y con frecuencia:<\/strong> Es posible que los procesos se inicien con m\u00e1s permisos de los necesarios. Retiro los permisos innecesarios inmediatamente despu\u00e9s de realizar el paso delicado (
prctl()<\/code>\/libcap) y establezcono_new_privs<\/code>, siempre que sea posible.<\/li>\n- Limitar la herencia:<\/strong> Mantengo reducidos los conjuntos \u00abInheritable\u00bb y \u00abAmbient\u00bb. Los procesos hijos no deben abrir nuevas puertas.<\/li>\n
- Comprobar el proceso de compilaci\u00f3n y despliegue:<\/strong> Confirmo que
capacidad de seguridad<\/code> se conserve y que ning\u00fan paso de preparaci\u00f3n (capas de contenedores, NFS, esc\u00e1ner de artefactos) elimine los XATTR.<\/li>\n<\/ul>\n\nResumen de las capacidades y los riesgos m\u00e1s importantes<\/h2>\n\n
Antes de asignar privilegios, defino claramente los que son necesarios y eval\u00fao su riesgo. La siguiente tabla muestra ejemplos t\u00edpicos con sus efectos y su clasificaci\u00f3n. Siempre tengo en cuenta alternativas para evitar conceder derechos excesivos. Precisamente CAP_SYS_ADMIN<\/strong> Los concedo con mucha moderaci\u00f3n. Siempre que es posible, sustituyo los privilegios de amplio alcance por variantes espec\u00edficas y m\u00e1s limitadas.<\/p>\n\n
- Los permisos de los archivos se mantienen estrictos:<\/strong> Las capacidades no anulan el DAC de forma general. Sin
- Capacidades de los archivos<\/strong> En lugar de Set-UID: vincular los permisos necesarios directamente a los archivos binarios.<\/li>\n
![\"\"](\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/08\/linux_capabilities_tech-office_4738.png\")
\n<\/figure>\n\n\n![\"\"](\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/08\/entwickler_schreibtisch2345.png\")
\n<\/figure>\n\n\n![\"\"](\"https:\/\/webhosting.de\/wp-content\/uploads\/2026\/08\/linux-capabilities-8123.png\")
\n<\/figure>\n\n\n