☰

Debian y Tomcat, ¿por qué crear un usuario dedicado?

tag-icon • tag-icon users debian-wheezy tomcat7
Debian y Tomcat, ¿por qué crear un usuario dedicado?

Estaba intentando instalar Tomcat 7 en Wheezy.

Al mirar varias guías, noté que casi todas sugieren crear un usuario dedicado... ¿por qué?

También pregunto eso porque instalé Tomcat 7 a través del repositorio y miré que ya tengo un usuario adecuado para eso, supongo que tal vez la instalación de Tomcat lo creó.

cat /etc/passwd
tomcat7:x:103:106::/usr/share/tomcat7:/bin/false

Entonces mi pregunta es, ¿necesito crear un usuario (adicional) para mi Tomcat?

root@j51391:~# /usr/share/tomcat7/bin/version.sh 
Using CATALINA_BASE:   /usr/share/tomcat7
Using CATALINA_HOME:   /usr/share/tomcat7
Using CATALINA_TMPDIR: /usr/share/tomcat7/temp
Using JRE_HOME:        /usr/lib/jvm/java-7-oracle
Using CLASSPATH:       /usr/share/tomcat7/bin/bootstrap.jar:/usr/share/tomcat7/bin/tomcat-juli.jar
Server version: Apache Tomcat/7.0.28
Server built:   Dec 8 2012 06:51:43
Server number:  7.0.28.0
OS Name:        Linux
OS Version:     3.10.13-x86_64-jb1
Architecture:   amd64
JVM Version:    1.7.0_45-b18
JVM Vendor:     Oracle Corporation

Respuesta1

Es una buena práctica crear una cuenta dedicada para algunos servicios, especialmente cuando se puede acceder a ellos a través de Internet o de cualquier red que no sea de confianza. Entonces, si alguien explota una falla de seguridad en Tomcat, no pondrá en peligro todo el sistema. (A menos que logre escalar privilegios, pero esa es otra historia)

De la sección Consideraciones de seguridad de la documentación de Tomcat:

Tomcat no debe ejecutarse con el usuario root. Cree un usuario dedicado para el proceso Tomcat y proporcione a ese usuario los permisos mínimos necesarios para el sistema operativo. Por ejemplo, no debería ser posible iniciar sesión de forma remota utilizando el usuario de Tomcat.

En su caso, parece que el instalador del paquete ya se encargó de crear el usuario dedicado.

información relacionada