Práctica 4 · Permisos, cuotas y cifrado

1. Win+I → Cuentas → Otros usuarios → Agregar cuenta.
2. «No tengo la información de inicio de sesión» → «Agregar un usuario sin cuenta Microsoft».
3. Nombre: alumno2 · contraseña: alumno2. (con punto al final).
4. Déjalo como cuenta estándar (no admin).

sudo adduser alumno2
# Sigue las preguntas. Password: alumno2.
id alumno2
ls /home    # verás la carpeta /home/alumno2

mkdir C:\Equipo
mkdir C:\Equipo\Publico
mkdir C:\Equipo\Privado_Admin
mkdir C:\Equipo\Solo_Lectura

1. Clic derecho C:\Equipo → Propiedades → Seguridad.
2. Verás los grupos heredados: SYSTEM, Administradores, Usuarios autenticados...
3. Avanzadas → Deshabilitar herencia → «Convertir los permisos heredados en permisos explícitos».
4. Edita y deja:
   • SYSTEM — Control total.
   • Administradores — Control total.
   • Tu usuario admin — Control total.
   • (quita el resto)

Para añadir un usuario o grupo: Seguridad → Editar → Agregar → escribes alumno2 → Comprobar nombres → Aceptar → marcas el nivel de permiso.

icacls C:\Equipo
icacls C:\Equipo\Publico
icacls C:\Equipo\Privado_Admin
icacls C:\Equipo\Solo_Lectura

1. Cierra sesión y entra como alumno2.
2. Intenta:
   • Crear un archivo en C:\Equipo\Publico: ¿se puede?
   • Crear un archivo en C:\Equipo\Solo_Lectura: ¿se puede?
   • Abrir C:\Equipo\Privado_Admin: ¿qué pasa?

cd ~
mkdir -p Equipo/{publico,privado,solo_lectura}
echo "hola publico" > Equipo/publico/hola.txt
echo "secreto privado" > Equipo/privado/secreto.txt
echo "lectura solo" > Equipo/solo_lectura/lectura.txt

ls -la Equipo/

cd ~/Equipo
chmod 644 publico/hola.txt
chmod 600 privado/secreto.txt
chmod 444 solo_lectura/lectura.txt

ls -la publico/hola.txt privado/secreto.txt solo_lectura/lectura.txt

Vamos a cambiarnos a alumno2 y comprobar qué puede y qué no. Ojo: por defecto Ubuntu crea las carpetas personales con permisos 750, lo que significa que otros usuarios no pueden entrar. Antes de la prueba abrimos el «paso» a tu home (solo el bit x = poder atravesar la carpeta, sin permitir leer su listado).

# 1) Sustituye TU_USUARIO por tu nombre de usuario real en los comandos
#    (averígualo con: whoami)

# 2) Abre el bit x en tu home para que alumno2 pueda atravesarla
chmod o+x ~

# 3) Cámbiate a alumno2 (te pide su contraseña: alumno2.)
su alumno2

# 4) Ya eres alumno2. Comprueba con:
whoami

# 5) Intenta leer los archivos de TU_USUARIO
#    Sustituye TU_USUARIO por el tuyo real:
ls /home/TU_USUARIO/Equipo/publico/
cat /home/TU_USUARIO/Equipo/privado/secreto.txt

# 6) Sal de la sesión de alumno2 y vuelve a la tuya
exit

Si secreto.txt tiene permisos 600 (solo dueño), el cat del paso 5 debe FALLAR con un mensaje del tipo «Permission denied».

sudo apt install -y acl
mount | grep acl   # verifica que el FS soporta ACL (ext4 sí por defecto)

Sintaxis de setfacl:

• -m = «modificar» (añadir o cambiar).
• u:alumno2:r = al USUARIO «alumno2», dale permiso «r» (lectura).
• (También existe g:grupo:rw para grupos.)

cd ~/Equipo/privado

# Sin ACL no podrías dar lectura solo a un usuario extra
# sin tener que abrirla a "otros". Con ACL sí:
sudo setfacl -m u:alumno2:r secreto.txt

# Comprueba: ls -la te muestra un + al final de los permisos
# indicando que ese archivo tiene ACL extendidas
ls -la secreto.txt

# Para ver la ACL completa:
getfacl secreto.txt

sudo setfacl -d -m u:alumno2:rwx ~/Equipo/publico

# Cualquier archivo nuevo dentro hereda esta ACL
touch ~/Equipo/publico/nuevo.txt
getfacl ~/Equipo/publico/nuevo.txt

sudo setfacl -x u:alumno2 ~/Equipo/privado/secreto.txt
getfacl ~/Equipo/privado/secreto.txt

# Borrar todas las ACL
sudo setfacl -b ~/Equipo/publico

1. Abre el Explorador → clic derecho en E: → Activar BitLocker.
2. Elige «Usar contraseña para desbloquear la unidad» → contraseña BitLocker2026!
3. Guardar la clave de recuperación → «en un archivo». Guárdala en C:\Users\<tú>\Desktop\clave_E.txt.
4. «Cifrar solo el espacio usado» (más rápido para esta prueba).
5. «Modo compatible» (mejor compatibilidad).
6. Iniciar cifrado. Tarda unos minutos.

1. Crea un archivo de prueba en E:\
2. Cierra sesión o reinicia la VM.
3. Al volver, al hacer doble clic en E: → pide contraseña.
4. Pruébala. ¿Funciona?

1. Bloquea E: (clic derecho → Bloquear unidad).
2. Doble clic → cuando pida contraseña, escribe una incorrecta. «Más opciones» → «Introducir clave de recuperación».
3. Abre clave_E.txt, copia los 48 dígitos, pégalos.
4. Confirma que la unidad se abre.

manage-bde -status E:
manage-bde -lock E:        REM bloquear inmediatamente
manage-bde -unlock E: -password
manage-bde -off E:         REM descifrar (cuidado)

sudo umount /mnt/fat32_compat 2>/dev/null

# Quita la línea de /etc/fstab para que no falle al arrancar
sudo nano /etc/fstab
# Comenta con # la línea de /dev/sdb3 y guarda

sudo apt install -y cryptsetup

# Inicializa la partición como LUKS (CUIDADO: borra los datos)
sudo cryptsetup luksFormat /dev/sdb3
# Confirma con YES (mayúsculas)
# Contraseña: LinuxLUKS2026!

# Abrir como mapeo (se crea /dev/mapper/cripta)
sudo cryptsetup open /dev/sdb3 cripta

# Verifica
ls -la /dev/mapper/cripta
lsblk

# Formatea ext4 DENTRO del contenedor
sudo mkfs.ext4 -L "CIFRADO" /dev/mapper/cripta

# Montar
sudo mkdir -p /mnt/cifrado
sudo mount /dev/mapper/cripta /mnt/cifrado
df -h | grep cifrado

echo "Este archivo está dentro de LUKS" | sudo tee /mnt/cifrado/prueba.txt
sudo cat /mnt/cifrado/prueba.txt

# Cerrar (lo cifra de vuelta)
sudo umount /mnt/cifrado
sudo cryptsetup close cripta
lsblk

sudo cryptsetup open /dev/sdb3 cripta
# Pide la contraseña: LinuxLUKS2026!
sudo mount /dev/mapper/cripta /mnt/cifrado
ls /mnt/cifrado/
sudo cat /mnt/cifrado/prueba.txt

LUKS soporta hasta 8 contraseñas distintas (slots). Útil para entornos con varios admins.

sudo cryptsetup luksAddKey /dev/sdb3
# Pide la contraseña existente (LinuxLUKS2026!)
# Después pide la nueva: backup2026!

sudo cryptsetup luksDump /dev/sdb3 | grep -A2 "Key Slot"

1. Clic derecho en C: → Propiedades → pestaña Cuota → Mostrar configuración de cuota.
2. Marca «Habilitar la administración de cuota».
3. Marca «Denegar espacio en disco a usuarios que excedan el límite de cuota».
4. Limitar espacio: 500 MB, nivel de advertencia: 400 MB.
5. Aplicar.
6. Entradas de cuota → Cuota → Nueva entrada de cuota → busca alumno2 → asigna 200 MB / 150 MB.