Cómo recuperar una contraseña olvidada de Linux

Para recuperar la contraseña olvidada de un Linux propio existen dos métodos principales, ambos basados en el hecho de que quien tiene acceso físico al equipo y controla su arranque puede tomar el control del sistema para restablecer la contraseña, lo que constituye un procedimiento estándar de administración y no un truco para saltarse la seguridad. El primer método consiste en utilizar el modo de recuperación a través del gestor de arranque, que es la opción adecuada cuando se tiene acceso al menú de arranque del sistema. En este método se edita temporalmente la línea de arranque del gestor para iniciar el sistema con una consola de superusuario o en un modo especial de mantenimiento, se remonta el disco del sistema con permiso de escritura, ya que a veces está montado como solo lectura, y se ejecuta el comando de cambio de contraseña indicando el nombre del usuario cuya contraseña se quiere restablecer, tras lo cual se introduce la nueva contraseña. El segundo método, más universal y que funciona incluso cuando el modo de recuperación no está disponible o está protegido, consiste en arrancar el equipo desde un Live USB, que es un sistema Linux que se ejecuta desde un pendrive sin tocar el sistema instalado. Una vez arrancado el Live USB, se monta la partición del disco donde está instalado el sistema y se utiliza la técnica de cambiar la raíz del sistema al disco montado, lo que permite operar como si se hubiera arrancado el sistema instalado, y desde ahí se ejecuta el comando de cambio de contraseña para el usuario correspondiente. En ambos métodos, el paso final es el mismo, que es ejecutar el comando que cambia la contraseña del usuario y establecer una nueva. Es fundamental tener presente que este procedimiento solo debe aplicarse a equipos propios o a equipos que se administran legítimamente y con autorización, ya que aplicarlo a un equipo ajeno sin permiso constituye un acceso no autorizado y es ilegal. Además, si el disco del sistema está cifrado, será necesario desbloquearlo primero con la frase de cifrado, y si esa frase también se ha perdido, la recuperación no será posible, lo cual es precisamente el objetivo del cifrado de disco.

Que sea posible recuperar la contraseña de un Linux con acceso físico al equipo no es un fallo de seguridad ni una debilidad del sistema, sino la consecuencia de un principio fundamental de la seguridad informática que establece que quien tiene acceso físico a una máquina la controla en la práctica. La seguridad de un sistema operativo como Linux está diseñada para proteger frente a dos tipos de amenazas principales: los accesos remotos a través de la red, y los accesos de otros usuarios que comparten el mismo sistema. Frente a estas amenazas, los mecanismos de contraseñas, permisos y control de acceso funcionan bien y protegen el sistema. Sin embargo, ninguno de estos mecanismos puede proteger frente a alguien que está físicamente delante del equipo y que controla la forma en que este arranca, porque esa persona puede intervenir en el proceso de arranque antes de que los mecanismos de seguridad del sistema entren en funcionamiento, cambiando las reglas del juego. Por ejemplo, puede modificar la línea de arranque para iniciar el sistema con una consola de superusuario, o puede arrancar desde otro medio, como un pendrive, y acceder al disco desde fuera del sistema instalado. En ambos casos, obtiene control total sobre los archivos del sistema, incluidos los que almacenan las contraseñas, y por tanto puede cambiarlas. Esto significa que el acceso físico es, en efecto, la llave maestra de un equipo, y que la protección mediante contraseña del inicio de sesión no está pensada para defenderse de quien tiene el equipo en sus manos. Esta realidad tiene dos implicaciones importantes. La primera es que el procedimiento de recuperación de contraseña solo es legítimo en equipos propios o bajo la responsabilidad de quien lo realiza, ya que en un equipo ajeno constituiría un acceso no autorizado. La segunda es que, si se quiere proteger de verdad un equipo frente a alguien con acceso físico, no basta con la contraseña de inicio de sesión, sino que hacen falta medidas adicionales, siendo la más importante el cifrado del disco, ya que si los datos están cifrados, el acceso físico al disco no permite leer su contenido sin la frase de cifrado.

El modo de recuperación es una opción de arranque que ofrecen muchas distribuciones de Linux a través de GRUB, que es el gestor de arranque encargado de cargar el sistema operativo al encender el equipo, y que permite iniciar el sistema en un estado especial de mantenimiento pensado para diagnosticar y solucionar problemas, incluida la recuperación de contraseñas. Cuando se enciende un equipo con Linux, GRUB muestra, o se puede hacer que muestre, un menú de arranque en el que, además de la opción normal de iniciar el sistema, suele haber una opción de recuperación o modo de mantenimiento para cada núcleo instalado. Al elegir esa opción de recuperación, el sistema arranca de una forma reducida y con privilegios de administración, presentando a menudo un menú de recuperación con distintas herramientas o directamente una consola con permisos de superusuario. Este modo está diseñado precisamente para situaciones en las que el sistema no funciona correctamente o en las que se necesita realizar tareas de mantenimiento que requieren acceso privilegiado, como reparar configuraciones, comprobar el disco o, en el caso que nos ocupa, restablecer una contraseña olvidada. Para recuperar una contraseña desde el modo de recuperación, se accede a la consola de superusuario que este proporciona, se comprueba que el disco del sistema esté montado con permiso de escritura, remontándolo si fuera necesario, ya que en ocasiones se monta como solo lectura, y se ejecuta el comando de cambio de contraseña indicando el usuario correspondiente. En algunos casos, en lugar de una opción de recuperación explícita en el menú, es necesario editar manualmente la línea de arranque del gestor para añadir un parámetro que indique al sistema que arranque en un modo mono-usuario o que abra directamente una consola, lo que se hace desde el propio menú de GRUB pulsando la tecla de edición sobre la entrada de arranque. En cualquiera de sus variantes, el modo de recuperación es una herramienta muy útil y legítima para la administración del sistema, y su acceso es una de las razones por las que, si se quiere proteger el equipo frente a personas con acceso físico, conviene proteger el propio gestor de arranque con una contraseña.

Recuperar la contraseña con un Live USB es el método más universal para restablecer una contraseña olvidada de Linux, y resulta especialmente útil cuando el modo de recuperación del gestor de arranque no está disponible o está protegido con contraseña, ya que permite acceder al disco del sistema desde un entorno completamente independiente. Un Live USB es un pendrive que contiene un sistema Linux capaz de arrancar y ejecutarse directamente desde él, sin necesidad de instalarse ni de tocar el sistema que está instalado en el disco del equipo, y se puede crear fácilmente a partir de la imagen de casi cualquier distribución. El procedimiento comienza arrancando el equipo desde el Live USB, para lo cual normalmente hay que indicar en el menú de arranque de la placa base que se desea arrancar desde el pendrive en lugar de desde el disco duro. Una vez que el sistema del Live USB se ha iniciado, se identifica y se monta la partición del disco donde está instalado el sistema cuya contraseña se quiere recuperar, de modo que sus archivos queden accesibles. A continuación se utiliza la técnica de cambiar la raíz del sistema al directorio donde se ha montado el disco, lo que permite operar sobre el sistema instalado como si se hubiera arrancado desde él, con acceso a sus comandos y a su configuración. Ya en ese contexto, se ejecuta el comando de cambio de contraseña indicando el usuario cuya contraseña se desea restablecer, y se introduce la nueva contraseña. Finalmente, se sale de ese contexto, se desmonta el disco y se reinicia el equipo de forma normal, retirando el pendrive, tras lo cual ya se puede iniciar sesión con la nueva contraseña. Este método es muy robusto porque no depende de las opciones de recuperación del sistema instalado, sino que accede al disco desde fuera, aprovechando de nuevo el principio de que el acceso físico y el control del arranque otorgan el control del sistema. Al igual que con el otro método, si el disco está cifrado será necesario desbloquearlo con la frase de cifrado antes de poder montarlo y acceder a su contenido, y si esa frase se ha perdido, la recuperación no será posible, lo que demuestra la eficacia del cifrado de disco como medida de protección frente al acceso físico.

Para proteger un equipo con Linux frente a que alguien con acceso físico pueda recuperar o cambiar la contraseña y acceder a los datos, hay que aplicar varias capas de protección, siendo la más importante y la única realmente sólida el cifrado del disco, complementada por la protección del gestor de arranque y de la configuración de la placa base. La medida fundamental es el cifrado del disco, que en Linux se realiza habitualmente con el sistema estándar de cifrado de disco, y que consiste en que todo el contenido del disco, o al menos la partición con los datos y el sistema, se almacene cifrado, de manera que para poder leerlo o arrancar el sistema sea necesario introducir una frase de cifrado al encender el equipo. La gran ventaja del cifrado es que ofrece una protección real frente al acceso físico, porque aunque alguien saque el disco del equipo y lo conecte a otro ordenador, no podrá leer su contenido sin la frase de cifrado, y aunque intente recuperar la contraseña con los métodos habituales, no podrá acceder al sistema sin desbloquear primero el cifrado. Por ello, en equipos que contienen información sensible, y especialmente en portátiles que pueden perderse o ser robados, el cifrado del disco no debería considerarse opcional. Las otras dos medidas son complementarias y dificultan el acceso, aunque no son tan sólidas como el cifrado. La primera es poner una contraseña al gestor de arranque, lo que impide que alguien edite la línea de arranque para iniciar el sistema con una consola de superusuario, cerrando así la vía del modo de recuperación. La segunda es proteger la configuración de la placa base con una contraseña y ajustar el orden de arranque para impedir que se arranque desde un pendrive u otro medio externo sin autorización, cerrando la vía del Live USB. Sin embargo, hay que ser consciente de que estas dos últimas medidas, aunque útiles, pueden ser sorteadas por un atacante con suficiente tiempo y conocimientos, por ejemplo extrayendo el disco, mientras que el cifrado, si se usa una frase robusta, ofrece una protección mucho más difícil de vencer. Por tanto, la combinación ideal es cifrar el disco como defensa principal y añadir la protección del gestor de arranque y de la placa base como capas adicionales, teniendo siempre presente que la protección frente al acceso remoto es una cuestión distinta que se aborda con otras medidas, como el uso de claves en lugar de contraseñas para el acceso remoto.

No, recuperar una contraseña olvidada y reparar GRUB son dos problemas distintos que, aunque ambos se relacionan con el arranque del sistema y con el gestor de arranque, tienen causas y objetivos diferentes, por lo que conviene no confundirlos. Recuperar una contraseña olvidada es el procedimiento que se realiza cuando el sistema arranca correctamente pero no se puede iniciar sesión porque se ha olvidado la contraseña del usuario. En este caso, el gestor de arranque y el propio sistema funcionan bien, y lo que se necesita es acceder al sistema con privilegios de administración, ya sea a través del modo de recuperación o mediante un Live USB, para restablecer la contraseña del usuario con el comando correspondiente. El objetivo es, por tanto, recuperar el acceso a un sistema que funciona pero cuya contraseña se desconoce. Reparar GRUB, en cambio, es el procedimiento que se realiza cuando el propio gestor de arranque está dañado o mal configurado y, como consecuencia, el sistema no llega a arrancar en absoluto, mostrando por ejemplo un error de arranque, una consola de rescate del gestor de arranque, o simplemente no cargando el sistema operativo. Esto puede ocurrir por diversas causas, como la instalación de otro sistema operativo que sobrescribe el gestor de arranque, una actualización fallida, o cambios en las particiones del disco. En este caso, el objetivo no es acceder al sistema ni cambiar ninguna contraseña, sino reparar o reinstalar el gestor de arranque para que el sistema vuelva a poder iniciarse. Aunque ambos procedimientos pueden implicar el uso de herramientas similares, como un Live USB o la técnica de cambiar la raíz del sistema, y ambos tienen que ver con el arranque, responden a situaciones diferentes: en la recuperación de contraseña el sistema arranca pero no se puede entrar, mientras que en la reparación de GRUB el sistema ni siquiera llega a arrancar. Por ello, ante un problema con el equipo, el primer paso es identificar correctamente cuál de las dos situaciones se está dando, ya que la solución adecuada es distinta en cada caso, y aplicar el procedimiento equivocado no resolvería el problema real.