Arch Linux 🐧 ¿Deberíamos bloquear la cuenta Root? 🚨

Recientemente instalé Fedora 43 para probar el escritorio Budgie en mi laptop de pruebas y me topé con algo que me hizo ruido: en el menú de instalación, la activación de la cuenta Root es totalmente opcional 🤔

 

Como usuario de Arch Linux, estoy acostumbrado a tener una 'hoja en blanco' (o una caja de Legos, como me gusta decir), donde armamos el sistema a nuestra medida. Pero eso no significa que siempre tomemos las mejores decisiones, entre ellas las de seguridad informática. Así que le planteé mis dudas a Gemini (la IA de Google), y lo que aprendí lo anexé de inmediato a mi lista de buenas prácticas.

 

Aquí les comparto esta "charla técnica resumida" sobre tema.

 

1. La Cuenta Root: El "Botón Rojo" 🚨

En Arch, a veces nos volvemos cómodos, pero en el mundo profesional (como Red Hat o Fedora), la cuenta de Root es como un extintor: está ahí, pero no quieres usarla a menos que el edificio se esté quemando.

Bloquear la sesión de root (sudo passwd -l root) elimina de un plumazo el 50% de la superficie de ataque. Un atacante ya no puede intentar entrar como "root"; ahora tendría que adivinar tu nombre de usuario y tu contraseña. Lo más inteligente es crear tu usuario personal, meterlo en el grupo Wheel y dejar que sudo haga el trabajo pesado.

2. ¿Y si rompo algo? El mito del bloqueo total 🛠️

Mi mayor miedo era: "Si bloqueo a Root y algo sale mal, ¿me quedaré fuera de mi propio sistema?". Gemini me dio una respuesta que me dio mucha tranquilidad:

El Live USB es tu llave maestra.

Aunque bloquees a Root en tu instalación principal, si el sistema no arranca, siempre puedes usar un Live USB de Arch. Al hacer un arch-chroot, entras a tu disco como Root automáticamente desde la RAM del USB.

El bloqueo de contraseña (-l) solo afecta al inicio de sesión convencional, no impide que las herramientas de rescate actúen con privilegios totales.

3. Más que ser "el jefe": El poder de sudo -u

A veces pensamos que sudo es solo para ser el todopoderoso Root, pero su nombre real es "Substitute User Do" (Hacer como el usuario sustituto). La opción -u es una joya oculta.

¿Para qué sirve? Imagina que quieres tocar archivos de tu servidor web (usuario http) sin cambiar los permisos a Root por error. En lugar de usar sudo a secas, usas:

sudo -u http mkdir /ruta/del/servidor

Así, la carpeta nace con los permisos correctos desde el principio. Es elegante, seguro y profesional.

 

Conclusión: Arch a nivel de servidor profesional 🚀

Bloquear a Root es una práctica tan recomendada que gigantes como AWS (Amazon) o Google Cloud lo hacen por defecto en sus servidores (según Gemini). 

Y la usare desde ahora en adelante, en mis instalaciones de Arch Linux 👍

 

Con respecto a Budgie, me pareció un entorno muy bonito, coherente y, a la vez, minimalista. Todo esto sumado a la sólida confiabilidad de Fedora y a una excelente selección de software preinstalado ✌️