Capacidades de Linux.

Funcionalidad del kernel Linux basada en el borrador POSIX.1e que divide el privilegio total de root en mas de 40 capacidades discretas asignables de forma independiente a procesos y ficheros. Pertenece a la categoría de Identidad y acceso en ciberseguridad.

Funcionalidad del kernel Linux basada en el borrador POSIX.1e que divide el privilegio total de root en mas de 40 capacidades discretas asignables de forma independiente a procesos y ficheros.

Las capabilities de Linux se introdujeron en el kernel 2.2 para romper la dicotomia entre usuario sin privilegios y root omnipotente. El kernel expone unas 40 capacidades discretas —CAP_NET_BIND_SERVICE, CAP_SYS_ADMIN, CAP_NET_ADMIN, CAP_DAC_OVERRIDE, CAP_SYS_PTRACE, etc.— que pueden concederse a procesos o asociarse a ejecutables como file capabilities. Siguen el borrador POSIX.1e. Las utilidades de espacio usuario que acompanan a libcap incluyen capsh (inspeccionar y manipular el conjunto del shell), getcap y setcap (leer o asignar capacidades a ficheros) y getpcaps. Runtimes como Docker y containerd otorgan por defecto un subconjunto (quitan CAP_SYS_ADMIN y mantienen CAP_NET_BIND_SERVICE), y los Pod Security Standards de Kubernetes las restringen aun mas. Son la base del diseno de minimo privilegio en servidores Linux y cargas estilo CNCF.

Las defensas contra Capacidades de Linux combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: capabilities POSIX, caps de Linux.