segurança em linux

Curso de Segurança em Linux e Redes em Geral

Prof. Luís Rodrigo

Versão 0.4
Rascunho
Data: 04.03.2005
Prof. Luís Rodrigo de O. Gonçalves :: [e-mail] :: www.lrodrigo.cjb.net Página 1 de 71
Apostila do Curso de Segurança – DRAF 0.4 - Petrópolis, 5 de Março de 2005
Introdução: A Segurança na Internet
Devido ao modo como a Internet foi projetada, ainda hoje, existe uma ausência de mecanismo que garantam a privacidade e autenticação, para as camadas que estão abaixo da aplicação, ou seja, quando da sua criação não houve uma grande preocupação com segurança. Dentre os vários problemas que ainda agravam esta situação podemos destacar:
1) Senhas reutilizadas e não cifradas;
2) Baixo nível de segurança em servidores de Dial-Up (linha discada);
3) Falta de critério de segurança, na criação de contas de usuários;
4) Monitoração e expiração de contas feita de forma ineficiente;
5) Falta de atenção quando a configuração de servidores que executam algum tipo de CGI
(Common Gateway Interface).
Desta forma, jamais execute um servidor web como root, sendo indicado a criação de um usuário específico para tal ação, como por exemplo o usuário de grupo webserver.
O principal avanço que ocorreu na segurança da WEB nos últimos tempos foi a criação do protocolo
SSL (Secure Socket Layer) pelo Netscape, este protocolo usa uma estrutura de três camadas que emprega:
1) Autenticação;
2) Criptografia – RSA e DES;
3) Verificação de integridade – MDS.
Como funciona o processo:
1) Realização do Handshake (Aperto de Mãos) – Definição de uma chave secreta;
2) Início da conexão privada – Mecanismo de criptografia – DES – chave simétrica;
3) Pode haver a autenticação do cliente e do servidor, via RSA – chave assimétrica;
4) Transporte das mensagens – uso do algoritmo de verificação de integridade – uso do SHA,
MDS e etc.
Podemos então perceber claramente que o objetivo deste protocolo de segurança é prover a privacidade e confiabilidade entre