Mini-How-To: Criptografando seus dados de forma transparente: O sistema super-seguro

Introdução

Sempre tive receio em deixar dados pessoais (e comprometedores) no meu computador. O medo é que os dados sejam interceptados em caso de roubo. Não tenho notebook, mas acredito que os usuários desse tipo de sistema estão ainda mais vulneráveis a esse classe de problema.

Para a segurança de dados, sempre optei por criptografar os arquivos mais importantes usando o algoritimo PGP. Evidentemente, isto é muito cansativo, pois cada arquivo deve ser criptografado e "descriptografado" manualmente. (Aqui, o risco maior é você mesmo esquecer a chave de um de seus arquivos e nunca mais poder acessar os seus dados.) Após algumas pesquisas, acho que a melhor forma de proteger os seus dados é criptografando uma partição inteira. Assim, tudo que for armazenado na partição será criptografado automaticamente.

Neste Mini-How-To, eu apresento os passos necessários para criptografar uma partição inteira. Isto é feito tendo em mente dois objetivos: a) montar e desmontar a partição da forma mais transparente possível e b) proteger os dados a qualquer custo. Como será visto, a proteção dos dados não envolve apenas cuidados com a partição em si, mas também com outras partes do sistema como, por exemplo, a memória virtual e o diretório /tmp.

Instalação do Software

O software necessário é bastante simples. Precisamos do DM-Crypt (http://en.wikipedia.org/wiki/DM-Crypt), que criptografa os dados antes de escrevê-lo no disco rígido, e do pam_mount, um módulo do PAM (http://en.wikipedia.org/wiki/Pluggable_Authentication_Modules) que permite montar partições diferentes para cada usuário e (mais importante) associa-las ao sistema dm-crypt.

apt-get install libpam-mount cryptsetup
Habilitando a Montagem Automática

Você terá que modificar a configuração do PAM para poder usar o pam_mount. Neste mini-how-to, considerarei apenas a configuração para o console (modo texto) e o GDM (acredito que a configuração seja a mesma para o KDM).

Para o console e o GDM, acrescente as seguintes linhas ao final dos arquivos /etc/pam.d/login e /etc/pam.d/gdm.

auth       optional     /lib/security/pam_mount.so use_first_pass
session    optional     /lib/security/pam_mount.so
Pronto! Essas modificações irão permitir a você logar no seu sistema digitando apenas uma senha. Isto ocorre devido a opção use_first_pass que diz ao pam_mount para utilizar a mesma senha utilizada no login do sistema.

Preparação da Partição

Bom... este mini-how-to trata de proteção paranóica e não de esconder dados da sua irmão mais nova. Então, antes de criptografar a partição é importante preencher a partição com dados aleatórios. Isto dificultará ao máximo a descoberta da chave de proteção utilizada na criptografia.

Existem várias formas de preencher o disco com dados aleatórios. Eu selecionei apenas três.

>> O programa shred

O shred é um programa dos sistemas unix que elimina dados do disco rígido sobrescrevendo-os quatro vezes. É um método rápido, mas os algoritmo utilizado não usa dados aleatórios o suficiente.

>> O /dev/urandom

O /dev/urandom parece ter a melhor relação custo/benefício. Os dados são (quase) 100% aleatórios (muito mais do que os fornecidos pelo shred) e a operação não é tão demorada.

>> O /dev/random

Este é o campeão de segurança. Com o /dev/random, os dados aleatórios são retirados diretamente da "piscina de entropia" (do inglês: entropy pool) do kernel. Essa piscina é a fonte de números aleatórios do kernel. Não são números pseudo-aleatórios como nos casos anteriores. Contudo, o /dev/random tem um grande problema! A única forma de obter dados (realmente) aleatórios é de eventos externos ao kernel. Assim, a piscina de entropia é preenchida apenas com dados oriundos de dispositivos de I/O (rede, HD, mouse, etc). Dessa forma, tal piscina fica "seca" rapidamente e deve-se esperar algum tempo até que ela esteja cheia novamente. Para entender o que estou dizendo, execute o seguinte comando.

cat /dev/random
Você verá que, em poucos segundos, a operação parece parar. Contudo, basta você mexer um pouco o mouse para que mais dados aleatórios caíam dentro da piscina de entropia e o processo possa continuar (faça ctrl+c para interrompe-lo). Dessa forma, você deverá levar uns 300 anos para encher toda uma partição com dados aleatórios vindos do /dev/random.

Então, para preencher a partição com dados aleatórios, utilize o comando a seguir.

dd if=/dev/urandom of=/dev/hdd1 bs=1M
Vá tomar um café enquanto fica olhando o LED do HD brilhar, pois este processo leva vários minutos.

Criando o Mapeamento para o dm-crypt

Agora que o HD possui dados aleatórios, podemos habilitar o processo de criptografia da partição. Contudo, antes de iniciar, você deve criar uma chave a ser utilizada no processo. A escolha da chave é importante! Uma chave fraca tornará mais fácil a sua descoberta na "força-bruta". Não confie em você mesmo para criar tal chave. Ao invés disso, utilize dados aleatórios como segue.

export KEY=`tr -cd [:graph:] < /dev/urandom | head -c 79`
Isto cria uma chave de 79 caracteres (comando head -c 79) através do /dev/urandom e a armazena na variável KEY. Tomei cuidado para utilizar na senha apenas caracteres imprimíveis (comando tr -cd [:graph:]). Isto corresponde a utilizar uma chave de criptografia de 512 bits. (Nada mal, heim?)

Com a chave definida, podemos criar um mapeamento para a partição a ser criptografada.

echo $KEY | cryptsetup create secret /dev/hdd1
No comando anterior, foi criado um mapeamento /dev/mapper/secret para a partição /dev/hdd1. Agora, o novo dispositivo deve ser formatado.

mkfs.ext3 /dev/mapper/secret
Formatei com o sistema ext3. Utilize o seu sistema favorito. Em seguida, remova o mapeamento temporariamente.

cryptsetup remove secret[/b]
Facilitando a login

Seja sincero... Você quer digitar uma chave aleatória de 79 caracteres a cada login? Se não quer, vamos guarda-la em um arquivo texto criptografado (claro que é criptografado).

echo $KEY | openssl aes-256-ecb > $HOME/.secret.key
Obs.: Quando o sistema pedir a senha, é importante digitar a mesma senha utilizada no seu login.

Sua chave será guardada em um arquivo texto (invisível) .secret.key, no seu diretório home. (Você pode guardar tal arquivo onde quiser, mas deve ser um local que você tenha permissões de leitura e escrita.) O arquivo .secret.key foi cifrado com o algoritmo aes-256-ecb que utiliza uma chave de 256 bits. Você pode utilizar um outro algoritmo qualquer.

Para você conseguir alterar sua senha mais facilmente, devemos mudar as permissões do arquivo .secret.key e fazer uma cópia .secret.key.old.

touch $HOME/.secret.key.old
chown alexbr $HOME/.secret.key $HOME/.secret.key.old
chmod 600 $HOME/.secret.key $HOME/.secret.key.old
Nos comando anteriores, definimos as permissões para o usuário alexbr. Evidentemente, no seu caso, deves utilizar o seu nome de usuário.

No futuro, para alterar sua senha de login, utilize o seguinte comando.

passwd && passwdehd
Isto altera a sua senha de login e a senha utilizada para criptografar o arquivo .secret.key.old. É importante que as duas senhas sejam a mesma.

Para finalizar, altere o arquivo /etc/security/pam_mount.conf. Inclua a linha a seguir.

volume alexbr crypt - /dev/hdd1 /home/secret cipher=aes aes-256-ecb /home/alexbr/.secret.key
Aqui, os parâmetros a serem customizados por você são o nome de usuário (alexbr), a partição a ser criptografada (/dev/hdd1) e o seu ponto de montagem (/home/secret).

Não podemos esquecer também de criar o ponto de montagem da partição e dar permissões ao usuário proprietário.

mkdir /home/secret && chown alexbr:alexbr /home/secret
Aqui, /home/secret é o ponto de montagem e deve ser substituído de acordo com suas necessidades. Também, alexbr é um usuário válido no seu sistema.

Pronto! Sua partição criptografada está pronta para ser utilizada. Encerre sua sessão e faça login novamente. Se tudo correr bem, você a partição deve aparecer montada após o login. Agora, basta transferir seus dados mais importantes para esta partição. Não esqueça de transferir para lá os diretórios de armazenamento de suas mensagens instantâneas (.amsn ou .gaim), seus emails (.mozilla-thunderbird ou .evolution). Para isto, faça algo como o exemplo a seguir.

mv $HOME/.mozilla-thunderbird /home/secret
ln -s /home/secret/.mozilla-thunderbird $HOME/.mozilla-thunderbird
Aumentando a Segurança

O sistema só será super-seguro se os passos da próxima mensagem também forem seguidos.

Meio na surdina... Foi lançado o Skype 1.4 alpha. Ainda sem suporte a webcam. (O suporte a webcam está previsto para o dia de São Nunca na parte da tarde.)



A única coisa legal foi a mudança na interface. Agora, ela está muito mais compacta. (Sempre achei a interface do Skype horrenda.)

Outras mudanças desse alpha:
Interface baseada na Qt4;
Suporte apenas ao inglês;
Não permite criar novas contas;
Sem emotions;
Janela de chat horrenda;
É melhor usar o Gizmo. 

O Gizmo é um dos programas mais legais! Moro longe da minha família e ele me ajuda a matar a saudade com suas ligações grátis para telefone fixo.

Bom.. Foi lançado um beta da versão 3.0 (http://download.gizmoproject.com/jasmine/gtk-gizmo-3.0.0.66/).

New Features included in this release:
* Meta-voice capabilities - calls to Yahoo Messenger, Windows Live, Google Talk, and Gizmo Project users are free.
* Group Chat - Create a group chat and talk with all of your friends at once.
* Real-time File Sharing - Share your favorite pictures and files with family and friends.
* Custom Avatars - Your avatar is the picture that you show to the world. Now you can pick any graphic you want to represent yourself.
* Chat History - Chat history allows you to save all your past IM conversations. IM chats often contain important information and now it's easily accessible.

Get more details on the new features at: http://www.gizmoproject.com/advanced-features.html

Olá, pessoal!

Acho que minha operadora está fazendo traffic shaping, pois a taxa média de download nos programas p2p baixou bastante. Agora, fica em torno de 10 Kb/s.

Andei fazendo uma pesquisa e vi que o emule do Windows tem uma opção chamada "ofuscador de protocolo". Isso impede que a operadora identifique o tráfego p2p e limite a banda.

Alguém sabe de algum cliente da rede donkey que tenha uma opção parecida para mascarar o tráfego dos programas de troca de arquivos?

Por favor, me ajudem! :-(

Olá, pessoal!


Preciso capturar uma screenshot da tela de longin do meu GDM. Alguém sabe como fazer isso?

Desde já, agradeço a atenção.

AlexBR

Meu, se for verdade... Essa é uma das melhores notícias que recebi esse ano. ;-)

Fonte: http://br-linux.org/linux/microsoft-anuncia-que-ira-promover-o-linux-se-compromete-a-nao-processar-desenvolvedores-e-mais

Microsoft anuncia que irá promover o Linux, se compromete a não processar desenvolvedores, e mais
Publicado em Qui, 2006-11-02 23:14 :: Destaque | Mercado

Mudança surpreendente é divulgada menos de 1 semana após anúncio da distribuição de Linux da Oracle.

O dia de São Nunca foi ontem, mas o anúncio só saiu hoje: a Microsoft anunciou que irá suportar o Linux e promover soluções conjuntas Windows/Linux. Mais importante do que isso: a empresa se comprometeu a não processar os desenvolvedores individuais de software livre (incluindo projetos como o Samba e o aMSN) pelo eventual uso de suas patentes. Nas palavras do anúncio oficial (http://www.novell.com/linux/microsoft/openletter.html) (o link foi enviado pelo Manoel Pinho - obrigado!), trata-se de uma promessa irrevogável da Microsoft para garantir a desenvolvedores individuais e não comerciais a liberdade de continuar desenvolvendo produtos de código aberto, sem qualquer preocupação com patentes da Microsoft. A mesma isenção se estende aos clientes de ambas as empresas envolvidas.

O anúncio complementa 6 meses de negociação entre Novell e Microsoft, e não se restringe à questão do suporte comercial e do compromisso mútuo de não processar por patentes. Outros itens incluem:

• suporte aberto no OpenOffice.org aos formatos XML do MS Office
• investimentos em virtualização, tanto de Windows no Linux quanto de Linux no Windows
• investimentos no desenvolvimento do Mono, OpenOffice.org e Samba

Os demais itens são mencionados no anúncio, cuja leitura é recomendada.

O Linux.com consultou Linus Torvalds e ele disse que havia lido rumores mais cedo em jornais online, mas não sabia de nenhum detalhe. Ainda assim, segundo ele, se a Microsoft quiser lhe enviar patches para o kernel, ele os aceitará de bom grado, desde que venham assinados.

A ZDNet lembrou que a Microsoft pode ter sentido a pressão do recente lançamento do "Linux da Oracle" e não quis deixar esta grande rival desacompanhada neste mercado. Para completar, a Novell colocou no ar uma FAQ sobre o tema.

Só pra mostrar pra vocês um pouco do XFCE 4.4. Para mim, esse gerenciador tem a melhor relação custo/benefício atualmente.

A maioria das pessoas usa o Gnome por ter uma interface simples, bonita e funcional. Pois bem... Essa versão do XFCE tem tudo isso só que é bem mais leve que o Gnome.

Essa versão usa um sistema de menu igual ao do Gnome. Por isso, está bem mais fácil alterar uma entrada do menu. Além disso, se você instala o XFCE no Ubuntu ele já pega todos os aplicativos que estão instalados e coloca-os no menu automaticamente. De fato, muitas das opções do Gnome são compartilhadas pelo XFCE. Assim, é bem fácil ter as duas interfaces em uma mesma máquina.

Outra coisa boa dessa versão é o uso da lixeira no Thunar (o substituto do Nautilus). Além de não ter lixeira, o antigo gerenciador de arquivos era feio e chato de usar. O Thunar agora está show!

Notem que modifiquei o aspecto padrão do XFCE para ele ficar o mais parecido possível com a interface do Gnome (que eu já estava acostumado). Me digam se não é tão bonito quanto o Gnome. :-)



Uma vantagem é que ele tem um Coposite integrado. Para habilitar e configurar os parâmetros (sombras, transperências, etc) basta ir no painel de controle. Nada de editar arquivos de texto e colocar programas na inicialização do sistema.



Essa próxima screenshot está com quase todas as frescuras ligadas.



Bom... Ser bonito não é a principal vantagem do XFCE. O bom é ser rápido. Acho que as aplicações Gnome abrem mais rápido no XFCE que no próprio Gnome. O Thunar, ao contrário do Nautilus, é instantâneo. Tudo acontece quando você dá um clique.

O ponto ruim, por enquanto, é a lixeira do Thunar. Parece que ele concentra todos os arquivos deletados em uma única pasta. Assim, quando você apaga um arquivo muito grande que está em outra partição, tem que esperar até o sistema copia-lo para a lixeira.