Mais uma ferramenta útil para avaliar a qualidade das passwords, integrável nas plataformas web atuais, uma peça importante para quem quiser reforçar as políticas de segurança dos websites: passfault, uma solução open source em transição para a OWASP.

Não vou discorrer muito sobre o tema por aqui: o como e o porquê estão bem explicados em passfault.com.

Se preferirem experimentar o sistema de avaliação ainda antes de passarem pelo lero-lero, podem seguir diretamente para a página de tryout. Experimentem variações das opções de análise disponíveis e... divirtam-se! ; )

Neste mês acontece mais cedo, no dia 18, porque o dia 25 é, como sabem, feriado nacional.

Os temas desta edição serão os seguintes:

1. The future of IT outsourcing & cloud computing – Júlio Pereira;
2. Túneis: SSL ou IPSec? – Paulo Baptista.

O encontro começa às 18:30, prolonga-se até às 20:00, e o sítio, tal como nas últimas edições, será no Fórum Picoas, em Lisboa. A sala? Desta vez iremos para a Sala Nobre.

Já sabem que o evento é à borlix e que tem o alto patrocínio da AP²SI (e do SAPO/PT que tem lá uns gajos porreiros que nos aturam e emprestam o espaço por duas horas ; ) ...)

Por último, as inscrições (informais) estão a ser reunidas no LinkedIn em linkd.in/Im26Ej. Não é obrigatório passarem por lá mas, se tiverem oportunidade, deixem uma cruz para termos uma ideia sobre os participantes, ok? TIA! ; )

E pronto, está tudo dito. Just be there!

5:21

Expulsam-me com violência, como a personagem de um western que voa pela meia-porta do bar mais chungoso de Little Town, aterrando de costas no meio da rua, no meio do pó, atónito, sem perceber o como e o porquê da posição.

Foge! Sai daqui, larga o sonho! Acorda, caralho!

1 segundo.

O despertar violento é sucedido, quase de imediato, pelo reconhecimento da pintura. Raramente a vi mas reconheço-lhe os traços, sei de cor as nuances, sinto-lhe o cheiro do óleo junto às ventas. É intenso. Fica-nos gravado na alma e segue connosco até ao fim.

Não consigo respirar.

2 segundos.

A primeira tentativa, ainda ligeira, ainda a medo, confirma a intuição: o ar não passa. Não entra, não quer entrar, teima em ficar à porta, desgostado, sentido por qualquer coisa que lhe fizeram, de braços cruzados, amuado, a olhar para o alto a fazer beiço.

Segunda tentativa.

3 segundos.

Tou fodido.

Sinto o primeiro disparo de adrenalina a invadir as veias, a irrigar os centros de controlo, os órgãos, os músculos, o sinal de alerta a ecoar pelo corpo todo,

Scramble! Scramble!

as posições de combate a serem ocupadas por soldados pequeninos, os mecânicos a darem corda aos motores dos Spitfires, enquanto os pilotos voam sobre as asas para entrarem nos cockpits: The game is ON.

Terceira tentativa. Quarta. Para fora, agora. Nada.

4 segundos.

Pânico instalado. O corpo ergue-se num salto involuntário, ajoelha-se, dobra-se ligeiramente e assume uma posição arqueada, um sargento Elias, preparando-se para a contração dos músculos e o esforço derradeiro, super-humano, para acabar com a brincadeira que já vai longa, que já não tem graça,

Parem lá com isso, foda-se!

que pode correr mal. Mesmo mal.

Agora! Vá! Com força!

5 segundos.

O engasgo. O som asmático dos brônquios em luta com alguma coisa que não é ar, que não devia estar ali, que não sei como entrou – sorrateiramente, à traição, com toda a certeza! – que não consigo expelir, que vai entalar-me.

Bato-lhe com força. Acorda! Ajuda-me!

O que foi? O que foi?? Miguel??

6 segundos.

Atabalhoação.

Um pesadelo, provavelmente. Estava num pesadelo e acordou estremunhado, aparvalhado. Pronto, pronto, já passou, Miguel, está tudo bem. Sim?

O corpo contorce-se, debate-se, tenta aspirar e expirar o gás, sem sucesso, numa cena que faz lembrar um filme de mafiosos, num daqueles momentos em que alguém tem um saco de plástico amarrado na cabeça. Mas sem o saco.

7 segundos.

A Revolução dos Cravos. Passavam dois meses quando o publicou. Intitulou-o, ao artigo, "Pop Goes the Cafe Coronary". O movimento, esse, é conhecido pela Manobra de Heimlich.

Percebeu, finalmente. Está a colocar-se na posição para o abraço. Sinto-a envolver-me e apertar o nó. Ainda me safo. Ainda não é desta.

8 segundos.

Primeiro aperto. Sem muita força, mas suficiente para sentir que alguma coisa se deslocou, desprendeu-se, abriu um espaço por onde saiu algum ar. Não entrou quase nada mas já se vê uma luz. Pequenina, é certo, mas já se vê.

Ainda me safo. Ainda não é desta.

9 segundos.

Nova tentativa a solo. Uma merda. Estou na mesma: mal entra, mal sai. Mais adrenalina. Mais sons asmáticos. Mais convulsões.

Mais tentativas.

15 segundos.

Já tentaram suster a respiração e cronometrá-la? Eu, já. Provavelmente fizemo-lo todos. Na infância, pelo menos. Várias vezes. Achava piada à brincadeira e tentava ultrapassar o meu próprio tempo. Tenho uma ideia muito vaga sobre os registos, mas lembro-me que não eram poucos segundos. Também não seriam minutos. Talvez um minuto. Ou um minuto e tal, não sei...

Parece-me ridículo passar-me do juízo quando passou tão pouco tempo. Mas há um aspeto que abre um abismo entre essas brincadeiras e uma situação tão real: Não temos o controlo; não temos a certeza se vamos conseguir ultrapassá-la.

16 segundos.

Escuro. Luz difusa por entre as frestas da persiana, silêncio quebrado apenas pelos espasmos. Dois corpos. Sem voz.

Lembras-te de quando te falo em atuar de forma adequada, com energia, com eficácia, nas situações de crise? E de como distingo as situações normais desses momentos mais críticos? Lembras-te disso? Este, é um desses momentos. Não guardes a energia para o futuro porque não haverá futuro se a guardares.

Faz isso com força, como se não houvesse o amanhã, como se o mundo dependesse desse abraço, como se a minha vida dependesse – e depende! – dos teus braços! Parte-me as costelas, se preciso for! Várias vezes, vá! Com força, sem meiguices!!

20 segundos, mais coisa, menos coisa.

Ar. Ar, finalmente. Não apenas ar, mas a promessa de mais ar, de mais dias, de um futuro que não acaba hoje, ainda não, ainda não é desta, ainda não apaguei a vela, e, em abono da verdade, nesta situação, não conseguiria, mesmo que quisesse.

Não, não ponhas o CD dos Doors nem mandes baixar as luzes. Já não é preciso.

60 horas. Epílogo.

Nós, enquanto humanos, sentimos uma tendência natural para criarmos mecanismos de defesa, proteções, coisas que nos permitam evitar, mais do que enfrentar, as ameaças externas e os riscos. É legitimo, é importante, e, claro, é adaptativo (!)

No entanto, há um aspeto que, regra geral, descuramos e que é igualmente importante: Os mecanismos que nos permitem reagir e, sobretudo, ultrapassar e recuperar do impacto em situações de crise.

E porquê, I hear you ask? Porque temos a convicção (a fé?) que conseguimos, simplesmente, evitá-las. E isto, meus amigos, não pode ser menos verdadeiro – não conseguimos controlar todas as coisas; temos que assumir que as ameaças podem concretizar-se, independentemente do que possamos fazer para evitá-las.

Dito de outra forma, shit does happen. E eu, pela minha parte, já comecei a preparação: aprender a variante a solo da Manobra de Heimlich. Porque posso estar sozinho da próxima vez e...

Isto é giro (!) Um simulador da máquina de criptografia Enigma para equipamentos Android, um simulador da máquina de cifra mais usada pelos alemães ao longo da segunda guerra mundial.

Querem experimentá-la? Sigam por aqui: play.google.com/...

Mais um mês, mais uma edição da Confraria. Os detalhes:

1. Quem organiza? A AP²SI;
2. Quando? Quarta-feira, 28, entre as 18:30 e as 20:00;
3. Onde? No Auditório 2 do Fórum Picoas, em Lisboa;
4. O custo? Nenhum – a entrada é livre;
5. Os temas? São os seguintes:
• 18:30: "Protecção de Infra-estruturas Críticas Nacionais e Segurança do Ciberespaço". O mundo em que vivemos apresenta várias dimensões de risco para a sociedade e para a economia. No início deste século, em resposta à ameaça terrorista, surgiram os primeiros Planos Nacionais de Protecção de Infra-estrutruras Críticas que envolvem os sectores da Energia, Comunicações, Água, Transportes, etc, com o objectivo de prevenir os ataques e responder de forma a assegurar a continuidade destes serviços vitais. Mas outras ameaças, como as catástrofes naturais e os ataques do ciberespaço, foram emergindo com frequência na primeira década do século XXI, o que implicou que os Planos Nacionais de Protecção de Infra-estruturas Críticas passaram a incorporar acções específicas para endereçar estes riscos. Actualmente, os ataques do Ciberespaço são uma realidade que afecta os Governos e as Empresas e é necessário que Portugal esteja preparado para responder a esta ameaça real, através de um Programa Nacional de Protecção de Infra-estruturas Críticas que envolva o Estado e as Empresas detentoras destas infra-estruturas vitais, criando as condições para poder monitorizar, prevenir e responder a esta ameaça – Cristina Alberto;
• 19:15: "Criptografia assimétrica: A 'vaca sagrada' da Infosec". A maioria dos informáticos, incluíndo os que trabalham em segurança, tem apenas noções básicas sobre criptografia assimétrica. A maioria de nós sabe utilizar os vários algoritmos, embora desconheça como operam. Nesta talk pretendo falar um pouco mais em detalhe sobre estes algoritmos, em particular o RSA. Irei falar sobre aplicações práticas de criptografia assimétrica (desde o SSL, passando pela Playstation 3 até ao Cartão do Cidadão), limitações dos algoritmos, ataques aos mesmos e falhas de implementação recentemente conhecidas. O objectivo principal desta talk é desmistificar esta "vaca sagrada" que é a criptografia assimétrica, demonstrando que não é uma panaceia: também tem falhas e limitações – Luís Grangeia;
6. A inscrição? No LinkedIn, por aqui: linkd.in/GBPgA5.

PDF disponível em net-security.org/...

Dois anúncios interessantes na área da segurança, mais dois na área de arquitetura, engenharia e desenvolvimento de sistemas.

Candidaturas até 26 do corrente e 2 do próximo.

O endereço? Por aqui: www.bportugal.pt/...

Diretamente do site do evento:

A Escola Superior de Tecnologia e Gestão de Felgueiras promove no dia 29 de março pelas 16h30 um seminário em Segurança Informática. O seminário foca as áreas do direito, da investigação e análise forense subjacente e do processo de governação informática e gestão e risco exercido nas organizações. Ele conta com especialistas de cada uma das áreas e pretende ser um contributo para as empresas, organizações e profissionais que, em fase de crescimento do problema, se veem confrontados com o risco ou problemas motivados por falhas ao nível da segurança informática.

O evento é gratuito e é dirigido para os estudantes do ensino superior, advogados, solicitadores, agentes da lei, professores do ensino superior e secundário, empresários/gestores e responsáveis por departamentos de informática ou departamentos jurídicos.

Interessados? Sigam por aqui: www.estgf.ipp.pt/...

Esta nota é um complemento ao artigo anterior, sobre a utilização do Cartão de Cidadão para autenticar utilizadores em SSH, um complemento que me parece necessário para o contexto específico do OS X Lion.

Por razões que a Apple conhecerá, a versão do cliente SSH incluída no Lion não suporta PKCS#11 e não permite, por isso, a utilização direta do CC.

Os parágrafos seguintes apresentam, num registo minimalista, os passos necessários para (i) instalar o OpenSC, (ii) instalar uma versão nova do OpenSSH, e (iii) usar as ferramentas para aceder a um serviço SSH remoto.

1. O enquadramento hard & soft
• Um servidor virtual Linux com CentOS 6.2;
• Um MacBook com a encarnação 10.7.3 do OS X (Lion):
• Um leitor de smart cards Omnikey Cardman 3121; e
• Um Cartão de Cidadão Português;
2. A instalação do OpenSC
• Transferir a última nightly staging build e instalá-la (usei a build89, de 4 de Fevereiro, sem problemas). A versão release seria uma opção melhor mas, infelizmente, não instala no Lion; só no Snow Leopard.
3. A instalação do OpenSSH — opção #1, estilo Lazy Dog
• Transferir um pacote com os binários que eu próprio compilei e executar, num terminal em contexto administrativo, "sudo tar -C / -xzvf openssh_5.9p1.os_x_lion.tar.gz". Os ficheiros aterrarão em /usr/local/...
4. A instalação do OpenSSH — opção #2, estilo Die-hard MoFo
• Instalar o Xcode a partir da App Store. Em seguida, lançar o Xcode, navegar pelas Preferences até Downloads → Components e instalar as Command Line Tools;
• Transferir o código fonte do OpenSSH e expandi-lo para uma pasta, recorrendo, por exemplo, a um terminal: "mkdir ~/tmp; tar -C ~/tmp -xzvf openssh-5.9p1.tar.gz"; e
• Configurar, compilar e instalar os binários, a partir da pasta onde colocaram o código fonte. Apenas como exemplo, "cd ~/tmp/openssh-5.9p1; ./configure; make; sudo make install".
5. A identificação da chave e configuração do servidor
• Introduzir o CC no leitor, executar "pkcs15-tool --list-keys", e identificar o campo ID correspondente a "Private RSA Key [CITIZEN AUTHENTICATION KEY]". Em seguida, executar "pkcs15-tool --read-ssh-key ID | grep "ssh-rsa" > ~/Documents/authorized_keys";
• Copiar a chave para o servidor, para a conta que irá ser autenticada com o CC, colocando-a em "~/.ssh/authorized_keys". Garantir a posse da pasta "~/.ssh" e do ficheiro "authorized_keys", e atribuir permissões exclusivas ao utilizador (e.g. "chmod 700 ~/.ssh" e "chmod 600 ~/.ssh/authorized_keys"); e
• Garantir que a configuração do daemon SSH aceita autenticação com chaves públicas (ou seja, por outras palavras, que o ficheiro "/etc/ssh/sshd_config" contém as linhas "PubkeyAuthentication yes" e "AuthorizedKeysFile %h/.ssh/authorized_keys", ou que, mesmo não tendo essas linhas, esses valores são assumidos por omissão).
6. A utilização do novo SSH no Lion
• A forma mais simples para usar a nova versão do SSH, sem configuração adicional, é a seguinte: "/usr/local/bin/ssh -I /usr/lib/opensc-pkcs11.so utilizador@servidor";
• A segunda forma mais simples passa pela inclusão da linha "PKCS11Provider /usr/lib/opensc-pkcs11.so" no final do ficheiro de configuração do SSH (em "/usr/local/etc/ssh_config"). A partir desse momento o comando pode ser executado sem a referência à biblioteca do OpenSC, e.g. "/usr/local/bin/ssh utilizador@servidor";
• Para simplificarem ainda mais, podem acrescentar uma abreviatura no ficheiro "~/.profile". Por exemplo, "echo alias ssh11=/usr/local/bin/ssh >> ~/.profile". Poderão executar, a partir daí, "ssh11 utilizador@servidor". E, se quiserem, podem usar esta fórmula para os outros comandos SSH relevantes, e.g. "sftp11=/usr/local/bin/sftp", "ssh11-agent=/usr/local/bin/ssh-agent" e "ssh11-add=/usr/local/bin/ssh-add";
• Quando não tiverem a certeza qual dos comandos é invocado, o nativo ou o novo, usem a opção "-v" para identificarem a versão. Por exemplo, "ssh -v". A versão SSH no Lion 10.7.3 é a 5.6p1.
7. A utilização do agente SSH
• Pessoalmente, prefiro executar os comandos diretamente, sem agentes de autenticação. Mas, em algumas circunstâncias, podem ser necessários. Dito isto (vírgula)
• Se quiserem usar o novo agente devem executar, num terminal, "eval `/usr/local/bin/ssh-agent -s`". A chave pública do vosso CC pode ser adicionada ao agente, em seguida, através de "/usr/local/bin/ssh-add -s /usr/lib/opensc-pkcs11.so";
• Enquanto mantiverem o terminal aberto, podem usar o SSH ou o SFTP sem introduzirem, novamente, o PIN do CC. E podem usar os comandos nativos do Lion em vez das novas versões, e sem parâmetros adicionais (e.g. "sftp utilizador@servidor")
• Se usarem este agente com o CC, também devem utilizá-lo com as vossas chaves públicas adicionais. Como exemplo, "/usr/local/bin/ssh-add ~/.ssh/id_rsa".

E pronto. Mais um tiro, mais um melro : ) … E prometo que o próximo que abordar o CC será sobre a autenticação na web (!)

Comentários, correções e sugestões? Be my guests ; )

Mais um apontamento sobre autenticação com o Cartão de Cidadão (CC), desta vez dedicado ao tema da Secure SHell (SSH), uma solução que encontramos, tipicamente, em sistemas baseados ou inspirados no UNIX, e em equipamentos de comunicações.

(Para quem tiver interesse na utilização do CC em ambientes Windows, estão disponíveis neste espaço dois artigos sobre o tema, nomeadamente, (i) o logon com CC no Windows em contexto autónomo e (ii) num contexto de Domínio Microsoft.)

Como a variedade de dispositivos que incluem o serviço SSH é imensa e o tempo é sempre limitado, tive que restringir esta experiência a um conjunto reduzido de sistemas. Em concreto, utilizei um servidor Linux com o serviço SSH ativo, e uma máquina cliente com Windows 7. Noutras notas poderei endereçar, eventualmente, outros contextos (e.g. routers com firmware DD-WRT e clientes em OS X Lion).

O modelo de autenticação adotado neste ambiente é estritamente local. Adicionalmente, e ao contrário dos artigos anteriores, o mecanismo de autenticação não utiliza os certificados da infraestrutura de chaves públicas do Estado, i.e., não utiliza o modelo de confiança dessa PKI, materializado nos certificados X.509 – o modelo adotado depende apenas das chaves públicas e privadas dos cartões; não depende dos certificados nem da cadeia de confiança.

É importante referir, neste momento, que este apontamento pressupõe que os leitores estão familiarizados com os procedimentos básicos de instalação, configuração e operação dos sistemas envolvidos.

Por último, uma ressalva: o texto elabora sobre os aspetos técnicos necessários para utilizar o Cartão de Cidadão neste cenário; não inclui considerações sobre a vertente legal da sua utilização, cuja legislação relevante está disponível no espaço oficial do cartão.

Os parágrafos seguintes apresentam os ingredientes e descrevem a experiência.

1. O hardware
• Um computador para desempenhar o papel de servidor SSH, físico ou virtual. Os requisitos técnicos não são exigentes, apenas os que forem necesários para instalar e correr uma versão mínima de CentOS, e.g. 512 MBytes de memória, um disco com 4 GBytes disponíveis, e um processador de 32 ou 64 bits;
• Um PC para desempenhar o papel de cliente SSH sobre Windows. Nesta experiência usei um computador ASUS Eee PC 1005PE;
• Um leitor de smart cards. Apenas como exemplo (e porque foi o que usei), um Omnikey Cardman 3121;
• Um Cartão de Cidadão Português; e
• Uma infraestrutura adequada para ligar os equipamentos numa rede. O acesso à Internet é opcional para os testes mas é necessário para transferir algumas aplicações.
2. O software
• O CentOS 6.2, uma variante gratuita do Red Hat Enterprise Linux, para sistema operativo do servidor. Nota: pode ser usada qualquer variante do Linux, desde que tenha um daemon SSH – e quase todas têm;
• O Windows 7, o sistema operativo do computador cliente, numa versão qualquer. Nesta experiência usei a versão Starter, incluída no computador;
• Os drivers para todos os componentes das máquinas, incluindo – e destacando-se – o driver para o leitor de smart cards, se não estiver incluído no próprio Windows;
• As ferramentas e bibliotecas OpenSC, uma coleção de aplicações para smart cards;
• O software do CC: a Aplicação do Cartão de Cidadão;
• O PuTTY, um dos clientes SSH mais populares para Windows; e, finalmente,
• O PageantSC, um agente SSH que suporta smart cards, uma aplicação derivada do Pageant do PuTTY.
3. O confware
• O ficheiro PageantSC-CC-PKCS11.reg, que contém a configuração necessária para o PageantSC usar a biblioteca PKCS#11 do software do CC.
4. A instalação do computador cliente
• Instalar o Windows 7 e atualizar o sistema, várias vezes, até não estarem disponíveis quaisquer atualizações adicionais;
• Se o leitor de cartões não for reconhecido automaticamente pelo Windows, transferir e instalar o driver do leitor. Neste contexto não foi necessário mas, claro, depende do dispositivo que utilizarem;
• Transferir o OpenSC e instalá-lo. Escolher a versão de 32 ou 64 bits, de acordo com o sistema operativo instalado;
• Transferir e instalar a aplicação do CC, disponível no espaço do Cartão de Cidadão. Novamente, escolher a versão correcta para o sistema operativo instalado;
• Transferir o PuTTY e instalá-lo. Recomendo a instalação do pacote completo porque inclui o PSFTP, um programa para transferências de ficheiros que também faz parte deste teste; e
• Transferir o PAgeantSC, o próprio executável pageantsc.exe, e copiá-lo para a pasta do PuTTY.
5. A configuração do PageantSC, o agente SSH
• Transferir o ficheiro PageantSC-CC-PKCS11.reg e executar, numa linha de comandos, "regedit PageantSC-CC-PKCS11.reg".
6. A identificação da chave pública do cartão
• A partir de uma linha de comandos, navegar até à pasta onde foram instaladas as ferramentas do OpenSC, e.g. 'cd "C:\Program Files\OpenSC Project\OpenSC\tools"';
• Executar o comando "pkcs15-tool --list-keys". Identificar, nos resultados, o campo ID correspondente à chave "Private RSA Key [CITIZEN AUTHENTICATION KEY]"; e
• Utilizando esse identificador, executar o comando 'pkcs15-tool --read-ssh-key identificador | find "ssh-rsa" > a-vossa-pasta-de-documentos\authorized_keys'. A vossa chave pública para autenticação fica guardada nesse ficheiro ("authorized_keys") num formato adequado ao SSH.
7. A instalação do servidor Linux
• Transferir a versão mínima do CentOS 6.2, disponível no mirror da Universidade do Porto, nas variantes de 32 bits e 64 bits. Escolher uma variante e instalar o servidor;
• Em alternativa, se preferirem outra versão do Linux, podem usá-la desde que garantam que o daemon SSH está ativo e configurado para usar autenticação por chaves públicas (ou seja, por outras palavras, que o ficheiro "/etc/ssh/sshd_config" contém as linhas "PubkeyAuthentication yes" e "AuthorizedKeysFile %h/.ssh/authorized_keys", ou que, mesmo não tendo essas linhas, esses valores são assumidos por omissão); e
• Atualizar o sistema com "yum update" (se a versão escolhida for o CentOS; se não for, atualizar o sistema com o comando correspondente). Em princípio, uma vez será suficiente.
8. A adição de uma conta no Linux e associação do CC
• No contexto root, adicionar uma conta de utilizador standard, e,g, "useradd utilizador", e atribuir-lhe uma password forte com "passwd utilizador";
• Terminar a sessão como root e entrar no sistema com a conta utilizador;
• Criar a pasta de configuração SSH para essa conta, e.g. "mkdir ~/.ssh";
• Copiar o ficheiro "authorized_keys", o tal ficheiro que contém a chave pública do cartão e que criámos através do Windows, para a pasta de configuração. Por exemplo, "cp authorized_keys ~/.ssh/"; e
• Trancar as permissões da pasta e do ficheiro com "chmod 700 ~/.ssh" e "chmod 600 ~/.ssh/authorized_keys".
9. O teste com o PuTTY
• Em princípio, se os passos forem executados pela ordem que apresentei, todas as configurações estarão definidas e estabilizadas em ambos os sistemas – podemos dar início ao teste;
• Com o leitor de cartões ligado ao PC, introduzir o Cartão de Cidadão;
• Executar o programa pageantsc.exe a partir da pasta do PuTTY (ou a partir de um atalho, se o definiram previamente). O programa lê o conteúdo do CC e prepara-se para agir como agente SSH para o PuTTY;
• Executar o PuTTY e abrir uma sessão contra o servidor Linux;
• No início da sessão o programa pergunta-nos quem irá abrir a sessão. Responder utilizador (o nome que escolheram para a conta standard que criaram no Linux);
• Em seguida, o PageantSC solicita-nos o PIN da chave de autenticação. Introduzir o PIN e aguardar o início da sessão; Por último,
• Saltar várias vezes e agitar os braços, com vigor, pelo contentamento : )
10. O teste com o PSFTP
• Na sequência do teste anterior, ainda com o PageantSC a funcionar como agente, executar, no contexto de uma linha de comandos, "C:\Program Files\PuTTY\psftp.exe nome-ou-IP-do-vosso-servidor-linux"; e
• Designar a conta que irá aceder ao serviço, introduzir o PIN quando for solicitado, e experimentar a transferência de ficheiros.
11. Os outros parâmetros
• Podemos exigir a utilização exclusiva do CC e proibir a utilização de passwords e outros mecanismos de autenticação via SSH. Nesse sentido, basta editar o ficheiro de configuração do serviço (em "/etc/ssh/sshd_config") e acrescentar/alterar as linhas "GSSAPIAuthentication no", "HostbasedAuthentication no", "KerberosAuthentication no", "PasswordAuthentication no", "RhostsRSAAuthentication no", e "RSAAuthentication no". Nota: o acesso com passwords ainda fica disponível na consola.
12. As nuances
• O modelo descrito neste artigo não assenta em certificados digitais, apesar de utilizar criptografia de chaves publicas. Esta característica faz com que o modelo tenha a vantagem de não depender, num sentido estrito, da PKI do Estado – o modelo depende apenas das chaves que estão integradas nos smart cards. No entanto, há outras perspetivas em que esta característica pode ser problemática: Se, por exemplo, um cartão for revogado, não existe uma forma simples de inibir a sua utilização (porque não são avaliadas Certificate Revocation Lists);
• Não é fácil escalar este modelo. Como as chaves públicas de todos os utilizadores têm que ser introduzidas em todos os sistemas, a gestão das credenciais pode ser complicada. O modelo é mais adequado para ambientes com um número reduzido de sistemas;
• As passwords não fazem nem são o sumo; o sumo é composto pela informação contida nos computadores. Ou seja, dito de outra forma, apesar do controlo de acessos ser importante para restringir o acesso à informação (e, neste caso, o CC é um bom controlo), este mecanismo tem que ser complementado com a cifra total do disco. Uma solução como o TrueCrypt é um exemplo;
• Se mantivermos o acesso através das passwords, os ataques serão dirigidos ás passwords e o controlo pelo cartão torna-se irrelevante. No entanto, se obrigarmos a utilização exclusiva dos cartões, temos que garantir, no mínimo, que existem cópias da informação em dispositivos externos aos computadores. Porquê? Porque podemos perder o acesso às máquinas se perdemos os cartões. Num cenário empresarial, em que existem vários administradores de sistemas, estas situações não são tão prováveis. A menos, claro, que só exista um(a) administrador(a) e o cartão perdido seja... o dele(dela).
13. As recomendações
• Para além das questões técnicas que envolvem a utilização do CC, existem outras questões que têm que ser endereçadas pelas organizações que decidirem adotá-lo: As questões processuais. Apenas como exemplos, têm que existir processos para o mapeamento das chaves, processos para endereçar a expiração, revogação e atualização dos cartões, processos para recuperação em situações de perda temporária dos cartões, etc;
• A utilização deste controlo não é adequada para todos – todos – os cenários. Depende da análise do risco em cada situação, considerando, no mínimo, o tipo de informação acedida por cada conta e guardada em cada servidor, e a eventual indisponibilidade por perca dos cartões;
• Nos cenários em que este controlo for adoptado devemos (i) desactivar as passwords, (ii) ponderar a cifra total dos discos; e (iii) fazer cópias regulares da informação, cifradas com chaves próprias, independentes dos computadores e dos cartões envolvidos; e devemos
• Criar duas contas de administração em cada sistema e associar dois CCs.

Mais uma vez, está feito. Tenciono continuar com estes artigos sobre o CC, no sentido de atingir um dos objetivos que estabeleci para este ano. Provavelmente ainda farei uma variação do cenário SSH com um cliente em OS X Lion, e até, se tiver oportunidade de tocar num Cisco, num serviço SSH num equipamento de comunicações. E depois, claro, a autenticação na web com o CC. Anyway, vamos ver.

Comentários, correções e sugestões? Be my guests ; )