Alexandro Silva: Implantando autenticação centralizada e segura usando Openldap – ACLs e SSL ( LDAPs )

Com o servidor funcionando corretamente irei restringir os acessos pelas ACLs e adicionar criptografia ( ldaps ) como camada de segurança.

== ACLs ==

Edite o arquivo /etc/ldap/slapd.conf restrigindo o acessos ao BD midificando as ACL como o exemplo abaixo:

vim /etc/ldap/slapd.conf

access to attrs=userPassword
by anonymous auth
by self write
by * none

access to dn.base=”" by * read

access to *
by * read

Gerando a senha em SSHA

slappasswd -h {SSHA}

Informe a senha do ADMIN e confirme

Edite o arquivo /etc/ldap/slapd.conf

vim /etc/ldap/slapd

suffix “dc=acme,dc=local”
rootdn “cn=admin,dc=acme,dc=local”
rootpw “{SSHA}irRG0yGfiDoBbKqX5rRTBzy+23J5rt+J”

Reincie o slapd

invoke-rc.d slapd restart

== LDAP com TLS/SSL ( LDAPs ) ==

Para habilitar o TLS/SSL no servidor execute os seguintes passos:

Crie e acesse o diretório ssl em /etc/ldap

mkdir /etc/ldap/ssl

cd ssl

Caso você não possua um certificado assinado por uma CA crie uma CA usando o comando

/usr/lib/ssl/misc/CA.sh -newca

CA certificate filename (or enter to create) [ Pressine ENTER ]
Enter PEM pass phrase: [ INFORME A SENHA ]
Verifying – Enter PEM pass phrase: [ REPITA A SENHA ANTERIOR ]
Country Name (2 letter code) [AU]:BR
State or Province Name (full name) [Some-State]:Bahia
Locality Name (eg, city): Salvador
Organization Name (eg, company) [Internet Widgits Pty Ltd]:ACME
Organizational Unit Name (eg, section) :IT
Common Name (eg, YOUR name) :localhost
Email Address:admin@acme.local

No campo “A challenge password: [ Pressione ENTER ]
An optional company name: [ Pressione ENTER ]
Enter pass phrase for ./demoCA/private/./cakey.pem: [ Digite a senha definida no "Enter PEM pass phrase" ]

Crie a chave:

openssl req -newkey rsa:1024 -nodes -keyout newreq.pem -out newreq.pem

Country Name (2 letter code) [AU]:BR
State or Province Name (full name) [Some-State]:Bahia
Locality Name (eg, city):Salvador
Organization Name (eg, company) [Internet Widgits Pty Ltd]:ACME
Organizational Unit Name (eg, section):IT
Common Name (eg, YOUR name):localhost
Email Address:admin@acme.local
A challenge password: [ Pressione ENTER ]
An optional company name: [ Pressione ENTER ]

Assine a chave criada usando a CA.

/usr/lib/ssl/misc/CA.sh -sign

Digite a senha da CA e responda todos os questionamentos como “y”

Copie o arquivo cacert.pem para o diretório /etc/ldap/ssl

cp demoCA/cacert.pem /etc/ldap/ssl/

Altere o dono dos arquivo .pem

chown openldap *.pem

Altere as permissões de acesso aos arquivos .pem

chmod 600 *.pem

Adicione as seguintes linhas no arquivo /etc/ldap/slapd.conf:

TLSCACertificateFile /etc/ldap/ssl/cacert.pem
TLSCertificateFile /etc/ldap/ssl/newcert.pem
TLSCertificateKeyFile /etc/ldap/ssl/newreq.pem
TLSVerifyClient never

Descomente e edite o arquivo /etc/default/slapd habilitando o ldaps

vim /etc/default/slapd

SLAPD_SERVICES=”ldaps:///”

Edite o arquivo /etc/ldap/ldap.conf adicionando a seguinte linha:

TLS_REQCERT never

Reinicie o slapd

invoke-rc.d slapd restart

== Testando ==

ldapsearch -LL -H ldaps://localhost -b”dc=acme,dc=local” -x “(uid=alexos)”

Após a modificações apresentadas anteriormente nosso arquivo /etc/ldap/slapd.conf ficará como no exemplo abaixo:

Exemplo arquivo /etc/ldap/slapd.conf

allow bind_v2

include /etc/ldap/schema/core.schema
include /etc/ldap/schema/cosine.schema
include /etc/ldap/schema/nis.schema
include /etc/ldap/schema/inetorgperson.schema
include /etc/ldap/schema/krb5-kdc.schema
include /etc/ldap/schema/qmailuser.schema

pidfile /var/run/slapd/slapd.pid

TLSCACertificateFile /etc/ldap/ssl/cacert.pem
TLSCertificateFile /etc/ldap/ssl/newcert.pem
TLSCertificateKeyFile /etc/ldap/ssl/newreq.pem
TLSVerifyClient never

argsfile /var/run/slapd/slapd.args

loglevel none

modulepath /usr/lib/ldap
moduleload back_hdb

sizelimit 500

database hdb

suffix “dc=acme,dc=local”
rootdn “cn=admin,dc=acme,dc=local”
rootpw “{SSHA}/v+HeJBQferYPfYFkqqa1TwIGmW2piFv”

directory “/var/lib/ldap”

index objectClass,ou,cn,sn,uid,uidNumber,mail,mailAlternateAddress,mailForwardingAddress,memberUid eq

lastmod on

access to attrs=userPassword
by anonymous auth
by self write
by * none

access to dn.base=”" by * read

access to *
by * read

Referências:

Andreaswacker
Linsec.ca
Openldap.org

Mônica Paz: LuluzinhaCampBA #2

Já fiz a minha pré-inscrição e já estou convidando as amigas para participarem do encontro de blogueiras LuluzinhaCampBA #2, que acontecerá no dia 07 de agosto aqui em Salvador. Nesta edição, primeira que planejo participar, o evento tratará de meio ambiente, políticas de preservação ambiental ligadas às indústrias de comêsticos e ainda haverá uma oficina de maquiagem. Vários assuntos relevantes e que eu adoro tudo juntinho, além da possibilidade de conhecer e reencontrar amigas blogueiras.

Também estão previstas arrecadação de doações e bazar de trocas!!

Divulgue e participe. As tags para fazer a cobertura online são #luluzinhacamp e #luluzinhacampba

Live Blue News: Release Party do KDE 4.5 em Salvador

Joenio Costa: Deixando o bash um pouco mais amigável

Sempre utilizei o bash como shell padrão, mas pelo pouco tempo que utilizei o fish me acostumei com um recurso que me faz falta no bash: O histórico.

Fui buscar uma forma de melhorar o histórico do bash e encontrei uma dica muito fácil para aumentar o tamanho dele. Basta adicionar as linhas abaixo ao seu .bashrc para aumentar o histórco de 500 (padrão) para 5000:

export HISTSIZE=5000
export HISTFILESIZE=$HISTSIZE

Continuei lendo a documentação do bash e descobri mais algumas configurações interessantes para ele (na verdade para o readline), basta adicionar ao arquivo .inputrc as linhas abaixo:

set completion-ignore-case on

Para ignorar maiúsculas e minúsculas ao completar.

set match-hidden-files off

Para ignorar arquivos ocultos ao completar nomes de arquivos e diretórios.

Arx Cruz: Como gerar um patch usando o git

Você quer ajudar no desenvolvimento do seu aplicativo predileto, e não sabe usar o git, ou como gerar um patch com ele? Eis aqui uma pequena receita de bolo:

1 – Baixe o aplicativo do repositório git com o seguinte comando:

git clone git://repositorio.do.aplicativo.git

2 – Suponhamos que você quer criar um patch para ser enviado aos mantenedores do aplicativo em questão, qual a melhor maneira de fazer isso? Na minha opnião é criando um branch para o seu patch com o seguinte comando:

git checkout -b bug_xxxx_exemplo_de_branch

Pronto! Você criou um novo branch, e está pronto para programar!

3 – Programe!

Agora digamos que você fez várias alterações no código, está na hora de gerar o patch. Antes de mais nada, você precisa adicionar no git as alterações. Então digamos que você modificou o arquivo aplicativo.c e adicionou o arquivo novo_arquivo.c no seu patch, utilize o seguinte comando:

git add aplicativo.c novo_arquivo.c

Claro que você pode usar o git add para cada arquivo que você adicionar também.

Feito isso, vamos comitar essas alterações. Note que o commit nesse caso, não signfica que você estará subindo as alterações que você fez para o repositório git ainda (até porque talvez você não tenha permissão para isso). O commit é apenas para confirmar que você realmente terminou o que estava fazendo e está pronto para gerar o patch.

git commit

Vai aparecer um editor de textos, pedindo para você colocar as notas a respeito do patch. Salve tudo, e pronto! falta só um pouquinho para que você gere o patch, e isso você faz da seguinte maneira:

git format-patch master --stdout > meu_primeiro.patch

E pronto! Um patch novinho em folha para você enviar para o mantenedor do seu aplicativo preferido! E o melhor de tudo, ele só vai precisar executar um único comando para aplicar seu patch.

Antes que eu me esqueça, fez algo que se arrependeu?

git reset HEADˆ

ou

git reset --hard HEAD^

Rafael Gomes: Chamada de trabalhos – OWASP AppSec Brasil 2010

Começou o Call for Papers do OWASP AppSec Brasil 2010, veja abaixo a reprodução da chamada em  português.

APPSEC BRASIL 2010

CHAMADA DE TRABALHOS

O OWASP (Open Web Application Security Project) solicita propostas de apresentações para a conferência AppSec Brasil 2010, que ocorrerá na Fundação CPqD em Campinas, SP, de 16 a 19 de novembro de 2010. Haverá mini-cursos nos dias 16 e 17, seguidos de sessões plenárias de trilha única nos dias 18 e 19 de novembro de 2010.

Buscamos pessoas e organizações que queiram ministrar palestras sobre segurança de aplicações. Em particular destacamos os seguintes tópicos de interesse:

• Modelagem de ameaças em aplicações (Application Threat Modeling)
• Riscos de Negócio em Segurança de aplicações (Business Risks with Application Security)
• Aplicações de Revisões de Código (Hands-on Source Code Review)
• Métricas Aplicadas a Segurança de Aplicações (Metrics for Application Security)
• Ferramentas e Projetos do OWASP (OWASP Tools and Projects)
• Tópicos de Privacidade em Aplicações e Armazenamento de Dados (Privacy Concerns with Applications and Data Storage)
• Práticas de Programação Segura (Secure Coding Practices)
• Programas de Segurança para todo o Ciclo de Vida de aplicações
• (Secure Development Lifecycle Programs)
• Tópicos de Segurança para tecnologias específicas (AJAX, XML, Flash, etc) (Technology specific presentations on security such as AJAX, XML, etc)
• Controles de Segurança para aplicações Web (Web Application Security countermeasures)
• Testes de Segurança de aplicações Web (Web Application Security Testing)
• Segurança de Web Services ou XML (Web Services, XML and Application Security)

A lista de tópicos não é exaustiva; outros tópicos podem ser abordados, desde que em consonância com o tema central do evento.

Para submeter uma proposta, preencha o formulário disponível em http://www.owasp.org/images/6/68/OWASP_AppSec_Brasil_2010_CFP%28pt-br%29.rtf.zip, que deve ser enviado através da página da conferência no site Easychair: http://www.easychair.org/conferences/?conf=appsecbr2010

Cada apresentação terá 45 minutos de duração, seguidos de 10 minutos para perguntas da platéia. Todas as apresentações deverão estar em conformidade com as regras definidas pelo OWASP em seu “Speaker Agreement”.

Datas importantes:

• A data limite para apresentação de propostas é 17 de agosto de 2010 às 23:59, horário de Brasília.
• A notificação de aceitação ocorrerá até o dia 8 de setembro de 2010.
• A versão final das apresentações deverá ser enviada até o dia 30 de setembro de 2010.

A comissão organizadora da conferência pode ser contactada pelo e-mail: organizacao2010@appsecbrasil.org

Para mais informações, favor consultar as seguintes páginas:

• Página da conferência: http://www.owasp.org/index.php/AppSec_Brasil_2010_(pt-br)
• OWASP Speaker Agreement (em inglês): http://www.owasp.org/index.php/Speaker_Agreement
• Página do OWASP: http://www.owasp.org
• Página da conferência no Easychair: http://www.easychair.org/conferences/?conf=appsecbr2010
• Formulário para apresentação de propostas: http://www.owasp.org/images/f/f7/OWASP_AppSec_Brasil_2010_CFP.rtf.zip

ATENÇÃO: Não serão aceitas propostas sem TODAS as informações solicitadas no formulário

Favor divulgar a todos os possíveis interessados.

Retirado daqui.

Tiago Bortoletto Vaz: Live installer (pre-alpha-almost-tested) just released

“yeahhhh!!!”

— otavio

“Wow, it even works!”

— daniel

Daniel and Otavio releasing Debian live installer in Debconf 10