Lm 25 Criptografia

LINUX NA GLOBO p.21

 Sergio Amadeu e Julio Julio Neves entrevistados no Programa do Jô

DIRECIONANDO INVESTIMENT INVESTIMENTOS OS p.26

Linux em agência de fomento  a pequenas empresas

CEZAR TAURION p.28

Código Aberto impacta  indústria do software #25 11/06

   6    0    0    2    o    r    b    m    e    v    o    N

R$ 13,90 € 7,50        5         2         0         0         0         9         0         0         2         4         9

   5    2    #

        6         0         8         1        7        7

A REVISTA DO PROFISSIONAL DE TI

        9

SISTEMAS DE

CRIPTOGRAFIA

 p.29

SISTEMAS DE ARQUIVOS CRIPTOGRAFADOS OFERECEM UMA PODEROSA PROTEÇÃO PARA A ATUAL CULTURA DA COMPUTAÇÃO CASUAL. MANTENHA SEUS DADOS A SALVO DE OLHOS CURIOSOS E CRIMINOSOS VIRTUAIS. » Sistemas de arquivos criptográficos: qual o melhor?  p.30 » Cifragem de discos rígidos: proteja todo o sistema  p.38 » Criptografia avançada de CDs e DVDs  p.44

UDEV  p.56 O fantástico sistema de administração de hardware do Linux

BRIDGE COM SQUID  p.68 Use um proxy e filtre conteúdo ao mesmo tempo – sem reconfigurar nada!

VEJA TAMBÉM NESTA EDIÇÃO: » SLED 10: todas as novidades  p.52 » Te Temas mas para o terminal com Bashish  p.66 » Monte um grid com o BOINC  p.61 » Xara LX: desenhos vetoriais 3D  p.49 » Programação: Meta-python  p.73 WWW.LINUXMAGAZINE.COM.BR

COM DVD SLACKWARE 11 PARA ASSINANTES

Expediente editorial Diretor Editorial Rafael Peregrino da Silva [email protected]

Coordenador Editorial e Diretor de Arte Luciano Hagge Dias [email protected] Editores Tadeu Carmona [email protected] Pablo Hess [email protected] Tradução e Revisão Livea Marchiori [email protected] Design da Capa Luciano Hagge Dias [email protected] Centros de Competência

Centro de Competência em Software: Oliver Frommel [email protected]

Centro de Competência em Hardware: Mirko Dölle [email protected]

Centro de Competência em Redes e Segurança:

Achim Leitner [email protected] Correspondentes & Colaboradores Augusto Campos, Cezar Taurion, Charly Kühnast, Christian Ney, Frank Wieduwilt, Jens Christoph Brendel, Joe Casad, Jose Maria Ruiz, Klaus Knopper, Marc Seil, Mathias Jansen, Michael Nerb, Peter Gutmann, Peter Kreussel, Oliver Frommel e Rene Rebe. Diretor Comercial Claudio Bazzoli [email protected] Anúncios:

Claudio Bazzoli (Brasil)

[email protected] Tel.: +55 (0)11 2161 5400 Fax: +55 (0)11 2161 5410

Osmund Schmidt (Alemanha, Áustria e Suíça) [email protected]

Brian Osborn (Outros países)

[email protected] Assinaturas: www.linuxnewmedia.com.br [email protected] Na Internet: www.linuxmagazine.com.br – Brasil www.linux-magazin.de – Alemanha www.linux-magazine.com – Portal Mundial www.linuxmagazine.com.au – Austrália www.linux-magazine.ca – Canadá www.linux-magazine.es – Espanha www.linux-magazine.pl – Polônia www.linux-magazine.co.uk – Reino Unido www.linux-magazin.ro – Romênia Apesar de todos os cuidados possíveis terem sido tomados durante a produção desta revista, a editora não é responsável por eventuais imprecisões nela contidas ou por conseqüências que advenham de seu uso. A utilização de qualquer material da revista ocorre por conta e risco do leitor. leitor. Nenhum material pode ser reproduzido em qualquer meio, em parte ou no todo, sem permissão expressa da editora. Assume-se que qualquer correspondência recebida, tal como cartas, emails, faxes, fotografias, artigos artigos e desenhos, são fornecidos para publicação ou licenciamento a terceiros de forma mundial não exclusiva pela Linux New Media do Brasil, a menos que explicitamente indicado.

Linux é uma marca registrada de Linus Torvalds. Linux Magazine é publicada mensalmente mensalmente por: Linux New Media do Brasil Editora Ltda. Rua Arizona, 1349 Conj. 5B – Cidade Monções 04567-003 – São Paulo – SP – Brasil Tel.: +55 (0)11 2161 5400 Fax: +55 (0)11 2161 5410 Direitos Autorais e Marcas Registradas © 2004 - 2006: Linux New Media do Brasil Editora Ltda. Distribuição: Distmag  Impressão e Acabamento: Parma ISSN 1806-9428

Impresso no Brasil

INSTITUTO VERIFICADOR DE CIRCULAÇÃO

Linux Magazine #25 | Novembro de 2006

Idéias Idéias derrub derr ubam am impérios

E  D I    T   O R  I    A L  

Prezado leitor, prezada leitora da Linux Magazine, no dia 5 de outubro de 2006 o Brasil

pôde finalmente assistir, em TV aberta, um programa de massa e relevância nacional abordando o tema Linux e Software Livre: Júlio Cezar Neves e Sérgio Amadeu da Silveira foram os entrevistados do programa de Jô Soares, na Rede Globo. Sem entrar no mérito do desempenho dos entrevistados durante o programa, algo que muitos leitores questionaram enviando emails para a Redação, a entrevista é um episódio episódio importante no cenário nacional no que tange à notoriedade do Software Livre. É parte do movimento de tornar conhecida uma tecnologia que, mais cedo ou mais tarde, inevitavelmente, vai fazer parte da vida de todos.  A entre entrevis vista ta abord abordou, ou, logo logo de iníc início, io, o uso uso do Softwa Software re Livr Livree pelo pelo “fen “fenôme ômeno” no” Google. Não vamos nos ocupar de descrever aqui o seu conteúdo – quem quiser pode assisti-la diretamente na página do Programa do Jô –, mas do novo modelo de negócios criado pelo Google, que usa a Internet e uma combinação de sistemas de código aberto como infra-estrutura – e é, por isso mesmo, independente de plataforma. O modelo de negócios da Microsoft, por outro lado, foi criado em torno da plataforma PC. Einstein postulou que não é possível resolver problemas através do mesmo tipo de raciocínio raciocínio usado para criá-los. Esta é a razão pela qual a Microsoft se encontra em

meio a uma crise sem precedentes: toda a sua estratégia de negócios é baseada no controle de uma plataforma de escalabilidade escalabilidade questionável. Se Redmond quisesse realmente manter a sua hegemonia, eles deveriam jogar fora os 5 bilhões de dólares investidos no desenvolvimento desenvolvimento do Windows® Vista e criar um novo sistema operacional mais simples, leve e seguro, segur o, que pudesse funcionar em qualquer máquina hoje

rodando Windows 2000 ou XP, a um preço muito inferior ao praticado atualmente (em torno de 50 dólares, que é mais do que a empresa recebe hoje por uma versão

OEM do Windows, que já vem instalada “de fábrica”). O Microsoft Office® deveria

custar, no máximo, máximo, a mesma coisa. Por quê? quê? Porque o mercado para atualizações atua lizações de sistema é, hoje, no mínimo, cinco vezes maior do que o dos chamados PCs OEM .

 A Micros Microsoft oft preci precisar saria ia (mas, (mas, provav provavelm elmen ente te,, não perce percebe) be),, finalm finalment ente, e, se conce concentr ntrar ar

mais em atender a sua base instalada. Tais máquinas seriam mais do que suficientes

para usuários de sistemas cada vez mais voltados ao uso da Internet como ferramenta

de trabalho. Felizmente, graças ao Linux, empresas como Canonical, Mandriva e Novell estão mais bem posicionadas para atender a essa demanda. De outro lado, os clientes atuais do Google, uma massa gigantesca formada principalmente por pequenas e médias empresas, não fazem, de modo geral, anúncios em nenhuma outra mídia. E a empresa veicula esses anúncios usando algoritmos proprietários sobre os dados coletados pelos seus robôs de indexação (usados pela máquina de busca), bem como sobre os dados dos usuários de seus serviços de email, grupos, chat etc. É todo um novo jeito de fazer negócios. E a empresa está ainda posicionada como referência para o que se convencionou chamar de Web 2.0, tendo como base de desenvolvimento sistemas e padrões abertos. Os primeiros eles podem adaptar rapidamente de acordo com as suas necessidades, necessidades, o que lhes permite concentrarem-se em seu segmento de negócios. Isso lhes confere a escalabilidade que falta hoje à Microsoft, e, a nosso ver, se as coisas não mudarem rápido em Redmond, o império do Windows estará finalmente com os dias contados. Isso não é apenas por causa da tecnologia, mas especialmente especialmente por causa do modo como a tecnologia está sendo utilizada em cada um dos modelos de negócios.

Rafael Peregrino da Silva Diretor Editorial

3

   E    C    I    D    N     Í

CAPA Segredos e discos

29

Os computadores atuais são suficientemente rápidos para algumas técnicas criptográficas bastante sofisticadas. sofisticadas. Veja como manter seus dados a salvo de olhos curiosos e espiões.

Candidatos secretos

30

Se você não for um especialista em segurança, mas estiver em busca de um sistema de arquivos criptografado, talvez esteja se perguntando quais são as alternativas. Conheça algumas das opções mais populares de criptografia para Linux.

O disco todo

38

Criptografar um diretório home é fácil. Criptografar seu disco rígido inteiro, incluindo incluindo a partição raiz, dá um pouco mais de trabalho.

Escondendo o jogo

44

Um disco rígido criptografado no seu servidor não serve de nada se os dados confidenciais de CDs ou DVDs caírem nas mãos erradas. Mostraremos algumas soluções convenientes para criptografar seus dados em mídias removíveis.

4

http://www. linuxmagazine .com.br   linuxmagazine.com.br 

Linux Magazine 25 | ÍNDICE

COLUNAS Augusto Campos Charly Kühnast Klaus Knopper Pablo Hess

TUTORIAL 10 12 14 16

Quem Udev não teme Depois de três anos em segundo plano, o Udev finalmente superou o sistema legado Dev-FS. Vamos ver o que há debaixo do capô do sist ema de gerenciamento de dispositivos Udev da sua máquina Linux.

56

NOTÍCIAS Segurança ➧ Kernel Linux

18

➧  X.org  ➧ OpenSSL ➧ OpenSSH ➧ Firefox, Thunderbird e SeaMonkey 

Geral ➧ Busca em código-fonte com o Google ➧ Yahoo vai liberar códigos ➧

Lançado Mandriva 2007

➧

Urnas proprietárias são seguras?

➧

Interatividade realista em ambiente Linux

➧

Software Livre em cadeia nacional

20

SYSADMIN Ciclos ociosos 61 A computação em grid permite que pequenos PCs resolvam grandes problemas. Você pode usar o sistema de grid do famoso projeto SETI@home para criar suas próprias soluções de grid computacional.

CORPORATE Notícias ➧ Programas educacionais da Intel fazem 5 anos ➧

Eudora abre seu código

➧

Microsoft se livra de processo por monopólio

➧

Google compra YouTube

➧

Novell oferece suporte a Red Hat virtualizado

➧

VoIP: Linux melhor que Cisco

➧

Novell lança Suse Linux Enterprise 10 no Brasil

➧

GFS2 no kernel oficial

➧

Mandriva compra Linbox

➧

Fonality adquire Trixbox

➧

SL no Poder Judiciário

Entrevista: InvesteRio Coluna: Cezar Taurion

22

26 28

ANÁLISE Quase real Gráficos vetoriais são parecidos com revistas em quadrinhos: apesar de você conseguir usar sombras e luzes, é mais ou menos impossível atingir um realismo fotográfico. Mas tudo isso pode mudar, agora que o  Xara LX foi liberado como um produto de código aberto.

49

Shell ilustrado O Bashish dá um toque de estilo à linha de comando.

66

Filtro na ponte Proxies com cache lembram-se de páginas e as servem localmente, economizando tempo e dinheiro. Os membros mais inteligentes dessa família também apagam conteúdo perigoso e oferecem bridging transparente.

68

PROGRAMAÇÃO Metalinguagem Com a chegada do Ruby On Rails, os programadores estão redescobrindo um conceito não muito moderno, mas surpreendente...Programas que modificam programas?

73

SERVIÇOS Camaleão de gravata O Suse Linux Enterprise Desktop é a versão corporativa da Novell baseada no Open Suse. Integra recursos de segurança avançada ( AppArmor ) e grandes inovações em usabilidade. Confira se essa é a distribuição certa para sua empresa.

Linux Magazine #25 | Novembro de 2006

52

Editorial Emails Linux.local Eventos Índice de anunciantes Preview

03 06 78 80 80 82

5

 Emails para o editor 

Permissão de Escrita

   S    L    I    A    M    E

    h    u    c .     x    s .     w     w     w   –    o    r     n   e     j    e    g     a     n    j     s   a

 Se você tem dúvidas sobre o mundo Linux, críticas ou sugestões que possam ajudar a melhorar a nossa revista, escreva para o  seguinte endereço: [email protected] . Devido ao volume de correspondência, é impossível responder a todas as dúvidas sobre aplicativos, configurações e problemas de hardware que chegam à Redação, mas garantimos que elas são lidas e  analisadas. As mais interessantes são publicadas nesta seção.

✎ Leitores autores

 Venho por meio deste dar uma sugestão à revista: já que na edição de setembro estava-se falando sobre os leitores publicarem artigos ou enviarem dicas sobre os assuntos que lhes interessem, gostaria de propror à revista que lançasse uma campanha para estimular os leitores (principalmente os que já tenham bastante experiência no assunto) a publicarem artigos e até cases reais sobre os mais variados assuntos envolvendo Linux. Claro que, para que os artigos tenham qualidade, a revista poderia escolher um ou dois artigos de leitores por mês, e para encorajar (estimular) os leitores a mandarem artigos de qualidade, podia-se criar uma premiação para esses colaboradores, algo como a cada seis meses escolher o melhor artigo de um leitor e premiá-lo com uma assinatura da revista, ou alguma outra premiação. Enfim, estou enviando esta sugestão apenas para ver mais artigos bons; também para que as pessoas que tenham um bom conhecimento para colaborar com a comunidade Open Source e a revista Linux Magazine sejam estimuladas a enviar um artigo que será útil e tenha um certo padrão de qualidade. Espero estar colaborando para que a revista continue sendo o sucesso que é e também para que ela melhore para mim e os demais leitores. Grato, Fernando Zank Correa Evangelista Caro Fernando, a Linux Magazine está e sempre esteve aberta

à participação dos leitores. Nós sempre tentamos publicar artigos, relatos de eventos e casos de sucesso do Linux de autores brasileiros. O único pré-requisito para isso é que tenham o alto nível de informação que caracteriza a revista. O endereço para envio desse

tipo de material é [email protected], e reiteramos o

convite a todos que estiverem dispostos a contribuir com material para a Linux Magazine. Vamos considerar a idéia da premiação. Muito obrigado pela sugestão. ■

6

✎ Aumento de preço

Prezado Editor, me tornei leitor assíduo da revista Linux Magazine, mas neste mês eu levei um tremendo susto quando fui à banca de jornais retirar o meu exemplar: o preço está muito alto!!! A revista deveria ser um meio para divulgar o Software Livre em geral, mas, pra que isso ocorra, é necessário que o preço dela em banca seja mais “popular”, pois assim atrairá mais leitores e conseqüentemente mais usuários de Software Livre.  André Ricardo – Garça, SP

Sou comprador da revista e gostaria de saber qual o motivo do aumento de preço para a edição de nº 23 – Setembro de 2006. O valor de R$ 10,90 era um preço justo a se pagar por uma revista com a alta qualidade técnica e gráfica como a de vocês, mas os atuais R$ 13,90 estão acima da realidade e das vantagens de se pagar por uma revista.  Azevêdo Neto

Caros André, Azevêdo e demais leitores da Linux Ma-

gazine , primeiramente obrigado por manifestarem sua opinião. Recentemente reformulamos a distribuição da

revista. Adotamos outra política de inclusão do CD na

revista e mudamos de empresa de distribuição para so-

lucionarmos problemas operacionais que nos impediam de chegar a todos os nossos leitores. A mudança também reduziu nossos custos de produção, o que permitiu que o aumento de preço repassado aos leitores fosse menos significativo. Portanto, esse pequeno aumento do preço de capa da Linux Magazine foi a única solução para compensarmos nossos custos que já vinham aumentando há diversos meses, sem que houvéssemos repass ado qualquer  aumento para o leitor.  Agradecemos a compreensão de todos e esperamos que

continuem apreciando o conteúdo da Linux Magazine.

■

http://www. linuxmagazine.com.br 

SEJA LIBRIX NA RUA, SEJA LIBRIX EM CASA, SEJA LIBRIX NO TRABALHO.

A solução completa.

Agora, além do Librix (Linux da Itautec), a sua empresa pode contar com o melhor e mais estável pacote de hardware e software do mercado,testado e homologado pela Itautec.

É mais segurança, porque a Itautec oferece suporte técnico especializado via internet ou pelo telefone, serviços de tuning e configuração e ainda atendimento nacional on site.

Toda a liberdade que você precisa para trabalhar com mais mobilidade, usando a internet sem fio,e ainda operar com software livre.

Tem alta tecnologia para os aplicativos como editor de textos, planilha eletrônica, editor de imagens e apresentações. É mais facilidade e maior flexibilidade no seu dia-a-dia. Na hora de trabalhar,não se sinta preso.Seja Librix.

• Monitor LCD de 15” incluso • 512 MB de memória • Combo (DVD + gravador de CD)

 .    a    v     i    t    a    r    t    s    u     l     i    o    t    o     F

       Z        P        D

Itautec Minitorre Código da oferta: IN527LX

IDEAL PARA ACESSO À INTERNET.

• Processador Intel® Celeron® D 315 (256 KB L2 cache, 2.26 GHz, 533 MHz) • LIBRIX - Distribuição Linux Itautec • Monitor LCD de 15”• 512 MB de memória • HD 40 GB • Floppy • Combo (DVD + CD-RW) • Placa de vídeo integrada • Placa de rede integrada • Fax/Modem 56 Kbps • Teclado • Mouse • 1 ano de garantia balcão *

10x R$

149,90

ou R$ 1.499,00 à vista

www.itautecshop.com.br COMPRE DIRETAMENTE DO FABRICANTE

PRESENTE EM MAIS DE 2.700 CIDADES.

0800 121 444 De 2ª a 6ª,das 8h às 20h.Sábado, das 9h às 18h.Domingo, das 9h às 15h.

Oferta válida até 5/11/2006 ou enquanto durar o estoque.Celeron,Celeron Inside,Centrino,o logotipo Centrino,Core Inside,Intel,o logotipo Intel,Intel Core,Intel Inside,o logotipo Intel Inside,Intel Viiv,Intel vPro,Itanium,Itanium Inside,Pentium,Pentium Inside, Xeon e Xeon Inside são marcas comerciais ou marcas registradas da Intel Corporation ou de suas subsidiárias nos Estados Unidos e em outros países.Microsoft e Windows são marcas registradas da Microsoft Corporation.Consulte nossa Central de Atendimento para informações sobre outras condições de financia mento para pessoa física ou jurídica pelo telefone 0800- 121-444. A velocidade de comunicaçã o de 56 Kbps depende e pode variar de acordo com o tipo e a qualidade da linha telefônica utilizada. *Garantia balcão de um ano para partes,peças e serviços.Para possibilitar o acesso à internet são necessários uma linha telefônica ou banda larga e um provedor à sua escolha.Preço com impostos inclusos para São Paulo.Frete não incluso.Demais características técnicas e de comercialização estão disponíveis em nosso site e no Televendas.Fica ressalvada eventual retificação da oferta aqui veiculada.Quantidade:10 unidades.Empresa/produto beneficiado pela Lei de Informática.Foto meramente ilustrativa.

sem juros

EMAILS | [email protected]

✎ Bom trabalho

Boa tarde, pessoal. Estou enviando este email para elogiá-los pelo excelente trabalho (...). Aqui no Brasil, somos carentes de boas publicações como Easylinux e Linux Magazine, que fornecem informação com competência e muita qualidade. Leandro Bueno dos Santos Caro Leandro, muito obrigado pelos elogios. Eles são nossa

maior recompensa. Esperamos poder sempre satisfazer assim aos nossos leitores. ■

servidor (Samba, NFS, web, mail, banco de dados etc...)? O Debian e o Slackware são mais rápidos que ele?  Willian Ricardo Firmino – Ribeirão Preto, SP Willian, essa pergunta realmente é muito comum, e

não tem uma resposta tão fácil e direta. O Fedora de fato é uma distribuição bastante atualizada. Seu ciclo de desenvolvimento e lançamento é fixo, e portanto previsível, o que ajuda a planejar antecipadamente as atualizações dos servidores. Porém, uma vez instalado o servidor, isso pode incomodar o administrador, pois há sempre uma

versão mais nova que aquela instalada na máquina. Uma das maiores vantagens de se usar o Fedora em servidores é o uso que ele faz, “de fábrica”, do Security Enhanced Linux, ou SELinux. Recentemente publicamos uma matéria sobre o SELinux, inclusive comparando-o à solução de se gurança desenvolvida pela Novell, o AppArmor. O SELinux consiste de um conjunto de políticas par a impedir que programas façam uso indevido do hardware, dos recursos do sistema, e até mesmo proíbe o acesso a determinados arquivos importantes. Com isso, mesmo que um programa contenha falhas de segurança, um agressor permanecerá incapaz de explorar esses defeitos, uma vez que o programa fica constantemente trancado em relação aos recursos que pode acessar. É um sistema bastante complexo, mas seu resultado é um aumento significativo da segurança do servidor. A primeira resposta, então, é que o Fedora é adequado para trabalhar como servidor. O Debian, como muitos sabem, prima pela estabilidade do sistema. O ciclo de desenvolvimento da distribuição é mais lento, o que irrita muitos administradores, e ao mesmo tempo tranqüiliza diversos outros. Comparando sua segurança à do Fedora Core, o Debian baseia-se mais fortemente na confiança nos programas que compõem a distribuição, enquanto o Fedora

✎ Xen

 Vocês já publicaram em uma edição como instalar o Xen. No entanto, eu tentei instalar no Debian 3.1 e muitos módulos deixam de funcionar, até mesmo o sistema de arquivos XFS. Mesmo em pacotes compilados há esse problema. Deve ser uma dúvida de muitos usuários. Obrigado desde já. Maurício Coutinho

Caro Maurício, nossa matéria sobre instalação e uso do  Xen, publicada na edição 9, de junho de 2005, aborda uma versão um pouco mais antiga desse sistema de virtualização. Recomendamos que você use sempre a versão mais nova disponível, contanto que seja estável, pois a sua distribuição deve

conter os patches necessários a ela. A matéria sobre o Xen publicada na Linux Magazine número 24, de setembro de 2006, examina a última versão (3.0) do sistema de virtualização, e portanto deve ser preferida à da edição 9. ■

✎ Distribuição para servidores

Olá, amigos. Tenho uma dúvida: o Fedora 5 é uma distribuição de Linux que incorpora as versões mais atualizadas dos programas, mas ele tem estabilidade para trabalhar como

8

se utiliza do SELinux para impedir que as eventuais falhas nos programas venham a comprometer o sistema. O Slackware é uma distribuição que deixa o poder (e o trabalho) todo na mão do administrador. Políticas de segurança e atualização de pacotes ficam a critério do administrador, e então é mais difícil caracterizar esses aspectos de uma forma  generalizada para toda a distribuição. Em relação à velocidade, é difícil estabelecer alguma regra  geral. Pode-se dizer que essas três distribuições são igualmente

rápidas. Porém, enquanto o Fedora pode sofrer de uma pequena

lentidão devido ao uso do SELinux, ele possui um sistema de  gerenciamento de pacotes mais sofisticado, assim como o Debian. Entretanto, o gerenciamento de pacotes RPM pelo yum ou pelo apt-rpm, no Fedora, é bastante criticado, enquanto o apt no Debian costuma ser bastante elogiado. O Slackware, por sua vez, opta por não possuir um sistema sofisticado de gerenciamento de pacotes. Ele não oferece a resolução de dependências entre os pacotes por padrão. Por isso, o administrador pode (e deve) instalar somente aqueles pacotes que sabe que são necessários, o que pode ser difícil em sistemas com gerenciadores de pacotes. Enquanto a distribuição tende a ficar mais rápida com menos programas desnecessários instalados, a tarefa de gerenciamento de pacotes pode tornar-se mais trabalhosa e demorada no Slackware. Concluindo, as três distribuições são altamente adequadas

ao uso em servidores. Cabe ao administrador escolher a que se encaixa melhor às suas necessidades e expectativas. Segurança, velocidade e facilidade de administração devem ser sempre

levadas em conta.

■

http://www. linuxmagazine.com.br 

 Você consegue se lembrar de todos os seus afazeres? 

 Augusto Campos

   A    N    U    L    O    C

Controlar as tarefas do sistema operacional em geral é mais  simples do que gerenciar as do administrador de sistemas.

U

ma de minhas obsessões pessoais é o controle de tarefas. Não, não estou falando do scheduling dos processos do sistema operacional nos servidores de rede, mas sim daquela atividade básica, essencial e tant as vezes negligenciada: a manutenção da lista de pendências e compromissos, tanto profissionais quanto pessoais. Embora alguns se saiam melhor do que outros nessa tarefa, sempre me pareceu que o controle de pendências é uma atividade que ocupa e interessa a maior parte dos administradores de sistemas, e tenho certeza de que não é por acaso que as duas colunas que geraram maior número de respostas para mim desde que comecei a escrever mensalmente na Linux Magazine tratavam exatamente sobre esse tema – e em uma delas, recebi contatos posteriores até mesmo enviados pela Redação da revista, agradecendo a dica do prático e econômico Hipster PDA.

Sempre me pareceu que o controle de pendências é uma atividade que ocupa e interessa a maior  parte dos administradores de sistemas. Mas hoje tenho que iniciar a coluna fazendo uma confissão: a data limite para a entrega deste texto venceu ontem, e eu a esqueci. Sabem por quê? Porque estava investigando minha mais recente descoberta nessa área, e passei as horas que devia ter dedicado a escrever este artigo transpondo minha lista de pendências para uma nova ferramenta. Quando cheguei a perceber que a coluna est ava pendente, já era tarde demais. Nossa sorte é que o editor é camarada, e me concedeu um dia adicional. ;-) Eu sou adepto de fazer limonadas com os limões que a vida me oferece, e esta acabou sendo justamente a oportunidade perfeita para falar de uma ferramenta que se aproxima da perfeição em sua simplicidade: um script shell chamado todo.sh [1] (do inglês “ to do”, que significa “a fazer”, ou pendente), que tem todos os recursos necessários para gerenciar a sua lista de tarefas (inclusive a hierarquização delas em projetos) e é completamente gerenciável a partir da linha de comando, por intermédio de uma sintaxe simples e fácil de memorizar.

10

O todo.sh foi desenvolvido por Gina Trapani, editora do prestigiado site Lifehacker.com, dedicado justamente a esse tipo de ferramenta de organização pessoal. O script é feito em Bash, o que garante que funciona bem nos Macs (ambiente preferido dela) e no Linux – portanto atende bem a todos nós. Usuários de Windows® também podem usá-lo se instalarem o Cygwin [2]. Mas a Gina não carrega o piano sozinha: toda uma comunidade de usuários constantemente acrescenta funcionalidades e novos recursos ao sistema – sem prejudicar a sua marca registrada, que é a simplicidade. Usuários avançados, o que inclui a maior parte dos administradores de sistemas e de redes, vão gostar de saber que o todo.sh armazena todos os seus dados em um simples arquivo de texto estruturado, fácil de ser pesquisado (basta um grep) e processado pelos mais diversos scripts que você conseguir imaginar.  A sintaxe é simples a ponto de poder ser integralmente explicada em um vídeo de 60 segundos [3], e inclui a possibilidade de aninhar as tarefas em projetos, associá-las a contextos (por exemplo, “coisas para fazer em casa”, “t arefas para o final de semana” ou “no computador”), editar tarefas diretamente, listá-las de forma condicional, atribuir prioridades a cada tarefa, e muito mais. E como se trata de texto estruturado, já consigo imaginar muitos de vocês pensando em como acrescentar recursos a esse sistema usando scripts adicionais, inclusão na crontab ou disponibilização em um repositório remotamente acessível. E nunca mais esqueçam aquela reunião com o fornecedor de servidores nem aquele arquivo de registro que você precisa checar no final do mês que vem! Mas lembrem-se: antes de experimentar o novo sistema, verifiquem se vocês não têm uma coluna pendente para entregar no mesmo dia. ;-) ■

Mais Informações [1] Todo.sh: http://todotxt.com/ [2] Cygwin: http://www.cygwin.com/ [3] http://www.youtube.com/watch?v=LhizDEyncZU

O autor  Augusto César Campos é administra-

dor de TI e, desde 1996, mantém o site BR-linux.org, que cobre a cena do Software Livre no Brasil e no mundo.

http://www. linuxmagazine.com.br 

 Nmap 4

Charly Kühnast 

   A    N    U    L    O    C

Várias ferramentas continuam crescendo a cada nova versão, mas o Nmap 4.00 perdeu peso graças ao projeto Diet-Nmap.  A última encarnação do Nmap não somente é mais rápida, como também mais econômica em relação à memória.

 A 

ferramenta Network Mapper , ou Nmap [1], é minha companheira permanente. O criador do Nmap lançou a versão 4.00 do software pouco depois de comemorar o oitavo aniversário do produto, cujo presente foi uma nova dieta de códigos com várias funções novas. Uma das introduções mais interessantes foi a adição da varredura  ARP. O sistema operacional usa requisições ARP para identificar endereços MAC na rede. O Nmap simplesmente se apodera dessa característica do sistema operacional, usando-a em proveito próprio. O resultado é a geração de uma boa coleção de dados confiáveis sobre o número e os tipos de máquinas ativas na rede. Esse recurso elimina totalmente a necessidade de usar o ping ou outros truques parecidos. (O ping já é impreciso de qualquer forma, pois a máquina remota não é obrigada a responder). Nem é necessário familiarizar-se com a nova sintaxe.  Ao varrer a rede local, o Nmap automaticamente escolhe a

O Nmap sempre foi um modo  fantástico de incomodar as pessoas na sua rede e desperdiçar  toneladas de papel ao varrer  impressoras de rede.

exemplo, eu varri meu roteador na minha própria rede do laboratório com o comando nmap -O 10.0.0.50, usando a antiga versão do Nmap 2.70, e obtive a seguinte saída (reduzida ao essencial): MAC Address: 00:05:5E:96:3D:00 (Cisco Systems) No exact OS matches for host

O Nmap 4.00 oferece uma mensagem bem mais precisa: Device type: router Running: Cisco IOS 12.X OS details: Cisco 2600 router running IOS 12.2(3), ➥ Cisco router running IOS 12.1

O mesmo se aplica à identificação de versões. Se eu quiser descobrir qual versão do daemon IMAP está rodando num servidor, posso digitar nmap -sV 10.0.0.88 -p 143 para obter os resultados: 143/tcp open

imap UW imapd 2004.352

O Nmap sempre foi um modo fantástico de incomodar as pessoas na sua rede e desperdiçar toneladas de papel ao varrer impressoras de rede. Essas impressoras costumam escutar na porta 9100, e várias delas imediatamente convertem qualquer dado recebido para dados para impressão. Os desenvolvedores da última versão estável do Nmap introduziram um recurso varredura ARP mais eficiente, mesmo que você especifique inteligente de economia de papel. Quando eu entrei nmap -sV -sP na linha de comando. De acordo com a página de ma- printer -p 9100, primeiro fui consultado: nual, isso só acontece se você usar o Nmap com privilégios de root. Para mandá-lo manter seu antigo comportamento, 9100/tcp open jetdirect? Excluded from version scan é necessário especificar o parâmetro --send-ip. o que evitou a avalanche de papel. Mas essa técnica para economizar papel não significa que Fyodor seja um estraga-prazeres. Se você realmente quiser desperdiçar papel, O parâmetro --badsum também é novo na versão 4.00. Ele pode usar a opção --allports, estendendo a avalanche de manda o Nmap enviar pacotes TCP ou UDP com somas in- papel de sete anos de idade à próxima geração. ■ corretas para a máquina alvo. Quase todos os computadores, Mais Informações ao receberem um pacote assim, largam-no imediatamente, mas, se o Nmap receber uma resposta, pode-se presumir que [1] Nmap: http://www.insecure.org/nmap/ o alvo seja um firewall ou um IDS que não se dá ao trabalho de inspecionar as somas. A ferramenta agora pode forjar O autor  facilmente seu próprio endereço MAC usando a opção de Charly Kühnast é administrador de sislinha de comando --spoof-mac endereço_MAC. temas Unix no datacenter Moers, perO Nmap tem suporte à identificação da versão de to do famoso rio Reno, na Alemanha. Lá sistemas operacionais através do parâmetro -O, como de ele cuida, principalmente, dos firewalls. costume, mas agora esse recurso é mais eficiente. Por

Delírio do spoofer 

12

http://www. linuxmagazine.com.br 

Transforme o poder do MultiCore em aplicativos de alto-desempenho. Tenha seus aplicativos preparados para o processamento paralelo e escalável. Faça certo na primeira vez: Intel® Threading Analysis Tools Localiza os problemas de threadings latentes com visualização em tempo real. Compiladores Intel C++ e Fortran Aumenta o desempenho sem mudar o ambiente de desenvolvimento Analisadores de Desempenho Intel VTune™ Identifica de forma bastante rápida gargalos de desempenho nos aplicativos Intel Integrated Performance Primitives Acesse bibliotecas de rotinas multimídia otimizadas para múltiplas plataformas Intel Math Kernel Library Aumenta o desempenho de aplicativos através do uso de rotinas otimizadas como BLAS, FFT, LAPACK, incluindo suporte a MPI

“As ferramentas de threading da Intel tem acelerado  nosso ciclo de desenvolvimento imensamente”. Dana Batalli  Diretora de Desenvolvimento do RenderMan  Pixar 

Itautec 0800 121444 www.itautec.com.br/intel Katalogo 0800 7729897 www.katalogo.com.br/intel MStech (11) 5080-3838 www.mstech.com.br/intel Strattus (11) 3531-6550 www.strattus.com.br/intel Tech Digital (11) 5181-1852 www.techdigital.com.br/intel

© 2006 Intel Corporation, Intel, the Intel logo, Pentium, Itanium, Intel Xeon and VTune are trademarks or registered trademarks of Intel Corporation or its subsidiaries in the United States and other countries. *Other names and brands maybe claimed as the property of others.

 Pergunte ao Klaus!

Klaus Knopper 

   A    N    U    L    O    C

Esta coluna é baseada na seção “Ask Klaus!”,  publicada na Linux Magazine International.

Sem conexão

 Adquiri recentemente um laptop IBM R50e sem sistema operacional para aprender a instalar e usar o Linux. Instalei o Ubuntu 5.10, e quase tudo funciona perfeitamente, exceto pelo fato de eu não conseguir me conectar à Internet nem enviar ou receber emails. Tenho um Live DVD do Knoppix 4.0 que funciona bem para tudo, menos para Internet e email. Eu inicio o sistema com vga=792 lang=us toram. Já testei também no meu desktop, e tive o mesmo problema. Possuo um modem banda larga e roteador sem fio; consigo pingar meus outros computadores, e também pingo www. knopper.net, além do meu provedor, www.tiscali.co.uk. Possuo uma configuração de dual boot em meu desktop, com o Suse 10.0, pois essa é a única distribuição que eu já testei que funciona com meus dois monitores ao mesmo tempo. Já gastei várias semanas tentando compilar um programa em C++, porque pensei (depois de ler a documentação do GCC) que a extensão .cpp fizesse o GCC pensar que estava lidando com código em C++; acabei descobrindo que o comando é g++. Eu entendo que há um monte de informações irrelevantes aqui, mas espero que você consiga me mostrar a direção certa a seguir. Resposta

Boa sorte com seu novo laptop. Sua carta na verdade contém muitas perguntas diferentes. As páginas de manual dos comandos do Linux não são 100% precisas, principalmente em relação a novas opções ou diferenças entre distribuições. Às vezes, compilar um programa em C++ com o GCC funciona direito; às vezes não, principalmente se for necessário um certo grau de compatibilidade nos arquivos de cabeçalho e bibliotecas. Eu escolheria o g++ para programas em C++, mas o GCC também deveria reconhecer as extensões .cpp e .c, a menos que a versão da interface GCC não corresponda à do g++. Para a sua configuração com dois monitores, se o Suse funciona, você provavelmente poderia adaptar algumas opções do /etc/X11/xorg.conf ou /etc/X11/XF86Config.conf para a sua outra instalação.  Agora, quanto à sua conexão de Internet, se você consegue pingar outros computadores, até mesmo pelo nome, tudo deve estar funcionando. Mas talvez você quisesse dizer que estava tentando isso a partir do seu outro sistema operacional, e não funcionou no Suse nem no Knoppix. Nesse caso, por favor anote todas as configurações que funcionaram e transfira-as para sua instalação do GNU/  Linux, por exemplo: ➧ sua ESSID; ➧ se estiver presente, a chave de criptografia WEP (use o formato hexadecimal, pois é mais fácil de transferir); ➧ DHCP ou IP estático, dependendo de qual você use.

14

Seria possível usar o kwifimanager e uns poucos cliques, ou simplesmente digitar: iwconfig wlan0 essid sua_essid sua_chave_wep_em_hexadecimal ➥ pump -i wlan0

Se você não usa criptografia na WLAN, pule a opção da chave e use somente a ESSID. Se o iwconfig sem parâmetros não mostrar nenhuma placa de rede sem fio, então sua placa ainda não é suportada no Linux, ou não está instalado o driver para ela.

Qual laptop?

 Vou comprar um laptop em breve, e pretendo usar Linux nele. Porém, tenho medo de alguns (ou vários) recursos não funcionarem, como o gerenciamento de energia, a rede sem fio, ou até outras coisas mais incômodas. Você saberia me indicar como escolher um computador portátil compatível ao máximo com o Linux? Resposta

Bem, laptops são, e sempre foram, diferentes... Devido a limitações de espaço e questões de gerenciamento de energia, laptops usam chipsets que, na melhor das hipóteses, são estranhos mas compatíveis com chipsets de desktops. Alguns itens de hardware em laptops são tão exóticos que só vêm com drivers binários, que por sua vez somente funcionam com uma única versão do kernel de uma distribuição específica. Nesses casos, qualquer atualização do sistema (ou instalação de service pack, no caso do Windows®) leva o hardware a parar de funcionar. Dessa forma, a única regra geral acaba sendo: Não compre nada recém-lançado; espere saírem testes e relatórios de compatibilidade. Dois ótimos lugares onde se pode procurar esse tipo de informação são http://www.linux-laptop.net e http://www. tuxmobil.org, onde milhares de usuários relatam problemas e soluções ocorridos em suas instalações de Linux em seus laptops. O melhor conselho, no entanto, é testar um Live CD de Linux, como o próprio Knoppix, no computador antes de comprá-lo. Esse é o teste definitivo, e nem requer tanto trabalho. ■

O autor  Klaus Knopper é o criador do Knop pix e co-fundador do evento Linux-

Tag. Atualmente ele trabalha como professor, programador e consultor.

http://www. linuxmagazine.com.br 

 As novidades do Kernel 2.6.18

Pablo Hess  A 

   A    N    U    L    O    C

que devem servir como aviso para os desenvolvedores de drivers, dando-lhes tempo suficiente para pedir a manutenção das interfaces ou, preferivelmente, portar seus drivers para as interfaces mais ativas. Um atributo do sysfs para dispositivos PCI possibilita a ativação e desativação desses dispositivos, assim como a consulta a seu estado de ativação; isso pode beneficiar imensamente o servidor X, capacitando-o a ativar um dispositivo de saída adicional quando este for conectado. Uma onda de unificações de subsistemas através de várias plataformas foi iniciada. O tratamento de IRQs passa a ser realizado em todas as plataformas pelo novo subsistema Os cabeçalhos do kernel, que residem em /usr/inclu- genérico de IRQs; a Clocksource Infrastructure finalmente de/linux/ e são utilizados pelas bibliotecas de sistema e foi incluída, implementando uma interface genérica para a alguns programas do espaço do usuário, também foram consulta à hora atual no kernel; foi acrescentado ainda um aperfeiçoados. Como conseqüência, seções desnecessárias subsistema genérico para geradores de números aleatórios puderam ser inteiramente eliminadas, e agora a instalação implementados em hardware, englobando os drivers antes com um make headers_install apaga as seções que sejam separados para diversos chips de placas-mãe e placas de rede relevantes somente para o kernel. de fabricantes como AMD, Broadcom, Intel e Via.

última versão principal do kernel Linux traz importantes mudanças e novidades. A versão 2.6.18 foi liberada três meses após a anterior, com as principais mudanças não sendo diretamente perceptíveis pela maioria dos usuários, pois referem-se a aspectos internos do kernel. O acréscimo de novos drivers de dispositivos ocorreu como de costume, porém em número significativamente maior. Vários subsistemas também foram estendidos e aperfeiçoados em grande profundidade.

Subsistemas

Drivers Na próxima versão do O kernel passa agora a suportar placas de som Sound Blaster  kernel, os desenvolvedores  Audigy 4, além dos chips de áudio da Apple e o ATI RS600. Os drivers de controladores SATA agora controlam hotplug, melhopretendem eliminar  raram a correção de erros e já possibilitam o uso de NCQ em vários discos rígidos modernos. O driver genérico  AHCI agodiversas interfaces que ra suporta o chipset VT8251, da Via, e os da Jmicron e Nvidia. são exportadas, porém jamais usadas. Futuro  A documentação agora também descreve o status de confiança que pode ser depositado nas  ABIs ( Application Binary Interfaces), listando as que podem ser usadas pelos programas de forma confiável, quais estão em fase de testes ou de desenvolvimento, e quais foram aposentadas ou estão em vias de tornar-se obsoletas. O sistema de arquivos CIFS deu mais um passo rumo à substituição completa do SMBFS ao aceitar o envio de senhas sem criptografia, como é necessário na interação com Windows® 95 ou OS/2. Uma mudança interessante no escalonador de processos foi a inclusão do SMPnice, que possibilita a especificação de prioridades distintas para um mesmo processo em diferentes processadores, em sistemas multiprocessados. Outra novidade permite que o escalonador distribua os processos para um processador específico em sistemas de núcleo duplo (ou maiores) de forma a manter o outro processador ou núcleo em estado de economia de energia. Na próxima versão do kernel, os desenvolvedores pretendem eliminar diversas interfaces que são exportadas, porém jamais usadas. Para isso, essas  APIs receberam etiquetas EXPORT_UNUSED_SYMBOL ou EXPORT_UNUSED_SYMBOL_GPL ,

16

Para a próxima versão do kernel, já há uma longa fila de patches, muitos em teste na árvore experimental -mm, de  Andrew Morton, entre os quais a integração dos drivers para ATA paralelo, gerenciados por Alan Cox no framework libata. Os novos drivers libata possuirão um melhor gerenciamento de energia e maior suporte à multiplicação de portas, implementados por Tejun Heo. O sistema de arquivos para clusters GFS2 também poderá ser incluído em breve no kernel. Ao mesmo tempo, os desenvolvedores dos drivers WLAN estão trabalhando duro na integração da pilha WLAN Devicescape, porém isso ainda deve ficar de fora da versão 2.6.19. A integração do sistema de arquivos Reiser4 também pode sofrer uma aceleração, agora que Andrew Morton se encarregou de parte das revisões do código. ■

O autor  Pablo Hess tem mestrado em Genética e

conheceu o Linux através da computação científica. Encantado pelas semelhanças entre o avanço científico e o desenvolvimento do Software Livre, é agora editor da Linux Magazine.

http://www. linuxmagazine.com.br 

    o      t       i     r     a       b     a       G

Hospedagem de Sites e Servidores

INTERNET PARA PROFISSIONAIS DE INTERNET

Monitoramento de Rede

4003-1001

Internet Data Center

Servidores de Alta Disponibilidade

www.plugin.com.br

➧ Kernel Linux 

   A    Ç    N    A    R    U    G    E    S

O kernel Linux lida com as funções básicas do sistema operacional. Os seguintes problemas foram relatados recentemente: ➧ Uma falha no suporte a SCTP permitia que um usuário local causasse uma negação de serviço (travamento) com um valor específico de SO_LINGER. (CVE-2006-4535, Importante) ➧ Uma falha no suporte a tabelas hugepage permite a um usuário local causar uma negação de serviço (travamento). (CVE-2005-4811 , Importante) ➧ Uma falha na chamada de sistema mprotect permitia que se conferisse permissão de leitura a um anexo somente-leitura pertencente à memória compartilhada. (CVE-2006-2071 , Moderado) ➧ Uma falha no processamento de registros HID0[31] (en_attn) em sistemas PowerPC 970 permite que um usuário local cause uma negação de serviço (travamento). ( CVE-20064093, Moderado) ➧ Uma falha no suporte a perform em sistemas Itanium permitia que um usuário local desencadeasse uma negação de serviço ao consumir todos os descritores de arquivos. (CVE-2006-3741 , Moderado)

➧  X.org 

O X.org é uma implementação do X Window System com código aberto. Ele oferece as funcionalidades básicas de baixo nível sobre as quais as sofisticadas interfaces gráficas de usuário são projetadas. O iDefense relatou duas falhas de estouro de inteiros na forma como o X.org processa arquivos de fontes CID. Um cliente malicioso autorizado poderia explorar essa característica e causar uma negação de serviço (travamento), ou potencialmente executar código arbitrário com privilégios de root no servidor X.org. (CVE-2006-3739, CVE-2006-3740). ■ Referência no Gentoo: GLSA 200609-07, Referência no Mandriva: MDKSA-2006:164 Referência no Red Hat: RHSA-2006:0665-3 Referência no Slackware: SSA:2006-259-01 Referência no Suse: SUSE-SR:2006:023 Referência no Ubuntu: USN-344-1

➧ OpenSSL 

O conjunto de ferramentas do OpenSSL oferece suporte à comunicação segura entre computadores. O OpenSSL inclui uma ferramenta de gerenciamento de certificados, além de bibliotecas compartilhadas que fornecem diversos algoritmos e protocolos criptográficos. Tavis Ormandy e Will Drewry, da equipe de segurança do Google, descobriram um estouro de buffer na função utilitária SSL_get_shared_ciphers(). Um

18

Uma falha no sistema  ATM. Em sistemas com hardware  ATM instalado e configurado, um usuário remoto poderia causar negação de serviço ( panic) ao acessar buffers de soquete após liberá-los. ( CVE-2006-4997 , Moderado) ➧ Uma falha no sistema DVB . Em sistemas com hardware DVB instalado e configurado, um usuário remoto poderia ocasionar uma negação de serviço ( panic ) enviando um pacote ULE SNDU de comprimento zero. (CVE-2006-4623 , Baixo) ➧ Um vazamento de informação no subsistema de rede possivelmente permitiria a um usuário local ler dados importantes da memória do kernel. ( CVE-2006-0039, Baixo) Este resumo lista os problemas conforme relatados pela Red Hat. Outras distribuições mostraram mais problemas. Veja a página de segurança de sua distribuição. ■ ➧

Referência no Debian: DSA-1184-2, DSA-1183-1 Referência no Mandriva: MDKSA-2006:182 Referência no Red Hat: RHSA-2006:0689-15 Referência no Suse: SUSE-SA:2006:057

agressor seria capaz de enviar uma lista de algoritmos a uma aplicação que usasse essa função e sobrescrever um buffer (CVE-2006-3738). Poucas aplicações, no entanto, fazem uso dessa função vulnerável, e ela geralmente só é usada quando as aplicações são compiladas para depuração. Os dois programadores descobriram ainda uma falha no código do cliente SSLv2. Quando uma aplicação cliente usava o OpenSSL para criar uma conexão SSLv2 com um servidor mal intencionado, o servidor poderia levar o cliente a travar. (CVE-2006-4343) O Dr. S. N. Henson, da equipe central do OpenSSL e do Open Network Security, recentemente desenvolveu um conjunto de ferramentas de teste  ASN.1 para o NISCC (www.niscc.gov.uk), que trouxeram à luz algumas vulnerabilidades de negação de serviço: ➧ Certos tipos de chaves públicas podem levar intervalos de tempo desproporcionais para serem processadas, levando a uma negação de serviço. (CVE-2006-2940 ) ➧ Durante o processamento de certas estruturas ASN.1 inválidas, uma condição de erro era mal interpretada, o que podia resultar em um laço infinito, que consumia memória do sistema (CVE-2006-2937). Esse problema não afeta a versão do OpenSSL distribuída no Red Hat Enterprise Linux 2.1.

Essas vulnerabilidades podem afetar aplicações que usem o OpenSSL para processar dados ASN.1 provenientes de fontes não confiáveis, incluindo servidores SSL que ativem a autenticação de clientes e aplicações S/MIME. ■ Referência no Debian: DSA-1185-1 Referência no Gentoo: GLSA 200609-05 Referência no Mandriva: MDKSA-2006:172-1 Referência no Red Hat: RHSA-2006:0695-12 Referência no Slackware: SSA:2006-272-01 Referência no Suse: SUSE-SA:2006:058 Referência no Ubuntu: USN-353-1

➧ OpenSSH

O OpenSSH é a implementação do protocolo SSH (Secure Shell) feita pelo OpenBSD. Esse pacote inclui os arquivos centrais necessários tanto para o cliente quanto para o servidor OpenSSH. Mark Down descobriu uma condição de corrida no processador de sinais do servidor sshd do OpenSSH. Um agressor remoto poderia se utilizar dessa falha para causar uma negação de serviço (travamento). (CVE-2006-5051 ) O projeto OpenSSH acredita que a possibilidade de uma exploração efetiva levar à execução de código arbitrário é remota. Tavis Ormandy, da equipe de segurança do Google, descobriu uma falha de negação de serviço no servidor sshd do OpenSSH. Um agressor remoto poderia enviar ao servidor uma requisição SSH-1 http://www. linuxmagazine.com.br 

Segurança | NOTÍCIAS

especialmente construída, fazendo o sshd consumir grande quantidade de recursos da CPU. (CVE-2006-4924). ■ Referência no Debian: DSA-1189-1 Referência no Gentoo: GLSA 200609-17 Referência no Mandriva: MDKSA-2006:179 Referência no Red Hat: RHSA-2006:0697-9 Referência no Slackware: SSA:2006-272-02 Referência no Ubuntu: USN-355-1

➧ Firefox,

 Thunderbird e SeaMonkey 

O Mozilla Firefox é um navegador de código aberto. O Mozilla Thunderbird é um cliente de email e newsgroup. Mozilla SeaMonkey é um conjunto de aplicativos web que inclui um navegador web, cliente de email, cliente de notícias e um editor HTML. Duas falhas foram encontradas na forma como o Firefox processa certas expressões regulares. Uma página web maliciosa seria capaz de travar o navegador ou possivelmente executar código arbitrário como se fosse o usuário rodando o Firefox. (CVE-2006-4565 , CVE-2006-4566)

Uma falha no processamento de eventos agendados de Javascript faz com que uma página web maliciosa consiga travar o navegador ou possivelmente executar código arbitrário como se fosse o usuário rodando o Firefox. ( CVE-2006-4253 ) Daniel Bleichenbacher recentemente descreveu um erro de implementação na verificação de assinaturas RSA. Em chaves RSA com expoente 3, um agressor consegue forjar uma assinatura que seria incorretamente verificada pela biblioteca NSS. A versão não modificada do Firefox confia em diversas Autoridades Certificadoras que usam expoente 3. Um agressor poderia criar um certificado SSL adulterado, no qual o Firefox confiaria incorretamente ao visitar uma página. (CVE-2006-4340) Uma falha foi encontrada no sistema de verificação de auto-atualizações do Firefox. Um agressor com a capacidade de forjar o DNS de uma vítima conseguiria fazer o Firefox baixar e instalar código malicioso. Para explorar essa falha, o agressor ainda precisaria fazer a vítima aceitar anteriormente um certificado inverificável. (CVE-2006-4567) O Firefox não impede de forma correta que uma  frame em um domínio injete conteúdo em uma sub-frame que

pertença a outro domínio, o que facilita a adulteração do website e outros ataques. (CVE-2006-4568) O Firefox não carrega janelas pop-up bloqueadas e abertas intencionalmente no contexto de domínio correto, o que poderia levar a ataques cruzados (cross-site scripting). Para explorar essa falha, um agressor precisaria encontrar um site que pudesse colocar seu código malicioso em uma frame e convencer o usuário a abrir intencionalmente um pop-up bloqueado. (CVE-2006-4569) Uma falha no Seamonkey e no Thunderbird é acionada quando uma mensagem HTML contém uma imagem remota que aponte para um script  XBL. Um agressor poderia criar uma mensagem especial que executasse Javascript caso certas ações fossem realizadas pelo destinatário sobre o email, mesmo que o Javascript estivesse desativado. ( CVE2006-4570 ) ■ Ref. no Debian: DSA-1192-1, DSA-1191-1 Ref. no Gentoo: GLSA 200609-19, GLSA 200610-01 Ref. no Mandriva: MDKSA-2006:168, MDKSA-2006:169 Referência no Red Hat: RHSA-2006:0675-5, RHSA-2006:0677-5, RHSA-2006:0676-10 Referência no Slackware: SSA:2006-257-03 Referência no Suse: SUSE-SA:2006:054

Postura das principais distribuições Linux quanto à segurança Distribuição Conectiva

Referência de Segurança

Debian

Info: www.debian.org/security Lista: lists.debian.org/debian-security-announce Referência: DSA-… 1

Comentários Possui uma página específica; não há link para ela na página principal. Os alertas são sobre segurança, mas distribuídos através de emails assinados com a chave PGP da empresa para assegurar sua autenticidade. Contém também links para os pacotes atualizados e para f ontes de referência sobre o problema sendo corrigido. Alertas de segurança recentes são colocados na homepage e distribuídos como arquivos HTML com links para os patches. O anúncio também contém uma referência à lista de discussão.

Gentoo

Info: www.gentoo.org/security/en/glsa Fórum: forums.gentoo.org Lista: www.gentoo.org/main/en/lists.xml Referência: GLSA: … 1

Os alertas de segurança são listados no site de segurança da distribuição, com link na homepage. São distribuídos como páginas HTML e mostram os comandos necessários para baixar versões corrigidas dos softwares afetados.

Info: distro2.conectiva.com.br/  Lista: [email protected] e distro2.conectiva.com.br/lista Referência: CLSA-... 1

Mandriva

A Mandriva tem seu próprio site sobre segurança. Entre outras Info: www.mandriva.com/security Lista: www1.mandrdrivalinux.com/en/flists.php3#2security coisas, inclui alertas e referência a listas de discussão. Os alertas são arquivos HTML, mas não há links para os patches. Referência: MDKSA-… 1 Red Hat A Red Hat classifica os alertas de segurança como “Erratas”. ProbleInfo: www.redhat.com/errata mas com cada versão do Red Hat Linux são agrupados. Os alertas são www.redhat.com/mailing-lists Lista: distribuídos na forma de páginas HTML com links para os patches. Referência: RHSA-… 1 Slackware A página principal contém links para os arquivos da lisInfo: www.slackware.com/security ta de discussão sobre segurança. Nenhuma informação adiLista: www.slackware.com/lists (slackware-security) cional sobre segurança no  Slackware está disponível. Referência: [slackware-security] … 1 Suse Após mudanças no site, não há mais um link para a página soInfo: www.novell.com/linux/security bre segurança, que contém informações sobre a lista de discusLista: www.novell.com/linux/download/updates são e os alertas. Patches de segurança para cada versão do  Suse Referência: suse-security-announce Referência: SUSE-SA … 1 são mostrados em vermelho na página de atualizações. Uma curta descrição da vulnerabilidade corrigida pelo patch é fornecida. 1 Todas as distribuições indicam, no assunto da mensagem, que o tema é segurança.

Linux Magazine #25 | Novembro de 2006

19

➧Busca em código-fonte

com o Google

   S    A    I    C     Í    T    O    N

O Google Labs lançou o Google Code Search, uma ferramenta de busca de textos em códigos-fonte de programas abertos. Através dessa ferramenta, pode-se buscar, por exemplo, uma função específica em todos os softwares de código aberto indexados pelo mecanismo de busca. A ferramenta de busca indexa códigos-fonte disponíveis em sites e também em arquivos compactados, e seus criadores esperam que ela não seja usada somente para copiar o código-fonte de programas (embora isso seja permitido por todos os programas de código aberto indexados pela ferramenta), mas também para análise de problemas e exemplificação de soluções. Nos resultados, são mostrados um trecho do código, o nome do arquivo que o contém, sua licença e a linguagem utilizada. O Google informou não ter expectativa de retorno financeiro por esse projeto. ■

➧  Yahoo vai liberar códigos

 A Yahoo anunciou que liberará, até o final de 2006, o código do processo de autenticação de seu serviço de email gratuito. Segundo a empresa, mais de 250 milhões de usuários acessam diariamente o serviço, e a abertura do código visa permitir a construção de uma quantidade maior de serviços apoiados na já madura infra-estrutura do site. O principal motivo para a liberação do código, de acordo com o Yahoo, é o fato de que seus desenvolvedores não conseguiriam criar

todos os aplicativos que os usuários gost ariam, e o códigofonte do esquema de autenticação permitiria que fossem criadas novas formas de usar e exibir as informações sobre novos emails nas contas dos usuários. Embora o códigofonte ainda não tenha sido disponibilizado, os executivos afirmam que a abertura será completada até o final do ano. O anúncio foi feito ao final do Yahoo Hack Day, um evento de escrita massiva de código por mais de quinhentos programadores convidados pela empresa. ■

Análise – Programação Shell Linux: Trabalho bem feito É muito raro encontrar, no Brasil, livros que cheguem a várias edições: as mazelas do mercado nacional, mormente no campo dos livros de informática, fazem com que isso seja uma proeza digna de ser escrita com letras de ouro. Mais raro ainda é encontrar livros que são atualizados – sobretudo com novos capítulos – a cada edição. Por conta do descompasso dos calendários editoriais, com relação à evolução do mundo tecnológico, é muito fácil ter nas mãos uma obra defasada apenas um ano após o seu lançamento – e nem sempre há disposição do autor, ou mesmo da editora, para uma revisão ou revitalização da obra. O título Programação Shell Linux , da autoria de Julio Neves, é uma honrosa exceção à regra: com a 6ª edição lançada há alguns meses, o livro traz um novo capítulo, dedicado à execução de tarefas agendadas. As tarefas agendadas podem não ser um recurso novo, mas é fácil descobrir, lendo o capítulo, quão úteis elas podem ser para a automatização de tarefas: com menos de cinco minutos diante de um terminal de linha de comando, podemos criar uma rotina completa de agendamentos para scripts em shell. Julio Neves tem uma preocupação didática que só é presente em quem, além de dominar uma determinada tecnologia, também é professor. O primeiro capítulo do livro é uma espécie de porta de entrada, apresentando ao leitor todas as ferramentas necessárias para a utilização de sistemas Linux a partir do terminal. Essa apresentação, que ocupa menos de um quinto do livro, satisfaz a necessidade de alguns pré-requisitos para leitores pouco familiarizados com a manipulação de comandos via terminal, além de tornar mais clara a utilidade de ferramentas que costumam passar despercebidas, mesmo no dia-a-dia de programadores e administradores de sistemas mais experientes. A segunda parte do livro trata da programação em shell propriamente dita, utilizando os comandos vistos anteriormente para a construção de exemplos avançados. Várias opções de construção são dadas em cada exemplo, o que obriga o leitor-aluno a prestar atenção ao desenvolvimento lógico do exercício, em vez de simplesmente copiar trechos na shell. Dentre os apêndices do livro, o de número 4 fecha a obra com chave de ouro. Ele mostra, com detalhes, como é possível desenhar menus com itens dinâmicos e caixas de texto encadeadas utilizando a linguagem Dialog . Se você não achava que podia fazer muita coisa com o shell do Linux, é hora de revisar seus conceitos.

20

➧ Lançado

Mandriva 2007 

 A empresa franco-brasileira Mandriva lançou a versão 2007 de seu sistema operacional, o Mandriva Linux. Com as já familiares três versões diferentes à venda no mercado brasileiro (Discovery, Powerpack e Powerpack+), a distribuição ainda não oferecia uma versão gratuita para download no fechamento desta edição. As principais novidades para o usuário doméstico são a inclusão dos dois servidores X com recursos 3D,  AIGLX  e  Xgl , responsáveis pelo embelezamento do ambiente desktop e, conseqüentemente, pela melhoria da experiência do usuário, além de o sistema já vir com o Cedega, da Transgaming, que permite que o usuário rode jogos feitos para a plataforma Windows® no Linux. Outros softwares incluídos são o antivírus Kaspersky e o LinDVD, da Intervideo. ■ http://www. linuxmagazine.com.br 

Gerais | NOTÍCIAS

➧ Urnas proprietárias são seguras?

Em um artigo no jornal norte-americano Washington Post, o jornalista Stan Lehman descreveu a imensa e árdua tarefa de levar as 430 mil urnas eletrônicas a todos os eleitores do Brasil, na maior votação eletrônica do planeta. Porém, o jornalista levantou um questionamento acerca da importância da programação dos dispositivos. Ele recordou a importância da auditabilidade do código-fonte, lembrando que o atual sistema que equipa as urnas eletrônicas é composto pelo Windows® CE. O código-fonte desse sistema operacional, assim como do programa que cuida da contagem de votos e transmissão dos resultados, é fechado. Auditores específicos têm até três meses antes da data das eleições para auditar o programa de votação, fornecido pela empresa norte-americana Diebold, responsável também pelas urnas eletrônicas usadas em eleições de seu país. Embora essa empresa afirme que seu software é mais seguro que qualquer votação baseada em cédulas de papel, o jornalista argumenta que, sem a possibilidade de se auditar o código do sistema de votação, é impossível garantir que a máquina não adultere os resultados, voluntariamente ou não. Segundo o artigo, Athayde Fontoura, diretor geral do Superior Tribunal Eleitoral, já está estudando a implantação de um sistema de código aberto, rodando sobre Linux, para equipar as urnas. O objetivo seria justamente tornar o processo o mais transparente possível, pois os programas de código aberto são mais facilmente auditáveis. ■

➧ Interatividade realista em ambiente Linux 

 A AGEIA Technologies anunciou a a disponibilidade para Linux da versão 2.6 do PhysX  SDK, uma aclamadíssima API física. Essa API acelera brutalmente o desenvolvimento de jogos complexos e modernos, que invariavelmente necessitam de movimentos em tempo real e interatividade em grande escala.  A nova versão 2.6 traz novos recursos de Deformable Objects (objetos deformáveis) e prevenção de auto-colisão, e favorece o desenvolvimento de jogos em ambientes Windows®, Vista e Linux. Os novos recursos promovem melhorias significativas na representação gráfica de tecidos e de objetos dinamicamente deformáveis, tanto pela aceleração em software quanto em hardware. Com isso, os objetos nos jogos podem agir e reagir a deformações em tempo real. Um carro deformado num jogo pode ter sua dinâmica afetada conforme a deformação sofrida. Em outro jogo, o carro pode bater novamente, e um dano diferente pode ser causado, com conseqüências também distintas à dinâmica do veículo, o que melhora a experiência do usuário com jogos repetidos.  A nova API ainda não estreou o suporte a aceleração 3D por hardware em sistemas operacionais Linux, mas a aceleração por software já é significativa. ■

Curtas Qt 4.2 liberada Foi lançada a versão 4.2 da biblioteca gráfica Qt , da Trolltech, que traz melhorias gráficas, como o recurso de uso da OpenGL para acelerar e melhorar a renderização de fontes com antialiasing , além da capacidade de utilizar o D-Bus para comunicação entre processos. Uma listagem das novidades está disponível em http://doc. trolltech.com/4.2/qt4-2-intro.html Mais um governo adota ODF O governo francês passou a exigir a publicação de todos os documentos públicos no formato aberto ODF . Ao mesmo tempo, sugeriu que os parceiros da França também adotem a iniciativa. Foi proposta ainda a criação de um centro de análises de segurança de programas de código aberto. SL e saúde pública A empresa gaúcha APOENA Software Livre apresentou à Presidência da República seu sistema de marcação de consultas médicas on-line, o SOL (Saúde On-Line), desenvolvido pela empresa e utilizado pela Prefeitura Municipal de Campinas, em SP. O sistema já despertou o interesse de outros municípios, Estados e países, e já foi apresentado na Venezuela e em Cuba. Nova versão do Skype Foi lançada uma nova versão do Skype, de número 1.3.0.53, sem o termo “beta” no nome. Essa versão contém somente correções de falhas da versão beta anterior. O recurso de videoconferência ainda não está disponível, e provavelmente só virá na versão 1.4 do software, apesar de já estar disponível há tempos na versão para sistemas Windows®. Suse sem ReiserFS A versão 10.2 do Open Suse não oferecerá mais o ReiserFS como sistema de arquivos padrão durante a instalação, embora ele ainda permaneça como uma opção. O responsável por sistemas de arquivos na distribuição, Jeff Mahoney, alegou que os principais culpados pela decisão são os problemas de desempenho e escalabilidade em sistemas multiprocessados, especialmente devido ao uso intensivo de travas do kernel (kernel locks).

➧ Software Livre em

taram explicar a importância das quatro liberdades do software, citando diversos exemplos de importantes usuários de Sérgio Amadeu da Silveira, ex-presiden- sistemas abertos. te do ITI, juntamente com Júlio Cezar  A atenção dada ao SL por uma emisNeves, professor da UniRio, importantes sora de grande abrangência no país deproponentes do Software Livre no cenário monstra a o reconhecimento da crescente federal, foram entrevistados no Programa importância desempenhada pelo Linux do Jô, veiculado pela Rede Globo, no dia e outros softwares abertos. 5 de outubro. Os entrevistados falaram  A repercussão da entrevista pode ser sobre o conceito de Software Livre e ten- conferida em http://br-linux.org. ■

cadeia nacional

Linux Magazine #25 | Novembro de 2006

21

➧Programas educacionais

   E    T    A    R    O    P    R    O    C

da Intel fazem 5 anos

No dia 21 de setembro, Craig Barrett, chairman da Intel, abriu o evento de comemoração do quinto aniversário dos programas educacionais da Intel no Brasil, declarando que “a educação é a base de uma economia voltada ao conhecimento”. Segundo Barrett, “o programa de educação da Intel está baseado na filosofia de que os computadores não são mágicos, mas que os professores são. Com professores treinados, conteúdo educativo para a região, conectividade com os recursos do mundo e PCs, a juventude brasileira terá a oportunidade de perceber o potencial de suas idéias”. Para marcar o quinto aniversário dos seus programas de educação no país, a companhia anunciou a doação de 9 mil PCs para o Ministério da Educação (MEC), que serão usados em escolas públicas em todo o Brasil. Os PCs contarão com conexão à Internet e conteúdo educativo fornecido pelo MEC, em colaboração com o qual a Intel informou ter treinado 90 mil professores, nos 27 Estados da Federação, no uso e aplicação de tecnologia para melhorar o aprendizado em salas de aulas.  Até 2011, a empresa planeja treinar outros 500 mil professores na integração de tecnologia nos currículos escolares, por meio do Programa Intel Educação para o Futuro. Como parte da cerimônia de abertura, o chairman da Intel apresentou o Classmate PC, um laptop ao mesmo tempo robusto e de baixo custo, para ser utilizado pelo estudante em sala de aula. Foi realizada uma aula demonstrativa, de forma a ilustrar o que a empresa espera atingir com o uso de tecnologia na escola: melhor integração entre professor e aluno, mais atenção do aluno durante a aula, por conta do uso lúdico de tecnologia de ponta e de recursos multimídia. Segundo a empresa, tanto o Linux quanto o Windows® deverão gozar de suporte total da empresa como plataformas operacionais para os aplicativos que deverão funcionar no Classmate PC. Entre outras personalidades, o evento contou com a presença do Secretário da Educação, Cultura e Esportes de Per-

nambuco, Mozart Neves Ramos, e do Ministro da Educação, Fernando Haddad, que participou também de coletiva de imprensa após a cerimônia de abertura da comemoração. Também tomaram parte da coletiva Oscar Clarke, presidente da Intel do Brasil, Brenda Musili, Diretora Mundial dos Programas de Educação da Intel e o próprio Craig Barrett. Questionados sobre o uso do Software Livre no Classmate PC, os executivos da Intel, reafirmaram seu compromisso de fornecer uma plataforma operacional baseada em Linux para o laptop, que deverá andar “pari passu” com a implementação para a plataforma operacional da Microsoft. Segundo Oscar Clarke, a escolha de qual sistema operacional deverá ser utilizado ficará a critério “do freguês” – a aula demonstrativa foi realizada com Classmate PCs rodando Windows, mas após a coletiva de imprensa, a Linux Magazine teve acesso a máquinas pré-instaladas com Linux, mais especificamente, com uma versão do sistema integrado pela MetaSys, baseado em KDE e totalmente funcional ( Wi-Fi, multimídia, programas para escritório etc.). ■

Curtas Preso o desenvolvedor principal do ReiserFS Hans Reiser, presidente da Namesys e principal desenvolvedor dos sistemas de arquivos ReiserFS e Reiser4, foi preso sob acusação de assassinato de sua esposa Nina, desaparecida desde o dia 3 de setembro, em Oakland, EUA. Embora não haja provas de que Hans tenha sido de fato o autor do crime, o desenvolvedor recusa-se a cooperar com as autoridades responsáveis pela investigação, o que o classifica como principal suspeito. PC-BSD agora tem dono O sistema operacional PC-BSD, derivado da versão 6 do FreeBSD, foi comprado pela fornecedora de hardware corporativo iXsystems. Ela pretende usá-lo em seus servidores, apesar de o sistema operacional favorecer a instalação em desktops. De acordo com a empresa, a versão 1.3 do PC-BSD deve sair em breve.

22

➧ Eudora abre seu código

O Eudora, um dos mais tradicionais clientes de emails para a plataforma Windows®, terá seu código aberto. A Qualcomm, fabricante do programa, anunciou, em conjunto com a Fundação Mozilla, que as próximas versões do produto serão baseadas na mesma plataforma tecnológica que o Thunderbird. Além disso, a versão comercial do Eudora será descontinuada. Mas a fabricante afirma que o cliente de emails “manterá seu conjunto ímpar de recursos”. A primeira versão de código aberto do programa deve ser lançada no primeiro semestre de 2007. Até lá, a Qualcomm continuará a vender licenças da versão proprietária, porém a uma taxa reduzida de 20 dólares. Segundo o vice-presidente de tecnologia da empresa, Steve Dorner, “abrir o código [do Eudora] trará mais desenvolvedores do que o programa jamais teve”. ■ http://www. linuxmagazine.com.br 

Notícias | CORPORATE

➧ Microsoft se livra de

processo por monopólio

 A Microsoft e sua distribuidora no Brasil, a TBA, obtiveram do Cade (Conselho Administrativo de Defesa Econômica) a autorização para, com uma multa de R$ 5 milhões, fazerem um acordo relativo à prática de monopólio pela gigante do software. No processo, iniciado em 1998, a empresa IOS levantava a questão de a fabricante do Windows® dar exclusividade à TBA no fornecimento de seus softwares à esfera pública federal. Condenada em 2004 a pagar uma multa de R$ 6,4 milhões, a Microsoft ganhou todos os recursos que tentou após a condenação, obtendo assim uma redução no valor final da multa, o que causou reclamações por parte da IOS contra o Cade. ■

➧ Google compra YouTube

 A Google Inc. adquiriu o YouTube, serviço gratuito de armazenamento e exibição de vídeos, por US$ 1,65 bilhões. Essa foi a maior aquisição da gigante da Internet em seus oito anos de existência, e veio logo após a Google assinar um contrato para a Sony e Warner Music disponibilizarem vídeos gratuitamente na Internet. O YouTube exibe mais de 100 milhões de vídeos diariamente a seus visitantes, e o custo de sua conexão supera 1 milhão de dólares. As preocupações com potenciais infrações de direitos autorais contidas nos vídeos do YouTube somam-se às reclamações sobre a disponibilização de conteúdo literário de forma inapropriada em outro serviço do Google, o Google Books. ■

Curtas CRM Siebel 8 agora também para Linux A Siebel, que foi adquirida pela Oracle, lançou seu software CRM  Siebel 8 com uma versão também para Linux. Como a Oracle utiliza Linux internamente em suas estações, e está gradativamente adotando o Siebel 8, essa novidade não representa uma grande surpresa, embora seja bastante interessante a disponibilização de mais um sistema CRM para a plataforma Linux. Morre o pai das redes de computadores Ray Noorda, ex-CEO e presidente da Novell, e considerado o pai da computação em rede, morreu no último dia 9 de outubro. Ele foi um dos responsáveis pelo desenvolvimento do Netware, e um dos primeiros críticos à hegemonia da Microsoft no mundo da computação. Calendário no estilo Mozilla A Fundação Mozilla lançou recentemente a versão 0.3 de seu programa de calendário, o  Sunbird. Apesar de ainda estar em fase de forte desenvolvimento, o programa tem boa usabilidade. Na mesma data, foi lançada também a última versão da extensão que integra o Sunbird ao Thunderbird, chamada Lightning . Com essa extensão, tem-se uma solução mais completa da Fundação Mozilla, possivelmente capaz de competir com o Evolution, da Novell.

➧  VoIP: Linux melhor 

que Cisco

 A Sam Houston St ate University, no Texas, EUA, prefere o Linux com Asterisk para seu serviço de VoIP. Os PBXs da Cisco já começaram a ser substituídos pela solução de código aberto. Ao final, todos os seis mil estudantes, professores e funcionários passarão a usar os servidores Linux para o processamento de chamadas, voice mail e também para acessar o serviço fixo comutado, PSTN. ■

➧ Novell oferece suporte

a Red Hat virtualizado

 A Novell, em um movimento ousado, anunciou o suporte oficial a instâncias virtualizadas de um de seus principais concorrentes na arena de sistemas operacionais, o Red Hat Enterprise Linux 4. O suporte é completo (o chamado nível 3, que inclui até questões da engenharia do núcleo do sistema, ou core engineering ) para sistemas Suse Linux Enterprise Server 9 e RHEL 4, mas tem como requisito que a base seja composta pelo SLES 10 e que se use o  Xen. A máquina deve possuir um processador Intel  Xeon de núcleo duplo. O CTO da Novell, Jeff Jaffe, informou ainda que os desenvolvedores já estão trabalhando no suporte também a versões virtualizadas do sistema operacional Netware. Teoricamente, com as novas tecnologias de virtualização ( Vanderpool, da Intel, e Pacifica , da AMD), é possível suportar até mesmo sistemas Windows®, pois elas permitem uma drástica redução da quantidade de código adicional no sistema operacional hóspede, um resultado da para-virtualização. ■ Linux Magazine #25 | Novembro de 2006

23

CORPORATE | Notícias

➧ Novell lança Suse Linux 

Enterprise 10 no Brasil

Em evento realizado no dia 04 de outubro, cerca de um mês após o lançamento nos Estados Unidos, a Novell apresentou no Brasil a nova versão do sistema operacional da empresa, o Suse Linux Enterprise 10 . Em uma versão para servidores, o Suse Linux Enterprise Server ( SLES), e outra para estações de trabalho, o Suse Linux Enterprise Desktop (SLED), ambos os sistemas desfrutam da mesma origem tecnológica: o projeto openSUSE, do qual participam desenvolvedores da comunidade do Código Aberto. Segundo a empresa, o Suse Linux Enterprise 10 é o primeiro sistema Linux a dispor de suporte completo a recursos como virtualização e segurança em nível de aplicação, bem como desktop de usabilidade avançada – esse último, fruto dos resultados do projeto Better Desktop. O Suse Linux Enterprise 10 traz a versão 3.0.2 da ferramenta de virtualização Xen totalmente integrada ao sistema, com a qual é possível consolidar múltiplos servidores em um único hardware e, dessa forma, melhorar a utilização do poder de processamento da máquina. De acordo com Ricardo Fernandes, presidente da Novell do Brasil, “praticamente 100% dos novos clientes que nos procuram para implementar Linux nos servidores buscam a virtualização”. Demonstrações foram realizadas no intuito de ilustrar a facilidade de criar máquinas virtuais com o novo sistema, que também integra os recursos de segurança em nível de aplicação oriundos do projeto  AppArmor , tecnologia da Immunix, empresa adquirida pela Novell no ano passado – que abriu seu código no início deste ano. O AppArmor oferece suporte para padrões abertos aplicados à criptografia de sistemas de arquivos, gerenciamento de firewalls, de PKIs (Public Key Infraestructures ) para gestão de certificados digitais, combinados a sistemas de detecção e prevenção de ataques. A configuração dessa ferramenta tam-

bém se encontra totalmente integrada ao restante do sistema através da ferramenta YaST .  Adicionalmente, a empresa também apresentou o Novell® Customer Center, uma interface web desenvolvida para facilitar as interações com a empresa, sejam elas técnicas ou comerciais. Com esse sistema, pode-se verificar o status de produtos, serviços e assinaturas adquiridas junto à companhia, bem como obter atualizações críticas e informações de suporte. Com o Novell® Customer Center, pode-se também controlar os níveis de acesso a informações privilegiadas arquivadas no sistema, bem como a recursos técnicos que ele disponibiliza. ■

Curtas Computador de R$ 700 com Linux A Via Technologies anunciou um acordo para a produção de PCs de sua plataforma PC-1 no Brasil. O computador será fabricado pela Amazon PC e vendido a R$ 699,00 a unidade, equipado com Linux. Seu processador é um Via C3 de 1 GHz, e a empresa pretende atingir um mercado que atualmente não é atendido nem pelo programa federal Computador Para Todos. Mozilla colabora com Microsoft A Microsoft anunciou um convite à Fundação Mozilla, responsável pelo navegador web Firefox , para visitar seu laboratório de Código Aberto. A Fundação Mozilla aceitou o convite e vem interagindo com o fabricante do Windows® para melhorar o suporte mútuo entre o sistema operacional e o navegador de código aberto. Evento Red Hat e IBM no Sul A Red Hat e a IBM realizam nos dias 16 e 20 de outubro, em Florianópolis e Curitiba, o evento IBM Technical Briefing , que abordará tecnologias emergentes, como a virtualização, por exemplo. A Red Hat ministrará duas palestras nos dois eventos, intituladas “Virtualização em Linux com Xen” e “Alta Disponibilidade com Linux”.

24

➧ GFS2 no kernel oficial

Linus Torvalds anunciou sua concordância com a entrada do suporte ao GFS2 na versão 2.6.19 do kernel. O GFS2 é um sistema de arquivos distribuído para uso em clusters computacionais, assim como o GFS, do qual ele é um derivado. O GFS teve seu código aberto pela Red Hat em 2004 e, desde então, o GFS2 vem sendo desenvolvido, com seus responsáveis já almejando a inclusão no kernel. O principal concorrente do GFS2, o OCFS2 (Oracle Cluster File System 2 ), da Oracle, obteve a inclusão no kernel há poucos meses. Pouco depois da inclusão, Linus Torvalds anunciou a primeira versão de testes do kernel 2.6.19, que provavelmente levará cerca de seis semanas até atingir a estabilidade e ser oficialmente lançado. ■ http://www. linuxmagazine.com.br 

Notícias | CORPORATE

➧ Mandriva compra Linbox 

 A franco-brasileira Mandriva, fabricante da distribuição de mesmo nome, adquiriu a francesa Linbox, que tem como principais clientes Renault, EADS, Arcelor e vários ministérios franceses. Os produtos da Linbox, liderados pelo Linbox Directory Server ( LDS) e pelo Linbox Rescue Server ( LRS ), consistem de aplicações de administração de infra-estrutura de software para empresas médias e grandes. Realizam tarefas como autenticação, gerenciamento do parque de máquinas e realização de becapes, e são liberados sob a licença GNU GPL.  A transação foi efetuada por uma quantia em torno de US$ 1,74 milhões. ■

➧ Fonality adquire Trixbox 

 A distribuição Trixbox, originalmente chamada de Asterisk@Home, foi comprada pela empresa norte-americana Fonality. O Trixbox é uma distribuição em Live-CD (também instalável no disco rígido) que facilita enormemente o uso de ferramentas e programas para VoIP, como o  Asterisk, Apache, MySQL e outros. Com isso, é uma distribuição altamente indicada para funcionar como o PABX de uma empresa, sem a necessidade de se comprar um hardware especializado para esse fim. A  Fonality é a desenvolvedora do Hudlite, plataforma comercial de controle de ligações e gerenciamento de presença em tempo real que funciona em conjunto com o PBXtra, da própria Hudlite. Com a aquisição, o fundador e desenvolvedor do Trixbox,  Andrew Gillis, passa a trabalhar para a Fonality, porém ainda se mantém líder da comunidade Trixbox. A distribuição continuará totalmente livre, liberada sob a licença GNU GPL, mas agora contará com o apoio financeiro e técnico da Fonality para seu desenvolvimento. ■

➧ SL no Poder Judiciário

O Congresso Nacional aprovou uma lei que institui a preferência por Softwares Livres na aquisição de novos softwares.  Atualmente, o Código de Processo Civil ainda depende dos autos em papel, porém a nova lei pretende realizar a migração para autos virtuais e processos eletrônicos.  A lei que instituiu a possibilidade de informatização da maioria das ações, intimações, certificações etc. trouxe consigo a necessidade de se estudar o melhor modelo de software a ser adotado pelos órgãos do Judiciário. Reconhecendo que essa questão envolve a eficiência dos tribunais, assim como sua segurança, seus custos operacionais e a qualidade dos serviços por eles prestados, a Ministra Ellen Gracie e o Conselho Nacional de Justiça estimulam fortemente a adoção de Software Livre no Poder Judiciário. Atualmente, os softwares criados para algum tribunal não podem ser cedidos a outro senão mediante o pagamento de mais licenças ao fabricante dos programas. O conselheiro Douglas Rodrigues, do ConseLinux Magazine #25 | Novembro de 2006

Curtas Ideologia x empreendedorismo Durante o Encontro Mineiro de Software Livre, que acontecerá na cidade de Ouro Preto de 10 a 12 de outubro, o presidente da Insigne Free Software do Brasil, João Pereira da Silva Jr., apresentará um seminário em que trata do embate político entre o modelo proprietário de desenvolvimento de software e o Software Livre, assim como seus reflexos para o usuário final e a inclusão digital. Thin client brasileiro com Linux A Tecnoworld, fabricante brasileira de thin clients, notebooks e placas, apresentou o WinBox, um thin client com versões Linux e Windows® CE. O modelo com Linux, chamado WinBox LNX, vem equipado com processador SIS550 de 200 MHz, 128 MB de memória, ethernet 10/100 Mbps, seis portas USB e saídas PS/2 para teclado e mouse, e traz os principais clientes para desktops remotos, como rdesktop, XDMCP, VNC viewer e outros. Binários universais da REALbasic A REAL Software lançou a versão 2006 R4 de seu ambiente de desenvolvimento REALbasic. A nova versão oferece suporte a binários universais, capazes de rodar em Linux (GTK+), Windows® e Mac OS X (PowerPC e Intel, sem emulação). Com binários universais, um programa somente precisa ser desenvolvido uma única vez. Existe uma versão gratuita de demonstração para download em www.realsoftware.com/download, e a licença custa US$ 90,00 para o programa capaz de compilar softwares para a plataforma sobre a qual ele próprio roda. A versão profissional, a única com a funcionalidade de compilação multiplataforma, custa US$ 500,00.

lho Nacional de Justiça, afirmou que o órgão “repudia a idéia de que os tribunais se tornem reféns de empresas de tecnologia”, acrescentando que é preciso “alcançar a independência completa dos tribunais nessa área”. Embora as empresas fabricantes de softwares insistam em desmerecer o Software Livre, os representantes do Judiciário afirmam que essa decisão nada tem de ideológica, mas vem da experiência positiva de diversos tribunais, como o TRF da 4ª região, por exemplo, que vêm utilizando com enorme sucesso Software Livre nos juizados, com grande redução de custos e aumento de eficiência, já que quatro funcionários conseguem lidar com os 20 mil usuários e três milhões de documentos. ■ 25

 Laudelino Lima, Gerente de TI do InvesteRio

Direcionando investimentos com Linux 

   E    T    A    R    O    P    R    O    C

O InvesteRio usa Software Livre e de Código Aberto desde o início de suas operações. Com a economia gerada em máquinas e licenças, foi possível investir em mobiliário ergonômico e no pessoal de TI, o que se refletiu em melhora da eficiência dos funcionários e da estrutura de TI.  por Pablo Hess

 A Agência de Fomento do Estado do Rio de Janeiro S.A. (Investerio) é uma sociedade anônima de economia mista, com personalidade jurídica de direito privado, criada em 12 de dezembro de 2002 e autorizada a operar pelo Banco Central do Brasil com as mesmas obrigações de todas as empresas que compõem o Sistema Financeiro Nacional. Sua missão principal é atuar no financiamento a projetos de investimentos das micro e pequenas empresas localizadas no Estado do Rio de Janeiro, seja como Agente Financeiro do BNDES, seja com recursos próprios. Tem também como atribuições a Administração de Contratos de Financiamentos, além da Administração de Fundos Estaduais ou Fundos Privados de Investimentos.

a todos, principalmente nosso gerente de suporte e nossa superintendente. Por esse motivo estávamos constantemente em busca de uma solução.  Assistimos então a uma palestra da Conectiva (agora Mandriva) em nossa empresa. Eu não conhecia profundamente o Linux, pois só havia tido uma primeira experiência decepcionante em 1995. Mesmo assim, o Linux e o Software Livre me pareciam ter um futuro promissor, com uma idéia muito atraente. A eliminação da dependência do fornecedor me pa-

maior quantidade possível de Software Livre. Para isso, primeiro era necessário ter conhecimento sobre as necessidades da empresa, levando-se em conta seu tamanho e sua área de atuação. Para isso, visitei as Agências de Fomento de Natal e do Rio Grande do Sul, onde pude avaliar qual seria o porte necessário para o atendimento das demandas. O cenário apresentado em relação à aplicação bancária era de que realmente só existiam opções proprietárias, o que era normal diante da especificidade do produto. Entretanto, essa mesma aplicação poderia ser acessada por meio de navegadores e executadas sobre bancos de dados livres PostgreSQL. Ficamos surpresos ao receber respostas de três fabricantes, aceitando a proposta de fazer funcionar suas aplicações bancárias sobre bancos de dados livres e navegadores, o que já foi um avanço.

O que limita a área de TI agora é o seu elemento humano, o que é um incentivo para que direcionemos investimento a nosso pessoal.

Linux Magazine» Por que  vocês escolheram o Linux?

Laudelino Lima» Em agosto de 2000, sain-

do do mercado privado, fui contratado pela CODIN (Companhia de Desenvolvimento Industrial do Estado do Rio de Janeiro) para assumir a Gerência de Sistemas da empresa e, logo ao chegar, tive a percepção de que a estrutura de TI encontrava-se praticamente engessada em relação à inovação. O custo das licenças era exorbitante, e a dependência de sistemas operacionais proprietários não nos mostrava qualquer perspectiva de melhora no quadro. Isso incomodava

26

receu um fator importantíssimo para o uso na empresa, ao menos nos servidores. Recebemos então um curso gratuito na sede da Conectiva no Centro do Rio de Janeiro, o qual nos mostrou na prática que o sistema Linux é poderoso, veloz e estável, mesmo sendo gratuito. Nessa mesma época foi criada a InvesteRio, e fui contratado como Chefe do Departamento de TI. O desafio era montar a infra-estrutura tecnológica e de sistemas para uma empresa ligada ao Sistema Financeiro Nacional, com todas as suas obrigações legais e com a

LM» Como foi o processo de instalação? LL» Como os gastos com softwares foram

seriamente reduzidos, conseguimos investir primeiramente em infra-estrutura elétrica, de dados e de voz, o que nos diferenciou da maioria dos órgãos públicos, freqüentemente carentes de recursos. A  experiência em Linux, oriunda do case da CODIN, nos permitiu começar pelo mais difícil, o firewall, que exigia DMZs e IDSs, e logo a seguir DHCP, DNS, LAMP (para a intranet e nosso website), http://www. linuxmagazine.com.br 

Entrevista | CORPORATE

correio (incluindo webmail, antivírus e antispam), LDAP, mirror interno, becape externo, VPNs e desktops.

após diversas reuniões, discussões, laboratórios e simulações consegui mostrar a todos que a solução livre era de fato a melhor para nós. LM» E as estações? Também rodam Linux?  Além disso, o funcionamento dos LL» No caso das estações, concluí que softwares governamentais obrigatórios o componente mais importante para também foi problemático. Imaginamos o usuário era que seu conforto fosse o que conseguiríamos executar algumas maior possível, pois o setor de TI deve aplicações federais e proprietárias sobre ser usado para oferecer serviços aos usu- o Wine, mas isso não foi possível. Assim, ários, sem que estes precisem de grandes configuramos uma máquina com sistema esforços de aprendizado. Como conse- operacional Windows® para executar os qüência, um usuário confortável em seu doze aplicativos necessários. As estações ambiente de TI gera menos chamados de acessam a área de trabalho nesse servidor suporte, o que reduz a demanda sobre o através do rdesktop. Com isso, fomos caresponsável pelo suporte. Como eu era o pazes de economizar mais recursos em único funcionário de TI da empresa, esse licenças de software. fator foi imprescindível para que eu me concentrasse melhor na administração LM» Quais foram os benefícios técnicos? LL» Nossos servidores rodam com uma dos servidores. Para a escolha da distribuição por parte carga bem menor, e portanto nunca fidos usuários, foi montado um laboratório cam sobrecarregados. Além disso, nunca com diversas máquinas e distribuições. tivemos problemas com vírus, cavalos-de Após testarem cada uma das alternativas, tróia ou outras pragas virtuais. Obtivemos os usuários escolheram o Mandrake Linux, que então foi adotado em todas as estações em 2004. LM» Como

é a solução

atual?

LM» Na sua opinião, o que falta para o Li-

nux ser mais utilizado nas empresas?

LL» Em primeiro lugar, falta apoio sério

do poder público, pois programas obrigatórios a qualquer empresa não podem ser restritos a uma única plataforma. Em segundo lugar, falta o combate à pirataria. Na atual conjectura, o custo de um sistema operacional proprietário não é diferente daquele composto somente por Software Livre, pois ambos acabam sendo efetivamente gratuitos. Com assim uma maior confiabilidade, dispo- um combate eficiente à pirataria, mais nibilidade e desempenho. Nosso sistema empresas perceberiam os benefícios iné tão confiável que algumas instituições comparáveis do Software Livre. É fácil públicas, quando enfrentam problemas recusar-se a conhecer o Software Livre de conexão à Internet, nos telefonam quando se tem todo um parque de softpara conferir se o problema é de seu wares piratas. próprio sistema ou do acesso institucional à rede. Isso mostra que temos uma LM» Alguma palavra aos nossos leitores? solução tecnicamente superior. Outro dia LL» Quem estuda Linux hoje, assim viemos a saber que boa parte dos órgãos como quem folheia a Linux Magaziaos quais somos ligados haviam passado ne, está no caminho certo. Utilizar o horas fora do ar devido a uma infecção Linux não significa esquecer as platapor vírus em seus sistemas proprietários. formas proprietárias. Capacitando-se  A InvesteRio sequer tomou conhecimen- em Software Livre, o trabalhador de TI to da ameaça. duplica suas possibilidades, pois ainda existem bons empregos que favorecem o modelo proprietário de software. PoLM» E os outros benefícios? rém, têm surgido cada vez mais vagas LL» Estimamos ter economizado R$ 600 mil somente na aquisição de licenças para trabalhar com Software Livre em e contratação de pessoal no período de sintonia com softwares proprietários, ge2004 a 2006, pois o Linux gera menos ralmente com melhores salários. Afinal, chamados técnicos e menores esfor- médicos costumam ser melhor remuços de gerenciamento e manutenção. nerados que curandeiros. ■

Ficamos surpresos ao receber  respostas de três fabricantes, aceitando a proposta de fazer   funcionar suas aplicações bancárias sobre bancos de dados livres e navegadores, o que já foi um avanço.

LL» Possuímos sete servidores Intel rodando a distribuição Mandriva. Eles são responsáveis pela segurança de nossa rede, rodando firewall e proxy (iptables , Squid, Snort, Nagios,  ACID , MRTG, TuxFrw e outros), e também oferecem os serviços de que necessitamos, como DNS (Bind), email ( Postfix, webmail, Spamassassin e ClamAV) e becape interno com sincronia externa.  A distribuição das estações, que originalmente era Mandrake, foi atualizada para Mandriva.

LM» Quais foram as dificuldades enfren-

tadas ao longo da instalação?

LL» Alguns fornecedores de softwares pro-

prietários, os quais dependiam somente de plataformas proprietárias, fizeram (e ainda fazem) uma fortíssima campanha contra as soluções livres, inclusive com bastante FUD. Isso, aliado ao já esperado conservadorismo de alguns usuários, dificultou minha tarefa de convencê-los de que aquela solução que todos eles já conheciam não era mais a melhor, e nem mesmo a indicada quando se alia custo com segurança bancária. Somente Linux Magazine #25 | Novembro de 2006

Basta notar que nosso parque, com 50 máquinas, dispõe de uma equipe de apenas dois funcionários (sendo que o segundo é recém-contratado). Esses recursos foram aplicados na compra de novos equipamentos. Uma das aplicações mais proveitosas, no entanto, foi o mobiliário ergonômico. Com ele, nossos funcionários trabalham de forma mais confortável, e portanto eficiente, o que é um ganho indireto, perceptível e altamente positivo. Por não termos mais restrições relativas a software, o fator limitador de desenvolvimento e evolução de sistemas na empresa passou a ser o pessoal de TI. O que limita a área de TI agora é o seu elemento humano, o que é um incentivo para que direcionemos investimentos ao nosso pessoal.

27

O impacto do Open Source na indústria de software

Cezar Taurion

   E    T    A    R    O    P    R    O    C

O

movimento do Código Aberto já é uma realidade. O Linux é um sistema cuja base instalada cresce a cada dia. O  Apache é líder inconteste na categoria de servidores web. O PHP, Sendmail e dezenas de outros softwares já fazem parte do portfólio da maioria das empresas do mundo. Alguns diretórios de projetos de Código Aberto, como o Sourceforge, já armazenam mais de 130 mil projetos com mais de 1,4 milhões de usuários registrados.

Com o modelo de desenvolvimento colaborativo, tanto o esforço quanto o custo de desenvolver o software  são compartilhados. Mas o que é realmente este movimento, e por que ele tem impactado tanto a indústria de software?  A essência do Código Aberto não é o software em si, mas o seu processo de desenvolvimento. É um processo de desenvolvimento colaborativo, em que usuários colaboram para criar um software. Nesse processo não existe a necessidade de pesados investimentos prévios e, portanto, temos o poder de mudar os tradicionais modelos de negócio baseados em venda de licenças. No modelo tradicional, o desenvolvedor, na maioria das vezes, precisa vender licenças do seu software para recuperar o investimento efetuado, obter lucros e manter seus acionistas satisfeitos. Com o modelo de desenvolvimento colaborativo, tanto o esforço quanto o custo de desenvolver o software são compartilhados. Desta forma, não existem maiores investimentos anteriores, e conseqüentemente não se demanda a venda de licenças. Podem-se criar outros modelos de negócios, como os que obtêm receita a partir da venda de serviços. Um exemplo é o próprio Linux. O kernel 2.6 tem mais de 3,2 milhões de linhas de código C e quase 180.000 linhas em assembly. Se fosse desenvolvido por uma única empresa (e existiria empresa capaz de tamanha façanha?), tal volume de trabalho custaria centenas de milhões de

28

dólares. Essa empresa teria que conseguir escala de mercado de forma ampla e veloz o suficiente para se manter viva. O modelo de Código Aberto dilui os custos por meio do trabalho colaborativo de dezenas de milhares de colaboradores, já que seu custo foi distribuído. Os custos fixos de pesquisa e desenvolvimento não são alocados a nenhum centro de custo ou a uma empresa. O modelo permite sobrevivência do produto mesmo quando a escala de mercado não é suficiente para sustentação de um produto comercial. Sua sobrevivência, sob essa ótica, é mais garantida que a de um software comercial. Existem diferenças significativas entre modelos de negócio baseados na venda de licenças e na venda de serviços. O baseado em licenças consegue obter lucros bem mais elevados, principalmente quando falamos em software de massa. Estes softwares são escritos uma vez e podem ser vendidos dezenas de milhões de vezes a custos marginais (preço de um CD) ou quase zero (downloads), com pequenos investimentos adicionais em suporte e consultoria. Por sua vez, modelos baseados em serviços demandam mais recursos humanos e as lucratividades são menores e obtidas a mais longo prazo. O número de consultores e técnicos cresce à medida que aumenta a base instalada. Os impactos causados pelo modelo de Código Aberto começam a causar sérios transtornos nas empresas extremamente dependentes de licenciamentos de softwares em seus modelos de negócio. A razão é simples. As empresas de software com ações nas bolsas são continuamente monitoradas pelos investidores. As empresas são forçadas a crescer mais rápido que as expectativas dos seus acionistas. Crescer no mesmo ritmo do mercado apenas evita a queda no preço das ações, mas não gera ganhos. Um novo cenário torna o seu crescimento mais árduo, gerando reações bastante agressivas para evitar uma eventual percepção negativa por parte dos investidores. Em resumo, Código Aberto ainda não é um fenômeno totalmente conhecido em suas nuances. O que acontecerá nos próximos anos? Teremos que aguardar os próximos capítulos... ■

O autor  Cezar Taurion é Gerente de Novas

Tecnologias Aplicadas da IBM.

http://www. linuxmagazine.com.br 

Criptografia de discos no Linux 

Segredos e discos  C  A P  A

Os computadores atuais são suficientemente rápidos para  algumas técnicas criptográficas bastante sofisticadas. Veja como manter seus dados a salvo de olhos curiosos e espiões.  por Joe Casad 

E

spiões, soldados e matemáticos já brincam com criptografia há séculos. Há cada ano, os usuários de computador ganham mais possibilidades de esconder seus documentos e mensagens. Obviamente, os usuários precisam dessas técnicas novas e melhores para ocultarem seus dados, justamente porque os computadores estão ficando tão acessíveis e portáteis. E se você esquecer seu laptop no cibercafé? Ou se um intruso conseguir entrar em um dos 100 desktops da rede do seu trabalho? Sistemas de arquivos criptografados oferecem uma poderosa proteção para a atual cultura da computação casual. Com um sistema de arquivos criptografado, seus dados permanecem seguros mesmo quando o computador é desligado e o disco retirado. Se você algum dia já se preocupou com espiões, soldados, matemáticos, ou curiosos do dia-a-dia tendo acesso às suas informações valiosas, vai adorar nosso tema de capa do mês. O primeiro artigo desse mês aborda a criptografia de CDs, DVDs e outras mídias removíveis, uma medida fundamental para quem carrega dados confidenciais com alguma freqüência. Em seguida, “O disco todo: Criptografia de discos rígidos com DM-Crypt e LUKS” é um tutorial que descreve como configurar a criptografia de discos rígidos no seu próprio sistema Linux. Finalizamos com um panorama das opções mais populares de sistemas de arquivos criptografados para Linux, incluindo o Loop-AES, DM-Crypt , Truescript, Crypto-FS e Enc-FS. Os especialistas em criptografia Peter Gutmann e Christian Ney vão além dos passos de instalação e avaliam as opções baseados em fatores que talvez não estejam à vista da maioria dos usuários, como a qualidade do código e as técnicas criptográficas. Os artigos deste mês oferecem uma boa idéia de como dar os próximos passos para implementar a criptografia de discos nos seus sistemas Linux. Esperamos que você goste do tema de capa deste mês. ■

Sistemas de arquivos O disco todo CDs e DVDs Linux Magazine #25 | Novembro de 2006

30 38 44 29

 Escolhendo um sistema de arquivos criptográfico

Candidatos secretos

 Se você não for um especialista em segurança, mas estiver em busca de um sistema de arquivos criptografado, talvez esteja se perguntando quais são as alternativas. Conheça algumas das opções mais populares de criptografia para Linux.  por Peter Gutmann e Christian Ney 

   A    P    A    C

hannah jackson – www.sxc.hu

O

s sistemas de arquivos criptografados mantêm seus dados seguros, mesmo que alguém roube seu computador. A recente popularidade dos computadores portáteis trouxe à tona a necessidade de proteção, mas até mesmo os usuários de desktops têm motivos para assegurar sua privacidade. O Linux oferece diversas opções de sistemas de arquivos criptografados – cada um com uma solução diferente para o problema da cifragem. Examinamos algumas dessas alternativas, com o objetivo de oferecer alguma informação sobre técnicas de criptografia, qualidade de código e os méritos relativos de cada opção. Analisamos os seguintes sistemas de arquivos: ➧ Loop-AES ➧ DM-Crypt ➧ Truecrypt ➧ Crypt-FS ➧ Enc-FS

30

 Além de atentarmos às tecnologias e técnicas, também examinamos alguns parâmetros de desempenho dessas opções de criptografia. Como poucos desses sistemas documentam detalhes técnicos – à exceção (honrosa) do Truecrypt e do Enc-FS – uma auditoria significaria passear por toneladas de código-fonte (gerado por engenharia reversa). Enquanto pesquisávamos este artigo, não conseguimos evitar o sentimento de que a análise do código-fonte parecia mais uma escavação arqueológica do que uma auditoria de código. Funções relevantes estavam escondidas sob muitas camadas de depósito de código, software descartado e experimentos criptográficos. Entretanto, pelo menos esclareceram a forma como os desenvolvedores tentaram várias abordagens para solucionar os problemas da cifragem do sistema de arquivos.

Loop-AES

O Loop-AES [1] é o mais antigo dos sistemas de arquivos criptográficos aqui investigados. Ele utiliza o venerável módulo de kernel loop, e roda até com o kernel 2.0. A função do Loop-AES é semelhante à do Cryptoloop, que já se mostrou insegura. O Loop-AES funciona no nível do dispositivo de blocos, e grava arquivos criptografados num arquivo contêiner ou numa partição feita especificamente para esse propósito.  Apesar de o Loop-AES utilizar alguns truques de sistema de nível bem baixo, e de sua tecnologia ser no mínimo venerável, ele é fácil de usar em aplicações práticas. O Crosscrypt [2] acrescenta o recurso de ler contêineres Loop-AES no Windows®. O número de opções para criar e usar o sistema de arquivos Loop-AES impede uma análise efetiva de segurança. O desempenho na gravação é radicalmente http://www. linuxmagazine.com.br 

Sistemas de arquivos | CAPA

diferente, dependendo da sua seleção. O código-fonte bagunçado também impede uma auditoria, dificultando uma análise do que está acontecendo no núcleo do Loop-AES, e se o código realmente cumpre o que promete. O Loop-AES não utiliza o salt (um conjunto de bits aleatórios) para fazer um hash da senha, o que impediria que uma mesma senha gerasse chaves idênticas. Além disso, o algoritmo empregado pelo Loop-AES utiliza só uma iteração de hash (como SHA256 ou SHA512) para gerar a chave de criptografia. Essa abordagem deixa o Loop-AES aberto a ataques de dicionário – quando um invasor utiliza dicionários e conjuntos de regras para gerar uma lista de possíveis senhas e calcular o hash a priori. O resultado é uma coleção de hashes que podem ser tentados, eliminando a necessidade de testar todas as combinações possíveis de números (que configurariam um ataque de força bruta). O readme do Loop-AES [3] afirma que esse sistema de arquivos é capaz de usar tanto o salt quanto iterações múltiplas. Os arquivos de configuração de exemplo desse sistema que o Google retornou, no entanto, não mostram qualquer sinal de salt e fixam em 100 o valor de iteração (o que corresponde a 100.000 iterações). Por padrão, o Loop-AES não usa nenhum dos dois recursos. Se um usuário selecionar iterações explicitamente (o que só parece ser possível com AES256), o software criptografa dois blocos de 128 bits com a chave inicial, e troca os 64 bits de maior valor do primeiro bloco de 128 bits pelos 64 bits de menor valor do segundo bloco de 128 bits. Esse algoritmo se repete quantas vezes você quiser, para retornar o valor final de 256 bits. Como o nome sugere, o Loop-AES utiliza o algoritmo AES em modo CBC para a cifragem. A coleção de opções para lidar com o Vetor de Inicialização (IV , na sigla em inglês) é grande demais, e inclui opções para especificar o número

Conhecendo o Loop-AES Instalar o Loop-AES a partir do código-fonte é o primeiro obstáculo. O pacote requer fontes do kernel específicos, incluindo os componentes gerados pela compilação – os administradores podem preferir compilar o kernel dos fontes, na maioria dos casos. Também será necessário aplicar  patches e recompilar o pacote fundamental util-linux [4], que contém importantes comandos do sistema, como mount. Pelo menos o arquivo readme [3] explica o processo com relativa precisão, ao mesmo tempo fornecendo dicas úteis sobre como usar o Loop-AES junto com o recurso  software suspend. Como isso é de nível muito baixo, recomendamos que os leitores atenham-se aos pacotes padrão de sua distribuição. Os usuários do Ubuntu desfrutam de um processo bem fácil, como mostra o exemplo 1. O comando aptitude, na linha 1, instala os pacotes necessários. O module-assistant, nas linhas 2 a 4, então gera um pacote do Loop-AES apropriado, a partir do código-fonte. Uma pequena falha acontece nesse ponto, mas com uma solução bastante fácil: durante a compilação, o sistema reclama que o debian/rules não possui os direitos necessários. A solução para esse problema é abrir uma janela de terminal, mudar as permissões manualmente com o comando chmod +x /usr/src/modules/loop-aes/debian/rules, e depois repetir a compilação. A boa integração com o sistema e uma coleção de ferramentas customizadas tornam o Loop-AES fácil de usar. A linha 7 do exemplo 1 mostra uma chamada ao Losetup , que estabelece uma conexão lógica entre o dispositivo de loop loop0 e a partição /dev/hda6. Você também poderia facilmente especificar um arquivo normal como dispositivo de blocos aqui; o arquivo agiria como um contêiner para o dispositivo de blocos criptografado. Quando for pedido, entre uma senha com no mínimo 20 caracteres; o Losetup então gravará na partição os cabeçalhos requeridos pelo Loop-AES. Um sistema de arquivos  XFS é criado na linha 8 para completar o dispositivo de loop, que depois pode ser montado. Depois de desmontar, um losetup -d /dev/loop0 desfaz o mapeamento da conexão lógica com o dispositivo físico. Para automatizar a montagem, pode-se adicionar o seguinte ao /etc/fstab: /dev/hda6 /home/chr is/loopaes xfs defaults,loop=/dev/loop0,en cryption=AES256 0 0

de setores ou um hash MD5 desse número como o IV. O Loop-AES possui um importante erro de programação comum a vários programas de criptografia: o código falha ao verificar os valores de retorno das chamadas de função. Se um erro ocorrer no cálculo da chave, o software simplesmente continua sua operação, sem perceber que a chave é formada por um amontoado de zeros. Isso deixa os dados praticamente sem criptografia. O código é tão ruim em algumas partes que o programa tem mais probabilidade de travar com um de-referenciamento a um ponteiro nulo do que realmente com o uso de uma chave vazia. Mas confiar numa programação desleixada para se proteger de erros mais sérios parece uma atitude fortemente negligente.

Exemplo 1: Loop-AES no Ubuntu 01 02 03 04 05 06 07 08 09

sudo sudo sudo sudo sudo

aptitude install loop-aes-utils loop-aes-source module-assistant update module-assistant prepare module-assistant build loop-aes dpkg -i loop-aes-2.6.15-26-686_3.1b-8+2.6.15-26.45_i386.deb

losetup -e AES256 /dev/loop0 /dev/hda6 mkfs.xfs /dev/loop0 mount /dev/loop0 /home/chris/loopaes

Linux Magazine #25 | Novembro de 2006

DM-Crypt 

O DM-Crypt [5] se tornou parte oficial do mapeador de dispositivos (device mapper ) na versão 2.6.4 do kernel, oferecendo um serviço de cifragem transparente de dados. O sistema pode usar uma partição separada ou um contêiner (através do Losetup) para armazenamento. Diferentemente do Loop-AES, o DM-Crypt não se restringe a um único algoritmo: os usuários podem selecionar qualquer algoritmo que o kernel conheça. Ao contrário de seu antecessor inseguro (o Cryptoloop), a solução usada pelo DM-Crypt é útil para sistemas de arquivos com journal , como o Ext3 ou o XFS. O DM-Crypt até monta contêineres do Cryptoloop, o que torna essa transição da solução antiga para a nova bem menos dolorosa.  Além do módulo do kernel, o sistema DM-Crypt necessita de várias ferramentas de espaço de usuário. O programa cryptsetup já deve ter sido incluído em todas as distribuições. Infelizmente, o Ubuntu, extremamente amigável fora isso, mostra sua diferença e esconde esse pacote crítico no repositório Universe. Hoje em dia, o cryptsetup normalmente é visto em combinação com o LUKS (Linux Unified Key Setup , [6], [7]), de 31

CAPA | Sistemas de arquivos

Clemens Fruhwirth. Nossos testes do DM-Crypt incluíram o LUKS. O LUKS armazena seus metadados no cabeçalho do contêiner, gerenciando múltiplas senhas, que o administrador pode revogar individualmente sem precisar cifrar novamente os dados. Isso garante o acesso seguro por múltiplos usuários. O Windows consegue ler formatos DM-Crypt em conexão com o Free OTFE [8].  A maior vantagem do DM-Crypt é sua integração transparente ao sistema como um todo. O Debian e o Ubuntu mostram como isso pode ser fácil para o administrador, usando um arquivo de configuração para automatizar todo o processo no momento da inicialização. Despercebido pelo usuário, ele configura uma swap criptografada de forma muito elegante:

É necessário um pacote Cryptsetup modificado para o LUKS – a maioria das distribuições modernas deve oferecer isso por padrão. Se a sua distribuição for diferente, procure um pacote na coleção de [9]. É fácil preparar um contêiner: cryptsetup luksFormat -y -c aes-cbc-essiv:sha256 /dev/hda6 cryptsetup luksOpen /dev/hda6 crypto mkfs.ext3 /dev/mapper/crypto

O primeiro comando prepara o /dev/hda6 como dispositivo a ser criptografado. Ele escreve o cabeçalho do contêiner, que depois guardará as chaves, entre outras coisas. A opção -y pede a senha duas vezes. Como alternativa, o Cryptsetup também pode usar um arquivo de senhas. O parâmetro -c aes-cbc-essiv:sha256 faz o DM-Crypt gravar os dados em modo CBC (Cipher Block Chaining ) e fornecer um vetor de inicialização com hash por  SHA256. Sem esses parâmetros, os dados ficariam suscetíveis ao watermarking , uma técnica que envolve o preparo de arquivos pelo atacante e a inserção desses arquivos no contêiner de forma não criptografada. Se você não confiar no comprimento de chave de 128 bits, pode dobrar esse valor especificando -s 256. A opção luksOpen no segundo comando põe o dispositivo físico nas mãos do mapeador de dispositivos, e depois já pode ser acessado como crypto. Assim como em dispositivos RAID e LVM (Logical Volume Manager ), a última linha cria um sistema de arquivos ( Ext3, no nosso caso). O comando cryptsetup luskRemove crypto depois apaga o dispositivo do sistema.

swap /dev/hda2 /dev/random swap

Exemplo 2: Truecrypt no Ubuntu

Essa entrada no /etc/crypttab se aplica ao espaço de swap em /dev/hda2. Na inicialização do sistema, o DM-Crypt providencia uma chave aleatória a partir do /dev/random e usa a chave para criptografar o dispositivo de swap. Mas a maior segurança tem um preço: a suspensão para o disco passa a não funcionar mais. O DM-Crypt possui muitas características em comum com o Loop-AES: ambos são módulos do kernel, e ambos confundem o usuário com opções demais para a compilação e a execução. A configuração padrão é restrita a uma única iteração de hash do tipo RIPEMD-160, e faz isso sem salt. O modo IV padrão é plain, que usa o número de 32 bits do setor como o IV.

01 02 03 04 05 06 07 08 09 10 11

Figura 1

32

Entendendo o LUKS com DM-Crypt

sudo aptitude install build-essential linux-source gawk cd /usr/src sudo tar xvjf linux-source-2.6.15.tar.bz2 cd linux-source-2.6.15 sudo cp /boot/config-2.6.15-26-686 .config sudo make prepare cd /usr/src tar xvzf truecrypt-4.2a-source-code.tar.gz cd truecrypt-4.2a/Linux sudo ./build.sh sudo ./install.sh

Felizmente, há um modo mais seguro conhecido como ESSIV , que criptografa o número do setor (para impedir que um atacante o adivinhe). Todavia, nossa busca na Web por exemplos de configuração, assim como os exemplos da página do projeto, nos levou a suspeitar que poucos usuários optem pelo ESSIV. Os ganhos de segurança com o modo ESSIV  também são mínimos, pois o ESSIV é mantido para todos os dados desse setor. Do ponto de vista da criptografia, todo setor deveria ter um novo IV para cada alteração.  A variante LUKS do sistema DM-Crypt tem desempenho muito melhor, embora, por algum motivo, a configuração do DM-CryptO TrueCrypt oferece uma interface gráfica para LUKS mantenha o pagerenciar os recursos de arquivos. râmetro inseguro do

DM-Crypt por padrão. Dito isso, o Cryptsetup-LUKS utiliza o número criptografado do setor como IV padrão quando cria um dispositivo no formato do LUKS.  A principal tarefa da extensão LUKS é o gerenciamento de chaves, entretanto, e há algumas melhorias perceptíveis nessa área. O LUKS utiliza o método já estabelecido como padrão de geração de chaves PBKDF2 para criar uma chave a partir de uma senha.

 Truecrypt 

O Truecrypt [10] alega ser seguro e portátil. O aplicativo Truecrypt utiliza contêineres cifrados tanto em sistemas Linux quanto Windows. Os algoritmos de criptografia incluem AES, Blowfish, Cast 5, Serpent, Triple-DES e Twofish , e também permite combinações de múltiplas variantes. Três algoritmos de hash (RIPEMD160 , SHA-1 e Whirlpool) garantem a integridade. O Truecrypt ( figura 1 ) consegue usar tanto a rquivos quanto http://www. linuxmagazine.com.br 

Sistemas de arquivos | CAPA

Usando o Truecrypt

Os usuários têm maior probabilidade de serem desestimulados pelo Dependendo do desempenho do seu sistema, o procedimento de instalação pode levar desde uso complicado, começando pela inspoucos minutos até várias horas. O processo de compilação iniciado na linha 10 do exemtalação. A página do projeto mostra plo 2 compila o kernel inteiro, sem necessidade disso, antes de continuar com a compilação do módulo truecrypt e suas ferramentas acessórias. Se você não tiver o pacote gawk (como vários pacotes pré-compilados para é o caso no Ubuntu, por exemplo), todo o processo termina com uma mensagem de erro. distribuições de Linux comuns, mas a maioria deles falhará se você atuOs administradores podem simplesmente responder  sim às três primeiras perguntas alizar seu kernel. Embora o changedo script de instalação (iniciado na linha 11 do exemplo 2). Se você permitir que usulog alegue não haver necessidade de ários não administradores executem o Truecrypt, respondendo  sim também à próxima pergunta, o instalador especificará o bit UID no binário, abrindo um vetor de ataque porecompilar o pacote dentro de uma tencial. Dito isso, a programação é bastante limpa, e portanto o risco é calculável. mesma versão do kernel, alguns passos manuais são necessários no Ubuntu Você pode executar truecrypt --create para criar um novo sistema de arquivos cripto6.06, por exemplo. grafado por essa ferramenta. Se você não fornecer todas as opções necessárias na linha de De um ponto de vista criptográcomando, a ferramenta perguntará por eles interativamente. O exemplo 3 cria um arquivo contêiner em /home/chris/truecrypt/test (linhas 1 e 2) e formata o contêiner com um fico, o Truecrypt é o programa mais sistema de arquivos FAT (linha 3). O Truecrypt usa esse menor denominador comum para sofisticado e profissional de todos os o intercâmbio de dados entre sistemas Windows® e Linux por padrão. Se você preferir não candidatos testados. Ele vem com uma usar FAT, pode especificar o sistema de arquivos do contêiner em um passo mais adiante. útil documentação, e é baseado em padrões como a função de geração de Se você optar pela criptografia baseada em arquivos, a ferramenta ainda pedirá que você especifique o tamanho do contêiner (100 MB, linha 4), antes de sechaves PBKDF2, assim como o modo guir oferecendo uma seleção de algoritmos de hash e criptografia. O RIPEMDLRW (veja o quadro LRW ) para a cifra160 e AES com comprimento de chave de 256 bits são os padrões. gem baseada no setor. O Truecrypt é o único programa com padrões seguros, Diferentemente dos outros dois sistemas de criptografia mostrados até agora, o Truecrypt usa a cifragem LRW manipulável de blocos estreitos (LRW tweakable narrow-block encrype o software verifica valores de retorno tion) (quadro LRW). Apesar de o Truecrypt suportar o tradicional, porém inseguro, modo de funções, alertando o usuário em CBC, seus desenvolvedores recomendam veementemente que ele não seja usado. caso de erros.  A única desvantagem do Truecrypt A ferramenta depois pede uma senha; além disso, o Truecrypt pode opcionalfoi o fato de os desenvolvedores manmente usar chaves de arquivos. Para usar só um arquivo, deixe a senha em branco. O Truecrypt coleta movimentos do mouse e entradas do teclado para gerar terem o modelo de segurança Rumentropia, em vez de depender do /dev/random. Baseado no valor aleatório, o Truepelstiltskin e disfarçarem o contêiner crypt sobrescreve todo o contêiner com uma seqüência pseudo-aleatória de núcomo uma coleção de lixo digital. Eles meros para evitar tentativas de adivinhar os arquivos guardados no contêiner. levam essa abordagem tão a fundo que fazem o Truecrypt iniciar um ataque O comando truecrypt --dismount /mnt desmonta o sistema de arquivos. É bem mais difícil montar automaticamente os contêineres do Truecrypt durante a inicialização do que de força bruta contra o cabeçalho do os do DM-Crypt, por exemplo. Seria necessário gravar seus próprios scripts para criptogravolume, ao tentar acessar os dados far o diretório /home. O Pamscript [11] poderia ser útil nisso, para rodar scripts durante a no contêiner. autenticação pelo PAM (Pluggable Authentication Modules). O Truecrypt sofre de um proble Apesar de a senha ser con hecida, ma fundamental, comum a módulos externos do kernel: se o módulo externo não funcionar o Truecrypt precisa tentar todos os logo após uma atualização de kernel, os usuários ficam incapazes de acessar seus dados. algoritmos de hash e cifragem até encontrar dados úteis. Isso nos deipartições como contêineres. O pri- exemplo, ele não possui a interface xou com uma impressão desnecesmeiro método é mais popular entre a que os usuários de Windows estão sariamente ambígua: o programa é os usuários. acostumados. A documentação para convincente, e os programadores reOs desenvolvedores dão ênfase à esse sistema é muito boa e abrangen- almente sabem o que estão fazendo. possibilidade de o usuário negar plau- te, mas os usuários de Linux têm que Por outro lado, os desenvolvedores sivelmente a existência de arquivos se contentar com uma sucinta página são teimosos em relação a propriedades de segurança controversas. ➧ criptografados. O Truecrypt tenta fazer de manual. isso usando um contêiner preparado que não dá margem a especulações soVolume padrão bre criptografia. O software preenche o contêiner com lixo aleatório, e insere no final da shell um contêiner interno – como bonecas russas ( figura 2). Com o lançamento da versão 4.2 Espaço ocupado Cabeçalho do Truecrypt, esse programa de código aberto, desenvolvido originalmente para o Windows, introduziu o suporte Dados ocultos à criação de arquivos criptografados no Linux. O passo inicial, antes disso, só Volume oculto Cabeçalho do era possível no Windows. O progravolume oculto ma não nega suas origens, e o porte para Linux ainda est á incompleto. Por Figura 2 Um contêiner Truecrypt sem (acima) e com (abaixo) um volume oculto. Linux Magazine #25 | Novembro de 2006

33

CAPA | Sistemas de arquivos

Crypto-FS

O Crypto-FS [16] é o sistema de arquivos mais simples que investigamos. Ele é um sistema de arquivos baseado no LUGS, mas agora também roda sobre o FUSE (veja o quadro Sistemas de arquivos no espaço do usuário ). Como nenhuma das grandes distribuições disponibilizava um pacote para o Crypto-FS no momento da confecção deste artigo, alguns passos manuais são necessários. Diversas dependências devem ser satisfeitas: devem ser instalados os pacotes de desenvolvimento do FUSE ou LUFS, a Libgcrypt [17] versão 1.1.44 ou mais recente, e a Glib [18] versão 2.6 ou mais nova. Seguindo o padrão ./configure && make && make install , talvez você queira adaptar a configuração de exemplo fornecida ( cryptofs.conf ) às suas necessidades, armazenando-a no arquivo .cryptofs no diretório onde serão guardados os arquivos criptografados. Na primeira vez que você fizer isso, o Crypto-FS pedirá uma senha. Há duas formas de iniciar a ferramenta: a típica do FUSE, usando um binário separado chamado cryptofs, ou usando o módulo do LUFS com lufsmount :

Sistemas de arquivo no espaço do usuário A introdução dos sistemas de arquivo baseados no espaço de usuário, LUFS (Linux Userland Filesystem [12]) e o recente FUSE ( Filesystem in Userspace [13]), levou a vários pro jetos derivados interessantes, que nunca teriam conseguido chegar ao kernel por mérito próprio. Por exemplo, o GmailFS [14] e o FTPFS [15] oferecem aos usuários a possibilidade de utilizar o serviço de email do Google ou um servidor FTP como se f ossem diretórios locais. Parece lógico integrar a funcionalidade da criptografia de forma semelhante (figura 3). Isso oferece vantagens em comparação com soluções baseadas no kernel: ➧

Sistemas de arquivos que residem no espaço do usuário atuam como filtros e facilitam o armazenamento seguro dos dados em locais fora do controle do usuário. Por exemplo, o usuário de um servidor poderia guardar dados criptografados em um servidor FTP do provedor dedicado a processos de becape.

➧

Sistemas de arquivos do espaço do usuário funcionam no nível do arquivo. Diferentemente de seus equivalentes menos flexíveis baseados em contêineres, eles usam o sistema de arquivos existente e adaptam-se a seu tamanho.

➧

Como arquivos criptografados e seus respectivos metadados ficam guardados diretamente no sistema de arquivos, as ferramentas de becape detectam com facilidade os arquivos modificados, e só processam estes.

Por outro lado, a visibilidade dos metadados é a maior desvantagem dessa solução. Um usuário com acesso ao sistema de arquivos automaticamente sabe o número de arquivos criptografados, suas permissões e seu tamanho aproximado (a 8 ou 16 bytes). Dependendo do sistema e da configuração, até os nomes de arquivos poderiam ficar vi síveis como texto limpo.

cryptofs -r /home/chris/.cryptofs ➥ /home/chris/cryptofs lufsmount cryptofs://home/chris/.cryptofs ➥ /home/chris/cryptofs

EncFS /  CryptoFS

Operação de leitura e escrita

libfuse

glibc

glibc

VFS (Sistema de arquivos Virtual)

FUSE

XFS

Figura 3 Criptografia com um sistema de arquivos do espaço do usuário: a Glibc passa as operações de leitura e escrita através do kernel, ou a seu VFS (sistema de arquivos virtual), para ser mais preciso. O módulo do FUSE se comunica com sua contraparte

do espaço do usuário.

34

O caminho absoluto é vital, pois, caso não seja especificado, o mount apontará para um buraco negro. Para dar aos atacantes o mínimo possível de informação sobre os arquivos criptografados, o Crypto-FS passa uma cifragem Base-64 sobre os nomes de arquivos antes de guardálos. Porém o tamanho do arquivo ainda fica visível. O Crypto-FS criptografa arquivos individuais com um algoritmo escolhido pelo usuário, normalmente AES em modo CBC. O programa tem sua própria abordagem para gerar o IV. Após converter a senha do usuário para uma chave de criptografia, ele criptografa um buffer com bytes nulos para tirar n valores para o IV. Para cada enésimo bloco de arquivos, o Crypto-FS utiliza o vetor de inicialização com o número n. Como o número de blocos de arquivos facilmente excederá n em aplicações práticas, os sistemas de arquivos usam cada IV várias vezes – um erro fatal em criptografia. Os desenvolvedores estão satisfeitos com o uso de uma única chamada a uma função hash, normalmente SHA1, para transformar a senha em uma chave, e até fazer isso sem um salt. Isso torna o programa suscetível a ataques de dicionário. Para combater isso, o programa não verifica valores de retorno de funções. Se uma função que processa chaves ou criptografa dados por acaso falhar, o Crypto-FS simplesmente continua funcionando com uma chave em branco, ou simplesmente passa a ela os dados de texto limpos. http://www. linuxmagazine.com.br 

Sistemas de arquivos | CAPA

Exemplo 3: Criação de um sistema de arquivos Truecrypt 01 02 03 04 05 06 07 08 09 10 11

Volume type: 1 Enter file or device name for new volume: /home/chris/truecrypt/teste Filesystem: FAT Enter volume size (bytes - size/sizeK/sizeM/sizeG): 100M Hash algorithm: 1 Encryption algorithm: 1 Enter password for new volume ‘/home/chris/truecrypt/teste’: Re-enter password: Enter keyfile path [none]: truecrypt /home/chris/truecrypt/teste /mnt

Exemplo 4: Enc-FS 01 02 03 04 05 06 07

Directory “/home/chris/.encfs” does not exist, create (y,n)? Directory “/home/chris/encfs” does not exist, create (y,n)? Creating new encrypted volume. Please choose from one of the following options: enter “x” for expert configuration mode, enter “p” for pre-configured paranoia mode, anything else, or an empty line will select standard mode.

Enc-FS

O Enc-FS [22] é outro sistema de espaço do usuário baseado no moderno FUSE (Filesystem in Userspace , [13]), que se tornou parte do kernel na versão 2.6.14.  As versões atuais do Enc-FS precisam pelo menos do FUSE 2.5 e do Rlog [23]. O Enc-FS depende do OpenSSL para fins de criptografia. O uso básico é realmente simples. Quando você digita o comando encfs ~/.encfs ~/encfs, o programa pede para você fornecer as opções mostradas no exemplo 4. Se um dos diretórios, ou ambos, estiverem faltando, o Enc-FS os criará para você (linhas 1 e 2). Na primeira execução, o sistema cria um arquivo .encfs5 no diretório de origem com a informação necessária para cifrar os arquivos armazenados nesse diretório. Quando você fizer becape de seus dados, não se esqueça de incluir esse arquivo. O Enc-FS oferece as opções de operar em modo padrão ou em modo paranóico. O primeiro utiliza o algoritmo Blowfish

com um comprimento de chave de 160 bits, e criptografa os nomes dos arquivos. O software processa blocos de 512 bytes durante o procedimento de criptografia, associa os vetores de inicialização, e inicializa os cabeçalhos dos arquivos separadamente. O modo paranóico promete mais segurança através do uso de AES com um tamanho de bloco de 512 bits. Além dos passos executados pelo modo padrão, o Enc-FS paranóico armazena todos os blocos com um checksum para detectar modificações nos dados. Além desse recurso do checksum, o nome do arquivo é incluído no vetor de inicialização para o conteúdo. Renomear um arquivo, então, leva à re-cifragem completa. Esse processo quebra hardlinks, causando problemas para programas como o Mutt ou o Procmail.  Além disso, o Enc-FS possui um modo expert que permite que os usuários selecionem suas próprias configurações a partir de uma lista de todos os algoritmos

OpenSSL. Se você preferir deixar os nomes

de arquivos sem criptografia, o programa oferece as opções para isso. Diferentemente do Crypto-FS, o Enc-FS possui várias funções úteis que tornam o sistema mais fácil e seguro de usar. Uma montagem Enc-FS pode ser desmontada automaticamente após um período de tempo pré-definido. Essa opção é muito útil em combinação com a integração ao PAM [24]. E o Enc-FS consegue ficar em pé de igualdade com seus concorrentes em relação à escolha da plataforma: a versão 1.3 ou mais nova do software está disponível para o FreeBSD, e também existe um porte para Windows em [25]. O Enc-FS cifra cada arquivo com um algoritmo de bloco, como AES em modo CBC, por exemplo. Entretanto, devido a um erro de programação, o software usa CFB (Cipher Feedback) em vez de CBC. Cada setor de 512 bytes contém 504 bytes de dados e um HMAC (hashed MAC) ➧ de 8 bytes do texto limpo.

Exemplo 5: Código do Enc-FS 01 void CipherV3::randomize( unsigned char *buf, int len ) const 02 { 03 memset( buf, 0, len ); 04 if(RAND_bytes( buf, len ) == 0) 05 { 06 char errStr[120]; 07 unsigned long errVal = 0; 08 if((errVal = ERR_get_error()) != 0) 09 { 10 rWarning(“openssl error: %s”, ERR_error_string( errVal, errStr )); 11 } 12 } 13 }

Linux Magazine #25 | Novembro de 2006

35

CAPA | Sistemas de arquivos

Em vez de apagar o HMAC, o Enc-FS realiza uma operação booleana do tipo XOR (“ou” exclusivo) sobre os dados. O valor resultante dessa operação também é usado como vetor de inicialização. Se um único bit do texto limpo daquele setor mudar, o IV e conseqüentemente todo o setor cifrado também têm que mudar. O Enc-FS protege os nomes dos arquivos primeiro criptografando-os e depois armazenando uma versão codificada por Base-64. Mais uma vez, o programa usa como IV um HMAC derivado do nome do arquivo. Para impedir que arquivos com nomes iguais retornem textos cifrados idênticos, o Enc-FS usa o caminho absoluto para calcular o MAC. O modo de criptografia é um complexo de faça-você-mesmo . O programa inicia realizando XOR em todos os bytes com o byte seguinte. Se o tamanho do setor for igual ao do bloco do algoritmo, o Enc-FS então criptografa o setor inteiro em modo CBC. Se não, ele usa CFB. Isso parece um erro de programação, pois o CBC, que é mais seguro, seria preferível quando o volume de dados fosse um inteiro múltiplo do tamanho do bloco. O setor sempre será maior que um bloco de criptografia, e portanto o CBC nunca é usado. O Enc-FS então inverte a ordem dos bytes em cada seção de 64 bytes. Finalmente, ele efetua mais uma rodada de XOR e operações de cifragem. Essa rodada obviamente é feita

LRW O modo de criptografia LRW [19], batizado em homenagem a seus criadores Liskov, Rivest e Wagner, é um algoritmo manipulável de cifragem de blocos estreitos. Ele resolve alguns dos problemas do modo CBC, sem o trabalho excedente proveniente de algoritmos manipuláveis de blocos largos, e também não sofre com questões de patentes. O LRW não produz muito mais trabalho excedente que o CBC, e o algoritmo é adequado para processamento paralelo no hardware. Além de uma chave de criptografia, o LRW precisa de um valor de manipulação (outras operações de criptografia referem-se a valores comparáveis como “salts”). Assim como um salt, a manipulação não precisa ser secreta. Ela simplesmente garante que o t exto cifrado é diferente para cada valor de manipulação, mesmo que o texto limpo seja idêntico. Portanto, ele converte um único algoritmo de cifragem de blocos em uma família completa de algoritmos independentes. Para criptografar discos rígidos, é bom usar o número do setor e a posição do bloco AES dentro do setor como o valor de manipulação. Isso o torna único para cada bloco AES. Enquanto o CBC permite que blocos criptografados sejam movidos para uma posição diferente sem comprometer a capacidade de decifragem, ataques do tipo copiar-e-colar sobre LRW estão fadados a fracassar. Criptografar com uma manipulação e decriptografar com outra retorna somente lixo. A manipulação normalmente é calculada como o número do setor vezes 32, mais o índice dentro do setor. O fator 32 surge ao dividirmos 512 (o número de bytes por setor) por 16 (bytes por bloco AES). Simplificando, a manipulação é o número do bloco AES, contando a partir do início do dispositivo criptografado [20]. Quem já conhece o AES de outros contextos sabe de um problema prático com o rascunho do modo LRW padrão: há alguns anos, os 16 candidatos a AES tinham seis v ariações de ordem para os 128 bits de entrada e saída. O LRW une o caos. O modo de criptografia AES-GCM ( Galois/Counter Mode [21], usado no padrão de WLAN 802.11) e o LRW interpretam as ordens de bits e bytes no bloco de formas diferentes ( Big-Endian e Little-Endian). O resultado computacionalmente caro desse engano organizacional: o GCM interpreta os dados como Little-Endian, e então tem que inverter a ordem dos 128 bits no bloco. Como o GCM é bastante difundido, por exemplo em hardware para WLAN, esses dois modos são mutuamente exclusivos, de forma geral. Ainda não se descobriu qual modo vencerá no fim do dia. Dos candidatos testados neste artigo, somente o Truecrypt usa o modo LRW. Enquanto trabalhava com o Cryptsetup-LUKS para o DM-Crypt, Clemens Fruhwirth escreveu um patch [7] para o LRW, e tentou fazer com que fosse aceito no kernel no início de 2005. Infelizmente, isso não funcionou, devido a conflitos técnicos com o gerenciamento de memória.

Figura 4 O benchmark Bonnie++ mostra que a criptografia afeta o desempenho de leitura e escrita. O Loop-AES mostra o melhor desempenho de gravação de caracteres, mas o DM-Crypt lê os blocos mais rápido. O Truecrypt quase vence na leitura de blocos. O Enc-FS é incrivelmente rápido para um sistema de

arquivos no espaço do usuário.

36

para atingir o mesmo efeito de mascaramento de dados que um algoritmo de blocos largos, mas não oferece a mesma segurança criptográfica, embora as operações sejam igualmente caras em termos de CPU.  A transformação de senhas ocorre sem um salt no Enc-FS, e é limitada a 16 operações de hashing. Mil ou duas mil operações são consideradas o mínimo para evitar ataques de dicionário.  Assim como muitos competidores, o Enc-FS nem se preocupa em verificar valores de retorno das funções. Se algo der errado, os dados permanecerão sem criptografia. Mesmo as partes do código que conferem o valor de retorno cometem erros sérios. Em vez de se assegurar de que a operação tenha sido executada corretamente, o programa por padrão supõe que tudo tenha saído certo, e só verifica algumas das possíveis condições de erro. Se a função falhar com um valor de retorno inesperado, o Enc-FS ignora o erro e continua despreocupadamente. http://www. linuxmagazine.com.br 

Sistemas de arquivos | CAPA

 Velocidade

Pedimos que todos os sistemas de arquivos testados mostrassem seu desempenho em um benchmark. Nossa máquina de testes era um IBM Thinkpad T40p com 1,5 GB de RAM e um disco rígido Hitachi de 7200 RPM. Os valores foram medidos no Ubuntu 6.06 LTS com o Bonie++ [26], com conjuntos de dados de 3 GB. O XFS foi o sistema de arquivos no contêiner criptográfico em todos os casos. Os resultados, mostrados na figura 4, demonstram claramente a queda de desempenho causada pela criptografia. Apesar de só atingir a metade da velocidade normal, o sistema de arquivos DM-Crypt mostra velocidades de gravação e leitura razoavelmente constantes, com seu ponto forte sendo as operações sobre blocos. O desempenho de escrita do Truecrypt é ruim; ele não alcança nem o desempenho da ferramenta de espaço de usuário do EncFS. Mas é rápido em operações de leitura, quase alcançando o DM-Crypt. O Loop-AES é o candidato mais rápido para operações de leitura e escrita em caracteres, apesar de perder para o DM-Crypt em operações sobre blocos. Para um sistema no espaço do usuário, o Enc-FS se sai razoavelmente bem, sendo seus pontos fortes a leitura e a escrita de blocos. Entretanto, arquivos pequenos o fazem cair para o nível do Truecrypt, com desempenho de leitura especialmente baixo. O sistema de arquivos Crypto-FS fica em último no grupo, alcançando só um terço do desempenho de um sistema de arquivos não criptografado.

Cadê a carne?

 A maioria dos sistemas de arquivos criptografados no Linux deixa um gosto amargo na boca do usuário. Eles tropeçam em armadilhas criptográficas, e suas implementações geralmente contêm diversos erros (erros típicos: falha ao verificar valores de retorno de funções). A exceção positiva do grupo foi o Truecrypt – um programa originalmente desenvolvido para o Windows e que não se integra bem ao Linux, pelo menos por enquanto. O DM-Crypt na variante LUKS do Cryptsetup fica em segundo lugar. Seu desempenho é bom, e demonstra menos erros criptográficos que os outros concorrentes, pressupondo que o usuário opte por uma configuração segura. As configurações padrão são desnecessariamente inseguras. E é decepcionante que o patch do LRW não tenha chegado ao kernel. ■ Linux Magazine #25 | Novembro de 2006

Mais Informações [1] Loop-AES: http://loop-aes.sourceforge.net [2] Crosscrypt: http://www.scherrer.cc/crypt/ [3] Readme do Loop-AES: http://loop-aes.sourceforge.net/loop-AES.README [4] Util-linux: ftp://ftp.kernel.org/pub/linux/utils/util-linux/ [5] DM-Crypt: http://www.saout.de/misc/dm-crypt/ [6] Cryptsetup-LUKS: http://luks.endorphin.org/dm-crypt [7] Clemens Fruhwirth e Markus Schuster, “Mensagem secreta – DMCrypt, LUKS e Cryptsetup”, Linux Magazine 12/05, pg. 64 [8] Free OTFE: http://www.freeotfe.org [9] LUKS para as massas: http://luks.endorphin.org/masses [10] Truecrypt: http://www.truecrypt.org [11] Pamscript: http://linux.bononline.nl/linux/pamscript/01/build.html [12] LUFS: http://lufs.sourceforge.net/lufs/ [13] FUSE: http://fuse.sourceforge.net [14] Gmail-FS: http://richard.jones.name/google-hacks/ gmail-filesystem/gmail-filesystem.html [15] FTPFS: http://ftpfs.sourceforge.net [16] Crypto-FS: http://www.reboot.animerc.de/cryptofs/ [17] Libgcrypt: ftp://ftp.gnupg.org/gcrypt/alpha/libgcrypt [18] Glib: http//www.gtk.org [19] Moses Liskov, Ron Rivest e David Wagner, “Tweakable Block Ciphers”: Proceedings of Crypto 2002, Spinger-Verlag, Lecture Notes in Computer Science N. 2442 [20] Clement Kent (Editor), “Draft Proposal for Tweakable Narrow-block Encryption”: IEEE P1619 Working Group, 6 de Agosto de 2004 [21] Morris Dworkin, “Recommendation for Block Cipher Modes of Operation – Galois/Counter Mode (GCM) for Confidentiality and Authentication”, NIST Special Publication 800-38D: http://csrc.nist.gov/publications/ drafts/Draft-NIST_SP800-38D_Public_Comment.pdf [22] Enc-FS: http://arg0.net/wiki/encfs [23] Rlog: http://arg0.net/wiki/rlog [24] Pam_encfs: http://hollowtube.mine.nu;wiki/index.php?n=Projects.PamEncfs [25] Enc-FS para Windows: http://www.crc32.net/encfs [26] Bonnie++: http://www.coker.com.au/bonnie++/ [27] RFC 2898, “PKCS #5 – Password-Based Cryptography Specification Version 2.0”: http://tools.ietf.org/html/rfc2898

Os autores Christian Ney é administrador de firewalls e sistemas Unix de uma empresa aérea regional,

e também oferece consultoria sobre segurança e alta disponibilidade para médias empresas. Peter Gutmann trabalha para o Departamento de Ciência da Computação da Universidade de Auckland, Nova Zelândia. Ele está envolvido no projeto e análise de arquiteturas criptográficas de s egurança, é co-autor do PGP e já publicou diversos artigos e RFCs sobre segurança e criptografia. Peter Gutmann também é autor do conjunto de ferramentas de código aberto Cryptlib, e de “Cryptographic Security Design and Verification” (Springer, 2003).

37

 Tutorial: Criptografia de discos rígidos com DM-Crypt e LUKS

O disco todo

   A    P    A    C

Criptografar um diretório home é fácil. Criptografar   seu disco rígido inteiro, incluindo a partição raiz, dá um pouco mais de trabalho.  por Michael Nerb

C

riptografar sistemas de arquivos individuais não é difícil; na verdade, algumas distribuições até permitem que você criptografe diretórios durante a própria instalação. Mas criptografar o diretório home de seu laptop é um trabalho incompleto. Invasores e bisbilhoteiros ainda conseguem tirar muitas conclusões a partir dos arquivos de registro e de configuração. Se você quiser segurança real através da criptografia, precisa proteger todo o disco rígido contra a espionagem – uma coisa que nenhuma distribuição faz por padrão.  As coisas começam a ficar mais complexas se você precisar proteger o sistema de arquivos raiz. Nem o Suse nem o Debian oferecem ferramentas para ajudar o usuário a criptografar o sistema raiz durante a instalação (ou depois). Isso significa que é necessário arregaçar as mangas e fazer algumas configurações “na unha”. Neste tutorial, começaremos instalando um sistema Linux padrão, e então prosseguiremos com a criptografia dos sistemas de arquivos existentes, um de cada vez. Terminaremos apagando a partição desprotegida e usando o espaço para outras tarefas, como, por exemplo, mudar o diretório /home para uma partição criptografada só dele. Nosso objetivo é criptografar o disco rígido inteiro (com exceção da tabela de partições no Registro Mestre de Inicialização, ou MBR). Como não é possível criptografar a partição de inicialização,

38

 . h u  . s x c  w  w  - w  e r g  b  n  e  l  in k  o n B  d  n  B r a

vamos mover o /boot para uma mídia externa – um pendrive, no caso. Para inicializar a partir do pendrive, precisaremos modificar as configurações da BIOS e do gerenciador de inicialização GRUB. O pendrive depois cria uma outra camada de segurança, pois funciona como uma “chave” que o ladrão precisará obter para conseguir acessar os dados do laptop. Se essa solução lhe parecer pouco prática, você pode manter a partição de inicialização em seu disco rígido. Porém, o

/boot precisa estar em uma partição não

criptografada só dele. Neste artigo, usamos DM-Crypt [1] para nossa criptografia de sistema de arquivos. O DM-Crypt costuma ser a opção preferida para criptografar sistemas de arquivos desde o kernel 2.6.4. Ele usa a infra-estrutura do mapeador de dispositivos (Device mapper ) [2], e criptografa dispositivos de blocos transparentemente, baseando-se na Crypto API do kernel para isso. O Linux Unified Key Setup (LUKS)

Figura 1 Inicialização por um  pendrive – cada BIOS faz da sua forma. Nossa BIOS de exemplo

encontra os dispositivos removíveis e um dispositivo genérico de armazenamento.

http://www. linuxmagazine.com.br 

Discos rígidos | CAPA

Quadro 1: Apagando dados com segurança Sempre que arquivos são apagados pelo rm, o Linux simplesmente apaga seus respectivos inodes no diretório. Os dados permanecem no disco e podem ser restaurados com pouco esforço. Reformatar com um mkfs não sobrescreve a partição. Para deletar os dados permanentemente, é necessário modificar ativamente a magnetização dos setores de forma adequada. O modo mais fácil de fazer isso é com um comando como dd if=/dev/zero of=/dev/hda. Mas assim como uma chuvinha normal não encobre todos os buracos no chão, alguns resíduos de magnetização ainda permanecem depois de sobrescrever o espaço com zeros. Um agressor com o equipamento certo conseguiria reconstituir os dados originais. Uma solução que demanda mais tempo, porém bem mais segura, é usar o /dev/urandom em vez do /dev/zero. Dependendo do seu nível de paranóia, você pode fazer isso entre três e 35 vezes [5] para ter “alguma certeza” de que apagou os dados para sempre. As ferramentas  shred e wipe [7] ajudam nisso. Entretanto, tenha em mente que elas pressupõem algumas condições básicas que podem não se aplicar em sistemas RAID, sistemas de arquivos com  journal (como ReiserFS, Ext3 e XFS), ou alguns drivers de discos rígidos e componentes de firmware que fazem um buffer dos dados e realizam múltiplas operações de escrita de uma vez só.

Iniciando por  um pendrive O Linux normalmente detecta pendrives como dispositivos SCSI conferindo-lhes endereços da mesma forma ( /dev/sda, por exemplo). Use o fdisk para criar uma tabela de partições com no mínimo uma partição, e formate a partição ( mkfs.ext2 /dev/sda1). Depois faça: mount /dev/sda1 /mnt cp -ax /boot/* /mnt

Isso copia o diretório /boot para o pendrive. Se ele ainda não existir, use o comando ln -s . boot para criar um link simbólico no diretório /mnt, para evitar algum problema com o grub-install mais tarde. Para ter certeza absoluta, seria necessário destruir o disco rígido e jogá-lo em algum lugar  Agora modifique a configuração do onde ele nunca seria encontrado. Mas você pode economizar esse trabalho todo implementando os mecanismos descritos neste artigo, e depois s implesmente esquecendo as senhas. carregador de inicialização GRUB no pendrive: o arquivo /mnt/grub/device.map informa como o GRUB mapeia os nomes acrescenta algumas melhorias, discutidas hda4. (Se você preferir não inicializar a de dispositivos da BIOS e do Linux; é nena Linux Magazine 15, de dezembro de partir de um pendrive, utilize a sugestão cessária uma entrada (hd0) /dev/sda. 2005 [3]. O projeto do LUKS é imple- alternativa de particionamento mostrada Mude as entradas dos nomes de dismentado sob a forma da ferramenta de na coluna 2 da tabela). positivos de (hd0,3) para (hd0,0) (isso Especifique o tamanho e o número de corresponde a /dev/sda1) no arquivo de configuração cryptsetup-luks [4]. Uma alternativa à instalação do zero partições de acordo com o disco do seu configuração /mnt/grub/menu.lst: é a modificação de um sistema existente, laptop e seu uso – configurações de dual presumindo que você tenha suficiente boot são possíveis. Não crie um usuário title Suse Linux 9.3 (USB-Boot) kernel (hd0,0)/vmlinuz root=/dev/hda4 espaço livre no disco para criar uma nessa fase da instalação; você poderá fazer initrd (hd0,0)/initrd nova partição para os dados que está isso depois, no sistema criptografado. Depois de completar a instalação, criptografando. Não se preocupe! Depois que você você já deve ter um sistema Linux funPor último, execute grub-install -terminar de criptografar, os patches de cional em /dev/hda4. Se você tiver um root-directory=/mnt /dev/sda para instalar disco e atualizações de kernel não devem kernel de versão mais antiga que 2.6.11 o GRUB na MBR de seu pendrive. Se causar qualquer problema, e as suas ferra- (com o Debian Sarge, por exemplo), tudo funcionar, você pode inicializar o mentas de backup e recuperação devem será necessário atualizar o kernel agora. laptop através do pendrive – para isso, funcionar como sempre. Para os próximos passos, também será configure a ordem de inicialização da necessária a ferramenta de configuração BIOS para inicializar o computador a cryptsetup-luks. partir de mídias externas primeiro. O quadro 2: Atualizações para o Debian O equipamento necessário para esse la- Sarge descreve como atualizar um sisteboratório é um laptop apropriado, um ma Sarge; no Suse Linux, você só precisa pendrive de mais ou menos 64 MB e a instalar o cryptsetup-luks. A página do sua distribuição de Linux preferida (com LUKS [4] oferece uma versão estática kernel 2.6.11 ou mais recente) – nós testa- pré-compilada que pode ser copiada para Por motivos de segurança, alterne para o mos as versões do Suse Linux 9.3 e 10.0, /sbin/cryptsetup-luks. modo single user ou então feche todos os programas desnecessários, pare todos os além do Debian Sarge. Verifique na BIOS do laptop se ele suporta a inicialização por USB (figura 1). Use um Live CD Tabela 1: Particionamento para garantir que o Linux suporta seu laptop; talvez você queira aproveitar essa Inicialização pelo pendrive Alternativa: pelo HD Conteúdo oportunidade para apagar todo o conte- – /dev/hda1 Partição de inicialização /boot údo do disco do laptop (veja o quadro 1: – Partição Estendida /dev/hda2 Apagando dados com segurança ). Partição swap criptografada /dev/hda1 /dev/hda5 Para a instalação inicial, divida o /dev/hda2 /dev/hda6 Sistema de arquivos /tmp criptografado disco rígido em quatro partições, con- /dev/hda3 /dev/hda7 Sistema de arquivos raiz criptografado forme mostrado na coluna 1 da tabela 1. /dev/hda4 Sistema de arquivos raiz não cripto/dev/hda8 Essa configuração aloja uma versão não grafado (a ser apagado depois) criptografada do sistema Linux em /dev/

Preparação

Criptografando partições

Linux Magazine #25 | Novembro de 2006

39

CAPA | Discos rígidos

Quadro 2: Atualizações para o Debian Sarge Para preparar o Debian Sarge para criptografar a partição raiz, termine a instalação e depois adicione o seguinte aos fontes do  Apt (lembrando de comentar todas as outras fontes no /etc/apt/sources.list): deb http://http.us.debian.org/debian unstable contrib main

Em seguida, rode apt-get update e apt-get install -f para atualizar a base de dados de pacotes, e então faça assim: apt-get install yaird linux-image-2.6.17-2-686 apt-get install cryptsetup

Isso instala uma versão atual do kernel, do cryptsetup e do yaird, uma ferramenta para criar discos RAM de inicialização (como o mkinitrd). (Note que o número da versão da imagem do kernel pode ter mudado desde a publicação deste artigo – a versão 2.6.17-1 estava disponível nos s ervidores quando esses testes começaram). Agora inicialize o computador com o novo kernel.

serviços que não sejam essenciais e feche todas as sessões de usuários. Utilizaremos o sistema Linux recéminstalado para criptografar as partições do laptop passo a passo; as partições em questão são /dev/hda1 a /dev/hda3. A  partição /dev/hda4, que está abrigando o sistema de arquivos raiz agora, não será mais necessária depois. Pode-se reciclála e criar uma partição para o diretório /home se você quiser. Os passos básicos (veja o quadro 3: Device mapper, DM-Crypt e Cryptsetup ) são sempre os mesmos: use o cryptsetupluks para criar um dispositivo de blocos virtual com criptografia AES integrada, e mapeá-lo em um dispositivo de blocos adequado (no disco rígido do laptop). Enquanto isso, você precisará entrar uma senha que o programa usará para criar a chave simétrica. A chave então é usada para a criptografia dos dados. Finalmente, formate o dispositivo de blocos virtual com um sistema de arquivos, e depois monte-o.

Em ambos os casos, o cryptsetup-luks utiliza senhas aleatórias do /dev/urandom; as senhas residem na memória principal do laptop e desaparecem quando você o desliga. Como ninguém sabe as senhas, os dados guardados na swap e no /tmp são irrecuperáveis, mas é justamente essa a intenção. A  swap contém despejos ( dumps) de memória e é reiniciada sempre que você liga seu computador. Não há qualquer benefício em manter a swap legível; pior ainda, existem vários riscos de segurança nisso. Cada distribuição tem sua própria solução para lidar com arquivos temporários. Como regra, os programas não devem contar com a sobrevivência dos dados armazenados no /tmp a uma reinicialização.

Realmente  temporário

Recomenda-se recriar esses sistemas de arquivos toda vez que você ligar a máquina. O Debian torna isso bem fácil: simplesmente especifique o parâmetro CRYPTDISKS_ENABLE=Yes em /etc/defaults/cryptdisks (caso ainda não esteja  A partição swap e o diretório /tmp são especificado), e adicione o seguinte a candidatos úteis para nossos primeiros /etc/crypttab: experimentos com o cryptsetup-luks: eles contêm dados temporários e não causa- # riam grandes perdas em caso de erros. swap /dev/hda1 /dev/urandom swap O exemplo 1 mostra a seqüência de tmp /dev/hda2 /dev/urandom tmp comandos para ativar e desativar manualmente a criptografia da swap e do Também é necessário modificar o /tmp. Para a swap, deve-se configurar um dispositivo de blocos virtual /dev/mapper/ arquivo /etc/fstab; apague a entrada já swap usando o cryptsetup-luks, e depois existente da swap ou altere-a: inicializar o dispositivo com um mkswap e ativá-lo com o swapon. Da mesma forma, /dev/mapper/swap none swap sw,pri=1 0 0 crie outro dispositivo de blocos virtual, / /dev/mapper/tmp /tmp ext2 defaults dev/mapper/tmp, formate-o com Ext2 com o 0 0 comando mkfs.ext2 , e depois monte o dispositivo como /tmp. No Debian, substitua os comandos cryptsetup-luks por cryptseO Suse Linux também possui um tup ou crie um link apropriado. arquivo /etc/cryptotab, porém usa dispo-

 Aquecimento

➥

➥

➥

40

sitivos de loop. No Suse, recomenda-se utilizar um script do init.d para ativar o /tmp e a swap. Um script de shell que faz isso sozinho (cryptfs), e baseado em [8], está disponível no site da Linux Magazine [9]. Depois de baixá-lo (em /etc/init. d/), crie links simbólicos em /etc/rcX.d para chamar o script nos runlevels apropriados. Por último, apague a linha da partição swap anterior, não criptografada, do arquivo /etc/fstab.

Gerenciamento da raiz  Vamos reiniciar o computador, só para assegurarmos que o Linux crie e ative os sistemas de arquivos. Se tudo funcionar, podemos passar para a tarefa principal: criptografar o sistema de arquivos raiz.  Ao contrário do /tmp e da swap, o sistema de arquivos raiz é permanente: isto é, ele não é recriado a cada reinicialização. A raiz é criada uma vez e montada na inicialização. Precisamos de alguma funcionalidade estendida do LUKS (do cryptsetup-luks) nesse momento, e o procedimento é um pouco diferente. Os parâmetros a seguir criam um cabeçalho LUKS em /dev/hda3; o LUKS usa o algoritmo de criptografia AES, com um comprimento de chave de 256 bits, e especifica uma senha: cryptsetup-luks -c aes-cbc-essiv:sha256 -y -s 256 luksFormat /dev/hda3

➥

 Agora crie um dispositivo de blocos virtual, /dev/mapper/dm-root, que será mapeado na partição /dev/hda3. O cryptsetup pedirá a senha recém-configurada. Depois, prossiga formatando o dispositivo de blocos virtual (com Ext3 em nosso exemplo) e monte o dispositivo: cryptsetup-luks luksOpen /dev/hda3 dm-root mkfs.ext3 /dev/mapper/dm-root mount /dev/mapper/dm-root /mnt

O sistema de arquivos recém-criptografado agora está montado em /mnt, e ainda está vazio. Será necessário inserir seu pendrive inicializável nos próximos passos. Copie a instalação completa da partição /dev/hda4 para /mnt – esse processo criptografa e guarda os dados em /dev/hda3. Não copie os diretórios /boot, /lost+found, /proc, /sys, /tmp e /mnt. Os comandos para copiar são mais ou menos assim: http://www. linuxmagazine.com.br 

Discos rígidos | CAPA

cd /; cp -ax bin dev etc home lib media ➥ opt root sbin usr var /mnt/

 A cópia talvez demore um pouco, pois dois a três GB precisam passar pela camada de criptografia. Ao final, você fica com uma imagem do sistema de arquivos raiz de /dev/hda4 em /dev/hda3. Você pode desmontar manualmente (umount /mnt; cryptsetup-luks luksClose dm-root), e remontar ( crypt-setup-luks luksOpen /dev/hda3 dm-root; mount /dev/mapper/dmroot /mnt) agora.  Agora use o chroot para trabalhar

com o sistema criptografado. Comece configurando os pontos de montagem faltantes, e depois monte o pendrive como /boot.

chroot /mnt mkdir -p /boot /proc /sys /tmp /mnt mount -t proc proc /proc mount -t sysfs sysfs /sys mount /dev/sda1 /boot

Quadro 3: Device mapper, DM-Crypt e Cryptsetup Assim como dispositivos de loop, a infraestrutura do device mapper [2] destaca dispositivos de blocos físicos de dispositivos de blocos virtuais (figura 2). Essa virtualização cria uma camada de abstração que é fortalecida por várias aplicações, sendo o DM-Crypt [1] só uma delas. O DM-Crypt criptografa transparentemente os dados passados pelo dispositivo de blocos virtual e armazena os dados no dispositivo de blocos físico – e vice-versa. O dispositivo de blocos físico parece conter lixo – é necessário fornecer a senha correta para montar um sistema de arquivos pelo dispositivo de blocos virtual, para então conseguir utilizar os dados de alguma forma. A ferramenta de espaço de usuário cryptsetup é necessária para configurar o DM-Crypt; os dispositivos de blocos virtuais são configurados no diretório /dev/mapper/. O cryptsetup-luks é uma extensão do cryptsetup, e oferece melhorias, que discutimos em maiores detalhes em [3] – mas, para resumir: P Uma chave aleatória é usada para criptografar os dados; a chave é armazenada no cabeçalho LUKS da partição – criptografada com a chave gerada a partir da senha. Isso dá ao administrador a possibilidade de mudar a senha sem precisar recriptografar toda a partição. P O uso de salting e stretching dificulta os ataques de dicionário sobre as senhas dos usuários. P O ESSIV (Encrypted Salt Sector IV ) dificulta ataques de marca d’água em modo de encadeamento de chaves em blocos ( Cipher Block Chaining ); esse recurso foi introduzido com o kernel 2.6.11.

O embrulho todo

Para permitir que o Linux inicie a partir do sistema de arquivos raiz criptografado, precisamos modificar o initrd conforme descrito a seguir. O programa cryptsetup-luks e os móSe você agora tentasse iniciar a partir do pendrive, com o sistema de dulos de kernel necessários precisam ser arquivos raiz ainda em /dev/hda3 , ou / de-referenciados no initrd. O init deve carregar os módulos do dev/mapper/dm-root, não daria certo, pois o programa init (que é parte do initrd) kernel e montar o dispositivo de blocos não conseguiria lidar com o sistema virtual /dev/mapper/dm-root como sistema de arquivos raiz de forma alguma: a de arquivos raiz. partição /dev/hda3 pareceria conter só Dependendo do estado da integração lixo, e o dispositivo virtual /dev/mapper/ do cryptsetup na sua distribuição, há didm-root ainda não existe. ferentes soluções para isso.

Camada da aplicação

    l    e    n    r    e     K    o     d    a     d    a    m    a     C

dm-root /dev/hda3 none luks,cipher-aes-cbc-essiv:sha256

➥

De forma parecida, mude o sistema de arquivos raiz em /etc/fstab para apontar para /dev/mapper/dm-root: /dev/mapper/dm-root / ext3 defaults 0 1

Ext 2

descriptografado

Dispositivo de blocos lógico:  /dev/mapper/tmp

DM-Crypt

criptografado Camada do hardware

O Debian Sarge oferece um suporte bastante útil. Adicione os módulos aes-i586 e sha256 ao /etc/mkinitd/modules (cada um em uma linha diferente); acrescente a seguinte linha ao arquivo /etc/crypttab já existente:

Ponto de montagem:  /tmp

Camada do sistema de arquivos

Camada de criptografia

Ramdisk no Debian

Dispositivo de blocos físico:  /dev/hda2

Disco Rígido

Figura 2 Acesso aos arquivos em várias camadas – a criptografia pelo LUKS acrescenta uma nova camada, que se localiza entre o sistema de

arquivos lógico e o hardware (acesso ao disco rígido).

Linux Magazine #25 | Novembro de 2006

41

CAPA | Discos rígidos

Depois execute yaird -o /boot/initrd para criar um initrd funcional no pendrive. O yaird ( yet another initrd) substitui a ferramenta mkinitrd padrão, que não consegue lidar com sistemas de arquivos raiz criptografados no Debian.

Ramdisk no Suse

No Suse Linux é preciso acrescentar os módulos de kernel necessários dm-mod, dmcrypt, aes-i586, sha256 e ext3, usando o parâmetro INITRD_MODULES do arquivo /etc/ sysconfig/kernel. (Os nomes dos módulos devem estar separados por espaços). Mais alterações são necessárias ao programa /sbin/mkinitrd: talvez você queira criar uma cópia de segurança antes de continuar. Na função mkinitrd_kernel , procure as linhas que copiam /sbin/ insmod para o ramdisk; dependendo da sua versão do Suse, eles podem ser um pouco diferentes. No Suse Linux 10.1, as linhas são assim:

Quadro 4: Segurança básica Criptografar o disco rígido do seu laptop é só uma camada de uma política de segurança muito mais abrangente – e não substitui uma política de segurança, pois só protege os dados enquanto o computador estiver desligado. Se você perder seu laptop após digitar as senhas corretas e com uma sessão de usuário rodando Linux no sistema, um atacante conseguirá obter o mesmo nível de acesso que teria a uma máquina desprotegida. Esse alerta também se aplica a ameaças vindas da Internet, pressupondo que o laptop a acesse. Programas maliciosos obtêm acesso irrestrito a seus dados assim que conseguem acessar o sistema. Em outras palavras, este tutorial não pode oferecer segurança absoluta; mas seguir essas regras pode mantê-lo o mais seguro possível: ➧

Guarde o laptop e o pendrive separadamente.

➧

Configure uma senha de inicialização e uma de supervisor na BIOS do laptop; só permita que o boot seja feito por um pendrive específico.

➧

Use senhas robustas, e mude-as em intervalos regulares.

➧

Não trabalhe com privilégios de root se puder evitar.

➧

Use uma configuração pessoal restritiva de firewall.

➧

Use pelo menos um antivírus com assinaturas de vírus atualizadas.

➧

Configure um protetor de tela protegido por senha, e deixe-o entrar em ação automaticamente.

➧

Busque entradas suspeitas em seus arquivos de log regularmente.

➧

Busque e instale  patches e atualizações de segurança para todos os softwares que você usa.

➧

Faça cópias de segurança de seus dados em intervalos regulares; mantenha os backups em um lugar seguro.

42

Figura 3 Depois de completar as operações, você deve ver três sistemas de arquivos

criptografados em /dev/maper e na tabela de montagens. Para apagar a informação em texto puro remanescente, crie uma partição /home criptografada no hda4. if ! cp_bin $initrd_insmod ➥ $tmp_mnt/sbin/insmod 2>/dev/null ; then error 5 “no static insmod” fi

initrd (hd0,0)/initrd

Reinicie o laptop. Assegure-se de que você configurou o dispositivo USB  Acrescente a seguinte linha imedia- como dispositivo de inicialização padrão tamente abaixo disso: na ordem de inicialização da BIOS. O cryptsetup-luks agora pedirá a senha para cp_bin /sbin/cryptsetup-luks o sistema de arquivos raiz e, assim que $tmp_mnt/sbin/ 2>/dev/null || você responder com a senha certa, entraerror 5 “no static cryptsetup-luks” rá na tela de login. Executar mount apaga qualquer resquício de dúvida ( figura 3). Na função udev_discover_root, acrescen- Se isso não funcionar, tente iniciar sem te o seguinte como primeiro comando: o pendrive: você ainda deve ter o sistema Linux não criptografado no disco rígido, | echo “Usando o dispositivo LUKS e pode começar a resolver os problemas $rootdev. Digite a senha agora.” a partir daqui. | /sbin/cryptsetup-luks luksOpen /dev/hda3 ➥ ➥

➥

➥

dm-root

Depois, você só precisa mudar a entrada para o sistema de arquivos raiz para /dev/mapper/dm-root (para o sistema de arquivos Ext3) em /etc/fstab. Finalmente, execute o comando /sbin/mkinitrd -o / boot/initrd para criar um novo ramdisk inicial no pendrive.

Montagens

 Antes de reiniciar, modifique o arquivo /boot/grub/menu.lst em seu pendrive. Mude o parâmetro root do kernel na entrada do menu que inicia o sistema Linux, fazendo-o apontar para o dispositivo de blocos virtual /dev/mapper/dm-root. Também será necessário modificar a entrada do initrd para /boot/initrd . Uma entrada típica seria assim: title Suse Linux 10.0 (USB-Boot, ➥ Raiz criptografada) kernel (hd0,0)/vmlinuz ➥ root=/dev/mapper/dm-root

 Ajuste fino

Se tudo isso funcionar, você não precisará mais do sistema de arquivos raiz não criptografado do /dev/hda4. Apague os dados dessa partição e use o cryptsetup-luks para especificar outro sistema de arquivos criptografado chamado / dev/mapper/dm-home . Formate a partição e monte-a em /home. Depois, crie todos os usuários que precisar; seus diretórios home serão automaticamente criptografados em /dev/hda4. Uma desvantagem disso é que swap criptografada e a suspensão para o disco são mutamente exclusivas – portanto, certifique-se de desativar o segundo (se existir, apague o parâmetro do kernel resume=/dev/hda1 do /boot/grub/menu.lst.) O Suspend2 [6] é uma alternativa que suporta a suspensão para o disco com uma partição swap criptografada; entretanto, isso significa aplicar patches e compilar o kernel “oficial”.  Você não precisará do pendrive enquanto o laptop estiver rodando, http://www. linuxmagazine.com.br 

Discos rígidos | CAPA

contudo, é essencial plugá-lo para as atualizações do kernel, pois o mkinitrd ou o yaird tentará instalar o novo initrd no pendrive. Para se manter seguro, faça uma cópia do pendrive antes de atualizar seu kernel, ou adicione uma entrada ao sistema funcional anterior na sua configuração do GRUB. O Kernel 2.6.13 sofreu algumas modificações do Udev que podem impedir o initrd de funcionar como pretendido. O yaird não tem esse problema. Para ficar realmente seguro, crie um Live CD com suporte ao LUKS. Você poderá usar o CD para montar manualmente e fazer cópias de segurança das partições criptografadas. Os usuários do Suse devem tomar cuidado com as atualizações que o YaST  faz do mkinitrd. Faça backups das alterações do LUKS ao script /sbin/mkinitrd e compare-as com a nova versão após atualizar o mkinitrd.

Conclusões

 Ao longo deste tutorial, criptografamos todo o disco rígido, exceto a MBR. O pendrive é necessário para inicializar. Isso oferece aos viajantes uma boa dose de segurança passiva. Mas ainda é importante utilizarmos medidas comuns de segurança e proteção (veja o quadro  4: Segurança básica). ■

Mais Informações [1] DM-Crypt:http://www.saout.de/ misc/dm-crypt [2] Página de recursos do Device mapper: http://sources.redhat.com/dm [3] “Mensagem secreta”, por Clemens Fruhwirth e Markus Schuster, Linux Magazine 15, dezembro/2005, pág. 64. [4] Linux Unified Key Setup (LUKS): http://luks.endorphin.org/ dm-crypt [5] Peter Gutmann, “Secure Deletion of  Data from Magnetic and Solid-State Memory” (em inglês): http://www.cs.auckland.ac.nz/ ~pgut001/pubs/secure_del.html [6] Suspend 2: http://www.suspend2.net [7] Wipe – Apagamento seguro de arquivos: http://wipe.sourceforge.net [8] Script Luksopen no wiki do DM-Crypt: http://www.saout.de/tikiwiki/ tiki-index.php?page=luksopen [9] Script de shell cryptfs: http://www.linux-magazine.com/ Magazine/Downloads/72/DM-Crypt [10] Clemens Fruhwirth: “New Methods in Hard Disk Encryption” (em inglês): http://clemens.endorphin.org/ nmihde/nmihde-A4-ds.pdf

Exemplo 1: Criando a Swap e o /tmp 01 02 03 04 05 06 07 08 09 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29

# swapoff -a # cryptsetup-luks -s 256 /dev/urandom create swap /dev/hda1 # ls -l /dev/mapper/ total 124 crw------- 1 root root 10,63 Apr 3 2006 control brw-r----- 1 root root 253,0 Apr 2 23:53 swap # mkswap /dev/mapper/swap Setting up swapspace version 1, size = 1019895 kB # swaoib /dev/mapper/swap # cat /proc/swaps Filename Type Size Used Priority /dev/mapper/swap partition 995988 0 -3 # swapoff /dev/mapper/swap # cryptsetup-luks remove swap # cat /proc/swaps # # cryptsetup-luks -s 256 -d /dev/urandom create tmp /dev/hda2 # mkfs.ext2 /dev/mapper/tmp mke2fs 1.36 (05-Feb-2005) [...] # mount /dev/mapper/tmp /tmp # ls -l /tmp/ total 17 drwx------ 2 root root 12288 Apr 2 23:55 lost+found # umount /tmp cryptsetup-luks remove tmp ls -l /dev/mapper total 124 crw------- 1 root root 10,63 Apr 3 2006 control

Linux Magazine #25 | Novembro de 2006

43

Queimando discos com um sistema de arquivos criptográfico

Escondendo o jogo Um disco rígido criptografado no seu servidor não serve de nada se os dados confidenciais de CDs ou DVDs caírem nas mãos erradas. Mostraremos  algumas soluções convenientes  para criptografar seus dados em mídias removíveis.  por Matthias Jansen

   A    P    A    C

 u  x c . h  w . s  w  w  o –  ie l m    l  g  G u  i d e  D a v

T

alvez você já armazene seus dados importantes em uma área criptografada do disco rígido. Se você ainda não faz isso, é bom começar logo após terminar de ler esta revista. Se você usa seus dados também fora do trabalho e de casa, pode ser bom guardar uma “foto” deles num CD ou copiar seus arquivos para um pendrive. Mas é importante preocupar-se com o risco de carregar seus dados com você por aí. Pendrives são usados exatamente como discos rígidos externos, então proteger um pendrive com criptografia é bastante fácil. Criptografar CDs e DVDs é mais difícil, mas ainda há algumas opções. Este artigo explora duas úteis técnicas para armazenar dados criptografados num CD ou DVD. O jeito mais fácil de guardar dados criptografados num CD é usar o GPG ou outra ferramenta semelhante para criptografar os arquivos individualmente

e guardá-los normalmente na mídia. Essa solução funciona com vários aplicativos, e oferece um nível adequado de segurança, mas os riscos aparecem quando se olha de perto. Um usuário conseguiria descriptografar manualmente o arquivo e guardar temporariamente o texto em um local gravável. Como ambos os atos de cifrar e decifrar o arquivo por criptografia são feitos de forma casual, sem os benefícios de um sistema de arquivos criptografado para garantir a segurança, essa opção poderia resultar em várias versões do arquivo separadas – alguns criptografados e outros descriptografados.  Além da desvantagem das múltiplas rodadas de cifragem e decifragem, essa solução também desperdiça espaço em disco. Uma solução mais simples – a de despejar o conteúdo do dispositivo de blocos criptografado em um disco – também parece ser utilizável. Infelizmente, par-

tições de menos de 8 GB (ou seja, que caberiam em um DVD de dupla camada) são raras hoje em dia. Portanto, é necessário distribuir a partição ao longo de diversos discos. Para ler a imagem, o usuário tem que juntar novamente os pedaços. Mais uma vez, essa solução desperdiça espaço em disco, embora ao menos evite o problema de múltiplos ciclos de cifragem e decifragem. Este artigo examina outras duas soluções para o problema da criptografia de CDs e DVDs. A primeira técnica utiliza uma extensão criptográfica da ferramenta cdrecord. O outro método usa o AES Pipe, uma ferramenta que oferece criptografia  AES a uma corrente de dados arbitrários. Essas técnicas oferecem criptografia transparente para o acesso de leitura, e são quase tão rápidas quanto um sistema de arquivos criptografado, embora não seja possível modificar o CD depois.

Exemplo 1: Patch de criptografia 01 02 03 04 05

44

wget ‘ftp://ftp.berlios.de/pub/cdrecord/cdrtools-2.01.tar.bz2’ wget ‘http://burbon04.gmxhome.de/linux/files/cdrtools-2.01-encrypt-1.0rc2.diff.gz’ tar xjvf cdrtools-2.01.tar.bz2 cd cdrtools-2.01 zcat ../cdrtools-2.01-encrypt-1.0rc2.diff.gz | patch -p1

http://www. linuxmagazine.com.br 

CDs e DVDs | CAPA

Exemplo 2: OSS DVD e criptografia 01 02 03 04 05 06 07

wget ‘ftp://ftp.berlios.de/pub/cdrecord/alpha/cdrtools-2.01.01a05.tar.bz2’ wget ‘http://www.crashrecovery.org/oss-dvd/cdrtools-2.01.01a05-ossdvd.patch.bz2’ wget ‘http://crashrecovery.org/oss-dvd/cdrtools-2.01.01a01-encrypt-1.0rc1.diff.gz’ tar xjvf cdrtools-2.01.01a05.tar.bz2 cd cdrtools-2.01.01 bzcat ../cdrtools-2.01.01a05-ossdvd.patch.bz2 | patch -p1 zcat ../cdrtools-2.01.01a01-encrypt-1.0rc1.diff.gz | patch -p1

Rápido como um raio

 A primeira solução criptografa os dados diretamente enquanto grava a mídia com a ferramenta cdrecord. Maximilian Decker escreveu um patch [1] para o programa de gravação de CDs de Jörg Schilling para que ele suportasse essa forma de criptografia. O trecho contido no exemplo 1 mostra como aplicar o patch. O executável resultante permite que os usuários forneçam uma chave para a sessão de gravação atual. A ferramenta utiliza criptografia AES de 256 bits em modo CBC (veja o Glossário ).  A versão GPL do cdrecord queima CDs, mas não DVDs. São necessários dois patches para lidar com DVDs, e ambos devem ser modificados para a versão 2.01.01a05 do cdrecord (do ramo alpha da ferramenta). O suporte a OSS DVD [2] acrescenta um recurso para gravar DVDs, e um outro patch de criptografia, disponível no mesmo servidor, oferece a ele a capacidade de criptografia (exemplo 2).  A necessidade de aplicar patches ao cdrecord é a única desvantagem dessa solução. A boa notícia para os usuários do Gentoo Linux é que eles só precisam ativar o termo USE onthe-fly-crypt ao fazer o emerge de appcdr/cdrtools . mkisofs

cdrecord

Exemplo 3: Variante antiga 01 02 03 04 05 06 07 08 09 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26

# mkisofs -J -R ~/dados/ | cdrecord dev=/dev/hda -encrypt -encstyle=old -encpass= [...] NOTE: this version of cdrecord is an inofficial (modified) release of cdrecord and thus may have bugs that are not present in the original version. Please send bug reports and support requests to . For more information please see http://burbon04.gmxhome.d e/linux/CDREncryption.html. The original author should not be bothered with problems of this version. [...] Starting to write CD/DVD at speed 48 in real TAO mode for single session. Last chance to quit; starting real write 0 seconds. Operation starts. Turning BURN-Free off Using aes-256-cbc encryption with plain password, plain IV. (e.g. cryptoloop >2.4.22, 2.6). [...] Track 01: Total bytes read/written: 42958848/42958848 (20976 sectors). # mount -t iso9660 /dev/cdrom /media/crypt -o encryption=aes256 # ls /media/crypt cat.mpeg funny_cats.wmv newsreportfromIraq.wmv Karate_Beetle.avi German_Engineering_Arab_Te chnology.wmv sexy_nutcracker.mpg felina_in_the_snow.mpg noteastgermany.mpg Languageproblems.mpg

Gravação críptica

Ela usa o CBC para combinar 16 desses pacotes e criar um bloco de 512 bytes, e depois para combinar quatro desses blocos para criar um de 2048 bytes, que o cdrecord finalmente grava no CD.  A restrição a unidades de 512 bytes restringe a solução ao modo 1 do CD, que armazena blocos de exatamente 2048 bytes. O modo 2 utiliza blocos de 2352

Nos dois casos, o patch criptográfico estende a função write_track_data() (figura 1). Essa função grava o buffer interno num CD ou DVD. O patch usa a implementação GPL de AES feita pelo Dr. B. R. Gladman [3] para cifrar dados, dividindo-os em pacotes de 256 bits (32 bytes) cada, e aplicando uma chave de 256 bits. write_track_data()

-encrypt?

não

write_buf()

CD/DVD

sim enc_buf() Figura 1 Dependendo do parâmetro -encrypt, a versão com patches do cdrecord passará os dados através de uma etapa de criptografia antes

de gravá-los no CD.

Pacotes necessários Forma de criptografia CD-Record -encstyle=old CD-Record -encstyle=new AES-Pipe

Linux Magazine #25 | Novembro de 2006

Debian – cryptsetup loop-aes-utils, loop-aes-source

Ubuntu – cryptsetup loop-aes-utils, loop-aes-source

Gentoo (USE-flag) old-crypt: util-linux, sys-fs/loop-aes sys-fs/cryptsetup crypt: utils-linux, sys-fs/loop-aes

45

CAPA | CDs e DVDs

Imagem

mkisofs

cdrecord

CD/DVD

dd

Fita

aes_encrypt()

aespipe tar, cpio

Figura 2 O AES Pipe criptografa uma corrente de dados da entrada padrão e a envia à saída padrão, independentemente de qual programa a

tenha criado. Dessa forma, é possível usar o AES Pipe para criar scripts que usem outros comandos de gravação de CD.

Questão de chave

bytes, que não são divisíveis por 512. Para ativar a criptografia, simplesmente use a  A solução distingue entre dois estilos de opção -encrypt. Existem três métodos para chaves. A variante antiga utiliza a chave fornecer a senha necessária: (e quaisquer complementos) diretamente, ➧ Texto limpo (não criptografado): enquanto o novo estilo primeiro aplica um encpass= algoritmo SHA 256 (hash seguro). A dife➧  Valor hex: -encpasshex=70617373776F72 rença fica aparente na criptografia. 64 Dados gravados no CD com uso da ➧  Arquivo: encpassfile=/home/Nome/chave. variante antiga podem ser montados usansecreta (só os primeiros 32 bytes têm do-se o dispositivo crypto-loop. A variante uso) nova cria um CD para o DM-Crypt, o alvo O terceiro método é o preferível. Os criptografado do device mapper . dois primeiros exigem que se guarde a O estilo antigo só é recomendado se o chave no histórico da sua shell e numa sistema alvo estiver rodando um kernel mais lista de processos, onde terceiros pode- antigo. A nova variante DM-Crypt necessita do kernel 2.5.6 ou mais recente, apesar de não riam descobri-la. Se a chave de entrada for curta de- exigir patches. Para o estilo antigo de montagem mais, o patch a completará para atingir segura com o dispositivo crypto-loop, criado 32 bytes. O código interpretará todas as por um AES de 256 bits, são necessários alguns quebras de linha antes do limite dos 32 patches Losetup. Nem todas as distribuições bytes como se fossem parte da chave. oferecem os patches por padrão (veja a tabela Isso pode ser problemático se o usuário Pacotesnecessários ). Versões mais novas dos tentar entrar a chave manualmente du- pacotes incluem aqueles que talvez sejam incompatíveis com a variante antiga. rante a cifragem.

Exemplo 4: Variante nova 01 # mkisofs -J -R /dados/pequeno/Witzig/Videos/ | cdrecord dev=/dev/hda -encrypt encstyle=new -encpass= 02 [...] 03 NOTE: this version is an inofficial (modified) release of 04 cdrecord and thus may have bugs that are not present in the 05 original version. Please send bug reports and support requests to 06 . For more information please see 07 http://burbon04.gmxhome.de/linux/CDREncryption.html. The 08 author should not be bothered with problems of this version. 09 [...] 10 Starting to write CD/DVD at speed 48 in real TAO mode for single session. Last chance to quit; starting real write 0 seconds. Operation starts. 11 Turning BURN-Free off 12 Using aes-256-cbc encryption with sha-256 hashed key, plain IV. (e.g. dm-crypt) 13 [...] 14 Track 01: Total bytes read/written: 42958848/42958848 (20976 sectors). 15 # cryptsetup -r -c aes -s 256 -h sha256 create ecdrom /dev/cdrom 16 # mount -t iso9660 /dev/mapper/ecdrom /media/crypt 17 # ls /media/crypt 18 cat.mpeg funny_cats.wmv 19 newsreportfromIraq.wmv 20 Karate_Beetle.avi German_Engineering_Arab_Technology.wmv 21 sexy_nutcracker.mpg 22 felina_in_the_snow.mpg noteastgermany.mpg 23 Languageproblems.mpg 24 #

46

Escolha o novo

Se o seu kernel for compatível com DMCrypt, prefira a variante nova. O exemplo 3 oferece todo o procedimento, desde a gravação até a montagem com a solução antiga, e o procedimento para a solução nova é mostrado no exemplo 4 . As primeiras linhas de ambos os exemplos criam um sistema de arquivos ISO e o passam ao cdrecord. O parâmetro para a variante antiga é encstyle=old (exemplo 3); na variante nova, é -encstyle=new. Nos dois casos, -encrypt ativa a criptografia.  As diferenças ficam aparentes ao montar um CD criptografado. O exemplo 3 usa um comando mount estendido ( linha 15), enquanto a variante do exemplo 4 chama o Cryptsetup (linha 15) para se preparar para montar através do device mapper (linha 16). Note que o parâmetro -r (somente leitura) não está disponível na versão atual (0.1) do Cryptsetup. Sem essa opção, o Cryptsetup se recusará a criar o mapeador para mídias protegidas contra gravação. Para evitar o uso da versão do CVS, pode-se mapear o CD em um dispositivo de loop, usando-se o comando losetup para contornar o problema, e usar o Cryptsetup. (Veja o exemplo 5, linha 9).

Entraves

Um possível entrave do método do DMCrypt aparece se um arquivo for usado para passar a chave ao Cryptsetup. O Cryptsetup ignorará a opção -h (algoritmo de hash) e aplicará a chave como uma chave de texto limpo sem usar qualquer hash. Diferentemente, o cdrecord intepreta o valor como uma chave, que ele passa através de uma função hash. Para evitar esse problema, talvez você prefira guardar o valor de hash no arquivo em ambos os casos, e usar -encstyle=old ou -encstyle=aes256-cbc-plain no cdrecord. O Cryptsetup então usará a chave do arquivo como desejado. Como esse método criptografa dinamicamente durante o processo de gravação, http://www. linuxmagazine.com.br 

CDs e DVDs | CAPA

Exemplo 5: Novo com losetup 01 02 03 04 05 06 07 08 09 10 11 12 13 14 15 16 17 18

# mkisofs -J -R /dados/pequeno/Witzig/Videos/ | cdrecord dev=/dev/hda -encrypt -encstyle=new -encpass= [...] Starting to write CD/DVD at speed 48 in real TAO mode for single session. Last chance to quit, starting real write 0 seconds. Operation starts. Turning BURN-Free off Using aes-256-cbc encryption with sha-256 hashed key, plain IV. (e.g. dm-crypt) [...] Track 01: Total bytes read/written: 42958848/42958848 (20976 sectors). # losetup /dev/loop0 /dev/cdrom # cryptsetup -c aes -s 256 -h sha256 create ecdrom /dev/loop0 # mount -t iso9660 /dev/mapper/ecdrom /media/crypt # ls /media/crypt cat.mpeg funny_cats.wmv newsreportfromIraq.wmv Karate_Beetle.avi German_Engineering_Arab_Technology.wmv sexy_nutcracker.mpg felina_in_the_snow.mpg noteastgermany.mpg Languageproblems.mpg

é facilmente integrado a programas que usam o cdrecord para esse fim. A única coisa necessária é adicionar os argumentos à linha de comando do cdrecord como parâmetros definíveis definíveis pelo usuário. Se você não puder modificar o cdrecord, provavelmente vai preferir o segundo método, que usa o programa AES Pipe [4]. Utilize qualquer software de gravação para jogar a imagem criptografada pelo  AES Pipe em um CD ou DVD.

Pipes cifrados

O AES Pipe criptografa uma corrente arbitrária de dados da entrada padrão e envia os resultados para a saída padrão (figura 2). A saída do mkisofs é adequada para isso. O programa usa o modo CBC e junta 16 pacotes de 32 bits para formar blocos de 512 bytes. Exatamente como a versão com patches do cdrecord, esse método só é útil para CD modo 1. Chaves de comprimento 128, 192 e 256 bits são suportadas, assim como várias funções de hash. Se você não der outra ordem, o AES Pipe usa como padrão o algoritmo AES com uma chave de 128 bits e SHA256 como algoritmo de hash da chave. A linha 1 do exemplo 6 mostra a versão mais simples com entrada de senha simples ( linha 2). A senha deve conter pelo menos 20 caracteres. A  linha 8 mostra que os resultados podem ser montados. O AES Pipe tem ainda uma opção -K para passar um arquivo cifrado por GPG como chave (exemplo 7). Esse método oferece aos usuários a oportunidade de transportar chaves de forma segura – em pendrives, por exemplo. Um ladrão precisaria do CD criptografado, da senha, do pendrive e da outra senha (mantra) da chave. Linux Magazine #25 | Novembro de 2006

 A variante GPG adiciona a possibilidade de especificar múltiplas senhas para um CD. Para isso, você precisaria guardar a chave principal em múltiplos arquivos GPG e protegê-los com diferentes senhas. Você poderia até publicar uma nova senha sem a necessidade de queimar queimar um novo CD, caso um usuário esquecesse esquecesse sua senha. Esse método também suporta o envio seguro de mídias de armazenamento por email, caso você use criptografia por Chave Pública para proteger o arquivo GPG. Melhorando essa idéia, os administradores conseguiriam gravar o arquivo GPG no início do CD ( exemplo 8). Isso significaria colocar a chave de criptografia no CD a ser criptografado, mas proteger a chave com uma senha robusta. Para isso, os administradores administradores precisariam criar uma senha de comprimento fixo (linha 1) com o arquivo GPG no início ( linha 2), e então colocar no final a imagem cifrada (linha 3), antes de gravar os resultados em um CD ou DVD ( linha 4).  Ao mont ar o CD, o usuário usuár io especifica a unidade de CD tanto como

fonte quanto como dispositivo (linha 8 ). Um “pulo” de 8192 bytes (16 vezes 512) permite que o mount encontre o início dos dados criptografado s. Veja Veja em [5] um script de bash que combina os principais passos. Essa solução acrescenta mais uma dependência além daquelas da tabela Pacotes necessários (GPG), e será necessário aplicar patches ao losetup e às ferramentas mount. A maioria das distribuições já possui o suporte necessário embutido. ➧

Glossário AES: O Advanced Encryption Standard (ou algoritmo de

Rijndael) é uma cifra de bloco simétrica que suporta tamanhos de blocos e chaves de 128, 192 e 256 bits. CBC: O Cipher Block Chaining  associa cada bloco criptografado com o bloco criptografado logo antes. antes. Isso torna impossível decifrar um bloco sem conhecer o bloco anterior. anterior. A vantagem disso é que dois blocos de texto limpo com o mesmo conteúdo produzirão diferentes textos cifrados. Isso ajuda a esconder padrões recorrentes do texto original. IV: O vetor de inicialização oferece um valor de salt

ao CBC. A primeira rodada não possui um valor anterior com o qual trabalhar, e portanto usa o IV no lugar.

Exemplo 6: AES Pipe com senha 01 02 03 04 05 06 07 08 09 10 11 12 13 14 15

# mkisofs -J -R . | aespipe | cdrecord dev=/dev/hdd Password: cdrecord: Asuming -tao mode. cdrecord: Future versions of cdrecord may have different drive dependent defaults. Cdrecord-Clone 2.01.01a06 (x86_64-unknown-linux-gnu) Copyright (C) 1995-2006 Jörg Schilling [...] Track 01: Total bytes read/written: 475136/614400 (300 sectors). # mount -t iso9660 /dev/hdd /mnt/crypted -o loop,encryption=AES128 Password: # ll /mnt/criptografado/ total 22 drwxr-xr-- 2 maz network 2048 1. Apr 20:21 Imagens -rw-r--r-- 1 maz network 18064 25. Jul 12:35 Cripto-CD.txt -rw-r--r-- 1 maz network 349 8. Jan 2006 distris.txt -rw-r--r-- 1 maz network 649 30. Mar 20:23 patch.txt

47

CAPA | CDs e DVDs

Exemplo 7: AES Pipe, GPG e gravação 01 02 03 04 05 06 07 08 09 10 11 12 13

# yes “” | dd of=image.iso bs=512 count=16 # head -c 2925 /dev/urandom |uuencode -m - |head -n 66 |tail -n 1 |gpg --symmetric -a |dd of=image.iso conv=notrunc # mkisofs -iso-level 3 -l -r /daten/ | aespipe -e aes256 -w 5 -K image.iso -O 16 >> image.iso # growisofs -dvd-compat -Z /dev/dvdrw=image.iso [...] # mount -t iso9660 /dev/hdd /mnt/crypted -o loop,gpgkey=/dev/hdd,enc ryption=AES256,offset=8192 Password: # ll /mnt/crypted/ total 22 drwxr-xr-- 2 maz network 2048 1. Apr 20:21 Imagens -rw-r--r-- 1 maz network 18064 25. Jul 12:35 Crypto-CD.txt -rw-r--r-- 1 maz network 349 8. Jan 2006 distris.txt -rw-r--r-- 1 maz network 649 30. Mar 20:23 patch.txt

Não só discos

dem a capacidade de ser montados por O AES Pipe criptografa qualquer corrente losetup. Se você precisar comprimir de dados, então é possível criar arquivos dados, faça-o na camada do sistema tar cifrados: de arquivos.

tar cj /data | aespipe > data.tar.bz2.enc aespipe -d < data.tar.bz2.enc | tar xj

Becapes em tar criptografados são outra boa idéia: tar cj /data |aespipe |dd of=/dev/st0 ➥ bs=56 dd if=/dev/st0 bs=56 |aespipe -d |tar tj

O AES Pipe ainda suporta compressão por Bzip2. A compressão só faz sentido se ocorrer antes da cifragem, já que não existe uma forma de compactar dados criptografados. Além disso, essa variante variante evita avisos do t ar a respeito de dados de lixo. Mensagens como bzip2: (stdin): trailing garbage after EOF ignored aparecem porque o  AES Pipe usa um tamanho tam anho de bloco fixo de 16 bytes e preenche os bytes faltantes com valores nulos. Isso confunde o tar e a função Bzip2.  A compress comp ressão ão não funciona funci ona com imagens ISO, pois CDs e DVDs per-

Paranóia

O AES Pipe possui várias configurações para dificultar a vida de atacantes potenciais. Por Por exemplo, pode-se usar 64 chaves de criptografia. No modo Multi-Key (multi-chave), (multi-chave), o programa cifra o primeiro setor com a primeira chave, o segundo setor com a segunda chave e assim por diante. Em vez do vetor de inicialização (IV, Initialization Vector , veja o Glossário ), ele usa um IV com Hash MD5. Entretanto, esse modo só funciona em combinação com um arquivo criptografado por GPG. O modo multi-chave é usado automaticamente se o arquivo GPG contiver pelo menos 64 chaves, com no mínimo 20 caracteres cada, separadas por linhas novas. Outra forma de dificultar ataques at aques de força bruta é passar chaves através de vários milhares de rodadas de AES, nas quais o parâmetro -C fator especifica o número de milhares. Essa solução aumenta a carga sobre a CPU antes da crip-

Exemplo 8: AES Pipe com uma chave GPG 01 02 03 04 05 06 07 08 09 10 11 12 13 14 15

# mkisofs -J -R . | aespipe -K ~/teste.gpg | cdrecord dev=/dev/hdd Password: cdrecord: Asuming -tao mode. cdrecord: Future versions of cdrecord may have different drive dependent defaults. Cdrecord-Clone 2.01.01a06 (x86_64-unknown-linux-gnu) Copyright (C) 1995-2006 Jörg Schilling [...] Track 01: Total bytes read/written: 475136/614400 (300 sectors). # mount -t iso9660 /dev/hdd /mnt/crypted -o loop,encryption=AES128 Password: # ll /mnt/crypted/ total 22 drwxr-xr-- 2 maz network 2048 1. Apr 20:21 Imagens -rw-r--r-- 1 maz network 18064 25. Jul 12:35 Crypto-CD.txt -rw-r--r-- 1 maz network 349 8. Jan 2006 distris.txt -rw-r--r-- 1 maz network 649 30. Mar 20:23 patch.txt

48

tografia, mas também dificulta bastante a tentativa de diferentes diferentes chaves por um eventual atacante. O programa também usará uma semente, especificada pelo parâmetro -S, se necessário. No entanto, nenhum desses dois dois modos funcionará no modo multichave. multichave.

Conclusões

Tanto a versão modificada do cdrecord quanto a combinação da versão não modificada com o AES Pipe são úteis para criar discos criptografados e montá-los transparentemente no sistema de arquivos. Graças a sua natureza genética, o AES Pipe oferece mais opções. Por outro lado, o patch do cdrecord é difícil de superar quanto à amistosidade com o usuário, principalmente se considerarmos a facilidade com que ele se integra a interfaces gráficas de gravação como o K3B. Mas certifique-se de usar a variante -encstyle=new para evitar incompatibilidades. ■

Mais informações [1] Maximilian Decker, “On-the-fly encryption for cdrecord/cdrtools”: cdrecord/cdrtools”: http://burbon04.gmxhome.de/ linux/CDREncryption.html [2] Patch de DVD para a versão OSS do cdrecord/cdrtools: http://www.crashrecovery.org/ oss-dvd.html [3] Implementação de AES, do Dr. Gladman: http://fp.gladman.plus.com/AES/ [4] AES Pipe pelo projeto Loop AES: http://loop-aes.sourceforge.net [5] Script de bash para criar uma imagem criptografada: http:// matthiasjansen.de/ ~maz/create_enc_image

http://www. linuxmagazine .com.br   linuxmagazine.com.br 

Gráficos vetoriais em pseudo-3D

Quase real

A N Á  L  I    S  E 

Gráficos vetoriais são parecidos com revistas em quadrinhos:  apesar de você conseguir conseguir usar   sombras e luzes, é mais ou menos impossível atingir um realismo fotográfico. Mas tudo isso pode mudar, agora que o  Xara LX foi liberado como como um  produto de código código aberto.  por Peter Kreussel  Kreussel 

S

e você comparar o esforço envolvido em desenhar uma cena 3D usando um papel com a abordagem da modelagem 3D, rapidamente descobrirá que é mais rápido fazer as coisas do jeito antigo. O mais perto p erto que se consegue chegar da sensação do papel-elápis num computador é usar uma mesa de desenho com um editor de bitmaps como o GIMP. Mas com gráficos vetoriais, que são livremente escaláveis sem afetar a qualidade, os artist as geralmente acham difícil implementar gradientes de luz ou sombras. Os aplicativos gráficos vetoriais como o Inkscape só oferecem gradientes lineares, radiais e cônicos, que não são adequados para a tarefa de retratar uma visão realista de objetos de formas mais complexas. O programa profissional Adobe Illustrator  inclui uma ferramenta Gradient mesh, que possibilita a composição de gradientes complexos. Ele divide os objetos em uma grade com campos que permitem ao artista conferir diferentes valores de cores – o Illustrator, depois, calcula as transições suaves. Porém, independente do poder dessa ferramenta, ela não é especialmente especialmente adequada para alcançar efeitos de luz realistas. Linux Magazine #25 | Novembro de 2006

esperar uma ferramenta confiável que supra uma demanda profissional para daqui a aproximadamente um ano.  A página página possui um arquivo binário e um autopackage do Xara LX  [2]. O código-fonte e as instruções para acessar o repositório Subversion estão disponíveis em [3]. O Xara depende dos wxWidgets para ser compilado, que você deve comNo final de 2005, os desenvolvedores de- pilar antes de instalar o Xara, caso ainda cidiram cidiram liberar uma versão gratuita e de não esteja instalado em seu sistema. código aberto do programa comercial do Windows, Xara Xtreme, para Linux e Mac OS. O Xara LX possui todos os princi-  Ao iniciar o Xara LX pela primeira vez, pais recursos do programa para Windows, talvez você pergunte como um programa com exceção de tecnologias licenciadas, com uma interface tão simples poderia como paletas Pantone. De acordo com pensar em criar os desenhos realistas da os desenvolvedores do Xara, a versão 0.7 pasta Examples . A maioria das ferramenest ão disponíveis disponíveis também no atual está “quase completa”. Isso significa tas do Xara estão que quase todas as ferramentas de dese- Inkscape. Em relação ao desenho, não nho incluídas com o Linux funcionam há muitas diferenças entre o Inkscape como nas versões para Windows. e o Xara, apesar de o Xara ter a grande Os esforços de desenvolvimento do vantagem da função Snap to Object. As  Xara LX estão avançando rapidamente. outras diferenças são mais difíceis de Há dois meses, nem havia uma função encontrar; é necessário olhar no Xara as de impressora no Xara LX. Mas agora, o ferramentas Shadow Tool, Transparency website dos desenvolvedores afirma que o Tool e Bevel Tool .  Xara está quase quase completo. Já está está estável  A  Shadow Tool cria uma sombra recomo se esperaria de um aplicativo em alista, exatamente como o Adobe Illusfase beta e, se o porte continuar no mesmo trator. Se você arrastar um objeto com a ritmo de desenvolvimento, poderemos ferramenta, o Xara cria uma sombra que O Xara, que tem uma bagagem de dez anos como programa comercial para a plataforma Windows®, tem grande potencial. Se você não acredita em mim, veja a galeria de imagens na página do programa [1].

 Apresentando o Xara

Simples, mas bom

49

ANÁLISE | Xara LX

superfície do modelo, exatamente como o tiling. O problema que surge dessa abordagem é que as imperfeições baseadas em fotos não podem ser perfeitamente justapostas. ( figura 2, à direita). O Xara resolve esse problema de justaposição aplicando um algoritmo que suaviza os cantos. A opção Repeat inverted remove os cantos em junções (figura 2, à esquerda). Essa solução também está disponível para unidades de bitmap usadas como base para efeitos de transparência ( figura 2, linha inferior, extrema direita). Figura 1 O segredo dos desenhos vetoriais 3D realísticos: diferentes tipos de gradientes

transparentes conferem uma aparência natural ao sombreamento.

reflete a distância a que você arrastou o objeto, usando superfícies curvas suaves para refletir o tipo de sombras que os objetos geram na atmosfera. A sombra contribui enormemente para conferir uma aparência natural aos desenhos. Onde há sombra, obviamente há luz: e a luz incidida sobre os objetos causa seu clareamento. clareamento. Os lados voltados para a fonte de luz aparecem mais claros, enquanto aqueles virados para o outro lado ficam escurecidos. Gradientes de cor, geralmente com formas complexas, existem em todo lugar além das extremidades. extremidades. Naturalmente, os gradientes de cor são extremamente difíceis de representar como vetores. Uma opção para implementar gradientes complexos de cor em gráficos vetoriais utiliza a solução do Adobe Illustrator  gradient mesh . Os gradientes gradientes são implementados como pequenos objetos semitransparentes que se sobrepõem à forma básica.

Em princípio, não há nada para impedir o usuário de usar essa solução com o Inkscape. A grande vantagem vant agem oferecida pelo Xara é uma maior escolha de tipos de gradientes. Além da transparência plana, o programa suporta gradientes com formatos lineares, esféricos, elípticos, cônicos e losangulares ( figura 1).  Além de gradientes gradientes multidimensionais multidimensionais definidos por dois ou mais pontos de referência (linha do meio, direita e extrema direita), o Xara também suporta dois padrões fractais (linha inferior e extrema esquerda). Todos os gradientes de transparência podem ser iterados (linha inferior, esquerda). E o Xara pode converter valores de brilho de bitmaps para transparências de objetos (linha inferior, direita). direita).  As superfícies superfícies de modelos modelos 3D realistas realistas geralmente baseiam-se em fotografias: o renderizador aplica um detalhe de tela quadrado que retrata uma imperfeição na

 Aplicações práticas

 A figura 3 mostra um exemplo simples de desenho com efeito espacial: uma maçã com iluminações e sombreamentos que refletem a fonte de luz. As áreas mais claras e escuras são fáceis de desenhar com a ferramenta Mão livre (à direita na figura), e é possível colori-las para refletir a iluminação do ambiente. A função de pena (que suaviza os cantos), em combinação com um gradiente elíptico, cujo formato pode ser controlado interativamente pelo centro e os dois raios, oferece transições suaves. É assim que se alcança o visual realista da iluminação, e o leve sombreamento da superfície inferior da maçã.  A ferramenta de sombras permite que se adicione a sombra que uma maçã de verdade criaria na superfície sob ela. Para atingir o efeito de texturização, usei uma foto de um pedaço de madeira. O Repeat inverted suavizou as transições onde as unidades de textura se encontram no efeito de madeira repetido. Todos os desenhos da galeria de imagens do Xara seguem o mesmo princípio

Figura 2 Objetos com um preenchimento baseado em unidades com detalhes de fotos dão ao desenho uma aparência realística depois que o  Xara suaviza os cantos.

50

http://www. linuxmagazine .com.br   linuxmagazine.com.br 

Xara LX | ANÁLISE

Figura 3 O Xara aplica objetos semitransparentes sobre uma forma básica para fazer a iluminação e o sombreamento. Um gradiente de cor

correspondente dá ao desenho um toque de realismo fotográfico.

descomplicado de sobrepor uma forma simples com múltiplos objetos, muitos dos quais transparentes, para refletir o efeito da luz e da sombra no mundo real.  A figura 4 mostra um pequeno trecho de um dos gráficos de exemplo que acompanham a distribuição do Xara.  A camada inferior do capô do Mini azul é um simples gradiente linear. Um pouco de sombreamento e espelhamento habilidosamente criados dão à imagem um acabamento quase perfeitamente realístico. Apesar de ser necessária muita prática e habilidade para criar desenhos realistas como a imagem da figura 4, um fator separa o Xara das ferramentas de modelagem 3D. Enquanto uma ferramenta dessas usa o traçado de raios (raytracing) para calcular sombreamentos e ilumina-

ções perfeitas, o Xara dá ao artista total controle sobre os efeitos. E as poderosas ferramentas de transparência e preenchimento do Xara são o melhor suporte que um artista pode pedir.

os efeitos e gradientes fotograficamente realistas que o programa oferece.  A seção da galeria chamada Business Designs em [1] prova que a versão comercial do Xara é capaz de desenhar produtos absolutamente profissionais, como embalagens e caixas. E o processo de desenvolvimento até agora deixa O Xara traz diversas funções interessantes poucas dúvidas de que a versão livre para o mundo do Linux. O programa não do Xara para Linux em breve também deve ser visto como um concorrente do chegará lá. Aqueles que não necessitam Inkscape. O Inkscape cria gráficos em desses recursos tão sofisticados podem formato SVG, um padrão da Internet, experimentar o Xara LX agora mesmo; e seu pacote agora inclui um editor de afinal, a instalação com arquivos biná XML que suporta manipulações em bai- rios e pacotes autopackage é brincadeira xo nível dos arquivos, e portanto tem seu de criança. ■ próprio público-alvo. Diferentemente de uma ferramenta como o Inkscape, o Xara Mais Informações visa aos artistas gráficos que apreciarão

Conclusões

[1] Galeria de imagens da versão comercial do Xara (Xara Xtreme): http://www.xara.com/gallery [2] Download dos binários: http://www.xaraxtreme.org/ download/ [3] Código-fonte e acesso SVN: http://www.xaraxtreme.org/ developers/general/ source_code__building.html

O autor 

Figura 4 Efeitos de espelhamento no capô de um carro são facilmente emulados com gra-

dientes simples e um pouco de sombreamento manual, supondo que você possua o talento artístico necessário.

Linux Magazine #25 | Novembro de 2006

O Corel Draw foi o programa que capturou o interesse de Peter Kreussel em computadores. Peter fala com felicidade que o Inkscape e o Xara há muito tempo já ultrapassaram o Windows® e os caros programas da Adobe em sua máquina.

51

ANÁLISE | DVD Semestral do Assinante

 As qualidades do desktop corporativo da Novell 

Camaleão de gravata

   E    S    I    L     Á    N    A

O Suse Linux Enterprise Desktop é a versão corporativa da Novell baseada no Open  Suse. Integra recursosos de segurança  avançada (AppArmor) e grandes inovações em usabilidade. Confira se essa é a distribuição certa para sua empresa.  por Pablo Hess

E

scolher uma distribuição para o desktop corporativo é uma tarefa simples, porém não exatamente fácil. Levando em consideração que o usuário corporativo geralmente está profundamente habituado a sistemas Windows®, é importante garantir que ele obtenha a maior funcionalidade possível com uma curva de aprendizado mínima. Entretanto, engana-se quem considera esse um ato de altruísmo. Usuários familiarizados com seu sistema operacional, ou, mais precisamente, com seu ambiente desktop, geram menos chamados de suporte, por exemplo, além de terem sua produtividade aumentada. O Suse Linux Enterprise Desktop 10 (SLED 10), da Novell, visa a facilitar essa

Figura 1 O novo menu do Suse Linux Enterprise Desktop t raz

importantes melhorias em usabilidade.

52

escolha. A extensa análise de usabilidade realizada pela empresa com o projeto Better  Desktop [1] refletiu-se em mudanças na organização do ambiente de trabalho. O novo menu (figura 1) representa uma boa amostra da profundidade dessas alterações.

Instalação

 A instalação do SLED não apresentou qualquer dificuldade. O instalador é o mesmo usado no OpenSuse, sistema comunitário no qual se baseia o SLED. O mesmo DVD de instalação (encartado na edição deste mês da Linux Magazine) permite a instalação por diversos meios, incluindo a instalação pela rede ou através de arquivos gravados no disco rígido. Um fato interessante é a escolha do ReiserFS como sistema de arquivos padrão para a instalação do SLED 10. Após particionar o disco rígido e aceitar as licenças de uso de software da Novell e da Macromedia, o usuário é levado à seleção dos pacotes a serem instalados. A seleção padrão ocupa 2,5 GB. Instalados os pacotes, o programa de instalação possibilita o download e a aplicação automática das atualizações dos pacotes. Para isso, o programa precisa abrir um navegador web, o Firefox. Os drivers proprietários para as placas de vídeo da Nvidia e ATI podem ser baixados logo em seguida. É altamente recomendável realizar esse procedimento durante a instalação do sistema, pois só com esses drivers é possível aproveitar os recursos do Xgl, o servidor X 3D da Novell.

Se o usuário assim desejar, o navegador web, ainda aberto, o leva à página de registro no Novell Customer Center . O registro é simples e gratuito, e dá direito também a atualizar todos os pacotes da distribuição. Infelizmente, o registro gratuito tem validade de apenas 60 dias. Se, ao final do período de avaliação, o usuário julgar interessante adquirir um registro mais duradouro, deve efetuar seu registro no serviço mediante o pagamento de uma taxa.  Após uma reinicialização, o programa pede que se crie um usuário e que se definam as senhas de usuários e de root. É possível também criar um perfil de instalação, o que permite a instalação não assistida em outras máquinas na mesma rede, por exemplo. Esse recurso já existia há algum tempo no Suse, e tem funcionalidade semelhante à do tradicional kickstart, da Red Hat.

Utilização

 Assim como no OpenSuse, o ambiente padrão do SLED 10 agora é o Gnome. Para tirar proveito dos recursos 3D, no entanto, o gerenciador de janelas Metacity foi substituído pelo Compiz, que também se integra com facilidade ao ambiente Gnome. Os efeitos tridimensionais oferecidos pelo Xgl e usados pelo Compiz tornam a experiência do usuário mais interessante. É possível, no entanto, desativar os recursos 3D do Xgl através de janelas, botões e cliques do mouse. Mesmo sem eles, ainda se tem uma boa experiência visual, pois

http://www. linuxmagazine.com.br 

DVD Semestral do Assinante | ANÁLISE

figura 1),

Figura 2 O Beagle mostra os resultados de

sua busca no desktop de forma absolutamente veloz.

e será exibido o programa responsável por essa tarefa. Dessa forma, esse recurso facilita imensamente a vida de todos os usuários, tanto iniciantes quanto experientes.  A área de trabalho do Gnome apresenta por padrão apenas os ícones do diretório pessoal, unidade de disquete e lixeira, além de qualquer unidade de armazenamento (incluindo CDs e DVDs, graváveis ou não) que esteja conectada à máquina.

 Adicionais

o tema padrão, Gilouche, é simples, mas Uma das barreiras para a adoção corporativa mesmo assim atraente e funcional. de desktops Linux costuma ser o suporte (ou O novo menu idealizado pela Novell a falta dele) a macros VB no OpenOffice.org, é a parte do desktop que reserva mais mu- que o torna um substituto considerado infedanças, depois dos efeitos 3D. Contudo, rior ao pacote Office da Microsoft. A Novell diferentemente deste, o novo menu ( fi- também trabalhou com afinco nesse ponto, incluindo em sua versão do conjunto de gura 1) está disponível para todos, e não somente para os proprietários de placas de aplicativos para escritório o suporte a VBA vídeo mais sofisticadas. O menu guarda (Visual Basic para Aplicações). algumas semelhanças com o dos desktops Como se espera de uma distribuição Windows, como a substituição dos três me- com nível profissional, o SLED já traz nus ( Aplicações, Locais e Desktop) por um instalados plugins para reprodução de único (Computador ), além da eliminação conteúdo em Flash, além de muitos outros do painel superior. Todavia, esse conjunto formatos de áudio e vídeo, incluindo MP3, MPEG4, Ogg (Vorbis e Theora) etc. demonstra grande funcionalidade. Outro recurso altamente desejado por usuários iniciantes é a integração do Beagle ao desktop, tanto no menu principal (figura Considerando a realidade da maioria das redes corporativas, é incrível a facilidade 1) quanto de forma independente ( figura 2). Segundo a Novell, os menus atuais, em com que o SLED se embrenha nesse tergeral, consistem de uma lista de aplicativos, reno muitas vezes pedregoso. A integração através dos quais o usuário navega em busca ao Active Directory já funciona logo após a daquele programa que realiza a tarefa dese- instalação. Na verdade, durante a própria jada. A total integração do Beagle ao desktop instalação há opções para selecionar domípermite uma abordagem mais prática. Assim nios Windows ou Active Directory aos quais que o usuário realiza o login, o mecanismo o SLED deve se integrar. Porém, o usuário de indexação de dados do Beagle já entra tem a liberdade de não selecionar domínios em ação. Páginas web, emails, documentos, na instalação, caso prefira realizar esse propastas, enfim, tudo é indexado e mostrado cedimento depois com o auxílio do YaST . de forma milagrosamente rápida após o pres- Com os domínios selecionados, até mesmo sionamento do botão Buscar . É interessante o gerenciador de login, o GDM, apresenta uma lista de domínios para notar também que, assim que se clica em qualquer o usuário fazer login. ícone resultante da busca,  Após o login, já é posé mostrada uma previsão sível navegar por toda a do arquivo, seja ele um rede, seja ela composta documento de texto, uma por máquinas Windows ou arquivo HTML ou uma Linux,montando qualquer compartilhamento remoto imagem. Quando o usuário que se queira. Aderir a uma  VPN também é incriveldesejar procurar um programa que edite armente simples, com um quivos de áudio, poderá assistente bastante competente. simplesmente digitar edit audio na caixa de Figura 3 O ZENworks é responO editor de perfis de sável pela atualização, entrada do Beagle (já usuários Sabayon, avaliainstalação e remoção disponível no menu do do na edição 23 da Linux de pacotes. Magazine ([2]), também Gnome, como mostra a

Na rede

Linux Magazine #25 | Novembro de 2006

53

ANÁLISE | DVD Semestral do Assinante

 YaST 

Figura 4 O YaST presente no  SLED 10 possui organização

diferente da anterior. Agora, os ícones são organizados por tarefa de gerenciamento.

foi incluído no SLED 10. Ele torna prática a tarefa de definir grupos tais como Comercial, Executivo, RH, e assim por diante, estabelecendo as mesmas permissões para todos os usuários de cada grupo, de uma só vez. De forma semelhante, pode-se restringir fortemente as permissões dadas a um usuário, o que é muito útil para a criação de quiosques de informação, por exemplo, nos quais o usuário só deve ter acesso ao mouse e a um navegador.

Pacotes e hardware

O YaST (Yet another Software Tool , mais uma ferramenta de software) era uma ferramenta de importância central nas versões passadas do Suse. O programa era encarregado de gerenciar tanto o software quanto o hardware da máquina, e fazia isso com rara maestria, merecendo assim o papel de estrela maior da distribuição. Não à toa, diversas outras distribuições demonstravam variados graus de inveja em relação a esse item de software tão eficiente. Em 2004, a Novell, pouco depois de adquirir a SuSE GmbH, anunciou a abertura do código do YaST. Com isso, o desenvolvimento do software manteve seu ritmo acelerado, e hoje o YaST é, possivelmente, a ferramenta de gerenciamento de hardware e software mais competente no mundo do Software Livre. No SLED 10, ele assume uma nova organização (figura 4), separada pelas tarefas de gerenciamento.  A nova vida do YaST, no entanto, não significa mais destaque para ele na distribuição. Muito pelo contrário; a Novell optou por esconder o YaST do usuário, colocando em seu lugar o Centro de Controle, disponível a partir do menu principal ( figura 1). O motivo alegado, bastante razoável, é o fato de a palavra “YaST” não ter qualquer significado para quem não tem familiaridade com o Suse. Além disso, o programa é considerado poderoso demais para usuários inexperientes.  Assim, o Centro de Controle, com um nome absolutamente intuitivo, possui somente um subconjunto das funcionalidades do YaST, e essas são organizadas de forma a facilitar a vida dessa categoria de usuários. O YaST, no entanto, continua presente como uma opção do Centro de Controle.

 A administração dos pacotes é realizada com auxílio do ZENworks (figura 3), da Novell. Embora o aplicativo tenha evoluído significativamente desde a avaliação publicada na edição 22 da Linux Magazine ([3]), algumas falhas persistem, e surgiram ainda algumas novas. Uma das falhas diz respeito ao exagero nas dependências para determinados pacotes – o aplicativo exige uma longa lista de pacotes para se instalar determinado aplicativo, quando na verdade somente uma parte deles seria necessária. O gerenciador de pacotes da Novell parece ser o componente mais fraco do poderoso conjunto apresentado pela empresa. Parte do sucesso do YaST deve-se ao SaX  (figura 5), sua ferramenta de gerenciamento de hardware de entrada e saída, como teclado, mouse, placa gráfica e monitor. O SaX  permanece como uma importante força impulsionando o SLED. Essa ferramenta selecionou automaticamente a freqüência do monitor e ofereceu apenas as resoluções corretas, diferentemente de alguns outros aplicativos que apresentam todas as resoluções possíveis e conferem ao usuário a tarefa de saber quais delas são de fato suportadas pela sua placa de vídeo e monitor.  A maior mudança do SaX reside em seu funcionamento interno. Ele agora interage propriamente com o Udev e o HAL, que compõem o novo subsistema O SaX gerencia configurações de vídeo, incluindo de gerenciamento e administração de monitor e placa de vídeo, associado ao YaST . hardware do Linux.

SaX 

Figura 5

54

Segurança

O AppArmor , recurso de segurança avaliado em profundidade na edição 22 da Linux Magazine ([4]), foi finalmente incluído no SLED 10. Entretanto, há uma certa controvérsia acerca disso. Alega-se que esse recurso não é adequado a uma distribuição voltada a desktops, ainda que corporativos. Por outro lado, há quem defenda a idéia de que os documentos pessoais contidos nessas máquinas devem ser mantidos sob a maior privacidade (leia-se, segurança) possível. No caso de servidores, com o SLES (Suse Linux Enterprise Server ), não há qualquer questionamento sobre a utilidade do AppArmor, que protege o sistema até mesmo de falhas de segurança desconhecidas pelos desenvolvedores.

Conclusão

O Suse Linux Enterprise Desktop 10 é um forte candidato à melhor distribuição para desktops corporativos já lançada. Unindo os resultados dos estudos de usabilidade do projeto Better Desktop [1] aos avançados recursos 3D do Xgl, à integração da máquina de buscas Beagle, e ainda ao competentíssimo gerenciamento de hardware e software, há poucos locais não explorados (e melhorados) por essa distribuição. ■

DVD do assinante Prezado leitor da Linux Magazine , Conforme anunciamos em edições anteriores, realizamos a substituição de nossos CDs mensais por DVDs de periodicidade semestral. O primeiro DVD encartado na Linux Magazine, que circula junto com esta edição somente para os assinantes que optaram pela assinatura com DVDs, contém o Suse Linux Enterprise Desktop, da Novell. Os leitores que desejarem assinar a Linux Magazine com o objetivo de receber os DVDs semestrais podem fazê-lo através do site http://www.linuxmagazine.com. br, ou por nosso telefone (11) 2161-5419.

Mais Informações [1] Projeto Better Desktop: http://www.betterdesktop.org [2] Área de trabalho dedicada com Pessulus e Sabayon: Linux Magazine 23, pg. 54, Setembro de 2006 [3] Vai um upgrade?: Linux Magazine 22, pg. 50, Agosto de 2006 [4] Armadura segura: Linux Magazine 22, pg. 34, Agosto de 2006

http://www. linuxmagazine.com.br 

JORGE MADE LINUX FASTER

WE MADE IT ENTERPRISE-WIDER

 Your Linux is ready.

™

Introducing SUSE Linux Enterprise 10 from Novell . Built by a global community and secured, ®

®

supported, tested and proven by Novell. From the desktop to the data center, SUSE Linux Enterprise 10 is the Linux platform that brings discipline to open and innovation to the enterprise. So it’s more than cool and secure. It’s the Linux you’ve been waiting for.

Get it at www.novell.com/linux

Copyright ©2006 Novell, Inc. All rights reserved. Novell, the Novell logo, and SUSE are registered trademarks and This Is Your Open Enterprise, Your Linux is ready, and the gecko logo are trademarks of Novell, Inc. in the United States and other countries. *Linux is a registered trademark of Linus Torvalds. All third-party trademarks are the property of their respective owners. Novell wishes to thank the thousands of developers who contribute to Linux every day.

Gerenciamento dinâmico de dispositivos com o Udev

Quem Udev não teme

   L    A    I    R    O    T    U    T

Depois de três anos em segundo plano, o Udev finalmente superou o  sistema legado Dev-FS. Vamos ver o que há debaixo do capô do sistema de gerenciamento de dispositivos Udev da sua máquina Linux.  por Rene Rebe, Oliver Frommel e Jens-Christoph Brendel 

O

Linux herdou o clássico adágio do Unix, “tudo é um arquivo”. Essa abstração permite que os programas usem os nós de dispositivos (arquivos de dispositivos) para acessar o hardware do computador como se estivessem acessando um arquivo comum. Esses arquivos especiais de dispositivos, que são abertos, lidos, gravados e fechados usando-se as mesmas chamadas de sistema que arquivos texto, são diferenciados por seus nomes, tipos (dispositivos de blocos ou de caracteres), números principais ( major numbers) e números secundários (minor numbers).

56

Estático demais

 Arquivos de dispositivos são criados pelo comando mknod durante a fase de instalação, supondo um gerenciamento como se fazia antigamente. Essa abordagem cria uma entrada permanente no /dev/ para cada dispositivo a que o administrador possa querer se conectar no futuro, o que significa entradas na casa dos milhares. Essa enorme massa de entradas, a maioria inútil para o sistema atual por se referirem a dispositivos que não existem, dificultam muito o acompanhamento da configuração. Por exemplo, a estrutura

de diretórios e arquivos não diz quais dispositivos existem ou quais foram corretamente identificados pelos drivers.  Além disso, nessa abordagem tradicional, a ordem usada pelo usuário para conectar os dispositivos determina qual arquivo de dispositivo o kernel associa a qual dispositivo. O primeiro disco SCSI detectado sempre é mapeado no arquivo de dispositivo /dev/sda, por exemplo; o próximo disco é mapeado em /dev/sdb, e assim por diante. Essa abordagem pode significar que o mesmo dispositivo é acessível através de diferentes arquivos de dispositivo em momentos diferentes, http://www. linuxmagazine.com.br 

Udev | TUTORIAL

Detalhes do hotplug

/sbin/hotplug.

Para fazer com que o gerenciamento dinâmico de dispositivos funcione, o kernel Linux precisa ter a opção CONFIG_HOTPLUG ativada; as principais distribuições utilizam essa opção por padrão. Quando um driver de dispositivo adiciona ou remove o que chamamos de Kob ject , o kernel envia mensagens com esse aviso para o daemon do Udev , ou executa o programa residente em /proc/sys/kernel/hotplug chamando a função kset_hotplug (o código-fonte está em lib/kobject.c). Esse programa costumava ficar em /sbin/hotplug, e depois mudou-se para /sbin/udevsend, antes de ser excluído das versões mais recentes. A classe do subsistema é passada como um argumento. As variáveis de ambiente oferecem mais detalhes. Por exemplo, ACTION suporta os valores add e remove. A variável SEQNUM é incrementada a cada chamada. DEVPATH especifica onde no  SysFS se encontram as informações do dispositivo, como em /devices/pci0001:01/0001:01:19.0/usb2/2-1/2-1:1.0 . E existem outros parâmetros, como MAJOR, MINOR e UDEV_EVENT. Dependendo do tipo do objeto, outras variáveis podem ser exportadas: as IDs de vendedor ( vendor) e produto (product) do hardware físico, por exemplo, ou a entrada correspondente no USBFS, no caso de dispositivos USB; essa seria /proc/bus/usb/002/010 , no nosso caso. O Udev propriamente dito (antes eram os scripts do hotplug ) associam e carregam os módulos apropriados do kernel, baseados nas IDs do hardware em /lib/modules/$ver.

e conseqüentemente o computador o monta em diferentes diretórios. Uma solução que cria e apaga arquivos de dispositivos dinamicamente quando um usuário conecta ou desconecta um hardware já se mostrou mais útil. Nesse caso, os mapeamentos de nome para dispositivo não são baseados na ordem em que os dispositivos são detectados, e sim num sistema de regras pré-definidas. Isso significa que podemos garantir que um disco rígido específico sempre estará disponível no mesmo arquivo, e portanto sempre será montado na mesma posição no sistema de arquivos, independentemente de quais outros dispositivos compartilhem o barramento. Durante um certo tempo, os sistemas DevFS e Udev foram concorrentes no papel de gerenciadores inteligentes de dispositivos, mas agora o Udev é claramente o vencedor. O DevFS recentemente foi removido do kernel, deixando o Udev como rei do pedaço [1]. O Udev depende do mecanismo de hotplug do kernel (veja o quadro Detalhes do hotplug) para criar arquivos de dispositivos no espaço do usuário. Quando um dispositivo é conectado ou desconectado, o controlador do barramento (ISA, USB ou PCI) sinaliza o evento com uma interrupção. Em resposta a isso, o kernel se certifica dos detalhes do dispositivo recém-adicionado, seja por um protocolo específico para se comunicar com o controlador do hardware, ou buscando nos endereços embutidos no código – como a área de configuração de Linux Magazine #25 | Novembro de 2006

placas PCI – informações guardadas lá, mais especificamente, as IDs de vendedor e produto. O kernel então continua, criando um Kobject para cada dispositivo novo; os dados sobre o tipo de dispositivo (de blocos ou de caracteres) e os números principal e secundário são passados para o Kobject e armazenados por ele, através do namespace global de componentes do kernel introduzido no kernel 2.6. Depois, o kernel torna essa informação disponível via SysFS, que substitui o sistema de arquivos legado ProcFS. Normalmente, o SysFS é montado em /sys. Nas versões mais antigas do Udev, o kernel informava os programas do espaço do usuário a respeito do novo estado dos dispositivos, chamando o programa em /proc/sys/kernel/hotplug, geralmente

Esse programa carregava e configurava todos os drivers necessários; as IDs que já citamos informavam ao programa quais drivers carregar. As versões modernas do Udev conversam diretamente com o kernel e chamam programas externos para realizar as mesmas ações diretamente. O Udev usa essa abordagem tanto ao plugarmos um novo dispositivo a um sistema em funcionamento (hot plugging , ou conexão “a quente”), quanto durante a inicialização (cold plugging , conexão “a frio”). O kernel procura o barramento adequado para os dispositivos e cria arquivos de uevent baseados nos resultados. Esses resultados ficam guardados no SysFS, pois nessa etapa o sistema ainda não possui um sistema de arquivos raiz gravável. A seguir, o Udev gera eventos para os dispositivos encontrados durante a inicialização, baseado nos resultados, como se eles tivessem sido ligados a quente. A figura 1 mostra o procedimento para conectar um receptor DVB USB, gravado com o uso da ferramenta de diagnóstico udevmonitor .  Até a versão 0.58 do Udev, o pacote hotplug carregava os drivers e o firmware. Essa abordagem, que foi aplicada em distribuições como Suse 9.x, Fedora Core 4, Ubuntu Breezy Badger e Debian Sarge, mantém o gerenciador de hotplug /sbin/hotplug, que atua como um multiplexador, chamando todos os programas registrados em /etc/hotplug.d. Isso deve funcionar bem, supondo uma instalação padrão dos pacotes do hotplug e do Udev.  A partir da versão 0.59, o Udev passou a executar as duas tarefas. Essa abordagem é usada no Fedora Core 5, Suse 10 e Ubuntu Dapper Drake (veja também ➧ a tabela Variantes do Udev).

Figura 1 Ações do Udev durante a ligação “a quente”, gravada usando-se o udevmonitor .

57

TUTRIAL | Udev

Questão de preferência Os arquivos de configuração do Udev ficam em /etc/udev , ou em /lib/udev , em algumas distribuições. As variáveis mais importantes estão em /etc/udev. conf , por exemplo, o diretório raiz dos arquivos de dispositivos, o caminho do banco de dados interno do Udev e o diretório com as regras para criar e nomear os arquivos de dispositivos: udev_root=”/dev/” udev_db=”/dev/.udevdb” udev_rules=”/etc/udev/rules.d” udev_log=”err”

O Udev oferece dois pontos de configuração: /etc/udev/rules.d/ contém os arquivos que governam a nomeação dos nós de dispositivos, e /etc/udev/makedev.d contém scripts com os nomes dos arquivos estáticos de dispositivos, que são necessários para dispositivos como a porta paralela. As permissões não residem mais em /etc/udev/permissions.d nas versões atuais do Udev, mas fazem parte da configuração normal do Udev.

Hardware abstrato O gerenciamento de dispositivos também é o domínio de outro componente, o Hardware Abstraction Layer (camada de abstração de hardware), ou HAL. Além de informações do kernel e Udev, o HAL gerencia detalhes de dispositivos em arquivos FDI com formato XML. O exemplo 1 mostra um trecho do arquivo FDI de uma câmera digital. No Fedora, eventos de hotplug são passados para o daemon do HAL pelo subsistema Udev usando-se uma regra localizada em /etc/udev/rules.d/90-hal.rules: RUN+=”socket:/org/freedesktop/hal/udev_event”

O elemento RUN+ nessa regra estipula que ela deve ser executada para todas as outras regras. A comunicação passa por um  socket , como descrito antes. O Gerenciador de Redes do Gnome [3] é um bom exemplo da forma como esses componentes interagem. Ele usa o daemon HAL para monitorar o subsistema de rede; o HAL notifica o Gerenciador de Rede através do D-Bus (veja o quadro D-Bus) quando mudanças ocorrem, por exemplo, quando chaveiros USB de rede sem fio são plugados ou desplugados. Além dos dispositivos físi cos, o HAL também pode lidar com sistemas de arquivos e descobrir s eu tipo, até mesmo em partições LUKS criptografadas [4]. O HAL lida atualmente com a parte dura do gerenciamento de hardware do Gnome, principalmente em relação aos dispositivos plugáveis a quente. Para permitir que isso aconteça, o processo gnome-volume-manager roda em segundo plano (usuários do Gnome podem executar a interface para o processo gnome-volume-manager para configurar o gerenciador). Há até uma interface gráfica para o próprio HAL; ela gera uma saída em forma de árvore de todos os dispositivos conectados ( figura 2). O hal-device-manager do Fedora localiza-se no pacote hal-gnome.

numa lista separada por espaços. As ações são introduzidas por um sinal de igual. Por exemplo, MODE=”0660” especifica as permissões. Da mesma forma, OWNER informa o dono, enquanto GROUP estabelece o grupo. A palavra NAME especifica o nome do dispositivo,  A primeira parte de todas as regras do e curingas são suportados. Por exemUdev especifica a condição que deve plo, %k representa o nome usado pelo ser satisfeita para o Udev executar ou kernel, como descrito anteriormente. aplicar a segunda parte. Em um caso Uma regra que siga esse padrão deve simples, essa condição pode se referir ser assim: KERNEL==”isdn*”, NAME=”%k”, ao nome interno que o kernel dá a um MODE=”0660”. dispositivo. Por exemplo, a condição O Udev normalmente processa para um teclado é KERNEL==”kbd” . todas as regras que coincidam com o  As condições são indicadas por si- padrão, até acabarem as regras. Para nais de igual duplos, exatamente como cancelar o processamento de regras em linguagens de programação. Mais quando uma coincidência aparecer, condições podem ser listadas depois, especifique last_rule em OPTIONS .

Sintaxe das regras

Exemplo 1: Arquivo FDI de uma câmera digital 01 02 03 04 05 06 07 camera 08 camera 09 ptp 10 11 12 13 14 15

58

Scripts de teste

 As regras do Udev podem chamar programas externos, que também são avaliados como condições. O Udev não executa a ação a menos que a chamada leve ao resultado exigido. A página de manual possui um exemplo para CD-ROMs IDE que verifica se existe um diretório no /proc para identificar o dispositivo como um CD-ROM: KERNEL==”hd[a-z]” PROGRAM=”/bin/cat /proc/ide/%k/media”, RESULT=”cdrom”, NAME=”%k”, SYMLINK=”cdrom%e”

O Udev chama /bin/cat para mostrar a saída do conteúdo do arquivo media para todos os dispositivos cujos nomes comecem com hd. Se o nome contiver cdrom (RESULT), o Udev manterá o arquivo do dispositivo ( NAME=”%k”), mas também usará o SYMLINK para criar um link simbólico para cdrom. O %e especifica o próximo decimal livre, se um arquivo de mesmo nome já existir. Isso leva à geração de links simbólicos como: /dev/cdrom -> hdc /dev/cdrom1 -> sr0

Números seriais únicos de dispositivos permitem que o sistema gere nomes estáveis para dispositivos plugáveis a quente, independente da porta a que tenham sido conectados ou em que ordem tenham sido ligados. http://www. linuxmagazine.com.br 

Udev | TUTORIAL

Tabela 1: Variantes do Udev Versão/Distribuição Versão do Udev Versão do HAL Script do Hotplug Gerenciador de Volumes do Gnome Mídia Kioslave do KDE Ivman

Fedora Core 5 udev-084-15 hal-0.5.7-3 — 1.5.15-1 sim —

SLES 9 udev-021-36.49 — /sbin/hotplug — — —

SLES 10 udev-085-30.5 hal-0.5.6-33 — 1.5.15-26.1 sim ivman-0.6.9-16.3

Suse 10.0 udev-068git20050831-9 hal-0.5.4-6 — — sim —

Propriedade do dono

 As aplicações mais comuns para regras personalizadas do Udev são mudanças de nome de dispositivos individuais ou permissões especiais de arquivo.  Vamos imaginar que queiramos dar ao usuário conectado ao desktop o acesso de gravação aos discos rígidos USB. O Fedora resolve isso deixando o Udev conferir a posse dos arquivos ao usuário conectado ao desktop. O daemon do Udev pode facilitar a solução de problemas graças a seu nível de log configurável; o padrão err só gera como saída os erros, info torna o Udev mais falante, e debug o torna realmente verboso. Podemos entrar esses valores no arquivo de configuração ou usar um

Figura 2 O HAL Device Manager mostra uma visão em árvore do hardware. A informação

adicional sobre cada dispositivo é altamente detalhada.

Transforme um PC antigo em umThin Client Com o TC-FLASH você transforma um PC antigo em um thin client e isso custa menos do que você imagina.

-

O TC-FLASH é um módulo de memória Flash que contém o software dos thin clients TC-NET da ThinNetworks, que, quando substitui o HD, é capaz de reconhecer todos os dispositivos de um PC comum e transformá-lo em um verdadeiro thin client. O TCFLASH é compatível com serviço de terminal baseado emWindows e Linux. Aproveitando estes equipamentos já disponíveis, pode-se reduzir os custos a pelo menos 1/3 do valor de um thin client completo. A solução mais econômica para aqueles que cogitam a instalação de thin clients e dispõem de equipamentos fora de sua vida útil.

Linux Magazine #25 | Novembro de 2006

Fone: (61) 3366-1333 Skype: thinnetworks [email protected] www.thinnetworks.com.br 59

TUTRIAL | Udev

D-Bus O D-Bus é um sistema de comunicação que permite que os aplicativos do desktop interajam entre si e com as camadas subjacentes, até as camadas do kernel e do hardware. O sistema D-Bus, portanto, é um serviço de comunicação entre processos ( IPC , ou Interprocess Communication), e oferece a infra-estrutura que ajuda os aplicativos a conversarem tanto uns com os outros quanto com partes do sistema operacional. Embora haja mecanismos de IPC no Unix, eles são restritos a sinais,  pipe s e afins. O modelo do D-Bus talvez soe familiar, já que abordagens competitivas já existem há algum tempo: Corba , a da Microsoft, DCOM , e outras dezenas de projetos, por exemplo. Tanto o KDE  quanto o Gnome originalmente experimentaram suas próprias implementações de Corba. O KDE introduziu seu sistema DCOP próprio há algum tempo, enquanto o Gnome ainda possui algum Corba legado em seu sistema de componentes Bonobo . Independente da sua opinião sobre o Corba, a maioria dos desenvolvedores que simplesmente querem programar um aplicativo para desktop acaba ficando confusa com ele. Até mesmo o mais simples  appl et  do Gnome requer conhecimento avançado da complexa arquitetura de componentes. E é por isso que o Bonobo está à margem do Gnome há tanto tempo. A idéia era tornar o D-Bus mais simples, e ao mesmo tempo fazê-lo consumir menos recursos. A biblioteca Libdbus subjacente somente oferece as funções que suportam a comunicação entre duas aplicações. Os desenvolvedores das aplicações normalmente não se detêm à biblioteca, preferindo então a Libdbus-Glib , baseada na API da Glib , e que oferece uma API em C orientada a objetos. Nesse nível, as capacidades do D-Bus chegam perto das de um sistema de barramento, como o nome sugere. O processo servidor, dbus-daemon, roda em segundo plano e escuta pedidos de conexão de aplicativos que se registrem para tipos específicos de eventos – conexão e desconexão de hardware, por exemplo. Quando um evento acontece, o daemon do D-Bus envia uma mensagem através do barramento, e a aplicação em questão responde de acordo.

Global para o sistema ou por sessão Basicamente, os sistemas que usam o D-Bus possuem dois barramentos implementados por um único processo servidor: o barramento do sistema e o da sessão. O barramento do sistema é iniciado junto com o sistema, e fica ativo mesmo que nenhum usuário esteja registrado no sistema. Um processo servidor para o barramento da sessão é ativado após completar o login pela interface gráfica para uma sessão do desktop. O binário dbus-daemon oferece as opções de linha de comando --system e --session para esses dois modos. Para iniciar o daemon, o pacote do D-Bus inclui a ferramenta dbus-launch, que configura as variáveis de ambiente necessárias, entre outras coisas. A maioria das distribuições inicia o daemon do D-Bus em modo de sessão ao iniciar uma sessão do  X . A figura 3 mostra o papel representado por esses dois barramentos nas comunicações entre os componentes do sistema operacional. Os barramentos de sessão oferecem às aplicações de uma sessão de desktop a possibilidade de conversarem entre si. Essas aplicações podem ser serviços oferecidos pelo ambiente desktop. O barramento do sistema é projetado principalmente para auxiliar programas do desktop a conversarem com as camadas subjacentes. Por exemplo, uma aplicação pode usar o barramento do sistema para se registrar com uma classe de hardware como câmeras digitais, por exemplo.

Aplicação

Conclusões

O Udev é um sistema complexo que compreende múltiplas camadas que se comunicam e colaboram: um daemon, scripts de hotplug e ferramentas para lidar com os eventos. O sistema Udev suporta o gerenciamento dinâmico de dispositivos em sistemas Linux modernos para refletir as exigências do hardware atual. O Udev leva a sério as dependências mútuas, assim como as dependências entre partições e discos rígidos, e gerencia os dispositivos plugáveis a quente tão difundidos hoje em dia.  Apesar de a ma io ria das distri buições já usarem o Udev, o pacote ainda está em desenvolvimento. Isso significa que alguns programas podem ser adicionados e outros descartados (incluindo o próprio antigo binário udev ). As diferenças entre as distribuições e entre diferentes versões da mesma distribuição são grandes em alguns casos. Isso significa que a maior parte da documentação disponível na Internet é obsoleta. Se você usar a versão do Udev fornecida pela sua distribuição, não deve haver dificuldade. Mas se você quiser modificar a configuração, não terá alternativa além de ler os scripts fornecidos com o pacote. Você encontrará algumas notas sobre como programar suas próprias regras de Udev em [2] , mas essas páginas não são precisas em todos os aspectos. ■

Aplicação

Mais Informações

Barramento do sistema

D-Bus

HAL

Barramento da Sessão

Udev

Kernel

Hardware Figura 3 As interações entre os componentes seguem esse esquema.

60

utilitário para especificar os valores em tempo de execução: udevcontrol log_proprity=debug . O controle de comando do Udev reload_rules manda o daemon do Udev processar novamente as regras modificadas.

[1] Página do Udev: http://www.kernel.org/pub/linux/ utils/kernel/hotplug/udev.html [2] Como escrever regras do Udev: http://reactivated.net/ writing_udev_rules.html [3] Gerenciador de Rede do Gnome: http://www.gnome.org/ projects/NetworkManager [4] LUKS: http://www.redhat.com/ magazine/012oct05/features/hal

http://www. linuxmagazine.com.br 

BOINC | SYSADMIN

Construa seu próprio grid computacional com o BOINC

Ciclos ociosos

 S  Y  S  A D M I   N

 A computação em grid permite que pequenos PCs resolvam grandes problemas. Você pode usar o  sistema de grid do famoso projeto SETI@home para criar suas próprias soluções de grid computacional.  por Marc Seil 

Magnus Skarstedt – www.sxc.hu

C

om o advento da sociedade da informação, os PCs de escritório multiplicaram-se a um ritmo estonteante na maioria das empresas. Esses computadores compartilham a maioria de seu tempo com uma tarefa muito comum: o ócio. Atividades como navegar na Internet ou trabalhar em um documento do escritório não são desafios para os processadores atuais. Se você estiver de frente para o PC e não estiver codificando áudio ou vídeos, execute o comando uptime. A ocupação média certamente estará abaixo de 1.0. Esse nível baixo de uso indica uma carga de trabalho pequena em seu PC, o que significa que seu chefe pagou demais por ele. Uma idéia básica por trás da computação em grid é usar esses ciclos ociosos da CPU para algo útil. Por exemplo, Linux Magazine #25 | Novembro de 2006

pode-se usar um desktop ocioso para processar sinais biomédicos ou simular um modelo ambiental. O projeto de computação distribuída em grid mais famoso é o SETI@home. O SETI (que significa Search for ExtraTerrestrial Intelligence [1], ou Busca por Inteligência Extraterrestre) utiliza PCs ligados à Internet ao redor do mundo para buscar comunicações inteligentes vindas do espaço. As tarefas de gerenciamento do grid do SETI@home são organizadas através de um sistema conhecido como Berkeley Open Infrastructure for Network Computing (BOINC) [2]. O BOINC também é o mecanismo por trás de outros esforços de computação em grid, como o BBC Climate Change Project, que permite que usuários domésticos ajudem a desenvolver modelos climáticos, e o projeto Einstein@home,

que põe PCs domésticos para processar a tarefa de análise de dados de detectores de ondas gravitacionais. O sistema livre BOINC está disponível para qualquer um que deseje baixálo, o que significa que você pode usar o BOINC para criar e usar suas próprias aplicações de computação em grid. Caso você tenha um problema grande, e queira que o mundo inteiro trabalhe nele, ou até mesmo se você só quiser dar aos PCs da sua empresa algo para fazerem no tempo ocioso, o BOINC fornece a infra-estrutura necessária. Este artigo descreve como configurar uma infra-estrutura de grid computacional com o BOINC em sistemas Gentoo Linux, e como implementar e rodar uma aplicação de demonstração para clientes BOINC dedicados. 61

SYSADMIN | BOINC

Servindo o grid

 A idéia por trás de um sistema de grid como o BOINC é deixar que os computadores clientes emprestem seus ciclos de CPU para resolver pequenas partes de um grande cálculo. Para que o sistema funcione, o grid precisa de um sistema servidor que cumpra várias importantes tarefas de gerenciamento. As tarefas correspondem às seguintes categorias: ➧ Descoberta e monitoramento de recursos – quais nós estão ficando ociosos, e qual seu status? ➧  Alocação de recursos – enviar trabalho aos nós ociosos; ➧ Mensagens – permitir comunicação entre os nós; ➧ Segurança – se recursos públicos (como a Internet) fazem parte do grid, e proteger as tarefas, dados, nós e o próprio grid contra possíveis invasões.  A eficiência do sistema de grid depende diretamente da eficiência dessas tarefas de gerenciamento. Numa visão simplificada ( figura 1), um grid BOINC consiste de um servidor e vários computadores clientes (nós). O servidor BOINC, que pode rodar em várias máquinas, gerencia as tarefas relativas ao grid e envia as tarefas computacionais (unidades de trabalho) aos nós. Estes ligam-se a um projeto BOINC através de um aplicativo cliente BOINC. A Internet pode proporcionar o caminho de comunicação entre os nós e o servidor BOINC.

Começando

Note que este artigo não cobre os aspectos de segurança dessa configuração, que pode variar de acordo com a sua rede e as políticas da sua empresa. Além disso, os próximos passos baseiam-se num sistema Gentoo Linux. Contudo, os procedimentos devem ser semelhantes para outras distribuições. O servidor BOINC exige alguns pacotes que fazem parte da maioria das distribuições de Linux. O Apache , PHP e Python oferecem a interface para o usuário e o sistema de passagem de mensagens. Um banco de dados MySQL é o esqueleto das tarefas de gerenciamento do grid. Durante a instalação dessas ferramentas obrigatórias, é importante que as interações entre pacotes sejam respeitadas (por exemplo, os módulos de MySQL do Python).

Exemplo 1: ola.php 01

responsável por executar as tarefas de gerenciamento do grid. O usuário deve estar no mesmo grupo que o do servidor web Apache (chamado apache ), para simplificar a configuração. Se o banco de dados MySQL ainda não estiver rodando, pode-se inicializá-lo com os seguintes comandos como root: $ mysql_install_db $ /etc/init.d/mysql start $ /usr/bin/mysqladmin -u root password ➥ ‘SENHA_DO_MYSQL’

O usuário boincadm precisa ter direitos suficientes de acesso para acessar o banco de dados e criar um novo banco de dados. Há diferentes possibilidades para permitir a adminisPara ativar o módulo do PHP, a opção tração do banco de dados, mas alguns -D PHP5 deve estar presente no arquivo comandos SQL também conseguem de configuração /etc/conf.d/apache2 . cumprir a tarefa. O PHP4 também funciona bem. Para verificar se o módulo do Apache para $ mysql -u root -p PHP está ativo, um pequeno script mysql> GRANT ALL ON *.* TO ‘boincadm’@’localhost’; PHP ( exemplo 1) relatará qual versão mysql> SELECT * FROM mysql.user WHERE do PHP está disponível. user=’boincadm’;  A seguir, o usuário boincadm deve ser criado no servidor. Esse usuário é Os pacotes do software de backend agora já estão disponíveis para o BOINC. [root] $ USE=”mysql php xml” emerge ➥ -avt python apache mysql php ➥ mysql-python pecl-pdo-mysql

➥

➥

Compilação do BOINC Para obter os fontes, pode-se fazer um checkout do CVS com o usuário boincadm . O checkout vai baixar o software cliente BOINC, os aplicativos servidores, e algumas ferramentas que simplificam a criação e administração de projetos do BOINC. $ cvs -d :pserver:anonymous:  @alien.ssl.berkeley.edu:/h ome/cvs/ ➥ ➥cvsroot checkout -r ➥ boinc_core_release_5_3_31 boinc

Figura 1 A infra-estrutura do BOINC com um servidor centralizado gerenciando o grid.

62

Os scripts de configuração que vêm no pacote, _autosetup e configure , configuram o código-fonte para a compilação. Um simples make fará o resto. Em alguns casos, pode ser nehttp://www. linuxmagazine.com.br 

BOINC | SYSADMIN

cessário instalar algumas bibliotecas para resolver todas as dependências e compilar os fontes. Se dependências não satisfeitas forem encontradas durante a compilação, confira a lista de dependências disponível no site oficial do BOINC [3] . $ cd boinc $ ./_autosetup $ ./configure --enable-server ➥ --disable-client --without-x $ make

Rode o script de sanidade para verificar se as partes cruciais do BOINC estão configuradas corretamente: $ ./test/test_sanity.py

Estrutura de um projeto  Antes de você enviar tarefas aos nós, é necessário criar um projeto. $ ./tools/make_project --delete_prev_inst ➥ --user_name boincadm --drop_db_first ➥ --project_root $HOME/projects/test_setup ➥ --key_dir $HOME/projects/test_setup_keys ➥ --url_base http://boinc.tuxindustry.lu/ ➥ --db_user boincadm test_setup

Depois de criar o projeto test_seo console pedirá com algumas mensagens para que se atualize a configuração do Apache. Essa informação é usada para acessar o projeto através de um navegador web e os clientes BOINC. Pode-se ajustar os direitos dos usuários para o projeto com o chmod.

Exemplo 2: html/project/project.inc 01 02 03 04 05 06

... define(“EMAIL_FROM”, “[email protected]”); $USE_PHPMAILER=true; $PHPMAILER_HOST=”smtp.tuxindustry.net”; $PHPMAILER_MAILER=”smtp”; ...

Exemplo 3: ./project.xml 01 02 03 i686-pc-linux-gnu 04 Linux/x86 05 06 07 uppercase 08 Aplic acao de exemplo da Linux Magazine 09 10

Exemplo 4: ./templates/wu_uppercase 01 02 03 04 05 06 07 08 09 10 11 12

0 0 in 600

tup ,

$ cd $HOME/projects/test_setup/ $ cat test_setup.httpd.conf >> ➥ /etc/apache2/httpd.conf # como root $ /etc/init.d/apache restart # como root $ chmod -R a+r ~/projects/

 Agora o projeto já est á di sponí vel e pode ser acessado através de um navegador web. A URL de destino é definida pelas configurações de alias do Apache (por exemplo, http:// boinc.tuxindustry.net/test_setup ). Se o servidor precisar ser fortalecido, pode-se revisar o chmod , caminhos importantes e também a configuração do Apache; caso contrário, os padrões funcionam bem. Pode-se omitir nessa etapa as entradas do cron para simplificar a depuração. Linux Magazine #25 | Novembro de 2006

Criar usuários

Uma vantagem do grid BOINC é sua escalabilidade dinâmica. Isso inclui o gerenciamento autônomo de usuários (nós), o que reduz as tarefas administrativas. As configurações padrão de projeto desativam a criação de usuários através da interface web do projeto. Para ativar esse recurso, deve-se ajustar o arquivo config.xml, localizado no diretório raiz do projeto. Mude a entrada de 1 para 0. O pacote phpmailer ajuda a garantir a criação fácil e transparente de usuários. Baixe o phpmailer em http://phpmailer. sourceforge.net e instale-o no local das extensões php.inc. Essa pequena extensão permite que o servidor do projeto envie informações aos usuários que se registrarem no BOINC. Pode-se configurar esse recurso de envio de emails acrescentando algumas linhas ao arquivo PHP do projeto, project.inc. Esse arquivo se encontra no diretório html/project do projeto BOINC ( exemplo 2).

Criando uma aplicação Depois de criar uma conta pela interface web, é hora de adicionar uma aplicação a ser executada pelos nós. Os fontes do BOINC incluem um diretório app, que abriga algumas aplicações de exemplo.  A aplicação uppercase, que servirá de exemplo neste artigo, transforma todos os caracteres de um arquivo ASCII normal em maiúsculos. Os dados de entrada devem conter o nome de arquivo in, e o arquivo de saída correspondente deve se chamar out. Essa aplicação também pode ser iniciada sem um cliente BOINC, o que pode ajudar na depuração. Copie a aplicação para o diretório do projeto, app/uppercase . APPNAME_VERSMAJOR.VERSMINOR_PLATFORM define a convenção para o nome. A versão indica quais clientes BOINC podem executar a aplicação. Somente a versão principal (VERSMAJOR ) é responsável pela identificação do cliente. No exemplo a seguir, 63

SYSADMIN | BOINC

Exemplo 5: ./templates/re_uppercase 01 02 03 04 05 06 07 08 09 10 11 12 13 14

10000000 out

um cliente com a versão 5.4.9 conseguiria executar a aplicação. Devido ao fato de os clientes BOINC poderem rodar em máquinas Windows®, Mac OS X e Linux, também é necessário indicar a plataforma de destino (as convenções para nomes de plataformas estão em http://boinc.berkeley. edu/platform.php ). $ cd apps && mkdir uppercase $ mv ~/boinc/apps/upper_case ➥ uppercase_5.0_i686-pc-linux-gnu

 Agora crie o arquivo project.xml (exemplo 3) no diretório raiz do projeto, e ter-

mine o fluxo de trabalho “application add” executando os comandos de projeto ./bin/xadd e ./bin/update_versions.

Unidade de trabalho

 Antes de os nós começarem a executar a aplicação e processar algum dado, é necessário criar uma unidade de trabalho (WU, ou work unit). Uma WU define a aplicação e os dados a serem executados e processados pelo cliente.  As unidades de trabalho são descritas por um modelo de unidade de trabalho e outro de resultado. O modelo de unidade de trabalho ( exemplo 4 ) descreve a referência dos dados de entrada (nesse caso, o arquivo in) no nó de destino.

O modelo de resultado ( exemplo 5), por outro lado, descreve a referência dos dados de resultado (o arquivo de resultados out). Pode-se criar ambos os modelos no diretório templates/.  Após criar os arquivos de modelo, copie o arquivo que contém o texto a ser alterado para o diretório de download. Já está tudo preparado para a chegada de uma unidade de trabalho.

get_nresults tem que ser maior ou igual a min_quorum. O último argumento test. txt especifica os dados sobre os quais a

WU deve ser aplicada. O arquivo com os dados precisa estar presente no diretório de download. Depois de criar a WU, um novo subdiretório é criado em download/ contendo os dados, que serão passados para um nó ocioso que pode ser alocado pelo servidor BOINC. Tenha em mente o fato de que os fontes do BOINC também fornecem uma  API para criar unidades de trabalho e Cada unidade de trabalho é identificada inseri-las no grid. por um ID único, que é gerenciado pelo servidor BOINC e o banco de dados. A  ferramenta create_work é usada para passar trabalhos para o grid.  As tarefas de gerenciamento do servidor BOINC são realizadas pelos chamados ./bin/create_work \ daemons e filas do servidor BOINC. Os -appname uppercase \ daemons geralmente enchem as filas e as -wu_name wu_uppercase_01 \ usam para acionar tarefas de gerenciamen-wu_template templates/wu_uppercase.xml \ to. Exemplos de daemons incluem: -result_template ➧  feeder – assegura que os nós tenham templates/re_uppercase.xml \ -min_quorum 1 \ trabalho; -target_nresults 1 \ ➧ transitioner  – lida com o estado da text.txt transição das unidades de trabalho enviadas e dos resultados recebidos;  A WU se chama wu_uppercase_01, que é ➧  file_deleter  – apaga os arquivos de entrada e resultados de acordo com armazenada como todas as outras opções do banco de dados test_setup. O argupolíticas definidas; mento min_quorum define quantos resulta- ➧ sample_dummy_validator  – verifica dos retornados precisam ser equivalentes se os resultados enviados pelos nós para validar uma WU. O valor de tarsão válidos;

Inserindo uma WU

Iniciando os daemons

➥

Exemplo 6: ./config.xml 01 02 03 04 05 06 07 08 09 10 11

64

.... feeder -d 3 transitioner -d 3 file_deleter -d 3 sample_trivia l_validator -d 3 app uppercase sample_dummy_ assimilator -d 3 app uppercase ...

http://www. linuxmagazine.com.br 

BOINC | SYSADMIN

Conclusão

ao qual se ligar, que, nesse caso, está em http://boinc.tuxindustry.lu/test_se- No final, você terá um grid BOINC básico rodando. Agora você já pode tup , e um par válido de email e senha para autenticar. começar a implementar suas próprias aplicações e aumentar o grid com mais $ sh boinc_5.*.*_i686pclinuxgnu.sh nós. Este artigo foi somente uma breve $ cd BOINC introdução, mas deve simplificar os $ ./run_manager #inicia o cliente passos para se colocar em funcionamento um primeiro servidor de testes. Depois de algum tempo ocioso no Espero que tenham gostado desta curta nó do grid, o cliente começará a baixar viagem ao mundo futurista da compua WU e subir o resultado para o servi- tação distribuída. ■ dor. Veja as mensagens do cliente para vê-lo baixando a aplicação uppercase e Mais Informações enviando os resultados. Se a WU for processada corretamente, o crédito do respectivo nó aumentará. [1] Search for ExtraTerrestrial Intelligence (SETI@home): Pode-se verificar seu crédito na seção Your  http://setiathome.berkeley.edu account da página do projeto. Para receber algum retorno durante [2] Berkeley Open Infrastructure for a delegação e o processamento de traNetwork Computing: balhos, pode ser interessante verificar http://boinc.berkeley.edu O servidor já está pronto e esperando os os registros do servidor, que ficam no clientes conectarem. Baixe um cliente diretório log_boinc do diretório home do [3] Dependências para a compilação: BOINC com um número que reflita projeto test_setup. No lado do cliente, a http://boinc.berkeley.edu/ a convenção de nome da aplicação aplicação BOINC cria diretórios dedicabuild.php uppercase. dos aos projetos aos quais o nó está ligado. O cliente está disponível na seção Esses diretórios contêm as unidades de [4] Wiki não oficial do BOINC: Download da página do projeto test_setup. trabalho (aplicação, descrição e dados) http://boinc-wiki.ath.cx/  A aplicação cliente pedirá um projeto que serão processados pelo nó. ➧ sample_dummy_assimilator  – verifica

se foi gerado um resultado válido pelas unidades de trabalho ou se houve algum erro.  As descrições simplificadas dos daemons devem ser suficientes para se visualizar o fluxo de unidades de trabalho (veja o wiki do BOINC [4] para uma descrição detalhada). Os daemons encontram-se no diretório bin/ do projeto e precisam ser adicionados ao arquivo de configuração do projeto, config.xml (exemplo 6 ).  Após atualizar a configuração do projeto, já é possível iniciar o servidor BOINC com ./bin/start. O estado do servidor pode ser consultado em http://boinc.tuxindustry.lu/test_setup/server_status.php, e é atualizado a cada dez minutos.

Ligando os nós

Linux Magazine #25 | Novembro de 2006

65

   N    I    M    D    A    S    Y    S

 Embelezando a janela do terminal 

Shell ilustrado O Bashish dá um toque de estilo à linha de comando.  por Frank Wieduwilt 

S

e você é usuário freqüente da linha de comando, deve gostar da aparência espartana da janela de terminal. Mas para usuários eventuais da shell, ou para leitores que prefeririam um visual mais divertido, o Bashish [1] abre uma arca do tesouro de opções. O Bashish dá um fundo gráfico em  ASCII à sua janela de terminal. O programa permite que você melhore a aparência dos programas de terminal, como Gnome Terminal , Xterm , Rxvt, Rxvt Unicode ,  Aterm , Mlterm e o console do Linux, e você também pode modificar um conjunto limitado de configurações, tais como a barra de título da janela do emulador de terminal do KDE . O desenvolvedor do Bashish, Thomas Eriksson, planeja estender o suporte ao Konsole também. Ele recomenda usar a shell Bash, mas o programa também suporta outras shells como o Zsh e o Tcsh. Se possível, é bom que o terminal suporte o conjunto de caracteres Uni-

66

code. Vários dos temas que vêm com o pacote do Bashish incluem caracteres como linhas e símbolos de baralho que não são suportados por conjuntos de caracteres mais antigos, como ISO-8859-1 e ISO-8859-15. Para instalar uma versão funcional do Bashish, será necessária uma versão recente do Bash (versão 2.04 ou mais nova). Também será preciso uma versão recente de seu programa de terminal. Não conseguimos usar o Bashish com a versão do Rxvt incluída no Mandriva 2006. O programa de terminal travou com a maioria dos temas que experimentamos. Já a versão fornecida com o Ubuntu 6.06 funcionou sem qualquer problema, assim como o Rxvt que vem no Suse 10.1. Após mudarmos para a versão Unicode do Rxvt, disponível na Web [2], o Bashish finalmente funcionou Figura 1 no Mandriva.

Instalação

Para instalar o Bashish, primeiro descompacte o arquivo com o código-fonte, bashish-2.0.5.1.tar.gz, e depois prossiga com os familiares ./configure && make && make install para compilar e instalar. Depois de terminar a instalação básica, digite o comando bashish em um programa de terminal. A ferramenta agora perguntará qual shell você prefere, e

A janela do emulador de terminal Rxvt Unicode com o tema Urbandawn.

http://www. linuxmagazine.com.br 

Bashish | SYSADMIN

então vai configurá-la para carregar o Bashish automaticamente quando você iniciar essa shell.  Você já pode iniciar uma nova shell com o comando exec bash. A nova shell refletirá as configurações padrão do Bashish, que pedem uma fonte azul-clara sobre um fundo preto. Para apagar o Bashish, simplesmente inicie o programa com a opção --uninstall.

Cores na shell

O Bashish agrupa as melhorias da shell em chamados “temas”. Um tema inclui os dados do gráfico de fundo e o prompt. Para iniciar a shell sem um tema, primeiro rode a ferramenta Bashishtheme . O diálogo inicial pede que você especifique se quer usar o prompt para a shell em geral, ou se simplesmente gostaria de aplicar as mudanças a um programa específico. Se você estiver simplesmente embelezando a shell, selecione a entrada prompt theme at the command prompt

no menu. Uma lista aparecerá, deixando você especificar os detalhes do tema. Depois de escolher o aspecto e possivelmente modificar a cor do fundo, você pode sair do programa de configuração. Depois disso, a janela de terminal deve ficar completamente diferente ( figura 1). É bom você experimentar com os papéis de parede que vêm com a distribuição. Os nostálgicos talvez queiram experimentar os prompts com o prefixo computer/ . Por exemplo, você pode mudar o prompt para se parecer com o DOS ; o Bashish até converte as barras dos caminhos de diretório para contra-barras ( figura 2). Nos rios de cores que o Bashish distribui entre o prompt e a saída normal do programa, pode-se ser mais seletivo, associando temas a aplicativos específicos. Para isso, selecione o item application theme selected applica-

tion no menu principal de temas do Bashish. Essa opção leva o usuário a um diálogo onde este pode digitar o nome do programa requerido e depois selecionar um dos temas. O Bashish então salvará um script de início que usa o nome do programa no caminho desse programa. Quando o programa for iniciado, o script que o chama primeiro adiciona o tema selecionado à shell, antes de seguir chamando o software de interesse. Ao sair do programa, o script volta a shell Linux Magazine #25 | Novembro de 2006

a seu status anterior. O script que chama o programa não impede que o usuário passe parâmetros para o programa de interesse. O Bashish armazena scripts de chamada de programas no diretório bashish/ launcher dentro do diretório home do usuário. Temas para Figura 2 aplicativos específicos localizam-se em bashish/bt/app . O Bashish possui um diretório com o nome do programa. Infelizmente, nem os temas, nem os prompts se mostraram muito estáveis. Alguns prompts impediram que a saída de comandos simples como less e ps fosse mostrada na tela. O tema Urbandawn, mostrado na figura 1, impediu algumas vezes que os dados fossem mostrados no terminal. O Bashish também calcula errado o tamanho da janela de terminal com certa freqüência, deixando o usuário com somente uma parte da saída do programa.  Alguns programas como o Playmp3list, por exemplo, não iniciarão em qualquer tema do Bashish diferente do padrão. O Playmp3list trava com uma falha de segmentação, independente dos outros temas tentados. E o navegador em modo texto Elinks fechou em nossos testes, recusando-se a iniciar com qualquer tema do Bashish carregado.

Faça seu tema

Em uma instalação padrão a partir do código-fonte, os arquivos de temas localizam-se em /usr/local/share/bashish/themes. Os elementos binários ficam guardados em arquivos TGZ separados, com a extensão bt; obviamente, não é possível editar arquivos desse formato. Se você quiser modificar um tema, comece ativando o tema no Bashishtheme. Depois, os componentes do tema ficarão no diretório ~/.bashish/bt/cache/. Agora copie os arquivos texto para um novo diretório e carregue-os para edição com um editor que suporte Unicode. O arquivo Theme contém detalhes sobre o autor e as cores usadas pelo tema; o Prompt.bash fornece a definição do prompt, incluindo os gráficos que o Bashish mostrará na tela. Os comandos do Bashish estão documentados em [3].  A documentação não é muito estruturada e possui algumas omissões, que às vezes nos deixam somente a abordagem

Um terminal Rxvt mascarado como o antigo sistema operacional DOS.

da tentativa e erro. A solução mais fácil é usar um tema já existente como ponto de partida para seus experimentos. Depois de terminar suas modificações, entre no diretório que contém os arquivos do tema e digite bashishtheme save. Se você criou um tema novo, o Bashish perguntará onde você deseja salvá-lo.

Conclusões

O Bashish acrescenta cor e variedade ao cinza normal do dia-a-dia. O programa ainda está longe de se livrar de todos os bugs; alguns temas impedem que os dados sejam mostrados no terminal, e há programas que simplesmente travam ao ver o Bashish. Outro problema é a desorganizada documentação do Bashish, o que dificulta a criação de seus próprios temas, a menos que se esteja querendo experimentar. ■

Mais Informações [1] Bashish: http://bashish.sourceforge.net [2] Rxvt Unicode: http://software.schmorp.de/ pkg/rxvt-unicode [3] Documentação do Bashish: http://bashish.sourcefoge.net/ doc.html

O autor  Frank Wieduwilt estu-

dou originalmente História, mas já trabalha há vários anos como autor técnico freelancer para várias empresas de publicação em Berlim, Alemanha, onde escreve manuais para soluções de softwares de bancos de dados. Frank é colaborador freqüente da Linux Magazine, especializado em tópicos SOHO, como escritório e programas gráficos.

67

   N    I    M    D    A    S    Y    S

 Proxy HTTP com cache e filtragem de conteúdo em bridge

Filtro na ponte Proxies com cache lembram-se de páginas e as servem localmente, economizando tempo e dinheiro. Os membros mais inteligentes dessa família também  apagam conteúdo perigoso e oferecem bridging transparente.  por Tobias Eggendorfer 

Q

uando vários usuários na mesma rede acess am a mesma página da Internet diversas vezes, pagase um preço de tempo e banda. Um proxy com cache reduz o tráfego, guardando páginas web pedidas pelos usuários e servindo-as quando requisitado. Um proxy HTTP com cache como o Squid [1] roda na camada 7 do modelo OSI (Open Systems Interconnection ); em outras palavras, o servidor proxy Squid “fala” o protocolo da aplicação e consegue reconhecer os dados trafegados. Com isso, o proxy é capaz de verificar o conteúdo da página e oferecer a filtragem do conteúdo. Dependendo da direção do destino, um pro-

68

xy pode t anto bloquear o acesso a páginas indesejadas, como as de conteúdo adulto em escolas, por exemplo, quanto manter softwares mal intencionados fora de uma rede corporativa.

Mudanças chatas

Se você instalar um proxy legado em sua rede, pode esperar uma pilha de tarefas de configuração. É necessário informar os detalhes do proxy em cada navegador, ou mandá-los utilizar a auto-configuração, e modificar o firewall para negar tentativas de rotear HTTP. Como alternativa, http://www. linuxmagazine.com.br 

Squidbridge SYSADMIN

Servidor web Roteador/  Firewall

Bridge com filtro de conteúdo

Internet

Figura 1 O filtro de conteúdo está instalado em uma bridge, neste cenário. Essa configuração cabe facilmente numa rede pré-existente sem a necessidade de

reconfigurar o roteador ou os clientes.

pode-se instalar um proxy transparente usando uma regra de firewall para redirecionar para o proxy todo o tráfego HTTP que sai. Entretanto, mais uma vez é necessário modificar o firewall. Seria muito mais elegante simplesmente conectar o proxy à rede – atrás do último switch e à frente do roteador. Essa solução, que elimina a necessidade de se modificar os navegadores dos clientes ou o roteador, é um resquício do papel de uma bridge ou switch. O objetivo original de uma bridge era organizar o tráfego da rede baseado em endereços MAC , conseqüentemente segmentando a rede. Porém, o kernel Linux atual permite que os administradores sofistiquem o funcionamento da bridge incluindo o papel de firewall invisível baseado na filtragem na camada TCP .

Conveniente e prático Uma abordagem prática é rodar um filtro na camada da aplicação em uma bridge (figura 1 ). Esse casal bizarro pode ser facilmente integrado a uma rede pré-existente sem obrigar o administrador ou os usuários a modificar a configuração dos roteadores, clientes ou aplicativos. A única forma de atravessar o proxy é usando um túnel, como SSH ou OpenVPN. Entretanto, a opção do tunelamento está sempre aberta, independente da solução que se use, e pressupõe que se tenha um maior conhecimento e se dedique mais trabalho. Quem quer que crie um túnel para evitar o proxy necessita de um servidor baseado na Internet para servir como ponto de destino do túnel, e deve ter a possibilidade de instalar softwares na outra ponta do túnel. Linux Magazine #25 | Novembro de 2006

Configuração básica

Para instalar o proxy, provavelmente o melhor é começar instalando um sistema Linux mínimo. A máquina precisa de duas placas de rede, que não receberão endereços IP por enquanto. Como geralmente será necessário recompilar o kernel (para ativar o bridging), e aproveitando que é recomendável compilar e instalar o Squid e o DansGuardian a partir do código-fonte (veja abaixo), serão necessários os respectivos pacotes de desenvolvimento no sistema. Antes de se colocar a bridge para funcionar, deve-se limpar a máquina e remover quaisquer pacotes que não sejam mais necessários.

Questões do kernel

[2] ).

Ao compilarmos o kernel, é importante termos certeza de selecionar os drivers apropriados às controladoras de rede e de disco rígido. Além disso, o kernel deve obrigatoriamente suportar o bridging ( figura 2). Administradores cuidadosos com a segurança certamente instalarão patches como o GR Security [3] . Depois de iniciar o sistema com o novo kernel, precisaremos configurar uma bridge: o comando brctrl addbr br0 adiciona um novo dispositivo de rede chamado br0 . Como uma bridge exige duas placas de rede, é necessário associar duas placas a ela, com os seguintes comandos: brctrl addif br0 eth0 brctrl addif br0 eth1

Em seguida, usamos o comando ip para Para tornar o sistema mais seguro, o melhor é compilarmos um kernel es- iniciar as placas de rede e a bridge: tático sem suporte a módulos. Essa configuração desabilita a interface de ip link up eth0 módulos explorada por diversos rootkits ip link up eth1 de kernel (veja mais sobre rootkits em ip link up br0

Figura 2 A opção BRIDGE  em Networking | Networking support | Networking options | 802.1d Ethernet Bridging especifica se o kernel (2.6.17.7, nesse caso) suportará o modo bridge .

69

SEÇÃO | Assunto

Servidor web

 Para o servidor

 Requisição

� Resposta ao servidor

Internet

 OK � Para o servidor  Resposta do servidor

 Website

Squid

 Para o redirecionador

Redirecionador do Clam AV

Figura 3 Buscando vírus com o redirecionador do ClamAV .

Já podemos testar a bridge agora.  Vamos simplesmente ligá-la à rede. Ela deve passar pacotes entre os dois segmentos da rede, mas podemos usar uma ferramenta de análise de rede como o tcpdump [4] para verificar se isso está funcionando. Se preferirmos, podemos configurar agora um firewall com iptables, e Physdev-Match ou ebptables .

Depois, prosseguimos descompac- não terão muito o que fazer nesse artando e configurando o Squid: ./con- quivo – a porta onde o Squid ouvirá é figure --enable-linux-netfilter só uma questão de gosto; o padrão é a --disable-ident-lookups. O pri- 3128. Se preferirmos mudar a porta, é meiro parâmetro desabilita o suporte só acrescentarmos a seguinte linha à ao Netfilter do Linux no Squid. Esse configuração do Squid: passo é necessário se quisermos usar o Squid como um proxy transparente. http_port 127.0.0.1:65080 O segundo parâmetro desativa requisições de Ident feitas pelos clientes, Isso faz o proxy escutar na porta apesar de normalmente o Ident nem 65080. O comando também configura estar instalado, ou ser bloqueado pela o Squid para garantir que somente o maioria dos firewalls. Dependendo proxy na máquina local vai reagir a da nossa preferência, podemos usar conexões. Isso é necessário para a filo parâmetro --prefix=/usr/local/ tragem posterior de conteúdo. squid para colocar tudo isso em um O Squid suporta o protocolo ICP diretório. Depois, completamos com (Inter Cache Protocol), que permite que os comandos para compilar e instalar proxies troquem conteúdo do cache entre si. Esse suporte é irrelevante em nosso o Squid: make && make install . O próximo passo é modificar os caso, e podemos desativá-lo facilmente: arquivos de configuração do Squid icp_port 0 . Além disso, uma entrada de acordo com nossas necessidades. de  ACL (Lista de Controle de Acessos, O prefixo mencionado acima instala na sigla em inglês) garante que só a o arquivo squid.conf no diretório /usr/ máquina local possa acessar o Squid: local/squid/etc . Os administradores http_access allow localhost .

Instalação do Squid

É necessário instalarmos o Squid primeiro, para o proxy. Para baixar o código-fonte de [1] , o sistema de bridge precisa de um endereço IP e uma entrada de  gateway padrão na tabela de roteamento. Os comandos a seguir cuidam disso: ifconfig br0 192.0.2.8 ➥ netmask 255.255.255.0 route add default ➥ gw 192.0.2.1

Servidor web Requisição Internet

Squid

Dansguardian

Website

Cache Figura 4 Colocar o filtro de conteúdo DansGuardian entre os usuários e o proxy de cache Squid garante que o DansGuardian aplicará as regras de filtragem a todas

as requisições.

70

http://www. linuxmagazine.com.br 

Squidbridge SYSADMIN

Filtragem de conteúdo O proxy ainda está rodando sem um filtro de conteúdo. Temos diversas opções aqui, mas elas se tornam fáceis quando decidimos o que queremos que o filtro faça. O mais comum costuma ser “proteger máquinas Windows® inseguras contra programas mal-intencionados que tentem chegar a elas através de respostas HTTP.” Em outros ambientes, talvez precisemos de um filtro para bloquear o acesso a certos tipos de conteúdo e websites indesejáveis. Por exemplo, escolas costumam estipular que sites com conteúdo adulto ou ilegal devem ser bloqueados. Vamos tentar nos manter fora da discussão sobre a utilidade e a efetividade desse tipo de ação, pelo menos por enquanto – o exemplo a seguir não leva nada disso em conta, concentrando-se na luta contra vírus malévolos. Novamente, nossa escolha de antivírus é uma questão de gosto. Em um ambiente todo de Código  Aber to, um anti vírus igualm ente aberto como o ClamAV  [5 ] costuma ser o preferido. As etapas para configurar outros antivírus são semelhantes; escolher um deles ou até mais de um deve ser uma tarefa suficientemente simples. Há várias soluções para integrar o filtro de conteúdo com o Squid: a interface do redirecionador é uma opção bastante popular. O Squid passa a URL baixada e todos os parâmetros para esse script. Dependendo do valor retornado pelo script, o Squid busca o documento apontado pela URL. Isso faz sentido se o filtro simplesmente inspecionar a URL, e não o documento para o qual ela aponta.

Obstáculos ao redirecionador  No caso de antivírus, cuja interface pode ser fornecida pelo SquidClamAVRedirector , o redirecionador não é uma boa solução. Primeiramente, ele baixa a URL, evitando o Squid nesse processo; depois, ele analisa o conteúdo e dá ao Squid o aval para que ele peça a página ( figura 3 ). Em outras palavras, cada Linux Magazine #25 | Novembro de 2006

download gera o dobro do tráfego – que é exatamente o que queríamos evitar com o uso de um proxy com cache. Usando alguns macetes, podemos convencer o redirecionador a deixar o Squid cuidar do download. Esse passo envolve configurar o Squid para evitar passar pedidos da máquina local para o SquidClam AVRedirector, e portanto o travamento num laço infinito. Mas essa abordagem é problemática quando em conjunto com um proxy transparente, pois, na visão do Squid, todos os pedidos parecem vir da máquina local.  Adicione a isso uma configuração desleixada e provavelmente você concordará que essa não é a melhor abordagem.

Corrente de proxies

 A alternativa é adicionar um proxy de filtragem de conteúdo na frente ou atrás do Squid. O DansGuardian [6] é um candidato possível. O melhor local para colocar o DansGuardian é entre o proxy e a rede interna ( figura 4, apesar de ambas as tarefas poderem ser executadas em uma única máquina). Isso significa que pedidos vindos da rede interna primeiro serão enviados ao DansGuardian, que os repassa para o Squid e recebe uma resposta do mesmo Squid – possivelmente do cache, se o Squid já viu esse pedido antes – e verifica a resposta em busca de vírus, worms e outras pragas. Em teoria, seria possível inverter a ordem, colocando o proxy de filtragem de programas maliciosos do lado de fora e o proxy de cache do lado de dentro ( figura 5 ). A vantagem dessa abordagem é que o antivírus só precisa verificar uma vez cada arquivo baixado. Essa configuração minimiza a busca de programas maliciosos, mas também impõe um problema de segurança. Se o antivírus deixar um vírus passar, essa praga se estabelece no cache do proxy, a salvo de detecções futuras, mesmo que uma atualização das assinaturas de vírus possa revelar a ameaça. Se o proxy de filtragem estiver entre o usuário e o proxy de cache, conseguirá varrer vírus em todas as páginas pedidas, sem importar se a página está sendo servida diretamente pelo cache ou por um servidor externo. 71

SEÇÃO | Assunto

Servidor web Requisição Internet

Antivírus

Squid

Website

Cache Figura 5 Colocar o filtro de conteúdo no lado da Internet é menos s eguro. Cada arquivo só é verificado uma vez. Se um vír us conseguir chegar ao cache, nunca

será descoberto, mesmo após a atualização das assinaturas de vírus.

Instalação do DansGuardian Precisamos nos certificar de que instalamos o ClamAV antes de começarmos a instalar o DansGuardian. O ClamAV é bastante fácil de instalar. O website do ClamAV  possui binários para a maioria das principais distribuições de Linux. Se você preferir compilar a partir dos fontes, os passos normais serão suficientes: ./configure && make && make install . Quando instalamos o DansGuardian, precisamos especificar uma opção para o script configure incluir o suporte ao ClamAV. Se preferirmos, podemos mover o pacote compilado para um diretório próprio. Isso nos deixa com o seguintes três comandos para instalar: ./configure ➥ --enable-clamav ➥ --prefix=/usr/local/dansguardian make make install

 A configuração proxyport = 8080 no dansguardian.conf informa que o filtro escutará na porta 8080. Além disso, o filtro precisa saber em qual porta o Squid está escutando: filterport = 65080 . Por último, talvez tenhamos que descomentar a linha contentscanner que aponta para o ClamAV e modificar a configuração, se necessário. O próximo passo é definir a mensagem de erro que os usuários vêem ao pedir conteúdo bloqueado. A forma mais fácil de produzir a mensagem é colocar uma página em nosso

72

servidor web da intranet e redirecionar o navegador para essa página. Como alternativa, poderíamos usar um servidor externo para servir uma página com a mensagem. O DansGuardian oferece uma página de exemplo em share/dansguardian.pl . A diretiva accessdeniedaddress no arquivo de configuração do DansGuardian informa qual mensagem mostrar.

 Ativação do filtro

 Atualmente, o DansGuardian não consegue ver realmente pedidos de clientes – as requisições saem direto da bridge para os servidores de destino. Uma regra do Netfilter  redireciona o tráfego para o filtro: iptables -t nat ➥ -A PREROUTING ➥ -m physdev ➥ --physdev-in eth0 -p tcp ➥ --dport 80 -j REDIRECT ➥ --to-port 8080

O alvo physdev restringe o uso do proxy aos clientes de dentro da bridge. Se não tivéssemos um firewall para proteger a bridge, seria bem fácil um agressor externo explorar o proxy como um proxy aberto. Se tudo isso funcionar, todas as requisições web para redes externas devem ser gravadas nos registros do proxy. O sistema é completamente transparente, quando visto de dentro. O proxy estabelece uma nova conexão para pedir uma página, fornecendo seu próprio endereço IP como fonte. Os desenvolvedores estão trabalhando para eliminar esse antigo resquício de proxy não transparente.

Máquina limpa

Com a filtragem de programas maliciosos e um cache na bridge, a rede interna fica bem protegida contra vírus e worms que tentem explorar o HTTP. A insta lação simples torna a bridge fácil de usar. Depois de configurar a máquina, simplesmente conecte-a a qualquer rede sem modificar a configuração dos clientes. ■

Mais Informações [1] Proxy web Squid: http://www.squid-cache.org [2] Amir Alsbih, “Arma secreta: Rootkits para o kernel Linux 2.6”, Linux Magazine 22, Agosto/2006, pg. 28 [3] GR-Security: http://www.grsecurity.org [4] Tcpdump: http://www.tcpdump.org [5] ClamAV: http://www.clamav.net [6] DansGuardian: http://dansguardian.org

O autor  Tobias Eggendorfer é consultor e profes-

sor freelancer de TI, baseado em Munique. Ele não aprecia reconfigurar seu próprio hardware, e espera que novos recursos de segurança suportem a integração fácil e transparente. Apesar de a bridge com  Squid ter como objetivo proteger sistemas Windows®, que Tobias normalmente não usa, ele não pretende baixar e testar programas malévolos para ver se rodam no Qemu.

http://www. linuxmagazine.com.br 

Python | PROGRAMAÇÃO

 A serpente que morde a própria cauda

Metalinguagem

P  R   O  G R  A M A  Ç  à  O

Com a chegada do Ruby On Rails, os programadores estão redescobrindo um conceito não muito moderno, mas  surpreendente...Programas que modificam programas?  por Jose Maria Ruiz 

 A 

s linguagens dinâmicas (nas quais o tipo de variável é definido no tempo da execução) sempre foram relegadas a linguagens de segunda classe. Isso se deve ao costume de serem empregadas para fazer o trabalho sujo e resolver algum problema rapidamente, já que para programar algo mais sério sempre se utiliza C, C++ ou Java. Mas isso não é bem verdade. As linguagens dinâmicas possuem certas vantagens sobre as estáticas, vantagens essas que as estáticas estão constantemente tentando imitar. Uma dessas vantagens é a metaprogramação. É uma palavra estranha, por

Linux Magazine #25 | Novembro de 2006

isso é melhor explicarmos um pouco sobre seu significado. Podemos traduzir “meta” como “a nível superior”. Metalinguagem é a linguagem usada para falar da linguagem. A metalinguagem está um nível acima da linguagem que descreve. Se digo “a palavra carro é um substantivo”, então estou empregando o português para falar do português, e em “a palavra car  é um substantivo” estou empregando o português para falar do inglês. Portanto, o português é metalinguagem em ambos os casos.  A metaprogramação consiste de programas que podem modificar a si mesmos ou outros programas. Dito assim, pode parecer um pouco complicado.

Mas imaginemos por um momento que fosse possível trocar elementos do programa em tempo real, não dados, mas o programa em si. Podemos imaginar um objeto que “fale” certo protocolo (por protocolo entendemos um conjunto de métodos que permitem interagir com o objeto, por exemplo, para guardá-lo em disco rígido). A certo momento, surge a necessidade de que esse objeto “fale” esse protocolo, mas o projetista do programa não levou essa possibilidade em conta, de modo que isso pode ser resolvido envolvendo-se o objeto em outro objeto, ou herdando-o de uma superclasse que responda a esse 73

PROGRAMAÇÃO | Python

protocolo. Agora, se essa ocorrência se repete com muitos protocolos, então a hierarquia de herança das classes começa a se complicar desnecessariamente, com código repetido em muitas ramificações. O C++ tenta chegar a uma solução através do uso de templates (modelos). O Java, por sua vez, fornece ao programador a reflexão (os objetos podem fazer perguntas a outros objetos) e, desde o Java 1.5, as classes genéricas, algo parecido com os templates do C++. Na chamada hierarquia ou extensão horizontal, não herdamos a não ser que façamos uso das ferramentas que estão ao lado, e não “acima” como as superclasses. Portanto, esse tipo de extensão não requer que a hierarquia dos objetos seja aumentada com novas classes. Mesmo assim existe outra possibilidade. E se pudéssemos adicionar métodos imediatamente a nossos objetos? Dessa maneira, quando um objeto precisar falar certo protocolo, simplesmente adiciona a si mesmo os métodos necessários, digamos, assim como decoramos as árvores de Natal, colocando bolas e enfeites conforme desejamos.

File “”, line 1, in ? AttributeError: Classe1 instance has no ➥ attribute ‘imprime’ >>>

O objeto2 não tem imprime! Logo, percebemos que a modificação do objeto só afetava ele mesmo, e não o restante das instâncias da Classe1 . E como é possível conferir coisas a uma instância? Como o Python representa as instâncias como dicionários, as seguintes assinaturas são equivalentes: objeto.imprime = imprime objeto[‘imprime’] = imprime

instância antes da modificação e adicionarmos uma função à classe depois?  Veja o exemplo 2.  A modificação da classe afeta todas as suas instâncias, passadas ou futuras. Todas essas características nos abrem um amplo leque de possibilidades. Podemos modificar hierarquias de objetos na hora da execução para que possam se adaptar a novos protocolos. Não vamos prestar muita atenção às metaclasses em si – vamos vê-las em um próximo artigo –, mas sim em um padrão de desenho que nos permitirá adicionar funcionalidade de maneira controlada – estamos falando do padrão Decorator .

 Além disso, as funções se comportam no Python da mesma forma que os dados; podem ser associadas a variáveis e passadas como parâmetros. Podemos modificar o comportamento das instâncias, mas o que acontece Para prosseguirmos, é importante com as classes? entendermos como funciona a pas>>> Classe1.imprime = imprime sagem de parâmetros no Python. No >>> objeto3 = Classe1(“Ola”) Python, os parâmetros de uma função >>> objeto3.imprime() são na verdade uma lista. O interOla pretador recolhe automaticamente >>> os parâmetros e gera uma lista com eles. Isso é indicado no cabeçalho E também podem ser modificadas da função mediante um * diante do automaticamente. Não só isso, mas, a nome da lista que guarda os parâmepartir desse momento, qualquer instân- tros. As funções aceitam ainda um Nos míticos laboratórios da Xerox em Palo cia terá acesso a essas modificações. O dicionário como segundo parâmetro,  Alto, Gregor Kiczales e outros desenvolve- que acontece se tivermos declarado a indicado mediante a aparição de ** ram, em meados dos anos 90, o conceito MOP (Meta Object Protocol ). Exemplo 1: Começando  A idéia é definir todo o mecanismo necessário para se trabalhar em objetos 01 >>> class Classe1: 02 ... def __init__(self,valor): em dois níveis. No primeiro, o meta03 ... self.valor = valor nível, são usadas as formas primitivas 04 ... def imprime(self): da linguagem para se criar objetos. No 05 ... print self.valor segundo, usa-se esse mecanismo (criar 06 ... classes, instâncias, métodos...) para 07 >>> objeto = Classe1(“1”) 08 >>> objeto.imprime = imprime voltar a defini-lo novamente. 09 >>> objeto.imprime(objeto) Qual é o objetivo? Se uma classe 10 1 estiver definida com o uso de classes, 11 >>> então você poderia modificá-la, visto que ela não passa de uma estrutura de dados que está “viva” durante a execução do programa. Isso possibi- Exemplo 2: Declaração antes da modificação lita coisas muito interessantes. Veja 01 >>> class Classe2: o exemplo 1. 02 ... def __init__(self,valor): 03 ... self.valor = valor O que aconteceu aqui? Definimos 04 ... uma classe e uma função, criamos uma 05 >>> objeto4 = Classe2(“Ola”) instância da classe e adicionamos a função 06 >>> def imprime(self): à instância da classe. O que acontecerá 07 ... print self.valor se criarmos um segundo objeto? 08 ...

Características de uma função

Conceitos básicos

>>> objeto2 = Classe1(“2”) >>> objeto2.imprime(objeto2) Traceback (most recent call last):

74

09 10 11 12

>>> Classe2.imprime = imprime >>> objeto4.imprime() Ola >>>

http://www. linuxmagazine.com.br 

Python | PROGRAMAÇÃO

Exemplo 3: Decorator escreveNome 01 02 03 04 05 06 07 08 09 10 11 12 13 14

def escreveNome (f): def decorator (*args, **kwds): print “==> Executando”, f.func_name f(*args, **kwds) return decorator @escreveNome def funcao(): print “Oi, eu sou a funcao” @escreveNome def soma(a,b): print “Resultado:”, a+b

para os argumentos com nome. Dessa maneira, qualquer função aceita na verdade os parâmetros:

para outra. A “decoração” envolve o conteúdo da página. O mundo do Python viveu uma espécie de guerra entre grupos diferenfunction(*args. **kwdargs) tes de desenvolvedores, por tentarem encontrar a melhor sintaxe para esse Costuma-se usar os nomes args e padrão. A comunidade Python é quase kwdargs para nomeá-los. É importante obsessiva a respeito de sua sintaxe, quesaber disso para podermos criar fun- rendo que ela seja clara e concisa. Por ções sem termos idéia sobre quais pa- fim, impôs-se a seguinte sintaxe: râmetros elas aceitarão, visto que no final todas as funções aceitam esses  @decorator def função(): dois parâmetros na verdade. o_que_for

Decorator 

O que é um Decorator? É um padrão de desenho do famoso livro “Design Patterns”. Adquiriu sua fama por ter dado nome a várias técnicas já estabelecidas. Ele as reuniu e criou o conceito de padrão de desenho: um conjunto de objetos e comportamentos definidos que surgem com certa facilidade no desenvolvimento de qualquer sistema de complexidade mediana. No mundo da programação orientada a objetos, são famosos muitos desses padrões de desenho – o Observer e o Proxy são alguns exemplos. O padrão Decorator é menos conhecido porque realiza uma tarefa um pouco complicada de se entender, e portanto nem todo mundo se atreve a trabalhar com ele. O Decorator modifica funções. Pode-se dizer que ele recolhe nosso código e insere comportamentos adicionais. Seu nome vem do fato de podermos vê-lo como um algoritmo que, na árvore de código, vai acrescentando novo código de forma automática. É semelhante ao que ocorre quando vemos em uma página web sempre o mesmo menu, na mesma posição, apesar de mudarmos de uma seção Linux Magazine #25 | Novembro de 2006

 @deco rator é o nome do Decorator que iremos empregar. O Decorator sempre deve ter à frente uma arroba, e deve ser seguido pela ação a ser decorada. Visto assim, não parece muito útil, mas imaginemos uma função, por exemplo VisitaWeb , à qual adicionamos o seguinte Decorator:  @gravar_log def VisitaWeb(): ...

Ela guardaria em um log a informação de cada visita, com cada execução de VisitaWeb(), e isso sem ter que acrescentar novas funcionalidades a VisitaWeb() , e ainda por cima podendo usar @gravar_log em outros lugares, como por exemplo em Compra/Efetuada() ou VisitaPerigosa. Podemos adicionar funcionalidades a códigos já existentes sem modificar nada, simplesmente acompanhando o código de uma linha que indica qual Decorator aplicar. Mas a coisa não acaba aí. Podemos adicionar Decorators:  @verificar_acesso  @gravar_log def VisitaWeb(): ...

Será que existe alguma mágica ou vodu por trás de algo tão útil? Por que isso não é ensinado em qualquer segundo parágrafo de tutorial de Python? É porque, até há pouco tempo, era extremamente complexo adicionar Decorators no Python, e mesmo com as últimas melhorias ainda continua sendo um processo complexo.

Criar um Decorator 

Um Decorator é uma função que aceita uma função como parâmetro e devolve como resultado uma função. Um pouco difícil, não? É claro que sim, por isso começamos com um exemplo mais simples. Queremos um Decorator que escreva na tela o nome da função sobre a qual ele pode ser aplicado, a cada vez que ela for executada. Um Decorator não deixa de ser uma função Python como qualquer outra.  Vejamos sua definição e seu result ado no exemplo 3. escreveNome aceita uma função e cria outra que fornecemos ao chamar decorator. O nome dessa última função não importa, já que ele será descartado, de modo que podemos usar sempre o mesmo nome para distingui-la. O objetivo dessa função é ser devolvida e entrar no lugar da função original.  A função interna decorator adiciona o código ou as operações que sejam necessárias e executa em algum momento (ou não, dependendo do que queiramos) a função original. Como podemos observar na execução do exemplo 4 , agora, cada vez que for executado função ou soma, é impressa uma mensagem na tela. Se quisermos eliminar esse comportamento, temos apenas que tirar  @escreveNome da defi➧ nição da função em questão. 75

PROGRAMAÇÃO | Python

Exemplo 4: Uma amostra de Decorator  01 02 03 04 05 06 07

>>> soma(1,2) ==> Executando soma Resultado: 3 >>> funcao() ==> Executando funcao Oi, eu sou a funcao >>>

Exemplo 5: Função fechar  01 def fechar(valor): 02 def incrementa(quantidade): 03 return quantidade + valor 04 return incrementa

Programação avançada

pontos flutuantes, fracionários ou números complexos. Na verdade, cada tipo de número requer sua própria soma. Nós vamos criar dois serviços de exemplo. Um será para facilitar a depuração de um programa, o outro será um verificador de valores. É preciso explicar um pouco sobre o verificador. Vamos imaginar uma situação na qual precisamos calcular um valor muito complexo duas vezes, mas o cálculo é sempre o mesmo, e sempre devolve o mesmo valor para os parâmetros dados. Ou, olhando para a Web, imaginemos que geraremos a mesma página e que somente a atualizaremos a cada intervalo de tempo determinado. Fazer algo assim requer muito trabalho: temos que capturar a requisição, determinar se os parâmetros para o cálculo ou página web form modificados, ou se ocorre algum evento (já se passaram 5 minutos desde que a função foi invocada?), e então devolver o valor ou calculá-lo novamente. Necessitamos ao menos de um objeto, e o que é pior: cada função que requeira essa propriedade deverá implementá-la de novo ou herdar de um objeto que a implemente. Mas em Python não temos herança múltipla, de modo que acabaremos com duas versões de cada objeto: Pagina e ChecaPagina, Cálculo e ChecaCálculo. Os Decorators solucionam esse problema de uma forma genérica e muito elegante. Vamos nos fixar no exemplo 7. São definidos dois Decorators: verifica e debug; o segundo é simples e se assemelha muito ao exemplo 6, simplesmente imprimindo informações sobre a função (seu nome, parâmetros e resultado) com cada execução da mesma. Já verifica realiza mais trabalho. A  chave é a variável verificacao, que é um dicionário onde armazenamos os parâmetros que são passados para a função em questão. verifica está dentro do envelope que criamos com o Decorator. Quando recebemos os parâmetros, tentamos encontrar o valor da função no dicionário verificacao. Se não aparecerem, então temos que calculá-los e armazená-los usando os parâmetros como chave. Mas

Não em vão, Peter Norvig (ver [1]) diz que Python é Lisp com outra sintaxe. Mas cuidado, não acredite que valor  Agora vamos ver uma das construções seja convertida em uma constante. Senão, mais poderosas que uma linguagem de a função fechar ficaria trancada num círprogramação pode ter. É anterior aos culo. É como se junto a fechar houvesse objetos e, mesmo assim, às vezes muito uma variável chamada valor, à qual fechar mais simples e poderosa. Já fizemos uso possa fazer referência como se fosse global, dela sem perceber. Mas onde? Quando? mas “só para ela mesma”! Por quê? Quem? No exemplo 6 podemos ver uma de Vamos nos fixar novamente no exem- monstração de interação com fechar. É importante perceber os fechamentos, plo 3. Há algo estranho aí. E não é fácil de identificar – isso porque são apenas visto que nos permitem gerar funções cinco linhas de código! que guardam valores. E isso é vital para  A grande pergunta é “o que acontece os Decorators. com o f em decorator? Nada?” Vamos repassar o que sabemos das variáveis.  Apesar do fato de que uma função possa parecer uma variável estranha a algum leitor, isso é algo que os programadores de C e C++ costumavam fazer através Para terminar, vamos fazer algo de útil com essa técnica. Geralmente se fala dos do uso de ponteiros para funções. f é uma variável que faz referência a Decorators em termos de serviços que uma função. Visto assim, não há nada gostaríamos de acrescentar ao código. de especial; o estranho é que f é o parâ- Os mais típicos são criar registros de uso, metro recebido por escreveNome, e depois de segurança, sistemas de verificação ou criamos a função decorator e saímos. Mas persistência. Também se fala muito em existem vários Decorators anônimos, pelo multimétodos. menos um para soma e outro para funcao. Esses últimos consistem de algo paNesse momento, f em outras linguagens recido à sobrecarga de C++ ou Java, de programação não apontaria para nada, isto é, poder definir muitas funções que e estaria no limbo das variáveis. possam ser executadas com base nos ti Vejamos um exemplo para enten- pos ou quantidade de parâmetros, mas der isso. No exemplo 5, definimos um que todas tenham o mesmo nome. Um Decorator que nomeamos de maneira exemplo poderia ser a função soma(a,b). extremamente original: fechar. Esse Não é a mesma coisa somar inteiros ou Decorator gera uma função que faz uso do parâmetro que lhe passamos, o parâmetro valor. Quando a função faz uso de Exemplo 6: Prova de fechar  valor, captura o seu conteúdo! A partir 01 >>> a = fechar(3) desse momento, essa função fará uso do 02 >>> b = fechar(8) conteúdo que valor possui durante a sua 03 >>> a(1) 04 4 definição. É estranho? Na verdade, em 05 >>> b(1) um primeiro momento sim, a não ser 06 9 que o leitor tenha conhecimentos de 07 >>> Lisp ou Scheme .

Dois Decorators são melhores que um

76

http://www. linuxmagazine.com.br 

Python | PROGRAMAÇÃO

Exemplo 7: Decorators debug e verifica 01 def debug(f): 02 nome = f.func_name 03 def envelope(*args,**kwargs): 04 resultado = f(*args,**kwargs) 05 print “Chamando”,nome,”com”,args, kwargs,”e devolvendo”,repr(resultado) 06 return resultado 07 08 return envelope 09 10 def verifica(f): 11 # Fecha 12 verificacao = {} 13 def envelope(*args,**kwargs): 14 chave_1 = hash(args) 15 chave_2 = hash(tuple(kwargs.iteritems( ))) 16 try: 17 resultado = verificacao[chave_1,chave_2] 18 print ‘****VERIFICACAO****’ 19 except KeyError: 20 verificacao[chave_1,chave_ 2] = f(*args,**kwargs) 21 resultado = verificacao[chave_1,chave_2] 22 return resultado 23 return envelope 24 22 class Calculadora: 26 def __init__(self.valor): 27 self.valor = valor 28 29 def getValor(self): 30 return self.valor 31 32 @debug 33 @verifica 34 def soma(self.valor): 35 resultado = self.valor + valor 36 return resultado

se eles aparecerem, simplesmente devolvemos o valor associado. Dessa maneira, podemos verificar resultados.  A maior complicação, fora tudo o que falamos neste capítulo, se deve ao fato de que os dicionários não podem ser usados para gerar um hash, e kwargs é um dicionário. Se um objeto não puder ser reduzido a um hash, então não pode ser usado como chave em um dicionário. Por isso temos que gerar uma tupla a partir de kwargs e, a partir dela, gerar um hash. Seguindo essa dinâmica, faríamos o mesmo com args, mas isso não é necessário. Quando se tenta acessar um valor em um dicionário e esse valor não existe, o dicionário lança uma exceção KeyError (erro na chave passada). Dessa forma, tentamos o acesso dentro de uma estrutura try e capturamos essa exceção, que nos indicará quando temos que calcular o valor. Como exemplo, na classe Calculadora , fazemos uso dos Decorators de maneira que não somente verificamos, mas ainda mostramos informação de depuração para a função sobre a qual os aplicaremos. Linux Magazine #25 | Novembro de 2006

N  O M E  D A  S  E   Ç  à  O

Decorando projetos

O conceito de Decorators é semelhante ao da agora famosa  Aspect Oriented Programming (AOP). Com o passar dos anos, os estudiosos vão se dando conta de que a Programação Orientada a Objetos não é a melhor solução para todos os problemas, e pode chegar a ser desvantajosa. Os Decorators não são nada mais que outro dos mecanismos de extensão horizontal que estão começando a fazer eco na caixa de ferramentas dos melhores programadores. E é por isso que o Python os incorporou. ■

Mais Informações [1] http://www.norvig.com

O autor   José Maria Ruiz está finalizando seu pro-

 jeto de conclusão de curso de Engenharia Técnica em Informática de Sistemas e está há mais de sete anos usando e desenvolvendo Software Livre, há dois anos no FreeBSD.

77

Linux.local

   S    O    Ç    I    V    R    E    S

O maior diretório de empresas que oferecem produtos, soluções e  serviços em Linux e Software Livre, organizado por Estado. Sentiu falta do nome de sua empresa aqui? Entre em contato com a gente: 11 2161-5400 ou [email protected]

Empresa

Cidade

Endereço

F13 Tecnologia

Fortaleza

Rua Coronel Solon, 480 – Bairro de Fátima Fortaleza - CE - CEP 60040-270

Linux Shopp

Vila Velha

Megawork Consultoria e Sistemas

Fornecedor de Hardware = 1 Redes e Telefonia / PBX = 2 Integrador de Soluções = 3 Literatura / Editora = 4 Fornecedor de Software = 5 Consultoria / Treinamento = 6 1 2 3 4 5 6

Telefone

Web

85 3252-3836

www.f13.com.br

Rua São Simão (Correspondência), 18 – CEP: 29113-120

27 3082-0932

www.linuxshopp.com.br

Vitória

Rua Chapot Presvot, 389 – Praia do Canto – CEP: 29055-410 sl 201, 202

27 3315-2370

www.megawork.com.br

✔

✔ ✔

Spirit Linux

Vitória

Rua Marins Alvarino, 150 – CEP: 29047-660

27 3227-5543

www.spiritlinux.com.br

✔

✔ ✔

Insti tuto Online

Belo H ori zonte

Av. Bia s Fortes, 932 , S ala 204 – CEP: 301 70-011

3 1 32 24-79 20

www.insti tutoonl ine.com.br

Ceará ✔ ✔

✔ ✔

Espírito Santo ✔ ✔

✔ ✔

Minas Gerais ✔

✔

Linux Place

Belo Horizonte

Rua do Ouro, 136, Sala 301 – Serra – CEP: 30220-000

31 3284-0575

corporate.linuxplace.com.br

✔ ✔

✔ ✔

Microhard

Belo Horizonte

Rua República da Argentina, 520 – Sion – CEP: 30315-490

31 3281-5522

www.microhard.com.br

✔ ✔ ✔

✔ ✔

TurboSite

Belo Horizonte

Rua Paraíba, 966, Sala 303 – Savassi – CEP: 30130-141

0800 702-9004

www.turbosite.com.br

✔

✔ ✔

Paraná iSolve

Curitiba

Av. Cândido de Abreu, 526, Cj. 1206B – CEP: 80530-000

41 252-2977

www.isolve.com.br

Mandriva Conectiva

Curitiba

Rua Tocantins, 89 – Cristo Rei – CEP: 80050-430

41 3360-2600

www.mandriva.com.br

NSI Training

Rio de Janeiro

Rua Araújo Porto Alegre, 71, 4ºandar Centro – CEP: 20030-012 21 2220-7055

www.nsi.com.br

✔

✔

Open IT

Rio de Janeiro

Rua do Mercado, 34, Sl, 402 – Centro – CEP: 20010-120

21 2508-9103

www.openit.com.br

✔

✔

Unipi Tecnologias

Campos dos Goytacazes

Av. Alberto Torres, 303, 1ºandar - Centro – CEP 28035-581

22 2725-1041

www.unipi.com.br

✔ ✔ ✔ ✔

Solis

Lajeado

Rua Comandante Wagner, 12 – São Cristóvão – CEP: 95900-000

51 3714-6653

www.solis.coop.br

✔ ✔ ✔ ✔ ✔

✔ ✔

✔

✔ ✔ ✔ ✔

Rio de Janeiro

Rio Grande do Sul DualCon

Novo Hamburgo

Rua Joaquim Pedro Soares, 1099, Sl. 305 – Centro

51 3593-5437

www.dualcon.com.br

✔

✔

Datarecover

Porto Alegre

Av. Carlos Gomes, 403, Sala 908, Centro Comercial Atrium Center – Bela Vista – CEP: 90480-003

51 3018-1200

www.datarecover.com.br

✔

✔

LM2 Consulting

Porto Alegre

Rua Germano Petersen Junior, 101-Sl 202 – Higienópolis – CEP: 90540-140

51 3018-1007

www.lm2.com.br

Av. Venâncio Aires, 1137 – Rio Branco – CEP: 90.040.193

51 3331-1446

www.lnx-it.inf.br

Lnx-IT Informação e Tecnologia Porto Alegre

✔ ✔

✔

✔ ✔

✔

✔

✔ ✔

✔

✔

Plugin

Porto Alegre

Av. Júlio de Castilhos, 132, 11º andar Centro – CEP: 90030-130 51 4003-1001

www.plugin.com.br

✔

TeHospedo

Porto Alegre

Rua dos Andradas, 1234/610 – Centro – CEP: 90020-008

51 3286-3799

www.tehospedo.com.br

✔ ✔

Redix

Blumenau

Rua 02 de Setembro, 733, sl 08. CEP 89052-000

47 3323-7313

www.redix.com.br

Ws Host

Arthur Nogueira

Rua Jerere, 36 – Vista Alegre – CEP: 13280-000

19 3846-1137

www.wshost.com.br

✔

Santa Catarina ✔ ✔

✔ ✔

São Paulo ✔

✔

DigiVoice

Barueri

Al. Juruá, 159, Térreo – Alphaville – CEP: 06455-010

11 4195-2557

www.digivoice.com.br

✔ ✔ ✔

✔ ✔

Dextra Sistemas

Campinas

Rua Antônio Paioli, 320 – Pq. das Universidades – CEP: 13086-045

19 3256-6722

www.dextra.com.br

✔

✔ ✔

✔

Insigne Free Software do Brasil Campinas

Av. Andrades Neves, 1579 – Castelo – CEP: 13070-001

19 3213-2100

www.insignesoftware.com

Microcamp

Campinas

Av. Thomaz Alves, 20 – Centro – CEP: 13010-160

19 3236-1915

www.microcamp.com.br

PC2 Consultoria em Software Livre

Carapicuiba

Rua Edeia, 500 - 06350-080

11 3213-6388

www.pc2consultoria.com

✔

✔

Savant Tecnologia

Diadema

Av. Senador Vitorino Freire, 465 – CEP: 09910-550

11 5034-4199

www.savant.com.br

✔ ✔ ✔

✔

✔ ✔ ✔

✔

Epopéia Informática

Marília

Rua Goiás, 392 – Bairro Cascata – CEP 17509-140

14 3413-1137

www.epopeia.com.br

Redentor

Osasco

Rua Costante Piovan, 150 – Jd. Três Montanhas – CEP: 06263-270

11 2106-9392

www.redentor.ind.br

Go-Global

Santana de Parnaíba Av. Yojiro Takaoca, 4384, Ed. Shopping Service, Cj. 1013 – CEP: 06541-038

11 2173-4211

www.go-global.com.br

✔

✔ ✔

AW2NET

Santo André

11 4990-0065

www.aw2net.com.br

✔

✔ ✔

✔

✔

Rua Edson Soares, 59 – CEP: 09760-350

✔ ✔

Async Open Source

São Carlos

Rua Orlando Damiano, 2212 – CEP 13560-450

16 3376-0125

www.async.com.br

✔

Delix Internet

São José do Rio Preto

Rua Voluntário de São Paulo, 3066 9º – Centro – CEP: 15015-909

11 4062-9889

www.delixhosting.com.br

✔

78

✔ ✔

http://www. linuxmagazine.com.br 

Linux.local | SERVIÇOS

Empresa

Cidade

Endereço

Telefone

Web

11 2125-4747

www.4linux.com.br

1 2 3 4 5 6

4Linux

São Paulo

Rua Teixeira da Silva, 660, 6º andar – CEP: 04002-031

A Casa do Linux

São Paulo

Al. Jaú, 490 – Jd. Paulista – CEP 01420-000

11 3549-5151

www.acasadolinux.com.br

✔

✔ ✔

Accenture do Brasil Ltda.

São Paulo

Rua Alexandre Dumas, 2051 – Chácara Santo Antônio – CEP: 04717-004

11 5188-3000

www.accenture.com.br

✔

✔ ✔

ACR Informática

São Paulo

Rua Lincoln de Albuquerque, 65 –Perdizes – CEP: 05004-010

11 3873-1515

www.acrinformatica.com.br

✔

✔

Agit Informática

São Paulo

Rua Major Quedinho, 111, 5º andar, Cj. 508 – Centro – CEP: 01050-030

11 3255-4945

www.agit.com.br

✔ ✔

✔

Altbit - Informática Comércio e Serviços LTDA.

S ão Paul o

Av. Franc isco Matarazzo, 22 9, Cj . 57 – Água Branca – CEP 05001-000

11 3879-9390

www.altbit.com.br

✔

AS2M -WPC Consultoria

São Paulo

Av. Tiradentes, 615, Ed. Santiago, 2º andar Bom Retiro – CEP: 01101-010

11 3228-3709

www.wpc.com.br

São Paulo (continuação) ✔ ✔

✔

✔ ✔

✔

✔ ✔

Big Host

São Paulo

Rua Dr. Miguel Couto, 58 – Centro – CEP: 01008-010

11 3033-4000

www.bighost.com.br

✔

✔ ✔

Blanes

São Paulo

Rua André Ampére, 153 – 9º andar – Conj. 91 CEP: 04562-907 (próx. Av. L. C. Berrini)

11 5506-9677

www.blanes.com.br

✔ ✔ ✔

✔ ✔

Commlogik do Brasil Ltda.

São Paulo

Av. das Nações Unidas, 13.797, Bloco II, 6º andar – Morumbi – CEP: 04794-000

11 5503-1011

www.commlogik.com.br

✔ ✔ ✔

✔ ✔

Computer Consulting Pro jeto e Consultoria Ltda.

São Paulo

Rua Vergueiro, 6455, Cj. 06 – Alto do Ipiranga – CEP: 04273-100 11 5062-3927

www.computerconsulting.com.br

✔

✔ ✔

Consist Consultoria, Sistemas e Representações Ltda.

São Paulo

Av. das Nações Unidas, 20.727 – CEP: 04795-100

11 5693-7210

www.consist.com.br

Domínio Tecnologia

São Paulo

Rua das Carnaubeiras, 98 – Metrô Conceição – CEP: 04343-080

11 5017-0040

www.dominiotecnologia.com.br

ED S do Brasil

S ão Paul o

Av. Pre s. Juscel ino Kubi stche ck, 18 30 Torre 4 - 5 º andar

11 370 7-410 0

www.eds. com

✔

✔ ✔ ✔ ✔ ✔

✔ ✔ ✔

✔

✔

✔ ✔

✔

✔ ✔

Ética Tecnologia

São Paulo

Rua Nova York, 945 – Brooklin – CEP:04560-002

11 5093-3025

www.etica.net

Getronics ICT Solutions and Services

São Paulo

Rua Verbo Divino, 1207 – CEP: 04719-002

11 5187-2700

www.getronics.com/br

Hewlett-Packard Brasil Ltda.

São Paulo

Av. das Nações Unidas, 12.901, 25º andar – CEP: 04578-000

11 5502-5000

www.hp.com.br

✔

✔ ✔ ✔ ✔

IBM Brasil Ltda.

São Paulo

Rua Tutóia, 1157 – CEP: 04007-900

0800-7074 837

www.br.ibm.com

✔

✔

✔ ✔

✔

✔ ✔

✔

iFractal

São Paulo

Rua Fiação da Saúde, 145, Conj. 66 – Saúde – CEP: 04144-020 11 5078-6618

www.ifractal.com.br

Integral

São Paulo

Rua Dr. Gentil Leite Martins, 295, 2º andar Jd. Prudência – CEP: 04648-001

www.integral.com.br

✔

11 5545-2600

✔

Itautec S.A.

São Paulo

Rua Santa Catarina, 1 – Tatuapé – CEP: 03086-025

11 6097-3000

www.itautec.com.br

✔ ✔ ✔

✔ ✔

Linux Komputer Informática

São Paulo

Av. Dr. Lino de Moraes Leme, 185 – CEP: 04360-001

11 5034-4191

www.komputer.com.br

✔

✔ ✔

Linux Mall

São Paulo

Rua Machado Bittencourt, 190, Cj. 2087 – CEP: 04044-001

11 5087-9441

www.linuxmall.com.br

✔

Livraria Tempo Real

São Paulo

Al. Santos, 1202 – Cerqueira César – CEP: 01418-100

11 3266-2988

www.temporeal.com.br

Loca si te Interne t S ervic e

S ão Paul o

Av. Bri gadei ro Luiz A ntonio, 2 482 , 3 º andar – Centro – CEP: 01402-000

11 2121-4555

www.locasite.com.br

Microsiga

São Paulo

Av. Braz Leme, 1631 – CEP: 02511-000

11 3981-7200

www.microsiga.com.br

Novatec Editora Ltda.

São Paulo

Rua Luis Antonio dos Santos, 110 – Santana – 02460-000

11 6979-0071

www.novateceditora.com.br

Novell América Latina

São Paulo

Rua Funchal, 418 – Vila Olímpia

11 3345-3900

www.novell.com/brasil

Oracle do Brasil Sistemas Ltda. São Paulo

Av. Alfredo Egídio de Souza Aranha, 100 – Bloco B – 5º andar – CEP: 04726-170

11 5189-3000

www.oracle.com.br

Proelbra Tecnologia Eletrônica Ltda.

São Paulo

Av. Rouxinol, 1.041, Cj. 204, 2º andar Moema – CEP: 04516-001 11 5052- 8044

www.proelbra.com.br

Provider

São Paulo

Av. Cardoso de Melo, 1450, 6º andar – Vila Olímpia – CEP: 04548-005

11 2165-6500

www.e-provider.com.br

Red Hat Brasil

São Paulo

Av. Angélica, 2503, 8º andar Consolação – CEP: 01227-200

11 3124-6000

www.latinsourcetech.com.br

✔

✔ ✔ ✔ ✔ ✔

✔

✔ ✔ ✔

✔ ✔ ✔

✔

✔ ✔ ✔ ✔

✔

✔

✔

✔

✔ ✔ ✔

✔

Samurai Projetos Especiais

São Paulo

Rua Barão do Triunfo, 550, 6º andar – CEP: 04602-002

11 5097-3014

www.samurai.com.br

✔

✔ ✔

SAP Brasil

São Paulo

Av. das Nações Unidas, 11.541, 16º andar – CEP: 04578-000

11 5503-2400

www.sap.com.br

✔

✔ ✔

Simples Consultoria

São Paulo

Rua Mourato Coelho, 299, Cj. 02 Pinheiros – CEP: 05417-010

11 3898-2121

www.simplesconsultoria.com.br

Smart Solutions

São Paulo

Av. Jabaquara, 2940 cj 56 e 57

11 5052-5958

www.smart-tec.com.br

Snap IT

São Paulo

Rua João Gomes Junior, 131 – Jd. Bonfiglioli – CEP: 05299-000

11 3731-8008

Stefanini IT Solutions

São Paulo

Av. Brig. Faria Lima, 1355, 19º – Pinheiros – CEP: 01452-919

11 3039-2000

Sun Microsystems

São Paulo

Rua Alexandre Dumas, 2016 – CEP: 04717-004

11 5187-2100

www.sun.com.br

Sybase Brasil

São Paulo

Av. Juscelino Kubitschek, 510, 9º andar Itaim Bibi – CEP: 04543-000

11 3046-7388

www.sybase.com.br

The Source

São Paulo

Rua Marquês de Abrantes, 203 – Chácara Tatuapé – CEP: 03060-020

11 6698-5090

www.thesource.com.br

Unisys Brasil Ltda.

São Paulo

Rua Alexandre Dumas, 1711, 10º andar, Ed. Birmann 11 – CEP: 04717-004

11 3305-7000

www.unisys.com.br

Utah

São Paulo

Av. Paulista, 925, 13º andar – Cerqueira César – CEP: 01311-916

11 3145-5888

Visuelles

São Paulo

Rua Eng. Domicio Diele Pacheco e Silva, 585 – Interlagos – CEP 04455-310

Webnow

São Paulo

Av. Nações Unidas, 12.995, 10º andar, Ed. Plaza Centenário – Chácara Itaim – CEP: 04578-000

✔

✔ ✔

✔ ✔

✔ ✔

www.snapit.com.br

✔

✔ ✔

www.stefanini.com.br

✔

✔ ✔

✔

✔ ✔ ✔ ✔

✔

✔ ✔

✔

✔ ✔

www.utah.com.br

✔

✔ ✔

11 5614-1010

www.visuelles.com.br

✔

✔ ✔

11 5503-6510

www.webnow.com.br

✔

✔

✔

✔

✔

✔

WRL Informá ti ca Ltda.

S ão Paul o

Rua Santa Ifig ênia , 2 11/2 13, Box 02– Centro – CEP: 0 120 7-001 11 336 2-133 4

www.wrl .com.br

Systech

Taquaritinga

Rua São José, 1126 – Centro - Caixa Postal 71 – CEP: 15.900-000

www.systech-ltd.com.br

Linux Magazine #25 | Novembro de 2006

✔

16 3252-7308

✔

✔ ✔

✔

79

Calendário de eventos    S    O    Ç    I    V    R    E    S

Evento

Data

Local

Website

Conisli 2006

3 a 5 de Novembro

São Paulo, SP

www.conisli.org

YAPC::SA::2006

3 a 5 de Novembro

São Paulo, SP

perl.org.br/bin/view/YAPC/SA2006

International PHP Conference 2006

5 a 8 de Novembro

Frankfurt, Alemanha

www.phpconference.com

Web 2.0 Conference

7 a 9 de Novembro

Califórnia, EUA

www.web2con.com

Linux Day Limeira

9 de Novembro

Limeira, SP

www.linuxday.com.br

Linux New Media Awards

11 de Novembro

Colônia, Alemanha

www.linuxnewmedia.com

2º Encontro On-line de Educação e Software Livre

13 a 24 de Novembro

on-line

bine.org.mx/edusol/e2006/ convocatoria.php

Linux Day Mogi Mirim

16 de Novembro

Mogi Mirim, SP

www.linuxday.com.br

Latinoware

16 e 17 de Novembro

Foz do Iguaçu, PR

www.latinoware.org/2006

Linux Day Jaguariúna

18 de Novembro

Jaguariúna

www.linuxday.com.br

3º Encontro Nacional de Usuários de Slackware

18 de Novembro

São Paulo, SP

piterpunk.info02.com.br/evento

1 Fórum de Software Livre do Tocantins

18 a 20 de Novembro

Palmas, TO

www.sol-to.org

Seminário Temático sobre Cultura Digital

21 a 23 de Novembro

Araraquara, SP

[email protected]

Hackers to Hackers Conference

24 a 26 de Novembro

São Paulo, SP

www.h2hc.org.br

PHP Conference Brasil

1 e 2 de Dezembro

São Paulo, SP

www.temporealeventos.com. br/?area=13&tipo=1&id=1334

Reunião ICANN

2 a 8 de Dezembro

São Paulo, SP

www.icann.org/minutes

Estação VoIP 2006

5 e 6 de Dezembro

Curitiba, PR

www.estacaovoip.com.br

Índice de anunciantes

80

Empresa

Pág.

4Linux

15

BRConnection

71

Estação VOIP

77

Green

65

IBM

09

Intel

13

Intel IDF

02

Itautec

07

Linux World

81

Novel

55

Plugin

17

Red Hat

11

Samsung

84

Siweb

53

SnapIT

43

Thin Networks

59

http://www. linuxmagazine.com.br 

����� � 

    





    



� 

    



�

     





     





     





 





 



�

 





     



�

    





    





 





    





      

����������

��

 Dezembro de 2006

   W    E    I    V    E    R    P

Na Linux Magazine #26… DESTAQUE

 Web 2.0

 A Web está passando por uma transformação, e toda uma nova geração de serviços e tecnologias está interagindo para oferecer um ambiente melhor e mais versátil. Na próxima edição, mostraremos as recentes inovações da Web.

SYSADMIN

Descreveremos como criar páginas web interativas com  AJAX  e o Google web toolkit . Vamos também examinar alguns aplicativos populares para criar wikis, e mostraremos como construir um website com o ambiente de programação  Aptana. ■

Samba antivírus Servidores Samba ao redor do planeta servem arquivos em redes mistas com clientes Windows®, Linux, Unix e Mac. É possível proteger tanto seus clientes quanto servidores através da integração do Samba a softwares antivírus? Vamos mostrar como fazer isso. ■ TUTORIAL

Port knocking 

Portas abertas não oferecem segurança alguma. Um porteiro (ou firewall, no caso das redes de computadores) bem treinado pode identificar todos que tentam entrar, e é uma boa medida de segurança. Porém, mais seguro ainda é usar uma “batida” secreta para que a porta se abra só para você, e logo em seguida se feche novamente. É isso que o Port Knocking nos permite fazer. Mostraremos como aplicar esse conceito a firewalls baseados no Iptables, de forma bastante prática. ■

 Dezembro de 2006

Na EasyLinux #09… DESTAQUE

Games no Linux 

Nem só de trabalho duro vive o Linux. O sistema do Pingüim também surpreende quando o tema é games e faz rodar alguns dos jogos mais emocionantes da atualidade, feitos nos moldes dos sistemas proprietários. Como isso é possível? Através do Cedega – software pago – ou do virtuoso Wine. Com algumas configurações e entradas básicas na linha de comando, você vai aprender a instalar jogos como o famoso City of Heroes, dentre outros. Não perca a série de artigos completa, com passo-apasso, screenshots e soluções, especialmente preparada para a sua diversão! !

82

LABORATÓRIO

 Tudo sob controle

 Você quer saber qual o uso que seu computador faz da CPU, memória e outros recursos, além de verificar o recebimento de emails? Delegue essa tarefa ao GKrellM, um programa enxuto, que oferece plugins adicionais, especialista em monitorar o sistema na forma de eficientes gráficos. !

http://www. linuxmagazine.com.br