Segurança em Home Page Prof. Roberto Amaral
Segurança de servidor da Web <ul><li>Apache é o servidor mais popular de http e fornece muitos mecanismos de segurança pre...
Contorlando acesso :  access.conf <ul><li>Controle de acesso de rede baseado em host  </li></ul><ul><ul><li>#  Controle de...
Usando estas diretivas <ul><li>Em conjunto, pode-se aplicar controle de acesso de varias maneiras: </li></ul><ul><ul><li>I...
Triagem inclusiva <ul><li>permitindo explicitamente hosts autorizados </li></ul><ul><ul><li># Controle de quem pode obter ...
Triagem exclusive <ul><li>bloqueando explicitamente hosts indesejáveis </li></ul><ul><ul><li># Controle de quem pode obter...
Adicionando controle de acesso de diretório <ul><li>Alem das medidas vistas anteriormente, pode-se também adicionar proteç...
htpasswd <ul><li>O sistema htpasswd oferece controle de acesso nos níveis de usuário e grupo via três arquivos de configur...
Autenticação simples baseada em usuário <ul><li>Como a autenticação de grupo não esta envolvida, você precisa segui os pas...
Criando um banco de dados  .htpasswd <ul><li>Para criar m novo banco de dados de senha  .htpasswd , emita o comando  htpas...
Cirando um novo arquivo  .htaccess <ul><li>O arquivo  .htaccess  armazena suas regras de acesso e varias informações de co...
Cirando um novo arquivo  .htaccess <ul><li>Eis o arquivo  .htaccess  para o diretório da Web de orelha. </li></ul><ul><ul>...
Cirando um novo arquivo  .htaccess <ul><li>O arquivo consiste em cinco diretivas: </li></ul><ul><ul><li>AuthUser File – Ap...
Cirando um novo arquivo  .htaccess <ul><li>Quatro diretivas internas de diretiva Limit oferecem controle de acesso mais re...
Autenticação de http baseada em grupo <ul><li>Deve-se criar um arquivo  .htgroup </li></ul><ul><li>Designar um grupo </li>...
Autenticação de http baseada em grupo <ul><li>AuthUserFile /home/orelha/public_html/.htpasswd </li></ul><ul><li>AuthGroupF...
Autenticação de http baseada em grupo <ul><li>Especificar regras de acesso para o grupo patetas </li></ul><ul><ul><li>Auth...
Fraquezas na autenticação de http básica <ul><li>Autenticação de http básica é um excelente correção para proteger com sen...
Fraquezas na autenticação de http básica <ul><li>é recomendável não armazenar arquivos  .htpasswd   nos diretorios que ele...
Configuração httpd.conf <Directory /var/www/html/wesley> AllowOverride FileInfo AuthConfig Limit Options MultiViews Indexe...
Próximos SlideShares
Carregando em…5
×

Segurança em Home Page

778 visualizações

Publicada em

Publicada em: Tecnologia
0 comentários
0 gostaram
Estatísticas
Notas
  • Seja o primeiro a comentar

  • Seja a primeira pessoa a gostar disto

Sem downloads
Visualizações
Visualizações totais
778
No SlideShare
0
A partir de incorporações
0
Número de incorporações
2
Ações
Compartilhamentos
0
Downloads
15
Comentários
0
Gostaram
0
Incorporações 0
Nenhuma incorporação

Nenhuma nota no slide

Segurança em Home Page

  1. 1. Segurança em Home Page Prof. Roberto Amaral
  2. 2. Segurança de servidor da Web <ul><li>Apache é o servidor mais popular de http e fornece muitos mecanismos de segurança predefinidos, incluindo </li></ul><ul><ul><li>Controle de acesso de rede baseado em host </li></ul></ul><ul><ul><li>Controle sobre se e onde usuários locais podem executar scripts </li></ul></ul><ul><ul><li>Controle sobre se e como usuários locais podem anular sua configurações </li></ul></ul>
  3. 3. Contorlando acesso : access.conf <ul><li>Controle de acesso de rede baseado em host </li></ul><ul><ul><li># Controle de quem pode obter material desse servidor </li></ul></ul><ul><ul><li>Order allow, deny </li></ul></ul><ul><ul><li>Allow from all </li></ul></ul><ul><ul><li>Sendo que : </li></ul></ul><ul><ul><ul><li>Allow – A diretiva que controla que hosts podem concectar-se e oferece quatro opções : all, none ou lista </li></ul></ul></ul><ul><ul><ul><li>Deny – Controla que hosts não pode se conectar e oferece quatro opções : all, none ou lista </li></ul></ul></ul><ul><ul><ul><li>Order – Controla a ordem em que as regras allow/deny são aplicadas e oferece três ecolhar : allow, deny, mutual-failure </li></ul></ul></ul>
  4. 4. Usando estas diretivas <ul><li>Em conjunto, pode-se aplicar controle de acesso de varias maneiras: </li></ul><ul><ul><li>Inclusiva – Nomeia-se explicitamente todos os hosts autorizados </li></ul></ul><ul><ul><li>Exclusivamente – Nomeia-se explicitamente todos os hosts não autorizados </li></ul></ul><ul><ul><li>Inclusiva e exclusiva – Mistura e combina ambos os casos acima. </li></ul></ul>
  5. 5. Triagem inclusiva <ul><li>permitindo explicitamente hosts autorizados </li></ul><ul><ul><li># Controle de quem pode obter material desse servidor </li></ul></ul><ul><ul><ul><li>Order allow, deny </li></ul></ul></ul><ul><ul><ul><li>Allow from 200.198.103.143 </li></ul></ul></ul><ul><ul><ul><li>Deny from all </li></ul></ul></ul>
  6. 6. Triagem exclusive <ul><li>bloqueando explicitamente hosts indesejáveis </li></ul><ul><ul><li># Controle de quem pode obter material desse servidor </li></ul></ul><ul><ul><ul><li>Order allow, deny </li></ul></ul></ul><ul><ul><ul><li>Allow from All </li></ul></ul></ul><ul><ul><ul><li>Deny from 200.198.103.145 </li></ul></ul></ul>
  7. 7. Adicionando controle de acesso de diretório <ul><li>Alem das medidas vistas anteriormente, pode-se também adicionar proteção adicional de senha e controle de acesso no nível de diretório com htpasswd , e permitir que seus usuários façam o mesmo em uma base por diretório. </li></ul>
  8. 8. htpasswd <ul><li>O sistema htpasswd oferece controle de acesso nos níveis de usuário e grupo via três arquivos de configuração. Cada arquivo cumpre uma função diferente no processo. </li></ul><ul><li>  </li></ul><ul><ul><li>. htpasswd – Banco de dados de senha </li></ul></ul><ul><ul><li>.htgroup – arquivo de grupo htpasswd </li></ul></ul><ul><ul><li>.htaccess – arquivo de acesso htpasswd. Armazena as regras de acesso (allow, deny), a localização de arquivos de configuração, o método de autenticação e assim por diante. </li></ul></ul>
  9. 9. Autenticação simples baseada em usuário <ul><li>Como a autenticação de grupo não esta envolvida, você precisa segui os passos: </li></ul><ul><ul><li>Criar um novo banco de dados de .htpasswd </li></ul></ul><ul><ul><li>Criar um novo arquivo .htaccess </li></ul></ul>
  10. 10. Criando um banco de dados .htpasswd <ul><li>Para criar m novo banco de dados de senha .htpasswd , emita o comando htpasswd mais a opção –c, o nome de arquivo de senha e o nome de usuário, assim: </li></ul><ul><li>$ /usr/sbin/htpasswd –c .htpasswd orelha </li></ul>Arquivo Usuário
  11. 11. Cirando um novo arquivo .htaccess <ul><li>O arquivo .htaccess armazena suas regras de acesso e varias informações de configuração. Para criá-lo, pode-se utilizar qualquer editor de texto. </li></ul>
  12. 12. Cirando um novo arquivo .htaccess <ul><li>Eis o arquivo .htaccess para o diretório da Web de orelha. </li></ul><ul><ul><li>AuthUserFile /home/orelha/public_html/.htpasswd </li></ul></ul><ul><ul><li>AuthGroupFile /dev/null </li></ul></ul><ul><ul><li>AuthName orelha </li></ul></ul><ul><ul><li>AuthType Basic </li></ul></ul><ul><ul><li>  </li></ul></ul><ul><ul><li><Limit GET POST> </li></ul></ul><ul><ul><li>Require user orelha </li></ul></ul><ul><ul><li></Limit> </li></ul></ul>
  13. 13. Cirando um novo arquivo .htaccess <ul><li>O arquivo consiste em cinco diretivas: </li></ul><ul><ul><li>AuthUser File – Aponta para a localização do banco de dados ;htpasswd </li></ul></ul><ul><ul><li>AuthGroupFile – Aponta para a localização de seu arquivo de acesso de grupo. Normalmente .htgroup . </li></ul></ul><ul><ul><li>AuthName – Arqmazena uma string de texto definida pelo usuário para exibir quando a caixa de diálogo de autenticação aparecer. </li></ul></ul><ul><ul><li>AuthType – Identifica o método de autenticação. </li></ul></ul><ul><ul><li>Limit – Controla que usuários tem acesso permitido, que tipo de acesso eles podem obter (como GET, PUT e POST) e a ordem em que essas regras são enviadas. </li></ul></ul>
  14. 14. Cirando um novo arquivo .htaccess <ul><li>Quatro diretivas internas de diretiva Limit oferecem controle de acesso mais refinado . </li></ul><ul><ul><li>Require – Especifica quais usuários ou grupos podem acessar o diretório protegido por senha. </li></ul></ul><ul><ul><li>Allow – Controla que hosts podem acessar o diretório protegido </li></ul></ul><ul><ul><li>Deny – especifica quais hosts são proibidos de acessar o diretório protegido </li></ul></ul><ul><ul><li>Order – controla a ordem em que o servidor avaliará regras de acesso. </li></ul></ul>
  15. 15. Autenticação de http baseada em grupo <ul><li>Deve-se criar um arquivo .htgroup </li></ul><ul><li>Designar um grupo </li></ul><ul><li>O arquvo é dividido em dois campos. O primeiro identifica o grupo e o segundo armazena sua lista de usuários. </li></ul><ul><li>Depois de criar .htgroup , editar .htaccess e especificar a localização de .htgroup: </li></ul>
  16. 16. Autenticação de http baseada em grupo <ul><li>AuthUserFile /home/orelha/public_html/.htpasswd </li></ul><ul><li>AuthGroupFile /home/orelha/public_html/.htgroup </li></ul><ul><li>AuthName orelha </li></ul><ul><li>AuthType Basic </li></ul><ul><li>  </li></ul><ul><li><Limit GET POST> </li></ul><ul><li>Require user orelha </li></ul><ul><li></Limit> </li></ul>
  17. 17. Autenticação de http baseada em grupo <ul><li>Especificar regras de acesso para o grupo patetas </li></ul><ul><ul><li>AuthUserFile /home/orelha/public_html/.htpasswd </li></ul></ul><ul><ul><li>AuthGroupFile /home/orelha/public_html/.htgroup </li></ul></ul><ul><ul><li>AuthName orelha </li></ul></ul><ul><ul><li>AuthType Basic </li></ul></ul><ul><ul><li>  </li></ul></ul><ul><ul><li><Limit GET POST> </li></ul></ul><ul><ul><li>require group patetas </li></ul></ul><ul><ul><li></Limit> </li></ul></ul>
  18. 18. Fraquezas na autenticação de http básica <ul><li>Autenticação de http básica é um excelente correção para proteger com senha diretórios de mas: </li></ul><ul><ul><li>.htpasswd – protege estritamente contra abordagens externas. Ele não protege diretórios locais da Web contra usuários locais que podem acessar esses diretórios diretamente, via o sistema de arquivos ou por outros serviços, sem utilizar um cliente de Web. </li></ul></ul><ul><ul><li>Por padrão, o sistema de htpasswd não fornece nenhum mecanismo de broqueio de senha e portanto convida ataques apoiados, reiterativos ou de forca bruta. Os invasores podem tentar quantos nomes e senha quiserem. </li></ul></ul>
  19. 19. Fraquezas na autenticação de http básica <ul><li>é recomendável não armazenar arquivos .htpasswd   nos diretorios que eles protegem </li></ul><ul><li>invasores podem fazer um sniffing de trafego de autenticacao </li></ul>
  20. 20. Configuração httpd.conf <Directory /var/www/html/wesley> AllowOverride FileInfo AuthConfig Limit Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec <Limit GET POST OPTIONS PROPFIND> Order allow,deny Allow from all </Limit> <LimitExcept GET POST OPTIONS PROPFIND> Order deny,allow Deny from all </LimitExcept> </Directory>

×