10.14. Recomendações de Segurança do FreeBSD
Contribuição de Tom Rhodes.Como muitos sistemas operacionais com qualidade de produção, FreeBSD publica ``Avisos de Segurança''. Estes avisos são usualmente enviados por email para listas de segurança e listados na Errata somente depois que as releases estão devidamente corrigidas. Esta seção irá explicar o que é um aviso, como entende-lo, e quais os meios para aplicar um patch em um sistema.
10.14.1. Com o que um aviso se parece?
Os avisos de segurança do FreeBSD são similares a este abaixo, retirado da lista de email sobre segurança.
=============================================================================
FreeBSD-SA-XX:XX.UTIL Security Advisory
The FreeBSD Project
Topic: denial of service due to some problem
Category: core
Module: sys
Announced: 2003-09-23
Credits: Person@EMAIL-ADDRESS
Affects: All releases of FreeBSD
FreeBSD 4-STABLE prior to the correction date
Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE)
2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6)
2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15)
2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8)
2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18)
2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21)
2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33)
2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43)
2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39)
FreeBSD only: NO
For general information regarding FreeBSD Security Advisories,
including descriptions of the fields above, security branches, and the
following sections, please visit
http://www.freebsd.org/security/.
I. Background
II. Problem Description
III. Impact(11)
IV. Workaround(12)
V. Solution(13)
VI. Correction details(14)
VII. References(15)
- O campo Topic indica exatamente o que é o problema. Ele é basicamente uma introdução ao aviso de segurança atual e cita o utilitário com a vulnerabilidade.
- O Category referencia a parte afetada do sistema que pode ser core, contrib, ou ports. A categoria core significa que a vulnerabilidade afeta um componente do núcleo do sistema operacional FreeBSD. A categoria contrib significa que a vulnerabilidade afeta aplicativos contribuídos ao Projeto FreeBSD, como Sendmail. Finalmente a caterogia ports indica que a vulnerabilidade afeta aplicativos adicionais disponíveis como parte da coleção de ports.
- O campo Module referencia a localização do componente, por exemplo ``sys''. Neste exemplo, nós vemos que o módulo, ``sys'', está afetado; consequentemente, esta vulnerabilidade afeta um componente usado dentro do kernel.
- O campo Announced reflete a data em que o aviso de segurança foi publicado, ou anunciado ao mundo. Isto significa que a equipe de segurança verificou que o problema existe e que a correcão foi enviada ao repositório de código fonte do FreeBSD.
- O campo Credits dá os créditos ao individuo ou organização que notou a vulnerabilidade e a reportou.
- O campo Affects explica quais as releases do FreeBSD são afetadas por esta vulnerabilidade. Para o kernel, uma rápida olhada na saída do ident nos arquivos afetados ajudará em determinar uma revisão. Para ports, o número da versão está listado depois do nome do port em /var/db/pkg. Se o sistema não faz sincronização com o repositório CVS do FreeBSD e é recompilado diariamente, há possibilidades de estar afetado.
- O campo Corrected indica a data, hora, time offset, e a release que foi corrigida.
- O campo FreeBSD only indica se esta vulnerabilidade afeta apenas o FreeBSD, ou se afeta outros sistemas operacionais também.
- O campo background dá informações sobre exatamente o que é o utilitário afetado. Na maioria das vezes porque o utilitário existe no FreeBSD, para que é usado, e um pouco de informações sobre como o utilitário vem a ser.
- O campo Problem Description explica a brecha na segurança em profundidade. Esta pode conter informações do código danificado, ou mesmo como o utilitário pode ser usado maliciosamente para abrir uma brecha na segurança.
- (11)
- O campo Impact descreve que tipo de impacto o problema pode causar no sistema. Por exemplo, este pode ser qualquer coisa como ataque de negação de serviço, atribuir privilégios extras disponíveis a usuários, ou dar acesso de superusuário ao atacante.
- (12)
- O campo Workaround oferece um feasible workaround para os administradores que podem estar impossibilitados de atualizar o sistema. Isto pode ser devido constraints de horario, disponibilidade de rede, ou uma série de outras razões. De qualquer forma, a segurança nao deve ser taken lightly, e um sistema afetado deve ser corrigido ou o workaround para a brecha na segurança deve ser implementado.
- (13)
- O campo Solution oferece instruções para corrigir o sistema afetado. Este é um método passo-a-passo testado e verificado para obter um sistema corrigido e trabalhando com segurança.
- (14)
- O campo Correction Details mostra a branch CVS ou nomes de release com os pontos trocados para caracteres underscore. Ele também mostra o número da revisão dos arquivos afetados em cada branch.
- (15)
- O campo References geralmente oferece fontes de outras informações. Este pode incluir URLs da web, livros, listas de discução, e grupos de notícia.