Controlo
de acessos

Um servidor Web é seguro quando está desligado e trancado num cofre. Infelizmente esse servidor também é inútil para alojamento.

A segurança de servidores é sempre um compromisso entre portas fechadas e funcionalidade. Na Cynergi julgamos ter conseguido um excelente equilíbrio destes requisitos.

Quando entrar com FTP* privado numa conta de alojamento vai encontrar as seguintes pastas (alguns nomes foram alterados por questões de segurança):

conf
home
logs
mail
priv
www

A pasta "logs" contém os seus registos (logs) de acesso ao site para descarregar. Não pode criar novos ficheiros aqui ou apagar/alterar os existentes – eles serão apagados automaticamente.

"mail" contém as mensagens e configurações de todas as contas de correio electrónico. Só é possível entrar nesta pasta para ler e-mail (i.e., por POP*/IMAP*, e nunca por FTP, PHP* ou CGI*).

"www" e "conf" estão ambas acessíveis por FTP, PHP e CGI, mas o servidor Web só tem permissões para usar "www" para ficheiros do site. "conf" só poderá então ser usada pelo site indirectamente para guardar ficheiros de configuração (PHP, XML ou outro formato) usados por PHP e CGI mas que não devem ser lidos directamente por um browser*.

"priv" só pode ser acedido pelo FTP privado principal. Serve para troca privada de ficheiros entre colaboradores de uma empresa, assegurando privacidade.

Por fim "home" é uma pasta onde são criadas as contas de utilizadores "secundários" de FTP privado. É acessível por FTP, PHP e CGI, de forma a que se pode ter colaboradores internos e externos gerirem partes do site sem poderem aceder a outras partes.

Cada utilizador "secundário" de FTP terá o seu próprio utilizador no sistema operativo. Isto permite obter mais informações durante uma análise forense ao site caso o mesmo seja comprometido em termos de segurança.

ISO/IEC 15408
e actualizações

Os nossos serviços de alojamento usam sistemas operativos que atingiram o nível de segurança C2 da norma TCSEC* e o nível EAL 4+ da norma ISO/IEC 15408*, o que significa que são "metodicamente desenhados, testados e revistos" para serem seguros. Os níveis EAL 5 e acima tipicamente envolvem exigências de segurança ao nível governamental.

Os servidores com ambos os sistemas operativos Unix e Windows estão configurados para se manterem actualizados diariamente, assegurando que os níveis de segurança se mantêm.

Confidencialidade
e integridade de dados

O nosso alojamento Web permite a criação de túneis SSH* (uma espécie de VPN* entre um seu computador e o servidor) para aceder aos serviços de forma privada.

Esta tecnologia não impede que terceiros vejam a comunicação entre um seu computador e o servidor, mas impede que a compreendam.

Os serviços Web (HTTP*), FTP* e e-mail (SMTP*, POP* e IMAP*) também estão disponíveis para acesso por TLS/SSL* que oferecem o mesmo tipo de privacidade mas de forma mais simples de utilizar.

Configuração
especializada

Segurança não se reduz a permissões de pastas e ficheiros, mas também à configuração segura de serviços e funcionalidades.

Cada servidor tem todos os serviços desligados, à excepção daqueles que oferece aos clientes. Existe uma firewall que detecta comportamentos inaceitáveis (port scans, etc.), bloqueando esses acessos e existem relatórios diários dos registos (logs) do servidor enviados para administradores de servidores da Cynergi para auditoria e averiguação de situações que mereçam maior escrutínio.

A nossa rede de servidores segue um modelo peer-to-peer* onde cada servidor funciona de forma quase totalmente independente. Isto inclui a autenticação entre servidores, ou seja cada servidor não confia implicitamente nos restantes e obriga-os a fornecerem credenciais adequadas para cada operação que lhe pedem. Isto significa que se um cliente for comprometido por um hacker, apenas os serviços desse cliente (em qualquer servidor) poderão ser manipulados pelo hacker. Da mesma forma, se um servidor inteiro for comprometido por um hacker, este não conseguirá ter automaticamente acesso aos restantes servidores.

PHP*, Perl*, MySQL* e outros recursos de desenvolvimento oferecidos no nosso alojamento Web estão configurados para segurança. Isto significa a delimitação das áreas do sistema onde cada cliente pode trabalhar, a limitação de recursos informáticos (tempo de processamento, memória, espaço em disco, etc.) que podem usar ou a eliminação de funcionalidades antigas que causam problemas de segurança conhecidos.

O PHP por exemplo está configurado para não definir variáveis globais automaticamente quando recebe dados do exterior e o MySQL está configurado para obrigar ao uso de senhas (passwords) fortes, eliminando alguns problemas de segurança que se conheciam neste motor. A interacção entre os dois pode ser feito sem recurso a senhas (apenas "mysql_connect()") já que as credenciais MySQL estão pré-configurados para cada conta em ficheiros privados não acessíveis pelos clientes. Isto limita os estragos de um site comprometido.

Mais sobre a configuração PHP