Fedora 18 Guia Inicialização Segura UEFI

Transcrição

1 Fedora 18 Guia Inicialização Segura UEFI Josh Boyer Kevin Fenzi Peter Jones Josh Bressers

2 Guia Inicialização Segura UEFI Fedora 18 Guia Inicialização Segura UEFI Edição Autor Josh Boyer Autor Kevin Fenzi Autor Peter Jones Autor Josh Bressers Editor Eric Christensen Copyright Fedora Project Contributors. The text of and illustrations in this document are licensed by Red Hat under a Creative Commons Attribution Share Alike 3.0 Unported license ("CC-BY-SA"). An explanation of CC-BY-SA is available at The original authors of this document, and Red Hat, designate the Fedora Project as the "Attribution Party" for purposes of CC-BY-SA. In accordance with CC-BY-SA, if you distribute this document or an adaptation of it, you must provide the URL for the original version. Red Hat, as the licensor of this document, waives the right to enforce, and agrees not to assert, Section 4d of CC-BY-SA to the fullest extent permitted by applicable law. Red Hat, Red Hat Enterprise Linux, the Shadowman logo, JBoss, MetaMatrix, Fedora, the Infinity Logo, and RHCE are trademarks of Red Hat, Inc., registered in the United States and other countries. For guidelines on the permitted uses of the Fedora trademarks, refer to Legal:Trademark_guidelines. Linux is the registered trademark of Linus Torvalds in the United States and other countries. Java is a registered trademark of Oracle and/or its affiliates. XFS is a trademark of Silicon Graphics International Corp. or its subsidiaries in the United States and/or other countries. MySQL is a registered trademark of MySQL AB in the United States, the European Union and other countries. All other trademarks are the property of their respective owners.

3 Preface v 1. Convenções de Documentos... v 1.1. Convenções Tipográficas... v 1.2. Convenções de Pull-Quote... vi 1.3. Notas e Avisos... vii 2. Nós precisamos de seu comentário... viii 1. O que é a Inicialização Segura UEFI? Do que a Inicialização Segura protege você? Do que a Inicialização Segura não protege você? Implementação da Inicialização Segura UEFI Chaves Shim Restrições Tools Shim Pesign EFIKeyGen sign-file Utilizando suas próprias chaves Criando chaves Criando chaves para a compilação do Shim Pacotes que necessitam ser refeitos Registrar suas chaves no firmware... 9 A. Histórico de Revisão 11 Índice Remissivo 13 iii

4 iv

5 Preface 1. Convenções de Documentos Este manual usa diversas convenções para destacar certas palavras e frases e chamar a atenção para informações específicas. Em PDF e edições de texto, este manual usa tipos de letras retiradas do conjunto de Fontes Liberation Fonts 1. O conjunto de Fontes Liberation Fonts, também é usado em formato HTML, caso o conjunto esteja instalado em seu sistema. Caso ainda não esteja, como forma alternativa, estão disponíveis tipos de letras equivalentes. Nota: O Red Hat Enterprise Linux 5 e versões mais recentes do mesmo, incluem o conjunto Liberation Fonts por padrão Convenções Tipográficas São usadas quatro convenções tipográficas para realçar palavras e frases específicas. Estas convenções, e circunstâncias a que se aplicam, são as seguintes: Negrito Espaço Único (Mono-spaced Bold) Usada para realçar entradas do sistema, incluindo comandos de shell, nomes de arquivos e caminhos. São também usadas para realçar tecla de Maiúsculas/Minúsculas e as combinações de teclas. Por exemplo: Para ver o conteúdo do arquivo my_next_bestselling_novel em sua pasta de trabalho atual, insira o comando cat my_next_bestselling_novel na janela de solicitação e pressione Enter para executar o comando. O comando acima inclui um nome de arquivo, um comando de shell e uma tecla cap, todos apresentados em Negrito Espaço Único (Mono-spaced Bold) e todos distintos, graças ao conteúdo. As combinações de Teclas podem ser diferenciadas da tecla Caps Lock por um hífen, conectando cada parte de uma combinação de teclas. Por exemplo: Pressione Enter para executar o comando. Pressione Ctrl+Alt+F2 para mudar para o primeiro terminal virtual. Pressione Ctrl+Alt+F1 para voltar para sua sessão do X-Windows. A primeira sentença, destaca uma tecla específica a ser pressionada. A segunda destaca duas combinações de teclas (cada conjunto de três teclas Caps com cada um pressionado simultaneamente). Caso o código fonte seja discutido, serão apresentados como acima, os nomes de classe, métodos, funções, nomes de variantes e valores retornados mencionados em um parágrafo, em Negrito de Espaço Único (Mono-spaced Bold). Por exemplo: Classes baseadas em arquivo, incluem filesystem para sistemas de arquivo, file para arquivos, e dir para diretórios. Cada classe possui seu conjunto próprio de permissões associadas. Negrito Proporcional 1 v

6 Preface Esta representa as palavras e frases encontradas no sistema, incluindo os nomes de aplicativos, texto de caixa de diálogo, botões rotulados, caixa de seleção e rótulos de botão de opção, títulos de menus e sub-menus. Por exemplo: Escolha Sistema Preferências Mouse a partir da barra de menu para obter Preferências de Mouse. Na aba Botões, clique na caixa de seleção Mouse para mão esquerda e clique em Fechar para mudar o botão do mouse anterior da esquerda para a direita (deixando-o assim, mais adequado para o uso do canhoto). Para inserir um caractere especial em um arquivo gedit, escolha Aplicativos Acessórios Mapa de Caracteresa partir da barra de menu principal. Depois, escolha a opçãopesquisar Encontrar a partir da barra de menu Mapa de Caracteres, digite o nome do caractere no campo Pesquisar e clique em Próximo. O caractere que você buscou estará em destaque na Tabela de Caracteres. Clique novamente nestes caracteres realçados para colocá-los no campo Texto para cópia e depois clique em Copiar. Agora mude novamente para seu documento e escolha Editar Colar a partir da barra de menu do gedit. O texto acima inclui nomes de aplicativos, nomes de menu e itens de todo o sistema, nomes de menu específicos do aplicativo, e botões e textos encontrados na Interface Gráfica GUI, todos apresentados em Negrito Proporcional (Proportional Bold) e todos diferenciados de acordo com o contexto. Itálico em Negrito de Espaço Único (Mono-spaced Bold Italic) ouitálico em Negrito Proporcional (Proportional Bold Italic) Sendo o Negrito Espaço Único (Mono-spaced Bold) ou Negrito Proporcional (Proportional Bold), os itálicos extras indicam textos substituíveis ou variáveis. O Itálico denota o texto que você não inseriu literalmente ou textos exibidos que mudam dependendo das circunstâncias. Por exemplo: Para conectar-se à uma máquina remota usando o ssh, digite ssh nome do usuário@domain.name na janela de comandos. Por exemplo, considre que a máquina remota seja example.com e seu nome de usuário nesta máquina seja john, digite ssh john@example.com. O comando mount -o remount file-system remonta o sistema de arquivo nomeado. Por exemplo, para remontar o sistema de arquivo /home, o comando é mount -o remount /home. Para ver a versão de um pacote instalado, use o comando rpm -q package. Ele retornará um resultado como este: package-version-release. Observe as palavras em negrito e itálicas acima nome de usuário, nome do domínio, sistema de arquivo, pacote, versão e lançamento. Cada palavra é um espaço reservado, tanto para o texto que você inseriu ao emitir um comando ou para o texto exibido pelo sistema. Além de uso padrão para apresentar o título de um trabalho, os itálicos denotam a primeira vez que um termo novo e importante é usado. Por exemplo: O Publican é um sistema de publicação do DocBook Convenções de Pull-Quote Resultado de terminal e listagem de código fonte são definidos visualmente com base no contexto. O resultado enviado à um terminal é configurado em Romano de Espaço Único (Mono-spaced Roman) e apresentado assim: vi books Desktop documentation drafts mss photos stuff svn

7 Notas e Avisos books_tests Desktop1 downloads images notes scripts svgs As listas de código fonte também são configuradas em Romano de Espaço Único (Monospaced Roman), porém são apresentadas e realçadas como a seguir: package org.jboss.book.jca.ex1; import javax.naming.initialcontext; public class ExClient { public static void main(string args[]) throws Exception { InitialContext inictx = new InitialContext(); Object ref = inictx.lookup("echobean"); EchoHome home = (EchoHome) ref; Echo echo = home.create(); System.out.println("Created Echo"); } } System.out.println("Echo.echo('Hello') = " + echo.echo("hello")); 1.3. Notas e Avisos E por fim, usamos três estilos visuais para chamar a atenção para informações que possam passar despercebidas. Nota Uma nota é uma dica ou símbolo, ou ainda uma opção alternativa para a tarefa em questão. Se você ignorar uma nota, provavelmente não resultará em más consequências, porém poderá deixar passar uma dica importante que tornará sua vida mais fácil. Importante Caixas importantes detalham coisas que são geralmente fáceis de passarem despercebidas: mudanças de configuração que somente se aplicam à sessão atual, ou serviços que precisam ser reiniciados antes que uma atualização seja efetuada. Se você ignorar estas caixas importantes, não perderá dados, porém isto poderá causar irritação e frustração. Aviso Um Aviso não deve ser ignorado. Se você ignorar avisos, muito provavelmente perderá dados. vii

8 Preface 2. Nós precisamos de seu comentário Se você encontrar erro ortográfico neste manual, ou se você tem uma sugestão para melhoramento deste manual, nós gostaríamos muito de ouvir sua opinião! Por favor submita um relatório em Bugzilla: contra o produto Fedora.. Uma vez submetendo um relatório de bug, por favor mencione a identificação do manual:uefi_secure_boot_guide. Se você tiver uma sugestão para o melhoramento deste documento, por favor tente ser o mais específico possível em sua descrição. Caso você tenha encontrado um erro, por favor inclua o número da seção e alguns detalhes a respeito do texto para a nossa melhor identificação. viii

9 O que é a Inicialização Segura UEFI? Inicialização Segura é uma configuração utilizando o firmware UEFI para verificar as assinaturas criptográficas no gerenciador de inicialização e no kernel do sistema operacional associado para garantir que apenas binários confiáveis sejam carregados durante o processo de inicialização. Essas assinaturas são verificadas contra as chaves armazenadas nas variáveis do UEFI. Se um binário contém uma assinatura válida, ele tem a permissão para ser executado. Caso contrário, o binário não obtém a permissão de execução. Versões anteriores do Fedora inicializados nesses equipamentos não irão iniciar até que o usuário desabilite a Inicialização Segura no firmware. Enquanto desabilitar a Inicialização Segura é uma opção viável que alguns usuários podem desejar escolher, ela não é a solução ideal. Para facilitar o funcionamento automático em novos hardwares, os mantenedores do GRUB, kernel, e pacotes associados implementaram o suporte a Inicialização Segura no Fedora. Em máquinas UEFI, Fedora utiliza um pequeno gerenciador de inicialização chamado shim que foi assinado pelo serviço de assinatura da Microsoft (via Verisign). Isso permite ao UEFI carregar o shim em máquinas prontas para o Windows 8 e dar continuidade ao processo de inicialização do Linux. Shim por sua vez inicializa o GRUB, que é assinado pela chave do Fedora. O GRUB então inicializa um Kernel Linux assinado de forma similar pelo Fedora que carrega o restante do sistema operacional no processo de inicialização usual. A máquina se mantém no modo de Inicialização Segura Do que a Inicialização Segura protege você? A Inicialização Segura é realmente apenas um mecanismo para proteger a fase de inicialização do sistema. O objetivo é previnir que códigos não confiáveis sejam inicializados no sistema, uma vez que essa parte foi verificada, é com o sistema operacional assumir a proteção. Isso dá o potencial para o sistema operacional extender a cadeia de confiança até os binários do usuários, mas isso está fora do foco desse documento. O Fedora expandiu a sua cadeia de confiança até o Kernel. A verificação ocorre até apenas os modulos assinados do Kernel, mas não é extendida aos aplicativos do espaço do usuários. Nós podemos ter certeza de que nenhum código não assinado está presente até que o ramdisk (initrd) inicial é carregado. Como o initrd não pode ser assinado, ele não pode ser verificado Do que a Inicialização Segura não protege você? A Inicialização Segura não protegerá seu computador de malware ou ataques. A Inicialização Segura em si é simplesmente para proteger a fase de inicialização do sistema. No %PRODUCT; se você utiliza a Inicialização Segura, quais os módulos o Kernel carrega podem ser restringidos, mais o malware no espaço do usuário não pode. Isso com certeza não significa que a Inicialização Segura não é útil, apenas que ela atualmente serve apenas para um único propósito, que é proteger o gerenciador de inicialização. 1

10 2

11 Implementação da Inicialização Segura UEFI A implementação da Inicialização Segura do Fedora inclui suporte para dois métodos de inicialização através do mecanismo de Inicialização Segura. O primeiro método utiliza o serviço de assinatura hospedado pela Microsoft para fornecer uma cópia do gerenciador de inicialização shim assinado com as chaves da Microsoft. O segundo método é uma forma mais geral do primeiro, onde um site ou usuário pode criar sua própria chave, implementá-la no firmware do sistema, e assinar seus próprios binários Chaves A solução de utilizar o serviço de assinatura da Microsoft foi simples. A chave que a Microsoft utiliza é distribuida em todos os hardwares conhecidos, o que resulta no Fedora ter a possibilidade de inicializar nesse hardware sem problemas. Existem com certeza riscos de depender de um terceiro para esses serviços. O Fedora Project está comprometido em acompanhar de perto as atividades nesse espaço e responderá a qualquer nova informação apropriadamente. O uso da chave na implementação do Fedora pode ser confusa por causa de sua complexidade. Aqui está como vários componentes estão assinados. Shim: Ele está assinado pelo serviço de assinatura do UEFI. Nós não temos controle dessa chave. O shim contém a chave pública de inicialização da Autoridade Certificadora da Inicialização do Fedora. GRUB: Ele está assinado pela chave "Signatário de Inicialização do Fedora", que se liga a chave da Autoridade Certificadora de inicialização do Fedora. O GRUB não contém nenhuma chave, ele se liga no shim para sua verificação. Kernel: Ele também é assinado pelo Signatário de Inicialização do Fedora. O kernel contém as chaves públicas utilizadas para assinar os módulos do kernel. Módulos do Kernel: Esses são assinados com uma chave privada gerada durante a compilação. A chave não é salva, e uma nova é utilizada em cada compilação do kernel. A Autoridade Certificadora da Inicialização Segura do Fedora é utilizada para verificar a integridade do GRUB e do kernel. A chave pública pode atualmente ser encontrada no código-fonte do shim. Os detalhes da chave são: Certificate: Data: Version: 3 (0x2) Serial Number: (0x9976f2f4) Signature Algorithm: sha256withrsaencryption Issuer: CN=Fedora Secure Boot CA Validity Not Before: Dec 7 16:25: GMT Not After : Dec 5 16:25: GMT Subject: CN=Fedora Secure Boot CA Subject Public Key Info: Public Key Algorithm: rsaencryption Public-Key: (2048 bit) Modulus: 00:ae:f5:f7:52:81:a9:5c:3e:2b:f7:1d:55:f4:5a: 68:84:2d:bc:8b:76:96:85:0d:27:b8:18:a5:cd:c1: 3

12 Capítulo 2. Implementação da Inicialização Segura UEFI 83:b2:8c:27:5d:23:0a:d1:12:0a:75:98:a2:e6:5d: 01:8a:f4:d9:9f:fc:70:bc:c3:c4:17:7b:02:b5:13: c4:51:92:e0:c0:05:74:b9:2e:3d:24:78:a0:79:73: 94:c0:c2:2b:b2:82:a7:f4:ab:67:4a:22:f3:64:cd: c3:f9:0c:26:01:bf:1b:d5:3d:39:bf:c9:fa:fb:5e: 52:b9:a4:48:fb:13:bf:87:29:0a:64:ef:21:7b:bc: 1e:16:7b:88:4f:f1:40:2b:d9:22:15:47:4e:84:f6: 24:1c:4d:53:16:5a:b1:29:bb:5e:7d:7f:c0:d4:e2: d5:79:af:59:73:02:dc:b7:48:bf:ae:2b:70:c1:fa: 74:7f:79:f5:ee:23:d0:03:05:b1:79:18:4f:fd:4f: 2f:e2:63:19:4d:77:ba:c1:2c:8b:b3:d9:05:2e:d9: d8:b6:51:13:bf:ce:36:67:97:e4:ad:58:56:07:ab: d0:8c:66:12:49:dc:91:68:b4:c8:ea:dd:9c:c0:81: c6:91:5b:db:12:78:db:ff:c1:af:08:16:fc:70:13: 97:5b:57:ad:6b:44:98:7e:1f:ec:ed:46:66:95:0f: 05:55 Exponent: (0x10001) X509v3 extensions: Authority Information Access: CA Issuers - URI: X509v3 Authority Key Identifier: keyid:fd:e3:25:99:c2:d6:1d:b1:bf:58:07:33:5d:7b:20:e4:cd:96:3b:42 X509v3 Extended Key Usage: Code Signing X509v3 Subject Key Identifier: FD:E3:25:99:C2:D6:1D:B1:BF:58:07:33:5D:7B:20:E4:CD:96:3B:42 Signature Algorithm: sha256withrsaencryption 37:77:f0:3a:41:a2:1c:9f:71:3b:d6:9b:95:b5:15:df:4a:b6: f4:d1:51:ba:0d:04:da:9c:b2:23:f0:f3:34:59:8d:b8:d4:9a: 75:74:65:80:17:61:3a:c1:96:7f:a7:c1:2b:d3:1a:d6:60:3c: 71:3a:a4:c4:e3:39:03:02:15:12:08:1f:4e:cd:97:50:f8:ff: 50:cc:b6:3e:03:7d:7a:e7:82:7a:c2:67:be:c9:0e:11:0f:16: 2e:1e:a9:f2:6e:fe:04:bd:ea:9e:f4:a9:b3:d9:d4:61:57:08: 87:c4:98:d8:a2:99:64:de:15:54:8d:57:79:14:1f:fa:0d:4d: 6b:cd:98:35:f5:0c:06:bd:f3:31:d6:fe:05:1f:60:90:b6:1e: 10:f7:24:e0:3c:f6:33:50:cd:44:c2:71:18:51:bd:18:31:81: 1e:32:e1:e6:9f:f9:9c:02:53:b4:e5:6a:41:d6:65:b4:2e:f1: cf:b3:b8:82:b0:a3:96:e2:24:d8:83:ae:06:5b:b3:24:74:4d: d1:a4:0a:1d:0a:32:1b:75:a2:96:d1:0e:3e:e1:30:c3:18:e8: cb:53:c4:0b:00:ad:7e:ad:c8:49:41:ef:97:69:bd:13:5f:ef: ef:3c:da:60:05:d8:92:fc:da:6a:ea:48:3f:0e:3e:73:77:fd: a6:89:e9:3f 2.2. Shim No Fedora existem dois pacotes que fazem o shim. O pacote de nome "shim" é o resultado da compilação do código-fonte que faz o shim. O pacote não inicializará o sistema se ele não estiver assinado. Os resultados da compilação do pacote shim são assinados, depois encorporados no pacote assinado shim. O pacote shim assinado contém o binário assinado que é capaz de inicializar o sistema. O pacote shim também contém uma lista negra de chaves nocivas ou binários que não deve ter permissão de inicialização. A lista negra é um arquivo chamado dbx.esl no pacote assinado do shim. A Microsoft fornecerá essa lista ao Fedora para inclusão. Isso pode resultar em atualizações periódicas do pacote assinado do shim que não alterarão a binário atual do shim, mas atualizarão a lista negra para garantir que códigos nocivos não possam ser executados. Os detalhes da lista negra devem vir da Microsoft. Nós não podemos atualizar a lista negra por conta própria. Os dados são assinados com uma chave da Microsoft que irá previnir atualizações não 4

13 Restrições autorizadas na lista. A Microsoft especificou que a lista negra é utilizada para prevenir o computador de inicializar chaves comprometidas e vulnerabilidades conhecidas. Em ambos os métodos de inicialização, o shim, o GRUB e o kernel detectarão que foram iniciados no que o UEFI descreve como "Modo do usuário" com a Inicialização Segura habilitada, e após detectar isso eles validarão o próximo estágio com uma chave pública criptografada específica do Fedora antes de inicializar. A validação é feita via shim para o GRUB, e o GRUB retorna ao shim para validar o kernel também. Após o kernel ser inicializado, ele também detectará que está no modo de Inicialização Segura, o que causará que algumas coisas aconteçam: Ele validará o comando de inicialização para permitir apenas certas configurações do Kernel Ele irá checar os módulos no momento do carregamento pelas assinaturas e recusar o carregamento dos mesmos se eles não estiverem assinados ou estiverem com uma assinatura não encontrada nas variáveis de armazenamento de chaves UEFI (veja as notas) Ele recusará quaisquer operações do espaço do usuário que causem DMA definido pelo espaço do usuário. Nota Outras distribuições escolharam não precisar de módulos assinados do kernel em suas implementações da Inicialização Segura. O Fedora acredita que para suporte completo da Inicialização Segura isso é necessário. Nós estamos trabalhando para limitar o impacto disto enquanto garantimos que código não confiável de módulos não ganhem permissão para serem executados Restrições Essas restrições estão em vigor para serem totalmente compatíveis com a Inicialização Segura. Isso que nos obriga a evitar a qualquer execução de código não confiável no nível de supervisor. A maior parte dos usuários não notarão essas restrições já que a maioria dos pacotes do nível do usuário que necessitam desse acesso foram consertados para funcionarem sem isso. Entretando, existem alguns poucos serviços e recursos que não funcionarão nesse momento em uma máquina com a Inicialização Segura habilitada. Eles incluem: kexec/kdump Hibernar (suspender para o disco) Módulos de terceiros que não estão assinados, ou estão assinados com uma chave desconhecida Testando o systemtap do Kernel (e Kprobes) Nota Em futuras melhorias no suporte a Inicialização Segura o acima pode também ser possível, entretanto implementações seguras não foram possíveis no prazo do Fedora 18. Se você necessita do suporte de alguns desses recursos, a Inicialização Rápida deve ser desabilitada. 5

14 Capítulo 2. Implementação da Inicialização Segura UEFI Importante Atualmente, o Fedora shim foi assinado de uma forma que tem a data de expiração em Outubro de 2013, antes do fim do ciclo de vida do Fedora 18. Nós não temos conhecimento de qualquer hardware que honre essa data de expiração, mas isto não está fora de questão. Essa foi a data que a Microsoft deu a assinatura, o Fedora não tem controle sobre ela. Nós estamos investigando esse problema e experamos resolvê-lo no futuro. 6

15 Tools Several tools have been developed to allow Fedora to work with the UEFI Secure Boot firmware Shim Shim is the cryptographically signed software that creates the trust between the UEFI firmware and GRUB and the kernel software. Shim is cryptographically signed by Verisign (via Microsoft) so that the UEFI firmware will cryptographically recognize the Fedora system and allow the software to continue through the boot process. The shim validates GRUB and kernel through a cryptographic verification based on a Fedora key used to sign all three Pesign Pesign allows users to create their own shim and use their own cryptographic keys. Using this tool, one can create their own trust model and not be required to trust the Microsoft trust model. Once the user has created their keys and signed their shim, and optionally signed and built GRUB and kernel, they can use the setup mode in the firmware to install Fedora and use the sbsetup tool as provided by pesign to enroll their keys in the firmware EFIKeyGen 3.4. sign-file 7

16 8

17 Utilizando suas próprias chaves 4.1. Criando chaves 4.2. Criando chaves para a compilação do Shim 4.3. Pacotes que necessitam ser refeitos Registrar suas chaves no firmware 9

18 10

19 Apêndice A. Histórico de Revisão Revisão 18-2 Mon 04 February 2013 Eric Christensen Reescrita completa da maioria dos capítulos. Revisão 18-1 Fri 04 January 2013 Eric Christensen Atualizado capítulo 'O que é a Inicialização Segura'. (BZ ) Atualizado capítulo "Implementação". (BZ ) Atualizado endereço de de Josh Boyer. (BZ ) Revisão 0-1 Thu Jul Eric Christensen sparks@fedoraproject.org Criação inicial do livro por publican 11

20 12

21 Índice Remissivo definition, 7 A Autoridade Certificadora da Inicilização Segura do Fedora, 3 C chaves Autoridade Certificadora da Inicilização Segura do Fedora chave pública, 3 expiração Fedora 18, 6 GRUB, 3 kernel, 3 shim, 3 comentário contato de informação para este manual, viii E EFIKeyGen definition, 7 G GRUB, 1 chave, 3 integridade, 3 I Inicialização Segura chaves, 3 Implementação, 3 lista negra, 4 restrições, 5 K kernel chave, 3 integridade, 3 P pesign definition, 7 sbsetup, 7 S shim, 1 chave, 3 definition, 7 explicação, 4 sign-file 13

22 14