La sicurezza delle reti informatiche
annuncio pubblicitario
Sicurezza delle reti informatiche: come, dove e perchè F.Baiardi *, S.Suin+, C.Telmon* *Dipartimento di Informatica, +Centro SerRA Università di Pisa Fabrizio Baiardi-I punti critici -1 © Fabrizio Baiardi, 1999 Sicurezza Informatica UniPI corso Sicurezza delle Reti -DU in Informatica progetto Credits corsi specialistici sviluppo di software per sicurezza proxy sicuro firewall kit autorità di certificazione in Java Fabrizio Baiardi-I punti critici -2 © Fabrizio Baiardi, 1999 I temi trattati oggi I punti critici di una rete informatica come individuarli Gli strumenti per attaccare come violare i punti critici Gli strumenti per difendersi dagli attacchi come rafforzare il sistema Fabrizio Baiardi-I punti critici -3 © Fabrizio Baiardi, 1999 Politiche di sicurezza la definizione della politica di sicurezza non può che partire da una analisi dei rischi l’analisi dei rischi deve individuare i punti critici criticità = ridotta robustezza Fabrizio Baiardi-I punti critici -4 © Fabrizio Baiardi, 1999 Robustezza Informatica robustezza di un componente = capacità di non danneggiare il sistema in cui è inserito quando vengono violate le specifiche del componente stesso violazione delle specifiche = input diversi da quelli specificati, risorse diverse da quelle specificate Fabrizio Baiardi-I punti critici -5 © Fabrizio Baiardi, 1999 Robustezza Informatica è una proprietà diversa da correttezza, efficienza, facilità d’uso, .... è in contrasto con efficienza e facilità d’uso, può aumentare solo a spese di queste due proprietà No Free Lunch Theorem Fabrizio Baiardi-I punti critici -6 © Fabrizio Baiardi, 1999 Robustezza Informatica Un programma per il calcolo degli stipendi che dato un nome restituisce lo stipendio - corretto se calcola lo stipendio esatto - efficiente se impiega poco tempo - facile da usare se addestramento è breve - robusto ???? Fabrizio Baiardi-I punti critici -7 © Fabrizio Baiardi, 1999 Robusto .... nome sbagliato nome non esistente allocata meno memoria di quella necessaria file con nomi non esistente file con qualifiche non esistente disco non esistente .... Fabrizio Baiardi-I punti critici -8 © Fabrizio Baiardi, 1999 Quanto robusto .... è estremamente difficile prevedere tutte le possibili violazioni delle specifiche robustezza non è una proprietà 0/1 misura di robustezza = associare ad ogni componente un valore da 0 a 1 1 è valore asintotico Fabrizio Baiardi-I punti critici -9 © Fabrizio Baiardi, 1999 Quanto robusto Robustezza 1 Numero dei controlli Fabrizio Baiardi-I punti critici -10 © Fabrizio Baiardi, 1999 Quanto robusto valore dipende dai controlli che il componente esegue sul proprio ambiente robustezza tende ad 1 al tendere ad infinito dei controlli normalmente i controlli sono inutili, ciò limita il numero dei controlli possibili senza danneggiare le Fabrizio Baiardi-I punti critici -11 prestazioni © Fabrizio Baiardi, 1999 Robustezza è stato provato come controlli anche banali siano in grado di rilevare numerose situazioni anomale quindi è bene eseguire controlli sofisticati solo dopo quelli semplici i controlli più significativi sono quelli sull’uso dei dati coerenti con i tipi dichiarati Fabrizio Baiardi-I punti critici -12 © Fabrizio Baiardi, 1999 Robustezza è inutile cercare di essere impenetrabili occorre essere costosi (tempo e danaro ) da penetrare Fabrizio Baiardi-I punti critici -13 © Fabrizio Baiardi, 1999 Sistema Robusto ... la robustezza di un sistema nasce dalla robustezza dei suoi componenti è inutile costruire sistemi ove componenti robusti interagiscono con componenti poco robusti criticità dei sistemi operativi e dei linguaggi di programmazione per la robustezza Fabrizio Baiardi-I punti critici -14 © Fabrizio Baiardi, 1999 Robustezza Globale ... Applicazioni Sistema Operativo Hardware è inutile, e dannoso, costruire applicazioni robuste su sistemi non robusti è inutile costruire utilizzare la crittografia su sistemi in punti cuicritici è facile Fabrizio Baiardi-I -15 © Fabrizio Baiardi, 1999 Robustezza globale ... la situazione può essere ancora più critica nel caso di linguaggi di programmazione un linguaggio poco robusto inficia tutte le applicazioni sviluppate con quel linguaggio un linguaggio con operazioni sui vettori non controllate non può essere robusto Fabrizio Baiardi-I punti critici -16 © Fabrizio Baiardi, 1999 Robustezza globale esistono molti attacchi a cui sono soggette tutte le applicazioni sviluppate in C tutti questi attacchi sono possibili perchè il C non controlla che le operazioni sui dati siano coerenti con il tipo dichiarato le operazioni sui vettori rispettino i limiti dichiarati per il vettore stesso Fabrizio Baiardi-I punti critici -17 © Fabrizio Baiardi, 1999 Come valutare la robustezza Caso di interesse : un componente condiviso di un sistema che definisce un insieme di operazioni le operazioni possono essere invocate da “utenti” che condividono il componente le operazioni sono fisse ma gli utenti possono variare Fabrizio Baiardi-I punti critici -18 © Fabrizio Baiardi, 1999 Valutazione: primo criterio esiste una struttura dati che rappresenta i diritti degli utenti sul componente diritto = operazioni che utente può invocare assenza di informazioni deve essere interpretata come un divieto la struttura o è interna al componente o è utilizzata dal sistema operativo Fabrizio Baiardi-I punti critici -19 © Fabrizio Baiardi, 1999 Valutazione: primo criterio struttura dati complessiva = matrice di protezione soggetto = può invocare una operazione = utente o altro componente oggetto = un componente condiviso controllo degli accessi = controllo dei diritti dei soggetti sugli oggetti Fabrizio Baiardi-I punti critici -20 © Fabrizio Baiardi, 1999 Matrice di protezione oggetti A B X Op1 Op1, Op2 Y Op3 Op1 C X Y Op3 Op1, Op2 Op4 Z Fabrizio Baiardi-I punti critici -21 © Fabrizio Baiardi, 1999 Matrice di protezione i controlli sono eseguiti ogni volta che un soggetto invoca una operazione riga della matrice = dominio di protezione di un soggetto non può esistere robustezza senza una qualche rappresentazione di questa struttura domini non gerarchici Fabrizio Baiardi-I punti critici -22 © Fabrizio Baiardi, 1999 Matrice di protezione nel caso in cui gli oggetti siano i file di un server ed i soggetti siano gli utenti del server stesso sono necessarie da 10 a 15 ore per rappresentare correttamente la matrice di protezione (stima NSA) in questo caso i diritti sono semplicemente lettura, scrittura ed esecuzione Fabrizio Baiardi-I punti critici -23 © Fabrizio Baiardi, 1999 Matrice di protezione sorge il problema della identificazione di un soggetto password crittografia uso di certificati e firma elettronica .... Fabrizio Baiardi-I punti critici -24 © Fabrizio Baiardi, 1999 Matrice di protezione non sempre questo criterio è applicabile perchè non tutte le risorse sono sotto il controllo del sistema ad esempio non è possibile garantire che nessuno stia monitorando il traffico sulle linee fisiche crittografia Fabrizio Baiardi-I punti critici -25 © Fabrizio Baiardi, 1999 Domini di protezione è fondamentale poter associare un dominio di protezione ad ogni applicazione il rispetto del dominio deve essere garantito dal sistema operativo del/dei nodi dove essa è eseguita questo mandatory access control si affianca a quello dell’applicazione stesso Fabrizio Baiardi-I punti critici -26 © Fabrizio Baiardi, 1999 Tre politiche per la robustezza il primo criterio evidenzia tre politiche che sono fondamentali per la robustezza controlli nell’accesso agli oggetti controlli di identificazione politiche di crittografia per l’identificazione dei soggetti per la confidenzialità dei dati Fabrizio Baiardi-I punti critici -27 © Fabrizio Baiardi, 1999 Valutazione: secondo criterio per rispecchiare l’avanzamento della computazione i diritti (e quindi la matrice) variano dinamicamente occorre minimizzare il dominio corrente di ogni soggetto al diminuire del dominio aumenta la capacità di rilevare comportamenti anomali Fabrizio Baiardi-I punti critici -28 © Fabrizio Baiardi, 1999 Valutazione: secondo criterio in teoria occorre modificare la matrice per ogni istruzione eseguita ovviamente questo produce un sistema robusto ma inutile una granularità più ragionevole è quella delle procedure o dei metodi Fabrizio Baiardi-I punti critici -29 © Fabrizio Baiardi, 1999 Valutazione: secondo criterio il criterio sottolinea l’importanza di eliminare le funzionalità non necessarie generalizzazione = la regola KISS Keep It Simple Stupid è più semplice garantire la robustezza di un sistema semplice non si attacca quel che non esiste Fabrizio Baiardi-I punti critici -30 © Fabrizio Baiardi, 1999 Valutazione: secondo criterio separare i componenti critici dal punto di vista della robustezza dagli altri possibile aumentare i controlli nei componenti critici per la robustezza un codice che deve essere commentato è troppo complesso per essere robusto Fabrizio Baiardi-I punti critici -31 © Fabrizio Baiardi, 1999 Valutazione: terzo criterio non deve essere possibile violare i controlli operando ad un livello diverso da quello considerato ciò avviene tipicamente se è possibile utilizzare nella stessa applicazione due linguaggi di programmazione con caratteristiche diverse (linguaggio ad alto livello e assembler) Fabrizio Baiardi-I punti critici -32 © Fabrizio Baiardi, 1999 Sistema Robusto Applicazioni Sistema Operativo Assembler Firmware Hardware Fabrizio Baiardi-I punti critici -33 © Fabrizio Baiardi, 1999 Valutazione: quarto criterio la robustezza aumenta se lo stesso controllo viene ripetuto in componenti diversi ad esempio il possesso di un diritto viene controllato prima nell’invocante e poi nell’invocato evitare i punti di caduta catastrofica = sandbox di Java, firewall, ... Fabrizio Baiardi-I punti critici -34 © Fabrizio Baiardi, 1999 Come utilizzare i criteri un uso paranoico dei criteri può portare a sistemi robusti ma inutilizzabili questo non sembra comunque un rischio a breve termine attualmente un pizzico di paranoia non può che essere utile e produttivo Fabrizio Baiardi-I punti critici -35 © Fabrizio Baiardi, 1999 Come utilizzare i criteri individuare i componenti critici inserire tutti i controlli che non riducono le prestazioni di tali componenti spesso il controllo può essere inserito in componenti che interagiscono con quelli ad elevata criticità bilanciamento del carico rilevazione veloce di violazioni Fabrizio Baiardi-I punti critici -36 © Fabrizio Baiardi, 1999 Come utilizzare i criteri stabilire la probabilità di attacco ad ogni punto aumentare la robustezza di un punto in maniera proporzionale agli attacchi non comprare un firewall poco robusto Fabrizio Baiardi-I punti critici -37 © Fabrizio Baiardi, 1999 a firewall is a replacement of the
