Testo e Soluzione 2008

Simulazione di Esame di Stato – materia: SISTEMI
sistema telematico di votazione
YABC – ESAME DI STATO DI ISTITUTO TECNICO INDUSTRIALE
CORSO SPERIMENTALE – PROGETTO “ABACUS”
Indirizzo: INFORMATICA
Tema di: SISTEMI DI ELABORAZIONE E TRASMISSIONE DELLE INFORMAZIONI
Si vuole progettare un sistema di votazione telematico. Questa la struttura di massima della
rete nazionale:
• vi è un Centro Nazionale di raccolta dati contenente un unico server nazionale e 20
server regionali
• ad ogni Regione appartengono mediamente 400 Comuni, ciascuno con il proprio
Centro Comunale di raccolta dati
• ad ogni Comune fanno capo due o più Sedi elettorali (fino ad un massimo di 40), per
un totale di circa 80.000 sedi distribuite tra i circa 8.000 Comuni
• ogni sede è composta da 4 postazioni di voto
Queste le funzionalità dei vari nodi della rete:
• nel Centro Nazionale di raccolta dati vi è un server nazionale, contenente un database
con i dati degli aventi diritto al voto (cognome, nome, data di nascita, sesso, indirizzo
completo, codice fiscale, ha votato, …), i dati dei partiti e dei candidati che si devono
votare, ed i dati delle votazioni (voto espresso, eventuali preferenze, …); vi sono anche
20 server regionali, con funzione di trasferimento dati tra il server nazionale e i vari
comuni di ciascuna regione
• in ogni Centro Comunale di raccolta dati vi è un server in grado di comunicare con il
relativo server regionale e con le singole sedi elettorali di quel Comune
• in ogni Sede elettorale vi è anche un server in grado di comunicare con il relativo
Centro Comunale di raccolta dati. Nel server, opportunamente configurato, dovrà
essere caricato il database locale contenente le informazioni degli aventi diritto al voto
per quella sede, dei partiti partecipanti e delle votazioni effettuate localmente
• si supponga che i votanti siano 32.000.000 e che la media dei votanti sia del 75%
• ad ogni sede viene assegnato un Responsabile di seggio con funzione organizzative e
burocratiche, ed un Tecnico di seggio con funzioni di avviamento e supervisione della
tecnologia in uso (hardware e software)
• ogni due ore dall’apertura delle votazioni, il Centro Nazionale di raccolta dati deve
diffondere le percentuali di quanti hanno votato a livello comunale, regionale e
nazionale.
Fatte le debite ipotesi, opportunamente motivate, il candidato:
1. proponga la struttura logica e funzionale della rete telematica di votazione, dei
dispositivi che la supportano e dei servizi offerti ai vari livelli di rete (dove localizzare i
server, quali caratteristiche devono avere le linee di comunicazione tra le varie località,
le ipotesi sul traffico prima, durante e dopo le votazioni, considerazioni su sicurezza,
affidabilità, organizzazione, numero di personale necessario, altro)
2. proponga a scelta
a.s. 2007/08
pag. 1 di 17
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
sistema telematico di votazione
o l’organizzazione della rete e delle funzioni svolte dal software, all’interno di una
sede elettorale, con particolare riferimento alla topologia fisica e logica della
rete, ai dispositivi di rete utilizzati, alla configurazione degli eventuali ulteriori
calcolatori, all’hardware ed alla conseguente procedura necessaria per
esprimere il proprio voto, alle soluzioni per dotare la sede di opportune garanzie
di servizio e di sicurezza
o l’organizzazione della rete e delle funzioni svolte dal software, all’interno del
Centro Nazionale di raccolta dati, con particolare riferimento alla topologia fisica
e logica della rete, ai dispositivi di rete utilizzati, alla configurazione degli
eventuali server e client, alle soluzioni per dotare la sede di opportune garanzie
di servizio e di sicurezza
3. sviluppi una parte di codice relativa al progetto quale, ad esempio:
o il software di interfacciamento e gestione del meccanismo e/o dispositivo di voto
o il software client/server e/o relativo protocollo di comunicazione per trasferire i
dati tra Centro Comunale e sede elettorale, o tra Centro Nazionale e Centro
Comunale
4. valuti a scelta
o le implicazioni che deriverebbero dalla presenza, in ogni postazione di voto, di
opportuno sistema di identificazione biometrica (ad esempio l’impronta digitale)
o le implicazioni che deriverebbero dall’adozione della tecnologia wireless
all’interno di una sede elettorale.
_________________________________________
Durata massima della prova: 6 ore.
E’ consentito soltanto l’uso di manuali tecnici e di calcolatrici tascabili non programmabili.
Non è consentito lasciare l’Istituto prima delle 12:25.
a.s. 2007/08
pag. 2 di 17
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
sistema telematico di votazione
NOTA: questa documentazione non deve essere presa come un effettivo modello di soluzione. È infatti
TROPPO LUNGA, TROPPO DESCRITTIVA, TROPPO APPROFONDITA, in pratica è TROPPO. Vuole invece
proporre una serie di argomenti inerenti al tema proposto, che possono servire da spunto e da riflessione anche
per le prossime verifiche.
Traccia della soluzione:
1. Struttura logica e funzionale della rete nazionale
Server nazionale
Server
Regione 1
Server
Regione 20
Server
Regione 2
Centro Nazionale raccolta dati
Server
Comune 1
Server
Comune 400
Centro Comunale raccolta dati
Server
Comune 2
Server
Sede 1
Postazione 1
Postazione 2
Server
Sede 2-40
Postazione 3
Postazione 4
Organizzazione:
Molto prima del voto ogni Comune predispone l’elenco degli aventi diritto al voto del suo territorio, individua il
numero e la posizione delle sue sedi elettorali, ed invia questi dati al server regionale di appartenenza nel centro
nazionale. A loro volta i server regionali popolano il database del server nazionale, dove avviene anche la
validazione finale dei dati. A questo punto si chiudono le liste dei votanti, si completa il database con le
informazioni sui partiti, e poi il database nazionale si considera definitivo. Se necessario si stampano le eventuali
schede personali di voto.
Prima del voto i server regionali del Centro Nazionale interrogano il database nazionale e si scaricano
localmente i dati dei propri votanti. Successivamente i Centri Comunali raccolta dati si scaricano via
collegamento remoto le informazioni a loro attinenti e popolano i loro database locali. Infine le Sedi elettorali si
scaricano via collegamento remoto le informazioni a loro attinenti e popolano i relativi database locali.
Il voto si può svolgere in questo modo:
L’elettore entra nella Sede elettorale, si fa identificare dal Responsabile di seggio mediante documento di
identità, il quale verifica nel database locale che l’elettore non abbia già votato. L’elettore entra in una
postazione di voto, digita le informazioni relative al suo voto, le convalida con approvazione esplicita. A questo
a.s. 2007/08
pag. 3 di 17
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
sistema telematico di votazione
punto il voto viene memorizzato sul database locale e viene segnalata al Responsabile di seggio l’avvenuta
votazione.
Durante il voto, ogni 2 ore, un software opportuno inoltra le percentuali delle quantità di votanti al relativo Centro
Comunale, che a sua volta (dopo aver raccolto tutti quelli a lui afferenti) li inoltra al rispettivo server del Centro
Nazionale, che a sua volta (dopo aver raccolto tutti quelli a lui afferenti) aggiorna il server nazionale.
Alla fine del voto, con metodologia analoga a quella adottata per i trasferimenti dei dati periodici sui votanti,
Siamo in presenza di un traffico di natura impulsiva, cioè tutto addensato in istanti di tempo facilmente
individuabili: ogni due ore ed alla chiusura dei seggi. Per evitare che tutte le comunicazioni remote si accavallino
e generino collisioni o conflitti nell’accesso, è indispensabile organizzare la raccolta periodica dei dati sui votanti
e quella finale di esiti del voto mediante polling da parte dei nodi di livello superiore: cioè
• ogni server regionale del Centro Nazionale instaura sequenzialmente una connessione con tutti i Centri
Comunali relativi (prima con il server del Comune 1, poi con il server del Comune 2, 1) e richiede il
trasferimento dei dati raccolti.
• a loro volta, a seguito di questa richiesta, ogni Centro Comunale di raccolta dati instaura
sequenzialmente una connessione con tutte le sue sedi elettorali (prima con la sede 1, poi con la sede
2, 1) e richiede il trasferimento dei dati locali.
l’aggiornamento del server nazionale avviene tramite collegamento diretto (LAN) e quindi non sono prevedibili
problemi di conflitto nell’accesso.
Per valutare se questa organizzazione è valida, stimiamo i tempi di trasferimento delle varie informazioni
partendo dalla loro dimensione e dalla banda dei collegamenti.
server nazionale
dB nazionale
20 x server regionali
router
firewall
linea ADSL VPN
SEDE
ELETTORALE
linea ADSL VPN
router
firewall
PC
amm. rete
linea RTG di
riserva
server di
sede
linea ADSL VPN
router
firewall
CENTRO
COMUNALE
postazioni di voto
a.s. 2007/08
server
comunale
pag. 4 di 17
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
a.s. 2007/08
pag. 5 di 17
sistema telematico di votazione
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
sistema telematico di votazione
Per la valutazione delle dimensioni indicativa dei dati presenti nei vari server della rete, è necessario
considerare una varianza del 200% (il minimo è la metà della media, il massimo è il doppio della media) dovuta
alle diverse dimensioni delle regioni e dei comuni.
Database Nazionale:
Tabella votanti
32.000.000 di record, uno per ogni votante, contenente i campi:
cognome e nome:
100 caratteri
data di nascita:
8 caratteri
sesso:
1 carattere
indirizzo:
118 caratteri
codice Regione:
4 carattere
codice Comune:
4 caratteri
codice sede di voto:
4 carattere
codice fiscale:
16 caratteri
ha votato:
1 carattere
= totale 256 Byte per votante circa 8 GByte
Tabella partiti:
dimensione trascurabile
Tabella voti:
32.000.000 record, uno per ogni possibile votante, contenente i campi:
voto espresso:
2 carattere
preferenze:
3 caratteri
codice regione:
1 carattere
codice comune:
4 caratteri
codice sede di voto:
2 caratteri
= totale 12 Byte per votante circa 380 MByte
Database Regionale: Nazionale/20 = 420 MByte mediamente, con un minimo di 210 ed un massimo di 840.
Database Comunale: Nazionale/8.000 = 1 MByte mediamente, con un minimo di 0,5 ed un massimo di 2.
Database di sede: Nazionale/80.000 = 0,1 MByte mediamente, con un minimo di 0,05 ed un massimo di 0,2.
Supponendo un collegamento in ADSL tra le varie sedi, con una banda minima garantita di 256 Kbps, e
ipotizzando che il tempo medio di instaurazione e rilascio di una connessione per trasferire dati sia di 1 secondo,
si possono ora calcolare i traffici ed i tempi di trasferimento delle varie fasi di voto:
Traffico tra Sede elettorale e Centro Comunale:
inizializzazione database locale: 0,2 Mbyte (= 200*1024*8 [bit] ) a 256*1024 bps, pari a circa 7 sec,
trascurando i tempi di instaurazione e rilascio della connessione
percentuale votanti: assolutamente trascurabile, in quanto viene inviato un singolo valore numerico; il
tempo di trasferimento è trascurabile rispetto ai tempi di instaurazione e rilascio della
connessione
esiti dei voti: ipotizzando 20 partiti e 5 preferenze per partito, le informazioni specifiche dei voti si
riducono ad una tabella di 100 numeri interi, mentre quelle su chi ha votato si riferiscono
mediamente a 32.000.000 (numero aventi diritto) / 80.000 (numero delle sedi) = 400 votanti per
sede; supponendo di indicare con un carattere (Byte) l’avvenuta votazione, devono essere
trasferiti in totale 100+400 Byte, con un tempo di trasferimento totale ancora una volta
trascurabile
Tempo richiesto ad un Centro Comunale per raccogliere i dati di tutte le sue Sedi elettorali:
Dato che le Sedi elettorali per ogni Comune variano da un minimo di 2 ad un massimo di 40, il tempo
massimo necessario ad un Comune per raccogliere i dati sui votanti è essenzialmente quello
necessario ad instaurare e rilasciare le singole connessioni, quindi circa 40 secondi
Traffico tra Centro Comunale e Server Regionale:
inizializzazione database locale: 2 Mbyte (= 2*1024*1024*8 [bit] ) a 256*1024 bps, pari a circa 6,5 sec,
trascurando i tempi di instaurazione e rilascio della connessione
percentuali votanti: trascurabile, in quanto viene inviato un gruppo di 4.000 (uno per ogni Comune)
valori numerici; il tempo di trasferimento è trascurabile rispetto ai tempi di instaurazione e
rilascio della connessione
a.s. 2007/08
pag. 6 di 17
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
sistema telematico di votazione
esiti dei voti: i dati da trasferire sono 500 Byte per ogni sede, e sapendo che ogni Comune possiede da
2 a 40 sedi, al massimo un Comune deve trasferire 20.000 Byte
Tempo richiesto ad un server regionale per raccogliere i dati di tutti i suoi centri Comunali:
Dato che i Centri Comunali sono mediamente 400 per ogni regione, con la solita varianza del 200% ci
saranno regioni con 200 Comuni ed altre con 800. Il tempo massimo necessario ad un server
regionale per raccogliere i dati sulle percentuali dei votanti è determinato dai tempi di connessione e
rilascio, quindi 800 secondi (circa 13 minuti) in totale. Questo valore è ovviamente improponibile, dato
che queste informazioni dovrebbero essere comunicate in tempo reale ogni 2 ore! Ammettendo un
ritardo di 5 minuti sulla comunicazione delle percentuali, possiamo calcolare di quante linee ADSL
devono dotarsi ciascun server regionale per fornire i dati in tempo utile: in 5 minuti possono trasferire i
loro dati 5*60/1 = 300 Centri Comunali, quindi se ogni server regionale è dotato di 3 linee ADSL che
possono lavorare in parallelo, allora tutti i Comuni potranno trasferire i loro dati in tempo utile.
Ovviamente una valutazione più oculata sulla ripartizioni dei Comuni nelle varie regioni permette una
stima più accurata dei traffici ed una pianificazioni ottimizzata delle linee di accesso remoto, in quantità
differenziate tra i vari server.
Analogo discorso può essere fatto per la raccolta finale dei voti.
Considerazioni su sicurezza:
Ovviamente la rete deve garantire uno standard molto elevato di sicurezza, e la totale certezza di
memorizzare e trasferire i dati finali impedendo qualsiasi manipolazione.
Per far ciò occorre adottare una politica di sicurezza ben definita e studiata nei minimi dettagli. Dovranno
quindi essere pianificate le procedure umane ed informatiche che si dovranno adottare nelle varie fasi di
installazione, test, gestione e salvataggio dei dati delle votazioni. Non potendo descrivere
esaurientemente il problema, data la sua enorme estensione, si sceglie di affrontare solo le tematiche
strettamente informatiche, e si riassumono brevemente le tecnologie che si ritiene indispensabile
adottare:
• dopo aver scelto la configurazione hardware dei calcolatori necessari alla rete, che dovrà essere
standardizzata ed uguale per tutti i nodi, dovrà essere predisposta una configurazione comune e
trasferita in un supporto magnetico non riscrivibile sottoforma di file immagine contenente tutto il
software necessario (Sistema Operativo, driver adeguatamente configurati, periferiche inizializzate,
software applicativo pronto per l’uso). Ovviamente questa configurazione dovrà essere blindata
contro accessi indesiderati, modifiche non volute, ed in generale contro qualsiasi tipo di
manomissione. Questo assicura che tutti i calcolatori si troveranno in uno stato iniziale stabile, sicuro,
e soprattutto noto a priori. E in caso di interruzione del servizio, è garantita la ripartenza da uno stato
stabile.
• ogni funzionalità hardware e software dovrà essere duplicata, al fine di garantire una sufficiente
affidabilità di funzionamento anche in caso di guasto di una delle due componenti. Ovviamente dovrà
essere garantita anche la coerenza dei dati tra le due componenti (duplicazione in mirroring)
• per garantire una sufficiente continuità di servizio, ogni nodo della rete dovrà essere dotato di
opportuno gruppo di continuità atto a mantenere attive tutte le funzioni del nodo anche in assenza
totale o parziale dell’energia elettrica
• tutti i dati immagazzinati dovranno essere periodicamente duplicati e salvati in opportuni backup
differenziali su supporti magnetici rimovibili ed a fine votazione dovranno essere fatte due copie di
backup integrale su supporto magnetico non riscrivibile, una da inviare al livello superiore
dell’organizzazione della rete ed una da mantenere localmente. Tutte le copie (periodiche e terminali)
dovranno essere immagazzinate in ambiente protetto (ad esempio armadio ignifugo) possibilmente
non coincidente con l’ambiente in cui fisicamente sono poste le attrezzature di rete
•
•
dovranno essere previste delle possibilità di
comunicazione alternative per ogni nodo
della rete: ad esempio tra le sedi elettorali
limitrofe dovranno essere previste
interconnessioni di emergenza quali via radio
e/o via modem e linea telefonica commutata,
da utilizzare solo in assenza delle linee di
comunicazione principali
particolare cura dovrà essere dedicata
a.s. 2007/08
Server
Comune
ADSL
ADSL
linea
principale
linea
principale
ADSL
Server Sede
pag. 7 di 17 elettorale
ADSL
linea
d’emergenza
Server Sede
elettorale
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
•
•
•
•
sistema telematico di votazione
all’autenticazione degli accessi degli operatori di rete: almeno autenticazione locale (login mediante
UserId e password di opportuna composizione), ed in alcuni casi anche tramite identificazione
biometria (rilevatore di impronta digitale). Nel caso di accesso remoto dovranno essere verificate non
solo le identità dell’utente ma anche quelle della macchina fisica che richiede la connessione (verifica
dell’accesso tramite MAC address)
adozione della tecnologia SSH (Secure SHell) che garantisce la sicurezza della gestione della
sessione remota mediante autenticazione iniziale e cifrata di tutte le informazioni scambiate,
generalmente mediante un’interfaccia a linea di comando. L’autenticazione del client che richiede la
connessione dovrà essere basata su chiave pubblica/privata (detta anche cifratura asimmetrica), e
dovrà essere prevista anche l’autenticazione del server per evitare sostituzioni di nodi regolari con
altri fantasma
le connessioni (sia quelle sulle linee principali che quelle delle linee d’emergenza) dovranno utilizzare
la tecnologia VPN (Virtual Private Network), al fine di instaurare una rete privata virtuale anche
all’interno di una rete pubblica condivisa quale è Internet. Ovviamente questa tecnica dovrà essere
utilizzata assieme al protocollo SSH per garantire il massimo della sicurezza
ogni nodo dovrà essere dotato di Firewall, al fine di garantire una difesa perimetrale contro eventuali
tentativi di attacco informatico. Sarà sufficiente un firewall software installato sul router di accesso al
nodo, purché di tipo stateful inspection e configurato in maniera molto restrittiva, permettendo il
passaggio del solo traffico effettivo delle votazioni. Quindi chiusura di tutte le porte, compresa quella
80 riservata al traffico http, ed esclusa solo quella prevista dall’applicazione.
per ulteriore garanzia di inaccessibilità indesiderata si potrebbe far svolgere al router di ogni nodo
anche funzionalità NAT/PAT ed attribuire al server (o ai server, se sono di più) una mappatura statica
uno-a-uno tra indirizzo IP pubblico e privato, di fatto mascherando il server all’interno della rete
2. Descrizione di una rete
Era richiesta una sola tra le seguenti soluzioni.
a) Sede Elettorale
Questa la topologia fisica della rete:
2.00 m
server della
Sede elettorale
server di
riserva
PC1
PC2
PC3
PC4
postazione 1
postazione 2
postazione 3
postazione 4
server
server
8.00 m
switch
4.00 m
router
modem
linea telefonica
commutata
filtro ADSL
linea telefonica
con ADSL
INGRESSO
linea energia
elettrica
gruppo di
continuità
router
switch
router di riserva
switch di riserva
posto di lavoro del Tecnico
posto di lavoro del Responsabile
postazioni di
riserva
a.s. 2007/08
pag. 8 di12.00
17 m
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
sistema telematico di votazione
Descrizione:
• aspetti fisici: una grande stanza (dedicata alle operazioni di voto) dove si entra per votare, circa 8
x 8 metri, affiancata da una seconda stanza (dedicata a contenere i dispositivi di rete), circa 4 x 8
metri, dove vengono installate le attrezzature informatiche;
• nella stanza di voto si ricavano
o quattro cabine aperte dove effettivamente si esplica il voto, protette da tende che
chiudono solo parzialmente le postazioni, in modo da garantire la riservatezza del voto
ma di impedire manovre indesiderate da parte del votante
o ogni postazione di lavoro è basata su un PC industriale personalizzato; in generale i PC
industriali devono far fronte a condizioni ambientali assai gravose, garantendo il
funzionamento sicuro giorno e notte in presenza di umidità, polvere e/o vibrazioni, e
rappresentano la soluzione ideale per applicazioni nella produzione industriale o in
applicazioni atte all’acquisizione, l’elaborazione e l’archiviazione di dati. In questo caso
sono richieste
poca memoria RAM (data la scarsa necessità elaborativa locale),
scheda video di basse prestazioni (colore 640x480),
memoria di massa limitata al solo disco rigido contenente il sistema operativo e
l’applicazione prevista, preventivamente caricato,
scheda di rete FastEthernet,
assenza di tastiera e mouse ed utilizzo solo di un tastierino numerico con tasti
opportunamente personalizzati per la selezione dei partiti/preferenze,
assenza di scheda audio,
assenza di porte per interfacce esterne (seriali, parallele, usb, audio, 1
uno schermo video di dimensioni contenute, ad esempio 15 pollici, ma con
funzionalità touch-screen, in grado di visualizzare le varie maschere che guidano
il votante durante la sua funzione, in maniera del tutto analoga a quello che
svolge un terminale Bancomat,
una protezione fisica al PC, per impedire o almeno rendere molto difficoltoso,
l’accesso alle prese necessarie (schermo, tastierino numerico, interfaccia di rete,
presa di corrente).
internet
linea con ADSL
linea
commutata
router
adattatore
ADSL
MODEM
postazione 1
switch
primario
postazione 2
router
adattatore
ADSL
postazione 3
MODEM
secondario
postazione 4
postazioni di riserva
admin 2
admin 1
primario
secondario
telefono
server di sede
Nota: sarà compito del tecnico di sede, nella fase di preparazione della Sede, formattare i
dischi rigidi delle varie postazioni, e precaricarvi il software opportunamente predisposto.
a.s. 2007/08
pag. 9 di 17
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
o
o
o
o
o
Successivamente dovrà testarne il corretto funzionamento ed eventualmente segnalare i
problemi al Centro Comunale di appartenenza. Dovrà predisporre 6 postazioni in totale: 4
da utilizzare normalmente e 2 da tenere di riserva in caso di malfunzionamenti o guasti.
un tavolo grande dove il responsabile, tramite il calcolatore a lui assegnato, gestisce le
operazioni di voto: verifica l’identità degli aventi diritto al voto, ne conferma l’avvenuta
votazione, gestisce le eventuali anomalie
un tavolo un po’ più piccolo dove il tecnico, tramite il calcolatore a lui assegnato,
amministra le operazioni di rete: attiva le operazioni di voto all’apertura del seggio,
verificando il funzionamento della struttura locale seguendo una check-list
opportunamente predisposta, verifica le operazioni di trasferimento dati periodiche (ogni 2
ore) e finali, gestisce i backup parziali e totali, segnala eventuali anomalie al Centro
Comunale di riferimento, risolve localmente eventuali problemi standard seguendo
procedure già predisposte.
sempre per esigenze di sicurezza i cablaggi potrebbero essere non-standard: eliminare la
presenza di prese a muro e patch-cord e utilizzare un solo cavo mai sezionato che
collega direttamente lo switch della stanza di rete alla scheda di rete interna al PC. Quindi
si adotterà un cablaggio non strutturato, privo anche di armadio di commutazione. Questa
soluzione è utile anche per la precarietà della Sede elettorale, che ha ragione di esistere
solo nei momenti in cui si deve votare.
la quantità di traffico all’interno della rete non è tale da richiedere una banda elevata,
quindi si preferisce adeguarsi allo standard attualmente più diffuso (e più economico),
cioè FastEthernet a 100 Mbps
data la particolare applicazione, per la mappatura degli indirizzi IP interni si preferisce
ricorrere ad indirizzi privati classful senza subnetting (ad esempio la classe C
192.168.0.0/255.255.255.0) e non ricorrere al servizio server DHCP generalmente
presente nel router. Questa una possibile soluzione:
dispositivo
Postazione_1
Postazione_2
Postazione_3
Postazione_4
Admin_1
Admin_2
Server_2
Server_1
Router/FE0
Router/S0
Router/S1
•
a.s. 2007/08
sistema telematico di votazione
Indirizzo IP
192.168.0.0
192.168.0.1
192.168.0.2
192.168.0.3
192.168.0.4
192.168.0.5
192.168.0.6
192.168.0.252
192.168.0.253
192.168.0.254
192.168.0.255
Subnet Mask
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
Default Gateway
192.168.0.254
192.168.0.254
192.168.0.254
192.168.0.254
192.168.0.254
192.168.0.254
192.168.0.254
192.168.0.254
dati forniti dal provider
dati forniti dal provider
descrizione
Network Address
prima postazione di voto
seconda postazione di voto
terza postazione di voto
quarta postazione di voto
PC Responsabile di sede
PC Tecnico di sede
Server di riserva
Server primario di sede
interfaccia FastEthernet
Network Broadcast Addr.
Interfaccia linea ADSL
Interfaccia linea RTG
nella stanza di rete vengono installati
o uno switch da almeno 12 porte FastEthernet programmabile, cioè dotato di agente di
gestione accessibile via IP tramite protocollo SNMP. Per maggior sicurezza le quattro
linee riservate per le postazioni potrebbero essere assegnate ad altrettante VLAN,
impedendo in tal modo ad un utente di accedere tramite il cavo che giunge al calcolatore
industriale della postazione al resto della rete.
o il server della sede elettorale ed il suo mirroring sono già predisposti per essere collegati
in ridondanza per sopperire automaticamente ad eventuali malfunzionamenti. La
configurazione software va fatta nella fase preliminare anch’essa localmente, dal tecnico
della sede, seguendo una procedura opportunamente predisposta e comunicata agli
interessati. Dopo aver testato il corretto funzionamento con opportuna check-list, il
Tecnico si collega dal Centro Comunale di appartenenza e lancia l’applicazione
opportuna per aggiornare il database locale con i dati degli aventi diritto al voto per quella
sede.
pag. 10 di 17
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
o
o
o
sistema telematico di votazione
il router dotato di porta FastEthernet lato LAN e porte ADSL e linea commutata lato WAN;
questo è un dispositivo integrato, che contiene al suo interno sia l’interfacciamento per
l’adattore esterno per lo standard ADSL (ad esempio di versione 2 come quelli
attualmente in uso ed in distribuzione per esigenze di larga banda) che il modem per una
modulazione analogica con banda massima di 56 Kbps (standard V34 o analoghi).
Inoltre il router deve svolgere anche funzione di NAT/PAT, SSH, VPN, (no DHCP) e
FIREWALL stateful packet, come indicato al punto 1) sull’organizzazione generale della
rete.
tra router e linea ADSL, al fine di poter utilizzare anche un telefono tradizionale, viene
inserito un filtro ADSL per separare le due bande e quindi le due utenze.
tutti i dispositivi di rete vengono collegati ad un gruppo di continuità di tipo UPS (da
Uninterruptible Power Supply) on-line, quelli cioè che al momento del black-out smettono
di prelevare energia dalla rete elettrica e iniziano a prelevarla dagli accumulatori interni
che mantengono costantemente a piena carica, continuando a fornire tensione in uscita in
modo assolutamente continuativo e trasparente al carico. Ipotizzando una potenza
assorbita di:
200 Watt per ogni postazione di voto,
350 Watt per ogni server,
350 Watt per ciascuno dei due PC del Responsabile e del tecnico
200 Watt per le altre utenze varie
si ottiene una richiesta di potenza in caso di black-out di circa 2,4 kWatt (o 3.500 VA,
VoltAmper). Non è richiesta una specifica interfacciabilità tra UPS e apparati alimentati
dato che l’interruzione di corrente comporterà solo un’alimentazionealternativa di questi
dispositivi e non comporterà in automatico un backup dei dati ed uno shut-down delle
macchine.
b) Centro Nazionale di raccolta dati
La topologia fisica può assumere una maggiore stabilità, in quanto è impossibile pensare di strutturare
questa soluzione solo per il periodo dell’effettiva votazione, ma si potrebbe pensare di mantenerla sempre
attiva, eventualmente utilizzabile anche per scopi analoghi (censimenti, statistiche, distribuzione e raccolta
informazioni formali, 1)
Si propone di utilizzare uno spazio aperto (open space) molto ampio dove raccogliere tutte le funzioni,
separando i vari posti di lavoro mediante pareti mobili fonoassorbenti. Il cablaggio dovrà essere fatto a
pavimento (sotto a pedane rialzanti) che garantisce una grande flessibilità e scalabilità, a fronte di un
costo decisamente maggiore di quello tradizionale.
Particolare attenzione dovrà essere dedicata anche alla sicurezza fisica dei locali che ospiteranno questa
rete, data la grande importanza dei dati manipolati e la necessità di assicurarne la raccolta, la
memorizzazione e la non alterabilità degli stessi.
Questa la topologia logica della rete, caratterizzata da una struttura modulare:
•
Modulo regione
o ad ogni Regione arrivano tre linee ADSL, secondo quanto definito in precedenza.
Preventivamente tutti i Comuni di quella Regione vengono suddivisi in tre gruppi, ed a ogni gruppo
viene attribuita una linea indipendente. Infatti anche per i collegamenti tra Centri Comunali e
Centro Nazionale deve essere predisposta una linea commutata di emergenza, con caratteristiche
analoghe a quelle viste per le Sedi Elettorali
o il firewall in ingresso garantisce l’accesso solo agli utenti ed alle relative applicazioni autorizzate,
impedendo attacchi informatici di varia natura (DoS, Brute Force, Spyware, Trojan, Virus, Rootkit,
1); ovviamente la sua configurazione sarà del tutto duale di quella dei firewall dei Centri
Comunali a cui si collega
o il router ha il compito di riunire tutte le comunicazioni entranti in un unico traffico diretto al server
nazionale. Naturalmente router e firewall dovranno essere configurati per gestire tutti i protocolli e
le tecnologie elencate nella descrizione generale della rete, atti a garantire il livello di sicurezza
richiesto, cioè VPN, SSH, NAT/PAT, ed eventualmente anche firewall software, se si opta per
questa soluzione
a.s. 2007/08
pag. 11 di 17
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
sistema telematico di votazione
Regione 2
Regione 19
Regione 1
Regione 20
Nazionale
DMZ
Sala Stampa
o
o
o
o
a.s. 2007/08
si dovranno prevedere opportune ridondanze nei dispositivi attivi, esattamente come previsto per
la rete delle varie Sedi Elettorali. Ad esempio il mirroring dei server (infatti negli schemi ne sono
indicati due)
la quantità di traffico all’interno della rete non è tale da richiedere una banda elevata, quindi si
preferisce adeguarsi allo standard attualmente più diffuso (e più economico), cioè FastEthernet a
100 Mbps
il server regionale verrà gestito da un amministratore dedicato, che avrà la propria postazione di
lavoro, dotata di accesso telefonico per la gestione delle emergenze e dei contatti diretti con i vari
Centri Comunali.
le architetture hardware dei server e delle postazioni di lavoro saranno del tutto analoghe a quelle
adottate nei Centri Comunali e nelle Sedi Elettorali
pag. 12 di 17
A. Memo
Regione 2
Regione 1
Simulazione di Esame di Stato – materia: SISTEMI
gruppo 1 linea con ADSL
linea con ADSL
gruppo 2
linea con ADSL
gruppo 3
Comuni raggruppati
riserva linea commutata
di emergenza
adattatore
ADSL
adattatore
ADSL
adattatore
ADSL
MODEM
gruppo 1 linea con ADSL
linea con ADSL
gruppo 2
linea con ADSL
gruppo 3
Comuni raggruppati
riserva linea commutata
di emergenza
adattatore
ADSL
adattatore
ADSL
adattatore
ADSL
MODEM
sistema telematico di votazione
firewall
S0 router FE0
S1
S2
FE1
S3
Regione 1
firewall
router
Regione 2
switch
server
admin
R1
switch
server di
riserva
server
admin
R2
server di
riserva
Regione 20
tutte le regioni
gruppo 1 linea con ADSL
linea con ADSL
gruppo 2
linea con ADSL
gruppo 3
Comuni raggruppati
riserva linea commutata
di emergenza
firewall
adattatore
ADSL
adattatore
ADSL
adattatore
ADSL
MODEM
router
Regione 20
router
switch
server
admin
R20
server di
riserva
firewall
switch
firewall
server
pubblico
Sala Stampa
DMZ
server
riserva
admin N1
nazionale
NAZIONALE
admin N2
admin T1 admin T2
RETE
o
o
a.s. 2007/08
particolare attenzione dovrà essere dedicata al sistema di gestione delle interruzione di
alimentazione (backup). In questa rete il sistema dovrà essere particolarmente prestazionale, e
garantire la continuità di servizio per tutta la durata delle operazioni di voto. Date le sue
dimensioni dovrà essere posizionato in un’area diversa e non contigua con i locali operativi, sia
per motivi di sicurezza che ambientali (sovraccarico termico e di rumore)
data la particolare applicazione, per la mappatura degli indirizzi IP interni si preferisce ricorrere ad
indirizzi privati classful senza subnetting (ad esempio la classe C 192.168.0.0/255.255.255.0) e
non ricorrere al servizio server DHCP generalmente presente nel router di riferimento. Per una
maggiore chiarezza formale (non tecnica) conviene attribuire la rete 192.168.1.0 alla Regione 1, la
rete 192.168.2.0 alla Regione 2, e così via fino alla rete 192.168.20.0 alla Regione 20. Questa
pag. 13 di 17
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
sistema telematico di votazione
una possibile soluzione per la Regione 1:
dispositivo
Indirizzo IP
Subnet Mask
Default
Gateway
descrizione
Admin_1
Admin_2
Server_2
Server_1
Router/FE1
192.168.1.0
192.168.1.1
192.168.1.2
192.168.1.252
192.168.1.253
192.168.1.254
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
192.168.0.254
192.168.0.254
192.168.0.254
192.168.0.254
192.168.1.255
Router/FE0
Router/S0
Router/S1
Router/S2
Router/S3
192.168.100.1
255.255.255.0
dati forniti dal provider
dati forniti dal provider
dati forniti dal provider
dati forniti dal provider
Network Address
PC Amministratore 1
PC Amministratore 2
Server di Regione riserva
Server di Regione primario
interfaccia FastEthernet
verso LAN propria Regione
Network Broadcast Addr.
Int. FE lato rete Nazionale
Interfaccia linea ADSL
Interfaccia linea ADSL
Interfaccia linea ADSL
Interfaccia linea RTG
Regione 1
alla rete Nazionale
•
gruppo 1 linea con ADSL
linea con ADSL
gruppo 2
linea con ADSL
gruppo 3
Comuni raggruppati
riserva linea commutata
di emergenza
adattatore
ADSL
adattatore
ADSL
adattatore
ADSL
MODEM
firewall
S0 router FE0
S1
S2
FE1
S3
Regione 1
switch
admin
R1
server
server di
riserva
Area Nazionale
o La rete locale dell’Area Nazionale è collegata a tutti i router regionali mediante collegamento
diretto con cavo FastEthernet, quindi di fatto è collegata direttamente a 21 LAN attraverso
altrettanti router, 20 regionali ed uno verso la Sala Stampa; in tal modo si ottiene una separazione
a livello 3 tra le reti regionali e quella nazionale, con maggiori garanzie di sicurezza (ad esempio si
blocca lo sniffing e lo snooping) e di isolamento del traffico
o si è pensato di potenziare il numero di postazioni per l’amministrazione della rete, portando i
responsabili a due unità, dato che nei momenti di punta (ogni due ore ed alla fine della
consultazione elettorale) le attività da coordinare sono molte e si accavallano freneticamente
o sono previste due postazioni anche per la gestione tecnica della rete, dato il numero elevato di
dispositivi attivi di rete collegati e da dover manuntenere
o per supportare sovraccarichi di traffico, conviene collegare i due server nazionali (quello primario
e quello di riserva) allo switch centrale con altrettanti collegamenti Gigabit, per evitare di creare
colli di bottiglia nel traffico locale
o anche in questo modulo, ed a maggior ragione dato che contiene i dati generali, è indispensabile
duplicare le funzioni principali, sia per il software che per l’hardware, e prevedere adeguate
misure per il salvataggio (parziale e totale) dei dati, analoghe a quelle adottate nei vari
moduli/centri
nei momenti di pubblicazione dei dati (ogni due ore ed alla fine), questi dovranno essere messi a
disposizione degli utenti interessati, essenzialmente giornalisti ed organi di stampa, anche mediante
accesso remoto. Al fine di garantire la massima accessibilità e nel contempo la massima garanzia di
sicurezza degli archivi, si è pensato di predisporre un indirizzo IP pubblico a cui accedere liberamente
sia in locale che in remoto, ed una zona demilitarizzata (DMZ) contenente un server pubblico. Agli
utenti esterni è consentito l’accesso con diritti di sola lettura ad una particolare vista del DataBase
Nazionale predisposta nel server pubblico, limitata ai soli dati che si vogliono diffondere. Il firewall
a.s. 2007/08
pag. 14 di 17
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
sistema telematico di votazione
posto tra l’Area Nazionale e la DMZ garantirà un flusso unidirezionale di trasferimento dati
all’applicazione che gestisce l’aggiornamento del server pubblico, ed impedirà a tutti l’accesso all’Area
Nazionale. Invece il firewall posizionato tra DMZ e Sala Stampa ha il solo compito di proteggere il
server pubblico da tentativi di attacco finalizzati alla manomissione dei dati contenuti o
all’impedimento del loro accesso (DoS, DDoS, EDoS, 1).
•
Sala Stampa
o In realtà è composta da due accessi multipli. Il primo, di tipo locale, è costituito ad esempio da una
serie di prese RJ45 collegate ad un grande switch, predisposte in opportune postazioni di lavoro
indipendenti messe a disposizione dei vari giornalisti locali. Il secondo, di tipo remoto, può essere
costituito da una linea telefonica ADSL collegata ad una porta WAN del router che gestisce la
DMZ, a cui possono accedere, ad esempio tramite protocollo https, tutti gli utenti accreditati.
Armadio 1
Entrance
Facility
Amministratore
Regione 1
Amministratore
Regione 2
Amministratore
Regione 3
Amministratore
Regione 4
Amministratore
Regione 5
Regione 6
Amministratore
Regione 7
Amministratore
Regione 8
Amministratore
Regione 9
Amministratore
Regione 10
Amministratore
Amministratore
Regione 11
Amministratore
Regione 12
Amministratore
Regione 13
Amministratore
Regione 14
Amministratore
Regione 15
Regione 16
Amministratore
Regione 17
Amministratore
Regione 18
Amministratore
Regione 19
Amministratore
Regione 20
Amministratore
Armadio 2
Regioni
1- 5
Armadio 3
Regioni
6- 10
Armadio 4
Regioni
11- 15
Armadio 5
Regioni
16- 20
Armadio 6
Nazionale
e servizi
SALA
RETE
SALA
AMMINISTRATORI
Tecnici
di rete
SERVIZI
Amministratori
Rete Nazionale
SALA STAMPA
a.s. 2007/08
pag. 15 di 17
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
•
sistema telematico di votazione
Organizzazione globale
o La Sala Stampa, l’Area Nazionale ed i 20 Moduli Regionali precedentemente descritti,
compongono il cosiddetto Centro Nazionale di raccolta dati. Questo dovrà essere localizzato in un
unico edificio, opportunamente presidiato fisicamente.
o come già descritto in precedenza, data la complessità della rete è impossibile pensarne una
installazione in pochi giorni prima della votazione e una successiva rimozione alla fine: è invece
auspicabile che la sua creazione sia di natura stabile e definitiva, ed eventualmente riciclabile
anche per altre esigenze di gestione dati a livello nazionale. Si dovrà quindi predisporre un
cablaggio strutturato tradizionale. Ovviamente la maggior parte delle linee telefoniche potranno
essere attivate solo nell’imminenza dell’evento e poi disdette immediatamente al suo termine
o facciamo il calcolo del numero di dispositivi attivi interessati, con una breve descrizione delle loro
caratteristiche:
n° 20 + 20 server regionali
n° 1 + 1 server nazionali
n° 1 server pubblico
n° 20 router regionali, ciascuno con 4 porte WAN (3 x ADSL + 1 x V94) e 2 porte
FastEthernet, e con firewall integrato
n° 1 router nazionale, dotato di 3 porte FastEthernet, di cui una DMZ, e firewall integrato
n° 1 firewall hardware di controllo dell’accesso al server pubblico
n° 20 switch FastEthernet a 8 porte FastEthernet (solo 4 necessarie, ma in previsione di
sviluppi futuri, è bene siano tipicamente il doppio)
n° 1 switch nazionale con 48 porte FastEthernet e 2 porte Gigabit
supponendo di utilizzare armadi per cablaggio di rete con 42 posti utili, che ognuno dei suddetti
dispositivi attivi occupi ciascuno un solo posto, e che siano necessari 20 + 1 patch panel,
ciascuno dedicato ad un modulo regionale ed uno per l’area nazionale, si ottengono in totale 107
posti. Di conseguenza gli armadi dovrebbero essere almeno 3. Si propone la seguente
suddivisione:
di dedicare un armadio per l’ingresso di tutte le linee telefoniche, ben 80 intestazioni, e del
sezionamento delle varie linee elettriche (Entrance Facillity)
ripartire gli apparati delle regioni in 4 armadi (5 regioni per ogni armadio), contenenti quindi 5
router, 5 patch panel, 5 switch, 10 server, più altri servizi locali (Armadi Regionali)
raccogliere in un unico armadio i dispositivi dell’Area Nazionale, della DMZ e della Sala
Stampa (Armadio Nazionale)
o il cablaggio tra le varie postazioni ed i relativi armadi (Horizontal Cabling) viene realizzato in
tecnologia FastEthernet, escluso le due connessioni tra i server Nazionali (quello principale e
quello di riserva) con lo switch relativo, che invece sono in fibra ottica (standard 802.3z). Questo
perché il traffico all’interno di ogni modulo regionale è ancora contenuto, ma quello a livello di rete
nazionale può diventare consistente nei momenti di massimo traffico
o per ogni postazione dovranno essere previste due prese di rete, in modo da soddisfare necessità
di sovralavoro o sopperire a improvvisi malfunzionamenti
o seguendo le indicazioni adottate per le Sedi Elettorali e per i Centri Comunali, la mappatura degli
indirizzi IP delle varie reti regionali e di quella nazionale può essere assegnata manualmente e
staticamente. Questa una possibile soluzione:
dispositivo
Router/FE0
Router/FE0
1-1
Admin N1
Admin N2
Admin T1
Admin T2
Server_2
Server_1
Router/FE0
a.s. 2007/08
Indirizzo IP
192.168.100.0
192.168.100.1
192.168.100.2
da .3 a .20
192.168.100.21
192.168.100.22
192.168.100.23
192.168.100.24
192.168.100.252
192.168.100.253
192.168.100.254
192.168.100.255
Subnet Mask
Default Gateway
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
255.255.255.0
192.168.100.254
192.168.100.254
192.168.100.254
192.168.100.254
192.168.100.254
192.168.100.254
192.168.100.254
192.168.100.254
192.168.100.254
pag. 16 di 17
descrizione
Network Address
Router Regione 1
Router Regione 2
Router Regione 3 - 20
Admin N1
Admin N2
Admin T1
Admin T2
Server riserva
Server Nazionale
interf. FE verso rete Naz.
Network Broadcast Addr.
A. Memo
Simulazione di Esame di Stato – materia: SISTEMI
Server
Router/FE1
192.168.101.0
192.168.101.1
192.168.101.254
192.168.101.255
255.255.255.0
255.255.255.0
Router/FE2
1
192.168.200.0
192.168.200.254
da .1 a .253
192.168.200.255
255.255.255.0
255.255.255.0
sistema telematico di votazione
192.168.101.254
192.168.200.254
Network Address
Server pubblico
interf. FE verso rete DMZ
Network Broadcast Addr.
Network Address
interf. FE lato S.Stampa
Utenze esterne
Network Broadcast Addr.
3. Codice
Data la mancanza di un linguaggio standard, si lascia lo sviluppo di questo punto ai differenti casi.
4. Valutazioni
Era richiesta solo una tra le seguenti argomentazioni:
a) Adozione di identificazione biometrica
Per tecnologia di identificazione biometria si intende quel sistema che permette di identificare una persona
per una o più caratteristiche biologiche e/o comportamentali, confrontandole con un’immagine presente nel
sistema tramite gli opportuni algoritmi.
Le caratteristiche normalmente prese in considerazione dal sistema possono essere fisiologiche (impronte
digitali, colore e dimensione dell’iride, retina, sagoma della mano, palmo della mano, vascolarizzazione,
fisionomia del volto) o comportamentali (impronta vocale, scrittura grafica, firma). In tutti i casi si denota che
queste caratteristiche richiedono, dal punto di vista informatico, una grande quantità di dati e una
significativa potenza di calcolo. Mentre in un’applicazione personale come quella del controllo dell’accesso
dell’unico proprietario al suo sistema (detto “Verifica dell’accesso”), è necessario immagazzinare una sola
istanza della caratteristica (ad esempio una sola impronta digitale), nel caso di riconoscimento di chi cerca
di accedere al sistema (detto “Identificazione dell’accesso”) occorre
• rendere obbligatoria la rilevazione biometria, ad esempio obbligare tutti a depositare la propria
impronta digitale
• predisporre un archivio contenente le caratteristiche biometriche di tutti gli aventi diritto al voto, con
dimensioni decisamente notevoli (supponendo che una sola impronta digitale richieda 32 KByte, lo
spazio richiesto per 32 milioni di persone è di circa 4 TByte
• le dimensioni e la contemporaneità di voto impongono che l’identificazione avvenga a livello locale
(di sede elettorale) e non centralizzato, e ciò richiede un trasferimento delle relative informazioni
dall’archivio centrale a quello periferico, con tempi assolutamente non trascurabili.
Un discorso a parte va fatto per quelle persone aventi diritto di voto che non posseggono o non possono
rendere rilevabile, temporaneamente o permanentemente, quella particolare caratteristica biometria (ad
esempio per la presenza di una serie di tagli sul dito di riferimento, o la mancanza totale di questo dito)
rendendoli non identificabili. Si dovrebbe quindi prevedere una procedura alternativa di identificazione non
informatica.
Tutte queste considerazioni portano a sconsigliare un’autenticazione biometria degli aventi diritto al voto.
b) Adozione della tecnologia wireless
La tecnologia wireless è per definizione una tecnica meno affidabile di quella via cavo, dato che utilizza un
canale (l’etere) che difficilmente può essere reso accessibile solo ai diretti interessati. Una trasmissione
radio è raggiungibile e/o disturbabile con tecniche relativamente semplici ed alla portata di molti.
Anche l’aspetto di controllo e/o verifica degli accessi via wireless è più carente dal punto di vista della
sicurezza, in quanto cifratura (WAP/WEP) e autenticazione (login, accesso con verifica del MAC address,
1) possono essere aggirate con l’adozione di particolari accorgimenti tecnologici di accesso diretto
all’access point.
La tecnologia wireless potrebbe essere necessaria solo all’interno della sede elettorale, e solo se gli spazi
fisici sono tali da impedire un cablaggio fisico tradizionale. Ma anche in questo caso considerazioni sulla
sicurezza ed affidabilità sconsigliano di adottare la tecnologia wireless.
a.s. 2007/08
pag. 17 di 17
A. Memo