I quaderni di
a cura di alberto
mucci
Le nuove frontiere della
pirateria e della criminalità
informatica
el settore dell’informatica e delle
comunicazioni (ICT) il progresso
tecnologico è talmente veloce
da creare rapidamente nuovi
scenari nei quali, oltre a comparire elementi
inediti, si verificano trasformazioni più o
meno radicali delle realtà preesistenti. È il
caso ad esempio dei cosiddetti virus
informatici, programmi per computer che
vengono eseguiti all’insaputa dell’utente e
che sono in grado potenzialmente di
produrre danni significativi in termini di
riservatezza, integrità e disponibilità delle
informazioni trattate sul computer
“infettato”. L’imponente sviluppo di Internet
e l’aggiunta di funzionalità accessorie
sempre più complesse ai programmi che
gestiscono i servizi di rete (tra cui
principalmente il cosiddetto browser per la
navigazione in Internet ed il programma per
l’utilizzo della posta elettronica) hanno infatti
favorito enormemente la propagazione dei
virus informatici, che in passato poteva
contare quasi esclusivamente sul passaggio
da un computer all’altro di supporti di
memoria rimovibili, quali gli ormai datati
floppy disk utilizzati per scambiare dati e
programmi tra computer non connessi in
rete. Ma la novità più rilevante dell’ultimo
N
anno è che per la prima volta il
fenomeno dei virus ha interessato, oltre
che il mondo dei computer, anche quello
della telefonia mobile. La cosa era
d’altronde attesa già da qualche tempo,
data la veloce convergenza dei due
mondi che ha portato sempre più i
telefonini delle ultime generazioni ad
assomigliare a dei computer.
Tra gli aspetti negativi dell’incessante
progresso tecnologico nel settore ICT ve
ne sono altri che esulano dal fenomeno
dei virus informatici. È il caso della
massiccia proliferazione di copie
cosiddette “pirata” di brani musicali, film,
programmi per computer, libri ed altre
opere alle quali è applicabile la tutela del
diritto d’autore. Per contrastare la
pirateria informatica, nonché gli altri tipi
di illeciti informatici tradizionalmente
considerati nell’ambito della criminalità
informatica, sta prevalendo negli ultimi
tempi l’adozione di un approccio
sinergico che prevede, oltre allo sviluppo
di misure tecniche di protezione
adeguate, interventi mirati del legislatore
ed azioni sempre più incisive da parte
delle forze dell’ordine.
Supplemento al numero 228 di luglio/agosto 2005 di
Indice
Gli illeciti informatici e le possibili difese
83
Anche i cellulari vittime dei virus
85
Il computer crime: la strategia investigativa
88
Pirateria e Peer To Peer: un binomio indissolubile?
La sicurezza nell’ambito dei sistemi operativi
90
93
Il Quaderno di Telèma è stato realizzato dalla Fondazione Ugo Bordoni (Presidente
il Prof. Giordano Bruno Guerri, Direttore Generale il Consigliere Guido Salerno,
Direttore delle ricerche l’ing. Mario Frullone). Coordinatore del Quaderno l’Ing.
Franco Guida. Hanno collaborato: Maurizio Masciopinto Servizio Polizia Postale
e delle Comunicazioni; Roberto De Carlo, Daniele Carbone.
Sono usciti nel 2004/2005:
La larga banda si diffonde, cambia la vita della gente
aprile
I campi elettromagnetici non sono più “sconosciuti”
maggio
Anche l’Italia si dota di un organismo che certifica la sicurezza informatica
giugno
Il digitale terrestre accende i motori
luglio-agosto
Una sfida dell’Europa a 25: la molteplicità delle traduzioni
settembre
Infomobilità: si può viaggiare rimanendo sempre informati
ottobre
Il controllo dell’ambiente si attua mettendo a punto reti efficienti
novembre
Televisione e telefonini quale integrazione?
dic. 2004-gennaio
Agire digitale. Più banda larga; più servizi
febbraio
La tv digitale porta nuovi servizi nelle famiglie
marzo
Ci avviciniamo al 4G: la convergenza delle tecnologie digitali
aprile
Dall’intelligenza artificiale alla vita artificiale
maggio
Le nano e micro tecnologie nella realtà dell’Italia 2000
giugno
2004
2004
2004
2004
2004
2004
2004
2005
2005
2005
2005
2005
2005
Gli illeciti informatici e
le possibili difese
N
el settore delle tecnologie
dell’informazione (ICT) si fa
talvolta uso di vari termini
che, sebbene tratti dalla
lingua parlata e non dal
gergo tecnico utilizzato nel settore,
assumono significati specifici ben precisi. E’
il caso del termine “criminalità” che nel
contesto informatico viene in genere
utilizzato per indicare tutti i reati che
possono essere compiuti violando le
modalità lecite di accesso a dati e servizi
disponibili in ambiente ICT. Rientrano
evidentemente tra tali violazioni la lettura di
informazioni riservate, la modifica non
autorizzata di dati, la fruizione illecita di
servizi o, al contrario, la preclusione della
fruizione di servizi ai soggetti autorizzati. Si
tratta di azioni deliberatamente eseguite da
soggetti che mirano in genere a trarne un
beneficio personale, ad esempio attuando
vere e proprie truffe ai danni di altri soggetti
spesso inconsapevoli dei rischi a cui li può
esporre un uso non adeguato delle
tecnologie ICT. Non di rado si verifica il
caso in cui un unico soggetto riesce a
lucrare somme considerevoli di danaro
mettendo in atto un numero considerevole
di piccole truffe, ciascuna delle quali
produce danni limitati a chi le subisce. Può
evidentemente essere considerato a pieno
titolo criminalità informatica anche l’utilizzo
delle tecnologie ICT a supporto di azioni
terroristiche che possono produrre
conseguenze molto gravi in termini di danni
fisici alle persone e di destabilizzazione in
ambito nazionale e internazionale, piuttosto
che di sole perdite economiche.
Passando invece a considerare, sempre
nel contesto informatico, il termine
“pirateria”, si può innanzitutto dire che
generalmente esso viene utilizzato per
Luglio/Agosto 2005
rappresentare altri tipi di illeciti,
principalmente quelli che si riferiscono a
violazioni del diritto d’autore eseguite
avvalendosi delle tecnologie ICT. In tale
caso le violazioni vengono principalmente
riferite ad opere quali brani musicali, film,
libri e programmi per computer, per le quali
il fenomeno ha assunto negli ultimi anni
dimensioni veramente imponenti, attraverso
lo sfruttamento delle più recenti modalità di
trasmissione e condivisione di file offerte
da Internet (peer to peer), di tecniche di
compressione dei dati digitali sempre più
efficienti (che incrementano la velocità e
l’economicità di trasferimento via rete dei
dati stessi), nonché della possibilità di
eseguire a costi sempre più contenuti copie
di CD e DVD. E’ importante sottolineare
una differenza che spesso distingue il caso
della pirateria informatica da quello della
criminalità informatica. Normalmente
l’entità dei diritti di autore relativi a
ciascuna copia delle opere sopra citate è
alquanto contenuta, per cui chi utilizza una
copia illegale delle opere stesse ne ricava
tutto sommato un beneficio economico non
particolarmente rilevante (a meno che non
si tratti di programmi informatici piuttosto
costosi). Tuttavia se il numero delle copie
illegali della stessa opera cresce
considerevolmente, il danno per i legittimi
titolari dei relativi diritti di autore, nonché
per coloro che hanno contribuito a vario
titolo alla realizzazione dell’opera, può
diventare molto cospicuo. Prova ne sia il
fatto che il legislatore ha ritenuto
necessario intervenire con un’apposita
legge per cercare di arginare il fenomeno.
In altre parole nel caso della pirateria
informatica chi mette in atto le azioni illecite
per fruire gratuitamente dell’opera non è in
genere un truffatore di professione o un
83
Gli illeciti informatici e le possibili difese
terrorista e sarebbe quindi eccessivo
assimilarlo ad un vero e proprio criminale
informatico (in effetti anche la già citata
legge per la tutela del diritto di autore
prevede solo sanzioni di carattere
amministrativo per chi si limita, ad
esempio, a scaricare per uso personale
copie illegali di opere; diverso è il caso,
ovviamente, di chi realizza lauti guadagni
mediante un esteso commercio di copie
“pirata”). Proseguendo la carrellata sui vari
tipi di illeciti informatici si può arrivare, per
quanto riguarda il soggetto che compie le
azioni illecite, al caso estremo in cui i
benefici economici da lui conseguiti non
siano nemmeno modesti, bensì addirittura
nulli. Anche in questo caso, tuttavia, che
potremmo continuare a far rientrare
nell’ambito della pirateria informatica, tale
soggetto può causare, consapevolmente o
inconsapevolmente, danni ingenti. Si tratta
in pratica del cosiddetto hacker, se a
questo termine decidiamo di continuare ad
attribuire il significato che aveva
originariamente, ossia di individuo molto
esperto di tecnologie ICT motivato
principalmente dalla soddisfazione di
riuscire a superare le protezioni dei sistemi
ICT, eventualmente creando veri e propri
casi di risonanza internazionale. La
motivazione che è alla base delle azioni
degli hacker diviene particolarmente
rilevante quando si tratta di dimostrare la
possibilità di colpire in contesti non ancora
esplorati. E’ di grande attualità in questo
periodo il caso dei virus dei cellulari che
hanno fatto la loro comparsa da circa un
anno, dopo essere stati per un certo
periodo ipotizzati o falsamente annunciati.
Visto l’interesse che l’argomento può avere
data la capillare diffusione dei servizio di
telefonia mobile, si è ritenuto opportuno
aprire il Quaderno con un articolo che
faccia un po’ il punto della situazione e che
cerchi anche di prefigurare possibili sviluppi
futuri. Un altro articolo è invece dedicato
all’azione di contrasto degli illeciti
84
informatici che quotidianamente viene
svolta dalle forze dell’ordine. Autore di
questo prezioso contributo è il dott.
Masciopinto, Direttore della II Divisione del
Servizio Polizia Postale e delle
Comunicazioni. Sul tema specifico della
tutela del diritto di autore è stato invece
possibile ottenere un interessante
contributo da parte di uno dei componenti
della Commissione interministeriale istituita
per fornire orientamenti circa le modifiche
da apportare, in fase di conversione, al
decreto legge che ha disciplinato la
materia. Dopo aver fatto il quadro delle più
attuali tipologie di illeciti informatici, si è
ritenuto opportuno chiudere il Quaderno
lanciando un messaggio che rassicuri gli
utilizzatori dei sistemi ICT circa la
possibilità di adottare opportune difese per
tali sistemi e di rendere così più difficile
l’esecuzione degli illeciti informatici. Il
messaggio ha potuto concretizzarsi
trattando, per motivi di spazio, un unico
argomento, sia pur molto importante, quale
la sicurezza dei sistemi operativi.
Si tornerà però a parlare di difese
utilizzabili sui sistemi ICT in un
successivo “Quaderno di Telèma”
il quale, insieme a quello pubblicato nel
maggio 2003 (supplemento al n. 206 di
Media Duemila), potrà fornire un più
articolato insieme di soluzioni. Informazioni
relative alla possibilità di eseguire verifiche
di terza parte circa l’adeguatezza e
l’affidabilità delle suddette difese possono
invece essere trovate su un ulteriore
“Quaderno di Telèma” pubblicato nel
giugno 2004 (supplemento al n. 217 di
Media Duemila) e dedicato alla
certificazione della sicurezza ICT.
Franco Guida
Fondazione Ugo Bordoni – Responsabile
Area operativa dell’Organismo di Certificazione
della Sicurezza Informatica (OCSI)
I quaderni di
Le nuove frontiere della pirateria e della criminalità informatica
Anche i cellulari
vittime dei virus
C
he gli ormai diffusissimi telefonini possano essere “infettati” dai virus informatici è noto e dibattuto già da qualche anno. Il processo che porta a far
assomigliare sempre più ad un computer questo ormai inseparabile dispositivo che ci accompagna in ogni nostro spostamento procede infatti inarrestabile man mano che aumentano le
sue prestazioni in termini di velocità e capacità
di memoria. Risulta quindi inevitabile che vengano ereditati dai computer, insieme agli innegabili vantaggi in termini di funzionalità offerte,
che diventano sempre più potenti e sofisticate,
anche i loro inconvenienti tipici, tra i quali figurano appunto i virus informatici. La crescente
complessità dei servizi che gli attuali cellulari sono in grado di offrire ha portato alla necessità di
sviluppare per essi veri e propri sistemi operativi che forniscono ai programmi applicativi tutti
le funzioni di base relative alla gestione delle risorse hardware utilizzabili. Queste ultime sono
oramai sempre più rilevanti sia in termini di memoria, organizzata gerarchicamente in file e cartelle al pari dei dischi dei computer, sia in termini di periferiche incorporate (sensori per l’acquisizione di immagini, monitor a colori, ecc.), sia
in termini di dispositivi di ingresso/uscita (porte
di comunicazione via radio, a infrarossi, via filo,
ecc.). Per tutti i telefonini dotati dello stesso sistema operativo è diventato quindi possibile gestire tutte le componenti hardware utilizzando i
comandi del sistema operativo piuttosto che il
linguaggio macchina di ciascun particolare telefonino. Il primo virus per telefonini scoperto circa un anno fa si chiamava Cabir ed era sviluppato per cellulari dotati del sistema operativo
Symbian serie 60. Il virus in particolare utilizzava il sistema operativo per aprire delle connessioni Bluetooth e attraverso queste provvedeva
alla sua diffusione su altri cellulari contando anche sulla scarsa attenzione degli utenti. Questi
ultimi, infatti, consentivano di installare program-
Luglio/Agosto 2005
mi sul proprio cellulare, nonostante gli avvisi che
li informavano della dubbia provenienza dei programmi stessi. Sebbene Cabir sia stato il primo
vero e proprio virus per telefonini, il tema, come
anticipato in apertura, era diventato di attualità
vari anni prima. Più precisamente, da quando nel
2000 il virus Timofonica si diffuse sui computer
provocando l’invio di un messaggio, critico nei
confronti del monopolio dell’operatore TLC spagnolo Telefonica, a cellulari scelti in modo casuale. Il fatto che tale messaggio avesse raggiunto numerosi telefonini aveva infatti portato
a credere che si trattasse di un virus diffusosi tra
i cellulari. In realtà il programma contenente il virus poteva essere eseguito solo sui computer ed
i telefonini venivano coinvolti solo come destinatari del messaggio. Piuttosto noto è anche il
caso del presunto virus ACE la cui esistenza veniva annunciata da messaggi e-mail che raccomandavano caldamente di non rispondere a
chiamate per le quali veniva visualizzata una specifica scritta sul display del telefonino. L’eventuale risposta avrebbe infatti provocato l’installazione del virus nel cellulare e la conseguente
cancellazione di tutti i dati sia nella rubrica della
SIM-card sia in quella del telefono. Inoltre il cellulare sarebbe divenuto inutilizzabile costringendo il suo possessore ad acquistarne uno nuovo.
Il messaggio si concludeva con la presunta conferma della notizia da parte dei due principali
produttori mondiali di telefonini e con l’indicazione del numero di cellulari già infettati dal presunto virus (oltre tre milioni negli USA). Trattandosi di un falso allarme contenente anche la raccomandazione per il destinatario di dare la massima diffusione alla notizia, il caso del presunto
virus ACE viene catalogato tra i cosiddetti hoax.
Tornando a Cabir, il primo vero virus per cellulari, si può aggiungere che la sua diffusione è stata rallentata e limitata dalla scarsa copertura delle connessioni Bluetooth. In pratica, il virus residente su un cellulare infettato non riesce a diffon-
85
Anche i cellulari vittime dei virus
dersi se non trova nel raggio di qualche decina
di metri un altro cellulare Bluetooth che sia impostato in modo da rendere la sua presenza visibile e che sia anch’esso dotato di sistema operativo Symbian. Una volta che si verifichino tutte queste condizioni, è ancora necessario, come già detto, che il possessore del cellulare autorizzi l’installazione di un programma la cui provenienza non sia stato possibile verificare. Conseguentemente sono stati necessari ben nove
mesi affinché il virus riuscisse a diffondersi in sedici paesi, risultato che un comune worm di rete sarebbe stato in grado di conseguire in pochi
minuti. Altro aspetto positivo è la scarsa pericolosità del virus che si limita ad alterare alcune impostazioni del cellulare e a visualizzare un messaggio sul suo display. In ogni caso è possibile
rimuovere Cabir dal cellulare utilizzando appositi antivirus disponibili in commercio. Ben più
rapida avrebbe invece potuto essere la diffusione di un altro virus per telefonini denominato
CommWarrior, in quanto quest’ultimo si avvale
dei messaggi multimediali MMS per la sua diffusione. Tuttavia il programma che lo realizza
contiene alcuni bachi che introducono notevoli
ritardi prima che venga effettuato un nuovo tentativo di invio dell’MMS. Anche quest’altro virus,
scoperto nel marzo del 2005, al pari di Cabir può
anche diffondersi via Bluetooth e non produce
danni significativi sul cellulare. Tale circostanza
concorre a confermare la tesi, originata peraltro
dai messaggi visualizzati sui cellulari, che entrambi i virus siano opera di gruppi di hackers
russi interessati esclusivamente a dimostrare la
fattibilità degli attacchi da loro ideati. Tuttavia il
possessore del cellulare può comunque subire
un danno in seguito all’infezione, poiché gli viene addebitato il costo di tutti i messaggi MMS
inviati dal virus per diffondersi. I destinatari di
questi messaggi, come era prevedibile, vengono scelti casualmente utilizzando i numeri contenuti nella rubrica del telefono. Il motivo per il
quale gli MMS si prestano a fungere da veicolo
per la diffusione del virus risiede nel fatto che
questi messaggi possono trasportare, oltre a video, immagini, e suoni anche programmi per i
quali viene chiesto al possessore del cellulare se
acconsente o meno all’installazione. Analoga-
86
mente al virus Cabir, quindi, anche per CodeWarrior la condizione perché l’infezione possa verificarsi è che l’utente acconsenta all’installazione del relativo software. È inoltre richiesto che
anche il cellulare destinatario dell’MMS che incorpora il virus, oltre a quello già infettato da cui
il messaggio viene inviato, sia dotato di sistema
operativo Symbian. Il quadro fin qui dipinto dovrebbe far capire che la situazione, pur non potendosi ancora definire critica, presenta fondati
motivi di preoccupazione. È quindi naturale che
già da qualche tempo ci si stia attrezzando per
contrastare con opportune difese questo pericoloso fenomeno. Vari programmi antivirus utilizzabili sui cellulari sono quindi diventati disponibili sul mercato. In particolare già dal gennaio
del 2002 uno dei più affermati fornitori di programmi di tale tipo e uno dei principali operatori di telefonia mobile in Giappone hanno cominciato a collaborare condividendo la previsione
che presto anche per i cellulari la minaccia dei
virus sarebbe diventata concreta. Come risultato di questa collaborazione le due aziende hanno annunciato verso la fine del 2004 che una
nuova serie di telefonini dell’operatore nipponico sarebbe stata commercializzata con programma antivirus incluso nel software di base.
Detto questo del recente passato e del presente, cosa ci si può aspettare per il futuro? Una
fonte di preoccupazione può essere individuata,
relativamente ai programmi applicativi che vengono eseguiti sui cellulari, nella ripetizione anche
per i telefonini del processo già realizzatosi sui
computer. Al fine di consentire lo sviluppo di applicazioni in modo indipendente dalla particolare piattaforma hardware/software del cellulare,
sono diventati infatti disponibili, sia pure per il
momento in una versione meno completa rispetto a quella dei PC, i potenti interpreti multipiattaforma basati sulla tecnologia Java. Questi interpreti non potevano essere utilizzati sulle prime generazioni di telefonini caratterizzati da una
limitata velocità di elaborazione e da una scarsa
disponibilità di memoria. È evidente che questi
interpreti offrono il grande vantaggio di rendere
più agevole ed economico lo sviluppo di applicazioni e servizi per telefonini. Non viene più richiesto, infatti, l’adattamento dell’applicazione
I quaderni di
Le nuove frontiere della pirateria e della criminalità informatica
alla particolare architettura hardware/software
sottostante ed uno stesso identico programma
può quindi essere eseguito su qualsiasi telefonino, purché quest’ultimo sia dotato dell’interprete Java. Al tempo stesso, però, si facilita molto il compito a chi scrive programmi illeciti, sia
perché non gli vengono più richieste competenze specifiche circa le modalità di funzionamento interno di ciascun tipo di cellulare, sia perché
si crea l’ambiente ideale per una vasta diffusione dei virus. Questi ultimi infatti non si limiteranno più a colpire solo i cellulari dotati di un particolare tipo di sistema operativo e di hardware, bensì tutti quelli, ben più numerosi, dotati
dell’interprete multipiattaforma. Un ulteriore elemento di preoccupazione può essere l’eventualità che diventi rilevante il numero di virus veramente nocivi, miranti ad esempio a leggere, modificare o cancellare i dati contenuti nel cellulare (rubriche telefoniche, messaggi, agende, foto, video, registrazioni audio, ecc.) e/o a compromettere il suo funzionamento di base. Quest’ultima eventualità potrebbe comportare disagi certamente non trascurabili, dato che il telefonino viene oramai intensamente utilizzato
da un numero molto elevato di persone sia nell’ambito della vita privata, sia in ambito lavorativo. Queste considerazioni hanno portato già
da qualche anno i produttori di hardware e di
software per la telefonia mobile a non trascurare i problemi di sicurezza. Gli sforzi per dotare i
cellulari di funzionalità di sicurezza affidabili dovranno comunque essere moltiplicati, tenendo
conto del fatto che non si intende rinunciare all’opportunità di ampliare sempre più i servizi offerti dai cellulari e che ciò porta, come già evidenziato, all’utilizzazione di architetture software maggiormente esposte al rischio di attacchi
informatici. L’affidabilità delle misure tecniche
potrà essere ottenuta se verrà curata al meglio
sia la loro progettazione teorica, verificando con
la massima attenzione che i principi su cui si
basano non presentino debolezze intrinseche,
sia la loro pratica realizzazione, cercando in particolare di eliminare tutte le possibilità di aggiramento di tali misure consentite da attacchi
che non utilizzino le ordinarie modalità di interazione con tali misure (come nel caso, ad esem-
Luglio/Agosto 2005
Figura 1. L’avviso che compare quando il virus
Cabir cerca di installarsi sul telefonino. Una risposta affermativa alla domanda fa sì che il cellulare venga “infettato” dal virus.
pio, dei ben noti attacchi che provocano situazioni di buffer overflaw). Sarà anche necessario, però, diffondere una maggiore conoscenza
circa i comportamenti che gli utenti di cellulari
dovrebbero tenere per non favorire la riuscita
degli attacchi informatici. Infatti, come risulta
anche dall’analisi delle condizioni che consentono ai due virus trattati in questo articolo di propagarsi sui cellulari, è importante che l’utente
comprenda bene e, quindi, non sottovaluti gli
avvisi che lo informino della potenziale pericolosità di certe azioni che ha la possibilità di compiere. È evidente che la scelta più cautelativa in
questo caso sarebbe quella di impedire indiscriminatamente tali azioni, ma ciò comporterebbe
una limitazione delle potenzialità in termini di
nuovi servizi fruibili attraverso i cellulari. In altri
termini si ripropone il solito problema della ricerca di un bilanciamento ottimale tra funzionalità e sicurezza.
Franco Guida
Fondazione Ugo Bordoni – Responsabile
Area operativa dell’Organismo di Certificazione
della Sicurezza Informatica (OCSI)
87
Il computer crime:
la strategia investigativa
N
ell’immaginario collettivo il crimine ed il criminale sono delineati
secondo condotte ed icone ben
definite. Rapine, estorsioni, omicidi, truffe e contrabbando sono alcune delle
azioni delittuose che hanno elevato agli albori
della cronaca i padrini di Cosa Nostra come
Totò Riina e Bernardo Provenzano.
L’ultimo decennio ha segnato un cambiamento di tendenza nell’universo criminale. Sono
apparsi sulla scena i cd. computers crime i reati informatici.
Le peculiarità del crimine informatico sono:
a-terriotorialità del contesto di riferimento,
prossimità con la vittima senza la dinamica
del face to face e anonimità dell’autore del
reato. Tali caratteristiche determinano conseguenze sia a livello repressivo sia a livello
investigativo.
L’indeterminatezza del locus commissi delicti, un reato informatico si celebra all’interno di
uno spazio virtuale in cui gli utenti connessi ad
internet non sono necessariamente residenti
nel medesimo Stato, implica problematiche
connesse alla perseguibilità del reato. In materia di criminalità informatica non vi è una normativa internazionale uniforme.
Un condotta sanzionata in Italia può non
esserlo in altri Paesi. L’attività di ricerca dei mezzi di prova può arrestarsi a causa di tale differenziazione. In tal senso la legislazione italiana
è all’avanguardia in quanto la cd. teoria dell’ubiquità, sancita dall’art. 6 del c.p., stabilisce
che un reato si considera commesso in territorio tanto se vi si è originata la condotta quanto se si è consumato l’evento.
Internet è un potente strumento di comunicazione in grado di abbattere le barriere spazio temporali permettendo ad individui lontani
geograficamente di dialogare. Sul piano criminale significa che possibili vittime sono tutti
coloro che utilizzano la Rete.
88
Nella celebre pellicola Totò truffa, il principe
della risata vendeva ad un turista americano,
adescato in loco, la Fontana di Trevi. Nell’era
digitale occorre semplicemente un indirizzo di
posta elettronica, un programma di video scrittura, molta fantasia ed il gioco è fatto.
La Rete offre ai fruitori, leciti ed illeciti, l’opportunità di celare la propria identità attingendo a strumenti tecnici: gli anonimyzer ed i proxy.
L’utente nel corso della navigazione web si riconosce mediante una cd. targa virtuale (ip
address) assegnata dall’Internet Service Provider. Tale segno di riconoscimento può essere
nascosto collegandosi ad un sito web o server
che funge da intermediario con il sito visitato.
Il risultato sarà l’impossibilità di risalire all’ip
dell’utente in quanto si visualizzerà l’ip del anonimyzer o proxy.
Sul piano investigativo la strategia messa
in campo dalla Polizia Postale e delle Comunicazioni prevede una ripartizione delle vittime in utenti privati, qualificati ed infrastrutturali a cui corrispondono modus operativi specifici, un’accurata selezione degli operatori
impegnati nelle indagini e una capillare presenza sul territorio.
Nel caso di utenti privati, vittime in particolare di condotte riferite al fenomeno all’utilizzo di
dialer, al phishing ed all’identify theft (furti identità), il momento repressivo è preceduto da una
campagna di sensibilizzazione finalizzata ad
innalzare il livello di guardia da parte dei cittadini. Inoltre, mediante la posta elettronica la Polizia Postale e delle Comunicazioni è permanentemente in contatto con i navigatori del web. Ciascun ufficio territoriale è dotato di un indirizzo di
posta elettronica consultabile sul sito web della
polizia di stato (www.poliziadistato.it).
In aggiunta vi è il monitoraggio delle chat da
parte degli investigatori della Polizia Postale e
delle Comunicazioni, importante nell’azione
repressiva contro la pedofilia on line.
I quaderni di
Le nuove frontiere della pirateria e della criminalità informatica
L’attitudine con cui la Polizia Postale e delle Comunicazioni è custode dei cittadini che
navigano il web si configura in una presenza
discreta, al pari della Volante impegnata a
garantire la sicurezza delle città.
Gli utenti qualificati, rappresentati dalle aziende della New Economy, sono un universo diversificato in cui si annidano sia le vittime sia gli
autori del reato. Emblematico in tal senso è la
figura dell’Insider o impiegato infedele.
La collaborazione da parte delle società danneggiate è un attributo determinante del contrasto all’attività illecita. L’ostacolo maggiore è
rappresentato dalla reticenza dettata dalla
preoccupazione, in termini di immagine, circa
gli effetti negativi di una veicolazione all’esterno del fatto-reato.
L’azione inquirente è vista come una sorta
di leviatano che tutto avvolge e controlla.
Occasioni come forum, convegni e tavoli di
lavoro sull’Information and Communication
Technology, ove partecipano forze di polizia,
operatori pubblici e privati, sono fondamentali per abbattere sia i luoghi comuni sia la
disinformazione.
Obbiettivo dell’attività repressiva è l’individuazione dell’autore del reato senza pregiudicare il funzionamento di servizi di pubblica utilità. Pertanto la messa a disposizione di informazioni essenziali per le indagini, vedasi i file
di log, senza doverli ricercare nei sistemi danneggiati consente sia di ottenere risultati investigativi sia di non privare l’utente del servizio
richiesto.
Nel caso di utenti infrastrutturali, depositari di risorse critiche quali l’erogazione di
energia elettrica, il trasporto, sia aereo sia su
rotaia, l’azione inquirente si indirizza verso la
realizzazione di sinergie capaci di aumentare la velocità di intervento sul locus commissi delicti.
In questa ottica si inseriscono la stipula, da
parte del Capo della Polizia e degli amministratori delegati e presidenti di importanti enti, pubblici e privati, (Poste Italiane s.p.a., Abi, Grtn,
Rai, Rfi, Agip, Rete Gas etc….), pubblici e privati, di apposite convenzioni in cui, mediante
la condivisione di informazioni e di Know How
nonché di moduli di formazione condivisi, si
realizza un modello di sicurezza integrata da
più parti auspicato.
Il valore aggiunto nel contrasto al computer
crime è rappresentato dalla collaborazione internazionale tra le forze di polizia realizzata attraverso il permanente contatto con omologhi uffici di polizia, comunitari e d’oltreoceano. L’Interpol rappresenta il link tra i vari addetti ai lavori nel campo della sicurezza istituzionale.
Il Servizio Polizia Postale e delle Comunicazioni costituisce il punto di contatto operativo h24/7 (24 hours for seven days) per l’Italia per quanto attiene alla sfera dei crimini
informatici.
In termini di risorse umane deputate alle
indagini, la Polizia Postale e delle Comunicazioni dispone di un organico di circa 2000 uomini, accuratamente selezionati all’interno del
Dipartimento di Pubblica Sicurezza in virtù di
profili professionali in cui si fondono approfondite conoscenze tecniche e prolungate esperienze di polizia giudiziaria.
L’aggiornamento professionale del personale costituisce un aspetto fondamentale della
strategia di contrasto al crimine informatico. È
fondamentale per ovviare all’obsolescenza del
Know How legato all’Information and Communicaton Technology.
Un ulteriore attributo dell’azione investigativa è la capillare presenza sul territorio garantita da un Servizio centrale, coordinatore a livello investigativo ed operativo dei 19 Compartimenti regionali e le 76 Sezioni territoriali.
Le articolazioni periferiche della Polizia
Postale e delle Comunicazioni sono le avanguardie contro il crimine informatico. Si occupano di garantire all’azione inquirente il necessario contatto con il territorio, necessario per
reperire informazioni utili alle indagini.
Maurizio Masciopinto
Direttore della II Divisione del Servizio
Polizia Postale e delle Comunicazioni
Luglio/Agosto 2005
89
Pirateria e Peer To Peer:
un binomio indissolubile?
L
a cessione o l’acquisizione di un
bene in forma digitale, senza aver
riconosciuto all’autore i dovuti diritti, è un atto illegale che viene
comunemente indicato con il nome di “pirateria informatica”. Questo fenomeno, coinvolgendo aspetti sociali, politici ed economici, è diventato negli ultimi anni uno degli
argomenti più trattati ed oggetto di accesi
dibattiti a livello mondiale.
Di seguito, per maggiore chiarezza, si rende necessaria una breve parentesi sul diritto di autore e sul diritto brevettuale.
Il sistema che regolamenta la proprietà
intellettuale nasce per riconoscere all’autore di un’opera dell’ingegno un compenso e una tutela dell’opera quale riconoscenza per il lavoro svolto. In questo modo
si realizza uno scambio tra i diritti che vengono riconosciuti all’autore ed il vantaggio che la collettività riceve dall’opera,
favorendo il progresso tecnologico e culturale della società.
I diritti riconosciuti all’autore, tra cui la
tutela dell’opera, hanno dei vincoli territoriali e temporali e hanno anche natura personale o patrimoniale. Il diritto di autore, o
copyright, si differenzia dal diritto brevettuale perché nasce contestualmente alla
creazione dell’opera, mentre il diritto brevettuale è concesso, dietro richiesta, dallo
Stato che verifica il soddisfacimento di
opportuni prerequisiti.
Se il diritto d’autore ha come scopo principale la protezione della personalità dell’autore, determinando solitamente come
conseguenza un vantaggio patrimoniale, lo
scopo del diritto brevettuale è quello di proteggere investimenti e risorse al fine di
impedire la realizzazione non autorizzata di
prodotti identici o con caratteristiche tecniche equivalenti.
90
Per questi motivi la pirateria informatica
lede soprattutto il diritto d’autore, colpendo
direttamente l’autore e tutta la catena economico produttiva legata alle sue opere.
La pirateria informatica è un fenomeno
relativamente recente: all’inizio dell’era digitale l’hardware era la componente più
costosa di un elaboratore e il corredo
software costituiva un incentivo all’acquisto della macchina e non un valore a se
stante. Successivamente, con la riduzione
dei costi e la diffusione dei Personal Computer, il software è divenuto un bene non
legato all’hardware e sono iniziate a diffondersi le prime copie illegali di programmi.
La multimedialità e la possibilità di convertire e fruire di opere letterarie, visive e musicali in formato digitale ha poi esteso il bacino delle opere riproducibili in modo illegale a film, musica e libri permettendo la creazione di copie indistinguibili dall’originale.
L’evoluzione delle reti telematiche e il
successo di Internet hanno poi permesso
la nascita di comunità virtuali dedite allo
scambio di contenuti digitali. Il Peer To
Peer (di seguito P2P) è il fenomeno del
momento, la minaccia che le software
house, le major cinematografiche e discografiche temono e cercano di contrastare
con ogni mezzo.
I programmi e le reti P2P rendono possibile l’accesso ad una immensa raccolta
di contenuti digitali, molti dei quali rappresentano copie non consentite di opere protette dal diritto d’autore. Tutto ciò secondo la logica del baratto poiché ogni utente
condivide qualcosa e preleva dagli altri
utenti ciò che essi rendono disponibile.
È quindi comprensibile che gli autori e
tutta l’industria che gravita intorno alle opere da essi create sentano minacciati i loro
guadagni perché idealmente basterebbe
I quaderni di
Le nuove frontiere della pirateria e della criminalità informatica
un solo esemplare di un’opera per soddisfare il fabbisogno di tutti gli utenti, con
conseguenze facilmente immaginabili per
i loro bilanci economici.
Si è dibattuto a lungo su cosa fare per
arginare questo fenomeno, proponendo il
controllo delle reti telematiche, azioni sanzionatorie e repressive del legislatore, l’introduzione di sistemi anticopia, ma finora il
problema è stato solo temporaneamente
risolto e le soluzione approntate si sono
sempre rivelate inadeguate.
Il tentativo di eliminare le reti di condivisione dei file, mediante interventi legislativi e giudiziari, si è rivelata fallimentare: il controllo sulle reti ha portato all’evoluzione del protocollo e dei programmi di
scambio file che sono passati da un’architettura centralizzata ad architetture sempre più decentralizzate (serverless) proprio per evitare che il sequestro di un
nodo, da parte dell’Autorità, comporti la
chiusura di tutta la rete.
Successivamente si è passati alla cifratura dei dati scambiati, alla virtualizzazione degli indirizzi IP dei vari nodi e a percorsi multipli casuali (come nel caso dei
programmi AntsP2P e MUTE). In questo
modo l’intercettazione e l’identificazione
degli attori coinvolti nello scambio dei file
è solo idealmente possibile, ma di fatto
impraticabile.
Inoltre, anche se fosse possibile, sarebbe
giusto controllare o eliminare del tutto il P2P?
Certamente No.
Il P2P non è solo musica, video o software pirata: è un efficacissimo mezzo per
diffondere la conoscenza, per condividere
idee, per divulgare le proprie opere senza
grossi investimenti e senza l’appoggio di
case discografiche o case editrici, sfruttando solo il passaparola degli utenti. Il P2P
utilizzato in maniera legale significa musica, video e testi circolanti con il beneplacito degli autori1, programmi di calcolo distribuito, streaming di dati ad alta efficienza,
libertà di informazione in paesi con culture
Luglio/Agosto 2005
e regimi proibizionisti. A fronte di tante opere circolanti illegalmente nelle reti di condivisione file è quindi facile trovare tanta free
music, programmi con licenza open source, informazione alternativa, testi e teorie
che non hanno avuto spazi sui mezzi di
comunicazione tradizionali.
Anche dal punto di vista economico il
P2P si rivela conveniente, permettendo di
abbattere considerevolmente i costi di
distribuzione dei contenuti digitali, senza
ricorrere a batterie di server FTP sparsi in
tutto il mondo e delegando l’onere della
distribuzione agli stessi utenti. Anche le
applicazioni distribuite o altri protocolli,
come ad esempio il Voice Over IP (VoIP)2,
possono beneficiare delle interconnessioni e delle modalità di scambio dati delle
reti di condivisione, con indubbi vantaggi
per la ricerca scientifica, per le organizzazioni senza fini di lucro e per gli utenti che,
per esempio, possono telefonare a tariffe
molto vantaggiose.
Anche l’introduzione di sistemi anticopia
è stata finora sempre aggirata, rivelandosi
un palliativo che ha solamente infastidito l’utente legittimo, sempre più alle prese con
problemi di incompatibilità dovuti all’assenza di uno standard di interoperabilità e procedure di attivazione spesso macchinose.
Recentemente la ricerca di soluzioni contro la pirateria informatica si è occupata di
trovare artifici tecnologici per regolamentare le modalità di fruizione dei contenuti
digitali, piuttosto che cercare di impedire
la copia non autorizzata. Grazie all’adozione di sistemi di gestione dei diritti digitali
(Digital Rights Management) è possibile
definire un numero di copie legali consentite, la possibilità di trasferire e riprodurre
il contenuto su dispositivi differenti o la
durata temporale di fruizione dello stesso,
acquistando quindi non più un bene, ma la
possibilità di goderne.
I sistemi DRM presentano delle prospettive molto interessanti, visto che rendono
possibile la diversificazione dei prezzi del-
91
Pirateria e Peer To Peer: un binomio indissolubile?
lo stesso contenuto a seconda dell’utilizzo
che l’utente vuole farne, ma comportano
anche numerosi rischi e lati oscuri: la violazione della privacy, la portabilità su dispositivi differenti, i vincoli imposti dall’adozione di una determinata tecnologia, la robustezza del meccanismo di DRM utilizzato,
la ritrosia degli utenti che non si sentono più
padroni di un bene acquistato.
La condivisione e la libera circolazione
della conoscenza sono divenuti beni ormai
irrinunciabili e qualsiasi tentativo di limitare questi diritti ormai acquisiti dagli utenti
si rivelerà fallimentare, ma il rispetto della
proprietà intellettuale deve essere mantenuto, vero motore e stimolo del progresso
della collettività: è il dilemma digitale, ovvero la ricerca del giusto equilibrio tra diffusione dei contenuti e tutela della proprietà
intellettuale.
La ricerca di nuovi modelli di business, l’adozione di sistemi DRM interoperabili, l’educazione degli utenti al rispetto della proprietà
intellettuale e alla possibilità di fruire dei contenuti digitali con nuove modalità sono possibili soluzioni, mutuamente non esclusive,
al problema esposto.
I nuovi modelli di business sono necessari per sfruttare le potenzialità che il P2P
e le nuove tecnologie offrono in termini di
possibili acquirenti e di modalità di distribuzione: sarebbe riduttivo e inadeguato
applicare al mondo virtuale del digitale le
modalità di vendita e di marketing ormai
consolidate nel mondo fisico.
Un noto costruttore di computer, grazie
a prezzi contenuti, a un proprio sistema
DRM e alla produzione di un player di musica digitale, ha dimostrato che è possibile
vendere musica online e guadagnare non
solo sui brani, ma anche sui dispositivi di
92
riproduzione. Il gaming online, il Video On
Demand, il download di brani musicali, i
libri e i giornali in formato digitale costituiscono esempi di settori in cui si stanno
affermando nuove metodologie di vendita
e di affiliazione dei clienti, grazie anche a
politiche di prezzi aggressive mirate a far
conoscere e provare nuove e legali modalità di accesso a contenuti digitali.
D’altro canto l’educazione della collettività al rispetto della proprietà intellettuale
risulta essere indispensabile per chi crede
che tutto ciò che sia in rete debba essere
“gratis” evitando però interventi, da parte del
legislatore, solo idealmente correttivi, ma di
fatto inapplicabili e disattesi.
Anche gli autori e tutta l’industria dei contenuti digitali, che troppo frequentemente
cercano di tutelare solo i loro interessi economici, dovrebbero evitare di imporre inutili
e anacronistiche restrizioni alla condivisione
delle conoscenze (si veda per esempio il problema della brevettabilità del software) con
misure e proposte che hanno l’effetto di scatenare proteste e offrire labili giustificazioni
morali a molti utenti illegali.
Solo un approccio sinergico su più fronti potrà ristabilire l’equilibrio, ora destabilizzato dalle nuove tecnologie e dal P2P, tra
rispetto della proprietà intellettuale e condivisione dei contenuti digitali, risolvendo così
il dilemma digitale.
Roberto De Carlo
Membro della Commissione
interministeriale che ha operato ai fini
della revisione delle norme in materia di
tutela del diritto d’autore e dei diritti
connessi con riferimento al mercato dei
contenuti digitali
I quaderni di
Le nuove frontiere della pirateria e della criminalità informatica
La sicurezza nell’ambito
dei sistemi operativi
L
a sicurezza dei sistemi operativi è
obiettivo molto complesso e arduo
sia da raggiungere che da mantenere. Nel mondo del software ciò che
è sicuro oggi può non esserlo più già domani. La ragione di questa fragilità è insita nella
complessità sempre crescente dei sistemi a
cui viene continuamente richiesto di offrire
nuovi servizi o di scalare le prestazioni, sia per
necessità di reale utilizzo sia per motivi di mera appetibilità commerciale. Ciò comporta
un’alta velocità di sviluppo di nuovi prodotti
con l’inevitabile rischio d’introduzione d’errori durante lo sviluppo. Tali errori generano
quindi instabilità dei sistemi e vulnerabilità dei
servizi. Purtroppo macchine non correttamente installate e aggiornate possono essere violate ed usate in maniera silenziosa per rubare le password altrui, per generare ‘spam’ o
per diffondere materiale riservato. A seguito
di tali eventi sono tipicamente necessari fermi macchina o fuori servizio necessari a permettere una reinstallazione del sistema o una
sua parziale correzione.
Un’altra fonte di problemi per la sicurezza è
la necessità sempre più stringente di interconnettere sistemi storicamente isolati per la fornitura di servizi assegnati precedentemente a soggetti ed enti diversi e dalla sempre più frequente necessità correlata di poter svolgere l’amministrazione remota di tali servizi. L’esistenza di
vulnerabilità nei sistemi è anche spesso legata
alla non applicazione di correzioni e ‘patch’ già
da tempo diffuse. Infatti, molte vulnerabilità dei
sistemi non sono sempre automaticamente utilizzabili appena identificate. Sovente risulta necessario che qualcuno sviluppi un software in
grado di sfruttarne le potenzialità.
Il discorso della sicurezza nasce fondamentalmente dall’esigenza di offrire una protezione da attacchi alle risorse che, nel caso dei
Luglio/Agosto 2005
sistemi operativi, si identificano nella disponibilità del sistema e nei dati in esso contenuti. Potenzialmente i servizi del sistema possono essere resi non-fruibili e i dati possono essere letti in maniera fraudolenta, o alterati o
distrutti.
Minacce
Organizzare un attacco verso un sistema operativo presuppone l’acquisizione, da parte dell’attaccante, del maggior numero d’informazioni possibili sul sistema in uso. Il tipo di sistema
operativo utilizzato sulla macchina bersaglio, la
versione, l’esistenza di servizi offerti sono alcune delle informazioni che influenzano le strategie d’attacco da adottare.
Grazie ad opportuni strumenti automatici
(OS detection tools) è facile riconoscere il sistema operativo utilizzato semplicemente analizzando il comportamento e la struttura delle
risposte fornite dalla macchina bersaglio a
fronte di richieste opportunamente formulate
dall’attaccante. Per esempio la sola lettura del
tempo Time-To-Live (TTL) di una risposta ICMP
(ottenuta lanciando il comando ‘ping’) consente di discriminare immediatamente se il sistema bersaglio sia una macchina Unix o Microsoft, permettendo all’attaccante di operare una
prima scelta nel processo di raffinamento della ricerca delle informazioni sul sistema. Gli
stessi ‘banner’ informativi degli eventuali servizi attivi (quali web o ftp) spesso rivelano importanti informazioni riguardanti le versioni dei
programmi utilizzati, consentendo all’attaccante di cercare in maniera mirata le vulnerabilità
che le caratterizzano. L’utilizzo di programmi
di Vulnerability Assessment consente poi di replicare velocemente e automaticamente centinaia d’attacchi noti e di verificare se il sistema presenta delle vulnerabilità già conosciute, anche se, a causa dell’invasività di questo
tipo di ricerca, un tale approccio viene solitamente evitato o perlomeno suddiviso in più ri-
93
La sicurezza nell’ambito dei sistemi operativi
prese. Per ottenere accesso in un sistema si
possono spesso utilizzare attacchi rivolti a manipolare sessioni di comunicazione (ad esempio contraffazioni per i servizi di DNS, DHCP,
SSH o HTTP) grazie all’intercettazione e alla
contraffazione dei dati e delle credenziali scambiate durante l’apertura della sessione. Meccanismi d’autenticazione forte, marcature temporali e trasmissioni cifrate sono alcune delle
contromisure necessarie per ovviare a questo
tipo d’attacchi.
Frequentemente le minacce ad un sistema
informatico provengono da utenti autorizzati,
che tentano di forzare il sistema con l’obiettivo
di compiere una vera e propria “scalata di privilegi” per ottenere diritti altrimenti negati. Il bersaglio di questo tipo di attacco è frequentemente il file di gestione degli account, allo scopo di
ricavare le password degli utenti, creare nuove
utenze o modificare direttamente il proprio livello d’accesso.
Anche l’installazione di cavalli di Troia è un
modo efficace e veloce per creare una porta di
servizio per ingressi non autorizzati nel sistema.
La difficoltà di tale attacco risiede proprio nell’installazione e nell’occultamento del programma cavallo di Troia: a tale proposito si possono
utilizzare più strategie, partendo dalle semplici
ma sempre efficienti tecniche di ingegneria sociale, fino alla ricerca di buffer overflow o di vulnerabilità che possano portare all’esecuzione di
un programma arbitrario.
Lacune nei meccanismi di controllo della coerenza dei privilegi dei file comporta un deciso
abbassamento del livello di sicurezza del sistema, perché a causa di errori (volontari o involontari) degli utenti, ‘side effect’ di programmi o
attacchi di varia natura, informazioni riservate
per l’organizzazione o necessarie per il corretto
funzionamento del sistema, potrebbero essere
declassate ed essere lette o modificate senza
autorizzazione.
Un sistema informatico può infine essere vittima di attacchi di tipo Denial-of-Service (DOS),
cioè attacchi mirati a rendere indisponibili uno
o più servizi offerti dal sistema. Questo tipo di
attacco ha una buona probabilità di successo
se il sistema bersaglio non prevede soglie mas-
94
sime e meccanismi dinamici nell’allocazione delle risorse o se condotto in maniera distribuita da
più attaccanti contemporaneamente (Distributed-Denial-of-Service o DDOS).
Difesa
Al fine di minimizzare i rischi e l’impatto di attacchi e violazioni è innanzi tutto necessario
identificare precise procedure operative e chiare politiche di gestione miranti ad esempio a
standardizzare l’introduzione di nuovo hardware, l’aggiunta di un servizio o l’eliminazione di
un’utente. Nell’installazione di un sistema operativo è inoltre fondamentale identificare e rispettare una serie di configurazioni iniziali atte
a migliorare la stabilità e a limitare i servizi offerti a quelli essenziali, mentre durante la normale vita di un sistema è poi necessaria una
manutenzione ordinaria in grado di mitigare il
più possibile il rischio di alterazione dei dati, o
di violazione del sistema.
Risulta basilare inoltre diffondere l’idea della
necessità di una formazione permanente al fine
di fornire ai vari utenti (manager, addetti ai lavori, personale amministrativo o di segreteria) gli
strumenti minimi per comprendere l’uso più sicuro del sistema operativo. Per una buona amministrazione è ad esempio fondamentale conoscere le finalità e i rischi di ogni processo attivo su una macchina e gli strumenti di monitoraggio più opportuni.
Difesa dei dati
Al fine di difendere i dati di configurazione del
sistema e quelli ospitati da eventuali basi di dati o servizi di pubblicazione, sono di fondamentale importanza tecniche di cifratura, integrità,
ridondanza e cancellazioni sicure dei dati, supportate da opportuni piani di backup e ripristino più o meno automatizzati. In particolare, per
quanto riguarda i backup è opportuno segnalare sul lato client la difficoltà che molti utenti
hanno nell’identificare i dati importanti da salvaguardare contenuti nella propria macchina,
quali documenti, mail, rubrica, preferiti, account
di accesso a sistemi remoti e licenze softwa-
I quaderni di
Le nuove frontiere della pirateria e della criminalità informatica
re, nonché la necessità di verificare l’affidabilità delle procedure di ripristino. L’adozione di
opportuni piani di backup consente anche di
realizzare azioni di ripristino in situazioni di instabilità del sistema, per esempio dovute alla
rimozione di elementi corrotti da virus o troiani che abbiano reso il sistema stesso non riavviabile o impropriamente funzionante.
Difesa del Sistema
Innanzitutto è buona norma effettuare un’opportuna scelta iniziale di sistemi operativi sicuri, cioè
concepiti già in origine con una infrastruttura per
la sicurezza, mentre in fase di installazione andrebbe curata la certificazione del produttore,
la versione del software applicativo e dei driver
di sistema. Una volta installato e configurato il
sistema iniziale, andrebbe fotografato nel suo
stato originale con un backup completo e con il
calcolo delle hash di ogni file al fine di verificare periodicamente o a seguito di un evento
straordinario, come un attacco o un crash, la
non alterazione di processi e librerie di sistema.
Al fine di minimizzare le interfacce interne ed
esterne utilizzabili per attaccare il sistema si rende necessario inoltre eseguire periodicamente
una ripulitura del sistema disinstallando tutti i
programmi non utilizzati, disabilitando tutti i servizi non essenziali e rimuovendo file temporanei
o documenti inutilizzati.
Vi è poi la necessità di mantenere il sistema
aggiornato alle ultime versioni in tutte le sue
componenti: librerie, driver, processi di sistema
e programmi applicativi, pianificando l’interrogazione periodica di server centrali in grado di
segnalare nuove vulnerabilità e di consentire il
download automatico degli aggiornamenti. A tal
fine è necessario disporre, in situazioni missioncritical, di sistemi di test plant pressoché identici a quelli in produzione su cui testare patch di
sistema o nuove release degli applicativi che forniscono i servizi, prima di metter in linea il tutto.
Da notare come non si possano invece attribuire al sistema operativo eventuali lacune della sicurezza infrastrutturale che permettano ad esempio di accedere fisicamente alle macchine asportando supporti di memorizzazione, intervenen-
Luglio/Agosto 2005
do sul BIOS delle schede madri non protetto e
riavviando, quindi, il sistema in maniera incontrollabile da altri dispositivi come floppy, CD o
pen-drive.
Sul fronte dello sviluppo di applicazioni sicure il sistema operativo poi mette a disposizione
del programmatore una serie di funzioni contenute nelle librerie di sistema il cui uso è molto
spesso sufficiente a garantire una buona sicurezza ai servizi implementati.
Un discorso ancora completamente aperto
riguarda le tecniche di prevenzione di vulnerabilità molto sofisticate, come quelle di bufferoverflow. Purtroppo, alcune di tali tecniche hanno ancora significative controindicazioni, come
ad esempio varie incompatibilità con alcuni importanti software esistenti, e non indifferenti impatti sulle prestazioni.
Tra le attività più importanti atte al mantenimento in sicurezza di un sistema operativo
ci sono gli strumenti di monitoraggio dedicati
a tracciare in tempo reale i processi attivi sulla macchina, i file aperti, le librerie caricate, la
memoria occupata, il carico di CPU di ogni
processo, la banda utilizzata in entrata ed in
uscita dalla rete, le connessioni aperte, le porte utilizzate e gli host destinatari, l’occupazione di memoria, lo spazio libero sui dischi e l’utilizzo del file di swap. Inoltre, disattivare i servizi di condivisione non protetti, con particolare attenzione a quelle riguardanti interi dischi, e limitare l’uso di tali servizi alla sola condivisione in lettura di cartelle protette da password, riduce notevolmente la capacità di un
attaccante di accedere indebitamente alle
informazioni o di alterare il sistema operativo
stesso. D’altro canto, pianificare attività automatiche di scansione, ripulitura e deframmentazione dei dischi, migliora le prestazioni, riducendo contemporaneamente il rischio di perdita dei dati o malfunzionamenti del sistema.
Risulta necessario poi prevedere anche attività automatiche di ricerca ed eliminazione di
virus, troiani, backdoor e spyware, insieme all’aggiornamento degli elenchi di virus e del relativo motore di ricerca, delle liste nere di server di mail e dei motori di content inspection
relativi alla navigazione WEB o al mailing. In-
95
La sicurezza nell’ambito dei sistemi operativi
fine, proteggere con opportune tecniche di cifratura, più o meno trasparenti alle applicazioni, almeno i dati importanti ed, eventualmente, i file di configurazione del sistema, può rappresentare un’ottima difesa anche contro i più
sofisticati attacchi fisici.
Difesa dei servizi
Una volta stabilite opportune strategie di difesa
dei dati, è necessario analizzare come difendere i servizi offerti localmente o tramite la rete. Ridondanza, elaborazione distribuita, adozione di
comunicazioni cifrate, rappresentano, insieme
ad un’opportuna sincronizzazione temporale mirante ad allineare in automatico gli orologi delle
macchine, uno standard di fatto nell’amministrazione di sistemi complessi. Infine, è opportuno
tenere in considerazione, anche alla luce della
diffusione di strumenti di scanning dei servizi attivi, la necessità di limitare, negare o opportunamente alterare la risposta tipicamente restituita da un servizio interrogato anche in caso di
diniego dello stesso.
Gestione degli Accessi
Uno degli ambiti di sicurezza storicamente centrale nei sistemi server multiutente, e solo recentemente diffuso anche in quelli client, è appunto la gestione degli accessi. Logicamente
al primo posto viene il controllo di autenticazione mirante, tramite tecniche variamente
complesse e centralizzate (quali Kerberos, NIS,
Samba, Domini, Radius, LDAP, OTP e “singlesign-on”) ad accertare l’identità della macchina, dell’applicativo, o persino della persona
che richiede il servizio. Normalmente ciò avviene tramite lo scambio di informazioni relative a qualcosa che si sa (una password), qualcosa che si ha (una smart card) o qualcosa che
si è (dispositivi biometrici). A corredo del meccanismo possono essere tipicamente introdotti criteri di scadenza, complessità, riutilizzabilità, finestre temporali e caching delle password, a seconda del livello di sicurezza richiesto, nonché tecniche più o meno sicure di memorizzazione delle informazioni di autentica-
96
zione all’interno dei sistemi. Ad esempio, è noto come il riutilizzo di password che consentano l’accesso a servizi ‘importanti’ su sistemi
non strettamente pensati in funzione della sicurezza non faccia altro che introdurre un facile bersaglio da parte di hacker che, violando
un sistema debolmente protetto, possono utilizzare con successo tali informazioni su sistemi meglio difesi.
Infine, merita un accenno anche la capacità
dei sistemi moderni di limitare le possibilità d’accesso anche agli amministratori, arrivando all’identificazione di profili specializzati per le varie
attività di manutenzione.
Effettuato un corretto riconoscimento del richiedente, un opportuno sottosistema d’autorizzazioni (per esempio Radius, PAM, Kerberos e
OLS Multilivello) si occupa di concedere all’interlocutore, tramite tipici meccanismi di raggruppamento degli utenti, il diritto di utilizzare una
certa risorsa della macchina o della rete (ad
esempio: diritti di lettura e scrittura su file, interrogazioni parziali o complete di una banca dati,
accesso limitato ad indirizzi web).
Si osservi come le varie politiche di sicurezza
si concretizzino poi in approcci del tipo “tutto
permesso tranne“ o “tutto negato all’infuori di“
con l’adozione, nei sistemi maggiormente protetti, del cosiddetto principio del privilegio minimo. Inoltre, il controllo dei diritti d’utilizzo delle
risorse spesso prevede anche la possibilità di limitare la fruibilità di certe risorse solo da precisi indirizzi di rete o sottoreti di provenienza.
Tutti questi controlli sarebbero poi velocemente indeboliti se non supportati da un opportuno
monitoraggio svolto tramite
쩦 l’auditing,
쩦 l’analisi dei log di sistema
쩦 la segnalazione di situazioni anomale, accessi negati, scalate di privilegi, tentativi di recuperare informazioni personali, comportamenti anomali degli utenti. Soprattutto poi in sistemi multiutente o nel caso di accessi remoti il sistema
viene completato con meccanismi di accounting
in grado di attribuire anche quantitativamente
l’utilizzo delle risorse ai vari utenti.
Daniele Carbone
I quaderni di
