Facoltà di Giurisprudenza Informatica prof. Massimiliano Redolfi Lezione 7 2005/2006 Sicurezza Informatica ing. Nicola Mauri SICUREZZA INFORMATICA Attacchi informatici e strumenti di difesa INTRODUZIONE 2 Agenda Cenni storici e terminologia Principi di sicurezza Virus, Spyware e Dialer Posta elettronica Contromisure e regole di difesa INTRODUZIONE 3 Quale “sicurezza”? ! SAFETY (incolumità fisica, difesa da eventi accidentali) SECURITY (difesa da aggressioni intenzionali) INTRODUZIONE 4 Sicurezza informatica Perché oggi è un tema importante? Personal computer Reti locali Reti “globali” 1980 Computer security . . 1990 Network security . . oggi Information security . INTRODUZIONE Struttura della rete Internet 5 INTRODUZIONE 6 La “ragnatela” mondiale Internet nasce dalla interconnessione di reti geografiche di varie dimensioni La “ragnatela” di collegamenti risultante consente di mettere in comunicazione due punti arbitrari, a costi ridotti. Svantaggi: i dati transitano attraverso sistemi di “terze parti”, senza garanzie di sicurezza. INTRODUZIONE La “ragnatela” mondiale 7 INTRODUZIONE 8 Requisiti di sicurezza Riservatezza Integrità Autenticità Non-ripudio Disponibilità INTRODUZIONE 9 Riservatezza “L!informazione deve essere protetta da letture non autorizzate” INTRODUZIONE 10 Integrità “L!informazione deve essere protetta da modifiche non autorizzate” INTRODUZIONE 11 Autenticità “Chi riceve un messaggio deve poter accertare la reale identità del mittente” INTRODUZIONE 12 Non ripudio “Il mittente di un messaggio non deve poter negare l!invio e il contenuto del messaggio stesso” INTRODUZIONE 13 Disponibilità “Risorse e servizi devono essere protetti da interruzioni non autorizzate” Posta Elettronica POSTA ELETTRONICA (in)sicurezza dell!email no riservatezza: i messaggi transitano in chiaro no integrità: i messaggi possono essere modificati durante il transito no autenticità: il mittente è facilmente falsificabile no non-ripudio: il destinatario può costruire un messaggio mai inviato 15 16 POSTA ELETTRONICA Falsificazione del mittente Le informazioni dei messaggi in uscita sono configurabili senza alcun vincolo. Esempio: POSTA ELETTRONICA 17 Falsificazione del mittente From: To: Date: Subject: [email protected] [email protected] 28 Apr 2004 URGENTE - Aggiornamento di sicurezza Gentile utente, da qualche giorno si sta diffondendo in rete il virus “SuperTrouble”. Il virus sfrutta una vulnerabilità presente in Windows e può avere effetti molto gravi. Microsoft ha rilasciato un’aggiornamento. Esegua al più presto l’allegato per proteggere il suo computer dall’infezione! Grazie per l’attenzione, Jasmine Gates Supporto Clienti - Microsoft Italia Spa patch.exe POSTA ELETTRONICA 18 Risposte causate dalle falsificazioni From: To: Date: Subject: [email protected] [email protected] 12 Aug 2004 Virus ALERT Notification! -----------This message is automatically generated by Antivirus -----------NOTE: Your message “Hi George” has been rejected CAUSE: One or more attachments may contain viruses DETAILS: File abc.exe contains virus “Enduring Freedom” Please check your computer and remove the virus. ------------ POSTA ELETTRONICA Come difendersi Non considerare attendibile il campo mittente “Da:” Se è necessario garantire la riservatezza e l!autenticità, usare strumenti aggiuntivi che si integrano con i programmi di posta (es. PGP, Pretty Good Privacy) Posta elettronica certificata 19 POSTA ELETTRONICA 20 “C!è spam per te” I messaggi non sollecitati POSTA ELETTRONICA 21 SPAM Messaggi email, per lo più a scopo pubblicitario, inviati in blocco senza il consenso dei destinatari. Pubblicizzano: “specialità” mediche, materiale pornografico, prestiti di denaro, ... Lo spam è un problema: scarica i costi della pubblicità sui destinatari, fa perdere tempo, veicola truffe e contenuti offensivi, intasa la rete con messaggi inutili. POSTA ELETTRONICA 22 “Chi gli ha dato il mio indirizzo?” Gli spammer hanno un ampio ventaglio di tecniche: E-mail spider: scandiscono i siti web alla ricerca di indirizzi email pubblicati Pesca “a strascico”: messaggi email inoltrati con tanti indirizzi in chiaro Siti trappola: promettono l!accesso a immagini, film, musica, ecc, in cambio del vostro indirizzo Generazione casuale di indirizzi Compravendita di indirizzi POSTA ELETTRONICA Prevenire lo spam 1. Dare il proprio indirizzo email solo a persone fidate 2. Usare un indirizzo secondario per le newsletter e le registrazioni on-line 3. Evitare che l!indirizzo compaia su un sito web 4. NON rispondere ai messaggi di spam 5. Evitare le catene di email e usare il campo “ccn” o “bcc” per inviare email a più destinatari 6. Evitare i siti con reputazione poco affidabile 23 Virus & Antivirus VIRUS & ANTIVIRUS Che cosa sono i virus? Programmi invisibili che vengono eseguiti all!insaputa dell!utente, con conseguenze indesiderate o dannose Quando un virus è in esecuzione si dice che il computer è “infetto” Prima di causare danni, il virus si diffonde, cercando di infettare il maggior numero di programmi o computer in rete. 25 VIRUS & ANTIVIRUS 26 Come ci si infetta? Allegati di posta elettronica Visita a siti Internet Files e programmi scaricati da Internet, dai circuiti di scambio, o da supporti non originali VIRUS & ANTIVIRUS Cosa può fare un virus? Cancellare files o l!intero disco Sfruttare il computer infetto per azioni illecite (Spam, attacchi a siti web) Spiare il contenuto del computer (Spyware) Incrementare gli addebiti telefonici (Dialer) Rallentare o bloccare il computer 27 VIRUS & ANTIVIRUS 28 Cosa non può fare un virus? Danneggiare fisicamente il computer o le periferiche VIRUS & ANTIVIRUS 29 Difendersi dai virus Usare un programma antivirus e mantenerlo aggiornato Usare programmi alternativi a Explorer e Outlook Diffidare dagli allegati (anche quelli provenienti da indirizzi conosciuti) Spyware e Dialer SPYWARE & DIALER 31 Spyware Programmi che raccolgono informazioni dal computer e le inviano a una banca dati centrale all!insaputa dell!utente Sono una violazione alla privacy Dati carpiti: dati personali dell!utente, siti web visitati, programmi installati, ... Spesso nascosti all!interno di software molto diffusi (es. Kazaa) SPYWARE & DIALER 32 Dialer Programmi che dirottano la connessione Internet dell!utente verso numeri a pagamento (899, 892, 166, 0031, ...) Generano bollette astronomiche Si possono installare visitando siti web che invitano a scaricare un programma “gratuito” per accedere a particolari servizi. SPYWARE & DIALER Avvisi ai naviganti 33 SPYWARE & DIALER 34 Come difendersi Usare browser alternativi a Internet Explorer Prestare attenzione a messaggi di protezione durante la navigazione Usare un programma anti-dialer e anti-spyware Bloccare i prefissi a pagamento o usare l!ADSL Non installare software di dubbia provenienza Regole minime di sopravvivenza REGOLE DI SOPRAVVIVENZA 36 1. Fare il backup dei dati Eseguire regolarmente una copia di sicurezza dei propri documenti Mantenere il backup in un luogo sicuro, separato dal computer REGOLE DI SOPRAVVIVENZA 2. Installare un antivirus Gratuito o commerciale Da usare su tutti i file (allegati, scaricati, circuiti di scambio...) Mantenerlo costantemente aggiornato con le nuove definizioni di virus Abbinare un personal firewall 37 REGOLE DI SOPRAVVIVENZA 38 3. Sostituire Explorer/Outlook Sono tra le principali cause dei problemi di sicurezza dei pc (cfr. CERT) Esistono programmi alternativi, più sicuri e con maggiori funzionalità: WEB: Mozilla Firefox, Opera, ... EMAIL: Mozilla Thunderbird, Eudora, ... REGOLE DI SOPRAVVIVENZA 4. Installare gli aggiornamenti software Molti attacchi fanno leva su difetti (bug) presenti nei programmi o nel sistema operativo Mantenere aggiornato Windows con Service Pack e i Security update rilasciati da Microsoft Mantenere aggiornati i programmi, specialmente quelli che usano la rete 39 REGOLE DI SOPRAVVIVENZA 40 5. Non installare software non fidato Evitare il software scaricato da siti di dubbia reputazione Evitare software inutili o superflui Attenzione agli allegati email REGOLE DI SOPRAVVIVENZA 6. Scegliere buone password Facile da ricordare, difficile da indovinare abbastanza lunga (es. almeno 8-10 caratteri) no a parole d!uso comune no all!uso di dati facilmente reperibili (es. data di nascita, targa automobilistica) con caratteri maiuscoli e minuscoli, cifre e segni di interpunzione password diverse per account diversi 41 REGOLE DI SOPRAVVIVENZA 42 Esempi di cattive password 29051967 (è una data) 0303775810 (è un numero telefonico) GTANCL67M29D634W (è un codice fiscale) AF286ZZ (è una targa) cristina (è il nome di una fidanzata/moglie) pinkfloyd (è un nome comune) f5kJ%2w2$g3Lq (è difficile da memorizzare) REGOLE DI SOPRAVVIVENZA Esempi di buone password Qè1bp,J! (acronimo per "Questa è una buona password, Jessica!") 9232eko117b (ottenuto concatenando il pin del cellulare, una marca di chitarre, il numero civico di casa) 43 REGOLE DI SOPRAVVIVENZA 44 7. Attenzione al phishing 1) L!utente riceve un messaggio falso contenente un link. REGOLE DI SOPRAVVIVENZA 2) Il link porta a un sito “fotocopia” che invita l!utente a inserire username e password. 45 REGOLE DI SOPRAVVIVENZA 46 3) I dati inseriti vengono acquisiti dal “sito fotocopia” per un successivo uso (illegale) 4) L!utente viene redirizionato sul sito autentico, senza alcun messaggio di errore. Regola generale: diffidare dei link ricevuti via e-mail Domande & Risposte Nicola Mauri