La sicurezza in rete - Dipartimento di Scienze Ambientali

Facoltà di Pianificazione del Territorio
A.A. 2011/2012
Informatica
Sicurezza delle reti
2
Le reti e la sicurezza
l 
I padroni delle nostre informazioni
dovremmo essere noi.
l 
Condividere pacificamente i computer.
l 
Gli hacker cavallereschi e gli hacker…
maliziosi !
l 
gli hacker sono persone particolarmente
competenti nell’uso dei computer
3
Le reti e la sicurezza
l 
L'hacker è un esperto in informatica (e NON
un pirata informatico!!!)
l  Gli
hacker maliziosi sfruttano le loro
conoscenze per fini di lucro o per puro spirito
vandalistico
l 
Un hacker conosce i bug nel sistema di
sicurezza dei sistema operativi.
l 
Può sfruttare i bug per “prendere possesso”
dei computer connessi in rete.
4
Sicurezza informatica:
cosa si intende
Ø Sicurezza Fisica: accesso controllato ai locali, conservazione
delle chiavi di accesso alle sale dati, riconoscimento fisico
degli utenti ammessi
Ø Sicurezza Logica: gestione oculata delle passwords, dei diritti
di accesso agli utenti
Ø Sicurezza di Rete: garantire sicurezza nelle comunicazioni in
rete, in modo da tutelare l’integrità e la riservatezza dei dati
critici e sensibili
Sicurezza Fisica
•  Uso di badge, smart card, dispositivi biometrici
6
Sicurezza Logica
• Passwords di minimo 8 caratteri
• Almeno 13,14 caratteri, misti con maiuscole e minuscole,
NO da dizionario (10 caratteri ~ 1 week con un Pentium)
• Caratteri maiuscoli e minuscoli, con numeri
• No passwords con post-it sul monitor!!!!
7
Classificazione delle minacce
Attacchi mirati condotti manualmente con
l’obiettivo di violare i sistemi di una specifica
azienda
l  Sottrazione fisica di componenti e dati
l  Diffusione di virus/software ostile
l  Attacchi generalizzati portati da tool
automatici
l 
8
Motivazioni di un hacker
l 
l 
l 
l 
Accesso non autorizzato alle informazioni
l  Violare la privacy degli utenti
l  Compromettere la riservatezza delle informazioni
Falsificare la propria identità
l  Per far ricadere la responsabilità del proprio operato su altri
utenti
l  Per accedere ad un servizio facendo pagare ad un altro
utente
Immettere informazioni false
l  Ingannando un altro utente attraverso assunzione di una
falsa identità
l  Sostituzione di dati presso un centro servizi
Ripudiare le operazioni effettuate
l  Negare di aver spedito informazioni
9
l  Dichiarare di aver spedito informazioni mai trasmesse
Motivazioni di un hacker
l 
l 
l 
l 
Modifica diritti di accesso a risorse
l  Per accedere a servizi senza averne il diritto
l  Per accedere ai dispositivi raggiungibili via rete
Registrazione di informazioni relative agli utenti ed ai dati
scambiati
l  Per un successivo ricatto
l  Per determinare in anticipo informazioni di interesse, e
contatti avuti tra utenti
Interruzione del servizio
l  Per sostituirsi ad un centro servizi
l  Per rendere momentaneamente irraggiungibili informazioni
di vitale importanza per gli utenti
Interferire con il naturale processo di scambio dati tra utenti 10
Requisiti generali
•  La sicurezza informatica deve contribuire ad
assicurare requisiti quali:
–  La disponibilità del servizio da parte degli utenti
legittimi
–  La riservatezza delle informazioni scambiate tra
utenti legittimi
–  L’integrità delle informazioni
–  Il non ripudio delle transazioni e delle altre azioni
effettuate con il sistema informativo
11
I virus
l 
Hanno un comportamento simile a quello
degli omonimi microrganismi:
l 
l 
l 
infettano una macchina ospite
si riproducono
si propagano
12
I virus
Sono programmi che sono eseguiti all'insaputa
del utente del computer.
l  Si annidano all’interno di un file eseguibile
(file.exe) modificandone il comportamento
l  Si duplicano autonomamente e si propagano
l  Svolgono solitamente operazioni
“maligne” (es. cancellano file, rinominano file,
spediscono email, etc.)
l 
13
I virus
Un virus generalmente effettua:
l 
un’azione tendente a favorire la diffusione dello stesso
virus su altri computer (che giustifica il nome);
l 
l’azione dannosa vera e propria (che può spaziare dalla
tragica cancellazione di tutti i file alla innocua comparsa
improvvisa di un messaggio natalizio);
l 
azioni collaterali di mascheramento (tipo prendere il nome
di file buoni già presenti) che confondono le idee al povero
proprietario della macchina infettata per fargli credere che
tutto vada bene.
14
I virus
l 
l’infezione del virus avviene modificando il codice
eseguibile:
l  dei file delle applicazioni;
l 
l 
dei file dei dati che contengono macro.
tipologie di infezione:
l  virus (si propagano all’interno di applicazioni)
l  macro-virus (si propagano all’interno di file di testo
o di fogli elettronici)
15
I cavalli di Troia (trojan horse)
l 
l 
Sono programmi che l’utente scarica da Internet ed
esegue volontariamente sul proprio computer;
possono:
l  modificare la connessione a internet di alcuni
modem (per es: in modo da utilizzare al posto
dell’economico provider cittadino una connessione
Sudamericana);
l  introdursi nel nostro computer per permettere
a malintenzionati di usarlo fino ad aprire e chiudere
il cassettino del CD-ROM.
16
I cavalli di Troia (trojan horse)
l 
Sono programmi le cui funzionalità sono nascoste
all'interno di un programma apparentemente utile;
è dunque l'utente stesso che installando ed
eseguendo un certo programma,
inconsapevolmente, installa ed esegue anche il
codice trojan nascosto
l 
Non hanno bisogno di replicarsi in quanto
sfruttano la condiscendenza incosciente degli
utenti.
17
Phishing
l 
Termine inglese assonante con l’idea di pescare
con la lenza grossi pesci pronti ad abboccare a
qualsiasi cosa
18
Phishing
l 
Tutto inizia con un minaccioso messaggio di posta
elettronica proveniente dalla propria banca che impone di
connettersi e autenticarsi sul sito web della banca stessa,
pena la sospensione del proprio conto.
l 
In realtà, l indirizzo fornito nella e-mail non é quello del
vero sito della banca, ma di una pagina abilmente imitata
pronta a carpire i nostri codici di accesso fornendo ai
truffatori un rapido ed efficiente mezzo per prosciugare il
nostro conto corrente.
19
Tipica pagina di Phishing
• URL strana
•  http invece di https
20
Phishing
l 
Non connettersi mai, per nessun motivo, ai siti
sensibili sfruttando i link contenuti nelle e-mail
l 
I messaggi di phishing possono provenire da una
banca della quale non siamo correntisti
l 
Infatti i truffatori mandano a più indirizzi possibili
e-mail falsamente provenienti dalle banche più
disparate nella speranza che qualcuno abbocchi
21
Minacce alla protezione dei dati
l  Phishing
l  Tipo
di truffa online in cui i truffatori inviano messaggi e-mail per
tentare un furto d'identità, un furto bancario o per assumere il
controllo del computer
l  Contromisure
l  Usa
l 
l 
l 
l  Non
l 
la tecnica "fermati-leggi-chiama":
Fermati: non lasciarti attirare dainformazioni "interessantissime"
Leggi: leggi attentamente tutte le frasi del messaggio e-mail ed
esamina attentamente tutti i collegamenti e gli indirizzi Web
contenuti
Chiama: non rispondere ai messaggi e-mail che ti chiedono di
confermare i tuoi dati; chiama o manda un messaggio
all'azienda in questione per verificare che tale messaggio sia
autentico
inviare mai dati personali tramite e-mail
Quando inserisci dati personali o riservati in
un sito Web, verifica che nel browser sia presente
il lucchetto di sicurezza
l  Controlla
gli estratti conto bancari e della carta di credito per
verificare che non siano stati effettuati movimenti sospetti
22
Attacchi ai protocolli
l 
Sfuttano delle insicurezze dei protocolli per
eseguire delle operazioni non consentite (es.
leggere la posta, “rubare” la password)
23
Il diplomatico Danilo trasmette al diplomatico Davide
24
La spia Sotuttoio intercetta il messaggio
25
Come proteggersi dagli attacchi ai
protocolli ?
l 
Si possono usare protocolli sicuri basati su
tecniche crittografiche.
l 
Se qualcuno é abituato a connettersi alla
propria banca, può notare che non viene usato
il protocollo HTTP, ma il più sicuro protocollo
HTTPS (HTTP Secure)
26
Contromisure
l 
L’unico sistema sicuro per evitare intrusioni in
una rete locale é scolegarla da Internet
l 
Il sistema deve essere sempre monitorato:
l 
la connessione alla rete rallenta, vengono
visualizzati strani messaggi di errore, il cassetto
del masterizzatore si apre da solo: uno di questi
eventi indica che un virus, o un altro genere di
intrusione, può essere attivo sulla vostra macchina
27
Password
l 
l 
Il metodo più comune per proteggere l accesso a una
macchina locale o remota consiste nell attribuire agli
utenti autorizzati login e password.
l 
La password è strettamente personale e deve rimanere segreta;
l 
password elementare: “casa”;
l 
password più sicura: “adj56lk__tgy67.9898989”.
Password elementari possono essere facilmente
individuate dai pirati informatici, per esempio basandosi
su un dizionario
28
Password
l 
Evitare di utilizzare come password il proprio nome o la
propria data di nascita
l 
Non utilizzare per il lavoro ordinario la password di
amministrazione (quella che permette di modificare la
configurazione delle macchine)
29
Antivirus
L’antivirus é uno strumento che interviene sui file
interni al nostro sistema, sia per impedire che
vengano infettati sia per rimetterli a posto se sono
già stati danneggiati.
l 
Applicativo specifico per la rimozione dei virus.
Sono necessari aggiornamenti periodici (con
periodi molto brevi).
l  Il tipo di antivirus da usare dipende dalle
esigenze personali.
l 
30
Intranet
l 
Una soluzione usata da molte aziende per difendere il
loro sistema informativo consiste nel costruire una
LAN, fisicamente limitata a un edificio o un gruppo di
edifici permettondone l’accesso solo ai dipendenti
autorizzati (Intranet)
l 
Le varie Intranet sono collegate a Internet attraverso
dei dispositivi detti firewall che hanno lo scopo di
controllare e filtrare gli accessi
31
Virtual Private Network
l 
Una Virtual Private Network o VPN è una rete privata
instaurata tra soggetti che utilizzano un sistema di
trasmissione pubblico e condiviso come per esempio
Internet. Lo scopo delle reti VPN è di dare alle aziende le
stesse possibilità delle linee private in affitto ad un costo
inferiore sfruttando le reti condivise pubbliche.
l 
Le reti VPN utilizzano collegamenti che necessitano di
autenticazione per garantire che solo gli utenti autorizzati
vi possano accedere; per garantire la sicurezza che i dati
inviati in Internet non vengano intercettati o utilizzati da
altri non autorizzati, esse utilizzano sistemi di crittografia.
l 
Le reti VPN sicure adottano dunque protocolli che
provvedono a cifrare il traffico transitante sulla VPN.
32
Limitazione dei servizi
l 
I server forniscono agli utenti collegati dei servizi come HTTP,
FTP, TELNET, e-mail ecc;
l 
ogni servizio è una potenziale porta aperta per eventuali
intrusioni;
l 
utilizzare solo i servizi necessari;
l 
scegliere, se possibile, i servizi che crittografano le
informazioni (SSH, SFTP, ecc).
33
Firewall
(“muro di fuoco”)
l 
È un applicativo;
l 
generalmente risiede:
l  su un router (il dispositivo che ci connette alla WAN)
l 
l 
su un server dedicato;
è un programma che filtra tutti i pacchetti di dati che transitano su
un collegamento di rete:
l  permette il passaggio di quelli “leciti”;
l 
blocca quelli “illeciti”;
34
Firewall
l 
la validità di un pacchetto può essere definita dal:
l  tipo di protocollo;
l  indirizzo IP;
l 
Per esempio, un firewall può bandire un insieme di siti non
autorizzati oppure può chiudere tutti i servizi che non usano un
protocollo crittografato
35
La posta elettronica:
decalogo d’uso
l 
Non scrivete su una mail quello che non scrivereste su una cartolina,
cioè non affidate alla e-mail informazioni riservate;
l 
disattivate tutti i meccanismi di apertura automatica dei messaggi e
degli attachment;
l 
installate un antivirus che effettui il controllo di tutti gli attachment in
arrivo;
non aprite mai gli attachment dei messaggi che vengono da
sconosciuti;
l 
l 
non aprite mai gli attachment dei messaggi che vengono da persone
conosciute, se non siete sicuri che quella persona vi doveva davvero
mandare quell’attachment;
36
La posta elettronica:
decalogo d’uso
l 
se dovete inviare materiale sensibile, prima crittografatelo;
l 
non rispondete MAI alle proposte per dire che non vi interessano
e non date credito alle proposte di guadagno;
l 
non rispondete MAI allo SPAM, neppure per farvi cancellare
dall’elenco dei destinatari (in realtà non vi cancellerebbero, ma vi
metterebbero in cento altre liste perché siete un indirizzo “vivo”);
l 
diffidate delle catene di Sant’Antonio, dei messaggi pietosi (di
solito sono falsi) e dei finti avvisi di virus (il virus è il messaggio e
chi lo diffonde sareste voi);
l 
tenete presente che l’indirizzo del mittente si può falsificare con
estrema facilità.
37
Sicurezza logica:
crittografia
Ave
testo in chiaro
cifratura
Dyh
testo cifrato
decifrazione
Ave
Crittografia
=
scienza che mette a
disposizione metodi
per la cifratura
Testo in chiaro
originale
Crittologia
=
scienza che mette a
disposizione metodi
per la decifrazione
Crittografia
l 
La crittografia risponde alle esigenze di
sicurezza.
l 
Riservatezza:
l 
l 
Autenticazione:
l 
l 
l 
firma digitale;
certificati.
Integrità:
l 
l 
cifratura.
one-way hash (message digest).
Non ripudio:
l 
Integrità e Autenticazione.
Crittografia a chiave
simmetrica
Chiave di cifratura
010001101011110
Blah blah…
blah….
blah….
Algoritmo
di
cifratura
Mittente
Chiave di cifratura
010001101011110
Internet
Algoritmo
di
cifratura
Blah blah…
blah….
blah….
Destinatario
Cifratura a chiave privata
l 
l 
l 
l 
Richiede una chiave
segreta nota solo ai
corrispondenti
La stessa chiave serve
per cifrare e decifrare il
messaggio
Come trasferire la chiave
in modo sicuro?
Per n utenti il numero
delle chiavi è O(n2).
A
ciao
B
3$r
A
ciao
3$r
ciao
B
3$r
3$r
ciao
Il cifrario di Cesare
Un primo esempio di cifrario: il cifrario di Cesare
l 
Consideriamo l'alfabeto italiano, costruiamo un cifrario che
sostituisce ad ogni lettera di questo alfabeto la lettera che si
trova 3 posizioni in avanti.
Cifrario di Cesare
a
traslazione
a sinistra
di 3 posizioni
l 
b
c
a
b
c
d
e
f
g
h
i
l
m
n
o
p
q
r
s
t
u
v
z
d
e
f
g
h
i
l
m
n
o
p
q
r
s
t
u
v
z
a
b
c
reinserimento dei caratteri a,b,c in coda
Ad esempio il testo in chiaro “prova di trasmissione” viene
cifrato nel crittogramma “surbd gn zudvpnvvnrqh”.
Schema del ROT13
Prendendo ad esempio
la parola HELLO
diventa URYYB. Criptonalisi statistica
•  Tramite l’utilizzo di tecniche statistiche sulla frequenze dei caratteri o
sottostringhe del testo cifrato si ottengono informazioni utili sul testo in
chiaro.
Crittografia a chiave pubblica
Blah blah…
blah….
blah….
Algoritmo
di
cifratura
Mittente
Internet
Algoritmo
di
cifratura
Blah blah…
blah….
blah….
Destinatario
Cifratura a chiave pubblica
l 
Ogni utente ha due chiavi
generate
contemporaneamente: una
privata e una pubblica:
l 
l 
l 
Non è necessario nessuno
scambio di chiavi segrete:
l 
l 
l 
dalla chiave pubblica è
praticamente impossibile
scoprire quella privata;
quello che si cifra con una, si
può decifrare solo con
l altra.
il mittente cifra con la chiave
pubblica del destinatario;
il destinatario decifra con la
propria chiave privata.
Per n utenti il numero di O(n)
A
ciao
B
3$r
A
ciao
3$r
ciao
B
cy7
cy7
Chiavi di A
Chiavi di B
pubblica privata
pubblica privata
ciao
Integrità: one-way hash
l 
l 
l 
Funzioni che hanno in ingresso un messaggio di
lunghezza variabile e producono una stringa di
lunghezza fissa (hash).
È praticamente impossibile trovare un messaggio
che produca un hash specificato.
Modificando anche un solo bit del messaggio si
ottiene un hash completamente diverso.
Autenticazione: firma digitale
l 
l 
l 
l 
A calcola l’hash del messaggio e
lo cifra con la sua chiave privata:
l’hash cifrato è la firma digitale
A invia il messaggio e l’hash a
B.
B ricalcola l’hash sul messaggio
e lo confronta con quello cifrato
da A.
Se i due hash sono uguali, il
messaggio non è stato
modificato!
A
ciao
ciao
hash (A)
Chiavi di A
B
hash (B)
=?
hash (A)
ciao
pubblica
privata
Bibliografia
l 
l 
l 
l 
l 
l 
l 
l 
l 
l 
l 
l 
C. Giustozzi, A. Monti, E. Zimuel. Segreti spie codicifrati, Apogeo, 1999.
Neal Koblitz. A Course in Number Theory and Cryptography, Springer-Verlag,
1994.
Network Associates Inc. An Introduction to Cryptography, Associato alla
documentazione del PGP 6.02i, 1998.
RSA Laboratories. Freqently Asked Questions About Today's Cryptography v.
4.0, Ed. RSA Laboratories, 1988.
A. Sgarro. Crittografia, Franco Muzio Editore, 1993.
Douglas R. Stinson, Cryptography, Theory and Practice Chapman and Hall/
CRC (scond edition 2002).
Song Y. Yan, Number Theory for Computing, Springer (2002)
http://www.enricozimuel.net/bibliografia.asp
http://security.polito.it/
www.trojanscan.com
http://rhino9.ml.org/
http://www.clusit.it