Basi per la sicurezza in rete
-
Upload
alessandro-colla -
Category
Internet
-
view
46 -
download
0
Transcript of Basi per la sicurezza in rete
BUONE PRATICHE PER LA SICUREZZA IN RETE
DISCLAIMER
• TUTTO QUELLO DI CUI VI PARLERÒ VA APPLICATO ALL’IMPORTANZA CHE DATE AI VOSTRI DATI, QUALI E CHE LIVELLO DI SICUREZZA (PARANOIA?) VOLETE MANTENERE
• LA TANA DEL BIANCONIGLIO È TALMENTE PROFONDA CHE TOCCHERÒ DI STRISCIO GLI ARGOMENTI.
• SE INTERESSA QUALCOSA IN PARTICOLARE APPROFONDIAMO NEL Q&A CON UN BUON PIRLO
SCOPO DEL TALK
• BASI SULLA SICUREZZA IN RETE• COSA SI PUÒ FARE PER PROTEGGERE I PROPRI DATI• UN’IDEA DI COSA C’È LA FUORI
DI COSA DI PARLARE?
• BUONE PRATICHE• TWO FACTOR AUTHENTICATION (OTP)• CRIPTAZIONE• CLOUD• SOCIAL ENGINEERING• SICUREZZA NEI LUOGHI PUBBLICI• NAVIGAZIONE ANONIMA
SFATIAMO IL PRIMO MITO
NON ESISTE NULLA DI SICURO
“”
I THINK INFORMATION SECURITY IS A LOT LIKE MEDICINE — IT’S BOTH AN ART AND SCIENCE. MAYBE THIS IS BECAUSE HUMANS HAVE EXPLICITLY BUILT TECHNOLOGY AND THE INTERNET
PARISA “SECURITY PRINCESS” TABRIZ – HEAD ENGINEER OF GOOGLE’S CHROME SECURITY TEAM
LA BASI…
• PASSWORD A TUTTI I VOSTRI DISPOSITIVI• NON LASCIATE MAI IL VOSTRO DISPOSITIVO
INCUSTODITO SENZA BLOCCARE LO SCHERMO• UN BUON ANTIVIRUS NON FA MAI MALE
UNA BUONA PASSWORD PREVIENE MOLTI ATTACCHI
HTTP://XKCD.COM/936/
LE 10 PEGGIORI PASSWORD DEL 2015
1. 1234562. PASSWORD3. 123456784. QWERTY5. 12345
6. 1234567897. FOOTBALL8. 12349. 123456710.BASEBALL
Fonte: https://www.teamsid.com/worst-passwords-2015/
POTETE USARE UN PASSWORD MANAGER…
• LASTPASS• DASHLANE• KEEPASS• 1PASSWORD• ROBOFORM
…MA RICORDATE CHE….
• SERVE UNA MASTER PASSWORD• SE LA PERDETE…PERDETE TUTTO• ANCHE QUESTI SONO SOFTWARE E PERTANTO SOGGETTI A FALLE DI
SICUREZZA• PER CITARNE UNA RECENTE:
HTTP://HACKADAY.COM/2016/08/01/LASTPASS-HAPPILY-FORFEITS-PASSWORDS-TO-SIMPLE-JAVASCRIPT/
TUTTI I SOFTWARE HANNO VULNERABILITÀ
TENETE AGGIORNATI I SISTEMI E PROGRAMMIMAGARI ASPETTATE UN PAIO DI GIORNI ;)
http://www.cvedetails.com/top-50-products.php?year=2015
ASSICURATEVI DI ESSERE IN HTTPS
• LA S STA PER «SECURE»• PROTEGGE LA PRIVACY DEGLI UTENTI• EVITA LO SNIFFING (MAN IN THE MIDDLE)• CONTROLLATE L’ICONA IN ALTO A SINISTRA
TWO FACTOR AUTHENTICATION
• È UN OTP (ONE TIME PASSWORD)• ATTIVATELO OVUNQUE POTETE• MAGARI NON METTETE LA SPUNTA A «NON CHIEDERMELO PIÙ» • GOOGLE AUTHENTICATOR
HTTPS://PLAY.GOOGLE.COM/STORE/APPS/DETAILS?ID=COM.GOOGLE.ANDROID.APPS.AUTHENTICATOR2
• AZURE AUTHENTICATOR (IOS, ANDROID E WINDOWS PHONE) A BREVE
SE VI RUBANO IL PORTATILE O UN HD/USB ESTERNO?
• BIT LOCKER (WINDOWS)• TRUECRYPT / VERACRYTP (MULTIPIATTAFORMA E CREA ANCHE
CONTAINER)• FILEVAULT (OSX)• ANDROID HA L’OPZIONE DA ATTIVARE, MA PARE SIA FACILE RAGGIRARLO• IOS CRIPTA TUTTI I DATI PERSONALI IN AUTOMATICO
COME ACCEDO?
SI INSTALLA UN BOOT LOADER E DA QUI LE SCELTE:• MODULO TPM
HTTPS://IT.WIKIPEDIA.ORG/WIKI/TRUSTED_PLATFORM_MODULE
• PASSWORD• CHIAVE USB O SMARTCARD• PARTIZIONI NASCOSTE (PLAUSIBLE DENIABILITY )
SONO SICURI?
• NON DEL TUTTO• SOGGETTI AD ATTACCHI «EVIL MAID» (LINUX E OSX)
HTTPS://WWW.SCHNEIER.COM/BLOG/ARCHIVES/2009/10/EVIL_MAID_ATTAC.HTML
• BITLOCKER NO, MA SI VOCIFERA ABBIA DELLE BACKDOOR PERCHÉ COLLABORA CON LA NSA (E CODICE NON OPEN, PERTANTO NIENTE AUDIT COME A TC)
E IL CLOUD?• SI FA LO SBAGLIO DI PENSARLI COME HARD DISK
ESTERNI• HANNO TANTI DATI E ATTIRANO L’ATTENZIONE• SICUREZZA DI CASA VOSTRA VS SICUREZZA
GESTITA DA ALTRI• CASO REMOTO, MA È SUCCESSO CHE ABBIANO
CANCELLATO I DATI• THE FAPPENING…ANYONE?• TRESORIT È UN’ALTERNATIVA CRIPTATA• BOXCRIPTOR CRIPTA PRIMA DI SINCRONIZZARE
SOCIAL ENGINEERING
• MANIPOLAZIONE PSICOLOGICA DELLE PERSONE• OTTENGO INFORMAZIONI CONFIDENZIALI (PRETEXTING, PHISHING,
SPEARPHISHING)• GLI FACCIO FARE QUALCOSA (BAITING)
“”
IT IS MUCH EASIER TO TRICK SOMEONE INTO GIVING A PASSWORD FOR A SYSTEM THAN TO SPEND THE EFFORT TO CRACK INTO THE SYSTEM.
KEVIN MITNICK
ESEMPIO PIÙ BANALE DI QUANTO IMMAGINATE?
• NEL 2003, IN UN SONDAGGIO SULLA SICUREZZA, IL 90% DEGLI IMPIEGATI AVEVA FORNITO AI RICERCATORI QUELLA CHE DICHIARARONO ESSERE LA LORO PASSWORD IN RISPOSTA AD UNA DELLE DOMANDE DEL QUESTIONARIO…IN CAMBIO DI UNA PENNA IN REGALO.
SICUREZZA NEI LUOGHI PUBBLICI
• BLOCCATE LE CONDIVISIONI• ATTIVATE IL FIREWALL• HTTPS #CHEVELODICOAFARE• VPN• ELIMINATE I WI-FI A CUI NON VI ATTACCATE PIÙ• NIENTE TRANSAZIONI ECONOMICHE
TOR
• PERMETTE LA NAVIGAZIONE ANONIMA (MEGLIO DI IE, FF, CHROME O SAFARI)
• ABBIAMO ACCESSO ALLA DARK NET (CHE NON È IL DEEP WEB)• ANDIAMO SU THEHIDDENWIKI (HTTP://ZQKTLWI4FECVO6RI.ONION)
QUINDI È SICURO NAVIGARE CON TOR?
• 3% DEI NODI SONO «ROGUE»HTTPS://NAKEDSECURITY.SOPHOS.COM/2016/07/26/HONEY-ONIONS-PROBE-THE-TOR-DARK-WEBT-AT-LEAST-3-OF-DARK-WEB-NODES-ARE-ROGUES/
COSA È RIMASTO FUORI?
• IOT• TYPO SQUATTING• E-WHORING• …
E GIUSTO PER NON FARCI MANCARE NULLA
• SE AVETE TUTTO NEL TELEFONO, BASTA HACKARVI QUELLO ;)HTTP://WWW.PCMAG.COM/NEWS/345207/HACKERS-NO-LONGER-NEED-YOUR-PASSWORD
SFATIAMO IL PRIMO MITO
NON ESISTE NULLA DI SICURO
QUINDI?
• DIPENDE DALLA VOSTRA INTELLIGENZA E CONOSCENZA
• «BECAUSE THERE IS NO PATCH TO HUMAN STUPIDITY»
DOMANDE?
MAGARI DAVANTI AD UNA BIRRA?
GRAZIE