Sicurezza Informatica - gianluigi.me · Fondamenti di sicurezza delle reti ... Modelli di...

Sicurezza

Informatica

Gianluigi Me

[email protected]

Anno Accademico 2011/12

Sicurezza dei Sistemi Informatici-G.Me

Risorse del Corso www.gianluigi.me

Teaching -> Sicurezza dei Sistemi Informatici

Gruppo su google:iscrivetevi!

https://groups.google.com/d/forum/sicurezz

a-informatica-ing-medica

Twitter per comunicazioni real time e

rassegna stampa (da HP sito)

Contiene tutto (o quasi) sul corso

Lucidi, link, informazioni sull’esame

http://www.gianluigi.me/


Libro di testo Menezes, van Oorschot, Vanstone

“Handbook of Applied Cryptography” CRC Press

Disponibile on-line (link sulla pagina Web)

Altri testi consigliati sulla pagina Web

Link d’interesse nella sezione LINKS


Organizzazione del Corso

Lezioni di teoria (martedì) Crittografia applicata

breve storia, convenzionale e a chiave pubblica (gestione e distribuzione delle chiavi in altro modulo)

Autenticazione Sistemi base, challenge-response, autenticazione di

sistemi ed utenti

Tirocinio (venerdì)

Fondamenti di sicurezza delle reti

Standard di Sicurezza e Privacy

Modelli di riferimento (ISO/OSI – TCP/IP)

Encapsulation

Agenda tirocinio (rete)

L’indirizzamento e il routing di Internet

Introduzione

I livelli del TCP IP – protocolli, HW e indirizzamento

Architetture LAN, MAN, WAN

DNS, HTTP e WWW, EMAIL, FTP

Proxy, Personal Firewall, Firewall, IDS, IPS

La Governance in ambienti complessi

Attacchi e contromisure

Agenda tirocinio

• Sistemi di Autenticazione ed Autorizzazione

• Internet Privacy e Antivirus

• Standard e Normative di Privacy e Sicurezza

• Disponibilità dei Dati, Backup, RAID, DR e BC

• Database Security e Digital Forensics


Esami del corso

Esame scritto + progetto (opzionale, 1-5 punti)

Esonero A metà e fine corso

Possibilità di chiudere l’esame prima degli appelli

Consegna Progetto: entro appello di settembre, disaccoppiato dalla data in cui lo studente effettua la prova scritta


13th Annual 2008 CSI Report CSI (Computer Security Institute) ha

intervistato 522 computer security

practitioners in aziende, agenzie

governative, istituzioni finanziarie,

istituzioni mediche e università.

2008 Computer Crime and Security

Survey

Sunto disponibile su:

http://www.gocsi.com/


Experienced Security Incidents


Number of incidents by percentage


2007 CSI Report (cont.) Perdite finanziarie quantificate:

$ 66,930,950 in 2007 Report

$ 52,494,290 in 2006 Report

$ 130,104,542 in 2005 Report

$ 141,496,560 in 2004 Report

$ 201,797,340 in 2003 Report

$ 455,848,700 in 2002 Report

$ 377,828,700 in 2001 Report

$ 265,589,940 in 2000 Report

$ 120,240,180 media prima del 2000


2003 CSI/FBI Report (cont.)


Summary Sicurezza informatica non è una moda ma una

questione seria

Alti rischi e perdite ($$$)

Quanta sicurezza? Quale trade off tra costi e sicurezza?)

Insicurezza della mia piattaforma può recare danni a me ma anche ad altri (esternalità)

Non sono molte le organizzazioni (individui) che hanno piani di sicurezza e/o adottano tecniche e policy per migliorare la sicurezza: Crittografia (Privacy, Integrity, Authentication, ...)

Politiche (Auditing, Security Management, ...)

Soluzioni (Firewall, Antivirus, Intrusion Detection System, Network Scanner, ...)


Cosa si vuole rendere sicuro

Riservatezza dei dati presenti nei sistemi

Riservatezza della comunicazione

Controllo dei sistemi e delle reti

Integrità dell’informazione

Il livello di servizio offerto

L’identità di chi accede ai servizi

Privacy

Definizioni


Definizioni di base Con il termine sicurezza informatica, secondo la definizione dell’

International Standard Organization, si intende l’insieme delle misure atte a garantire, ad un sistema informatico, le seguenti proprietà delle informazioni: Confidenzialità: il patrimonio informativo (asset) deve essere

acceduto solamente da soggetti autorizzati. Perciò, solamente coloro in possesso di adeguata autorizzazione possono leggere, stampare, copiare od essere a conoscenza dell’esistenza di una determinata risorsa;

Integrità: L’asset informatico può essere modificato solo se autorizzati (persone, applicazioni). Tale autorizzazione individua anche un livello di accesso alle risorse al quale sono associate un insieme definito di operazioni permesse: ad esempio, un utente potrebbe accedere in lettura su un file, ma non in scrittura;

Disponibilità: L’asset deve essere acceduto dalle persone autorizzate nei tempi prestabiliti. Ad esempio, una persona od applicazione, che detenga un’autorizzazione valida per qualche risorsa, non deve averne l’accesso negato. La disponibilità è la caratteristica da preservare negli attacchi di abbattimento del servizio (Denial of Service, DoS).


Definizioni di base

Confidenzialità

Disponibilità

Integrità

SICUREZZA


Definizioni di base

Quali risorse sto cercando di proteggere?

Da cosa bisogna difendere il sistema informatico?


Definizioni di base

Confidenzialità (segretezza), con obiettivo di proteggere le informazioni rendendole incomprensibili a chiunque diverso dal legittimo destinatario (ad esempio, un intercettatore) ;

Autenticazione, con obiettivo di accertare la reale origine di un messaggio, evitando che un intrusore si mascheri, ad esempio, da utente autorizzato;

Integrità, con obiettivo di consentire al destinatario di un messaggio di verificare che non sia stato modificato durante il tragitto. Un intrusore non deve essere in grado di sostituire un messaggio vero con uno falso;

Non ripudio, con obiettivo di impedire al mittente di negare di aver inviato un messaggio.


I principi di sicurezza

Minimo privilegio (non solo in ambito informatico): è il principio fondamentale della sicurezza. Ogni risorsa (informatica, umana) deve avere soltanto le autorizzazioni di cui ha bisogno per compiere il proprio lavoro. Niente di più;

Difesa in profondità (non solo in ambito informatico): non bisogna fare affidamento soltanto su un meccanismo di sicurezza, anche se ritenuto estremamente valido ed affidabile. L’adozione di molteplici sistemi di sicurezza in grado di coprire eventuali malfunzionamenti di altre contromisure evita la compromissione del sistema (ad esempio, nelle automobili, la serratura degli sportelli e il sistema di bloccaggio del motore senza chiavi nel quadro d’accensione);

Punto di transito di semplice controllo: un punto d’accesso facilmente controllabile permette una bassa percentuale di errori ed una loro immediata individuazione. Un esempio è costituito dalla linea dei metal detector in aeroporto, la coda per il controllo dei biglietti a teatro;



Anello debole: la sicurezza di un intero sistema è rappresentabile come una catena di contromisure tanto forte quanto l’anello più debole. Chiunque vorrà attaccare il sistema lo farà nella parte maggiormente vulnerabile, ovvero quella con la contromisura più debole;

Fallimento in regime di sicurezza: quando una contromisura fallisce, lo deve fare in maniera “sicura”. Ciò vuol dire che se un sistema di sicurezza ha un malfunzionamento non deve consentire l’accesso all’intruso, anche a costo di negarlo ai legittimi utenti. Istanze di questo principio sono: tutto ciò che non è espressamente consentito è vietato;

tutto ciò che non è espressamente vietato è consentito;



La partecipazione universale: la maggior parte dei sistemi di sicurezza richiede la partecipazione universale (o, almeno, l’assenza di opposizione attiva) delle risorse umane coinvolte. Ad esempio, se qualcuno all’interno dell’azienda non è disciplinato nell’adozione delle misure previste dalla politica di sicurezza, allora un’attaccante potrebbe utilizzare il suo computer per poter arrivare, dall’interno, alla risorsa d’interesse per l’attacco;

Diversità della difesa: è strettamente collegata alla profondità della difesa, diversificandosi nell’organizzazione della sicurezza. Non occorrono diversi strati di sicurezza, ma differenti tipi di difesa. Ad esempio, aggiungendo un sistema d’allarme all’interno dell’autovettura, equipaggiata con i sistemi citati nell’esempio precedente, si aggiunge la diversità alla profondità della difesa;

Semplicità: è una strategia di sicurezza per due ragioni: la semplicità, che consente la più larga e veloce comprensione, rende chiaro cosa accade, rendendo più facile capire se si è sicuri. Inoltre, la complessità fornisce nicchie dove poter nascondere oggetti: è molto più facile rendere sicuro un monolocale rispetto ad una villa a due piani con giardino!



Security through obscurity: è il principio di proteggere gli oggetti, nascondendoli. E’ un principio molto usato nella vita di tutti i giorni (nascondere le chiavi in un posto segreto, la borsa nel portabagagli dell’automobile), ma in informatica è soltanto una valida tattica di sicurezza: senza una reale protezione adottata, è assolutamente inefficace (è il caso, ad esempio, degli algoritmi di cifratura del GSM).


I principi di sicurezza La lezione imparata nei secoli è, perciò, di non sottovalutare alcun

aspetto della protezione, poiché la sicurezza dell’intero sistema informatico

è data dalla parte più debole del sistema di sicurezza.

8-Mar-12 slide 29

Obscurity is not Security

All security should reside in the keys

Secret algorithms could hide secret bugs, or secret

trapdoors (or public license fees)

“Keyless” algorithms don’t exist…

algorithm is the key

input data is the key (autokey cipher)

both usually very weak

claims that something “hasn’t been broken” are

meaningless but hard to refute

unless “… by Shamir, Coppersmith, …”


Gli attacchi

DESTINAZIONE DELLE

INFORMAZIONI

FONTI DELLE

INFORMAZIONI

(A) Flusso normale

(B) Interruzione (C) Intercettazione

Interruzione: una risorsa del sistema è distrutta o diventa indisponibile o

inusabile (Denial of Service (DoS), abbattimento del servizio);

Intercettazione: un utente non autorizzato guadagna l’accesso ad una risorsa del

sistema. Esempi di questa tipologia di attacco sono l’intercettazione tramite sniffing

o gli attacchi di spoofing, dove l’utente non autorizzato si spaccia, con successo, per

uno autorizzato.


Gli attacchi

DESTINAZIONE DELLE

INFORMAZIONI

FONTI DELLE

INFORMAZIONI

(A) Flusso normale

Modifica : un utente non autorizzato non solo guadagna l’accesso, ma

falsifica il contenuto di una risorsa, alterandone l’integrità;

Produzione: un utente non autorizzato inserisce oggetti informatici contraffatti

nel sistema, tesi, essenzialmente al sabotaggio (es. Virus, Worm al fine di

provocare, ad esempio, DoS oppure per rubare dati).

(D) Modifica (E) Fabbricazione


Gli attacchi

Howard divide gli attaccanti in sei categorie

Hackers: attacco a primario scopo dimostrativo e di sfida tecnica;

Spie: attacco per furto di informazioni al fine di guadagnare potere politico;

Terroristi: attacco per infondere paura utile all’acquisizione di potere politico;

Corporate raiders: attacco portato dai dipendenti di una azienda ai danni di sistemi dei concorrenti, finalizzato al guadagno economico aziendale;

Criminali professionisti: attacco per guadagno economico personale;

Vandali: attacco al fine di causare danni;


Gli attacchi

HACKERS

CRIMINALI

PROFESSIONISTI

ACCESSO STRUMENTI RISULTATO

VANDALI

CORPORATE

RAIDERS

TERRORISTI

SPIE

DANNI

RISCONTRI

POLITICI

RISCONTRI

FINANZIARI

SFIDA

TIPOLOGIA DI

ATTACCO OBIETTIVI


Come possiamo proteggerci?

Uso esteso della crittografia

Controllo degli Accessi (hardware, software, sistema, applicazioni)

Autenticazione (password, certificazione, biometrica)

Virtual Private Networks

Sistemi per la rilevazioni delle intrusioni

Ridondanza delle strutture

Cultura della riservatezza

Segretezza delle informazioni sui propri sistemi

Segretezza della comunicazione

Controllo dei nostri sistemi e reti

Integrità dei dati

Denial of Service

Autenticità dei partner nella comunicazione

Privacy


Strumenti commerciali disponibili Crittografia

RSA Security, F-Secure, Certicom

Autenticazione

Verisign, Entrust, Baltimore, società biometriche hi-tech

Autorizzazione, Autenticazione ed Amministrazione (3A)

Computer Associates, IBM Tivoli, BMC Software

Software Anti-Virus

Network Associates (McAfee), Symantec (Norton)

Firewalls

Checkpoint, Cisco, CA, Microsoft

Intrusion Detection

ISS, Cisco, NFR

VPN Hardware

Nokia, Nortel, Intel

Public Key Infrastructure (PKI)

Entrust, Baltimore, IBM (VeriSign)


Gli attacchi (Eavesdropping)


Gli attacchi (Social Engineering)


Phishing (Social Engineering)

Una truffa informatica che permette agli ideatori di carpire, attraverso un'e-mail, i dati di accesso personali alla propria banca on line. Arriva nella casella di posta elettronica comunicando un imprecisato problema al sistema di "home banking".

Invita ad aprire la home page della banca con cui avete il conto corrente gestito via web e a cliccare sul link indicato nella mail.

Subito dopo aver aperto il sito della banca vi si apre una finestra (pop-up) su cui digitare la "user-id" e la "password" di accesso all'home banking. Dopo pochi secondi appare un altro pop-up che vi informa che per assenza di collegamento non è possibile la connessione. A questo punto qualcuno è entrato in possesso dei vostri dati e può fare operazioni dal vostro conto.


Phishing (Social Engineering)

Phishing

..studiamo la tecnica

Per i possessori di un conto Banca Intesa: <a

href="http://www.google.mn/url?q=

http://www.google.gm/url?q=

http://www.google.ru/url?q=

http://%09%36%252%356%2563h%2567ka%09%6f%2e%64a%2E%

09%72U/"

target="_blank">http://www.bancaintesa.it/RBDaGVeIk

2Dz73h8x0eez52e8zy6</a>

Phishing

..studiamo la tecnica Per i possessori di un conto San Paolo IMI: <a

href="http://www.google.it/url?q=

http://www.google.lt/url?q=

http://www.google.dk/url?q=

http://%09%2509%09%25%09%32576%09%76o%2570v%65o%2E%64%09a%0

9%2e%09Ru/"

target="_blank">http://www.sanpaolo.com/6Kq9Qq8y2Hikshh4Wh4

m1fj8e3c6s7s</a> 

 Per i possessori di un conto Fineco: <a

href="http://www.google.ms/url?q=

http://www.google.sc/url?q=

http://www.google.hn/url?q=

http://i%09%252%350%09%39%256%66%66gn%71q%2e%64a%2e%72U/"

target="_blank">http://www.fineco.it/xRGt8XVzjnC9OmjFi6rd3p

3bq05wv1g</a>

<o:p></o:p>


Phishing


Ancora, però, non è chiaro, visti i rimandi su google ed una

serie di caratteri esadecimali inseriti per alterare la leggibilità

dell'URL, capire su quale sito punta l'hyperlink. Decodificando

l'URL

http://www.google.mn/url?q=


http://www.google.ru/url?q=

http://%09%36%252%356%2563h%2567ka%09%6f%2e%64a%2E%

09%72U/


Phishing


http://www.google.mn/url?q=


http://www.google.ru/url?q=http://6lhgkao.da.rU/

http://www.google.ru/url?q=http://6lhgkao.da.rU/


Gli attacchi

Un attacco informatico è una violazione della sicurezza informatica. Dalla definizione presentata nel paragrafo, una possibile definizione di attacco informatico è, perciò, «la violazione della confidenzialità, disponibilità ed integrità di un sistema informatico». Tra le molteplici tassonomie e classificazioni presenti in letteratura, verranno presentate, ai fini di una impostazione metodologica, J. D. Howard e J. D. Howard, An Analysis Of Security Incidents On The Internet 1989–1995, http://www.cert.org/research/JHThesis/Chapter6.html, 1997.

http://www.cert.org/research/JHThesis/Chapter6.html

8-Mar-12 slide 50

Some common mistakes Too little entropy in the random number seed

This was Netscape’s problem

Using the wrong block cipher mode

Reusing keys for stream ciphers, or using a

block cipher key for too long

Microsoft reuses streams in a number of places

Authenticating at the beginning of a session, but

allowing hijacking later

Choosing bad passwords

Divide and conquer attacks

Sicurezza dei Sistemi

Informatici

Gianluigi Me

[email protected]


Computer Security:

An Overview


Attori

Alice


Attori

Bob


Basic Communication

Alice talking to Bob Hello


Another Character

Eve


Basic Communication Problem

Eve listening to

Alice talking to Bob Hello


Two-Party Environments

Alice Bob


Modello di comunicazione

sicura

Alice Bob


Esempio

Alice Bob

PrivK(Alice) PrivK(Bob)

EncPubK(Bob) (SessK)

Decrypt SignPrivK(Alice) (“Alice”)

SignPrivK(Bob) (“Bob”)

EncSessK(Message)

Decrypt

Decrypt

Decrypt

Encrypt

Encrypt

Encrypt

Encrypt

Gen Sess Key

Trusted Server


Modello di accesso sicuro

Identifica e filtra le richieste di informazioni


Esempi di Attacco

Intrusione

Eavesdropping

Impersonificazione

Virus / Worm

Denial of Service

Man-in-the-middle

Reflection attack

Replay attack

Password cracking

Corruzione di dati/codici

Attribuzione fraudolenta/Ripudiazione


Meccanismi

Uso specifico di algoritmi, protocolli, e procedure per rilevare e difendersi da attacchi.

Esempi Cifrare l’informazione

Autenticare gli utenti usando qualcosa che possiedono qualcosa che sanno, oppure qualcosa che sono

Rilevare e rendere inoffensivi i virus, e le intrusioni

Creare e gestire sistemi e procedure per il controllo degli accessi

Molti meccanismi usano la Crittografia


Servizi di Sicurezza

Confidenzialità

Autenticazione

Integrità

Non-ripudio

Controllo degli Accessi

Disponibilità del servizio


Cosa può accadere?

L’informazione sui sistemi può essere compromessa

Gen. 2000, un hacker penetra nei sistemi della CDUniverse, sottrae 300,000 numeri di carta di credito e informazioni sui clienti; altri hackers ottengono accesso ai dati della Egghead.com.

Luglio 2001, un hacker riesce ad sottrarre i dati sui guadagni della JDS earnings prima che vengano rilasciati.

Gen. 2002, un hacker penetra nei sistemi della Online Resources (software finanziario); usa questi sistemi per accedere ad una banca di NY che viene ricattata


Cosa può accadere?

La comunicazione può essere compromessa

Nel XVI secolo, Maria Stuarda fu decapitata dopo che i

suo messaggi segreti furono decifrati (dimostrando che

complottava contro Elisabetta I).

Nella seconda guerra mondiale, molti U-boat tedeschi

furono distrutti dopo che gli Inglesi riuscirono a decifrare

i messaggi che utilizzavano la macchina Enigma.

Oggi, il sistema Carnivore analizza milioni di messaggi

di email al giorno.


Cosa può accadere?

I sistemi possono essere compressi

Febbraio 2000, ICQ userid, PIN hijacked per un riscatto

Agosto 2001, Code Red infetta 359.000 server in 14 ore

Scandisce la rete alla ricerca di server IIS vulnerabili;

rallenta i server; lascia backdoor per gli hacker

Molti altri virus prendono il controllo del sistema

operativo, inviano messaggi. I sistemi compromessi

possono essere utilizzati per attaccare altri siti

sensibili


Cosa può accadere? I dati possono essere alterati. Settembre 1999, i siti del NASDAQ e dell’AMEX vengono

violati; gli hacker aprono dei propri account di email.

Ottobre 99, un Worm svuota interi archivi al Pentagono.

Ottobre 2000, hacker Pro-Israeliani e pro-Palestinesi (e-Jihad) violano decine di siti; i visitatori del sito di Hamas sono dirottati su un sito porno.

Aprile 2001, il sito della British Telecom site è violato due volte in tre giorni

gli hacker protestano contro la sospensione del servizio ADSL

Luglio 2001, un gruppo di hacker viola 679 siti in un minuto


Cosa può accadere?

Il servizio può essere interrotto.

Settembre 1996: Panix, un ISP di NY , subisce un attacco di tipo

Denial of Service (DoS) basato su SYN flooding

Maggio 1999, il virus Melissa virus manda in crash molti servers di

e-mail

si diffonde replicandosi verso i primi 50 contatti di Outlook

Febbraio 2000: attacco Mafiaboy di tipo Distributed Denial of

Service (DDoS): Yahoo, CNN, eBay, Amazon non disponibili per

più di 3 ore.

Attacchi vari a siti istituzionali (Ministero della Giustizia).


Altre informazioni sugli attacchi Numero degli attacchi

gli USA sono i primi nel mondo per il numero assoluto

Israele è in testa per il numero di attacchi per abitante

circa il 45% degli attacchi sono critici.

Gran parte delle maggiori società sono attaccate continuamente (specialmente le società finanziarie).

Molti attacchi sono semplici scansioni alla ricerca di nodi vulnerabili

Molti utenti sono sempre connessi (ad esempio tramite ADSL) da sistemi altamente insicuri

i dispositivi wireless (cellulari o palmari) iniziano ad essere interessati da virus

Sicurezza

Informatica

Gianluigi Me

[email protected]


Sicurezza Informatica - gianluigi.me · Fondamenti di sicurezza delle reti ... Modelli di...

Documents

Transcript of Sicurezza Informatica - gianluigi.me · Fondamenti di sicurezza delle reti ... Modelli di...