UNIVERSITÀ DEGLI STUDI DI BOLOGNA

Tesi di laurea di:

Matteo Venerucci

Relatore: Chiar.mo Prof

Roberto Gorrieri

Analisi di sicurezza per un portale di informazione finanziaria: Borse.it

FACOLTÀ DI SCIENZE MATEMATICHE, FISICHE E NATURALI

Corso di laurea in InformaticaMateria di Tesi: Metodi Formali II

Matteo Venerucci

• Progettazione, realizzazione e aggiornamento per garantire la riservatezza e l’integrità dei sistemi.

• Diminuzione dei rischi informatici.

• Analisi della sicurezza tenendo conto dei vincoli esistenti.

• Studio, realizzazione e proposte di soluzioni per l’aumento della sicurezza dell’intero sistema.

Introduzione

Matteo Venerucci

Borse.it è un portale di informazione finanziariaindipendente, caratterizzato dall’elevata qualità di contenuti offerti.

Servizi Web Servizi e-mail Servizi personali

-Dati-Grafici-Notizie-Analisi-Rubriche-Guide di finanza-Forum

Newsletter quotidiane-Rassegna stampa-Pagina personale-Portafoglio personale

Newsletter settimanali

-Il mondo dei fondi

-Analisi tecnica-Capire la borsa

-Pagina personale

-Portafoglio personale

Chi è Borse.it

Matteo Venerucci

Nt Feeder: richiede i dati finanziari e li registra sul database (programma “Feeder”).

Main: Database server, web server.

Dell: Database server, web server, “nuovo Feeder”.

• Il corretto funzionamento dei servizi.• I dati che riguardano gli utenti.• I dati che riguardano i titoli.• I dati dello storico dei titoli del mercato.• I portafogli degli utenti.

Ciò Che Deve Essere Garantito:

Scenario

Matteo Venerucci

Sviluppo eRedazione NT Feeder

Cluster

http://www.borse.itLogin: email/password

Server Farm

DellGrafici dei Titoli

Main

Utenti

Server esterni

Banner/Pubblicità

Invest.net Main, Dell, Nt Feeder

Architettura del Sistema

Traffico HTTP

Traffico FTP

VNC

MySQL

TAL

Matteo Venerucci

Architettura del Sistema

Sviluppo eRedazione NT Feeder

Cluster

http://www.borse.itLogin: email/password

Server Farm

DellGrafici dei Titoli

Main

Utenti

Server esterni

Banner/Pubblicità

Invest.net Main, Dell, Nt Feeder

Traffico HTTP

Traffico FTP

VNC

MySQL

TAL

Matteo Venerucci

Sviluppo eRedazione NT Feeder

Cluster

http://www.borse.itLogin: email/password

Server Farm

DellGrafici dei Titoli

Main

Utenti

Server esterni

Banner/Pubblicità

Invest.net Main, Dell, Nt Feeder

Traffico HTTP

Traffico FTP

VNC

MySQL

TAL

Architettura del Sistema

Matteo Venerucci

Sviluppo eRedazione NT Feeder

Cluster

http://www.borse.itLogin: email/password

Server Farm

DellGrafici dei Titoli

Main

Utenti

Server esterni

Banner/Pubblicità

Invest.net Main, Dell, Nt Feeder

Traffico HTTP

Traffico FTP

VNC

MySQL

TAL

Architettura del Sistema

Matteo Venerucci

Sviluppo eRedazione NT Feeder

Cluster

http://www.borse.itLogin: email/password

Server Farm

DellGrafici dei Titoli

Main

Utenti

Server esterni

Banner/Pubblicità

Invest.net Main, Dell, Nt Feeder

Traffico HTTP

Traffico FTP

VNC

MySQL

TAL

Architettura del Sistema

Matteo Venerucci

Architettura del Sistema

Sviluppo eRedazione NT Feeder

Cluster

http://www.borse.itLogin: email/password

Server Farm

DellGrafici dei Titoli

Main

Utenti

Server esterni

Banner/Pubblicità

Main, Dell, Nt FeederInvest.net

Matteo Venerucci

Carenze e Necessità

1. Test per il corretto funzionamento del “nuovo Feeder”.2. L’installazione di un nuovo servizio Feeder sulla macchina Main

avrebbe portato ad una temporanea interruzione del servizio.3. Installare programmi come SSH e Apache-ssl sulla macchina Main.4. Avere un sistema di riserva qualora Main risultasse bloccata o non

accessibile, garantendo una sorta di tolleranza ai guasti. 5. Esecuzione di script per l’analisi statistica presso Dada.

1. La macchina Main raggiungibile solo con protocolli non sicuri (TELNET, FTP e HTTP).

2. Autenticazione MySQL (basato su nome utente e password). 3. Menù di amministrazione (gruppi tra gli utenti).4. Meccanismo della creazione dei gruppi e appartenenza dell’utente ai

gruppi. 5. Autenticazione di Apache (password non codificate).

Carenze del sistema esistente

Necessità del sistema esistente

Matteo Venerucci

Si garantisce inoltre una sorta di tolleranza ai guasti dovuti per esempio ad un mal funzionamento di un programma o all’ intrusione di un aggressore.

Modifiche al Sistema

• Installazione di SSH.• Disabilitazione di TELNET ed FTP.• Installazione di Apache-ssl.• Gestione dei privilegi.• Restrizione di MySQL.• Modifiche script di sistema.• Modifiche a Nt-Feeder.

In questo modo tutte e due le macchine, Main e Dell, collaborano al mantenimento di tutti i servizi del portale.

Tecnologie di SSL:•Cifratura asimmetrica.•Firme digitali.•Certificati digitali (X509v.3).•Negoziazione dei parametri.•Handshake al momento della connessione.•Riutilizzo di parametri negoziati in precedenza.

Tecnologie di OpenSSH:•Crittografia forte(3DES, Blowfish). •X11 Forwarding (cifratura automatica del traffico X11).•Port Forwarding (canali criptati per altri protocolli).•Autenticazione Forte (Rhosts, Chiave Pubblica, Password).•Compressione Dati.

Matteo Venerucci

Apache-ssl Con l’installazione di questo

web server si è pensato di rendere la comunicazione tra Client e Server più robusta di quella esistente. Le transizioni tra lo staff di Borse.it e la macchina Dell sono quindi rese sicure dalla comunicazione attraverso SSL.

Apache-ssl

Matteo Venerucci

Gestione dei Privilegi

È stato inserito nel database l’associazione tra gruppo d’appartenenza e utente, rendendo possibile la modifica automatica della stessa.

È stato creato un metodo per l’inserimento di nuovi livelli e per l’associazione degli utenti a questi.

Privilegi di /adm/

Access Matrix: gestisce l’appartenenza dell’utente ai gruppi

Matteo Venerucci

Restrizione di MySQL• Mysql prevede la possibilità di gestire vari livelli di permessi ai database.

• La connessione sulle macchine con il database avviene attraverso connessioni criptate utilizzando SSH.

• Sicurezza della connessione tra client remoto e server realizzata tramite un tunnel SSH.

• Creazione dei privilegi dell’utente su determinate operazioni come la select, insert, update e delete (vengono controllati tutti i comandi dell’utente, verificando che abbia i privilegi adeguati per poterli eseguire).

• Possibilità di accedere ai database solamente da IP del sistema di borse.It.

Matteo Venerucci

Modifica a tutti gli script

Modifiche a Nt Feeder

È stato necessario riscrivere gli script che utilizzavano le connessioni HTTP.

È stato previsto che, in caso di mal funzionamento della macchina NT Feeder, si provveda al feeding dei dati attraverso il server di sviluppo.

Sono state applicate tutte le patch si sicurezza di Microsoft, gli ultimi Service Pack.

Modifiche al Sistema

Sono stati modificati gli script che utilizzavano FTP e sostituiti con scp (della suite dei comandi di SSH).

Matteo Venerucci

• Le soluzioni proposte e realizzate hanno migliorato la situazione, ma non sono certo da considerarsi una risposta definitiva alla sicurezza del portale, che dovrà essere affrontata in maniera continuativa e, con l’aumentare della complessità dei sistemi, dedicandovi sempre più risorse.

Conclusioni

• In futuro sarà possibile realizzare un IDS.

• Non sono stati affrontati i problemi di Denial of Service del cluster delle macchine di Dada.

• Le soluzioni introdotte non degradano le prestazioni del sistema, ma ne aumentano la sicurezza.

• Le modifiche applicate sono trasparenti all’utilizzo del sistema.