L'SSL di tutti i giorni: la sicurezza nelle comunicazioni web

Dimensione: px
Iniziare la visualizzazioe della pagina:

Download "L'SSL di tutti i giorni: la sicurezza nelle comunicazioni web"

Transcript

1 L'SSL di tutti i giorni: la sicurezza nelle comunicazioni web Marco Pizzoli

2 About the speaker Laureato in Informatica presso UniBO Tesi in sicurezza: Identità digitali e fiducia: l'uso di una PKI nelle comunicazioni B2C e B2B. Iscritto al cdl Sicurezza dei sistemi e delle reti Informatiche presso UniMI Sistemista UNIX/Linux appassionato di tematiche di sicurezza Esperto di reti IP

3 Obiettivi della presentazione Assumere maggiore consapevolezza sui rischi che si incorrono nella navigazione web di tutti i giorni Imparare il significato dei principali warning SSL per i quali talvolta il nostro browser ci chiede se continuare o meno Comprendere l'importanza di tenere aggiornato il proprio browser web Scoprire che una qualunque soluzione di sicurezza é tanto debole quanto lo é l'anello più debole della catena La sicurezza é un processo e non un prodotto (Bruce Schneier)

4 Scaletta Prima parte: teoria Crittografia (Cenni) Certificati digitali (Introduzione) Il protocollo SSL (e TLS) Confronto tra certificati digitali Confronto tra implementazioni SSL nei browser moderni: Firefox, Esiste una release Internet Explorer, ufficiale di tutti questi Chrome, browser solo per Safari, Windows Opera Seconda parte: vulnerabilità Come creare una Certification Authority fake Come violare l'ssl attaccando l'http: l'utility SSLStrip

5 Scaletta Prima parte: teoria Crittografia (Cenni) Certificati digitali (Introduzione) Il protocollo SSL (e TLS) Confronto tra certificati digitali Confronto tra implementazioni SSL nei browser moderni: Firefox, Internet Explorer, Chrome, Safari, Opera Seconda parte: vulnerabilità Come creare una Certification Authority fake Come violare l'ssl attaccando l'http: l'utility SSLStrip

6 Crittografia Scrivere nascosto, mascherare una comunicazione Disciplina della matematica Crittografia moderna: Simmetrica (DES, 3DES, AES, RC4 ) Asimmetrica (DSA, RSA, DH, EC...) Hashing (MD5, SHA-1, SHA-2, SHA ) Applicazioni evolute: Firma digitale Non Ripudio Ci consente di garantire C-I-A: Confidenzialità Integrità Autenticazione L'argomento e' molto vasto e interessante!

7 Crittografia moderna Crittografia simmetrica / a chiave privata: Hashing: Crittografia asimmetrica / a chiave pubblica:

8 Crittografia simmetrica e asimmetrica a confronto Vantaggi Svantaggi Crittografia simmetrica Ha un costo computazionale molto basso; Il cipher-text e' più piccolo del messaggio originale; E' suscettibile di intercettazione delle chiavi; Il numero di chiavi coinvolte e' molto alto (crescita esponenziale); Richiede un complesso sistema di gestione delle chiavi; Occorre un precedente scambio di chiavi tra le parti coinvolte; Non supporta la non-ripudiabilita; Non supporta la firma digitale Crittografia asimmetrica Non e' soggetta ad intercettazione delle Ha un costo computazionale relativamente alto; chiavi; Il cipher-text e' piu' grande del messaggio originale; Il numero di chiavi coinvolte e' contenuto (crescita lineare); Non richiede complessi meccanismi di distribuzione delle chiavi; Non richiede precedente comunicazione tra le parti; Supporta la non-ripudiabilita'; Puo' essere utilizzato per firme digitali Per raggiungere i nostri obiettivi abbiamo bisogno di combinare insieme crittografia simmetrica e asimmetrica!

9 Scaletta Prima parte: teoria Crittografia (Cenni) Certificati digitali (Introduzione) Il protocollo SSL (e TLS) Confronto tra certificati digitali Confronto tra implementazioni SSL nei browser moderni: Firefox, Internet Explorer, Chrome, Safari, Opera Seconda parte: vulnerabilità Come creare una Certification Authority fake Come violare l'ssl attaccando l'http: l'utility SSLStrip

10 Certificati Digitali X.509 Strumento per la distribuzione sicura di chiavi pubbliche Certifica l'associazione tra un'entità (persona, sito, server, ecc..) e una chiave pubblica E' il corrispondente elettronico di un certificato reale rilasciato da un notaio, dal comune di residenza, ecc... Sfrutta diverse applicazioni di crittografia a chiave pubblica, hashing e firma digitale L'autorevolezza delle informazioni contenute nel certificato e' conseguenza della autorevolezza dell'entità che ha rilasciato il certificato (autorità di certificazione - CA) Implementa un complesso meccanismo di propagazione della fiducia a CA terze (trust-chain)

11 Il certificato digitale dell'imolug Contiene il nome del sito (obbligatorio x un sito web) Include altre informazioni sull'associazione Ha un codice seriale (univoco x autorità di certificazione) Ha un periodo di validità

12 Scaletta Prima parte: teoria Crittografia (Cenni) Certificati digitali (Introduzione) Il protocollo SSL (e TLS) Confronto tra certificati digitali Confronto tra implementazioni SSL nei browser moderni: Firefox, Internet Explorer, Chrome, Safari, Opera Seconda parte: vulnerabilità Come creare una Certification Authority fake Come violare l'ssl attaccando l'http: l'utility SSLStrip

13 Il protocollo SSL (e TLS) Acronimo di Secure Socket Layer Protocollo di rete client-server Protocollo di comunicazione cifrata implementato a livello sessione: consente a più applicazioni di sfruttarne le possibiltà: https, ftps, ldaps, ecc... Utilizza un ricco set di strumenti crittografici (chiave pubblica, chiave privata, hashing, firma digitale e certificati X.509) Nasce nel 1994 per merito della Netscape Corporation Approccio di sviluppo Open-Source: Brevetto di proprietà Netscape Specifiche aperte e condivise dalla comunità Possibilità per chiunque di partecipare allo sviluppo delle specifiche Cessione dei diritti all'ietf, nel 1996, per lo sviluppo di uno standard internazionale: Transport Layer Security - TLS La versione più recente, ad oggi, é il TLS v1.2

14 Caratteristiche del protocollo SSL E' un protocollo di rete: non protegge i dati presso i due terminali della comunicazione! Il cuore della protezione é basato su algoritmi crittografici: la protezione garantita dal protocollo stesso non può essere superiore a quella degli algoritmi crittografici utilizzati. Se si scopre una vulnerabilità in uno degli algoritmi utilizzati, occorre NON usare più quell'algoritmo! Offre strumenti di rilevamento incongruenze nei certificati X.509: possono essere by-passati (troppo) facilmente dicendo al browser continua lo stesso!

15 Il Trust-Model dell'ssl Nel modello di infrastruttura a chiave pubblica (PKI) originale: 2 utenti che non si conoscono vogliono comunicare avendo la certezza dell'identità l'uno dell'altro. Si mostrano reciprocamente un documento rilasciato da una autorità emittente di cui l'interlocutore riconosce l'autorevolezza: Es. Carta d'identità rilasciata dal comune di residenza Per le comunicazioni internet avrò bisogno di farmi rilasciare un documento da una autorità emittente che il mio interlocutore riconosce e di cui si fida Per rendere la sicurezza fruibile da tutti, devo fare in modo che tutte le applicazioni che la implementano: Nascondano la complessità Semplifichino le procedure La risposta: il produttore del mio browser ha già deciso per me un insieme di Certification Authority di cui io mi fiderò!

16 Controlli di validità dei certificati digitali 1. Controllo sull'attendibilità della CA

17 Controlli di validità dei certificati digitali 2. Controllo del nome del sito

18 Controlli di validità dei certificati digitali 3. Controllo sulla scadenza

19 Funzionamento dell'ssl: Messaggi

20 1. Client Hello Il client inizia la connessione Genera un numero casuale di inizializzazione delle funzioni crittografiche Nel suo messaggio di saluto comunica quali sono le sue combinazioni di algoritmi crittografici supportati (cipher-suite) Comunica anche informazioni aggiuntive per feature avanzate

21 2. Server Hello Il server risponde indicando la versione di SSL che intende usare Decide la cipher-suite da utilizzare Comunica al client l'id di sessione SSL che gli viene assegnato Genera un numero casuale di inizializzazione delle funzioni crittografiche

22 3. Certificate Server Key Exchange ServerHelloDone 3 messaggi SSL inviati in un unico pacchetto TCP Il server invia: Il suo certificato X.509 I dettagli della chiave asimmetrica che ha deciso di utilizzare Un messaggio di segnalazione di fine (necessario per aumentare la sicurezza)

23 4. Client KeyExchange ChangeCipherSpec Finished 3 messaggi SSL inviati in un unico pacchetto TCP Il client invia: La chiave simmetrica scelta, cifrati con la chiave asimmetrica (pubblica) del server Un messaggio di segnalazione: da questo momento in poi comunichiamo cifrando Il messaggio di conclusione negoziazione SSL, lato client

24 5. ChangeCipherSpec Finished 2 messaggi inviati in un solo pachetto TCP Il server invia: Un messaggio di segnalazione: da questo momento in poi comunichiamo cifrando Il messaggio di conclusione negoziazione SSL, lato server

25 Limiti dell'ssl Alcuni algoritmi crittografici sono parte integrante del protocollo. MD5 e SHA1 Es. Le cipher-suite utilizzabili sono decise in fase di definizione dello standard: scarsa flessibilità verso algoritmi nuovi Nessuna possibilità di negoziare estensioni del protocollo Soluzione: Il protocollo TLS (v1.2) Consente a client e server di negoziare l'uso di eventuali estensioni Gli internal del protocollo consentono di usare algoritmi di hashing della trasmissione diversi da MD5 e SHA1

26 Alcune feature avanzate Autenticazione client Session Resume TLS Session Ticket (Session Resume senza oneri per il server) Server Name Indication (SNI): possibilità di name based virtual hosting anche per siti https Compressione Server Gated Cryptography (SGC) by Microsoft / StepUp by Netscape Elliptic Curves SSL Offloading StartTLS

27 Implementazione di SSL/TLS nei browser moderni SSLv2 (2.0): Deprecato da TUTTI i browser e server odierni! In alcuni rimosso completamente il supporto Attenzione a chi usa IE6!!!! SSLv3 (3.0): Supportato da tutti i browser (su tutti i S.O.) TLSv1 (3.1): Supportato da tutti i browser moderni (su tutti i S.O.) TLSv1.1 (3.2): Opera 9+, IE8 (WinVista+) TLSv1.2 (3.3): Opera 10+ (Linux,WinVista+), IE8 (Win7+) Lista incompleta!!!

28 Alcune librerie SSL Open Source OpenSSL: Mozilla Network Security Services (NSS): The GNU Transport Layer Security Library (GnuTLS): YaSSL: MatrixSSL: SSL Library:

29 Scaletta Prima parte: teoria Crittografia (Cenni) Certificati digitali (Introduzione) Il protocollo SSL (e TLS) Confronto tra certificati digitali Confronto tra implementazioni SSL nei browser moderni: Firefox, Internet Explorer, Chrome, Safari, Opera Seconda parte: vulnerabilità Come creare una Certification Authority fake Come violare l'ssl attaccando l'http: l'utility SSLStrip

30 Certificati digitali a confronto 1/3 Classificati in base a: Ambito di utilizzo (cifratura, certification authority, code signing, ecc...) Numero di sistemi certificati: uno, n o un intero dominio Supporto per la Server Gated Cryptography (SGC) Qualità dei controlli di validazione per il rilascio del certificato (Standard o Extended Validation) Assicurazione Prezzi: Da A 30$: standard SSL (GoDaddy) 1500$: SecureSitePro with EV (VeriSign)

31 Certificati digitali a confronto 2/3

32 Certificati digitali a confronto 3/3

33 Scaletta Prima parte: teoria Crittografia (Cenni) Certificati digitali (Introduzione) Il protocollo SSL (e TLS) Confronto tra certificati digitali Confronto tra implementazioni SSL nei browser moderni: Firefox, Internet Explorer, Chrome, Safari, Opera Seconda parte: vulnerabilità Come creare una Certification Authority fake Come violare l'ssl attaccando l'http: l'utility SSLStrip

34 Confronto tra implementazioni SSL nei browser moderni

35 Confronto tra implementazioni SSL nei browser moderni Certificati EV

36 Scaletta Prima parte: teoria Crittografia (Cenni) Certificati digitali (Introduzione) Il protocollo SSL (e TLS) Confronto tra certificati digitali Confronto tra implementazioni SSL nei browser moderni: Firefox, Internet Explorer, Chrome, Safari, Opera Seconda parte: vulnerabilità Come creare una Certification Authority fake Come violare l'ssl attaccando l'http: l'utility SSLStrip

37 Creare una Certification Authority fake Introduzione L'algoritmo di hashing MD5 e' da tempo riconosciuto essere insicuro. In via teorica dal 1996 e con dimostrazione dal Da quando fu scoperto vulnerabile, non si prospettava nessun pericolo imminente, ma si aveva la consapevolezza di dover progressivamente migrare verso altri algoritmi ritenuti piu' sicuri. A quel tempo SHA-1* L'aver scoperto una vulnerabilità nell'algoritmo consente di forgiare un input diverso potendo calcolare un hash identico in un tempo predicibile A Dicembre 2008 c'erano ancora diverse Certification Authority mondiali che rilasciavano certificati X.509 con hash MD5(!): RapidSSL, FreeSSL, TC TrustCenter AG, RSA Data Security, Thawte, amazon.co.jp * SHA-1 é stato scoperto vulnerabile nel 2004 e quindi anch'esso é destinato ad essere soppiantato. Ad esempio da SHA-256

38 Creare una Certification Authority fake Il fatto Il 30 Dicembre 2008 un gruppo di ricercatori tiene uno speech al 25th Chaos Communication Congress (25C3) a Berlino, dal titolo: "MD5 considered harmful today: creating a rogue CA certificate". Nel loro speech dichiarano di essere riusciti a creare un certificato fasullo che appariva però firmato da una CA ritenuta fidata da RapidSSL (Verisign) La loro attività aveva sfruttato la falla dell'md5 e una feature dei certificati X.509 chiamata Trust-Chain: Io non conosco la CA che ha emesso questo certificato ma riconosco che questa CA gode della fiducia di una terza CA, di cui io mi fido e quindi mi fido anche della CA che ha emesso questo certificato. Il loro operato mette in agitazione l'intero eco-sistema di garanzia della autenticazione su Internet: le Certification Authority: Verisign ringrazia i ricercatori per aver scoperto la vulnerabilità e dichiara che il suo processo di erogazione certificati migrerà verso SHA-1 entro Gennaio 2009 Microsoft, Mozilla, Cisco ed altri vendor diffondono advisory nei quali mettono al corrente i loro clienti del potenziale rischio a cui si va incontro usando certificati firmati con MD5

39 Creare una Certification Authority fake Il punto della situazione Non é stata sfruttata alcuna vulnerabilità del protocollo SSL! Non é stata sfruttata alcuna vulnerabilità dei browser! Non é stata sfruttata alcuna vulnerabilità dei server! E' stata sfruttata la vulnerabilità di uno degli strumenti su cui l'ssl si appoggia: l'md5! E' stata sfruttata una delle tecnologie delle quali i certificati digitali X.509 sono la base: la Public Key Infrastructure (PKI)! I dettagli tecnici del lavoro di questo gruppo di ricercatori sono stati pubblicati solo l'11 Marzo 2009, per consentire alle CA impattate di potersi adeguare

40 Creare una Certification Authority fake Premessa tecnica I certificati digitali includono informazioni accessorie: L'indicazione sull'algoritmo di cifratura usato per firmare il certificato Firma del certificato Utilizzo consentito per la chiave privata corrispondente a quella pubblica inclusa nel certificato Il flag che indica se quel certificato può essere usato per emettere altri certificati Ecc...

41 Creare una Certification Authority Fake I dettagli tecnici Il flusso normale: Una CA distribuisce il suo certificato ai vendor dei browser affinche' siano considerati fidati Una ditta compra dalla CA un certificato attraverso cui fornire servizi https, garantendo i clienti della sua identità attraverso l'autorevolezza di cui gode la CA Quando un utente si collega al sito della ditta, scarica il certificato e ne verifica la firma. Se ok, avviene la comunicazione cifrata

42 Creare una Certification Authority Fake I dettagli tecnici Quando siamo vittima di questo attacco: 1a) Un certificato legittimo viene richiesto ad una CA 1b) Un certificato impostore viene creato, avente flag CA:True. Ha la stessa firma del certificato originale e quindi viene spacciato come rilasciato dalla stessa CA, anche se la CA non l'ha mai visto 2) Viene creato un certificato per un server web già esistente (vittima dell'attacco), avente la firma valida della CA. Un server web identico all'originale viene poi messo online con questo certificato caricato 3) Quando un utente vorrà andare sul sito web originale, si potrà sfruttare un qualche meccanismo di re'direzione per far sià che finisca sul sito clonato. Il certificato proposto sarà valido e l'utente non si accorgerà di niente.

43 Creare una Certification Authority Il Modus Operandi Fase di discovery: Hanno richiesto tanti certificati per risalire a come venivano generati il periodo di validità ed il serial number Risultati ottenuti: Il certificato veniva generato con timestamp di inizio validità di 6 secondi dopo aver cliccato OK RapidSSL e FreeSSL usavano serial number sequenziali, quindi tracciabili Le stesse CA dal Giovedì sera alla Domenica sera emettevano dagli 800 ai 1000 certificati Fase di pianificazione: Stima di 3 giorni di elaborazione per ottenere un certificato con hash MD5 clonato Il Giovedì sera avrebbero comprato un certificato, individuato il serial number attuale, predetto il serial number finale e fatto partire la generazione di un certificato con MD5 uguale a quello che sarà emesso dalla CA

44 Costruire una Certification Autority Fake Hardware usato, tempi e costi Hardware usato: Cluster di 200 PlayStation 3 x tot RAM 30GB 1 High End quad-core pc Tempo di elaborazione: 18 ore x il cluster di PS3 10 ore per il pc Totale: 28ore! Costi: Costo di ogni certificato: 45USD La CA consentiva il re-issue gratuito del certificato fino a 20 volte Totale speso per la CA: 657 USD

45 Creare una CA fake I 2 certificati a confronto

46 Scaletta Prima parte: teoria Crittografia (Cenni) Certificati digitali (Introduzione) Il protocollo SSL (e TLS) Confronto tra certificati digitali Confronto tra implementazioni SSL nei browser moderni: Firefox, Internet Explorer, Chrome, Safari, Opera Seconda parte: vulnerabilità Come creare una Certification Authority fake Come violare l'ssl attaccando l'http: l'utility SSLStrip

47 Sfruttare un attacco Man-In-The-Middle (MITM) per violare l'ssl Il Fatto A Febbraio 2009, alla Black Hat Security Conference di Washington, un esperto di sicurezza di nome Moxie Marlinspike dimostra come sia possibile ottenere dati personali (numeri di carte di credito, account Gmail, ecc...) di siti protetti con SSL attraverso un attacco MITM* L'attacco sfrutta una combinazione di: Siti non pensati in ottica di protezione da attacchi di questo tipo Poca accortezza/esperienza/competenza informatica dell'utente medio di Internet L'accesso a siti HTTPS per mezzo di redirect o link da siti HTTP Uso della rete TOR Moxie Marlinspike ha acconsentito all'inclusione delle sue slide all'interno di questa presentazione

48 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

49 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

50 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

51 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

52 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

53 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

54 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

55 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

56 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

57 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

58 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

59 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

60 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

61 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

62 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

63 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

64 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

65 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

66 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

67 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

68 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

69 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

70 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

71 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

72 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

73 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

74 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

75 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

76 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

77 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

78 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

79 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

80 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

81 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

82 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

83 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

84 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

85 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

86 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

87 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

88 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

89 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

90 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

91 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

92 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

93 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

94 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

95 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

96 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

97 L'utility SSLStrip per gentile concessione di Moxie Marlinspike

98 Conclusioni Il protocollo SSL é uno strumento molto potente per proteggere le comunicazioni di rete, il web in particolare In un contesto di sicurezza, lo strumento più potente diventa inutile se non siamo in grado di comprendere in che modo ci protegge I browser implementano meccanismi di sicurezza più o meno efficienti, ma spetta a noi preoccuparci di stare al passo con i tempi upgrade frequente del browser Non abbiamo parlato di sicurezza lato server!

99 Domande?

100 Riferimenti Crittografia: Certificati digitali X.509: SSL (adesso TLS): Creare una CA Fake: SSLStrip: Sito di Moxie Marlinspike: PDF di riferimento:

101 GRAZIE PER L'ATTENZIONE

Comunicazioni sicure su Internet: https e SSL. Fisica dell Informazione

Comunicazioni sicure su Internet: https e SSL. Fisica dell Informazione Comunicazioni sicure su Internet: https e SSL Fisica dell Informazione Il servizio World Wide Web (WWW) Come funziona nel dettaglio il Web? tre insiemi di regole: Uniform Resource Locator (URL) Hyper Text

Dettagli

Sommario. Introduzione alla Sicurezza Web

Sommario. Introduzione alla Sicurezza Web Sommario Introduzione alla Sicurezza Web Considerazioni generali IPSec Secure Socket Layer (SSL) e Transport Layer Security (TLS) Secure Electronic Transaction (SET) Introduzione alla crittografia Introduzione

Dettagli

Sicurezza nelle applicazioni multimediali: lezione 7, sicurezza dei protocolli. Sicurezza dei protocolli (https, pop3s, imaps, esmtp )

Sicurezza nelle applicazioni multimediali: lezione 7, sicurezza dei protocolli. Sicurezza dei protocolli (https, pop3s, imaps, esmtp ) Sicurezza dei protocolli (https, pop3s, imaps, esmtp ) Stack di protocolli nella trasmissione della posta elettronica 2 Sicurezza a livello applicativo Ma l utilizzo di meccanismi di cifratura e autenticazione

Dettagli

La sicurezza nelle reti di calcolatori

La sicurezza nelle reti di calcolatori La sicurezza nelle reti di calcolatori Contenuti del corso La progettazione delle reti Il routing nelle reti IP Il collegamento agli Internet Service Provider e problematiche di sicurezza Analisi di traffico

Dettagli

Corso di Sicurezza Informatica. Sicurezza Web. Ing. Gianluca Caminiti

Corso di Sicurezza Informatica. Sicurezza Web. Ing. Gianluca Caminiti Corso di Sicurezza Informatica Sicurezza Web Ing. Gianluca Caminiti SSL Sommario Considerazioni sulla Sicurezza del Web Secure Socket Layer (SSL) 3 Brevi Considerazioni sulla Sicurezza del Web Web come

Dettagli

SSL: applicazioni telematiche SSL SSL SSL. E-commerce Trading on-line Internet banking... Secure Socket Layer

SSL: applicazioni telematiche SSL SSL SSL. E-commerce Trading on-line Internet banking... Secure Socket Layer : applicazioni telematiche Secure Socket Layer E-commerce Trading on-line Internet banking... Protocollo proposto dalla Netscape Communications Corporation Garantisce confidenzialità e affidabilità delle

Dettagli

Elementi di Sicurezza informatica

Elementi di Sicurezza informatica Elementi di Sicurezza informatica Secure Socket Layer Università degli Studi di Perugia Indice 1 1.Introduzione 2 3 Perché SSL Funzionalità Storia di SSL Introduzione Introduzione Perché SSL; Funzionalità;

Dettagli

Una Introduzione a TLSv1.0

Una Introduzione a TLSv1.0 ICT Security n. 32 e 34, Marzo/Maggio 2005 p. 1 di 8 Una Introduzione a TLSv1.0 In questa rubrica abbiamo già avuto modo di descrivere protocolli ed applicazioni che sfruttano SSL/TLS (Secure Socket Layer

Dettagli

Certificati digitali con CAcert Un'autorità di certificazione no-profit

Certificati digitali con CAcert Un'autorità di certificazione no-profit Certificati digitali con CAcert Un'autorità di certificazione no-profit Davide Cerri Associazione di Promozione Sociale LOLUG Gruppo Utenti Linux Lodi davide@lolug.net 11 novembre 2008 Crittografia asimmetrica:

Dettagli

Vendere online. Andrea Marin. Università Ca Foscari Venezia SVILUPPO INTERCULTURALE DEI SISTEMI TURISTICI SISTEMI INFORMATIVI PER IL TURISMO

Vendere online. Andrea Marin. Università Ca Foscari Venezia SVILUPPO INTERCULTURALE DEI SISTEMI TURISTICI SISTEMI INFORMATIVI PER IL TURISMO Andrea Marin Università Ca Foscari Venezia SVILUPPO INTERCULTURALE DEI SISTEMI TURISTICI SISTEMI INFORMATIVI PER IL TURISMO a.a. 2013/2014 Section 1 Introduzione Parliamo di acquisti online quando a seguito

Dettagli

Tecnologie per la gestione delle transazioni su Internet 19/04/06

Tecnologie per la gestione delle transazioni su Internet 19/04/06 E-business sicuro Tecnologie per la gestione delle transazioni su Internet 19/04/06 Ecommerce: problematiche Differenze con il commercio tradizionale dati importanti viaggiano su Internet (numero di carta

Dettagli

PKI PUBLIC KEY INFRASTRUCTURES

PKI PUBLIC KEY INFRASTRUCTURES Premesse PKI PUBLIC KEY INFRASTRUCTURES Problemi Come distribuire in modo sicuro le chiavi pubbliche? Come conservare e proteggere le chiavi private? Come garantire l utilizzo corretto dei meccanismi crittografici?

Dettagli

CONCETTI DI NAVIGAZIONE IN RETE

CONCETTI DI NAVIGAZIONE IN RETE CONCETTI DI NAVIGAZIONE IN RETE Internet (La rete delle reti) è l insieme dei canali (linee in rame, fibre ottiche, canali radio, reti satellitari, ecc.) attraverso cui passano le informazioni quando vengono

Dettagli

E-business sicuro. Tecnologie per la gestione delle transazioni su Internet 05/06/06

E-business sicuro. Tecnologie per la gestione delle transazioni su Internet 05/06/06 E-business sicuro Tecnologie per la gestione delle transazioni su Internet 05/06/06 Ecommerce: problematiche Differenze con il commercio tradizionale dati importanti viaggiano su Internet (numero di carta

Dettagli

Guida ai certificati SSL User Guide

Guida ai certificati SSL User Guide Guida ai certificati SSL User Guide PROBLEMATICHE DEL WEB... 2 PRIVACY...3 AUTORIZZAZIONE/AUTENTICAZIONE...4 INTEGRITA DEI DATI...4 NON RIPUDIO...4 QUALI SONO I PRINCIPALI STRUMENTI UTILIZZATI PER GARANTIRE

Dettagli

Approfondimento di Marco Mulas

Approfondimento di Marco Mulas Approfondimento di Marco Mulas Affidabilità: TCP o UDP Throughput: banda a disposizione Temporizzazione: realtime o piccoli ritardi Sicurezza Riservatezza dei dati Integrità dei dati Autenticazione di

Dettagli

Esercitazione 02. Sommario. Un po di background (1) Un certificato digitale in breve. Andrea Nuzzolese

Esercitazione 02. Sommario. Un po di background (1) Un certificato digitale in breve. Andrea Nuzzolese Sommario Esercitazione 02 Andrea Nuzzolese Certificati Descrizione esercitazione Free Secure Email Certificates (con InstantSSL) ALMA MATER STUDIORUM UNIVERSITA DI BOLOGNA Un certificato digitale in breve

Dettagli

Benvenuti. Luca Biffi, Direttore Supporto Tecnico di Achab supporto@achab.it. Achab techjam Gateway PEC per MDaemon

Benvenuti. Luca Biffi, Direttore Supporto Tecnico di Achab supporto@achab.it. Achab techjam Gateway PEC per MDaemon Benvenuti Luca Biffi, Direttore Supporto Tecnico di Achab supporto@achab.it Achab techjam Gateway PEC per MDaemon Protocolli di sicurezza per la posta elettronica... inclusa la PEC Achab 2 Agenda Acronimi

Dettagli

Certificati Digitali e sicurezza di SSL/TLS

Certificati Digitali e sicurezza di SSL/TLS ICT Security n. 35, Giugno 2005 p. 1 di 5 Certificati Digitali e sicurezza di SSL/TLS Nei precedenti articoli abbiamo descritto il protocollo SSL/TLS, in particolare la versione TLSv1.0, ed accennato ad

Dettagli

Analysis of the Logjam attack

Analysis of the Logjam attack Technical Report on Analysis of the Logjam attack (IEIIT-CNR-150608) Luca Patti, Ernesto Schiavo, Enrico Cambiaso, Gianluca Papaleo, Paolo Farina, Maurizio Aiello (Network Security Group) IEIIT-CNR Istituto

Dettagli

DEFINIZIONE MODALITÀ DI COMUNICAZIONE

DEFINIZIONE MODALITÀ DI COMUNICAZIONE DEFINIZIONE MODALITÀ DI COMUNICAZIONE MODALITÀ OP_EMAIL_RR Nell'ambito di questa modalità OP necessita di comunicare con GRO tramite: propria casella di posta elettronica. N.B.: OP si assume e sottoscrive

Dettagli

Principi di crittografia Integrità dei messaggi Protocolli di autenticazione Sicurezza nella pila di protocolli di Internet: PGP, SSL, IPSec

Principi di crittografia Integrità dei messaggi Protocolli di autenticazione Sicurezza nella pila di protocolli di Internet: PGP, SSL, IPSec Crittografia Principi di crittografia Integrità dei messaggi Protocolli di autenticazione Sicurezza nella pila di protocolli di Internet: PGP, SSL, IPSec Elementi di crittografia Crittografia: procedimento

Dettagli

La Sicurezza delle Reti. La Sicurezza delle Reti. Il software delle reti. Sistemi e tecnologie per la multimedialità e telematica.

La Sicurezza delle Reti. La Sicurezza delle Reti. Il software delle reti. Sistemi e tecnologie per la multimedialità e telematica. Sistemi e tecnologie per la multimedialità e telematica Fabio Burroni Dipartimento di Ingegneria dell Informazione Università degli Studi di Siena burronif@unisi unisi.itit La Sicurezza delle Reti La presentazione

Dettagli

CRITTOGRAFIA, CERTIFICATI DIGITALI E PROTOCOLLI DI SICUREZZA

CRITTOGRAFIA, CERTIFICATI DIGITALI E PROTOCOLLI DI SICUREZZA CRITTOGRAFIA, CERTIFICATI DIGITALI E PROTOCOLLI DI SICUREZZA SU COSA SI BASANO I CERTIFICATI DIGITALI...2 Che cos è la Crittografia? E come viene applicata?...2 Crittografia a chiave simmetrica o segreta......2

Dettagli

Acquisto con carta di credito. Acquisto con carta di credito

Acquisto con carta di credito. Acquisto con carta di credito Acquisto con carta di credito Vantaggio: facile da implementare Svantaggio: per un malintenzionato è più facile carpire il numero della carta attraverso Internet che non via telefono Svantaggio: credibilità

Dettagli

Servizio Sistemi Informativi SPERIMENTAZIONE DI RETI PRIVATE VIRTUALI CON L'UTILIZZO DI SOFTWARE OPEN SOURCE

Servizio Sistemi Informativi SPERIMENTAZIONE DI RETI PRIVATE VIRTUALI CON L'UTILIZZO DI SOFTWARE OPEN SOURCE Servizio Sistemi Informativi SPERIMENTAZIONE DI RETI PRIVATE VIRTUALI CON L'UTILIZZO DI SOFTWARE OPEN SOURCE Redatto: Nucleo Gestione Innovazione e fornitori IT Versione: 1.0 Data emissione: 9/11/2006

Dettagli

Appendice:: Spunti sulla sicurezza e Internet Materiale fuori programma dedicato rigorosamente solo ai curiosi. prof.

Appendice:: Spunti sulla sicurezza e Internet Materiale fuori programma dedicato rigorosamente solo ai curiosi. prof. Operatore Informatico Giuridico Informatica Giuridica di Base A.A 2003/2004 I Semestre Appendice:: Spunti sulla sicurezza e Internet Materiale fuori programma dedicato rigorosamente solo ai curiosi prof.

Dettagli

STATO MAGGIORE DELLA DIFESA Comando C4 Difesa

STATO MAGGIORE DELLA DIFESA Comando C4 Difesa STATO MAGGIORE DELLA DIFESA Comando C4 Difesa Autenticazione CNS Configurazione del browser Microsoft Internet Explorer e Mozilla Firefox 33.1.1 2014 Sommario Carta Nazionale dei Servizi... 3 Premessa...

Dettagli

Esercitazione 2 Certificati

Esercitazione 2 Certificati Sommario Esercitazione 2 Certificati Laboratorio di 2015/2016 Andrea Nuzzolese Certificati Descrizione esercitazione Free Secure Email Certificates (con InstantSSL) ALMA MATER STUDIORUM UNIVERSITA DI BOLOGNA

Dettagli

PROCEDURA AGGIORNAMENTO LISTE MEDIANTE L INTERFACCIA WEB

PROCEDURA AGGIORNAMENTO LISTE MEDIANTE L INTERFACCIA WEB PROCEDURA AGGIORNAMENTO LISTE MEDIANTE L INTERFACCIA WEB Precondizioni Per poter eseguire i passi previsti da questa procedura è necessario che: - l'operatore (di seguito OP) abbia presentato l istanza

Dettagli

Vallarino Simone. Corso di sicurezza A.A. 2003/2004 HTTPS

Vallarino Simone. Corso di sicurezza A.A. 2003/2004 HTTPS Vallarino Simone Corso di sicurezza A.A. 2003/2004 HTTPS INTRODUZIONE Per cominciare a parlare di https è necessario aprire la discussione ricordando le caratteristiche dell http: HTTP Nel sistema telematico

Dettagli

FORSETI BLOG. Readcast. Aprile 2014 Speciale Heartbleed. http://blog.forseti.it/

FORSETI BLOG. Readcast. Aprile 2014 Speciale Heartbleed. http://blog.forseti.it/ FORSETI BLOG Readcast Aprile 2014 Speciale Heartbleed http://blog.forseti.it/ Indice di 3 Forseti Blog - Aprile 2014 3 di Dottore in Sicurezza dei Sistemi e delle Reti Informatiche, Dottore Magistrale

Dettagli

VERISIGN SERVER ONSITE.

VERISIGN SERVER ONSITE. VERISIGN SERVER ONSITE. Scheda Tecnica. Ultima revisione del presente documento 05/12/2001 Versione 2.2 Trust Italia S.p.A. 1 di 8 INDICE Introduzione: i certificati digitali e il protocollo SSL.... 3

Dettagli

Capitolo 8 La sicurezza nelle reti

Capitolo 8 La sicurezza nelle reti Capitolo 8 La sicurezza nelle reti Reti di calcolatori e Internet: Un approccio top-down 4 a edizione Jim Kurose, Keith Ross Pearson Paravia Bruno Mondadori Spa 2008 Capitolo 8: La sicurezza nelle reti

Dettagli

Sicurezza in Internet

Sicurezza in Internet Sicurezza in Internet Mario Cannataro cannataro@unicz.it 1 Sommario Internet, Intranet, Extranet Servizi di filtraggio Firewall Servizi di sicurezza Autenticazione Riservatezza ed integrità delle comunicazioni

Dettagli

Universita' di Ferrara Dipartimento di Matematica e Informatica. Algoritmi e Strutture Dati. Funzioni Hash e Network Security

Universita' di Ferrara Dipartimento di Matematica e Informatica. Algoritmi e Strutture Dati. Funzioni Hash e Network Security Universita' di Ferrara Dipartimento di Matematica e Informatica Algoritmi e Strutture Dati Funzioni Hash e Network Security Vedi: A.S. Tanenbaum, Computer Networks, 4th ed., Prentice Hall: sez. 8, pagg.

Dettagli

La sicurezza nel Web

La sicurezza nel Web La sicurezza nel Web Protezione vs. Sicurezza Protezione: garantire un utente o un sistema della non interazione delle attività che svolgono in unix ad esempio i processi sono protetti nella loro esecuzione

Dettagli

Protezione delle informazioni in SMart esolutions

Protezione delle informazioni in SMart esolutions Protezione delle informazioni in SMart esolutions Argomenti Cos'è SMart esolutions? Cosa si intende per protezione delle informazioni? Definizioni Funzioni di protezione di SMart esolutions Domande frequenti

Dettagli

Introduzione ai certificati S/MIME e alla posta elettronica certificata...2 Procedura di installazione del certificato personale S/MIME rilasciato

Introduzione ai certificati S/MIME e alla posta elettronica certificata...2 Procedura di installazione del certificato personale S/MIME rilasciato Guida all installazione e all utilizzo di un certificato personale S/MIME (GPSE) Introduzione ai certificati S/MIME e alla posta elettronica certificata...2 Procedura di installazione del certificato personale

Dettagli

E-commerce sicuro. Le problematiche del pagamento elettronico. Acquisto on-line sicuro. Tecnologie per la gestione dei pagamenti su Internet

E-commerce sicuro. Le problematiche del pagamento elettronico. Acquisto on-line sicuro. Tecnologie per la gestione dei pagamenti su Internet E-commerce sicuro Tecnologie per la gestione dei pagamenti su Internet 02/06/03 P. Cremonesi L. Muttoni S. Zanero Anno Accademico 2002-2003 Le problematiche del pagamento elettronico Acquisto on-line sicuro

Dettagli

SICUREZZA. Sistemi Operativi. Sicurezza

SICUREZZA. Sistemi Operativi. Sicurezza SICUREZZA 14.1 Sicurezza Il Problema della Sicurezza Convalida Pericoli per i Programmi Pericoli per il Sistema Difendere i Sistemi Scoperta di Intrusioni Cifratura Esempio: Windows NT 14.2 Il Problema

Dettagli

Sistemi Operativi SICUREZZA. Sistemi Operativi. D. Talia - UNICAL 14.1

Sistemi Operativi SICUREZZA. Sistemi Operativi. D. Talia - UNICAL 14.1 SICUREZZA 14.1 Sicurezza Il Problema della Sicurezza Convalida Pericoli per i Programmi Pericoli per il Sistema Difendere i Sistemi Scoperta di Intrusioni Cifratura Esempio: Windows NT 14.2 Il Problema

Dettagli

Appl. di emissione PKCS#11. API (Metacomandi) Resource Manager Windows. Drivers PC/SC dei lettori

Appl. di emissione PKCS#11. API (Metacomandi) Resource Manager Windows. Drivers PC/SC dei lettori Roma, 30 gennaio 2003 La realtà della carta di identità elettronica (nel seguito CIE) e della carta nazionale dei servizi (nel seguito CNS) rende ineluttabile l individuazione di servizi da erogare in

Dettagli

TRASMISSIONE DI DATI VIA INTERNET

TRASMISSIONE DI DATI VIA INTERNET TRASMISSIONE DI DATI VIA INTERNET 2.0 1 11 Sommario SOMMARIO...2 1. STORIA DELLE MODIFICHE...3 2. TRASMISSIONE DATI VIA INTERNET...4 2.1 SCOPO DEL DOCUMENTO...4 2.2 INTRODUZIONE...4 3. FORMATO DEI DOCUMENTI...5

Dettagli

Sicurezza in Internet. Criteri di sicurezza. Firewall

Sicurezza in Internet. Criteri di sicurezza. Firewall Sicurezza in Internet cannataro@unicz.it 1 Sommario Internet, Intranet, Extranet Criteri di sicurezza Servizi di filtraggio Firewall Controlli di accesso Servizi di sicurezza Autenticazione Riservatezza,

Dettagli

UNIVERSITÀ DEGLI STUDI TRENTO PROGETTO FIRMA DIGITALE E SICUREZZA IN RETE ASPETTI TECNICI SOLUZIONI ESAMINATE E CONSIDERAZIONI

UNIVERSITÀ DEGLI STUDI TRENTO PROGETTO FIRMA DIGITALE E SICUREZZA IN RETE ASPETTI TECNICI SOLUZIONI ESAMINATE E CONSIDERAZIONI UNIVERSITÀ DEGLI STUDI TRENTO PROGETTO FIRMA DIGITALE E SICUREZZA IN RETE ASPETTI TECNICI SOLUZIONI ESAMINATE E CONSIDERAZIONI BRIONI ELEONORA D.I.T. ATI NETWORK 23 GENNAIO 2003 INDICE INTRODUZIONE...3

Dettagli

Secure socket layer (SSL) Transport layer security (TLS)

Secure socket layer (SSL) Transport layer security (TLS) Servizi Sicuri per le comunicazioni in rete Secure socket layer (SSL) Transport layer security (TLS) Applicaz. TTP TCP Applicaz. TTP SSL/TLS TCP SSL: Netscape TLS:RFC 2246 Applicaz. TTPS TCP andshake Change

Dettagli

Metodologie Informatiche Applicate al Turismo 7. Aspetti di sicurezza nell reti

Metodologie Informatiche Applicate al Turismo 7. Aspetti di sicurezza nell reti Metodologie Informatiche Applicate al Turismo 7. Aspetti di sicurezza nell reti Paolo Milazzo Dipartimento di Informatica, Università di Pisa http://www.di.unipi.it/~milazzo/ milazzo di.unipi.it Corso

Dettagli

Autenticazione ed integrità dei dati Integrità dei messaggi

Autenticazione ed integrità dei dati Integrità dei messaggi Pagina 1 di 15 Autenticazione ed integrità dei dati Integrità dei messaggi Una delle proprietà di sicurezza che desideriamo avere all'interno di un sistema informatico, è quella che riguarda l'integrità

Dettagli

Corso di ARCHITETTURA DEI SISTEMI INFORMATIVI - Prof. Crescenzio Gallo. 114 Sistemi informativi in rete e sicurezza 4.6

Corso di ARCHITETTURA DEI SISTEMI INFORMATIVI - Prof. Crescenzio Gallo. 114 Sistemi informativi in rete e sicurezza 4.6 Approcci al problema della sicurezza 114 Sistemi informativi in rete e sicurezza 4.6 Accessi non autorizzati Hacker: coloro che si avvalgono delle proprie conoscenze informatiche e di tecnologia delle

Dettagli

Corso Specialista Sistemi Ambiente Web. Test finale conoscenze acquisite - 15.12.2003. Windows 2000 Server

Corso Specialista Sistemi Ambiente Web. Test finale conoscenze acquisite - 15.12.2003. Windows 2000 Server Windows 2000 Server 1 A cosa serve il task manager? A A monitorare quali utenti stanno utilizzando una applicazione B A restringere l'accesso a task determinati da parte degli utenti C Ad interrompere

Dettagli

Sicurezza delle email, del livello di trasporto e delle wireless LAN

Sicurezza delle email, del livello di trasporto e delle wireless LAN Sicurezza delle email, del livello di trasporto e delle wireless LAN Damiano Carra Università degli Studi di Verona Dipartimento di Informatica La sicurezza nello stack protocollare TCP/IP Livello di rete

Dettagli

Firma digitale e PEC: facili e sicure

Firma digitale e PEC: facili e sicure Firma digitale e PEC: facili e sicure Trento, 23 Novembre 2012 Ing. Andrea Gelpi Commissione Ingegneria dell'informazione Ordine degli Ingegneri della Provincia di Trento Firma Digitale La Firma digitale

Dettagli

Utilizzo di Certificati SSL e relative implicazioni

Utilizzo di Certificati SSL e relative implicazioni Utilizzo di Certificati SSL e relative implicazioni Affinché possano essere correttamente stabilite delle connessioni cifrate tramite i protocolli SSL/TLS ai servizi di IceWarp, è necessario che sul server

Dettagli

PRINCIPI DI COMPUTER SECURITY. Andrea Paoloni

PRINCIPI DI COMPUTER SECURITY. Andrea Paoloni PRINCIPI DI COMPUTER SECURITY Andrea Paoloni 2 Cade il segreto dei codici cifrati Corriere della Sera 26 febbraio 2008 3 Gli hacker sono utili? 4 Safety vs Security SAFETY (salvezza): protezione, sicurezza

Dettagli

Sicurezza dei sistemi e delle reti 1. Lezione VI: IPsec. IPsec. La suite TCP/IP. Mattia Monga. a.a. 2014/15

Sicurezza dei sistemi e delle reti 1. Lezione VI: IPsec. IPsec. La suite TCP/IP. Mattia Monga. a.a. 2014/15 Sicurezza dei sistemi e delle 1 Mattia Lezione VI: Dip. di Informatica Università degli Studi di Milano, Italia mattia.monga@unimi.it a.a. 2014/15 1 cba 2011 15 M.. Creative Commons Attribuzione Condividi

Dettagli

Sicurezza delle applicazioni di rete

Sicurezza delle applicazioni di rete Sicurezza delle applicazioni di rete Antonio Lioy < lioy @ polito.it > Politecnico di Torino Dip. Automatica e Informatica Sicurezza di canale autenticazione (singola o mutua), integrità e segretezza solo

Dettagli

DOCUMENTO TECNICO. Gli ultimi sviluppi della tecnologia SSL

DOCUMENTO TECNICO. Gli ultimi sviluppi della tecnologia SSL Gli ultimi sviluppi della tecnologia SSL SOMMARIO + Introduzione 3 + Panoramica sull SSL 3 + Server Gated Cryptography: 4 la crittografia avanzata accessibile alla maggior parte degli utenti Web + SSL

Dettagli

Certificati digitali: come navigare sicuri

Certificati digitali: come navigare sicuri Certificati digitali: come navigare sicuri La sicurezza sul Web è una delle preoccupazioni che maggiormente assilla (o dovrebbe assillare) gli utenti, soprattutto quando si effettuano operazioni delicate

Dettagli

Connessioni sicure: ma quanto lo sono?

Connessioni sicure: ma quanto lo sono? Connessioni sicure: ma quanto lo sono? Vitaly Denisov Contenuti Cosa sono le connessioni sicure?...2 Diversi tipi di protezione contro i pericoli del network.....4 Il pericolo delle connessioni sicure

Dettagli

Indice. Prefazione. Presentazione XIII. Autori

Indice. Prefazione. Presentazione XIII. Autori INDICE V Indice Prefazione Presentazione Autori XI XIII XV Capitolo 1 Introduzione alla sicurezza delle informazioni 1 1.1 Concetti base 2 1.2 Gestione del rischio 3 1.2.1 Classificazione di beni, minacce,

Dettagli

SECURE SOCKET LAYER FEDERICO REALI

SECURE SOCKET LAYER FEDERICO REALI SECURE SOCKET LAYER FEDERICO REALI Sommario. In questo articolo vengono esposte le principali caratteristiche del protocollo SSL. Esso è stato introdotto sin dal 1994 e rappresenta una delle soluzioni

Dettagli

Crittografia. Crittografia Definizione. Sicurezza e qualità dei servizi su internet. 2009 Università degli Studi di Pavia, C.

Crittografia. Crittografia Definizione. Sicurezza e qualità dei servizi su internet. 2009 Università degli Studi di Pavia, C. Definizione La crittografia è la scienza che utilizza algoritmi matematici per cifrare e decifrare i dati. La criptoanalisi è la scienza che analizza e decifra i dati crittografati senza conoscerne a priori

Dettagli

Lezione 7 Sicurezza delle informazioni

Lezione 7 Sicurezza delle informazioni Lezione 7 Sicurezza delle informazioni Sommario Concetti generali Meccanismi per la sicurezza IT: Crittografia Hash Firma digitale Autenticazione 1 Concetti generali Availability Confidentiality Integrity

Dettagli

Sicurezza delle applicazioni di rete. Sicurezza di canale. Sicurezza di messaggio (o dei dati) Antonio Lioy - Politecnico di Torino (1995-2011) 1

Sicurezza delle applicazioni di rete. Sicurezza di canale. Sicurezza di messaggio (o dei dati) Antonio Lioy - Politecnico di Torino (1995-2011) 1 Sicurezza delle applicazioni di rete Antonio Lioy < lioy @ polito.it > Politecnico di Torino Dip. Automatica e Informatica Sicurezza di canale autenticazione (singola o mutua), integrità e segretezza solo

Dettagli

DOCUMENTO ELETTRONICO E FIRMA DIGITALE

DOCUMENTO ELETTRONICO E FIRMA DIGITALE DOCUMENTO ELETTRONICO E FIRMA DIGITALE CHE COSA È LA CRITTOGRAFIA LA CRITTOLOGIA È SCIENZA CHE STUDIA LE SCRITTURE SEGRETE 2 CRITTOGRAFIA STUDIA I SISTEMI DI PROTEZIONE DEI MESSAGGI CRITTOANALISI STUDIA

Dettagli

MANUALE DI INSTALLAZIONE CERTIFICATO DIGITALE PER LA SICUREZZA CERTIFICATION AUTHORITY DEL SISTEMA PIEMONTE

MANUALE DI INSTALLAZIONE CERTIFICATO DIGITALE PER LA SICUREZZA CERTIFICATION AUTHORITY DEL SISTEMA PIEMONTE Pag.1 di 22 PER LA SICUREZZA CERTIFICATION AUTHORITY DEL SISTEMA PIEMONTE Pag.2 di 22 INDICE 1. PREMESSE...3 2. VERIFICA DELLA VERSIONE CORRETTA DEL BROWER...3 3. INSTALLAZIONE DI CERTIFICATI CON NETSCAPE

Dettagli

NETASQ V9: PKI & Controllo accessi. Presentation Marco Genovese Presales engineer marco.genovese@netasq.com

NETASQ V9: PKI & Controllo accessi. Presentation Marco Genovese Presales engineer marco.genovese@netasq.com NETASQ V9: PKI & Controllo accessi Presentation Marco Genovese Presales engineer marco.genovese@netasq.com Alcuni concetti Alcuni concetti prima di incominciare per chiarire cosa è una PKI e a cosa serve

Dettagli

Sicurezza interna alle applicazioni. Sicurezza esterna alle applicazioni. SSL: introduzione. Sicurezza nei Sistemi Informativi

Sicurezza interna alle applicazioni. Sicurezza esterna alle applicazioni. SSL: introduzione. Sicurezza nei Sistemi Informativi Sicurezza nei Sistemi Informativi La sicurezza nei protocolli di rete Ing. Orazio Tomarchio Orazio.Tomarchio@diit.unict.it Dipartimento di Ingegneria Informatica e delle Telecomunicazioni Università di

Dettagli

Sicurezza nelle applicazioni multimediali: lezione 8, sicurezza ai livelli di rete e data-link. Sicurezza ai livelli di rete e data link

Sicurezza nelle applicazioni multimediali: lezione 8, sicurezza ai livelli di rete e data-link. Sicurezza ai livelli di rete e data link Sicurezza ai livelli di rete e data link Sicurezza a livello applicativo Ma l utilizzo di meccanismi di cifratura e autenticazione può essere introdotto anche ai livelli inferiori dello stack 2 Sicurezza

Dettagli

La suite di protocolli SSL

La suite di protocolli SSL Network Security Elements of Security Protocols Secure Socket Layer (SSL) Architettura Il protocollo Record Il protocollo Handshake Utilizzo di SSL nei pagamenti elettronici Limiti di SSL Sicurezza nella

Dettagli

Problematiche correlate alla sicurezza informatica nel commercio elettronico

Problematiche correlate alla sicurezza informatica nel commercio elettronico Problematiche correlate alla sicurezza informatica nel commercio elettronico http://www.infosec.it info@infosec.it Relatore: Stefano Venturoli, General Manager Infosec Italian Cyberspace Law Conference

Dettagli

Cenni sulla Sicurezza in Ambienti Distribuiti

Cenni sulla Sicurezza in Ambienti Distribuiti Cenni sulla Sicurezza in Ambienti Distribuiti Cataldo Basile < cataldo.basile @ polito.it > Politecnico di Torino Dip. Automatica e Informatica Motivazioni l architettura TCP/IPv4 è insicura il problema

Dettagli

Corso di Laurea in Informatica Reti e Sicurezza Informatica

Corso di Laurea in Informatica Reti e Sicurezza Informatica Corso di Laurea in Informatica Reti e Sicurezza Informatica Esercitazione 6 Autenticazione in Tomcat per lo sviluppo di Web Service. In questo documento si presentano i meccanismi fondamentali che consentono

Dettagli

Sicurezza dei sistemi informatici Firma elettronica E-commerce

Sicurezza dei sistemi informatici Firma elettronica E-commerce Sicurezza dei sistemi informatici Firma elettronica E-commerce Il contesto applicativo Commercio elettronico Quanti bit ho guadagnato!! Marco Mezzalama Politecnico di Torino collegamenti e transazioni

Dettagli

Sicurezza: credenziali, protocolli sicuri, virus, backup

Sicurezza: credenziali, protocolli sicuri, virus, backup Sicurezza: credenziali, protocolli sicuri, virus, backup La sicurezza informatica Il tema della sicurezza informatica riguarda tutte le componenti del sistema informatico: l hardware, il software, i dati,

Dettagli

Certificato Autenticazione InfoCert Guida Utente

Certificato Autenticazione InfoCert Guida Utente Certificato Autenticazione InfoCert Guida Utente Versione 1.1 Guida alla configurazione del certificato di Autenticazione InfoCert Sommario Premessa... 2 Internet Explorer... 3 1.1 Installazione del certificato

Dettagli

Elementi di Sicurezza e Privatezza Laboratorio 10 Uso di OpenSSL per generare certificati X.509. Chiara Braghin chiara.braghin@unimi.it!

Elementi di Sicurezza e Privatezza Laboratorio 10 Uso di OpenSSL per generare certificati X.509. Chiara Braghin chiara.braghin@unimi.it! Elementi di Sicurezza e Privatezza Laboratorio 10 Uso di OpenSSL per generare certificati X.509 Chiara Braghin chiara.braghin@unimi.it! OpenSSL (1) Libreria crittografica rilasciata come software opensource

Dettagli

Applicazioni per l autenticazione Sicurezza nelle reti di TLC - Prof. Marco Listanti - A.A. 2008/2009

Applicazioni per l autenticazione Sicurezza nelle reti di TLC - Prof. Marco Listanti - A.A. 2008/2009 Applicazioni per l autenticazione Kerberos Kerberos Servizio di autenticazione sviluppato dal MIT Fornisce un server di autenticazione centralizzato Basato su crittografia simmetrica (chiave privata) Permette

Dettagli

Come creare un certificato SSL per IIS utilizzando la CA Privata di W indow s 2 0 0 3 Server

Come creare un certificato SSL per IIS utilizzando la CA Privata di W indow s 2 0 0 3 Server Come creare un certificato SSL per IIS utilizzando la CA Privata di W indow s 2 0 0 3 Server Di Massimiliano Brolli, Roma 24/10/2004 SSL permette di eseguire una connessione criptata tra un Server WEB

Dettagli

La nuova Posta Elettronica IMAP del C.S.B.N.O. di Restelli Paolo. Appendice 2 : Protocolli sicuri, autenticazione sicura e certificati ( P.

La nuova Posta Elettronica IMAP del C.S.B.N.O. di Restelli Paolo. Appendice 2 : Protocolli sicuri, autenticazione sicura e certificati ( P. Rho, Luglio 07, 2006 CORSI ON-LINE La nuova Posta Elettronica IMAP del C.S.B.N.O. di Restelli Paolo Appendice 2 : Protocolli sicuri, autenticazione sicura e certificati ( P. Restelli) Attualmente la maggior

Dettagli

La sicurezza nelle comunicazioni Internet

La sicurezza nelle comunicazioni Internet Accesso remoto sicuro a intranet e a server aziendali di posta elettronica Un esempio Cosa ci si deve aspettare di sapere alla fine del corso La sicurezza nelle comunicazioni Internet Esiste un conflitto

Dettagli

Firma digitale Definizione

Firma digitale Definizione FIRMA DIGITALE Firma digitale Definizione La definizione di firma digitale è contenuta nel Dlgs. Del 4/04/2006 n.159 che integra il Codice dell amministrazione digitale in vigore dal 1/01/2006. Firma digitale

Dettagli

WHITE PAPER: White paper. Guida introduttiva. ai certificati SSL. Istruzioni per scegliere le migliori opzioni di sicurezza online

WHITE PAPER: White paper. Guida introduttiva. ai certificati SSL. Istruzioni per scegliere le migliori opzioni di sicurezza online WHITE PAPER: Guida introduttiva AI certificati SSL White paper Guida introduttiva ai certificati SSL Istruzioni per scegliere le migliori opzioni di sicurezza online Guida introduttiva ai certificati SSL

Dettagli

Sicurezza nelle applicazioni multimediali: lezione 4, crittografia asimmetrica. Crittografia asimmetrica (a chiave pubblica)

Sicurezza nelle applicazioni multimediali: lezione 4, crittografia asimmetrica. Crittografia asimmetrica (a chiave pubblica) Crittografia asimmetrica (a chiave pubblica) Problemi legati alla crittografia simmetrica Il principale problema della crittografia simmetrica sta nella necessità di disporre di un canale sicuro per la

Dettagli

Internet. Cos è Il Web La posta elettronica. www.vincenzocalabro.it 1

Internet. Cos è Il Web La posta elettronica. www.vincenzocalabro.it 1 Internet Cos è Il Web La posta elettronica www.vincenzocalabro.it 1 Cos è E una RETE di RETI, pubblica. Non è una rete di calcolatori. I computer che si collegano ad Internet, devono prima essere collegati

Dettagli

VntRAS Communication Suite

VntRAS Communication Suite VntRAS Communication Suite Manuale di Riferimento 1 Indice pag. 1. Introduzione 3 2. Interfaccia web di amministrazione 4 3. Programmazione 5 4. Programmazione pagine HTML pubbliche 8 2 Introduzione Il

Dettagli

RuparPiemonte Manuale di installazione certificato digitale per la sicurezza Certification Authority di SistemaPiemonte

RuparPiemonte Manuale di installazione certificato digitale per la sicurezza Certification Authority di SistemaPiemonte RuparPiemonte Manuale di installazione certificato digitale per la sicurezza Certification Authority di SistemaPiemonte Pag. 1 di 17 SOMMARIO 1. PREMESSE...2 2. IL...2 3. VERIFICA DELLA VERSIONE CORRETTA

Dettagli

Programmazione in Rete

Programmazione in Rete Programmazione in Rete a.a. 2005/2006 http://www.di.uniba.it/~lisi/courses/prog-rete/prog-rete0506.htm dott.ssa Francesca A. Lisi lisi@di.uniba.it Orario di ricevimento: mercoledì ore 10-12 Sommario della

Dettagli

Gestione della sicurezza SSL negli ambienti multiserver

Gestione della sicurezza SSL negli ambienti multiserver Gestione della sicurezza SSL negli ambienti multiserver I servizi Web di VeriSign accelerano la gestione dei certificati SSL e riducono il costo totale della sicurezza SOMMARIO + Una strategia intelligente

Dettagli

Sicurezza: credenziali, protocolli sicuri, virus, backup

Sicurezza: credenziali, protocolli sicuri, virus, backup Sicurezza: credenziali, protocolli sicuri, virus, backup prof. Monica Palmirani Lezione 13 Sicurezza Sicurezza dell autenticazione dei soggetti attori autenticazione Sicurezza degli applicativi autorizzazione

Dettagli

Obiettivo: realizzazione di reti sicure TIPI DI ATTACCO. Politica di sicurezza: a) scelte tecnologiche b) strategie organizzative

Obiettivo: realizzazione di reti sicure TIPI DI ATTACCO. Politica di sicurezza: a) scelte tecnologiche b) strategie organizzative Obiettivo: realizzazione di reti sicure Politica di sicurezza: a) scelte tecnologiche b) strategie organizzative Per quanto riguarda le scelte tecnologiche vi sono due categorie di tecniche: a) modifica

Dettagli

Problemi legati alla sicurezza e soluzioni

Problemi legati alla sicurezza e soluzioni Corso DOMOTICA ED EDIFICI INTELLIGENTI UNIVERSITA DI URBINO Docente: Ing. Luca Romanelli Mail: romanelli@baxsrl.com Accesso remoto ad impianti domotici Problemi legati alla sicurezza e soluzioni Domotica

Dettagli

Protezione della posta elettronica mediante crittografia

Protezione della posta elettronica mediante crittografia Consorzio per la formazione e la ricerca in Ingegneria dell'informazione Politecnico di Milano Protezione della posta elettronica mediante crittografia Davide Cerri CEFRIEL - Area e-service e Technologies

Dettagli

UNIVERSITA DI CATANIA

UNIVERSITA DI CATANIA UNIVERSITA DI CATANIA RELAZIONE SUL CHALLENGE DEDICATO ALLA GESTIONE DEI CERTIFICATI ORESTE DELITALA - W82000025 1. Introduzione L obiettivo del seguente challenge è incentrato sullo studio della gestione

Dettagli

PkBox Concetti Generali. Vers.1.0.6

PkBox Concetti Generali. Vers.1.0.6 PkBox Concetti Generali Vers.1.0.6 18 aprile 2013 Le informazioni contenute in questo documento sono da considerarsi CONFIDENZIALI e non possono essere utilizzate o riprodotte - sia in parte che interamente

Dettagli

Sommario. Requisiti per l utilizzo del servizio

Sommario. Requisiti per l utilizzo del servizio Sommario 1. Attivazione... 2 2. Requisiti e impostazioni... 2 2.1 Microsoft Internet Explorer 7 e superiori... 3 2.2 Mozilla Firefox 3 e superiori... 8 2.3 Google Chrome 7 e superiori... 8 2.4 Apple Safari

Dettagli

Sicurezza: necessità. Roberto Cecchini Ottobre 2002 1

Sicurezza: necessità. Roberto Cecchini Ottobre 2002 1 Sicurezza: necessità Riservatezza: la comunicazione è stata intercettata? Autenticazione: l utente è veramente chi dice di essere? Autorizzazione: ogni utente può accedere solo alle risorse cui ha diritto.

Dettagli

SISTEMI E RETI. Crittografia. Sistemi distribuiti e configurazione architetturale delle applicazioni WEB.

SISTEMI E RETI. Crittografia. Sistemi distribuiti e configurazione architetturale delle applicazioni WEB. SISTEMI E RETI Crittografia. Sistemi distribuiti e configurazione architetturale delle applicazioni WEB. CRITTOGRAFIA La crittografia è una tecnica che si occupa della scrittura segreta in codice o cifrata

Dettagli