La protezione delle informazioni

Transcript

1 Contatti La protezione delle informazioni Stefano Bonomi Tel Stefano Bonomi Centro Servizi Informatici e Telematici Università degli Studi di Udine Copenhagen, 17/11/04 La protezione del computer "Il più grande problema dei sistemi di autenticazione è dato dalla debolezza delle password Collegamento internet Scansione delle porte Navigazione web Download automatica Sito web dirottato Bill Gates Instant messanger Dati personali/sensibili Cavalli di troia Allegati infetti Spam fraudolente Installazione di programmi Cavalli di troia Il personal computer Viene normalmente utilizzato da più persone Contiene dati riservati e sensibili Permette l accesso a Internet E necessario quindi limitare l accesso Vediamo come Linux, Windows e c. Sistemi mono-utente: DOS Windows 95, 98, ME Sistemi multi-utente Unix e derivati La famiglia NT di Microsoft 1

2 La creazione degli utenti del PC Tipologie di utenti Ci aiuta a: Limitare l accesso a specifiche risorse e/o informazioni. Risalire a chi e quando ha compiuto una determinata azione. Negli ultimi sistemi operativi esistono: amministratori utenti limitati Amministratori Utenti limitati Hanno accesso a tutte le risorse del computer Possono leggere i dati di tutti gli utenti Possono installare e disinstallare le applicazioni E un account delicato Possono utilizzare i programmi Hanno accesso solamente ai propri dati Non possono installare e disinstallare le applicazioni Quanti account devo creare? La protezione degli account Uno con i privilegi di amministratore Tanti come utenti limitati quante sono le persone che utilizzano il PC Limita l accesso ad informazioni riservate Limita l inserimento di programmi non graditi sul personal computer Permette di tracciare l uso del computer 2

3 I sistemi di autenticazione Gli errori più comuni Password Smart card Flash pen Biometria, etc. Password troppo corte Utilizzo di nomi comuni Utilizzo di date di nascita Diversi servizi con la stessa password Trascrizione cartacea Durata indeterminata La lunghezza della password Le parole da evitare Utenti limitati: Mai meno di 6-8 caratteri Amministratori di sistemi: Almeno caratteri nomi di battesimo date di nascita nomi comuni di persone di figli di animali domestici presenti nei dizionari La durata della password Come scegliere una password Cambiarla con regolarità Almeno ogni 6 mesi Utilizzare caratteri alfanumerici Utilizzare caratteri MAIUSCOLI e minuscoli Utilizzare caratteri speciali (! $%&?) Utilizzare parole composte e/o deformate Spezzare le parole inserendo numeri o caratteri 3

4 Un esempio Cosa non fare Il nome della mia ragazza è Patrizia La data di nascita di mia madre è 15/04/1954 Una password potrebbe essere: pa15tri&04zia54 Lasciare la password su foglietti sparsi in ufficio Comunicarla ai colleghi Utilizzare la stessa password per l accesso al computer, la connessione a Internet, l accesso alla casella di posta elettronica, ecc. La posta elettronica Il problema degli allegati Lo SPAM La firma digitale La crittografia dei messaggi Gli allegati Sono file inviati assieme alla mail Documenti testuali (doc, txt, ecc.) Fogli elettronici Programmi Immagini File musicali. L incognita Che cos è un virus Possono contenere dei virus E un particolare software che è in grado, una volta eseguito, di infettare dei file in modo da riprodursi facendo copie di se stesso, generalmente senza farsi rilevare dall'utente. I virus possono essere più o meno dannosi per il sistema operativo che li ospita, ma anche nel caso migliore comportano un certo spreco di risorse in termini di RAM, CPU e spazio sul disco fisso. 4

5 Come proteggersi Quale antivirus? Installare e aggiornare regolarmente un antivirus Non aprire MAI allegati prima di averli controllati con l antivirus Il mercato offre numerosi prodotti Alcuni a pagamento Altri gratuiti Antivirus a pagamento Alcuni esempi Aggiornamenti costanti Funzionalità in rete Affidabilità Assistenza Costo spesso elevato Norton (Symantec) Panda (Panda software) McAFee Ez-Antivirus (Computer Ass.). Antivirus gratuiti Antivirus gratuiti Costo nullo Funzionalità spesso limitate Installazione solo per uso personale No assistenza Possibile mancanza degli aggiornamenti Spesso è presente anche una versione completa (a pagamento) con funzionalità di più alto livello 5

6 Alcuni esempi Alcuni tipi di infezione AVG ( AntiVir Personal Edition Cancellazione o alterazione dei dati Rallentamento del lavoro Apertura di connessione verso l esterno Virus classici Worm sono parti di codice si diffondono copiandosi all'interno di altri programmi o in sezioni del disco fisso vengono eseguiti ogni volta che il file infetto viene aperto. Si trasmettono da un computer a un altro tramite lo spostamento di file infetti ad opera degli utenti. Possono cancellare files o formattare hard-disks è in grado di autoreplicarsi. non necessita di legarsi ad altri eseguibili per diffondersi. modifica il sistema operativo in modo da venire eseguito ogni volta che si avvia la macchina rimanere attivo finché non si spegne il computer o non si arresta il processo corrispondente Worm Worm riduce le prestazioni di sistema, generando infinite copie dise stesso Si diffonde soprattutto attraverso la posta elettronica ricerca indirizzi memorizzati nel computer ospite invia una copia di se stesso come file allegato (attachment ) a tutti o parte degli indirizzi che è riuscito a raccogliere i messaggi contenenti il worm utilizzano spesso tecniche di social engineering per indurre il destinatario ad aprire l'allegato, che spesso ha un nome che permette al worm di camuffarsi come file non eseguibile 6

7 Danni causati dai Worm Trojan danni diretti di per sé non crea gravi danni diretti al di là dello spreco di risorse computazionali. danni indiretti corretto funzionamento e sull'efficacia delle comunicazioni in rete i messaggi di posta elettronica inviati ingrossano la mole di posta indesiderata che arriva nelle caselle spreco di risorse preziose in termini di banda e di attenzione instabilità del sistema e a volte spegnimenti e riavvii forzati contrazione del termine inglese trojan horse contiene funzionalità maliziose note a chi lo ha programmato, ma non all'utente. la vittima è indotta a far eseguire il programma. richiedono un intervento diretto dell'attaccante per far giungere l'eseguibile malizioso alla vittima Trojan Backdoor spesso è la vittima stessa a ricercare e scaricare un trojan queste "trappole" sono molto diffuse nei videogiochi piratati, che in genere sono molto richiesti. spesso sono usati come veicolo per installare delle backdoor o dei keylogger sui sistemi bersaglio. sono paragonabili a porte di servizio consentono di superare in parte o in toto le procedure di sicurezza installate in modo da consentire ad un utente esterno di prendere il controllo remoto della macchina senza l'autorizzazione del proprietario. Un esempio celebre è il programma Back orifice, che attiva una backdoor sul sistema in cui viene installato, dando la possibilità a chiunque ne conosca l'indirizzo di controllare la macchina. Hoax Hoax è un messaggio di posta elettronica viene affermato (falsamente) che esiste un virus nell allegato o nel testo il danno si provoca nel momento in cui si seguono le istruzioni indicate nella mail ad esempio: se trovi il file pippo.exe cancellalo, è un virus! cancellando il file in realtà cancello un programma utile 7

8 Spyware - a cosa servono Spyware raccogliere informazioni dell utente a sua insaputa e senza il suo consenso trasmetterle ad un'organizzazione le che le utilizzerà per trarne profitto tipicamente attraverso l'invio di pubblicità mirata (spam) Spyware cosa fanno Come entra nel mio computer? possono modificare la pagina iniziale o la lista dei Preferiti del browser possono reindirizzare su falsi siti di e-commerce (phishing) In genere con programmi gratuiti (Go!zilla e il Codec Divx 5 Pro) con quelli di condivisione (file sharing), tipo Kazaa e IMesh possono inviare informazioni personali Spyware - non sono vietati? Spyware come evitarli No. Per quanto possa sembrare una cosa più o meno morale, lo spyware non modifica in alcun modo il vostro pc, e dunque nessuno spyware può essere considerato un virus (dunque gli antivirus non li rilevano). diffidare da qualsiasi software offerto gratuitamente su Internet evitare di visitare siti "sospetti", come quelli che offrono software pirata Mantenere sempre il proprio sistema operativo aggiornato con le patch rilasciate dal produttore 8

9 Spyware come rimuoverli z un antivirus non basta z esiste del software specifico Ad esempio: z Ad-ware ( - WIN z Spybot ( WIN z MacScan ( ) - APPLE I dialer cosa sono I dialer I dialer alcuni esempi z il nome deriva dall inglese to dial z sono programmi che creano una connessione tramite la comune linea telefonica o un collegamento ISDN z alcuni sono creati per connettersi a numeri a tariffazione speciale z tipici sono i collegamenti ai numeri 144, 16x, 7xx, 8xx z si installano accettando l installazione di un programma z la maggior parte rientra tra le truffe. I dialer come proteggersi Telecom news z disattivare tramite Telecom le chiamate ai numeri 144, 16x, 7xx, 8xx z accedere al computer SEMPRE come utente limitato z in caso di bambini o adolescenti, staccare il cavo del modem 9

10 I cookies sono piccoli file di testo I cookies vengono utilizzati dai siti web servono per immagazzinare alcune informazioni nel computer dell'utente in linea di massima sono utili I cookies servono per identificare gli utenti collegati talvolta sono indispensabili per una corretta navigazione limitano l accesso a determinate pagine web I cookies normalmente hanno una data di scadenza i dati contenuti all interno sono codificati vengono utilizzati per le transazioni economiche I cookies la loro installazione può essere gestita attraverso le impostazioni del browser Lo spam 10

11 Lo SPAM Lo SPAM Cos è Come prevenirlo Come proteggersi è l'invio di grandi quantità di messaggi elettronici non richiesti (generalmente commerciali) Lo SPAM scopo dello spamming è la pubblicità spesso la pornografia il commercio in borsa o discutibili progetti finanziari Si è rivelato uno dei maggiori fastidi della rete Come prevenire lo spam falsificare i nomi e indirizzi di posta Per esempio: joe@example.net potrebbe venir modificato in joe@nopam.example.net Evitare di rispondere alcuni spammer considerano le risposte ai loro messaggi - anche a quelle del tipo "Non fare spam" - come conferma che l'indirizzo è valido e viene letto Denunciare spam La maggioranza degli ISP proibisce esplicitamente ai propri utenti di fare spam e in caso di violazione essi vengono espulsi dai loro servizi. Rintracciare l'isp di uno spammer e denunciarlo spesso porta alla chiusura dell'abbonamento. 11

12 Utilizzare più caselle Utilizzo di un servizio on-line L utilizzo di caselle differenti per i diversi scopi riduce il problema spam. Ad esempio: Casella principale: stefano@bonomi.it Casella per riviste/newsgroup: stefano_new@bonomi.it Utilizzo di software specifici Esistono software di filtraggio delle mail A pagamento (Norton, McAfee, Panda, Trend Micro, ecc.) La firma digitale Gratuiti (ad es. POPfile) La firma digitale La firma digitale La Firma Digitale è l'equivalente informatico della firma autografa Ha il medesimo valore legale (D.P.R. 11/02/2005, n.68) E ormai uno dei più importanti strumenti per l'uo sicuro di Internet e per lo sviluppo delle transazioni online. Il commercio elettronico, il rapporto telematico tra Pubbliche Amministrazioni e privati cittadini e la trasmissione di documenti elettronici tramite sono i settori maggiormente interessati dalla diffusione della Firma Digitale. 12

13 La firma digitale Infatti chiunque riceva un documento firmato digitalmente dal mittente con la propria Chiave Privata, può verificare con certezza l'identità dell'autore della firma per mezzo della Chiave Pubblica del mittente stesso custodita dal Certificatore. La firma digitale Può inoltre essere certo che dopo la sottoscrizione non sia stata alcuna modifica al documento. E possibile inoltre applicare ai documenti firmati digitalmente una marca temporale che certifica in modo sicuro la data e l'ora in cui un documento è stato creato, trasmesso o archiviato La firma digitale Ogni titolare dispone di una coppia di chiavi, una privata - segreta e custodita sulla Smart Card e protetta da un codice di accesso (PIN) - l'altra pubblica - custodita e pubblicata dall'ente Certificatore - che viene usata per la verifica della firma. La firma digitale Il funzionamento del sistema è garantito dalla presenza di un Ente Certificatore chiamato anche Certification Autority (CA) che assicura l'associazione univoca tra la chiave pubblica da usare per la verifica e il titolare della corrispondente chiave privata. La firma digitale tale associazione si basa sull'emissione di un certificato digitale l emissione del certificato avviene solo dopo l'identificazione e registrazione del richiedente. La firma digitale Gli Enti Certificatori Accreditati devono essere iscritti nell'elenco pubblico L organismo di controllo degli E.C. è istituito presso la Presidenza del Consiglio dei Ministri C.N.I.P.A. (Centro Nazionale per l'informatica nella Pubblica Amministrazione). 13

14 La firma digitale Esempi di Enti certificatori sono: Poste italiane Camera di commercio Telecom Banche Elenco completo: Configurazione di Outlook e Outlook Express Impostazioni di Outlook - 1 Impostazioni di Outlook

15 Impostazioni di Outlook - 3 Impostazioni di Outlook - 4 Impostazioni di O. Express - 1 Impostazioni di O. Express - 2 Impostazioni di O. Express - 3 Impostazioni di O. Express

16 La crittografia La crittografia delle mail Il servizio di cifratura consente di tradurre un documento elettronico in un insieme di caratteri decifrabili solo da chi dispone della corrispondente chiave privata. La crittografia La crittografia Gli strumenti a disposizione sono molti: Il documento elaborato con l'algoritmo di cifratura diventa di impossibile lettura a terzi sia in fase di trasmissione sia in fase di archiviazione. ha lo scopo di garantire la massima riservatezza e sicurezza dei documenti informatici. Alcuni forniti da chi gestisce le firme elettroniche certificate (ad es. Poste italiane) Software di terze parti (non certificati) La crittografia La crittografia Il sistema più famoso è PGP (Pretty Good Privacy) ideato da Philip Zimmermann Funzioni differenti (a pagamento e gratuite) Gestisce anche la firma digitale (ma non certificata) Gratuita (per uso personale) la crittografia dei documenti 16

17 I firewall cosa sono I firewall Computer o apparati di rete che filtrano tutti i pacchetti entranti ed uscenti, da e verso una rete o un computer, applicando regole che contribuiscono alla sicurezza della stessa. I firewall come si realizza I firewall personali Un firewall può essere realizzato: con un normale computer (con almeno due schede di rete e software apposito) può essere una funzione inclusa in un router può essere un apparato specializzato. Esistono anche i cosiddetti "firewall personali", overo programmi installati sui normali calcolatori, che filtrano i pacchetti che entrano ed escono da quel calcolatore. I firewall personali Come provare i software Per non comperare a scatola chiusa Come per i prodotti antivirus esistono anche qui vari prodotti a pagamento o gratuiti. Testare prima il software trial su una macchina di sviluppo Una volta scelto si procede all acquisto 17

18 Siti dove reperire il software