LA SICUREZZA NEI SISTEMI INFORMATIVI. Antonio Leonforte

Dimensione: px
Iniziare la visualizzazioe della pagina:

Download "LA SICUREZZA NEI SISTEMI INFORMATIVI. Antonio Leonforte"

Transcript

1 LA SICUREZZA NEI SISTEMI INFORMATIVI Antonio Leonforte Rendere un sistema informativo sicuro non significa solo attuare un insieme di contromisure specifiche (di carattere tecnologico ed organizzativo) che neutralizzi tutti gli attacchi ipotizzabili per quel sistema; significa anche collocare ciascuna contromisura in una politica organica di sicurezza che tenga conto dei vincoli (tecnici, logistici, amministrativi, politici) imposti dalla struttura in cui il sistema informativo opera, e che giustifichi ciascuna contromisura in un quadro complessivo. 1. Definizione e concetti di base 1.1. Definizione Con il termine sicurezza, nell ambito dei sistemi informativi, si intende l insieme delle misure (di carattere organizzativo e tecnologico) tese ad assicurare a ciascun utente autorizzato (e a nessun altro) tutti e soli i servizi previsti per quell utente, nei tempi e nelle modalità previste. Più formalmente, secondo la definizione ISO, la sicurezza è l insieme delle misure atte a garantire la disponibilità, la integrità e la riservatezza delle informazioni gestite Disponibilità controllata delle informazioni Il sistema deve rendere disponibili a ciascun utente abilitato le informazioni alle quali ha diritto di accedere, nei tempi e nei modi previsti. Nei sistemi informatici, i requisiti di disponibilità sono legati anche a quelli di prestazione e di robustezza. La disponibilità di una informazione ad un utente, infatti, deve essere assicurata in modo ininterrotto durante tutto il periodo di tempo previsto (continuità del servizio). Il raggiungimento dell obiettivo disponibilità dipende quindi da fattori critici come la robustezza del software di base e di quello applicativo, l affidabilità delle apparecchiature e degli ambienti in cui sono collocati, l esperienza e l affidabilità degli amministratori del sistema. Non è in generale buona norma assumere che le contromisure adottate in un sistema informatico siano sufficienti a scongiurare qualsiasi attacco. Rientra quindi fra gli obiettivi di una politica di sicurezza quello di garantire il rientro in funzione in tempo utile del sistema informatico, a seguito di eventi negativi anche gravi (disaster recovery). 1

2 1.3. Integrità delle informazioni Il sistema deve impedire la alterazione diretta o indiretta delle informazioni, sia da parte di utenti e processi non autorizzati, che a seguito di eventi accidentali. Anche la perdita di dati (per esempio a seguito di cancellazione o danneggiamento), viene considerata come alterazione Riservatezza delle informazioni Il sistema deve impedire a chiunque di ottenere o dedurre, direttamente o indirettamente, informazioni che non è autorizzato a conoscere. Vale la pena di osservare che, in determinati contesti, il fatto stesso che una informazione sia protetta, o che esista una comunicazione in atto fra due utenti o processi, può essere sufficiente per dedurre informazioni riservate. 2. Considerazioni preliminari 2.1. Esigenza della sicurezza L interesse per la sicurezza nei sistemi informatici è cresciuto negli ultimi anni in funzione della loro diffusione, del ruolo sempre più importante che essi hanno nei contesti in cui operano, e della loro crescente complessità ed esposizione a possibili attacchi. Sul piano della strategicità, occorre sottolineare come accanto alla disponibilità ed alla integrità delle informazioni, spesso fondamentali per assicurare continuità alla produzione, anche la riservatezza è divenuta critica con la progressiva adozione di strumenti informatici nella pianificazione e nel supporto alle decisioni (cioè nella gestione di informazioni di interesse strategico). Quanto alla maggiore esposizione dei moderni sistemi, basti considerare la maggiore interconnessione, dalle reti locali ad Internet, e la maggiore complessità, dalle architetture client-server a quelle fortemente distribuite Approccio al problema Occorre partire dal presupposto che, a dispetto delle misure attuate, un evento indesiderato possa comunque violare i requisiti di disponibilità, integrità e riservatezza, attraverso meccanismi non previsti. Proteggere i requisiti di sicurezza di un sistema significa quindi, in termini realistici: ridurre ad un valore accettabile la probabilità che vengano violati; individuare tempestivamente quando ed in quale parte del sistema questo accade; limitare i danni e ripristinare i requisiti violati nel minor tempo possibile. Si deve, in definitiva, mettere in atto contemporaneamente misure di tipo complementare. E molto importante che queste misure siano adottate in modo organico e sistematico, cioè nell ambito più generale di una politica di sicurezza, e nel rispetto dei 2

3 vincoli tecnici, logistici, amministrativi, politici ed economici imposti dalla struttura in cui il sistema opera. 3. Risorse di un sistema Le risorse di un sistema informativo sono l'insieme delle entità (dagli operatori alle componenti hardware, dal software di base a quello applicativo) necessarie al suo funzionamento. Dal punto di vista della sicurezza, non è importante distinguere fra le risorse che costituiscono il sistema (i.e. le sue componenti) e le risorse delle quali ha bisogno per funzionare: si tratta in ogni caso di risorse "critiche" e quindi da proteggere. Anticipando alcuni concetti meglio esposti nella sezione sugli aspetti metodologici, per proteggere un sistema occorre innanzitutto identificarne le risorse e valutare il rischio legato agli eventi (indesiderati) che possano minacciarne la integrità. Una classificazione delle tipologie di risorsa comunemente presenti in un sistema informativo è utile per procedere in modo sistematico ed esaustivo nella identificazione delle risorse stesse. Possiamo in particolare distinguere fra risorse fisiche e logiche. Le principali risorse fisiche solitamente presenti in un sistema informativo moderno sono calcolatori (server e postazioni di lavoro), periferiche (scanner, stampanti, modem), apparecchiature di rete, i locali che ospitano le apparecchiature e gli impianti di alimentazione e condizionamento di tali locali. Vale la pena osservare che anche gli operatori umani possono essere considerati per certi aspetti come risorse fisiche. Le risorse logiche presenti in un sistema informativo moderno sono tipicamente i moduli del software applicativo e del software di base (DBMS, Sistema Operativo, Software di Rete), le basi di dati, i registri di configurazione dei dispositivi (per esempio router). Anche in questo caso, possono essere considerate come risorse logiche anche l'insieme delle regole organizzative e comportamentali degli operatori umani. E importante osservare infine come il corretto funzionamento di una risorsa possa dipendere da quello di altre. Questo aspetto, che nella sezione metodologica viene definito come "dipendenza funzionale fra risorse" è alla base dei fenomeni di propagazione dei guasti, e va tenuto in conto nel valutare i danni che un determinato attacco è in grado di apportare. 4. Eventi indesiderati Una volta individuate le risorse critiche, si deve stabilire quali eventi indesiderati possano determinarne un degrado nelle caratteristiche di integrità, disponibilità e riservatezza. Una definizione precisa di evento indesiderato permette di verificare, a fronte di una analisi sistematica di tutti gli eventi che potrebbero accadere intorno al sistema, se e 3

4 quanto ciascun evento sia indesiderato rispetto alla definizione data. Un buon punto di partenza è costituito dal considerare come evento indesiderato qualsiasi accesso (a servizio o informazione) che non sia esplicitamente permesso dalla politica di sicurezza del sistema. L insieme degli eventi indesiderati, tuttavia, è ben più esteso, in quanto comprende eventi che non sono affatto degli attacchi deliberati, bensì dei semplici eventi accidentali. Stando alle statistiche, anzi, gli eventi accidentali quali il guasto di un dispositivo o l'errore umano (per esempio cancellazione accidentale di file, installazione di componenti incompatibili o infettate che corrompono il software di base) restano la principale causa di perdita accidentale di dati. Per questo motivo il titolo di questa sezione fa riferimento al concetto più generale di "evento indesiderato". Allo scopo di affrontare il problema in modo sistematico, classifichiamo quindi gli eventi indesiderati a seconda che siano accidentali o piuttosto conseguenza di un attacco deliberato. Analogamente a quanto visto per le risorse, una classificazione degli eventi indesiderati risulta utile per affrontare la loro identificazione con sistematicità Attacchi deliberati Nel classificare l insieme dei possibili attacchi al sistema, è importante partire dal presupposto che chiunque tenti di penetrarvi o danneggiarlo applicherà, in sequenza o in parallelo (sfruttando eventuali effetti combinati), tutte le tecniche di cui dispone su tutte componenti attaccabili. Appare naturale caratterizzare un attacco in funzione della componente attaccata e della tecnica utilizzata dall intrusore. Un approccio sistematico individua tutte le componenti del sistema, sia fisiche (calcolatori, router, cavi) che logiche (file, processi, etc..) e, per ciascuna di esse, individua tutte le tecniche di attacco ad essa applicabili. Il risultato di questo approccio può essere convenientemente riassunto in una matrice avente le componenti su un asse e le tecniche di attacco sull altro. Una cella di tale matrice permette infatti di descrivere se e come una certa tecnica può essere utilizzata per attaccare una certa componente Attacchi a livello fisico Gli attacchi a livello fisico sono principalmente tesi a sottrarre o danneggiare risorse critiche. I principali tipi di attacco a livello fisico sono: furto: prevedibile per nastri di backup, dischi o interi server; è un attacco alla disponibilità ed alla riservatezza; danneggiamento: attacco tipicamente condotto contro apparecchiature e cavi di rete, più raramente contro calcolatori server in quanto questi sono generalmente confinati in locali sicuri; è un attacco alla disponibilità ed alla integrità. 4

5 Attacchi a livello logico Gli attacchi a livello logico sono principalmente tesi a sottrarre informazione o degradare la operatività del sistema. Un attacco può essere caratterizzato in funzione del livello architetturale sul quale agisce e dei risultati che è indirizzato a conseguire. I livelli architetturali sui quali può agire un attacco a livello logico dipendono evidentemente dalla architettura del sistema. I livelli comunemente presenti nei sistemi informativi moderni (client/server o multi-livello) sono: il livello interfaccia (client), che implementa la interfaccia utente; il livello applicazione (application-server), che implementa i servizi applicativi; il livello dati (data-server, spesso realizzato con un DBMS commerciale), responsabile della memorizzazione dei dati sulla memoria di massa e della loro estrazione; il livello main-frame, che, quando necessario, interfaccia il sistema informativo moderno con servizi offerti da uno o più sistemi "legacy", cioè sistemi importanti che non è conveniente sostituire o modificare. Dal punto di vista dei risultati che è indirizzato a conseguire, un attacco a livello logico può essere classificato come di: intercettazione e deduzione (attacco alla riservatezza); intrusione (attacco alla integrità ed alla riservatezza); disturbo (attacco alla disponibilità) Attacchi di intercettazione Gli attacchi di intercettazione possono richiedere un attacco preventivo a livello fisico per installare dispositivi pirata o per agganciarsi alla rete, e di intrusione (livello logico), per installare software di supporto alla intercettazione. Le tecniche comunemente utilizzate sono basate su: analizzatori di traffico su rete (locale o geografica); applicazioni di analisi del traffico su rete (sniffing); server pirata che si spacciano come router (spoofing); programmi che emulano servizi del sistema (tipicamente il login, durante il quale l utente digita username e password) registrando al contempo le informazioni riservate digitate dall'utente. Gli attacchi di intercettazione possono sfruttare debolezze intrinseche di protocolli e software di rete, o poco accorte configurazioni del sistema operativo. In alcune versioni del sistema grafico X-Window, ad esempio, è possibile spiare tutto quello che fa un utente. I meccanismi di controllo degli accessi, in tali versioni del sistema, sono infatti aggirabili tramite spoofing o semplicemente intercettando informazioni di sessione, dette COOKIE, che transitano in chiaro). Sulle certe reti TCP-IP, ad esempio, è possibile inviare falsi messaggi di controllo al calcolatore che svolge le funzioni di DNS (Database Network System) per ottenere 5

6 informazioni su tutti i calcolatori in rete e talvolta anche sui loro sistemi operativi. Questo permette in seguito di condurre attacchi mirati. Telnetd è il demone che permette di aprire un terminale virtuale su una macchina UNIX attraverso una connessione TCP/IP: un terminale è associato ad un file i cui permessi in lettura vengono revocati una volta che la connessione è stabilita; con una tecnica particolare, è comunque possibile leggere tale file nel momento in cui l utente digita username e password. Gli attacchi di intercettazione possono infine sfruttare il fatto che un utente abbia disatteso qualche norma comportamentale imposta dalla politica di sicurezza (ad esempio scrivendo la password sotto la tastiera, oppure utilizzando come password il proprio nome di battesimo o quello della moglie) Attacchi di deduzione Gli attacchi basati sulla deduzione sono condotti incrociando informazioni tratte dall osservazione del sistema con informazioni ottenute per altre vie. Alcuni esempi sono gli attacchi condotti: a partire dal fatto stesso che un certo servizio o una certa informazione sia negata dal sistema. a partire dal monitoraggio dei volumi di traffico nella comunicazione fra componenti del sistema; confrontando informazioni presenti nel sistema, individualmente configurate come poco riservate Attacchi di intrusione Quando il sistema non prevede strumenti evoluti per il riconoscimento dell utente (chiave hardware, lettore di impronte digitali, etc.), l accesso al sistema tramite password illegale è uno degli attacchi di intrusione più frequenti. Tralasciando il caso in cui la password sia stata rubata al legittimo proprietario tramite intercettazione o deduzione (casi già trattati nelle sezioni precedenti), è possibile che essa venga individuata utilizzando programmi (ad esempio "ypx" per UNIX) appositamente progettati per generare sistematicamente combinazioni di caratteri semicasuali e verificarle come password tentando l accesso al sistema in modo automatico. Attacchi di questo tipo devono il loro successo al fatto che gli utenti scelgono come password parole di uso comune, e quindi, in definitiva, ad una debolezza nella politica di sicurezza o nella sua attuazione da parte del personale. Altri tipi di intrusione possono essere basati su tecniche più sofisticate, generalmente tese a sfruttare debolezze nei protocolli di rete e nel software di rete. Su certe reti TCP/IP si possono generare con programmi appositi pacchetti IP falsificati, nei quali l indirizzo del mittente è alterato per far credere al destinatario che i pacchetti provengano da un altro calcolatore (IP-spoofing) e/o il routing da seguire è prefissato in modo conveniente (source-routing). Sempre su certe reti TCP/IP, è inoltre possibile 6

7 indovinare il sequence-number di una connessione, e quindi far credere al calcolatore sotto attacco, che i pacchetti inviati siano relativi ad una connessione già esistente e regolarmente autenticata. Su reti TCP/IP con certe versioni di NFS (Network File System) è possibile, laddove il sistema sia configurato in modo poco accorto, accedere ad un disco remoto scavalcando i controlli sui diritti di accesso. Una volta ottenuti in qualche modo (anche temporaneamente) i diritti di amministratore, è possibile installare nel sistema un meccanismo, detto backdoor, che permetta anche in seguito di mantenere un accesso privilegiato. Si tratta in questo caso di un attacco particolarmente insidioso in quanto la backdoor, finché non viene individuata e rimossa, continua a garantire l accesso all intrusore anche se il primo accesso illegale viene scoperto e la password di amministratore viene cambiata. Nei sistemi UNIX, ad esempio, si può installare un demone pirata con privilegi di amministratore (root) che, in condizioni legittimamente scatenabili dall intrusore, provveda ad aprire una finestra (shell) di comando attraverso la quale accedere al sistema con diritti di amministratore. Questa tecnica rientra fra quelle indicate come cavallo di Troia Attacchi di disturbo Gli attacchi che fanno uso di queste tecniche non sono tesi ad accedere a servizi ed informazioni, ma semplicemente a degradare la operatività del sistema. Sono considerabili come atti di sabotaggio, e minacciano tipicamente la integrità e la disponibilità dei dati, più raramente (e indirettamente) la riservatezza. Esistono diverse tecniche di disturbo Attacchi di disturbo tramite virus I virus sono programmi auto-replicanti, spesso inseriti nel sistema come cavalli di Troia, generalmente pericolosi per la integrità del file-system e per la disponibilità dei servizi. Sono molto diffusi sui Sistemi Operativi mono-utente, decisamente meno frequenti su quelli multi-utente. In molti contesti, comunque, il sistema informatico presenta postazioni di lavoro client basate su Personal Computer con Sistema Operativo monoutente, ed in tal caso gli attacchi tramite virus vanno presi in grande considerazione. I virus sono principalmente caratterizzati da: logica del payload, cioè dal modo in cui arrecano danno al sistema; il payload è la parte del codice virale che arreca direttamente il danno; la logica del payload può essere piuttosto complessa, e variare il comportamento del virus in funzione di variabili come data ed ora, presenza di determinati file nel file-system infettato, nome, tipo o dimensione dei file da alterare; gli effetti del payload sono spesso resi volutamente pseudo-casuali al fine di camuffare i danni causati come problemi nell hardware o nel software di base del calcolatore colpito; modalità di infezione, cioè dal modo in cui si inseriscono e si duplicano nel sistema; rispetto alla modalità di infezione, abbiamo ad esempio virus parassiti, di Boot- Sector, gemelli, multi-partiti, etc.; una casistica estesa e ragionata dei meccanismi di 7

8 infezione esula dagli scopi di questa sezione, e rimandiamo per essa a testi specializzati; modalità di mimetizzazione, cioè dal modo in cui si sottraggono alla identificazione da parte dei programmi anti-virus; rispetto alla modalità di mimetizzazione, abbiamo ad esempio virus stealth, polimorfici, armoured, tunneling, etc Attacchi di disturbo tramite worm I worm sono virus particolari che si limitano a degradare le prestazioni del sistema, ad esempio lanciando molte immagini di uno stesso processo. Quando il rallentamento del sistema supera una certa soglia, alcuni servizi possono risultare di fatto inutilizzabili, ed in questo caso si ha una violazione dei requisiti di disponibilità. L attacco con worm è particolarmente subdolo su sistemi batch, nei quali è più probabile che il degrado delle prestazioni sia rilevato con un ritardo inaccettabile Attacchi di disturbo denial of service Si tratta di una famiglia di tecniche tese a fare in modo che il sistema neghi l accesso a servizi ed informazioni anche ad utenti regolarmente autorizzati. Gli attacchi che usano queste tecniche minacciano quindi i requisiti di disponibilità del sistema. Due tipiche tecniche denial of service consistono ad esempio nel paralizzare il traffico sulla rete generando falsi messaggi di errore o intasandola con traffico di disturbo generato appositamente. ICMP (Internet Control Message Protocol) è un protocollo utilizzato fra calcolatori di reti TCP/IP per scambiarsi messaggi di errore. È possibile comporre pacchetti IP contenenti falsi messaggi ICMP ed inviarli ad un calcolatore, al fine di indurre questo a credere che un altro calcolatore o una intera sottorete sia fuori servizio. Le nuove versioni di UNIX, comunque, non permettono più l utilizzo di questa tecnica, in quanto dispongono di meccanismi più potenti per verificare la provenienza dei messaggi. La tecnica detta network flooding consiste nel saturare una sottorete immettendovi pacchetti pirata generati automaticamente. Sfruttando la tecnica di IP-spoofing, è possibile fare il modo che il traffico pirata sia considerato dal gateway di accesso alla sottorete come traffico interno al sistema, e quindi immesso nella sottorete senza restrizioni. Quando la sottorete si congestiona, tutti i servizi che ne fanno uso risultano evidentemente non più disponibili Eventi accidentali Parallelamente a quanto fatto per gli attacchi deliberati, caratterizziamo un evento accidentale in funzione della componente che lo subisce e del fattore ambientale che lo scatena. Un approccio sistematico individua, per ciascuna componente fisica o logica del sistema, tutti i fattori potenzialmente pericolosi per quella componente. Il risultato di questo approccio può essere convenientemente riassunto in una matrice avente le componenti su un asse ed i fattori ambientali sull altro. Una cella di tale 8

9 matrice permette infatti di descrivere se e come un certo fattore può accidentalmente provocare danno ad una certa componente. Stando alle statistiche, il fattore umano (per esempio cancellazione accidentale di file, installazione di componenti incompatibili o infettate che corrompono il software di base) resta la principale causa di perdita accidentale di dati. Per quanto riguarda gli eventi accidentali di altra origine, accanto ai guasti più frequenti (dischi, alimentatori, memoria, etc.) occorre valutare anche i guasti a dispositivi di supporto come condizionatori d aria o trasformatori di potenza, ed eventi disastrosi come l incendio o l allagamento della sala CED. 5. Contromisure Per contromisure intendiamo tutto ciò che concorre, attivamente o passivamente, a minimizzare la probabilità che gli eventi indesiderati accadano, rilevare il fatto che sono accaduti, individuarne e minimizzarne le conseguenze, ripristinare il corretto funzionamento del sistema. L evoluzione storica delle contromisure è legata a quella delle tecnologie, alla crescente interconnessione fra i sistemi e, soprattutto, al crescente grado di sofisticazione degli attacchi deliberati. Un elencazione estesa delle contromisure adottate nei sistemi informativi moderni va oltre gli scopi di questa trattazione, ma una classificazione delle principali tipologie di contromisura, è comu nque utile per affrontare la tematica in modo organico. Una prima possibilità è quella di classificare le contromisure in funzione degli eventi indesiderati che vanno a contrastare. Affiancare a ciascun evento indesiderato le contromisure applicabili è in effetti lo schema adottato da molti testi destinati agli amministratori di sistema. Accanto a questo criterio di classificazione molto diffuso, è possibile adottarne altri basati su caratteristiche generali proprie delle contromisure, piuttosto che sulla loro specifica applicabilità. Possiamo in particolare distinguere fra contromisure: preventive o correttive : per contromisure preventive intendiamo quelle finalizzate a minimizzare la probabilità che un evento indesiderato accada, mentre per contromisure correttive indichiamo quelle le tese a riparare i danni causati dagli eventi indesiderati che, a dispetto delle contromisure preventive, sono ugualmente accaduti; informatiche o organizzative : le prime sono basate sulla tecnologia informatica e le seconde riconducibili alla organizzazione che utilizza il sistema informatico ed alle norme e regole di comportamento stabilite per il personale; a livello fisico o logico: le contromisure operanti a livello fisico proteggono dispositivi (calcolatori, cavi ed apparecchiature di rete, locali, impianti di alimentazione e condizionamento, etc.) da attacchi di tipo fisico quali furto o danneggiamento; quelle operanti a livello logico, come ad esempio i software anti- 9

10 virus, proteggono risorse logiche (basi di dati, registri di configurazione, moduli software, etc.) da attacchi di tipo logico. In questa sede, dopo alcuni cenni agli standard esistenti, presentiamo un insieme esemplificativo di contromisure distinguendo in prima analisi quelle a carattere organizzativo da quelle propriamente informatiche Standard e modelli di riferimento Una ricognizione sugli standard internazionali, in tema di sicurezza, permette di allineare il più possibile il seguito del lavoro a quanto previsto da tali standard, anche ai fini di una eventuale certificazione del sistema. Fra gli standard esistenti, possiamo citare quelli definiti nel cosiddetto Orange Book, le norme ITSEC, lo standard ISO per i servizi di sicurezza, il modello Trusted Network Computing Environment Model Contromisure di carattere organizzativo Una condizione essenziale affinché la tecnologia a protezione di un sistema informatico risulti realmente efficace, è che venga utilizzata nel modo corretto da personale pienamente consapevole della sua importanza. Occorre innanzitutto una forte dichiarazione di intenti da parte dei vertici della organizzazione che gestisce il sistema. Devono quindi essere definiti con precisione ruoli e responsabilità nella gestione sicura del sistema, e per ciascun ruolo, dall amministratore al semplice utente, devono essere definite norme comportamentali e procedure precise da rispettare. Affinché tutti gli aspetti procedurali vengano compresi e attuati correttamente, è fondamentale istruire il personale, a tutti i livelli, con opportuni corsi di addestramento. L introduzione delle procedure di sicurezza dovrebbe inoltre essere giustificata e resa accettabile con una vasta opera di sensibilizzazione, da condursi ad esempio con dimostrazioni che ne evidenzino il significato e la necessità. I ruoli operativi che vengono generalmente definiti, nell ambito della gestione sicura di un sistema informatico, appartengono a due tipologie, a seconda che controllino gli aspetti fisici o logici del sistema. Per quanto riguarda il controllo degli aspetti fisici, vanno definiti ruoli (a vari livelli di responsabilità) di garante della integrità fisica delle componenti del sistema (o parti di esso). A fronte di questa responsabilità, devono essere stabilite, ad esempio, procedure per il controllo e la registrazione dell accesso di chiunque debba entrare nei locali che ospitano il sistema informatico (dagli stessi utenti, al personale della pulizia, a quello della manutenzione hardware); altre procedure devono essere definite, ad esempio, per la custodia e la assegnazione delle chiavi. Per quanto riguarda il controllo degli aspetti logici, vanno innanzitutto definiti i ruoli di amministratore e di auditor del sistema informatico. I compiti di un amministratore sono 10

11 in generale quelli di creazione e cancellazione degli utenti, corretta configurazione del sistema operativo ai fini della sicurezza, installazione e configurazione delle applicazioni di rete, controllo delle attività periodiche di backup. A fronte di queste responsabilità, l amministratore può utilizzare servizi speciali del sistema operativo e dello stesso sistema informatico. I compiti dell auditor sono quelli di verificare che il sistema informatico sia realmente sicuro. Gli strumenti a disposizione dell auditor comprendono l analisi delle registrazioni (log) delle attività svolte degli utenti (incluso lo stesso amministratore), interviste ai responsabili e tentativi reali di intrusione. I ruoli di più elevata responsabilità sul fronte della sicurezza, in generale non omologabili in nessuna delle suddette tipologie, sono tipicamente contigui, e spesso coincidono, con i più alti vertici della organizzazione nel suo complesso Contromisure di carattere informatico Relativamente alle contromisure basate sulla tecnologia informatica, un interessante criterio di classificazione è quello basato sul livello architetturale al quale la contromisura agisce. Conviene in tal senso distinguere in prima battuta fra contromisure a livello di applicazione, quindi specifiche del particolare sistema informatico considerato, e contromisure di base a carattere più generale Contromisure informatiche a livello di applicazione Le contromisure operanti a livello di applicazione sono particolari funzioni inserite nelle applicazioni ai fini della sicurezza, e possono essere utilizzate da esse solo quando effettivamente necessario. Le contromisure a livello di applicazione sono spesso caratterizzate da una efficacia elevata ma relativa ad un insieme tipicamente ristretto di eventi indesiderati che è quello specificamente previsto per l applicazione che vanno a proteggere Contromisure informatiche di base (DBMS, sistema operativo, rete) Le contromisure che operano a livello di DBMS, sistema operativo o rete hanno carattere più generale, rispetto a quelle di livello applicativo, e indipendente dalla particolare applicazione eseguita. Di conseguenza, sono spesso meno sofisticate di quelle a livello applicazione, ma dotate in compenso di un più ampio grado di copertura rispetto alla gamma degli eventi indesiderati che vanno a contrastare. I produttori di Sistemi Operativi rilasciano spesso delle guide alla configurazione sicura del loro prodotto. Questi documenti sono spesso un buon punto di partenza per la definizione di una politica di sicurezza. Con il Trusted Network Computing Environment Model, ad esempio, Novell definisce un insieme decisamente ampio ed organico di misure adottabili su reti Netware. Nella tabella seguente presentiamo, a titolo esemplificativo, alcune esempi di contromisure di base. È interessante notare come alcune delle contromisure abbiano anche un carattere organizzativo ed operino talvolta anche a livello fisico. 11

12 Protezione dalle false autenticazioni Imporre che a ciascun login name sia associato una persona fisica. Disabilitare o eliminare i login name non più utilizzati per qualunque motivo. Mantenere una lista degli utenti cancellati. Imporre che a ciascun login name sia associata una password. Imporre agli utenti di cambiare periodicamente (eventualmente ad ogni sessione) la password, impedendo il riuso di password utilizzate in precedenza. Utilizzare tecniche avanzate di autenticazione (smart-card, riconoscimento della retina, etc.). Verificare che tutti i serventi della rete siano fra loro reciprocamente autenticati. Protezione dagli accessi illegali Limitare il numero delle connessioni simultanee di ciascun utente Rilevare i login falliti e disabilitare i login name al terzo tentativo. Limitare gli intervalli temporali in cui è possibile utilizzare la rete. Limitare gli indirizzi MAC di rete delle stazioni di lavoro da cui consentire l accesso agli utenti. Disabilitare e rimuovere fisicamente lettori di dischetto e di CD-ROM dalle stazioni di lavoro e dai server. Educare gli utenti a chiudere la sessione ogni volta che abbandonano la propria stazione di lavoro. Verificare periodicamente i diritti di accesso di ogni utente. Limitare l accesso fisico alle postazioni di lavoro ai soli utenti autorizzati. Utilizzare esclusivamente prodotti certificati. Installare le applicazioni di rete in modo conforme alle specifiche della casa produttrice. Protezione degli attacchi via rete ed alla rete stessa Configurare il sistema in modo che tutti i nodi firmino ogni pacchetto trasmesso (8% di sovraccarico). Definire esplicitamente un utente cui assegnare i diritti di amministratore di rete (eliminando un eventuale utente di default). Utilizzare Hub dotati di meccanismi anti-intercettazione. Installare Hub e router in locali protetti, e far passare i cavi della rete in canaline murate. Bloccare il traffico non autorizzato su una rete locale (firewall, packet-inspecting routers, etc.); Cifrare il traffico riservato a livello applicativo oppure a livello di router; Protezione dagli attacchi ai server Isolare i server in un locale sicuro e proteggerne l'eventuale impianto di condizionamento. Definire una politica precisa per la gestione e la distribuzione delle chiavi di accesso ai locali protetti. Registrare gli accessi ai locali dove si trovano server e dispositivi di rete. Bloccare la console dei server con una password diversa da quella dell amministratore di rete. 12

13 Imporre una password per ciascun server di stampa. Limitare il caricamento dei serventi applicativi in directory predefinite. Disabilitare tutti i servizi di console remota. Duplicare le unita di alimentazione e di raffreddamento Rendere a sola lettura tutte le directory in cui sono installate applicazioni. Protezione dai virus Verificare periodicamente le dimensioni di tutti i file eseguibili. Installare solo software originale prelevato da confezioni sigillate. Acquisire, installare ed aggiornare periodicamente un sistema anti-virus per le stazioni di lavoro in rete. Protezione dalle perdite di dati Definire una politica di backup periodico. Abilitare la funzione di controllo automatico del backup. Effettuare prove a campione di lettura dei dati su backup. Isolare nastri e dischi di backup in un luogo sicuro, separato da quello che ospita i server. Utilizzare array ridondanti di dischi (per esempio in configurazione RAID) Sovrapposizione fra contromisure informatiche È interessante notare come certi meccanismi di sicurezza già presenti a livello di Sistema Operativo (autenticazione degli utenti, diritti su file) siano talvolta replicati e migliorati (specie dal punto di vista della flessibilità) a livello applicativo (ad esempio con funzioni per la verifica di chiavi hardware). D altra parte, è anche possibile che alcune funzionalità di sicurezza offerte dai DBMS, ad esempio (crittografia, controllo degli accessi) siano invece disabilitate in quanto coperte più efficacemente a livello applicativo. Meccanismi di sicurezza tipicamente offerti dal Sistema Operativo Meccanismi di sicurezza implementati a livello applicativo In contesti particolarmente critici ed articolati Meccanismi di sicurezza tipicamente offerti dal DBMS 13

14 6. Tecnologie di crittografia e di hashing La tecnologia alla base dei meccanismi di sicurezza è quella degli algoritmi di crittografia e di hashing sicuro (anche detti di message digest ). Combinando opportunamente questi algoritmi è possibile realizzare servizi di più alto livello, come quelli di autenticazione e di riservatezza Algoritmi di crittografia Sono algoritmi matematici in grado di trasformare (cifrare) reversibilmente un insieme di dati, ad esempio un documento, in modo da renderlo non intelligibile. Affinché algoritmi siano di qualche utilità pratica occorre che soddisfino le seguenti condizioni fondamentali: la cifratura e la decifratura deve avvenire in funzione di una variabile detta chiave e costituita da una sequenza di bit di lunghezza variabile in funzione dell'algoritmo e del livello di sicurezza che si desidera ottenere; le operazioni di cifratura e decifratura sono relativamente semplici nel caso in cui si conosca la chiave; in caso contrario risultano laboriose al punto da risultare praticamente inattuabili; risulta egualmente laborioso dedurre la chiave con cui è stato cifrato un documento confrontandolo con la sua versione in chiaro (cioè non cifrata). La lunghezza delle chiavi, quando non fissata dal particolare algoritmo di crittografia, può tipicamente assumere un insieme di valori che varia in funzione dell'algoritmo stesso e degli standard applicabili. La lunghezza effettivamente scelta per le chiavi da utilizzare nell'ambito di una specifica applicazione è sempre il risultato di un compromesso fra esigenze di sicurezza e potenza dei calcolatori a disposizione. Al crescere della dimensione della chiave, infatti, aumenta infatti la sicurezza (intesa come difficoltà di decifrare le informazioni crittografate) ma anche la potenza di elaborazione (numero di istruzioni al secondo) necessaria per contenere i tempi delle operazioni di cifratura entro limiti accettabili. Gli algoritmi di crittografia possono essere classificati come simmetrici, anche detti a chiave privata, ed asimmetrici, anche detti a doppia chiave o a chiave pubblica Algoritmi simmetrici Gli algoritmi simmetrici utilizzano la stessa (ed unica) chiave privata, per cifrare e decifrare. Conviene evidenziare da subito che gli algoritmi simmetrici non si prestano bene a garantire la riservatezza nella comunicazione continuativa fra N soggetti indipendenti, in quanto: occorre una chiave privata per ogni coppia di soggetti; ogni soggetto è costretto a possedere N-1 chiavi, a mantenerle segrete ed a ricordare la chiave da utilizzare per comunicare con ciascuno degli altri soggetti; nel caso in cui la chiave sia generata autonomamente dal soggetto che avvia la comunicazione, è necessario che venga trasmessa al destinatario affinché questo 14

15 possa decifrare i messaggi che riceve, e durante il trasferimento la chiave potrebbe essere intercettata. D altra parte, gli algoritmi simmetrici sono relativamente poco costosi, dal punto di vista della potenza di elaborazione che richiedono, e per questo motivo vengono tipicamente usati in congiunzione con algoritmi asimmetrici. Uno degli algoritmi simmetrici utilizzati al momento è il DES (Data Encription Standard) con chiavi di 56 o 112 bit Algoritmi asimmetrici Gli algoritmi asimmetrici sono di concezione recente (1976) ed utilizzano due chiavi distinte per cifrare e decifrare, con alcune proprietà fondamentali: un documento cifrato con una chiave può essere decifrato con l altra e viceversa; le chiavi vengono generate in coppia da uno speciale algoritmo ed è di fatto impossibile ottenere una chiave a partire dall altra; una qualsiasi delle due chiavi viene detta pubblica, è può essere distribuita; l altra, detta privata, deve essere mantenuta segreta. Nella comunicazione fra N soggetti, gli algoritmi asimmetrici risultano decisamente più utili dei simmetrici in quanto: occorre una sola coppia di chiavi per ciascun soggetto. ogni soggetto genera autonomamente una propria coppia di chiavi, ed è tenuto a mantenere segreta una sola di esse, quella privata, mentre può, anzi deve, pubblicare l altra; le chiavi private non devono essere scambiate, dunque non sussiste pericolo di intercettazioni. B A Se il soggetto A vuole inviare un messaggio riservato al soggetto B, ad esempio, cifra il messaggio con la chiave pubblica di B che, in quanto pubblica, è nota a tutti. In questo modo il messaggio sarà decifrabile soltanto con la chiave privata di B che, in quanto privata, solo B conosce. L algoritmo RSA, proposto da Rivest, Shamir e Adleman nel 1978, è attualmente considerato come standard per la crittografia a chiave pubblica. Esistono varie implementazioni di RSA, che utilizzano coppie di chiavi di 512 o di 1024 bit Utilizzo congiunto di algoritmi simmetrici ed asimmetrici A causa della loro complessità, le implementazioni degli algoritmi asimmetrici sono generalmente troppo lente per cifrare direttamente i documenti. Per questo motivo essi si utilizzano spesso in congiunzione con algoritmi simmetrici e di hashing sicuro. Per inviare un documento di grandi dimensioni in modo riservato, ad esempio, si genera una password casuale, si cifra il documento con DES (algoritmo simmetrico di veloce 15

16 esecuzione) la password casuale, poi si cifra la password stessa (molto più breve del documento) con RSA (algoritmo asimmetrico, più lento), ed infine si invia il tutto (documento cifrato in modo simmetrico e password cifrata in modo asimmetrico) al destinatario Algoritmi di hashing sicuro Questi algoritmi permettono di creare, a partire da un documento D, una sequenza di bit, detta digest, strettamente correlata a D e di lunghezza fissa (cioè indipendente dalla dimensione di D). Un algoritmo di questo tipo generalmente utilizzato dai servizi sicurezza è lo SHA (Secure Hash Algorithm), sviluppato a partire da un lavoro di ricerca di Rivest. Esistono versioni implementate di SHA che generano digest di 160 bit ad una velocità piuttosto soddisfacente nella maggioranza delle applicazioni. L utilizzo più immediato di SHA è nelle verifiche di integrità: confrontando digest ottenuti da uno stesso documento a distanza di tempo, è possibile verificare facilmente se il documento ha subito alterazioni. SHA è inoltre spesso utilizzato insieme ad RSA per generare e validare firme digitali. Per generare una firma: si estrae un digest SHA dal documento da firmare; si cifra RSA il digest con la chiave privata del firmatario. Chiunque può verificare la validità della firma: decifrando la firma con la chiave pubblica del firmatario; generando a parte un digest SHA del documento firmato; confrontando il digest ottenuto dalla firma con quello ottenuto dal documento Servizi base di sicurezza Vari servizi di sicurezza sono stati definiti in modo formale dallo standard ISO In questa sezione analizziamo, per alcuni di questi servizi, un esempio di come sia possibile realizzarli utilizzando in modo combinato gli algoritmi RSA, DES ed SHA. Si assume nel seguito che i servizi descritti operino nell'ambito di un sistema in cui a ciascuna delle parti sia stata assegnata una coppia di chiavi RSA, essendo quella privata mantenuta segreta dal rispettivo possessore, e quella pubblica consultabile in un registro mantenuto da una terza parte da tutti riconosciuta come fidata Introduzione di riservatezza Obiettivo di questo servizio è quello di rendere un documento, o più genericamente una informazione, leggibile solo da parte di un destinatario prefissato, cioè senza possibilità che terze parti possano interpretarlo. Sebbene questo servizio possa essere realizzato, sul piano teorico, con l'utilizzo del solo RSA, la lentezza di tale algoritmo (come di tutti quelli asimmetrici) rende necessario l'utilizzo congiunto di un algoritmo simmetrico quale il DES. 16

17 I passi di cui si compone il servizio di introduzione della riservatezza sono elencati di seguito e sintetizzati nella figura successiva. 1. Viene generata una chiave DES in modo pseudo-casuale. 2. L'informazione che si vuole rendere riservata viene cifrata con DES utilizzando la chiave pseudo-casuale. 3. La chiave pseudo-casuale, che se intercettata permetterebbe di decifrare l'informazione originale, viene a sua volta cifrata con RSA utilizzando la chiave pubblica del destinatario, cioè dell'interlocutore al quale si desidera comunicare l'informazione in modo riservato. Informazione in chiaro Chiave RSA pubblica del destinatario Chiave DES casuale RSA DES Informazione cifrata Chiave DES casuale cifrata Conviene sottolineare come RSA, troppo lento per cifrare la intera informazione originale (tipicamente costituita da un documento di molte pagine), può invece essere applicato alla chiave DES con prestazioni soddisfacenti in quanto questa è di appena 112 bit. Una volta cifrata con la chiave RSA pubblica del destinatario, la chiave DES che permetterebbe la decodifica della informazione riservata sarà decifrabile solo dal destinatario stesso, in quanto egli è l'unico a possedere la corrispondente chiave RSA privata. 17

18 Rimozione di riservatezza Obiettivo di questo servizio è quello di permettere al destinatario di una informazione a lui riservata di riportare in chiaro, cioè in forma leggibile, l'informazione stessa. I passi di cui si comp one il servizio di rimozione della riservatezza sono elencati di seguito e sintetizzati nella figura successiva. 1. Viene ricevuta la informazione cifrata e, in allegato, la relativa chiave DES (cioè la chiave con cui l'informazione stessa è stata cifrata). La chiave DES è a sua volta cifrata RSA con la chiave pubblica del destinatario. 2. Il destinatario decifra la chiave DES applicando su di essa RSA con la propria chiave privata. Essendo tale chiave nota solo al destinatario, nessun altro può decifrare la chiave DES e quindi l'informazione originale. 3. L'informazione cifrata viene riportata in chiaro, cioè in forma intelligibile, applicando su di essa DES con la chiave decifrata. Chiave DES cifrata Chiave RSA privata del RSA Informazione cifrata Chiave DES in chiaro DES Informazione in chiaro 18

19 Apposizione di firma digitale Obiettivo di questo servizio è quello di generare, dato un documento e la chiave privata di un soggetto che chiameremo firmatario, una sequenza di bit detta firma digitale che provi in modo non ripudiabile il possesso del documento "firmato" da parte del soggetto firmatario. I passi di cui si compone il servizio di firma digitale sono elencati di seguito e sintetizzati nella figura successiva. 1. Al documento viene applicato SHA al fine di ottenere un digest, cioè una breve sequenza di bit equivalente ad una "impronta digitale" del documento. La stretta correlazione fra il documento ed il suo digest, assicurata da SHA, garantiscono con sufficiente sicurezza che firma generata dal servizio sia stata effettivamente apposta sul documento originale. 2. Il digest viene cifrato RSA con la chiave privata del firmatario. Il fatto che il risultato della cifratura, cioè la firma, sia decifrabile solo con la chiave pubblica del firmatario garantisce circa la identità del firmatario stesso. Documento SHA Digest Chiave RSA privata di chi firma RSA Firma 19

20 Verifica di firma digitale Obiettivo di questo servizio è quello di verificare l autenticità di una firma digitale, rispetto al documento firmato ed al soggetto firmatario. In particolare, dato un documento, un soggetto (o meglio la sua chiave pubblica) ed una firma, il servizio verifica che quel soggetto (e non altri) abbia effettivamente apposto la firma sul quel documento (e non su altri o sullo stesso modificato in qualche sua parte). I passi di cui si compone il servizio di verifica di una firma digitale sono elencati di seguito e sintetizzati nella figura successiva. 1. La firma viene decifrata con RSA utilizzando la chiave pubblica del soggetto firmatario. In questo modo, se la firma è autentica, si ottiene il digest del documento al momento della firma. 2. Il documento nella versione corrente viene sottoposto ad SHA e ne viene generato il digest che, se il documento non ha subito modifiche e se la firma è autentica, dovrebbe coincidere con quello ottenuto al passo precedente decifrando la firma con RSA. 3. Il digest ottenuto applicando SHA sul documento viene confrontato con il digest ottenuto applicando RSA sulla firma. Se i digest coincidono la firma è valida, altrimenti la firma è apocrifa (cioè apposta da un soggetto diverso da quello considerato) e/o il documento è stato modificato dopo la firma. Firma Documento nella versione Chiave RSA pubblica del supposto firmatario RSA SHA Digest del documento al momento della Digest del documento nella versione Comparazione =!= Firma valida Firma apocrifa o autentica ma apposta su un documento diverso da quello corrente Per distinguere il caso di firma apocrifa da quello di firma apposta su diverso documento, è possibile, nell'ambito del servizio di generazione della firma, accodare al digest del documento una stringa fissa che viene quindi cifrata RSA insieme al digest. Il 20

Esigenza della sicurezza. La sicurezza nei sistemi informatici. Requisiti per la sicurezza. Sicurezza. Politiche di siscurezza

Esigenza della sicurezza. La sicurezza nei sistemi informatici. Requisiti per la sicurezza. Sicurezza. Politiche di siscurezza Esigenza della sicurezza La sicurezza nei sistemi informatici Nasce dalla evoluzione dei Sistemi Informatici e del contesto nel quale operano Maggiore importanza nei processi aziendali Dalla produzione

Dettagli

La Sicurezza delle Reti. La Sicurezza delle Reti. Il software delle reti. Sistemi e tecnologie per la multimedialità e telematica.

La Sicurezza delle Reti. La Sicurezza delle Reti. Il software delle reti. Sistemi e tecnologie per la multimedialità e telematica. Sistemi e tecnologie per la multimedialità e telematica Fabio Burroni Dipartimento di Ingegneria dell Informazione Università degli Studi di Siena burronif@unisi unisi.itit La Sicurezza delle Reti La presentazione

Dettagli

La Firma Digitale La sperimentazione nel Comune di Cuneo. Pier Angelo Mariani Settore Elaborazione Dati Comune di Cuneo

La Firma Digitale La sperimentazione nel Comune di Cuneo. Pier Angelo Mariani Settore Elaborazione Dati Comune di Cuneo La Firma Digitale La sperimentazione nel Comune di Cuneo Pier Angelo Mariani Settore Elaborazione Dati Comune di Cuneo Perchè questa presentazione Il Comune di Cuneo, aderente alla RUPAR, ha ricevuto due

Dettagli

Sicurezza dei sistemi informatici Firma elettronica E-commerce

Sicurezza dei sistemi informatici Firma elettronica E-commerce Sicurezza dei sistemi informatici Firma elettronica E-commerce Il contesto applicativo Commercio elettronico Quanti bit ho guadagnato!! collegamenti e transazioni sicure Il contesto applicativo Commercio

Dettagli

Sicurezza dei sistemi informatici Firma elettronica E-commerce

Sicurezza dei sistemi informatici Firma elettronica E-commerce Sicurezza dei sistemi informatici Firma elettronica E-commerce Il contesto applicativo Commercio elettronico Quanti bit ho guadagnato!! Marco Mezzalama Politecnico di Torino collegamenti e transazioni

Dettagli

Obiettivo: realizzazione di reti sicure TIPI DI ATTACCO. Politica di sicurezza: a) scelte tecnologiche b) strategie organizzative

Obiettivo: realizzazione di reti sicure TIPI DI ATTACCO. Politica di sicurezza: a) scelte tecnologiche b) strategie organizzative Obiettivo: realizzazione di reti sicure Politica di sicurezza: a) scelte tecnologiche b) strategie organizzative Per quanto riguarda le scelte tecnologiche vi sono due categorie di tecniche: a) modifica

Dettagli

Sicurezza nelle reti

Sicurezza nelle reti Sicurezza nelle reti A.A. 2005/2006 Walter Cerroni Sicurezza delle informazioni: definizione Garantire la sicurezza di un sistema informativo significa impedire a potenziali soggetti attaccanti l accesso

Dettagli

CORSO EDA Informatica di base. Sicurezza, protezione, aspetti legali

CORSO EDA Informatica di base. Sicurezza, protezione, aspetti legali CORSO EDA Informatica di base Sicurezza, protezione, aspetti legali Rischi informatici Le principali fonti di rischio di perdita/danneggiamento dati informatici sono: - rischi legati all ambiente: rappresentano

Dettagli

SICUREZZA. Sistemi Operativi. Sicurezza

SICUREZZA. Sistemi Operativi. Sicurezza SICUREZZA 14.1 Sicurezza Il Problema della Sicurezza Convalida Pericoli per i Programmi Pericoli per il Sistema Difendere i Sistemi Scoperta di Intrusioni Cifratura Esempio: Windows NT 14.2 Il Problema

Dettagli

Sistemi Operativi SICUREZZA. Sistemi Operativi. D. Talia - UNICAL 14.1

Sistemi Operativi SICUREZZA. Sistemi Operativi. D. Talia - UNICAL 14.1 SICUREZZA 14.1 Sicurezza Il Problema della Sicurezza Convalida Pericoli per i Programmi Pericoli per il Sistema Difendere i Sistemi Scoperta di Intrusioni Cifratura Esempio: Windows NT 14.2 Il Problema

Dettagli

RETI DI CALCOLATORI. Crittografia. La crittografia

RETI DI CALCOLATORI. Crittografia. La crittografia RETI DI CALCOLATORI Crittografia La crittografia La crittografia è la scienza che studia la scrittura e la lettura di messaggi in codice ed è il fondamento su cui si basano i meccanismi di autenticazione,

Dettagli

Sicurezza: credenziali, protocolli sicuri, virus, backup

Sicurezza: credenziali, protocolli sicuri, virus, backup Sicurezza: credenziali, protocolli sicuri, virus, backup La sicurezza informatica Il tema della sicurezza informatica riguarda tutte le componenti del sistema informatico: l hardware, il software, i dati,

Dettagli

IT Security 3 LA SICUREZZA IN RETE

IT Security 3 LA SICUREZZA IN RETE 1 IT Security 3 LA SICUREZZA IN RETE Una RETE INFORMATICA è costituita da un insieme di computer collegati tra di loro e in grado di condividere sia le risorse hardware (stampanti, Hard Disk,..), che le

Dettagli

Firma digitale INTRODUZIONE

Firma digitale INTRODUZIONE Firma digitale INTRODUZIONE La firma digitale costituisce uno dei dieci obiettivi del Piano per l e-government. Per quanto riguarda la PA, l obiettivo, abilitante allo sviluppo dei servizi on line, si

Dettagli

Corso di ARCHITETTURA DEI SISTEMI INFORMATIVI - Prof. Crescenzio Gallo. 114 Sistemi informativi in rete e sicurezza 4.6

Corso di ARCHITETTURA DEI SISTEMI INFORMATIVI - Prof. Crescenzio Gallo. 114 Sistemi informativi in rete e sicurezza 4.6 Approcci al problema della sicurezza 114 Sistemi informativi in rete e sicurezza 4.6 Accessi non autorizzati Hacker: coloro che si avvalgono delle proprie conoscenze informatiche e di tecnologia delle

Dettagli

Modulo 1. Concetti di base della Tecnologia dell Informazione ( Parte 1.7) Rielaborazione dal WEB: prof. Claudio Pellegrini - Sondrio

Modulo 1. Concetti di base della Tecnologia dell Informazione ( Parte 1.7) Rielaborazione dal WEB: prof. Claudio Pellegrini - Sondrio Modulo 1 Concetti di base della Tecnologia dell Informazione ( Parte 1.7) Rielaborazione dal WEB: prof. Claudio Pellegrini - Sondrio La sicurezza dei sistemi informatici Tutti i dispositivi di un p.c.

Dettagli

Sicurezza. IZ3MEZ Francesco Canova www.iz3mez.it francesco@iz3mez.it

Sicurezza. IZ3MEZ Francesco Canova www.iz3mez.it francesco@iz3mez.it Sicurezza IZ3MEZ Francesco Canova www.iz3mez.it francesco@iz3mez.it La sicurezza La Sicurezza informatica si occupa della salvaguardia dei sistemi informatici da potenziali rischi e/o violazioni dei dati

Dettagli

Sicurezza dei sistemi e delle reti Introduzione

Sicurezza dei sistemi e delle reti Introduzione Sicurezza dei sistemi e delle reti Introduzione Damiano Carra Università degli Studi di Verona Dipartimento di Informatica Riferimenti! Cap. 8 di Reti di calcolatori e Internet. Un approccio topdown, J.

Dettagli

Implicazioni sociali dell informatica

Implicazioni sociali dell informatica Fluency Implicazioni sociali dell informatica Capitolo 10 Privacy I nostri corpi I nostri luoghi Le informazioni Le comunicazioni personali La privacy Con i moderni dispositivi è possibile violare la privacy

Dettagli

La sicurezza nelle comunicazioni fra PC. Prof. Mauro Giacomini A.A. 2008-2009

La sicurezza nelle comunicazioni fra PC. Prof. Mauro Giacomini A.A. 2008-2009 La sicurezza nelle comunicazioni fra PC Prof. Mauro Giacomini A.A. 2008-2009 Sommario Cosa significa sicurezza? Crittografia Integrità dei messaggi e firma digitale Autenticazione Distribuzione delle chiavi

Dettagli

PRINCIPI DI COMPUTER SECURITY. Andrea Paoloni

PRINCIPI DI COMPUTER SECURITY. Andrea Paoloni PRINCIPI DI COMPUTER SECURITY Andrea Paoloni 2 Cade il segreto dei codici cifrati Corriere della Sera 26 febbraio 2008 3 Gli hacker sono utili? 4 Safety vs Security SAFETY (salvezza): protezione, sicurezza

Dettagli

Sicurezza nell'utilizzo di Internet

Sicurezza nell'utilizzo di Internet Sicurezza nell'utilizzo di Internet 1 Sicurezza Definizioni Pirati informatici (hacker, cracker): persone che entrano in un sistema informatico senza l autorizzazione per farlo Sicurezza: protezione applicata

Dettagli

Perché abbiamo problemi di sicurezza? Sicurezza nel computer dell utente. Sicurezza. Sicurezza. Nota di Copyright

Perché abbiamo problemi di sicurezza? Sicurezza nel computer dell utente. Sicurezza. Sicurezza. Nota di Copyright SICUREZZA INFORMATICA RETI DI CALCOLATORI II Introduzione Prof. PIER LUCA MONTESSORO Facoltà di Ingegneria Università degli Studi di Udine Nota di Copyright Questo insieme di trasparenze (detto nel seguito

Dettagli

Crittografia. Crittografia Definizione. Sicurezza e qualità dei servizi su internet. 2009 Università degli Studi di Pavia, C.

Crittografia. Crittografia Definizione. Sicurezza e qualità dei servizi su internet. 2009 Università degli Studi di Pavia, C. Definizione La crittografia è la scienza che utilizza algoritmi matematici per cifrare e decifrare i dati. La criptoanalisi è la scienza che analizza e decifra i dati crittografati senza conoscerne a priori

Dettagli

Introduzione alla. Sicurezza: difesa dai malintenzionati. Proprietà Attacchi Contromisure. Prof. Filippo Lanubile. Prof.

Introduzione alla. Sicurezza: difesa dai malintenzionati. Proprietà Attacchi Contromisure. Prof. Filippo Lanubile. Prof. Introduzione alla sicurezza di rete Proprietà Attacchi Contromisure Sicurezza: difesa dai malintenzionati Scenario tipico della sicurezza di rete: man in the middle Proprietà fondamentali della sicurezza

Dettagli

La firma digitale CHE COSA E'?

La firma digitale CHE COSA E'? La firma digitale La Firma Digitale è il risultato di una procedura informatica che garantisce l autenticità e l integrità di messaggi e documenti scambiati e archiviati con mezzi informatici, al pari

Dettagli

Classificazione dei servizi in funzione dei requisiti di sicurezza

Classificazione dei servizi in funzione dei requisiti di sicurezza 4-11 marzo 2003 mario.gentili@libero.it 1 Classificazione dei servizi in funzione dei requisiti di sicurezza i sicurezza di un izi 4-11 marzo 2003 mario.gentili@libero.it 2 Requisiti Individuare con precisione

Dettagli

SICUREZZA INFORMATICA RETI DI CALCOLATORI II. Introduzione

SICUREZZA INFORMATICA RETI DI CALCOLATORI II. Introduzione SICUREZZA INFORMATICA RETI DI CALCOLATORI II Introduzione Prof. PIER LUCA MONTESSORO Facoltà di Ingegneria Università degli Studi di Udine 1 Nota di Copyright Questo insieme di trasparenze (detto nel seguito

Dettagli

2 Dipendenza da Internet 6 2.1 Tipi di dipendenza... 6 2.2 Fasi di approccio al Web... 6 2.3 Fine del corso... 7

2 Dipendenza da Internet 6 2.1 Tipi di dipendenza... 6 2.2 Fasi di approccio al Web... 6 2.3 Fine del corso... 7 Sommario Indice 1 Sicurezza informatica 1 1.1 Cause di perdite di dati....................... 1 1.2 Protezione dei dati.......................... 2 1.3 Tipi di sicurezza........................... 3 1.4

Dettagli

Sicurezza nelle Reti e nei Sistemi Distribuiti

Sicurezza nelle Reti e nei Sistemi Distribuiti Sicurezza nelle Reti e nei Sistemi Distribuiti Roberto Baldoni Massimo Mecella Pag. 1 di 31 Sicurezza nelle Reti e nei Sistemi Distribuiti In questo capitolo viene affrontata la problematica della sicurezza

Dettagli

Indice. Prefazione. Presentazione XIII. Autori

Indice. Prefazione. Presentazione XIII. Autori INDICE V Indice Prefazione Presentazione Autori XI XIII XV Capitolo 1 Introduzione alla sicurezza delle informazioni 1 1.1 Concetti base 2 1.2 Gestione del rischio 3 1.2.1 Classificazione di beni, minacce,

Dettagli

Crittografia e Protocolli di Sicurezza

Crittografia e Protocolli di Sicurezza Crittografia e Protocolli di Sicurezza Ing. Emilio Spinicci 07/04/2004 1 Argomenti della lezione Introduzione Principi di Crittografia Protocolli di Sicurezza Attacchi ai Protocolli di Sicurezza 07/04/2004

Dettagli

Aspetti di sicurezza in Internet e Intranet. arcipelago

Aspetti di sicurezza in Internet e Intranet. arcipelago Aspetti di sicurezza in Internet e Intranet La sicurezza in reti TCP/IP Senza adeguate protezioni, la rete Internet è vulnerabile ad attachi mirati a: penetrare all interno di sistemi remoti usare sistemi

Dettagli

SICUREZZA INFORMATICA

SICUREZZA INFORMATICA SICUREZZA INFORMATICA IL CRESCENTE RICORSO ALLE TECNOLOGIE DELL'INFORMAZIONE E DELLA COMUNICAZIONE INTRAPRESO DALLA P.A. PER LO SNELLIMENTO L'OTTIMIZZAZIONE UNA MAGGIORE EFFICIENZA DEI PROCEDIMENTI AMMINISTRATIVI

Dettagli

Introduzione ai certificati S/MIME e alla posta elettronica certificata...2 Procedura di installazione del certificato personale S/MIME rilasciato

Introduzione ai certificati S/MIME e alla posta elettronica certificata...2 Procedura di installazione del certificato personale S/MIME rilasciato Guida all installazione e all utilizzo di un certificato personale S/MIME (GPSE) Introduzione ai certificati S/MIME e alla posta elettronica certificata...2 Procedura di installazione del certificato personale

Dettagli

Networking Wireless con Windows XP

Networking Wireless con Windows XP Networking Wireless con Windows XP Creare una rete wireless AD HOC Clic destro su Risorse del computer e quindi su Proprietà Clic sulla scheda Nome computer e quindi sul pulsante Cambia Digitare il nome

Dettagli

LegalCert Family: soluzioni per la firma digitale. LegalCert FIRMA DIGITALE E SICUREZZA FAMILY

LegalCert Family: soluzioni per la firma digitale. LegalCert FIRMA DIGITALE E SICUREZZA FAMILY LegalCert Family: soluzioni per la firma digitale LegalCert FAMILY FIRMA DIGITALE E SICUREZZA L innovazione al servizio delle informazioni. Autentiche, integre, sicure. E con valore legale. LegalCert Family:

Dettagli

Firma digitale: aspetti tecnologici e normativi. Milano,

Firma digitale: aspetti tecnologici e normativi. Milano, Firma digitale: aspetti tecnologici e normativi Milano, Premessa digitale Il presente documento ha la finalità di supportare le Amministrazioni che intendono dotare il proprio personale di digitale, illustrando

Dettagli

Introduzione alla Sicurezza Informatica

Introduzione alla Sicurezza Informatica Introduzione alla Sicurezza Informatica Prof. Francesco Buccafurri Università Mediterranea di Reggio Calabria Crescita di Internet 0.000 570.937.7 0.000 439.286.364 489.774.269 0.000 0.000 233.101.481

Dettagli

Documento Programmatico sulla Sicurezza Parte generale

Documento Programmatico sulla Sicurezza Parte generale Documento Programmatico sulla Sicurezza Parte generale SEZIONE A TRATTAMENTO DI DATI CON L AUSILIO DI STRUMENTI INFORMATICI Al fine di garantire la riservatezza e l integrità dei dati personali, sensibili

Dettagli

LA FIRMA DIGITALE. Estratto dal sito web del Centro Nazionale per l Informatica nella Pubblica Amministrazione (CNIPA) 1

LA FIRMA DIGITALE. Estratto dal sito web del Centro Nazionale per l Informatica nella Pubblica Amministrazione (CNIPA) 1 LA FIRMA DIGITALE Estratto dal sito web del Centro Nazionale per l Informatica nella Pubblica Amministrazione (CNIPA) 1 COPYRIGHT NOTES: I contenuti del sito codice di script, grafica, testi, tabelle,

Dettagli

01/04/2012 CORSO DI ABILITA INFORMATICHE. Introduzione alla sicurezza ICT. Introduzione alla sicurezza ICT. Basi di sicurezza ICT A.A.

01/04/2012 CORSO DI ABILITA INFORMATICHE. Introduzione alla sicurezza ICT. Introduzione alla sicurezza ICT. Basi di sicurezza ICT A.A. CORSO DI ABILITA INFORMATICHE Basi di sicurezza ICT A.A. 2011-12 1 Introduzione alla sicurezza ICT La sicurezza è una tematica complessa e articolata per introdurre la quale definiremo la metodologia di

Dettagli

La sicurezza nel commercio elettronico

La sicurezza nel commercio elettronico La sicurezza nel commercio elettronico Dr. Stefano Burigat Dipartimento di Matematica e Informatica Università di Udine www.dimi.uniud.it/burigat stefano.burigat@uniud.it Sicurezza digitale Budget per

Dettagli

Regolamento relativo all'accesso e all'uso della Rete Informatica del Comune di AZZANO SAN PAOLO

Regolamento relativo all'accesso e all'uso della Rete Informatica del Comune di AZZANO SAN PAOLO Comune di Azzano San Paolo Provincia di Bergamo Piazza IV novembre Tel. 035/53.22.80 Fax 035/530073 C.F./IVA n. 00681530168 e-mail: servizio.urp@comune.azzano.bg.it SETTORE AMMINISTRAZIONE GENERALE Regolamento

Dettagli

LISTA DI DISTRIBUZIONE: IT Telecom srl, Telecom Italia, Clienti Telecom Italia TI REGISTRO DELLE MODIFICHE REVISIONE DESCRIZIONE EMISSIONE

LISTA DI DISTRIBUZIONE: IT Telecom srl, Telecom Italia, Clienti Telecom Italia TI REGISTRO DELLE MODIFICHE REVISIONE DESCRIZIONE EMISSIONE CERTQUAL.IT.DPMU1257 TITOLO DOCUMENTO: TIPO DOCUMENTO: EMESSO DA: Manuale Utente IT Telecom s.r.l. DATA EMISSIONE: 2/12/21 N. ALLEGATI: STATO: REDATTO: F. Lappa ITT VERIFICATO: M. Donatone ITT APPROVATO:

Dettagli

Documento Programmatico sulla Sicurezza delle Informazioni. Ver. 1.00

Documento Programmatico sulla Sicurezza delle Informazioni. Ver. 1.00 Documento Programmatico sulla Sicurezza delle Informazioni Ver. 1.00 20 Ottobre 1998 InfoCamere S.C.p.A. Documento Programmatico sulla Sicurezza delle Informazioni Indice 1. Introduzione...3 2. Principi

Dettagli

Le reti Sicurezza in rete

Le reti Sicurezza in rete Le reti Sicurezza in rete Tipi di reti Con il termine rete si intende un insieme di componenti, sistemi o entità interconnessi tra loro. Nell ambito dell informatica, una rete è un complesso sistema di

Dettagli

La sicurezza nelle reti di calcolatori

La sicurezza nelle reti di calcolatori La sicurezza nelle reti di calcolatori Contenuti del corso La progettazione delle reti Il routing nelle reti IP Il collegamento agli Internet Service Provider e problematiche di sicurezza Analisi di traffico

Dettagli

M ODULO 7 - SYLLABUS 1.0. IT Security. Corso NUOVA ECDL 2015 prof. A. Costa

M ODULO 7 - SYLLABUS 1.0. IT Security. Corso NUOVA ECDL 2015 prof. A. Costa M ODULO 7 - SYLLABUS 1.0 IT Security Corso NUOVA ECDL 2015 prof. A. Costa Minacce ai dati 1 Concetti di sicurezza Differenze fra dati e informazioni Il termine crimine informatico: intercettazione, interferenza,

Dettagli

La classificazione delle reti

La classificazione delle reti La classificazione delle reti Introduzione Con il termine rete si intende un sistema che permette la condivisione di informazioni e risorse (sia hardware che software) tra diversi calcolatori. Il sistema

Dettagli

Qualità, sicurezza, integrità ed immodificabilità del documento informatico. I temi che tratteremo. Corrado Giustozzi

Qualità, sicurezza, integrità ed immodificabilità del documento informatico. I temi che tratteremo. Corrado Giustozzi Corrado Giustozzi 1 Chi ha inventato il documento informatico? Qualità, sicurezza, integrità ed immodificabilità del documento informatico Corrado Giustozzi PSG, ENISA 1 I temi che tratteremo Il documento

Dettagli

La rete è una componente fondamentale della

La rete è una componente fondamentale della automazioneoggi Attenti alle reti La telematica si basa prevalentemente sulle reti come mezzo di comunicazione per cui è indispensabile adottare strategie di sicurezza per difendere i sistemi di supervisione

Dettagli

Certificati di Attributi

Certificati di Attributi Certificati di Attributi Sicurezza dei dati in rete La rete è un mezzo non sicuro I messaggi in rete possono essere intercettati e/o modificati a cura di: R.Gaeta, F.Zottola Sicurezza dei dati in rete

Dettagli

Mansionario del trattamento dei dati

Mansionario del trattamento dei dati Allegato 9 Mansionario del trattamento dei dati CRITERI GENERALI DI COMPORTAMENTO E NORME PROCEDURALI In questo documento si forniscono alcune regole sulle modalità più convenienti per l attuazione delle

Dettagli

Sicurezza: credenziali, protocolli sicuri, virus, backup

Sicurezza: credenziali, protocolli sicuri, virus, backup Sicurezza: credenziali, protocolli sicuri, virus, backup prof. Monica Palmirani Lezione 13 Sicurezza Sicurezza dell autenticazione dei soggetti attori autenticazione Sicurezza degli applicativi autorizzazione

Dettagli

Corso Specialista Sistemi Ambiente Web. Test finale conoscenze acquisite - 15.12.2003. Windows 2000 Server

Corso Specialista Sistemi Ambiente Web. Test finale conoscenze acquisite - 15.12.2003. Windows 2000 Server Windows 2000 Server 1 A cosa serve il task manager? A A monitorare quali utenti stanno utilizzando una applicazione B A restringere l'accesso a task determinati da parte degli utenti C Ad interrompere

Dettagli

Indice. Indice V INTRODUZIONE... XIII PARTE PRIMA... 1

Indice. Indice V INTRODUZIONE... XIII PARTE PRIMA... 1 Indice V Indice INTRODUZIONE................................................ XIII PARTE PRIMA...................................................... 1 1 Il business delle reti di computer.........................................

Dettagli

Identità e autenticazione

Identità e autenticazione Identità e autenticazione Autenticazione con nome utente e password Nel campo della sicurezza informatica, si definisce autenticazione il processo tramite il quale un computer, un software o un utente,

Dettagli

Gestione degli accessi al sistema(autenticazione) e ai locali. Analisi del traffico di rete (Firewall, IDS/IPS)

Gestione degli accessi al sistema(autenticazione) e ai locali. Analisi del traffico di rete (Firewall, IDS/IPS) Contromisure Contromisure Gestione degli accessi al sistema(autenticazione) e ai locali Antivirus Analisi del traffico di rete (Firewall, IDS/IPS) Analisi utilizzo delle risorse di sistema, accessi (IDS/IPS)

Dettagli

Settore delle carte di pagamento (PCI) Standard di protezione dei dati (DSS) Riepilogo delle modifiche di PCI DSS dalla versione 2.0 alla 3.

Settore delle carte di pagamento (PCI) Standard di protezione dei dati (DSS) Riepilogo delle modifiche di PCI DSS dalla versione 2.0 alla 3. Settore delle carte di pagamento (PCI) Standard di protezione dei dati (DSS) Riepilogo delle modifiche di PCI DSS dalla versione 2.0 alla 3.0 Novembre 2013 Introduzione Il presente documento contiene un

Dettagli

Soluzioni di strong authentication per il controllo degli accessi

Soluzioni di strong authentication per il controllo degli accessi Abax Bank Soluzioni di strong authentication per il controllo degli accessi Allegato Tecnico Milano Hacking Team S.r.l. http://www.hackingteam.it Via della Moscova, 13 info@hackingteam.it 20121 MILANO

Dettagli

Sicurezza Reti: Problematiche

Sicurezza Reti: Problematiche Problematiche LA SICUREZZA DELLE RETI: LE VULNERABILITA' 27 marzo 2007 Fondazione Ordine degli Ingegneri di Milano Corso Venezia Relatore Ing. Sommaruga Andrea Guido presentazione realizzata con OpenOffice

Dettagli

UNIVERSITÀ DEGLI STUDI DI TRENTO DOCUMENTO ELETTRONICO, FIRMA DIGITALE E SICUREZZA IN RETE.

UNIVERSITÀ DEGLI STUDI DI TRENTO DOCUMENTO ELETTRONICO, FIRMA DIGITALE E SICUREZZA IN RETE. UNIVERSITÀ DEGLI STUDI DI TRENTO DOCUMENTO ELETTRONICO, FIRMA DIGITALE E SICUREZZA IN RETE. INTRODUZIONE ALL ARGOMENTO. A cura di: Eleonora Brioni, Direzione Informatica e Telecomunicazioni ATI NETWORK.

Dettagli

Internet. Cos è Il Web La posta elettronica. www.vincenzocalabro.it 1

Internet. Cos è Il Web La posta elettronica. www.vincenzocalabro.it 1 Internet Cos è Il Web La posta elettronica www.vincenzocalabro.it 1 Cos è E una RETE di RETI, pubblica. Non è una rete di calcolatori. I computer che si collegano ad Internet, devono prima essere collegati

Dettagli

InfoCertLog. Allegato Tecnico

InfoCertLog. Allegato Tecnico InfoCertLog Allegato Tecnico Data Maggio 2012 Pagina 2 di 13 Data: Maggio 2012 Sommario 1. Introduzione... 3 2. Le componenti del servizio InfoCertLog... 4 2.1. Componente Client... 4 2.2. Componente Server...

Dettagli

FAR-FUR.OPR.M.DI.02#9.2.0# CRS-FORM-MES#348

FAR-FUR.OPR.M.DI.02#9.2.0# CRS-FORM-MES#348 Carta Regionale dei Servizi Sistema Informativo Socio Sanitario Manuale Operativo Farmacisti CRS-FORM-MES#348 INDICE DEI CONTENUTI 1 INTRODUZIONE... 4 1.1 SCOPO E CAMPO DI APPLICAZIONE... 4 1.1.1 TIPOLOGIA

Dettagli

Cenni sulla Sicurezza in Ambienti Distribuiti

Cenni sulla Sicurezza in Ambienti Distribuiti Cenni sulla Sicurezza in Ambienti Distribuiti Cataldo Basile < cataldo.basile @ polito.it > Politecnico di Torino Dip. Automatica e Informatica Motivazioni l architettura TCP/IPv4 è insicura il problema

Dettagli

La sicurezza di un sistema informatico. Di Roberta Molinari

La sicurezza di un sistema informatico. Di Roberta Molinari La sicurezza di un sistema informatico Di Roberta Molinari 1 La sicurezza di un sistema informatico: gli aspetti Coincide con l insieme di accorgimenti organizzativi e tecnici che vengono adottati per

Dettagli

DOCUMENTO ELETTRONICO E FIRMA DIGITALE

DOCUMENTO ELETTRONICO E FIRMA DIGITALE DOCUMENTO ELETTRONICO E FIRMA DIGITALE CHE COSA È LA CRITTOGRAFIA LA CRITTOLOGIA È SCIENZA CHE STUDIA LE SCRITTURE SEGRETE 2 CRITTOGRAFIA STUDIA I SISTEMI DI PROTEZIONE DEI MESSAGGI CRITTOANALISI STUDIA

Dettagli

Lezione 7 Sicurezza delle informazioni

Lezione 7 Sicurezza delle informazioni Lezione 7 Sicurezza delle informazioni Sommario Concetti generali Meccanismi per la sicurezza IT: Crittografia Hash Firma digitale Autenticazione 1 Concetti generali Availability Confidentiality Integrity

Dettagli

SSL: applicazioni telematiche SSL SSL SSL. E-commerce Trading on-line Internet banking... Secure Socket Layer

SSL: applicazioni telematiche SSL SSL SSL. E-commerce Trading on-line Internet banking... Secure Socket Layer : applicazioni telematiche Secure Socket Layer E-commerce Trading on-line Internet banking... Protocollo proposto dalla Netscape Communications Corporation Garantisce confidenzialità e affidabilità delle

Dettagli

Protezione dei dati INTRODUZIONE

Protezione dei dati INTRODUZIONE Protezione dei dati INTRODUZIONE Le reti LAN senza filo sono in una fase di rapida crescita. Un ambiente aziendale in continua trasformazione richiede una maggiore flessibilità sia alle persone che alle

Dettagli

Manuale Utente del Portale CA. Firma Digitale su CNS/CRS

Manuale Utente del Portale CA. Firma Digitale su CNS/CRS - Carta Regionale dei Servizi e Certificati Qualificati di Firma Digitale Manuale Utente del Portale CA Firma Digitale su CNS/CRS Codice del Documento: CRS-CA-MES#01 Revisione del Documento: 1.0 Data di

Dettagli

L'ARCHIVIO DIGITALE Documento Elettronico e Firma Digitale

L'ARCHIVIO DIGITALE Documento Elettronico e Firma Digitale L'ARCHIVIO DIGITALE Documento Elettronico e Firma Digitale Docente: http:// massimo@massimofarina.it 1 Documento Elettronico & Firma Digitale La forma elettronica Forma libera e Forma vincolata Firma elettronica

Dettagli

Sicurezza: necessità. Roberto Cecchini Ottobre 2002 1

Sicurezza: necessità. Roberto Cecchini Ottobre 2002 1 Sicurezza: necessità Riservatezza: la comunicazione è stata intercettata? Autenticazione: l utente è veramente chi dice di essere? Autorizzazione: ogni utente può accedere solo alle risorse cui ha diritto.

Dettagli

La sicurezza nelle reti di calcolatori

La sicurezza nelle reti di calcolatori La sicurezza nelle reti di calcolatori Contenuti del corso La progettazione delle reti Il routing nelle reti IP Il collegamento agli Internet Service Provider e problematiche di sicurezza Analisi di traffico

Dettagli

Modulo 7 - ECDL Reti informatiche

Modulo 7 - ECDL Reti informatiche 1 Modulo 7 - ECDL Reti informatiche Elaborazione in Power Point del Prof. Fortino Luigi 2 Internet Un insieme di molteplici reti di elaboratori collegate tra loro che, con l ausilio di particolari protocolli

Dettagli

Reti di calcolatori. Lezione del 25 giugno 2004

Reti di calcolatori. Lezione del 25 giugno 2004 Reti di calcolatori Lezione del 25 giugno 2004 Tecniche di attacco Denial of Service : impedisce ad una organizzazione di usare i servizi della propria rete; sabotaggio elettronico Gli attacchi DoS possono

Dettagli

Il nuovo codice in materia di protezione dei dati personali

Il nuovo codice in materia di protezione dei dati personali Il nuovo codice in materia di protezione dei dati personali Si chiude il capitolo, dopo sette anni dalla sua emanazione, della legge 675 sulla privacy. Questa viene sostituita da un testo di legge unico

Dettagli

Ordine degli Ingegneri della Provincia di Napoli Commissione Telecomunicazioni

Ordine degli Ingegneri della Provincia di Napoli Commissione Telecomunicazioni EDILMED 2010 Ordine degli Ingegneri della Provincia di Napoli Commissione Telecomunicazioni SICUREZZA INFORMATICA DEGLI STUDI PROFESSIONALI G. Annunziata, G.Manco Napoli 28 Maggio 2010 EDILMED/ 2010 1

Dettagli

Cenni di crittografia. Luca Anselma anselma@di.unito.it

Cenni di crittografia. Luca Anselma anselma@di.unito.it Cenni di crittografia Luca Anselma anselma@di.unito.it 1 Cos è la crittografia Dal greco κρυπτός e γράφειν, scrittura nascosta È la tecnica di nascondere informazioni Due tipi di cifratura: Simmetrica

Dettagli

LA SICUREZZA INFORMATICA

LA SICUREZZA INFORMATICA LA SICUREZZA INFORMATICA Ing. Gianfranco Pontevolpe CNIPA e-mail: pontevolpe@cnipa.it Programma Introduzione alla sicurezza La sicurezza di Internet Le protezioni 2 1 Programma Introduzione alla sicurezza

Dettagli

PKI PUBLIC KEY INFRASTRUCTURES

PKI PUBLIC KEY INFRASTRUCTURES Premesse PKI PUBLIC KEY INFRASTRUCTURES Problemi Come distribuire in modo sicuro le chiavi pubbliche? Come conservare e proteggere le chiavi private? Come garantire l utilizzo corretto dei meccanismi crittografici?

Dettagli

Allegato 5. Definizione delle procedure operative

Allegato 5. Definizione delle procedure operative Allegato 5 Definizione delle procedure operative 1 Procedura di controllo degli accessi Procedura Descrizione sintetica Politiche di sicurezza di riferimento Descrizione Ruoli e Competenze Ruolo Responsabili

Dettagli

Windows Vista, il nuovo sistema operativo Microsoft che cerca le giuste risposte ai quesiti di sicurezza

Windows Vista, il nuovo sistema operativo Microsoft che cerca le giuste risposte ai quesiti di sicurezza Windows Vista, il nuovo sistema operativo Microsoft che cerca le giuste risposte ai quesiti di sicurezza Microsoft Windows è il sistema operativo più diffuso, ma paradossalmente è anche quello meno sicuro.

Dettagli

Il problema. Sicurezza. Rischi fisici. Riservatezza. La creazione, conservazione e trasmissione di dati in forma digitale: Danni accidentali o rischi

Il problema. Sicurezza. Rischi fisici. Riservatezza. La creazione, conservazione e trasmissione di dati in forma digitale: Danni accidentali o rischi Il problema La creazione, conservazione e trasmissione di dati in forma digitale: offre grandissimi vantaggi sotto molteplici punti di vista, sia pratici che concettuali; si presta però anche a nuove possibilità

Dettagli

SMART CARD-APPLICAZIONI

SMART CARD-APPLICAZIONI SMART CARD-APPLICAZIONI Le applicazioni pratiche delle Smart Card possono essere suddivise in 3 categorie principali: 1- Trasporto Dati: la Smart Card e usata come mezzo per memorizzare informazioni; 2-

Dettagli

Gennaio. SUAP On Line i pre-requsiti informatici: La firma digitale

Gennaio. SUAP On Line i pre-requsiti informatici: La firma digitale 2008 Gennaio SUAP On Line i pre-requsiti informatici: La firma digitale 1 La firma digitale Indice La firma digitale La firma digitale: destinatario 2 La firma digitale Cos è La Firma Digitale è il risultato

Dettagli

Sicurezza digitale. requisiti: confidenzialità, integrità, autenticazione, autorizzazione, assicurazione, riservatezza. soddisfatti mediante

Sicurezza digitale. requisiti: confidenzialità, integrità, autenticazione, autorizzazione, assicurazione, riservatezza. soddisfatti mediante Sicurezza digitale requisiti: confidenzialità, integrità, autenticazione, autorizzazione, assicurazione, riservatezza soddisfatti mediante crittografia = codifica dei dati in forma illeggibile per assicurare

Dettagli

Sommario. Introduzione alla Sicurezza Web

Sommario. Introduzione alla Sicurezza Web Sommario Introduzione alla Sicurezza Web Considerazioni generali IPSec Secure Socket Layer (SSL) e Transport Layer Security (TLS) Secure Electronic Transaction (SET) Introduzione alla crittografia Introduzione

Dettagli

14/06/2004. Modalità controllo Verifica in campo Periodicità controllo Annuale. Tipologia Misura Fisica Data ultimo aggiornamento 15/12/2005

14/06/2004. Modalità controllo Verifica in campo Periodicità controllo Annuale. Tipologia Misura Fisica Data ultimo aggiornamento 15/12/2005 ID Misura M-001 Compilata Boscolo Paolo Data da Descrizione sintetica Impianto di allarme Gli spazi interessati alla misura in oggetto sono dotati di impianto di allarme in grado di rilevare e segnalare

Dettagli

LE RETI DI COMUNICAZIONE

LE RETI DI COMUNICAZIONE LE RETI DI COMUNICAZIONE (Prima parte) Settembre 2002 I diritti di riproduzione, di memorizzazione elettronica e di adattamento totale o parziale con qualsiasi mezzo, compresi i microfilm e le copie fotostatiche

Dettagli

Tecnologie per il web e lo sviluppo multimediale. Reti di Calcolatori e Internet

Tecnologie per il web e lo sviluppo multimediale. Reti di Calcolatori e Internet Tecnologie per il web e lo sviluppo multimediale Reti di Calcolatori e Internet Luca Pulina Corso di Laurea in Scienze della Comunicazione Università degli Studi di Sassari A.A. 2015/2016 Luca Pulina (UNISS)

Dettagli

Appendice:: Spunti sulla sicurezza e Internet Materiale fuori programma dedicato rigorosamente solo ai curiosi. prof.

Appendice:: Spunti sulla sicurezza e Internet Materiale fuori programma dedicato rigorosamente solo ai curiosi. prof. Operatore Informatico Giuridico Informatica Giuridica di Base A.A 2003/2004 I Semestre Appendice:: Spunti sulla sicurezza e Internet Materiale fuori programma dedicato rigorosamente solo ai curiosi prof.

Dettagli

Manuale d uso firmaok!gold

Manuale d uso firmaok!gold 1 Manuale d uso firmaok!gold 2 Sommario Introduzione... 4 La sicurezza della propria postazione... 5 Meccanismi di sicurezza applicati a FirmaOK!gold... 6 Archivio certificati... 6 Verifica dell integrità

Dettagli

LBSEC. http://www.liveboxcloud.com

LBSEC. http://www.liveboxcloud.com 2014 LBSEC http://www.liveboxcloud.com LiveBox Srl non rilascia dichiarazioni o garanzie in merito al contenuto o uso di questa documentazione e declina qualsiasi garanzia espressa o implicita di commerciabilità

Dettagli

La sicurezza nelle comunicazioni Internet

La sicurezza nelle comunicazioni Internet Accesso remoto sicuro a intranet e a server aziendali di posta elettronica Un esempio Cosa ci si deve aspettare di sapere alla fine del corso La sicurezza nelle comunicazioni Internet Esiste un conflitto

Dettagli

Recente aumento della diffusione di virus Malware

Recente aumento della diffusione di virus Malware Recente aumento della diffusione di virus Malware Recentemente è stato registrato un aumento della diffusione di particolari tipi di virus chiamati generalmente Malware che hanno come scopo principale

Dettagli

Client VPN Manuale d uso. 9235970 Edizione 1

Client VPN Manuale d uso. 9235970 Edizione 1 Client VPN Manuale d uso 9235970 Edizione 1 Copyright 2004 Nokia. Tutti i diritti sono riservati. Il contenuto del presente documento, né parte di esso, potrà essere riprodotto, trasferito, distribuito

Dettagli

RICHIESTA SMART CARD PER SERVIZI CAMERALI Ver. 1.0/08

RICHIESTA SMART CARD PER SERVIZI CAMERALI Ver. 1.0/08 RICHIESTA SMART CARD PER SERVIZI CAMERALI Ver. 1.0/08 Informativa da leggere attentamente prima di richiedere la smart - card Cos'è la firma digitale? Secondo il dettato dell' art. 1 del dpr 445/2000 "

Dettagli