Red Hat Enterprise Linux 4. Security Guide

Transcript

1 Red Hat Enterprise Linux 4 Security Guide

2 Red Hat Enterprise Linux 4: Security Guide Copyright 2005 Red Hat, Inc. Red Hat, Inc. 1801Varsity Drive RaleighNC USA Telefono: Telefono: Fax: PO Box 13588Research Triangle Park NC Stati Uniti rhel-sg(it)-4-print-rhi ( T17:12) Copyright 2005 by Red Hat, Inc. Questo materiale può essere distribuito solo secondo i termini e le condizioni della Open Publication License, V1.0 o successiva (l ultima versione è disponibile all indirizzo La distribuzione di versioni modificate di questo documento è proibita senza esplicita autorizzazionedel detentore del copyright. La distribuzione per scopi commerciali del libro o di una parte di esso sotto forma di opera stampata è proibita se non autorizzata dal detentore del copyright. Red Hat ed il logo "Shadow Man" di Red Hat, sono dei marchi registrati di Red Hat, Inc. negli Stati Unitie e nelle altre Nazioni. Tutti gli altri marchi elencati sono di proprietà dei rispettivi proprietari. Il codice GPG della chiave security@redhat.comè: CA B D6 9D FC 65 F6 EC C CD DB 42 A6 0E

3 Sommario Introduzione...i 1. Informazioni specifiche sull architettura...ii 2. Convenzioni del documento...ii 3. Attivate la vostra sottoscrizione... v 3.1. Fornite un login di Red Hat... v 3.2. Fornite il numero della vostra sottoscrizione... v 3.3. Collegate il vostro sistema... v 4. Molto altro ancora...vi 4.1. Inviateci i vostri suggerimenti...vi I. Introduzione generale sulla sicurezza...i 1. Panoramica sulla sicurezza Cosa significa sicurezza del computer? Controlli di sicurezza Conclusione Aggressori e vulnerabilità Un breve cenno storico sugli Hacker Minacce alla sicurezza della rete Minacce alla sicurezza del server Minacce alla sicurezza di una workstation o di un PC II. Configurare Red Hat Enterprise Linux in modo da ottenere una maggiore sicurezza Aggiornamenti sulla sicurezza Aggiornare i pacchetti Sicurezza della workstation Valutazione sulla sicurezza della workstation Sicurezza del BIOS e del Boot Loader Sicurezza della password Controlli amministrativi Servizi di rete disponibili Firewall personali Aumento della sicurezza degli strumenti di comunicazione Sicurezza del server Rendere sicuri tutti i servizi con i wrapper TCP e xinetd Sicurezza del Portmap Sicurezza di un NIS Sicurezza di NFS Rendere sicuro il Server HTTP Apache Sicurezza dell FTP Sicurezza di sendmail Verifica delle porte in ascolto Reti private virtuali VPN e Red Hat Enterprise Linux IPsec Installazione IPsec Configurazione Host-to-Host di IPsec Configurazione IPsec Network-to-Network Firewall Netfilter e iptables Utilizzo di iptables Filtraggio comune di iptables Regole FORWARD e NAT Virus e indirizzi IP fasulli iptables e controllo del collegamento ip6tables... 74

4 7.8. Risorse aggiuntive III. Valutazione della vostra sicurezza Valutazione dei punti deboli Pensare come il nemico Definizione di valutazione e di prova Valutazione degli strumenti IV. Intrusioni e risposta ad un incidente Intrusion Detection Definizione dell Intrusion Detection System IDS di tipo host-based IDS di tipo Network-based Incident Response Definizione di Incident Response Creazione di un piano per l Incident Response Implementazione di un piano di risposta ad un incidente Investigazione di un incidente Ripristino e recupero delle risorse Riporto di un incidente V. Appendici A. Protezione hardware e della rete A.1. Topologie di sicurezza della rete A.2. Sicurezza hardware B. Exploit comuni e attacchi C. Porte comuni Indice Colophon

5 Introduzione Benvenuti al Red Hat Enterprise Linux Security Guide! Il Red Hat Enterprise Linux Security Guide è stato creato per aiutare gli utenti di Red Hat Enterprise Linux a comprendere il procedimento e la pratica su come rendere sicuri i server e le workstation contro gli attacchi remoti e locali, lo sfruttamento e contro attività di utenti maliziosi. Il Red Hat Enterprise Linux Security Guide elenca gli strumenti e le strategie necessarie per la creazione di un ambiente informatico sicuro per il centro dati, l ambiente lavorativo e la home. Con la giusta conoscenza amministrativa, controllo, e con strumenti idonei, i sistemi che eseguono Red Hat Enterprise Linux possono essere altamente funzionali e sicuri, contro i più comuni metodi d intrusione e sfruttamento. Questa guida affronta in dettaglio diversi argomenti inerenti la sicurezza, e in particolare: Firewall Crittografia Come rendere sicuri i servizi critici Reti private virtuali Intrusion Detection Il manuale è composto dalle seguenti parti: Introduzione generale alla sicurezza Configurare Red Hat Enterprise Linux in modo da ottenere una maggiore sicurezza Valutare la sicurezza Risposta ad un incidente o alle intrusioni Appendice Vorremmo ringraziare Thomas Rude per il suo generoso contributo a questo manuale, infatti egli ha scritto i capitoli Valutazioni della vulnerabilità e Risposta ad un incidente. Grazie Thomas! Questo manuale presuppone una conoscenza avanzata di Red Hat Enterprise Linux. Se siete degli utenti nuovi o se avete una conoscenza di base o intermedia di Red Hat Enterprise Linux, e desiderate saperne di più su come usare il sistema, vi consigliamo di consultare i seguenti manuali, i quali affrontano gli aspetti fondamentali di Red Hat Enterprise Linux in modo più dettagliato di Red Hat Enterprise Linux Security Guide: Red Hat Enterprise Linux Installation Guide fornisce informazioni riguardanti l installazione Red Hat Enterprise Linux Introduzione al System Administration contiene delle informazioni introduttive per i nuovi amministratori del sistema Red Hat Enterprise Linux Red Hat Enterprise Linux System Administration Guide offre informazioni più dettagliate inerenti la configurazione di Red Hat Enterprise Linux per far fronte alle vostre esigenze particolari. Questa guida include alcuni servizi affrontati (da un punto di vista della sicurezza) nella Red Hat Enterprise Linux Security Guide. Red Hat Enterprise Linux Reference Guide fornisce informazioni più dettagliate idonee alle esigenze di utenti più esperti. Le versioni HTML, PDF, e RPM del manuale sono disponibili sul CD di documentazione di Red Hat Enterprise Linux e online su

6 ii Introduzione Nota Bene Anche se questo manuale riporta le informazioni più aggiornate, vi consigliamo di leggere le Release Note di Red Hat Enterprise Linux, per informazioni che potrebbero non essere state incluse prima della finalizzazione di questa documentazione. Tali informazioni possono essere trovate sul CD #1 di Red Hat Enterprise Linux e online su 1. Informazioni specifiche sull architettura Se non diversamente riportato, tutte le informazioni contenute in questo manuale valgono solo per i processori x86 e per i processori che contengono le tecnologie Intel Extended Memory 64 Technology (Intel EM64T) e AMD64. Per informazioni specifiche all architettura, fate riferimento a Red Hat Enterprise Linux Installation Guide. 2. Convenzioni del documento Consultando il presente manuale, vedrete alcune parole stampate con caratteri, dimensioni e stili differenti. Si tratta di un metodo sistematico per mettere in evidenza determinate parole; lo stesso stile grafico indica l appartenenza a una specifica categoria. Le parole rappresentate in questo modo includono: comando I comandi di Linux (e altri comandi di sistemi operativi, quando usati) vengono rappresentati in questo modo. Questo stile indica che potete digitare la parola o la frase nella linea di comando e premere [Invio] per invocare il comando. A volte un comando contiene parole che vengono rappresentate con uno stile diverso (come i file name). In questi casi, tali parole vengono considerate come parte integrante del comando e, dunque, l intera frase viene visualizzata come un comando. Per esempio: Utilizzate il comando cat testfile per visualizzare il contenuto di un file chiamato testfile, nella directory corrente. file name I file name, i nomi delle directory, i percorsi e i nomi del pacchetto RPM vengono rappresentati con questo stile grafico. Ciò significa che un file o una directory particolari, sono rappresentati sul vostro sistema da questo nome.per esempio: Il file.bashrc nella vostra home directory contiene le definizioni e gli alias della shell bash per uso personale. Il file /etc/fstab contiene le informazioni relative ai diversi dispositivi del sistema e file system. Installate il pacchetto RPM webalizer per utilizzare un programma di analisi per il file di log del server Web. applicazione Questo stile grafico indica che il programma citato è un applicazione per l utente finale "end user" (contrariamente al software del sistema). Per esempio: Utilizzate Mozilla per navigare sul Web.

7 Introduzione iii [tasto] I pulsanti della tastiera sono rappresentati in questo modo. Per esempio: Per utilizzare la funzionalità [Tab], inserite una lettera e poi premete il tasto [Tab]. Il vostro terminale mostra l elenco dei file che iniziano con quella lettera. [tasto]-[combinazione] Una combinazione di tasti viene rappresentata in questo modo. Per esempio: La combinazione dei tasti [Ctrl]-[Alt]-[Backspace] esce dalla vostra sessione grafica e vi riporta alla schermata grafica di login o nella console. testo presente in un interfaccia grafica Un titolo, una parola o una frase trovata su di una schermata dell interfaccia GUI o una finestra, verrà mostrata con questo stile: Il testo mostrato in questo stile, viene usato per identificare una particolare schermata GUI o un elemento della schermata GUI, (per esempio il testo associato a una casella o a un campo). Esempio: Selezionate la casella di controllo, Richiedi la password, se desiderate che lo screen saver richieda una password prima di scomparire. livello superiore di un menu o di una finestra dell interfaccia grafica Quando vedete una parola scritta con questo stile grafico, si tratta di una parola posta per prima in un menu a tendina. Facendo clic sulla parola nella schermata GUI, dovrebbe comparire il resto del menu. Per esempio: In corrispondenza di File in un terminale di GNOME, è presente l opzione Nuova tabella che vi consente di aprire più prompt della shell nella stessa finestra. Se dovete digitare una sequenza di comandi da un menu GUI, essi verranno visualizzati con uno stile simile al seguente esempio: Per avviare l editor di testo Emacs, fate clic sul pulsante del menu principale (sul pannello) => Applicazioni => Emacs. pulsante di una schermata o una finestra dell interfaccia grafica Questo stile indica che il testo si trova su di un pulsante in una schermata GUI. Per esempio: Fate clic sul pulsante Indietro per tornare all ultima pagina Web visualizzata. output del computer prompt Il testo in questo stile, indica il testo visualizzato ad un prompt della shell come ad esempio, messaggi di errore e risposte ai comandi. Per esempio: Il comando ls visualizza i contenuti di una directory. Per esempio: Desktop about.html logs paulwesterberg.png Mail backupfiles mail reports L output restituito dal computer in risposta al comando (in questo caso, il contenuto della directory) viene mostrato con questo stile grafico. Un prompt, ovvero uno dei modi utilizzati dal computer per indicare che è pronto per ricevere un vostro input. Ecco qualche esempio: $ # [stephen@maturin stephen]$

8 iv Introduzione leopard login: input dell utente Il testo che l utente deve digitare sulla linea di comando o in un area di testo di una schermata di un interfaccia grafica, è visualizzato con questo stile come nell esempio riportato: Per avviare il sistema in modalità di testo, dovete digitare il comando text al prompt boot:. replaceable Il testo usato per gli esempi, il quale deve essere sostituito con i dati forniti dal utente,è visualizzato con questo stile. Nel seguente esempio, il numero della versione viene mostrato in questo stile: La directory per la fonte del kernel è /usr/src/ version-number /, dove version-number è la versione del kernel installato su questo sistema. Inoltre, noi adottiamo diverse strategie per attirare la vostra attenzione su alcune informazioni particolari. In base all importanza che tali informazioni hanno per il vostro sistema, questi elementi verranno definiti nota bene, suggerimento, importante, attenzione o avvertenza. Per esempio: Nota Bene Ricordate che Linux distingue le minuscole dalle maiuscole. In altre parole, una rosa non è una ROSA né una rosa. Suggerimento La directory /usr/share/doc contiene una documentazione aggiuntiva per i pacchetti installati sul vostro sistema. Importante Se modificate il file di configurazione DHCP, le modifiche non avranno effetto se non si riavvia il demone DHCP. Attenzione Non effettuate operazioni standard come utente root. Si consiglia di utilizzare sempre un account utente normale, a meno che non dobbiate amministrare il sistema.

9 Introduzione v Avvertenza Fate attenzione a rimuovere solo le partizioni necessarie per Red Hat Enterprise Linux. Rimuovere altre partizioni può comportare una perdita dei dati oppure una corruzione dell ambiente del sistema. 3. Attivate la vostra sottoscrizione Prima di poter accedere alle informazioni sulla gestione del software e sul servizio, e prima di poter consultare la documentazione di supporto inclusa con la vostra registrazione, è necessario attivare la vostra sottoscrizione registrandovi con Red Hat. Il processo di registrazione include le seguenti fasi: Fornire un login di Red Hat Fornire il numero della vostra sottoscrizione Collegare il vostro sistema La prima volta che eseguirete un avvio dell installazione di Red Hat Enterprise Linux, vi verrà richiesto di registrarvi con Red Hat usando l Agent Setup. Seguendo le diverse prompt dell Agent Setup, sarete in grado di completare le fasi necessarie alla registrazione, attivando così la vostra sottoscrizione. Se non siete in grado di completare la registrazione durante l Agent Setup (il quale necessita di un accesso di rete), allora provate il processo di registrazione online di Red Hat disponibile su Fornite un login di Red Hat Se non siete in possesso di un login di Red Hat, allora sarete in grado di crearne uno quando vi verrà richiesto durante l Agent Setup, oppure online su: Un login di Red Hat vi permette di accedere a: Aggiornamenti software, errata e gestione tramite Red Hat Network Risorse per il supporto tecnico di Red Hat, documentazione, e Knowledgebase Se avete dimenticato il vostro login di Red Hat, potete trovarlo online su: Fornite il numero della vostra sottoscrizione Il numero della vostra sottoscrizione si trova all interno del pacchetto da voi ordinato. Se tale pacchetto non include il suddetto numero, allora la vostra sottoscrizione è già stata attivata, per questo motivo potete saltare questa fase. Potete fornire il numero della vostra sottoscrizione quando richiesto durante l Agent Setup, oppure visitando

10 vi Introduzione 3.3. Collegate il vostro sistema Il Red Hat Network Registration Client sarà utile per il collegamento del vostro sistema in modo tale da permettervi di ottenere gli aggiornamenti, e la gestione dei diversi sistemi. Sono diponibili tre diversi modi per eseguire tale collegamento: 1. Durante l Agent Setup Controllare le opzioni Invia informazioni hardware e Invia un elenco del pacchetto del sistema quando richiesto. 2. Dopo il completamento dell Agent Setup Dal Menu Principale, andate su Tool di sistema, per poi selezionare Red Hat Network. 3. Dopo il completamento dell Agent Setup Inserire il seguente comando dalla linea di comando come utente root: /usr/bin/up2date --register 4. Molto altro ancora Il Red Hat Enterprise Linux Security Guide fà parte di un impegno crescente di Red Hat nel fornire sempre un supporto utile agli utenti di Red Hat Enterprise Linux. Questa guida, verrà aggiornata e ampliata al momento in cui nuovi strumenti e nuovi metodi di sicurezza saranno sviluppati e resi disponibili Inviateci i vostri suggerimenti Se individuate un errore nella Red Hat Enterprise Linux Security Guide, o se pensate di poter contribuire al miglioramento di questo manuale, inviate i vostri suggerimenti, sottoscrivendo un report in Bugzilla ( riferendovi alla rhel-sg. Assicuratevi di indicare l identificatore del manuale: rhel-sg(it)-4-print-rhi ( T17:12) Indicando l identificatore, sapremo esattamente a quale versione della guida vi riferite. Se avete un suggerimento per migliorare questo documento, cercate di essere il più specifici possibile. Nel riportare una imprecisione, indicate il numero della sezione e alcune righe di testo, in modo da agevolare la sua ricerca.

11 I. Introduzione generale sulla sicurezza Questa sezione definisce le informazioni sulla sicurezza, la loro storia, e il campo del loro sviluppo. In questa sezione si affrontano i rischi che si possono presentare agli amministratori e agli utenti di computer. Sommario 1. Panoramica sulla sicurezza Aggressori e vulnerabilità... 9

12

13 Panoramica sulla sicurezza Capitolo 1. A causa del continuo ricorso a potenti computer che aiutano le aziende nella loro gestione e nel mantenimento delle informazioni del proprio personale, le industrie hanno potuto creare una pratica molto importante, e cioè quella di rendere sicuri le loro reti ed i loro computer. Gli Enterprise hanno stimolato la conoscenza e l abilità degli esperti sulla sicurezza, e conseguentemente a verificare propriamente i sistemi e adattare le soluzioni per far fronte ai requisiti operativi dell organizzazione. A causa di queste organizzazioni, che sono di natura molto dinamiche, e che consentono l accesso ai propri dipendenti alle risorse IT sia in modo remoto che in modo locale, la necessità di avere degli ambienti informatici sicuri è diventata sempre più rilevante. Sfortunatamente, molte organizzazioni (così come singoli utenti) considerano il fattore sicurezza come un fattore secondario, un processo che si può trascurare in favore dell aumento della potenza, della produttività, e delle considerazioni di carattere finanziario. Una sua implementazione, viene spesso intrapresa postmortem cioè dopo il verificarsi di una intrusione da parte di un utente non autorizzato. Gli esperti nel campo della sicurezza, concordano che le misure più idonee sono quelle prese prima del collegamento ad una rete non fidata, come ad esempio Internet, tale provvedimento aiuta in modo efficace a contrastare i tentativi d intrusione Cosa significa sicurezza del computer? La sicurezza è un termine generale che copre una vasta area informatica e di elaborazione delle informazioni. Le industrie che dipendono da sistemi computerizzati e di rete, per poter condurre operazioni commerciali giornaliere e per poter accedere a informazioni importanti, considerano i propri dati tra i beni più importanti in loro possesso. Numerosi termini sono entrati a far parte del vocabolario commerciale, come ad esempio total cost of ownership (TCO) costo totale di proprietà e qualità del servizio quality of service (QoS). Con questi termini le industrie riescono a calcolare molti aspetti come ad esempio l integrità dei dati e l alta disponibilità, come parte dei costi di gestione e di programmazione. In alcune aziende, come quelle elettroniche, la disponibilità e la sicurezza dei dati può rappresentare la differenza tra successo e fallimento Come si è arrivati a considerare la sicurezza di un computer Molti lettori possono ricordare il film "Wargames," con Matthew Broderick che interpreta uno studente di scuola superiore in grado di introdursi nel supercomputer del Dipartimento di Sicurezza degli Stati Uniti d America (DoD), causando inavvertitamente una minaccia di guerra nucleare. In questo film, Broderick usa il suo modem per collegarsi con il computer del DoD (chiamato WOPR) giocando con il software del calcolatore, controllando missili nucleari. Il film fu lanciato durante la "guerra fredda" tra la ex Unione Sovietica e gli Stati Uniti, e fu considerato nel 1983 un gran successo. La popolarità di questo film, ha ispirato migliaia di individui e gruppi, ad usare alcuni dei metodi usati dal giovane protagonista, per neutralizzare sistemi ristretti, incluso il war dialing un metodo di ricerca dei numeri di telefono per collegamenti di modem analogico,in un codice di area definita e una combinazione del prefisso telefonico. Dopo più di dieci anni, di cui quattro inerenti ad una battaglia legale tra il Federal Bureau of Investigation (FBI) e il sussidio degli informatici, Kevin Mitnick considerato un computer cracker, fu arrestato e condannato a causa di 25 infrazioni inerenti a frode nell accesso informatico, causando una perdita di 80 Milioni di dollari in beni e source code da parte della Nokia, NEC, Sun Microsystems, Novell, Fujitsu, e Motorola. In quei tempi, l FBI ha considerato tale operazione, come il crimine più grande effettuato da un singolo utente nella storia degli Stati Uniti. Kevin Mitnick fu condannato per il suo crimine a 68 mesi di detenzione, dei quali, ne ha scontato 60 prima di essere rilasciato il 21 Gennaio In aggiunta, egli fu interdetto dall uso dei computer fino al Gli investigatori han-

14 2 Capitolo 1. Panoramica sulla sicurezza no dichiarato che Mitnick era un esperto in social engineering e cioè nell uso di esseri umani per poter ottenere le password e quindi un accesso ai sistemi utilizzando delle credenziali false. La sicurezza delle informazioni si è evoluta con gli anni, questo a causa dell aumento della dipendenza delle reti pubbliche nel rilasciare informazioni personali, di carattere finanziario e altre informazioni riservate. Vi sono numerosi esempi, come nel caso di Mitnick e Vladamir Levin, (consultate la Sezione per maggiori informazioni) che hanno portato molte organizzazioni a rivedere la loro politica sulla gestione della trasmissione ed emissione di dati importanti. La popolarità di Internet ha comportato un maggiore sforzo nell intensificare lo sviluppo della sicurezza dei dati. Sempre più utenti usano il proprio personal computer per ottenere accesso alle risorse offerte da Internet. Dalla ricerca delle informazioni, alla posta elettronica e alle operazioni di carattere commerciale, Internet è stato definito come uno dei mezzi più importanti sviluppati nel ventesimo secolo. Internet e i protocolli che lo hanno preceduto, tuttavia, sono stati sviluppati come sistemi fidati. Cioè, il protocollo Internet non è stato creato per essere nel suo insieme sicuro. Non vi sono standard di sicurezza approvati, creati all interno delle comunicazioni TCP/IP, tale assenza rende possibile una intrusione da parte di potenziali aggressori o da parte di alcuni processi. Gli sviluppi moderni hanno fatto di Internet un sistema più sicuro, purtroppo però si verificano ancora diversi incidenti che aumentano la nostra considerazione nel fatto che niente è completamente sicuro Cronologia della sicurezza del computer Diversi eventi chiave hanno contribuito alla nascita e allo sviluppo della sicurezza del computer. Di seguito vengono riportati alcuni degli eventi più importanti che hanno richiesto una maggiore attenzione sulla sicurezza delle informazioni e del computer, e sulla sua importanza oggi Negli anni 30 e 40 Alcuni crittografi polacchi inventarono nel 1918 la macchina Enigma, un dispositivo composto da un rotore elettro-meccanico il quale converte i messaggi di testo in codice. Ideato originariamente per rendere sicure le comunicazioni bancarie, le forze armate tedesche lo hanno usato per le loro comunicazioni durante la Seconda Guerra Mondiale. Un brillante matematico di nome Alan Turing, è stato in grado di sviluppare un metodo per decodificare i codici di Enigma, permettendo alle forze alleate di sviluppare Colossus, una macchina che a detta di molti, è stata in grado di far terminare la Seconda Guerra Mondiale un anno prima Negli anni 60 Gli studenti del Massachusetts Institute of Technology (MIT) provenienti dal Tech Model Railroad Club (TMRC), iniziano l esplorazione e la programmazione del sistema principale PDP-1 della propria scuola. Il gruppo ha coniato il termine "hacker" nel contesto da noi conosciuto. Il DoD crea l Advanced Research Projects Agency Network (ARPANet), il quale diventa molto diffuso nella ricerca e nei cicli accademici come condotto per gli scambi elettronici di dati e delle informazioni. Questo spiana la strada alla creazione della rete conosciuta oggi come Internet. Ken Thompson sviluppa il sistema operativo UNIX, ampiamente riconosciuto come il sistema operativo più "hacker-friendly" a causa dei suoi strumenti di sviluppo e di compiler facilmente accessibili, e per il suo appoggio alla comunità. Nello stesso periodo, Dennis Ritchie sviluppa il linguaggio di programmazione C, discutibilmente il linguaggio hacking più conosciuto nella storia del computer.

15 Capitolo 1. Panoramica sulla sicurezza Negli anni 70 Bolt, Beranek, e Newman, una società appaltatrice per lo sviluppo e la ricerca informatica per gli enti governativi e di sviluppo, ha creato il protocollo Telnet, una estensione pubblica di ARPANet. Questo passo favorisce l uso pubblico dei dati di rete, ristretti una volta ai soli appaltatori di enti governativi e ai ricercatori accademici. Telnet, secondo alcuni ricercatori sulla sicurezza, è anche il protocollo più insicuro per reti pubbliche. Steve Jobs e Steve Wozniak fondano Apple Computer e iniziano il marketing del Personal Computer (PC). Il PC rappresenta il trampolino per diversi utenti maliziosi per imparare l arte di introdursi nei sistemi in modo remoto usando un comune hardware di comunicazione PC come modem analogici e war dialer. Jim Ellis e Tom Truscott creano USENET, un sistema di tipo bulletin-board per comunicazioni elettroniche tra gli utenti. USENET diventa subito uno dei forum più usati per lo scambio di idee nel campo informatico, del networking e naturalmente del cracking Negli anni 80 IBM sviluppa e mette in commercio PC basati sul microprocessore Intel 8086, un architettura relativamente poco costosa, che porta l informatica dall ufficio a casa. Ciò serve a facilitare l accesso al PC, considerandolo come uno strumento comune e accessibile, ragionevolmente potente e facile da usare, portando ad una proliferazione di hardware nelle case e negli uffici di utenti maliziosi. Il Transmission Control Protocol, sviluppato da Vint Cerf, è diviso in due parti separate. Da questa divisione è nato Internet Protocol, e il protocollo TCP/IP combinato diventa lo standard per tutte le comunicazioni Internet di oggi. Basata sullo sviluppo nell area di phreaking, o esplorando ed effettuando un hacking del sistema telefonico, nasce la rivista 2600: The Hacker Quarterly che inizia la discussione di argomenti del tipo come infiltrarsi in un computer e computer network, per un pubblico molto numeroso. La banda 414 (così chiamata a causa del numero civico dell abitazione dei componenti della stessa, i quali portarono a termine il loro tentativo di hacking) viene sgominata dalle autorità, dopo nove giorni di attività, culminati con l introduzione all interno dei sistemi, da località top-secret come ad esempio il Los Alamos National Laboratory, di un centro di ricerca sulle armi nucleari. La Legione delle avversità Legion of Doom e il Chaos Computer Club rappresentano due gruppi cracker che iniziarono a sfruttare le vulnerabilità dei computer e dei dati elettronici delle reti. Fu approvata dal congresso la legge contro le frodi informatiche, la Computer fraud e Abuse Act del 1986, basata sullo sfruttamento informatico di Ian Murphy, conosciuto anche come Captain Zap, il quale riuscì ad introdursi nei sistemi informatici militari, a rubare informazioni dai database, riuscendo anche ad usare alcuni centralini telefonici di proprietà del governo, per effettuare chiamate telefoniche. In base alla Computer Fraud e Abuse Act, la corte riuscì a condannare Robert Morris, appena laureato, per aver rilasciato il Morris Worm verme di Morris su oltre 6000 computer collegati a Internet. Il secondo caso più eclatante affrontato grazie a questa legge, fu quello di Herbert Zinn, uno studente di scuola superiore che riuscì ad introdursi e ad usare impropriamente, sistemi appartenenti a AT&T e al DoD. In base alle preoccupazioni che un caso Morris Worm si potesse ripetere, viene creato il Computer Emergency Response Team (CERT), per allertare gli utenti di computer. Clifford Stoll scrive The Cuckoo s Egg, basato sulla sua investigazione sui cracker che sono riusciti a introdursi nel suo sistema.

16 4 Capitolo 1. Panoramica sulla sicurezza Negli anni 90 ARPANet viene sospesa. Il traffico dalla suddetta rete viene trasferito su Internet. Linus Torvalds sviluppa il kernel di Linux per l uso con i sistemi operativi GNU, lo sviluppo ed il successo di Linux, è dovuto alla collaborazione di utenti e di sviluppatori in comunicazione tramite Internet. A causa delle sue radici in UNIX, Linux è molto diffuso tra gli hacker e gli amministratori, i quali lo preferiscono per la costruzione di alternative sicure, rispetto alla consuetudine nell uso da parte dei server di sistemi operativi privati (closed-source). Viene creato il web brouser grafico, causando un aumento della domanda per un accesso pubblico di Internet. Vladimir Levin con alcuni complici, riesce a trasferire illegalmente 10 Milioni di dollari in diversi conti, infiltrandosi nel database centrale della CitiBank. Levin viene arrestato dalla Interpol, che recupera quasi l intera somma. Forse il più rappresentativo degli hacker è Kevin Mitnick, il quale è riuscito ad introdursi in diversi sistemi corporativi, riuscendo ad impadronirsi di informazioni personali appartenenti a personalità molto importanti, oltre carte di credito e source code per proprietari di software. Venne arrestato per frode e condannato a cinque anni di reclusione. Kevin Poulsen con un complice ancora sconosciuto, riuscì a manipolare i sistemi telefonici di una stazione radio, riuscendo a vincere diverse auto e premi in denaro. Fu arrestato per frode e condannato a cinque anni di reclusione. Molte storie relative alle azioni di hacking e phreaking divennero leggenda, e molti di questi crackers partecipano al convegno DefCon annuale per celebrare il cracking,scambiandosi idee in merito. Uno studente israeliano di diciannove anni viene arrestato e imprigionato per aver coordinato numerose violazioni dei sistemi governativi degli Stati Uniti durante il conflitto del Golfo Persico. Alti esponenti militari lo chiamarono "l attacco più organizzato e sistematico" dei sistemi governativi nella storia degli Stati Uniti. L Attorney General degli Stati Uniti Janet Reno, per contrastare l aumento delle violazioni sulla sicurezza nei sistemi governativi, stabilisce il National Infrastructure Protection Center. I satelliti di comunicazione britannici vengono sequestrati da aggressori sconoisciuti. Successivamente il governo britannico ripristinerà il proprio controllo con non pochi problemi La sicurezza oggi Nel Febbraio 2000, un attacco del tipo Distributed Denial of Service (DDoS) fu introdotto in diversi siti Internet maggiormente trafficati. Gli attacchi furono portati su yahoo.com, cnn.com, amazon.com, fbi.gov, e diversi altri siti non raggiungibili da utenti normali, poichè esso blocca i router per diverse ore a causa di un gran numero di byte ICMP per il trasferimento dei pacchetti, chiamato anche ping flood. L attacco fu effettuato da un solo aggressore, usando programmi specialmente creati per la ricerca di punti deboli sui server della rete, installando applicazioni client chiamati trojans sui server stessi, innondando i siti scelti rendendoli non disponibili. Molti hanno criticato il funzionamento dei router e dei protocolli in quanto essi accettano qualsiasi pachetto inviato non curandosi del loro scopo. Tutto ciò ci catapulta nel nuovo millennio, un periodo in cui 945 Milioni di persone usano o hanno usato Internet (Computer Industry Almanac, 2004). Allo stesso tempo: In media giornaliera, ci sono circa 225 incidenti gravi inerenti la violazione della sicurezza, riportati al CERT Coordination Center at Carnegie Mellon University Source:

17 Capitolo 1. Panoramica sulla sicurezza 5 Nel 2003, il numero di incidenti riportati al CERT è salito a 137,529, da 82,094 nel 2002 e 52,658 nel L impatto economico mondiale dei tre virus Internet più pericolosi degli ultimi tre anni, è stato estimato in 13.2 Bilioni di dollari. 3 La sicurezza è divenuta una spesa quantificabile e giustificabile per tutti i budget del settore IT. Organizzazioni che richiedono un alta disponibilità e una integrità dati, necessitano di amministratori di sistema, di sviluppatori e di ingegneri, in grado di assicurare un affidabilità sette giorni su sette, ventiquattro ore su ventiquattro, dei loro servizi, sistemi e delle informazioni. L essere vittima di attacchi coordinati, e di utenti maliziosi, può risultare in un insuccesso dell intera organizzazione. Sfortunatamente, la sicurezza di una rete o di un sistema può essere un orgomento molto difficile da affrontare, in quanto esso richiede una conoscenza articolata di come una organizzazione trasmette, manipola, e usa le proprie informazioni. Capire come una organizzazione (e le persone che la compongono) conduce il proprio lavoro, è essenziale per poter implementare un programma di sicurezza adeguato Standardizzazione della Sicurezza Le imprese in ogni campo si affidano alle regole implementate da grandi corporazioni come l American Medical Association (AMA) o l Institute of Electrical and Electronics Engineers (IEEE). Gli stessi ideali vengono usati per garantire la sicurezza delle informazioni. Numerosi consulenti della sicurezza e molti rivenditori, fanno riferimento al modello di sicurezza rappresentato dalla CIA o Confidentiality, Integrity, and Availability. Questo modello, è una componente accettata generalmente e usata per assegnare un livello di rischio alle informazioni sensibili, stabilendo una policy di sicurezza. Di seguito viene riportato il modello CIA in modo più dettagliato: Riservatezza Informazioni sensibili che devono essere disponibili solo a determinati individui. La trasmissione non autorizzata e il suo uso, deve essere limitata. Per esempio, la riservatezza delle informazioni, assicurano che la informazioni personali o finanziarie di un cliente, non vengano possedute da personale non autorizzato e usate a scopo di lucro, come ad esempio il furto d identità o la frode finanziaria. Integrità Le informazioni non dovrebbero essere alterate in modo da renderle incomplete o incorrette. Gli utenti non autorizzati dovrebbero essere banditi dalla possibilità di modificare o distruggere informazioni sensibili. Disponibilità Le informazioni dovrebbero essere accessibili a utenti autorizzati ogni qualvolta sia necessario. La disponibilità rappresenta la garanzia che le informazioni possano essere ottenute con un accordo, in base alla frequenza e in modo illimitato. Questo viene misurato in termini di percentuale e accettato in modo formale nel Service Level Agreements (SLA), usato dai provider del servizio di rete e dai loro client enterprise Controlli di sicurezza La sicurezza del computer viene spesso divisa i tre categorie, comunemente riferite come comandi: Fisico Tecnico Amministrativo 2. Source: 3. Source:

18 6 Capitolo 1. Panoramica sulla sicurezza Queste tre categorie definiscono gli obbiettivi principali per una implementazione corretta della sicurezza. All interno di questi comandi, ci sono delle sotto-categorie che elencano in modo più dettagliato i comandi e la loro implementazione Controlli fisici Il controllo fisico rappresenta l implementazione delle misure di sicurezza in una struttura definita, usata per dissuadere o prevenire un accesso non autorizzato a materiale sensibile. Esempi di controlli fisici sono: Videocamere di sorveglianza a circuito chiuso Sistemi di monitoraggio o di allarme termico Vigilanza Foto di riconoscimento ID Porte rinforzate d acciaio Biometrici (incluso le impronte digitali, il riconoscimento della voce, della scrittura, e altri metodi automatizzati usati per il riconoscimento) Controlli tecnici I controlli tecnici fanno uso della tecnologia come base per controllare l accesso e l uso di dati sensibili, utilizzando una struttura fisica e attraverso una rete. I controlli tecnici hanno una gran portata e comprendono quanto segue: Codifica Smart card Autenticazione di rete Access control lists (ACL) Software di verifica dell integrità del file Controlli amministrativi I comandi amministrativi rappresentano i fattori umani della sicurezza. Coinvolgono tutti i livelli del personale all interno di una organizzazione e determinano gli utenti che hanno accesso alle riserse e alle informazioni in base a: Addestramento e consapevolezza Piani di rilancio e di preparazione ad un disastro Strategie di reclutamento e di separazione del personale Registrazione e contabilità del personale

19 Capitolo 1. Panoramica sulla sicurezza Conclusione Ora che avete imparato qualcosa in più sulle origini, sulle ragioni e sugli aspetti della sicurezza, potete determinare il corso appropriato delle azioni per quanto riguarda Red Hat Enterprise Linux. È importante sapere quali sono i fattori e quali le condizioni che compongono la sicurezza, in modo tale da implementare una strategia idonea. Ricordando queste informazioni, il processo può essere formalizzato ed il percorso diventa più chiaro man mano che vi addentrerete nel processo.

20 8 Capitolo 1. Panoramica sulla sicurezza

21 Capitolo 2. Aggressori e vulnerabilità Per poter pianificare e implementare una buona strategia di sicurezza, dovete innanzitutto essere a conoscenza di alcune delle problematiche che possono motivare gli aggressori e compromettere i sistemi. Ma prima di elencare questi punti, bisogna definire il significato di aggressore Un breve cenno storico sugli Hacker Il significato moderno del termine hacker risale al 1960 prendendo spunto nel Massachusetts Institute of Technology (MIT) Tech Model Railroad Club, il quale progettava trenini in larga scala. Il nome hacker veniva usato per i membri del club i quali usarono uno stratagemma per la risoluzione di un problema. Da allora il termine hacker è stato usato per descrivere gli appassionati di computer e i programmatori particolarmente schietti. Un comune denominatore presente in ogni hacker, è la volontà di esplorare in dettaglio il funzionamento dei sistemi di elaborazione e della funzione delle reti, senza, o in parte, essere motivati da altri. Gli sviluppatori software della open source, spesso considerano se stessi e i loro colleghi come degli hacker, usando questa parola come termine di rispetto. Gli hacker seguono una etica, chiamata etica di un hacker la quale indica che la ricerca delle informazioni e la competenza, siano elementi essenziali per un hacker, e il condividere di questa conoscenza sia una forma di servizio da fornire alla comunità. Durante questa ricerca del sapere, alcuni hacker si dilettano in alcune sfide accademiche come la navigazione nei sistemi di sicurezza dei sistemi di elaborazione. Per questa ragione, la stampa spesso usa il termine hacker per descrivere coloro che illegalmente accedono maliziosamente a sistemi o reti, per portare a termine operazioni illecite. Il termine più appropriato per questo tipo di hacker del computer è cracker un termine creato dagli hacker nella metà degli anni 80 per differenziare le due comunità Tonalità di grigio All interno della comunity vi sono diversi gruppi di individui capaci di individuare e sfruttare le vulnerabilità dei sistemi e delle reti.tali livelli vengono descritti in base alla tonalità del cappello che essi "indossano" quando effettuano le loro indagini sulla sicurezza, e la tonalità è indicativa del loro intento. Il white hat hacker è colui che prova reti e sistemi per esaminare le prestazioni e determinare la loro vulnerabilità alle intrusioni. Generalmente i white hat hacker si introducono nei propri sistemi o in quelli di un client il quale ha assegnato loro il compito di verifica della sicurezza. Due esempi di white hat hacker sono rappresentati da ricercatori universitari e consulenti professionali sulla sicurezza. Un black hat hacker è sinonimo di cracker. In generale, i cracker sono coinvolti in modo minore alla programmazione e al lato accademico nel loro atto di intrusione dei sistemi. Spesso fanno affidamento su programmi d intrusione per trarre vantaggio dai punti deboli dei sistemi, scoprendo informazioni importanti, ottenendo quindi un beneficio personale oppure acquisendo la capacità di apportare danni importanti su di un sistema o una rete. Il grey hat hacker, al contrario, ha le capacità e gli intenti simili ad un white hat hacker, ma occasionalmente usa il suo sapere per scopi meno nobili. Un grey hat hacker può essere considerato come un white hat hacker che porta talvolta un black hat per completare i propri programmi. I Grey hat hacker generalmente sottoscrivono un altra forma di etica, la quale afferma che è accettabile introdursi all interno dei sistemi fino quando un hacker non commette atti quale furti, o violazione di informazioni riservate. Qualcuno può non essere d accordo, ma infiltrarsi in un sistema, è di per sè un atto moralmente non accettabile.

22 10 Capitolo 2. Aggressori e vulnerabilità A dispetto dell intento di un intruso, è importante essere a conoscenza delle debolezze che un cracker con molta probabilità cercherà di sfruttare. Il resto del capitolo affronta tali argomenti Minacce alla sicurezza della rete Le cattive abitudini nella configurazione dei seguenti aspetti di una rete, possono aumentare i rischi di un attacco Architetture non sicure Una rete configurata in modo non corretto, rappresenta un punto primario per l ingresso di utenti non autorizzati. Avere una configurazione basata sulla fiducia degli utenti, significa esporre la rete al flusso insicuro di Internet, proprio come lasciare una porta socchiusa in un area con alta percentuale di furti prima o poi qualcuno eventualmente sfrutterà l occasione che si presenta Trasmissione delle reti Gli amministratori di sistema spesso non comprendono l importanza di un networking dell hardware, tale tendenza si rispecchia nei loro schemi di sicurezza. Semplici hardware come hub e router, si affidano alla trasmissione o, al principio non-switched, cioè, quando un nodo trasmette i dati ad un altro nodo attraverso la rete, l hub o il router, invia una trasmissione dei pacchetti contenenti i dati, fino a quando il nodo destinatario non li riceve e li processa. Questo metodo è più vulnerabile agli attacchi di tipo address resolution protocol (arp) o media access control (MAC) oppure all azione di spoofing da parte di aggressori esterni, e dagli utenti non autorizzati sui local host Server centralizzati Un altro potenziale problema per il networking, viene rappresentato dall uso dell informatica centralizzata. Un metodo per la riduzione dei costi da parte delle aziende è rappresentato dal consolidamento di tutti i servizi sotto una unica potente macchina. Ciò è molto conveniente perchè è facile da gestire e costa molto meno rispetto alle configurazioni di server multipli. Tuttavia, un server centralizzato introduce un punto singolo di errore sulla rete. Se il server centrale è compromesso, può rendere la rete completamente inutilizzabile o peggio, propenso ad una manipolazione dei dati oppure in un loro furto. In questi casi un server centrale può permettere l accesso completo alle rete Minacce alla sicurezza del server La sicurezza del server è importante tanto quanto quella della rete, questo perchè spesso i server contengono delle informazioni importanti all interno di una organizzazione. Se un server è compromesso, un cracker può facilmente manipolare o rubare il suo contenuto. Le seguenti sezioni riportano alcuni degli argomenti principali Servizi non usati e porte aperte Una installazione completa di Red Hat Enterprise Linux contiene più di 1000 applicazioni e pacchetti della libreria. Tuttavia, molti amministratori del server non scelgono di installare ogni singolo pacchetto presente nella distribuzione, preferendo installare la versione di base dei pacchetti, incluso diverse applicazioni del server.

23 Capitolo 2. Aggressori e vulnerabilità 11 Un abitudine presente in molti amministratori del sistema, è quello d installare il sistema operativo senza prestare attenzione a quali programmi sono stati precedentemente installati. Ciò può essere problematico in quanto si possono installare servizi non necessari, configurati con delle impostazioni di default e possibilmente essere eseguiti per default. Questo causa l esecuzione di questi servizi non desiderati, come ad esempio Telnet, DHCP, or DNS, senza che gli amministartori se ne possano accorgere, ne consegue un traffico non voluto al server, oppure, un potenziale percorso per eventuali cracker. Per maggiori informazioni su come chiudere porte o disabilitare servizi non usati, consultare il Capitolo Servizi unpatched Molte applicazioni del server presenti in una installazione di default, sono affidabili, e rappresentano parti di software ampiamente provate. Poichè tali applicazioni sono state impiegate per molti anni, i loro codici sono stati migliorati e di conseguenza numerosi bug sono stati eliminati. Tuttavia, non esiste un software perfetto, vi sarà quindi sempre spazio per i miglioramenti. Inoltre, i software più recenti spesso non sono rigorosamente provati come ci si può aspettare, questo a causa del loro più recente arrivo negli ambienti di produzione oppure perchè potrebbero non essere così richiesti come potrebbero esserlo altri tipi di software. Sviluppatori e amministratori di sistema spesso trovano alcuni bug presenti nelle applicazioni del server e pubblicano delle informazioni sul riporto del bug con i relativi siti web sulla sicurezza, come ad esempio il Bugtraq mailing list ( o il sito web del Computer Emergency Response Team (CERT) ( Anche se questi meccanismi rappresentano un modo efficace per allertare la comunità su potenziali punti deboli, la responsabilità di emettere prontamente un patch, ricade sempre sugli amministratori di sistema. Questo è particolarmente vero in quanto i cracker hanno accesso a questi servizi di monitoraggio, potendo così usare le informazioni contenute, per infiltrarsi in sistemi unpatched appena si presenta loro l occasione. Una buona gestione del sistema richiede controllo, riporto costante di eventuali bug, e un mantenimento del sistema idoneo per assicurare un ambiente informatico sicuro. Consultate il Capitolo 3 per maggiori informazioni su come mantenere aggiornato un sistema Gestione distratta Gli amministartori che non emettono patch dei loro sistemi, rappresentano una delle minacce più grandi per la sicurezza del server. Secondo il System Administration Network and Security Institute (SANS), la causa principale della vulnerabilità di un computer deriva "dall assegnazione di personale non specializzato al mantenimento della sicurezza e dalla mancanza di addestramento o di tempo, per apportare le sufficienti modifiche." 1 Quanto detto può essere applicato sia per amministratori inesperti, che per amministratori demotivati o troppo sicuri. Alcuni amministratori dimenticano di emettere patch riguardanti i loro server e le workstation, mentre altri non prestano attenzione ai messaggi provenienti dal kernel del sistema o dal traffico di rete. Un altro errore molto comune, è quello di non cambiare le password di default o le chiavi necessarie per accedere ai servizi. Per esempio, alcuni database hanno password di default di gestione in quanto gli sviluppatori del database presumono che l amministratore del sistema cambi le suddette password subito dopo l installazione. Se l amministratore del database non cambia queste password, ne consegue che anche un cracker inesperto sarà in grado di usare una password di default e accedere quindi ai privilegi di gestione del database. Questi sono solo alcuni degli esempi di come un amministratore un pò distratto, può compromettere i server. 1. Source:

24 12 Capitolo 2. Aggressori e vulnerabilità Servizi non sicuri Anche l organizzazione più vigile può presentare punti deboli dovuti alla scelta di servizi di rete non sicuri. Per esempio, ci sono molti servizi sviluppati con la certezza che essi siano usati su reti sicure, tuttavia, questa certezza viene contraddetta appena il servizio diventa disponibile su Internet il quale a sua volta è per sua natura non sicuro. Un altra categoria di servizi non sicuri, è quella che richiede il nome utente e la password per l autenticazione. Telnet e FTP sono un esempio di tali servizi. Se un pacchetto di tipo sniffing, controlla il traffico tra un utente remoto ed un server di questo tipo, esso sarà facilmente in grado di rubare il nome utente e la password. I servizi sopra riportati possono a loro volta, diventare prede del così detto attacco man-in-the-middle. In questo tipo di attacco, un cracker è in grado di ridirezionare il traffico di rete, camuffando il nome del server sulla rete, in modo tale da risultare come macchina destinataria sostituendosi quindi al server che in realtà avrebbe dovuto ricevere il traffico. Appena un utente apre una sessione remota per quel server, la macchina dell utente cracker funge da condotto invisibile, aspettando in silenzio tra il servizio remoto e l ignaro utente, potendo così catturare tutte le informazioni a suo piacimento. Un altro esempio di servizi non sicuri, sono i file system di rete e servizi di informazione come NFS o NIS, i quali sono sviluppati esplicitamente per l uso di LAN, ma sono, sfortunatamente, usati anche per includere WAN (per utenti remoti). NFS, per default, non possiede alcun meccanismo di autenticazione o di sicurezza in grado di prevenire il montaggio, da parte di un cracker, di una condivisione NFS e accedere quindi al suo contenuto. Anche NIS possiede informazioni vitali, che devono essere conosciute da ogni computer su di una rete, incluso le password ed i permessi dei file, all interno di un testo ASCII o un database DBM (derivato-ascii). Un cracker che riesce a ottenere accesso al database, è in grado di accedere anche ad ogni altro account su di una rete, incluso quello di un amministratore. Per default, Red Hat Enterprise Linux interrompe tali servizi. Tuttavia, dato che gli amministratori spesso fanno uso di questi servizi, è essenziale effettuare un attenta configurazione. Consultare Capitolo 5 per maggiori informazioni su come impostare i servizi in modo sicuro Minacce alla sicurezza di una workstation o di un PC Le workstation e i PC potrebbero non essere soggetti ad attacchi così come potrebbero esserlo i server e le reti, ma a causa del loro contenuto,come ad esempio informazioni sulle carte di credito, essi talvolta sono soggetti ad attacchi da parte di cracker. Le workstation a loro volta, possono essere usate da aggressori, all insaputa dell utente, come macchine "slave" in attacchi coordinati. Per queste ragioni, la conoscenza delle vulnerabilità di una workstation, può salvare l utente dall onere di una reinstallazione del sistema operativo Password non idonee Le password non idonee, rappresentano il modo migliore per un aggressore, di ottenere l accesso ad un sistema. Per maggiori informazioni su come creare una password in modo sicuro, consultare la Sezione Applicazioni client vulnerabili Anche se un amministratore possiede un server completamente sicuro, ciò non significa che gli utenti remoti possano accedere in modo del tutto sicuro. Per esempio, se il server offre dei servizi Telnet o FTP attraverso una rete pubblica, un cracker può essere in grado di catturare il nome utente e la password quando essi attraversano la rete, usando le informazioni dell account per accedere alla workstation dell utente remoto.