Sicurezza Informatica. Gianluigi Me Anno Accademico 2011/12

Transcript

1 Sicurezza Informatica Gianluigi Me Anno Accademico 2011/12

2 Risorse del Corso Teaching -> Sicurezza dei Sistemi Informatici Gruppo su google:iscrivetevi! a-informatica-ing-medica Twitter per comunicazioni real time e rassegna stampa (da HP sito) Contiene tutto (o quasi) sul corso Lucidi, link, informazioni sull esame

3 Libro di testo Menezes, van Oorschot, Vanstone Handbook of Applied Cryptography CRC Press Disponibile on-line (link sulla pagina Web) Altri testi consigliati sulla pagina Web Link d interesse nella sezione LINKS

4 Organizzazione del Corso Lezioni di teoria (martedì) Crittografia applicata breve storia, convenzionale e a chiave pubblica (gestione e distribuzione delle chiavi in altro modulo) Autenticazione Sistemi base, challenge-response, autenticazione di sistemi ed utenti Tirocinio (venerdì) Fondamenti di sicurezza delle reti Standard di Sicurezza e Privacy

5 Agenda tirocinio (rete) Introduzione Modelli di riferimento (ISO/OSI TCP/IP) Encapsulation I livelli del TCP IP protocolli, HW e indirizzamento Architetture LAN, MAN, WAN L indirizzamento e il routing di Internet DNS, HTTP e WWW, , FTP Proxy, Personal Firewall, Firewall, IDS, IPS La Governance in ambienti complessi Attacchi e contromisure

6 Agenda tirocinio Sistemi di Autenticazione ed Autorizzazione Internet Privacy e Antivirus Standard e Normative di Privacy e Sicurezza Disponibilità dei Dati, Backup, RAID, DR e BC Database Security e Digital Forensics

7 Esami del corso Esame scritto + progetto (opzionale, 1-5 punti) Esonero A metà e fine corso Possibilità di chiudere l esame prima degli appelli Consegna Progetto: entro appello di settembre, disaccoppiato dalla data in cui lo studente effettua la prova scritta

8 13th Annual 2008 CSI Report CSI (Computer Security Institute) ha intervistato 522 computer security practitioners in aziende, agenzie governative, istituzioni finanziarie, istituzioni mediche e università Computer Crime and Security Survey Sunto disponibile su:

9 Experienced Security Incidents

10 Number of incidents by percentage

11

12

13

14 2007 CSI Report (cont.) Perdite finanziarie quantificate: $ 66,930,950 in 2007 Report $ 52,494,290 in 2006 Report $ 130,104,542 in 2005 Report $ 141,496,560 in 2004 Report $ 201,797,340 in 2003 Report $ 455,848,700 in 2002 Report $ 377,828,700 in 2001 Report $ 265,589,940 in 2000 Report $ 120,240,180 media prima del 2000

15

16 2003 CSI/FBI Report (cont.)

17 Summary Sicurezza informatica non è una moda ma una questione seria Alti rischi e perdite ($$$) Quanta sicurezza? Quale trade off tra costi e sicurezza?) Insicurezza della mia piattaforma può recare danni a me ma anche ad altri (esternalità) Non sono molte le organizzazioni (individui) che hanno piani di sicurezza e/o adottano tecniche e policy per migliorare la sicurezza: Crittografia (Privacy, Integrity, Authentication,...) Politiche (Auditing, Security Management,...) Soluzioni (Firewall, Antivirus, Intrusion Detection System, Network Scanner,...)

18 Cosa si vuole rendere sicuro Riservatezza dei dati presenti nei sistemi Riservatezza della comunicazione Controllo dei sistemi e delle reti Integrità dell informazione Il livello di servizio offerto L identità di chi accede ai servizi Privacy

19 Definizioni

20 Definizioni di base Con il termine sicurezza informatica, secondo la definizione dell International Standard Organization, si intende l insieme delle misure atte a garantire, ad un sistema informatico, le seguenti proprietà delle informazioni: Confidenzialità: il patrimonio informativo (asset) deve essere acceduto solamente da soggetti autorizzati. Perciò, solamente coloro in possesso di adeguata autorizzazione possono leggere, stampare, copiare od essere a conoscenza dell esistenza di una determinata risorsa; Integrità: L asset informatico può essere modificato solo se autorizzati (persone, applicazioni). Tale autorizzazione individua anche un livello di accesso alle risorse al quale sono associate un insieme definito di operazioni permesse: ad esempio, un utente potrebbe accedere in lettura su un file, ma non in scrittura; Disponibilità: L asset deve essere acceduto dalle persone autorizzate nei tempi prestabiliti. Ad esempio, una persona od applicazione, che detenga un autorizzazione valida per qualche risorsa, non deve averne l accesso negato. La disponibilità è la caratteristica da preservare negli attacchi di abbattimento del servizio (Denial of Service, DoS).

21 Definizioni di base Confidenzialità Integrità Disponibilità SICUREZZA

22 Definizioni di base Quali risorse sto cercando di proteggere? Da cosa bisogna difendere il sistema informatico?

23 Definizioni di base Confidenzialità (segretezza), con obiettivo di proteggere le informazioni rendendole incomprensibili a chiunque diverso dal legittimo destinatario (ad esempio, un intercettatore) ; Autenticazione, con obiettivo di accertare la reale origine di un messaggio, evitando che un intrusore si mascheri, ad esempio, da utente autorizzato; Integrità, con obiettivo di consentire al destinatario di un messaggio di verificare che non sia stato modificato durante il tragitto. Un intrusore non deve essere in grado di sostituire un messaggio vero con uno falso; Non ripudio, con obiettivo di impedire al mittente di negare di aver inviato un messaggio.

24 I principi di sicurezza Minimo privilegio (non solo in ambito informatico): è il principio fondamentale della sicurezza. Ogni risorsa (informatica, umana) deve avere soltanto le autorizzazioni di cui ha bisogno per compiere il proprio lavoro. Niente di più; Difesa in profondità (non solo in ambito informatico): non bisogna fare affidamento soltanto su un meccanismo di sicurezza, anche se ritenuto estremamente valido ed affidabile. L adozione di molteplici sistemi di sicurezza in grado di coprire eventuali malfunzionamenti di altre contromisure evita la compromissione del sistema (ad esempio, nelle automobili, la serratura degli sportelli e il sistema di bloccaggio del motore senza chiavi nel quadro d accensione); Punto di transito di semplice controllo: un punto d accesso facilmente controllabile permette una bassa percentuale di errori ed una loro immediata individuazione. Un esempio è costituito dalla linea dei metal detector in aeroporto, la coda per il controllo dei biglietti a teatro;

25 I principi di sicurezza Anello debole: la sicurezza di un intero sistema è rappresentabile come una catena di contromisure tanto forte quanto l anello più debole. Chiunque vorrà attaccare il sistema lo farà nella parte maggiormente vulnerabile, ovvero quella con la contromisura più debole; Fallimento in regime di sicurezza: quando una contromisura fallisce, lo deve fare in maniera sicura. Ciò vuol dire che se un sistema di sicurezza ha un malfunzionamento non deve consentire l accesso all intruso, anche a costo di negarlo ai legittimi utenti. Istanze di questo principio sono: tutto ciò che non è espressamente consentito è vietato; tutto ciò che non è espressamente vietato è consentito;

26 I principi di sicurezza La partecipazione universale: la maggior parte dei sistemi di sicurezza richiede la partecipazione universale (o, almeno, l assenza di opposizione attiva) delle risorse umane coinvolte. Ad esempio, se qualcuno all interno dell azienda non è disciplinato nell adozione delle misure previste dalla politica di sicurezza, allora un attaccante potrebbe utilizzare il suo computer per poter arrivare, dall interno, alla risorsa d interesse per l attacco; Diversità della difesa: è strettamente collegata alla profondità della difesa, diversificandosi nell organizzazione della sicurezza. Non occorrono diversi strati di sicurezza, ma differenti tipi di difesa. Ad esempio, aggiungendo un sistema d allarme all interno dell autovettura, equipaggiata con i sistemi citati nell esempio precedente, si aggiunge la diversità alla profondità della difesa; Semplicità: è una strategia di sicurezza per due ragioni: la semplicità, che consente la più larga e veloce comprensione, rende chiaro cosa accade, rendendo più facile capire se si è sicuri. Inoltre, la complessità fornisce nicchie dove poter nascondere oggetti: è molto più facile rendere sicuro un monolocale rispetto ad una villa a due piani con giardino!

27 I principi di sicurezza Security through obscurity: è il principio di proteggere gli oggetti, nascondendoli. E un principio molto usato nella vita di tutti i giorni (nascondere le chiavi in un posto segreto, la borsa nel portabagagli dell automobile), ma in informatica è soltanto una valida tattica di sicurezza: senza una reale protezione adottata, è assolutamente inefficace (è il caso, ad esempio, degli algoritmi di cifratura del GSM).

28 I principi di sicurezza La lezione imparata nei secoli è, perciò, di non sottovalutare alcun aspetto della protezione, poiché la sicurezza dell intero sistema informatico è data dalla parte più debole del sistema di sicurezza.

29 Obscurity is not Security All security should reside in the keys Secret algorithms could hide secret bugs, or secret trapdoors (or public license fees) Keyless algorithms don t exist algorithm is the key input data is the key (autokey cipher) both usually very weak claims that something hasn t been broken are meaningless but hard to refute unless by Shamir, Coppersmith, slide 29 8-Mar-12

30 Gli attacchi Interruzione: una risorsa del sistema è distrutta o diventa indisponibile o inusabile (Denial of Service (DoS), abbattimento del servizio); Intercettazione: un utente non autorizzato guadagna l accesso ad una risorsa del sistema. Esempi di questa tipologia di attacco sono l intercettazione tramite sniffing o gli attacchi di spoofing, dove l utente non autorizzato si spaccia, con successo, per uno autorizzato. FONTI DELLE INFORMAZIONI DESTINAZIONE DELLE INFORMAZIONI (A) Flusso normale (B) Interruzione (C) Intercettazione

31 Gli attacchi Modifica : un utente non autorizzato non solo guadagna l accesso, ma falsifica il contenuto di una risorsa, alterandone l integrità; Produzione: un utente non autorizzato inserisce oggetti informatici contraffatti nel sistema, tesi, essenzialmente al sabotaggio (es. Virus, Worm al fine di provocare, ad esempio, DoS oppure per rubare dati). FONTI DELLE INFORMAZIONI DESTINAZIONE DELLE INFORMAZIONI (A) Flusso normale (D) Modifica (E) Fabbricazione

32 Gli attacchi Howard divide gli attaccanti in sei categorie Hackers: attacco a primario scopo dimostrativo e di sfida tecnica; Spie: attacco per furto di informazioni al fine di guadagnare potere politico; Terroristi: attacco per infondere paura utile all acquisizione di potere politico; Corporate raiders: attacco portato dai dipendenti di una azienda ai danni di sistemi dei concorrenti, finalizzato al guadagno economico aziendale; Criminali professionisti: attacco per guadagno economico personale; Vandali: attacco al Sicurezza fine dei di Sistemi causare Informatici-G.Me danni;

33 Gli attacchi TIPOLOGIA DI ATTACCO OBIETTIVI HACKERS SPIE SFIDA TERRORISTI RISCONTRI FINANZIARI CORPORATE RAIDERS STRUMENTI ACCESSO RISULTATO RISCONTRI POLITICI CRIMINALI PROFESSIONISTI DANNI VANDALI

34 Come possiamo proteggerci? Segretezza delle informazioni sui propri sistemi Segretezza della comunicazione Controllo dei nostri sistemi e reti Integrità dei dati Denial of Service Autenticità dei partner nella comunicazione Privacy Uso esteso della crittografia Controllo degli Accessi (hardware, software, sistema, applicazioni) Autenticazione (password, certificazione, biometrica) Virtual Private Networks Sistemi per la rilevazioni delle intrusioni Ridondanza delle strutture Cultura della riservatezza

35 Strumenti commerciali disponibili Crittografia RSA Security, F-Secure, Certicom Autenticazione Verisign, Entrust, Baltimore, società biometriche hi-tech Autorizzazione, Autenticazione ed Amministrazione (3A) Computer Associates, IBM Tivoli, BMC Software Software Anti-Virus Network Associates (McAfee), Symantec (Norton) Firewalls Checkpoint, Cisco, CA, Microsoft Intrusion Detection ISS, Cisco, NFR VPN Hardware Nokia, Nortel, Intel Public Key Infrastructure (PKI) Entrust, Baltimore, IBM (VeriSign)

36 Gli attacchi (Eavesdropping)

37 Gli attacchi (Eavesdropping)

38 Gli attacchi (Social Engineering)

39 Phishing (Social Engineering) Una truffa informatica che permette agli ideatori di carpire, attraverso un' , i dati di accesso personali alla propria banca on line. Arriva nella casella di posta elettronica comunicando un imprecisato problema al sistema di "home banking". Invita ad aprire la home page della banca con cui avete il conto corrente gestito via web e a cliccare sul link indicato nella mail. Subito dopo aver aperto il sito della banca vi si apre una finestra (pop-up) su cui digitare la "user-id" e la "password" di accesso all'home banking. Dopo pochi secondi appare un altro pop-up che vi informa che per assenza di collegamento non è possibile la connessione. A questo punto qualcuno è entrato in possesso dei vostri dati e può fare operazioni dal vostro conto.

40 Phishing (Social Engineering)

41 Phishing (Social Engineering)

42 Phishing (Social Engineering)

43 Phishing (Social Engineering)

44 Phishing (Social Engineering)

45 Phishing..studiamo la tecnica Per i possessori di un conto Banca Intesa: <a href=" %72U/" target="_blank"> 2Dz73h8x0eez52e8zy6</a><br>

46 Phishing..studiamo la tecnica <br> Per i possessori di un conto San Paolo IMI: <a href=" %2e%09Ru/" target="_blank"> m1fj8e3c6s7s</a><br> <br> Per i possessori di un conto Fineco: <a href=" target="_blank"> 3bq05wv1g</a> <o:p></o:p></span></font></p>

47 Phishing..studiamo la tecnica Ancora, però, non è chiaro, visti i rimandi su google ed una serie di caratteri esadecimali inseriti per alterare la leggibilità dell'url, capire su quale sito punta l'hyperlink. Decodificando l'url %72U/

48 Phishing..studiamo la tecnica

49 Gli attacchi Un attacco informatico è una violazione della sicurezza informatica. Dalla definizione presentata nel paragrafo, una possibile definizione di attacco informatico è, perciò, «la violazione della confidenzialità, disponibilità ed integrità di un sistema informatico». Tra le molteplici tassonomie e classificazioni presenti in letteratura, verranno presentate, ai fini di una impostazione metodologica, J. D. Howard e J. D. Howard, An Analysis Of Security Incidents On The Internet ,

50 Some common mistakes Too little entropy in the random number seed This was Netscape s problem Using the wrong block cipher mode Reusing keys for stream ciphers, or using a block cipher key for too long Microsoft reuses streams in a number of places Authenticating at the beginning of a session, but allowing hijacking later Choosing bad passwords Divide and conquer attacks slide 50 8-Mar-12

51 Sicurezza dei Sistemi Informatici Gianluigi Me Anno Accademico 2008/09

52 Computer Security: An Overview

53 Attori Alice

54 Attori Bob

55 Basic Communication Alice talking to Bob Hello

56 Another Character Eve

57 Basic Communication Problem Eve listening to Alice talking to Bob Hello

58 Two-Party Environments Alice Bob

59 Modello di comunicazione sicura Alice Bob

60 Trusted Server Esempio Alice Bob PrivK(Alice) Encrypt Decrypt Gen Sess Key Encrypt Encrypt Sign PrivK(Alice) ( Alice ) Sign PrivK(Bob) ( Bob ) Enc PubK(Bob) (SessK) Enc SessK (Message) Decrypt Encrypt Decrypt Decrypt PrivK(Bob)

61 Modello di accesso sicuro Identifica e filtra le richieste di informazioni

62 Esempi di Attacco Intrusione Eavesdropping Impersonificazione Virus / Worm Denial of Service Man-in-the-middle Reflection attack Replay attack Password cracking Corruzione di dati/codici Attribuzione fraudolenta/ripudiazione

63 Meccanismi Uso specifico di algoritmi, protocolli, e procedure per rilevare e difendersi da attacchi. Esempi Cifrare l informazione Autenticare gli utenti usando qualcosa che possiedono qualcosa che sanno, oppure qualcosa che sono Rilevare e rendere inoffensivi i virus, e le intrusioni Creare e gestire sistemi e procedure per il controllo degli accessi

64 Servizi di Sicurezza Confidenzialità Autenticazione Integrità Non-ripudio Controllo degli Accessi Disponibilità del servizio

65 Cosa può accadere? L informazione sui sistemi può essere compromessa Gen. 2000, un hacker penetra nei sistemi della CDUniverse, sottrae 300,000 numeri di carta di credito e informazioni sui clienti; altri hackers ottengono accesso ai dati della Egghead.com. Luglio 2001, un hacker riesce ad sottrarre i dati sui guadagni della JDS earnings prima che vengano rilasciati. Gen. 2002, un hacker penetra nei sistemi della Online Resources (software finanziario); usa questi sistemi per accedere ad una banca di NY che viene ricattata

66 Cosa può accadere? La comunicazione può essere compromessa Nel XVI secolo, Maria Stuarda fu decapitata dopo che i suo messaggi segreti furono decifrati (dimostrando che complottava contro Elisabetta I). Nella seconda guerra mondiale, molti U-boat tedeschi furono distrutti dopo che gli Inglesi riuscirono a decifrare i messaggi che utilizzavano la macchina Enigma. Oggi, il sistema Carnivore analizza milioni di messaggi di al giorno.

67 Cosa può accadere? I sistemi possono essere compressi Febbraio 2000, ICQ userid, PIN hijacked per un riscatto Agosto 2001, Code Red infetta server in 14 ore Scandisce la rete alla ricerca di server IIS vulnerabili; rallenta i server; lascia backdoor per gli hacker Molti altri virus prendono il controllo del sistema operativo, inviano messaggi. I sistemi compromessi possono essere utilizzati per attaccare altri siti sensibili

68 Cosa può accadere? I dati possono essere alterati. Settembre 1999, i siti del NASDAQ e dell AMEX vengono violati; gli hacker aprono dei propri account di . Ottobre 99, un Worm svuota interi archivi al Pentagono. Ottobre 2000, hacker Pro-Israeliani e pro-palestinesi (e- Jihad) violano decine di siti; i visitatori del sito di Hamas sono dirottati su un sito porno. Aprile 2001, il sito della British Telecom site è violato due volte in tre giorni gli hacker protestano contro la sospensione del servizio ADSL Luglio 2001, un gruppo di hacker viola 679 siti in un minuto

69 Cosa può accadere? Il servizio può essere interrotto. Settembre 1996: Panix, un ISP di NY, subisce un attacco di tipo Denial of Service (DoS) basato su SYN flooding Maggio 1999, il virus Melissa virus manda in crash molti servers di si diffonde replicandosi verso i primi 50 contatti di Outlook Febbraio 2000: attacco Mafiaboy di tipo Distributed Denial of Service (DDoS): Yahoo, CNN, ebay, Amazon non disponibili per più di 3 ore. Attacchi vari a siti istituzionali (Ministero della Giustizia).

70 Altre informazioni sugli attacchi Numero degli attacchi gli USA sono i primi nel mondo per il numero assoluto Israele è in testa per il numero di attacchi per abitante circa il 45% degli attacchi sono critici. Gran parte delle maggiori società sono attaccate continuamente (specialmente le società finanziarie). Molti attacchi sono semplici scansioni alla ricerca di nodi vulnerabili Molti utenti sono sempre connessi (ad esempio tramite ADSL) da sistemi altamente insicuri i dispositivi wireless (cellulari o palmari) iniziano ad essere interessati da virus

71 Sicurezza Informatica Gianluigi Me Anno Accademico 2011/12