SECURING THE FUTURE PROGETTARE OGGI LA SICUREZZA DI DOMANI

Transcript

1 SECURING THE FUTURE PROGETTARE OGGI LA SICUREZZA DI DOMANI WEBINAR 21/06/2016

2 IL PROBLEMA LA TECNOLOGIA PERVASIVA Il mondo interconnesso: ecosistemi e filiere di: Oggetti/applicazioni/servizi Fisico/Digitale Cose/Persone DATA PRESENTATION MANAGEMENT & OPERATION STRATEGIC DASHBOARD CONSUMER FACING MOBILE APP NOTIFICATIONS ON WEARABLE BACK-END IT INFRASTRUCTURE BACK-OFFICE SYSTEMS ON PREMISE / ON CLOUD SERVICES 3 rd PARTY SERVICES EXTERNAL DATA SOURCES CONNECTIVITY WIRED Standard cable connection WIRELESS Cellular, IoT players, Short range solutions (e.g. BLE, ZigBee, etc.) COLLECTORS/GWs DEVICES & SENSORS COFFEE MACHINE VENDING MACHINE TRASH CONTAINER FRIDGE ENERGY METER CONNECTED DEVICES copyright CEFRIEL 2016 All rights reserved Milano, Italy 2 21/06/2016

3 LA SICUREZZA NEL PERVASIVE ICT SCOMPONIAMO IL PROBLEMA Device/ Sensor GW/ Client Backend... Vulnerabilità specifiche Vulnerabilità mobile/pc (like) Vulnerabilità web (app, services, ) Problematiche cloud copyright CEFRIEL 2016 All rights reserved Milano, Italy 3 21/06/2016

4 LA SICUREZZA NEL PERVASIVE ICT LE VULNERABILITÀ SPECIFICHE Device/ Sensor GW/ Client Backend... Vulnerabilità specifiche copyright CEFRIEL 2016 All rights reserved Milano, Italy 4 21/06/2016

5 LA SICUREZZA NEL PERVASIVE ICT - LE VULNERABILITÀ SPECIFICHE I DEVICE E I SENSORI Alle vulnerabilità intrinseche si aggiunge l'"ambiente ostile" E in alcuni casi, si possono applicare approcci più "intrusivi" Oggetti semplici possono essere compromessi "facilmente" Oggetti complessi possono avere vulnerabilità intrinseche copyright CEFRIEL 2016 All rights reserved Milano, Italy 5 21/06/2016

6 LA SICUREZZA NEL PERVASIVE ICT - LE VULNERABILITÀ SPECIFICHE LA COMUNICAZIONE LOCALE I device e i sensori devono comunicare A volte, in modo sicuro direttamente con il backend Più spesso, attraverso un qualche tipo di Gateway locale (smartphone o altro) Esempio Si affiancano a scelte implementative a volte scorrette + Vulnerabilità teoriche (o di "difficile" sfruttabilità) copyright CEFRIEL 2016 All rights reserved Milano, Italy 6 21/06/2016

7 LA SICUREZZA NEL PERVASIVE ICT - LE VULNERABILITÀ SPECIFICHE LA COMUNICAZIONE LOCALE OLD STYLE Senza dimenticare numerose infrastrutture "legacy", in cui: La sicurezza è basata sulla segregazione oggi sempre più a rischio Protocolli proprietari, assenza di cifratura di canale, La resistenza degli oggetti rispetto a un semplice "network probing" non è assicurata copyright CEFRIEL 2016 All rights reserved Milano, Italy 7 21/06/2016

8 LA SICUREZZA NEL PERVASIVE ICT LE VULNERABILITÀ "MOBILE/PC-LIKE" Device/ Sensor GW/ Client Backend... Vulnerabilità mobile/pc (like) copyright CEFRIEL 2016 All rights reserved Milano, Italy 8 21/06/2016

9 LA SICUREZZA NEL PERVASIVE ICT - LE VULNERABILITÀ "MOBILE/PC-LIKE" IL PC VOGLIAMO DAVVERO PARLARNE? copyright CEFRIEL 2016 All rights reserved Milano, Italy 9 21/06/2016

10 LA SICUREZZA NEL PERVASIVE ICT - LE VULNERABILITÀ "MOBILE/PC-LIKE" E SE NON HO RICEVUTO SOSPETTE? Anche la navigazione normale può nascondere insidie falsi antivirus falsi aggiornamenti componenti dei browser copyright CEFRIEL 2016 All rights reserved Milano, Italy 10 21/06/2016

11 LA SICUREZZA NEL PERVASIVE ICT - LE VULNERABILITÀ "MOBILE/PC-LIKE" MOBILE SECURITY È un tema molto caldo OS-meno-sicure-di-quelle-android/ OWASP Top 10 Mobile Risks vulnerabilities-affect-1-billionandroid-devices/114863/ = Codice accessibile Credenziali amministrative per accesso a DB/BE Storage locali non sicuri copyright CEFRIEL 2016 All rights reserved Milano, Italy 11 21/06/2016

12 LA SICUREZZA NEL PERVASIVE ICT - LE VULNERABILITÀ "MOBILE/PC-LIKE" MOBILE SECURITY E' ATTUABILE? Funzione delle strategie di sviluppo, dell'ambito e della finalità d'uso Framework multipiattaforma Mobile Secure SDK Whitelist Iframes & Callback security Certificates Security Encrypted storage Root/Jailbreak/Emulator detection Encryption end-to-end Machine-to-machine authentication Secure Storage Unique device ID Hanno costi e complessità differenti, correlati a finalità ed esigenze Tuttavia in generale le funzionalità di sicurezza dei framework adottati richiedono competenza e "interiorizzazione", da parte di chi sviluppa Ma anche di chi progetta e decide! copyright CEFRIEL 2016 All rights reserved Milano, Italy 12 21/06/2016

13 LA SICUREZZA NEL PERVASIVE ICT - LE VULNERABILITÀ "MOBILE/PC-LIKE" MOBILE SECURITY Non dipende solo da come si realizzano le Mobile App App malevole, attrattive per l'utente Possono sfruttare vulnerabilità per controllare il telefono "in profondità" copyright CEFRIEL 2016 All rights reserved Milano, Italy 13 21/06/2016

14 LA SICUREZZA NEL PERVASIVE ICT - LE VULNERABILITÀ "MOBILE/PC-LIKE" I "DATA COLLECTOR" Comunicazione (OTA?) verso il centro gestione Attacchi "tradizionali": Intercettazione comunicazioni di rete? Interfacciamento e sfruttamento servizi esposti? Vulnerabilità servizi e interfacce? ~ _ Sperimentazioni CEFRIEL Logica interna anche molto raffinata (PC-like) Comunicazione verso "il campo" copyright CEFRIEL 2016 All rights reserved Milano, Italy 14 21/06/2016

15 LA SICUREZZA NEL PERVASIVE ICT LE VULNERABILITÀ WEB (APP, SERVICES, ) Device/ Sensor GW/ Client Backend... Vulnerabilità web (app, services, ) copyright CEFRIEL 2016 All rights reserved Milano, Italy 15 21/06/2016

16 LA SICUREZZA NEL PERVASIVE ICT - LE VULNERABILITÀ "WEB" PROBLEMI "LEGACY" Forse è un problema irrisolvibile? Vulnerabilità "base" sempre presenti Una provocazione, ma copyright CEFRIEL 2016 All rights reserved Milano, Italy 16 21/06/2016

17 LA SICUREZZA NEL PERVASIVE ICT - LE VULNERABILITÀ "WEB" (IN)SICUREZZA DEI NUOVI SERVIZI Ma anche nuovi servizi nascono insicuri! Internet of Things Approccio "se non lo capisco è sicuro" Con un qualsiasi client MQTT APP MQTT BROKER Attaccante GATEWAY Vari protocolli locali o su rete GSM GPRS Consapevolezza? Mentalità? Coinvolgimento? Forse "think secure" è davvero così "think different"? copyright CEFRIEL 2016 All rights reserved Milano, Italy 17 21/06/2016

18 LA SICUREZZA NEL PERVASIVE ICT - LE VULNERABILITÀ "WEB" PERCHÉ LA "WEBAPP SECURITY" È UN PROBLEMA? Tante linee guida e indicazioni ma tante tecnologie e architetture pressione sulle funzionalità e sui deliverable spesso poco coinvolgimento delle funzioni infosecurity obsolescenza tecnologica più veloce del processo di refresh scarsa propensione ad adottare le remediation emerse dagli assessment copyright CEFRIEL 2016 All rights reserved Milano, Italy 18 21/06/2016

19 LA SICUREZZA NEL PERVASIVE ICT - LE VULNERABILITÀ "WEB" E SI TORNA AGLI AMBIENTI "SEGREGATI" E se espongo un'interfaccia Web non pensata per essere esposta? Ma occorre sapere che c'è 39 attacchi in 28 giorni copyright CEFRIEL 2016 All rights reserved Milano, Italy 19 21/06/2016

20 LA SICUREZZA NEL PERVASIVE ICT LE PROBLEMATICHE CLOUD Device/ Sensor GW/ Client Backend... Problematiche cloud copyright CEFRIEL 2016 All rights reserved Milano, Italy 20 21/06/2016

21 LA SICUREZZA NEL PERVASIVE ICT - LE PROBLEMATICHE CLOUD CLOUD SECURITY AT A GLANCE Immagine da _computing.jpg Quale cloud? Quali app/sistemi? Ma soprattutto, agendo all'interno Sicurezza nei "data flow" Accessi/autenticazione sicuri Ove possibile protezione nativa del dato? Senza dimenticare le infrastrutture on premises! copyright CEFRIEL 2016 All rights reserved Milano, Italy 21 21/06/2016

22 LA SICUREZZA NEL PERVASIVE ICT E BASTA? :-( Device/ Sensor GW/ Client Backend... copyright CEFRIEL 2016 All rights reserved Milano, Italy 22 21/06/2016

23 LA SICUREZZA NEL PERVASIVE ICT - IL FATTORE UMANO UN UTENTE ORAMAI BOMBARDATO Violazione di presìdi social (o creazione di falsi account) Social engineering "pura" (sempre efficace!) Vulnerabilità web sempre presenti copyright CEFRIEL 2016 All rights reserved Milano, Italy 23 21/06/2016

24 LA SICUREZZA NEL PERVASIVE ICT - IL FATTORE UMANO LA NOSTRA ESPERIENZA Negli ultimi 5 anni abbiamo svolto circa 20 Social-Driven Vulnerability Assessment (SDVA) in grandi imprese con migliaia di addetti, coinvolgendo circa utenti ACME corpora on established a partnership to propose discount to all the employees Limited offers only for ACME corpora on employees. Click on the link below and sign in with your company creden al to obtain the discounts Dato un esempio di possibile di test 70% DISCOUNT Lots of discounts Limited me Only for Employees Sign in with your company creden als SIGN SIGN IN IN Food Fashion Technology Travels Secondo voi, cosa può succedere? copyright CEFRIEL 2016 All rights reserved Milano, Italy 24 21/06/2016

25 Inserimento credenziali (% of sample) LA SICUREZZA NEL PERVASIVE ICT - IL FATTORE UMANO CONFRONTO 50% 40% Comparativa misurazioni ottenute mediante metodologia SDVA sviluppata da Fino a 44% 30% 20% Fino a 59% 10% 0% 0% 10% 20% 30% 40% 50% 60% 70% Click su link in (% of sample) copyright CEFRIEL 2016 All rights reserved Milano, Italy 25 21/06/2016

26 LA SICUREZZA NEL PERVASIVE ICT DOVE STIAMO ANDANDO? ne-power-system-hacked.html nology/2015/nov/26/hackers-canhijack-wi-fi-hello-barbie-to-spy-onyour-children /02/15/hollywood-hospitals-systemsheld-hostage-by-hackers/ copyright CEFRIEL 2016 All rights reserved Milano, Italy 26 21/06/2016

27 GRAZIE! Raoul Brenna Head of Information Security CEFRIEL cefriel.com