Reti di calcolatori. Lezione del 25 giugno 2004

Transcript

1 Reti di calcolatori Lezione del 25 giugno 2004

2 Tecniche di attacco Denial of Service : impedisce ad una organizzazione di usare i servizi della propria rete; sabotaggio elettronico Gli attacchi DoS possono essere ricondotti ad azioni di flooding ("inondazione": un attaccante spedisce ad un sistema o ad una rete una lunga sequenza di messaggi in modo da occupare interamente o quasi la CPU ed altre risorse del sistema). Furto di informazioni: ottenere delle informazioni anche senza dover utilizzare direttamente un computer dell'organizzazione che intende attaccare. Si sfruttano dei servizi Internet che sono stati configurati per fornire informazioni, inducendoli a fornire più informazioni di quelle previste oppure a fornirle alle persone sbagliate Attivo: un attaccante può ottenere le informazioni effettuando delle query ad un server; Passivo: un attaccante può ottenere le informazioni catturando il traffico che interessa un segmento di rete da lui controllato.

3 Tecniche di attacco Port scanning: si cercano i PORT su cui un host è in ascolto, al fine di individuare cosa si possa attaccare

4 La sicurezza delle reti Non esiste nulla che possa fornire una protezione perfetta Una catena di sicurezza è tanto forte quanto il suo anello più debole. Gli attaccanti più scaltri cercano di individuare il punto più debole in una rete e si concentrano su di esso. Security through obscurity: un sistema si considera sicuro semplicemente perché si suppone che nessuno sia a conoscenza della sua esistenza; Host security: sicurezza a livello di host, si rafforza la sicurezza di ciascun host separatamente, valido per reti piccole o per reti con alti requisiti di sicurezza; Network security: strategia a livello di rete,si concentra l'attenzione sul controllo degli accessi alla rete ed ai servizi offerti (firewall, crittografia ) Least privilege: utenti, amministratori, programmi, sistemi, dovrebbero possedere solamente i privilegi necessari per eseguire uno specifico processo;

5 Analisi dei rischi La sicurezza in ciascun sistema deve essere valutata rispetto ai rischi. I l processo che consente di determinare quali controlli siano appropriati e realizzabili dal punto di vista economico è molto spesso complesso e a volte soggettivo. Ci sono diversi approcci per quel che riguarda la fase di analisi dei rischi, ma essi possono essere facilmente ricondotti ad uno dei due seguenti tipi: Analisi dei rischi di tipo quantitativo. Due elementi fondamentali: la probabilità che si verifichi un evento disastroso e le perdite stimate che possono essere associate a tale evento. Analisi dei rischi di tipo qualitativo. Largamente utilizzato. Ci si basa sull'individuazione delle risorse da proteggere, dei possibili attaccanti e delle possibile tecniche di attacco.

6 Terminologia Firewall: un componente o un insieme di componenti che limitano l'accesso tra una rete protetta ed Internet. Bastion host: un computer che deve essere reso molto sicuro in quanto potrebbe essere oggetto di attacchi. Packet filtering: l'azione intrapresa da un dispositivo per controllare in maniera selettiva il flusso dei dati proveniente e/o diretto verso la rete. Rete perimetrale: una rete aggiunta (interposta) tra una rete protetta ed una rete esterna (Internet) al fine di fornire un ulteriore livello di sicurezza. Una rete perimetrale viene qualche volta chiamata DMZ, De-Militarized Zone (Zona DeMilitarizzata, riferimento alla zona che separa le due Coree). Proxy: un'applicazione software che dialoga con server esterni per conto dei client interni. Virtual Private Network o VPN: una rete che trasporta pacchetti, appartenenti ad una rete privata implementata sull'infrastruttura pubblica, che non possono essere decifrati

7 Packet filtering firewall I sistemi per il packet filtering instradano in maniera selettiva i pacchetti tra host interni ed host esterni, Vietano il passaggio a determinati tipi di pacchetti in conformità con la politica di sicurezza dell'organizzazione di appartenenza. Il router utilizzato come packet filtering firewall viene comunemente chiamato screening router. Le informazioni di un pacchetto, elaborate dal packet filter sono: l'indirizzo IP di origine; l'indirizzo IP di destinazione; il protocollo a cui si riferisce il contenuto (TCP, UDP, ICMP, ecc.); la porta di origine TCP o UDP; la porta di destinazione TCP o UDP; il tipo di messaggio ICMP; la dimensione del pacchetto. Il router è anche in grado di analizzare la parte dati di un

8 Proxy Si tratta di applicazioni specializzate che ricevono richieste di servizi Internet da parte degli utenti e le inviano ai server reali. I sistemi Proxy possono essere utilizzati sia per ragioni di sicurezza, sia per ragioni di performance, sia per motivi di necessità. I sistemi Proxy si collocano, più o meno trasparentemente, tra una rete di client interni ed i server esterni (es. Internet). La trasparenza è il maggior beneficio di un sistema Proxy; l'utente durante la navigazione sui server Web, ad esempio non percepisce la presenza del proxy. Il Proxy opera funzioni di filtraggio; non inoltra cioé sempre le richieste all'esterno, soprattutto se la politica di sicurezza dell'organizzazione a cui appartiene prevede l'inibizione di alcuni siti Web o altro. Un sistema Proxy consente una autenticazione a livello di utente. Un sistema Proxy è in grado di effettuare tecniche di content filtering. Non tutti i servizi sono stati progettati per essere utilizzati facilmente attraverso un Proxy. I sistemi Proxy richiedono un differente applicativo Proxy server per ogni servizio. I sistemi Proxy solitamente richiedono di apportare modifiche ai client, alle applicazioni o alle procedure

9 DMZ L'architettura DMZ (De-Militarized Zone) aggiunge un ulteriore livello di sicurezza (rete perimetrale) all'architettura in cui si usa un packet filtering. La rete perimetrale infatti isola la rete interna dalla rete Internet. Il modo più semplice per realizzare una DMZ è quello di utilizzare due screening router. Uno risiede tra la rete perimetrale e la rete interna (router interno o choke router) ed un altro risiede tra la rete perimetrale e la rete esterna (router esterno o access router). Per penetrare all'interno della rete privata è necessario violare due router.

10 DMZ Router interno Il router interno (o choke router) protegge la rete interna sia dagli attacchi provenienti da Internet che da quelli provenienti dalla rete perimetrale. Tale router effettua la maggior parte del packet filtering. Consente l'uso dei servizi esterni da parte dei siti interni (traffico di tipo outbound). Tali servizi possono essere tranquillamente utilizzati dall'organizzazione e facilmente gestiti da un packet filter piuttosto che da un proxy server. Il router interno permette anche l'accesso ai servizi attivi nella rete perimetrale, che potrebbero essere anche distinti da quelli a cui si accede nella rete esterna. Router esterno Il router esterno (o access router) protegge sia la rete perimetrale che quella interna dagli attacchi provenienti da Internet. Permette il passaggio della maggior del traffico outbound ed effettua controlli solo sul traffico in ingresso (traffico inbound). Il tipo di attacco che solitamente viene controllato da tale router è quello relativo all'ip spoofing.

11 SSL Secure Socket Layer protocol: garantisce la privacy delle comunicazioni su Internet, è un protocollo aperto e non proprietario Privatezza del collegamento. La crittografia è usata dopo un handshake iniziale per definire una chiave segreta. Per crittografare i dati è usata la crittografia simmetrica Autenticazione. L'identità nelle connessioni può essere autenticata usando la crittografia asimmetrica, o a chiave pubblica Così i clients sono sicuri di comunicare con il corretto server, prevenendo ogni interposizione. E' prevista la certificazione sia del server che del client. Affidabilità. Il livello di trasporto include un check dell'integrità del messaggio basato su un apposito MAC (Message Authentication Code) che utilizza funzioni hash sicure. In tal modo si verifica che i dati spediti tra client e server non siano stati alterati durante la trasmissione.

12 SSL SSL prevede un handshake di "sicurezza" usato per iniziare la connessione TCP/IP: il risultato di tale handshake è la contrattazione da parte del client e del server del livello di sicurezza da usare ed il completamento delle autenticazioni necessarie alla connessione. SSL procede poi alla cifratura (e/o alla messa in chiaro) della sequenza di bytes del protocollo applicazione usato, ad esempio HTTP, SHTTP, NNTP o Telnet. Tutte le informazioni sia nell'http request che nell'http response sono completamente crittografate, incluso l'url richiesto dal client, qualsiasi contenuto di forms compilati (quindi anche eventuali numeri di carte di credito...), ogni informazione sulle autorizzazioni all'accesso come usernames e passwords, e tutti i dati risposti dal server al client.

13 SSL Https è il protocollo che si ottiene interfacciando http su SSL Si dovrà usare " per gli URL http con SSL, mentre si continuerà ad usare " per gli URL senza SSL. La porta di default per "https" è la numero 443, come stabilito dalla Internet Assigned Numbers Authority. Per default una "security colorbar" appare in alto a destra in ogni finestra di Netscape Navigator: se la barra è grigia allora il documento che stiamo ricevendo non è "sicuro", mentre se la barra è blu, il documento corrente è sicuro, cioè trasferito in modo protetto dalla crittografia. Una icona all'angolo in basso a sinistra mostra la stessa situazione: se è visibile una chiave rotta su sfondo grigio allora la connessione non è sicura, mentre se la chiave è intera su sfondo blu la connessione è sicura.

14 IPSEC IPsec è un'architettura di sicurezza a livello IP, composta da vari protocolli e da altri elementi. I protocolli principali che costituiscono IPsec sono tre: AH (Authentication Header) che fornisce servizi di autenticazione e integrità, ESP (Encapsulating Security Payload) che fornisce servizi di riservatezza, autenticazione e integrità, IKE (Internet Key Exchange) che gestisce lo scambio delle chiavi. AH ed ESP non si preoccupano dello scambio delle chiavi e presumono che i due interlocutori si siano già accordati creando tra loro una security association (SA), ovvero un ``contratto'' che specifica quali meccanismi di sicurezza utilizzare e con quali chiavi. Il compito di negoziare e gestire le security association secondo delle politiche definite localmente è affidato a IKE

15 IPSEC Un concetto fondamentale nell'ambito di IPsec è quello di security association SA Una SA è una ``connessione'' tra due parti che comunicano tramite IPsec, e specifica quali meccanismi di sicurezza vengono utilizzati, quali algoritmi e quali chiavi, Le SA sono unidirezionali, per cui sono necessarie due SA per permettere a due host di comunicare tra loro Una SA può essere associata ad AH o ad ESP, ma non ad entrambi. Tutte le SA attive su un host (o security gateway) sono contenute in un database detto SAD (Security Association Database), mentre esiste un altro database detto SPD (Security Policy Database) che contiene le politiche di sicurezza Tramite SAD e SPD il sistema decide se un pacchetto IP debba essere scartato, lasciato passare in chiaro oppure elaborato tramite IPsec, basandosi su parametri come l'indirizzo IP sorgente o destinazione, la porta sorgente o destinazione, il protocollo di trasporto