Sicurezza. Ing. Daniele Tarchi. Telematica nei Sistemi di Trasporto - L10 1. Sicurezza: cosa si intende

Transcript

1 Sicurezza Ing. Daniele Tarchi Telematica nei Sistemi di Trasporto - L10 1 Sicurezza: cosa si intende Sicurezza Fisica: accesso controllato ai locali, conservazione delle chiavi di accesso alle sale dati, riconoscimento fisico degli utenti ammessi Sicurezza Logica: gestione oculata delle passwords, dei diritti di accesso agli utenti Sicurezza di Rete: garantire sicurezza nelle comunicazioni in rete, in modo da tutelare l integrità e la riservatezza dei dati critici e sensibili Telematica nei Sistemi di Trasporto - L10 2 1

2 Approccio alla sicurezza Quali risorse proteggere? Capire quali sono i processi e le informazioni più sensibili alla sicurezza. Identificare le risorse critiche. Da chi proteggerle? Cercare di individuare i possibili attori dell attacco: interno o esterno? Da cosa proteggerle? Cercare di prevenire le più comuni modalità di attacchi Sensibilizzazione del personale, a tutti i livelli! Telematica nei Sistemi di Trasporto - L10 3 Sicurezza Fisica Uso di badge, smart card, dispositivi biometrici Telematica nei Sistemi di Trasporto - L10 4 2

3 Sicurezza Logica Passwords di minimo 6 caratteri Almeno 13,14 caratteri, misti con maiuscole e minuscole, NO da dizionario (10 caratteri ~ 1 week con un Pentium) Caratteri maiuscoli e minuscoli, con numeri Diritti di administrator (root) sui server e sui router ben tutelati Telematica nei Sistemi di Trasporto - L10 5 Sicurezza e pila TCP/IP Sicurezza al livello fisico: evitare buchi nel sistema a livello di LAN (modem portato da casa, sniffer su hub!) Sicurezza al livello IP: controllare, classificare e filtrare il traffico in base alle informazioni contenute nel pacchetto IP, rendere sicuro lo strato Network Sicurezza al livello TCP/UDP: filtrare in base alle applicazioni (port number), rendere sicuro il socket Sicurezza al livello Applicativo: content-based filtering, autenticazione degli utenti, sicure Telematica nei Sistemi di Trasporto - L10 6 3

4 Principali Attacchi Informatici Malicious code: Virus, Worms e Trojan Horse Sniffing Spoofing IP: sostituzione/mascheramento ind. IP Denial of Service, Theft of Service (si ruba QoS!!! Modificando DSCP) Smurf: echo ICMP forzati (consumo di banda) SYN flooding: sessioni TCP aperte a crescere (consumo risorse server) TCP ACK Storm Buffer overflow: Ping of Death (Ping di >65KB anziché 64 B), crash del server Man in the middle TCP sequence number guessing per entrare nella connessione 3-way Social engineering (chiamare qualcuno-per telefono!- facendo finta di essere dell azienda, citando codici, passwords, etc) Telematica nei Sistemi di Trasporto - L10 7 Malicious code Virus: ha bisogno di un host (es. un file), non si diffonde automaticamente Worm: arrivato sul pc si diffonde e riproduce da solo, si propaga molto più rapidamente Trojan Horse: si installa nel PC come software qualunque e poi si esegue in modo indipendente, anche ricollegandosi alla Rete autonomamente. Modifica lenta dei file (rovina anche i backup di un anno fa!!!) es. aumenta del 0.001% al giorno previsioni di mercato di un azienda su foglio excel!!!! Back Orifice: Trojan Horse di tipo client/server, è un remote administration tool, dà privilegi system admin sull host attaccato, può arrivare con dei file in vari modi (attivo dal 1998, W95 e 98) Telematica nei Sistemi di Trasporto - L10 8 4

5 Virus e Sistemi Operativi : Microsoft: ~ virus Linux: 25! MAC: 50 Palm OS: 1 Windows CE: al 2001 nessun virus! Allarme: virus via SMS, su palmari, cellulari UMTS!!! Telematica nei Sistemi di Trasporto - L10 9 Attacco di Rete CERT (COMPUTER EMERGENCY RESPONSE TEAM) : dicembre del 1988 dalla DARPA Telematica nei Sistemi di Trasporto - L

6 Attacco di rete (2) 1. Footprinting: ricerca di informazioni 2. Ricerca di eventuali firewall 3. Ricerca/guessing del Sistema Operativo 4. Sfruttamento dei bugs, per: 1. Denial of Service 2. Installazione backdoors 3. Attaccare altri hosts Telematica nei Sistemi di Trasporto - L10 11 Il Footprinting Raccolta di informazioni sull host da attaccare: Range di indirizzi IP dell amministratore (social engineering!) Ping sugli indirizzi IP, per vedere le macchine attive Port Scanning per vedere i servizi attivi Guessing del sistema operativo Telematica nei Sistemi di Trasporto - L

7 Le patches Dati di Intrinsic SpA, Giugno 2001 Buffer overflow: su server DNS di BIND 4.9.7: rilasciato nel 1999, nel 2001 si è trovato un bug di buffer overflow su 4 linee di codice (4 su di programma!), syslog del 1995 Gli hacker mandano in overflow il buffer del programma e attaccano il codice 2.5 bug su OS a settimana Applicare le patches 2 volte a settimana!!!!!!!! O non si fa nulla e si reinstalla tutto ogni volta! Nessun sistema è sicuro al 100%, troppo dinamico!!!!! analisi del rischio e prevenzione Window of exposure di un bug Rischio Scoperta bug Patch Diffusione Telematica nei Sistemi di Trasporto - L10 13 Architettura per la Sicurezza Servizi Autenticazione Controllo degli accessi Riservatezza Integrità Non ripudio Soluzioni Crittografia Liste di Accesso Crittografia Crittografia Crittografia Telematica nei Sistemi di Trasporto - L

8 Principi di Crittografia Messaggio in chiaro (m) Algoritmo di cifratura Messaggio cifrato c=k(m) Chiave (k) Possibili algoritmi di cifratura: elevamento a potenza del messaggio in chiaro, dove la chiave è inclusa nella potenza shift ciclico del messaggio in chiaro di un numero di posizioni dipendente dalla chiave scrambling del messaggio in chiaro con algoritmi dipendenti dalla chiave Telematica nei Sistemi di Trasporto - L10 15 Cifratura a Chiave Simmetrica Messaggio in chiaro (m) Algoritmo di cifratura (noto) Messaggio cifrato c=k(m) Algoritmo di cifratura (noto) Messaggio in chiaro (m) Chiave privata (k) Semplice, veloce Chiave privata (k) Tutto si incentra sulla sicurezza e sulla riservatezza della chiave! Telematica nei Sistemi di Trasporto - L

9 Esempio di chiave simmetrica: GSM Chiave simmetrica di 128 bit, contenuta nella SIM card Chiave simmetrica di 128 bit, contenuta nel Home Location Register della rete GSM Telematica nei Sistemi di Trasporto - L10 17 Cifratura a Chiave Asimmetrica Messaggio in chiaro (m) Algoritmo di cifratura (noto) Messaggio cifrato c=j(m) Algoritmo di cifratura (noto) Messaggio in chiaro (m) Chiave pubblica (j) Chiave privata (k) tale che k(j(m))=m, generata localmente! In realtà vale anche j(k(m))=m!! (firma elettronica!) Molto lenta! Elevamento a potenza: 1024 bit max 7,4 Kbit/s!!! Più sicura su reti pubbliche Internet! Sicurezza: non esistono algor conosciuti per la fattorizzazione veloce di un numero Telematica nei Sistemi di Trasporto - L

10 Cifratura Simmetrica/Asimmetrica Cifratura simmetrica: veloce ma poco sicura su reti pubbliche per lo scambio della chiave Cifratura asimmetrica: lenta ma sicura su reti pubbliche Fase iniziale: scambio della chiave privata (di sessione) con cifratura asimmetrica (RSA) Fase operativa di trasmissione dati: la chiave di sessione è stata consegnata con sicurezza, si può cifrare in modo simmetrico (DES) con la chiave di sessione, più veloce! Telematica nei Sistemi di Trasporto - L10 19 Firma Elettronica Messaggio in chiaro (m) Mario Algoritmo di cifratura (noto) Firma f=k(m) Algoritmo di cifratura (noto) Gino Chiave privata di Mario (k) Autenticazione, non ripudio e integrità Messaggio in chiaro (m) Chiave pubblica di Mario (j) in modo che j(k(m))=m Confronto Sono uguali? Messaggio in chiaro (m) E proprio Mario!!!! Solo lui può aver generato con RSA la coppia j,k!!!! Telematica nei Sistemi di Trasporto - L

11 Certificato Digitale - CA Certificato (firmato dalla CA con la sua chiave privata) contenente la chiave pubblica del Sito Web Certification Authority (CA) Verifica credibilità e autenticità del Sito Web Creazione del certificato che lega la chiave pubblica del Sito Web alla sua identità Richiesta certificato con credenziali Utilizzo chiave pubblica ricevuta col certificato per cifratura asimmetrica dei dati Sito Web (server) Certificato contenente la chiave pubblica del Sito Web Verifica autenticità del certificato tramite chiave pubblica della CA Utente (client) Telematica nei Sistemi di Trasporto - L10 21 Controllo degli accessi: Packet Filtering Server con servizi esterni (Web, mail, FTP) Traffico entrante Internet LAN Filtraggio dei pacchetti a livello IP, TCP/UDP Traffico uscente Telematica nei Sistemi di Trasporto - L

12 ACL Liste di Accesso (Access List) sui dispositivi di rete: Es:voglio far passare SOLO Web da fuori verso il Server Web: Access-list 101 permit ip eq 80 Access-list 101 deny all Problema: non funziona!!! (ACK del TCP vanno da server verso client!!!) E molto difficile capire e decidere cosa far passare e cosa no! (es: il capo vuol far accedere il figlio a Internet tramite la rete aziendale da casa!!!, il capo vuol accedere al server via FTP (pwd in chiaro!!) da casa!) Telematica nei Sistemi di Trasporto - L10 23 Il Firewall E un dispositivo di rete che filtra i pacchetti entranti e uscenti dalla rete in base a determinate politiche di sicurezza. A differenza di un semplice packet filter, un firewall è un gateway che può lavorare fino al livello 7 OSI. Lavora con lo stesso principio dei packet filter Si basa sulle Liste di Accesso - ACL Telematica nei Sistemi di Trasporto - L

13 Implementazione di Firewall (1) Macchina Linux con due schede di rete Internet Implementa ACL e filtra il traffico (iptables) Costa poco Ha i bug del S.O.!! Server con servizi esterni LAN Router di accesso gestito dal provider Telematica nei Sistemi di Trasporto - L10 25 Implementazione di Firewall (2) Internet Implementa ACL e filtra il traffico Costa poco Fa anche routing, QoS. Server con servizi esterni LAN Router di accesso gestito dal provider Router di accesso gestito dall utente Telematica nei Sistemi di Trasporto - L

14 Implementazione di Firewall (3) Internet Firewall hardware che implementa ACL e filtra il traffico Più costoso E in realtà un router, ma fa SOLO da firewall! No Telnet, solo su porta console con accesso fisico Server con servizi esterni LAN Router di accesso gestito dal provider CISCO PIX Firewall Telematica nei Sistemi di Trasporto - L10 27 DMZ De-Militarized Zone: zona a sicurezza intermedia fra rete interna e Internet Mirror dei Server Web, mail, FTP (proxy) Server Web, mail, FTP Internet DMZ Comunicazione più controllata e veicolata su PORT number diversi LAN Router di accesso Packet Filter CISCO PIX Firewall Telematica nei Sistemi di Trasporto - L

15 Sicurezza a livello IP: IPSEC Offre cifratura e autenticazione end2end operando a livello IP Definisce: protocolli: Authentication Header, Encapsulating Security Payload Security Associations: associazioni di sicurezza fra hosts (simile al flow-state di IntServ!!) Internet Key Exchange: metodo di distribuzione delle chiavi Transport e Tunnel mode: modalità di trasporto, si imbusta e si cifra solo il payload (transport), o tutto il pacchetto IP (tunnel) Telematica nei Sistemi di Trasporto - L10 29 Virtual Private Networks Internet Pacchetti IP Pacchetti IP Pacchetti IPSEC sicuri Pacchetti IPSEC sicuri Pacchetti IP Pacchetti IPSEC sicuri Emulazione di una LAN privata su Internet pubblica Telematica nei Sistemi di Trasporto - L

16 Sicurezza a livello Transport: SSL Secure Socket Layer: sviluppato da Netscape Communication, molto usato per e-commerce sicuro Sostituisce l interfaccia socket (fra TCP e le applicazioni) rendendola sicura Individuato da URL del tipo 443) Fornisce: Riservatezza, Integrità e Autenticazione (soprattutto del server verso il client) SSL Handshake Protocol e SSL Record Protocol Telematica nei Sistemi di Trasporto - L10 31 SSL Handshake Protocol Negoziazione sull algoritmo di cifratura, e scambio di chiavi e certificati. Usa RSA a chiave pubblica. Autenticazione del server verso il client Generazione della chiave di sessione Invio specifiche di cifratura, accordo su cifr. a chiave simmetrica 1. Verifica autenticità del certificato dall elenco delle CA possibili 2. Selezione della chiave pubblica della CA corrispondente per decifrare il certificato e ottenere la chiave pubblica del server 3. Generazione chiave simmetrica e sua cifratura con chiave pubblica del server e suo invio al server Sito Web (server) Browser (client) Invio spec su cifratura, certificato con chiave pubblica RSA del Server, cifrato da chiave privata della CA 4. Uso chiave simmetrica come Telematica chiave di nei sessione Sistemi di Trasporto - L

17 SSL Record Protocol Hash per integrità SSL header (2 o 3 byte) TCP Header Data Data Livello TCP SSL header (2 o 3 byte) Hash per integrità Data Incapsula dati e info di autenticazione e cifra con chiave simmetrica IP Header Data Livello IP Telematica nei Sistemi di Trasporto - L10 33 Sicurezza nelle Applicazioni: PGP Scritto da Zimmermann nel 1990, Pretty Good Privacy (PGP) Fornisce: riservatezza, integrità e autenticazione Usa : chiave simmetrica di sessione, chiave pubblica asimmetrica, firma digitale, hashing per l integrità autenticazione mediante server PGP di distribuzione delle chiavi pubbliche Mail rese sicure e imbustate in SMTP Telematica nei Sistemi di Trasporto - L

18 Sicurezza nelle Applicazioni: GPG Per motivi legali, il PGP ha avuto varie vicissitudini: oggi si usa GNU Privacy Guard (1999), basato su OpenPGP di Zimmerman Non usa IDEA (algoritmo brevettato) Viene sviluppato anche con fondi pubblici (Ministero Federale Tedesco per l'economia e la Tecnologia) Fornisce: riservatezza, integrità e autenticazione E' compatibile con PGP (stessi servizi) Telematica nei Sistemi di Trasporto - L