BOLLETTINO DI SICUREZZA INFORMATICA

Transcript

1 STATO MAGGIORE DIFESA II Reparto Informazioni e Sicurezza Ufficio Sicurezza Difesa BOLLETTINO DI SICUREZZA INFORMATICA N. 2/2006 Il bollettino può essere visionato on-line su : Internet : Intranet :

2 INDICE SPECIALE PEER-TO-PEER PREMESSA..1 COSA È IL PEER-TO-PEER. 1 TIPOLOGIE DI PEER-TO-PEER...1 UN ESEMPIO DI RETE PEER-TO-PEER 3 CHE COSA È UN CHUNK?...4 COSA SONO I MAGNET LINK?...4 DAL P2P AL CALCOLO DISTRIBUITO...4 PERICOLI REALI DEL PEER-TO-PEER..5 IDENTIFICARE E BLOCCARE I PROGRAMMI P2P..6 ASPETTI LEGALI RIFERITI AL P2P E ALLA PIRATERIA INFORMATICA...9 IL P2P È GRATUITO O A PAGAMENTO?...9

3 Premessa Nel 2004, questo CERT Difesa ha pubblicato un bollettino di informatica dove venivano riportati i pericoli del fenomeno peer-to-peer (P2P), da allora, questa tecnologia è diventata sempre più un fenomeno di massa. Nato originariamente come mezzo per lo scambio di versioni e commenti nel mondo del software open-source, il P2P viene ormai universalmente considerato come il sistema internet per lo scambio gratuito di musica e film. Sia i sistemi basati su server centralizzati, sia quelli decentrati sono in continua trasformazione, arricchendosi di nuove caratteristiche che rendono sempre più complessa l opera di contrasto operata dalle Major per la salvaguardia dei diritti di autore. Questo numero speciale si propone l obiettivo di fornire agli utenti gli elementi base su come opera questa tecnologia di file-sharing e dei possibili rischi e pericoli del suo uso improprio sia dal punto di vista legale che della sicurezza.. Cosa è il peer-to-peer? Chi abbia seguito l affermarsi di Internet dal 1995 ad oggi, si sarà fatto l idea che la struttura tipica del Cyberspazio sia quella che segue il modello client/server, soprattutto dal punto di vista del progresso tecnologico nel settore delle telecomunicazioni, ha visto, in questi ultimi anni, l affermarsi della struttura P2P. La sigla è un abbreviazione e sta per : condivisione di risorse fra pari. Si tratta, dunque, di una forma di condivisone di file in cui la comunicazione di fatto avviene tra due utenti finali, senza l intermediazione di un server centrale. Quest ultimo potrà al più svolgere una funzione di autentica iniziale dell utente, nel momento in cui questi si collega al sistema. Negli ultimi anni i software di file-sharing sono diventati numerosi, tanto per citarne alcuni fra i più noti : Win MX, Kazaa, Gnutella, Freenet, Imesh, Morpheus. Tipologie di peer-to-peer Caratteristica di questa tecnologia è l assenza di un coordinamento centrale e ovviamente di un database unico, ove siano riportati tutti gli utenti e l insieme dei file. Nelle reti P2P è però vitale trovare ciò di cui si ha bisogno. Le funzioni più importanti sono : - DISCOVERING scoprire gli altri peer; - QUERYNG richiesta di contenuti ad altri peer; - SHARING condividere le proprie risorse con gli altri. Essenzialmente, le varie reti P2P appartengono alle seguenti tipologie: P2P puro ogni nuovo utente che si collega al sistema P2P, diventa un nodo della rete (peer), scopre gli altri utenti, segnala la sua presenza e chiede le informazioni di cui ha bisogno attraverso l invio di messaggi sulla rete nella speranza di ricevere delle risposte; Freenet, ad esempio, si basa su questo tipo di architettura; P2P con discovery server i nuovi utenti, collegandosi al sistema, segnalano ad un server centrale la loro presenza e ricevono da questi la lista aggiornata di tutti gli utenti 1

4 connessi. La lista servirà per inviare le richieste delle informazioni desiderate a tutti gli iscritti, ricevendo un messaggio dai peer che posseggono le informazioni volute; Napster è un caso ibrido di combinazione di architettura client/server e P2P, laddove ogni utente in fase di connessione al sistema invia al server, non solo l informazione delle propria presenza sulla rete, ma anche la lista dei file condivisi, (vale a dire presenti nella cartella che mette a disposizione di tutti gli utenti della rete che diventa oggetto di scambio e condivisione). Mentre con il P2P puro, il file richiesto deve essere cercato attraverso una serie di richieste agli utenti, nel caso di Napster ogni utente riceve la lista dei file condivisi presenti in quel momento nel sistema e il peer che li mette a disposizione. L utente può allora contattare direttamente il pc/peer che detiene quanto richiesto. Il download dei file avviene attraverso il server centrale di Napster. Un esempio di rete peer-to-peer La rete edonkey2000 (abbreviato edk2) si basa fondamentalmente sul protocollo Multisources File Transfer Protocol (MFTP), che è a sua volta basato sul più familiare protocollo FTP per il trasferimento dei file. Il vantaggio principale dell MFTP è quello di consentire il download simultaneo dello stesso file da diverse fonti consentendo quindi di raggiungere alte velocità di trasferimento. Questa tecnologia consente di raggruppare tra loro gli utenti che uplodano lentamente (intorno ai 4 KB/s) facendo in modo che questi, riescano a raggiungere velocità di download accettabili (mediamente intorno ai 30 KB/s). La rete consiste di una parte server e una parte client. Il server fornisce l elenco dei client e dei file disponibili. L applicazione client si preoccupa della ricerca dei file richiesti. Un particolare importante è che nessun file viene scaricato attraverso il server. Di seguito sono illustrate le funzioni principali : - ricerca ogni client fornisce al server a cui è connesso l elenco dei file che intende condividere. Il server mantiene l elenco di tutti i file condivisi dagli utenti connessi ad esso. Quando un client effettua una ricerca, invia la propria richiesta al suo server principale che risponde con le corrispondenze disponibili. Programmi client come emule, emule Plus, edonkey e molti altri, offrono la possibilità di estendere la ricerca (o ricerca globale) ad altri server, tramite il server principale a cui sono collegati; - download avendo localizzato i client che corrispondono alla richiesta, viene effettuato download in vari pezzettini, detti chunks, nel quale è stato decomposto il file originario. 2

5 Di seguito viene riportato uno schema della rete con i collegamenti tra i server e i client (figura 1) : figura 1 Si noti come il collegamento iniziale avvenga dal client verso il server e come il download vero e proprio avvenga direttamente tra i due client. In figura 2 invece sono raffigurate alcune caratteristiche del meccanismo di download della rete. figura 2 I Client W,X e Y intendono tutti scaricare il File 1 reso disponibile dal Client Z. I Client X e Y ricevute parti diverse (chunks) del File 1 iniziano a scambiarsi tra di loro le rispettive parti mancanti. Questo metodologia consente un download molto più veloce senza dover utilizzare la sola banda del Client Z. Il Client W può cominciare a scaricare il file anche se la fonte del file ( Client Z ) non ha più banda sufficiente per inviare il file. In questo tipo di configurazione, ma generalmente in tutte le altre tipologie di reti peer-to-peer, i server comunicano poco tra di loro. Si connettono solo periodicamente l'uno all'altro per rivelare la loro presenza. In questo modo ogni server conserva una lista degli altri server operativi. 3

6 Che cosa è un chunk? I chunk sono porzioni di file grandi 9500 KB (per file più piccoli di questa dimensione, oppure per l ultimo chunk, sono usati chunk più piccoli). Ad ogni chunk viene assegnato un codice identificativo sulla rete (Hash) prodotto con un algoritmo (MD4) che assicura che il chunk non è stato corrotto. Cosa sono i magnet link? I magnet link permettono ai progettisti di siti web di fornire collegamenti a file scaricabili con la tecnologia P2P. L uso dei magnet link può accelerare i download più richiesti per gli utenti finali e i fornitori di contenuti possono risparmiare in termini di costi di ampiezza di banda. Prima dell avvento dei magnet link, i proprietari di contenuti dovevano tenere tutti i file scaricabili e pagare le spese di tutta l ampiezza di banda occupata in fase di download degli utenti. Se un particolare file o una serie di file veniva richiesto, la spesa di ampiezza di banda del proprietario sarebbe aumentata in proporzione. I magnet link hanno risolto questo problema permettendo ai proprietari di contenuti di utilizzare come metodo di distribuzione dei file multimediali, il più economico modello P2P. Anche gli utenti finali ne traggono un vantaggio, nel caso che la loro richiesta sia presente in rete da più sorgenti, questi riescono a scaricare contemporaneamente da più PC, accelerando notevolmente il tempo di download. I magnet link sono supportati dalle applicazioni (client) P2P più diffuse : Kazaa Media Desktop, Limewire, Morpheus, Shareaza, Bearshare, Xolox Dal P2P al calcolo distribuito L'idea del calcolo distribuito è scaturita pensando che nelle reti P2P i processori restano per la maggior parte del tempo inutilizzati e possono quindi essere impiegati tutti insieme per risolvere complessi calcoli scientifici. GriD è un sito che raccoglie diverse ricerche che vengono servite tutte insieme dal calcolo distribuito dei suoi utenti. I progetti di GriD.com sono al momento i seguenti: Ricerca sul Virus SmallPox; Ricerca nella lotta contro il cancro Ricerca contro alcune possibili armi del bioterrorismo : antrace in primis... Di cosa si tratta in pratica? Di scaricare un piccolo programmino che lavori in background e che faccia elaborare al computer dati. Alla fine dell'elaborazione il computer rinvia i dati elaborati al server e 4

7 fornisce i risultati. Poi scarica un nuovo pacchetto da elaborare e si ricomincia... Il software non appesantisce per nulla il computer perché può essere impostato in modo da lavorare in background oppure come Screen Saver quando si è lontani dal PC ( ad esempio la notte, o mentre pranziamo etc..). Il traffico dati su Internet e' di pochi KB ogni volta...quindi il consumo di banda è trascurabile sia per le connessioni ADSL che per le connessioni analogiche a 56k. I programmi si connettono solo per scaricare i pacchetti e poi per inviare i risultati, la maggior parte del tempo lo passano offline ad elaborare i dati. Fino ad ora non si ha notizia che questi programmi o il collegamento con i siti predisposti, infettino i computer con qualsiasi tipo di codice malevolo. Un esempio di calcolo computazionale in Italia ci viene presentato dal forum P2Pforum.it. Pericoli reali del peer-to-peer L uso dei programmi P2P all interno di una rete appartenente ad un Ente/Comando, così come ad un Azienda, comporta dei rischi sia agli utenti che ne fanno uso e sia alla rete stessa. Uno dei rischi più grandi da parte degli utenti è quello di non essere a conoscenza dei rischi derivanti dall uso di questo tipo di programmi; il download sfrenato e senza controllo di ogni tipo di file porta inevitabilmente a non avere un effettivo controllo di ciò che si intende effettivamente scaricare. L incapsulamento di virus o di altri tipi di codici malevoli in questi tipi di file è molto frequente, per non parlare di file con contenuti pornografici o addirittura pedofili. La produzione di nuovi virus che sfruttano come vettore il P2P è in rapida ascesa. Virus come il W32.Backterra, che si diffonde nella rete edk2 usando Emule come client, e Nopir-B, che attacca la rete file-sharing Edonkey2000, utilizzata dal popolare programma open source emule, ne sono un valido esempio. I rischi appena descritti, nel caso di un computer stand alone, potrebbero causare malfunzionamenti al sistema operativo e alle applicazioni che girano su di esso; i rischi, invece, si moltiplicano nel caso che, tale tecnologia venga impiegata da un computer all interno di una rete lan. I potenziali danni dovuti alla ricezione di codici malevoli da parte della macchina infetta si riverserebbero in tutta la rete, causando dei seri problemi. Di conseguenza, il saper controllare se qualcuno all interno del proprio network sta utilizzando programmi P2P, risulta di vitale importanza, sia per monitorare le connessione attive dei programmi e sia per poter porre rimedio a utilizzi impropri dei computer della rete. Il compito primario degli amministratori di rete consiste nel controllare la rete, assicurando a tutti gli utenti un funzionamento in sicurezza ed il più efficiente possibile; nel momento in cui il comportamento di un utente non rispetti le policy di sicurezza previste per quella rete, l amministratore deve porvi immediatamente rimedio. 5

8 Identificare e bloccare i programmi P2P Per una verifica in breve di quello che sta effettivamente avvenendo in rete, in particolare in merito all uso di programmi P2P, gli amministratori di rete devono effettuare dei controlli in merito alle porte in uso (blocking) e ai protocolli impiegati ed effettuare la prioritizzazione del traffico : Il controllo delle porte (blocking) - questo verifica è la più semplice da effettuare per determinare l eventuale uso di programmi P2P, in quanto essi, di default, usano determinate porte, riportate di seguito, per alcuni dei principali programmi P2P : Limewire : 6346/6347 tcp/udp; Morpheus : 6346/6347 tcp/udp; BearShare : 6346 tcp/udp; Edonkey : 4661/4672 tcp/udp; Emule : 4662/tcp 4672/udp; Bittorrent : tcp/udp; WinMx : 6699/tcp 6257/udp; Kazaa fasttrack : 1214 tcp/udp; Gnutella 6346 tcp/udp; Una prima misura da raccomandare agli amministratori di sistema è quindi l interdizione ai client dell uso di queste porte, ma questo rimedio non è in ogni caso esaustivo in quanto i programmi P2P di ultima generazione, dopo un tempo relativamente breve, non riuscendo più a comunicare con il network del relativo P2P sulle porte di default, negoziano una porta alternativa. Inoltre, a complicare le cose potrebbe intervenire il fatto che, un utente esperto sia in grado di effettuare un tunneling su porte associate a servizi leciti come : http 80 smtp 25 ftp 21 etc. Analisi del protocollo visti i risultati non completi ottenibili dal blocking delle porte, un amministratore di rete, deve anche prevedere di effettuare una analisi dei protocolli effettivamente in uso sulla propria rete e verificare tramite match predefiniti, se un applicazione P2P è in uso sulla propria rete. In commercio esistono dei tool in grado di effettuare automaticamente queste funzioni, di seguito ne vengono citati alcuni: Cisco s PDML; Juniper s netscreen-idp; Alteon Application Swtches; L7-filter; Netscout; Microsoft common application signatures. 6

9 Questi tool eseguono controlli tramite espressioni regolari all application layer (L7) per determinare quale software P2P, in quel momento sta funzionando, rendendo così vani i tentativi dal lato client di modificare le porte. Anche questo tipo di controllo, anche se risolve i problemi riscontrati con il blocking, presenta le seguenti limitazioni : le firme usate dai tool per effettuare l operazione di match sono fisse, mentre i programmi P2P si evolvono, quindi vanno sempre aggiornate; data la varietà dei tool presenti sul mercato, i produttori dei programmi P2P tendono ad aumentare la sicurezza e la riservatezza dei dati trasmessi, usando in alcuni casi l operazione di criptaggio con SSL, complicando così l analisi del protocollo; alcuni tool, specie nel caso, di grosse quantità di traffico da analizzare, possono rallentare in qualche modo la rete; questi tool, operando a livello applicazione (livello ISO/OSI 7) assorbono parecchie risorse e limitano la banda, causando in molti casi dei rallentamenti. Per i motivi sopra elencati, quindi, prima di iniziare, si consiglia, di valutare attentamente l uso dei tool considerando che a livello economico, comunque si tratterebbe di un investimento. Shaping - dal termine inglese livellare / modellare, lo shaping consente di : dividere il traffico in diverse tipologie di classi dando maggiore priorità a determinati servizi ritenuti importanti; limitare la banda a determinati servizi ritenuti a rischio (P2P); gestire la banda a disposizione evitando inutili sprechi. Lo shaping, usata come tecnica contro l uso indiscriminato di banda passante, risolve due grossi problemi introdotti dal blocking : non bloccando la porta, non forza il software P2P a negoziarne una nuova, ma si limita solo a rallentare il traffico generato da una o più porte; la messa in atto del blocking può essere visto come una limitazione al libero scambio di informazioni e dati; anche se la condivisione dei dati tramite software P2P non è da considerarsi un atteggiamento negativo, risulta tale quando un abuso limita la possibilità di fruizione delle risorse da parte di altri utenti componenti la stessa rete. L amministratore di rete, inoltre, ha la possibilità di risalire all indirizzo IP che sta usando software P2P applicando di conseguenza lo shaping solo per traffico file sharing. Le limitazioni dello shaping sono: - data la possibilità dei software P2P di effettuare il tunneling su porte istituzionali (http,ftp,smtp..etc.) il traffico su quelle porte non può essere livellato; - nonostante l alto numero di porte casuale utilizzate dai software P2P, non è possibile generalizzare un insieme di porte sul quale applicare lo shaping. 7

10 In ambito commerciale anche alcuni provider hanno cominciato la loro battaglia contro l uso dei software P2P, applicando blocchi sulle porte o rallentamenti per tutto il traffico riconosciuto come file sharing. Il consiglio a livello locale è quello di autorizzare alla trasmissione solo quelle porte associate a servizi leciti. L esempio che segue, riguarda la configurazione su sistema Windows XP riguardante l autorizzazione a trasmettere solo a determinate porte e nel caso, solo a determinati protocolli, in pratica si tratta di applicare un filtro TCP/IP. Il path da seguire è il seguente : Risorse di rete > tasto destro sulla connessione interessata > Protocollo TCP/IP > Proprietà > Avanzate > Opzioni > Proprietà. La maschera che comparirà sarà quella in figura 3 : Figura 3 A questo punto si tratterà solamente, di spuntare ed aggiungere le porte autorizzate alla trasmissione, negando l accesso a tutte le altre, si tenga presente però, che gli applicativi considerati leciti, hanno una loro porta di default, che in questo caso dovrà essere aggiunta. L altro consiglio sempre valido per i client standalone è quello di tener aggiornato il proprio programma antivirus abbinandolo all uso corretto di un personal firewall. 8

11 Aspetti legali riferiti al P2P e alla pirateria informatica Per prima cosa è bene precisare che l uso della tecnologia P2P, come sistema di scambio e condivisione di file, non è vietato dalla legge. Tanto meno lo sono i software (client) che consentono la connessione alla rete e il download dei file. In particolare nei sistemi P2P, più moderni,come Freenet, la ricerca dei file e soprattutto la loro condivisione non avviene tramite alcun server centrale, ma direttamente attraverso i computer-nodi, (peers), dei singoli utenti. Il server centrale viene utilizzato solo per l'autenticazione iniziale dell'utente. La condivisione ed il download dei file interessa esclusivamente i computer degli utenti, (veri e propri client/server decentralizzati), che sono i soli responsabili di eventuali violazioni delle leggi vigenti. In Italia la normativa di riferimento relativa alla Protezione del diritto d'autore e di altri diritti connessi al suo esercizio, n. 633 risalente al 22 aprile 194, è stata riveduta e corretta attraverso il cosiddetto Decreto Urbani-Legge 21 maggio 2004 n. 128 e successive modifiche del 30 Maggio 2004: per la disciplina degli interventi atti a contrastare la diffusione telematica abusiva di opere dell ingegno, nonché il sostegno delle attività cinematografiche e dello spettacolo. Il peer-to-peer è gratuito o a pagamento? Una ricerca condotta in rete ha dimostrato che esistono siti che cercano di vendere prodotti che sono in realtà gratuiti, installare spyware, trojan o virus sul PC, o comportandosi in un modo che danneggia la community P2P. Una lista non esaustiva di questi siti potenzialmente pericolosi o comunque dannosi è riportata di seguito. I link sono stati resi non cliccabili per sicurezza. Sono stati lasciati fuori da questo elenco le versioni 'Pro' dei software ufficiali (come ad esempio LimeWire e BearShare). Per i più inesperti potrebbe essere molto difficile distinguere se un sito vende software originale o no, poiché spesso i siti fasulli usano logo e grafica simile alle versioni originali. Come regola generale occorre ricordare che :"nessun programma P2P per il file sharing ha un costo in denaro". L'unica eccezione potrebbe essere rappresentata da alcune versioni Pro ma che hanno sempre, anche il corrispettivo Basic gratuito. Frasi del tipo "100% legal!", non corrispondono al vero. Altri possibili inganni per gli utenti potrebbero essere l affermazione che i download sono esenti da codici malevoli o la vincita di award di Zdnet. Altri tipiche scritte ingannevoli possono riportare frasi del tipo : "Direct downloads!", "Get access now!". 9

12 10 Elenco dei Siti da evitare / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / /

13 / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / edonkey2000 / Overnet / emule: Siti ufficiali: / / / / / / / / (clone di ShareLive.com) / (clone di ShareLive.com) / (clone di ShareReactor.com) Ares / WarezP2P: Siti ufficiali:

14 Sito da evitare: / (clone di AresGalaxy.org) Piolet / Blubster / RockItNet / MP2P: Siti ufficiali: Sito da evitare: / (Clone di Piolet.com) BitTorrent: Siti ufficiali: Siti da evitare: / / (clone di SuprNova.org) / (clone di SuprNova.org) / (clone di SuprNova.org) / (clone di SuprNova.org) / (clone di SuprNova.org) / (clone di SuprNova.org) / (clone di bi-torrent.com) / (clone di azureus.sourceforge.net) / (clone di TorrentBits) WinMX: Siti ufficiali: Siti da evitare: / / / / / SoulSeek (Slsk): Siti ufficiali: Siti da evitare: / (Clone di SlskNet.org) / Shareaza: Siti ufficiali: 12

15 Siti da evitare: / (Clone di Shareaza.com) / / / (Clone di Shareaza.com) / (Clone di Shareaza.com) / / (Clone di Shareaza.com) Siti ufficiali: Siti da evitare: / / / (Clone di Morpheus.com) Kazaa Media Desktop / Kazaa Lite / Grokster / imesh: Siti da evitare: / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / / 13

16 / / / / / / / / exeem: Siti ufficiali: Siti da evitare: / / / Sebbene in se i motori di ricerca costituiscono un modo innocuo di trovare l'informazione di cui si ha bisogno, il risultato delle ricerche potrebbe essere rappresentato da siti fasulli come quelli sopraelencati. 14