IT SECURITY. Uso sicuro del Web

Transcript

1 IT SECURITY Uso sicuro del Web

2 Navigazione in rete L attività di spionaggio informatico è particolarmente orientata sui siti attraverso i quali si effettuano attività commerciali o finanziarie. Il cracker ha come obiettivo principale il furto di identità

3 Il cracker cerca di ottenere illegalmente: Credenziali dell utente (account + password); Numero della carta di credito; PIN della carta di credito; Ente di emissione della carta di credito; Numero di conto corrente.

4 Per mettersi al riparo dai cracker bisogna sempre accertarsi che il sito sia sicuro, cercando di riconoscere i siti che esibiscono il certificato digitale controllabile direttamente in linea, oltre al simbolo del lucchetto chiuso, accanto all indirizzo della pagina il protocollo, con protocollo https

5 La maggior parte dei siti web utilizza il protocollo http che consente un accesso rapido, senza che debba essere attivata alcuna procedura per ottenere il collegamento. I siti che possono trattare dai sensibili adottano invece il protocollo https (http Sicuro) che associa al protocollo HTTP la crittografia a chiavi asimmetriche dei dati trasferiti.

6 Https Siti di orgine finanziaria o assicurativa, commercio online, cliniche mediche, programmi di posta elettronica e browser web che trattano dati sensibili.. Sulla barra degli indirizzi deve apparire il simbolo di un lucchetto chiuso; Sulla barra degli indirizzi deve apparire il protocollo https; Deve essere possibile la verifica del certificato del sito, cliccando due volte sul simbolo del lucchetto chiuso. Es. Verificare la presenza del protocollo https in un sito bancario

7 Pharming il malintenzionato tenta di impossessarsi dell identità della vittima: nome, indirizzo ecc. indirizzandola verso un sito pirata, clone di un sito realmente operante. Quindi il cracker fa uno studio dell azienda e del suo sito per simularne un altro quanto più possibile simile all originale Phishing riguarda il rapporto del cracker con la vittima da prendere all amo.

8 I siti web che praticano attività finanziarie o commerciali, come pure i siti web che distribuiscono il software, attestano la loro identità attraverso un certificato digitale. Il certificato digitale è basato sulla crittografia a chiavi asimmetriche, ed è costituito da un pacchetto di informazioni firmato da un autorità riconosciuta.

9 Il pacchetto deve contenere: Generalità di un sito web o di un computer o di un organizzazione, ai quali il certificato si riferisce; Chiave pubblica del titolare del certificato; Periodo di validità attestato dall autorità riconosciuta.

10 Se si clicca due volte sul lucchetto, parte la procedura di convalida del certificato digitale. Viene automaticamente inviato all indirizzo del sito un testo crittografato con la chiave pubblica riportata nel certificato e, se il sito è quello reale, esso deve poter rispondere con l uso della corrispondente chiave privata, generando accanto al simbolo del lucchetto, il messaggio: Sito sicuro o Sito verificato Es. Verificare il certificato di un sito Convalidare il certificato di un sito commerciale

11 Uno dei maggiori rischi per la sicurezza delle reti aziendali (VPN), deriva dagli accessi effettuati dai dipendenti che lavorano fuori sede, tipicamente i venditori e i tecnici d assistenza. Ogni volta che effettuano un login, mettono un estraneo in condizione di apprendere la maniera di entrare abusivamente nella rete aziendale

12 Per evitare questo rischio, è stato inventato il metodo della one time password che vuol dire password per una sola volta. Le tecniche di realizzazione sono varie, la più usata si basa sulla richiesta di accesso, da parte del computer o del cellulare chiamante, verificandone le credenziali e inviando poi una password utilizzabile una volta soltanto. Il codice di accesso viene generato da un complesso algoritmo, ovviamente segreto.

13 Particolare attenzione deve essere posta al completamento automatico, che potrebbe facilitare il compito della solita spia informatica che si aggira tra le scrivanie. L attivazione del completamento automatico della password può essere attivato solo su PC domestico. L attivazione e disattivazione vanno eseguite sul browser Internet utilizzato. La disattivazione del completamento automatico non comporta automaticamente la cancellazione dei dati conservati in precedenza. Es. Disattivare il completamento automatico dal browser

14 In alcune pagine web, può accadere che il sito visitato invii dei cookie, ossia un file che si deposita nel disco del calcolatore dal quale è partita la richiesta di visualizzazione. Quando si ritorna a visitare lo stesso sito, il cookie passa un insieme di dati che identificano il computer ed una serie di dati di tipo statistico commerciale.

15 I cookie sono usati particolarmente dalle aziende che praticano il commercio online. attraverso il sistema dei cookie, è possibile costruire il profilo degli utenti della rete e, di conseguenza, offrire agli utenti pubblicità mirata. I browser offrono la possibilità di bloccare tutti o in parte i cookie. Alcuni cookie devono essere necessariamente installati se il sito con il quale si vuole dialogare (es.istituto bancario) lo richiede. Es. Bloccare tutti i cookie -Consentire solo cookie di un sito-bloccare cookie di un sito

16 Quando si lavoro con il computer di un amico, di un collega o di un fornitore, al termine dell attività svolta nel posto di lavoro occasionale, occorro ricordarsi di non lasciare tracce di alcun tipo. ES. Cancellare con il browser, tutti i dati di navigazione di un computer ES. Con il browser cancellare la cronologia e i file temporanei

17 Se in casa c è un bambino, sarebbe bene permetterne l utilizzo soltanto con un genitore. Esistono rischi in 5 grandi aree di attività: Durata dell uso quotidiano del computer; Siti visitati nel web; Messaggi di posta elettronica; Chat line; Reti sociali (Facebook e altre).

18 Esistono programmi che possono impedire il funzionamento delle applicazioni specifiche o addirittura dello stesso computer, al di fuori degli orari decisi dal genitore, per ciascun giorno della settimana. Software di controllo sono installati anche sui server web di alcune aziende,uffici pubblici dotati di PC a disposizione del pubblico (controllo dei contenuti) ES. Controllo genitoriale del PC (Parental control)

19 Reti sociali Bisogna porre particolare attenzione nella divulgazione dei propri dati, immagini, riflessioni, perché una volta messi in rete, questi elementi possono essere diffusi e di nuovo fatti circolare per anni, anche se sono stati immediatamente cancellati sul sito originale.

20 Quando si utilizza una rete sociale si possono avere due obiettivi: 1. facilitare il lavoro di gruppo; Per facilitare e rendere più produttivo il lavoro ci si registra con il proprio nome e cognome, badando di non fornire più informazioni di quelle richieste. 2. giocare/passare del tempo. Sarebbe bene non fornire mai indicazioni che possano far risalire alla propria identità, ma utilizzare un nickname (nome di fantasia)

21 Le reti sociali mettono a disposizione dei loro utenti una serie di restrizioni nella diffusione di notizie e delle immagini (es.facebook) Nella pagina impostazione della privacy e strumenti: Chi può vedere le mie cose? Pubblica (Senza alcuna restrizione) Amici, tranne conoscenti Solo io Personalizzata Amici più stretti Familiari Altre liste Chi può contattarmi Chi può cercarmi

22 Come in tutti gli ambiti umani, la Rete è popolata da persone valide e personaggi poco raccomandabili. Specie le donne e i minori devono frequentare la Rete con discrezione ed interrompere i rapporti virtuali al primo sospetto di poca limpidezza.

23 Atteggiamenti persecutori: Cyber bullismo: alcuni individui, forti del fatto che non possono essere facilmente individuati, si divertono a perseguitare altre persone attraverso , sms, post su reti sociali Adescamento: Mezzo attraverso il quale un frequentatore poco serio induce una persona psicologicamente debole ad accettare un incontro fisico

24 Falsa identità: alcuni individui ne costruiscono una, fingendo di essere una donna o un coetaneo per attirare ad un incontro fisico la propria vittima. Informazioni, link, messaggi fraudolenti Phishing (prendere qualcuno all amo come un pesce) Pharming (utilizzare in maniera illegale log, sito e immagine di un azienda)