Attacchi alle Telecomunicazioni

Transcript

1 Roma Novembre 2011 Luigi Camporesi

2 Introduzione Obiettivi degli Attacchi Albero degli Attacchi (Attack Tree) Mobili Classi di Attacco Analisi Rischio Difesa dei Sistemi di Telecomunicazione Prevenzione Rilevamento Reazione

3 Sistemi di Sicurezza Contromisure Protocolli Scenari Sistemi Contromisure Cifratura Anonimato Reti Satellitari Server Remoti, VPN e Onion Routing

4 Introduzione Il termine attaccante non assume né presuppone nulla circa la moralità o legalità dell'attacco. Non implica necessariamente un intento malevolo, anche se spesso questo è il caso.

5 Introduzione Link 1 >> Link 2 >>

6 Obiettivi degli Attacchi Identità Numero Contenuti Contatti Localizzazione Geografica

7 Obiettivi degli Attacchi Identità Numero Identità degli interlocutori Numeri telefonici degli interlocutori

8 Obiettivi degli Attacchi Identità Scoprire il nome di chi ha fatto/ricevuto certe chiamate con un dato numero

9 Obiettivi degli Attacchi Link >>

10 Obiettivi degli Attacchi Numero Risalire al numero telefonico di un soggetto

11 Obiettivi degli Attacchi Link >

12 Obiettivi degli Attacchi Identità/Numero Dato un evento, risalire a chi si trovava nei paraggi

13 Obiettivi degli Attacchi

14 Obiettivi degli Attacchi

15 Obiettivi degli Attacchi Link >>

16 Obiettivi degli Attacchi Contenuti Audio e testo delle conversazioni, testo SMS, contenuto MMS, testo e chat, ecc.

17 Obiettivi degli Attacchi

18 Contatti Chi chiama chi, quando, con che frequenza, durata chiamate, ecc.

19 Obiettivi degli Attacchi

20 Obiettivi degli Attacchi Link >

21 Obiettivi degli Attacchi Localizzazione Geografica Dove si trova un soggetto (tempo reale) Dove si trovava un soggetto

22 Obiettivi degli Attacchi Link >>

23 Obiettivi degli Attacchi

24 L'Albero degli Attacchi Attack Tree Inventato da Bruce Schneier Strumento teorico per identificare e misurare le modalità per attaccare un sistema Utile richiede molto lavoro

25 L'Albero degli Attacchi Attack Tree Link >>

26 L'Albero degli Attacchi Attack Tree

27 Mobili Link 1 >> Link 2 >>

28 Mobili Link >>

29 Mobili Link >>

30 Mobili Link >>

31 Mobili Link 1>> Link 2 >>

32 Mobili Link >>

33 Classi di Attacchi Analisi Rischio I Vari tipi di attacco possono essere raggruppati in classi Si può costruire una tabella di Analisi del Rischio Meno rigorosa, più semplice

34 Classi di Attacchi Analisi Rischio Link >>

35 Classi di Attacchi Analisi Rischio E' poi possibile costruire una tabella che visualizzi l'efficacia di un Sistema di Sicurezza

36 Classi di Attacchi Analisi Rischio Link >>

37 Difesa dei Sistemi di Telecomunicazione Come per ogni altro Sistema, la sicurezza passa per: Prevenzione Rilevamento Reazione

38 Difesa dei Sistemi di Telecomunicazione Prevenzione Se ne può fare molta, la sicurezza è quasi completamente affidata a questa

39 Difesa dei Sistemi di Telecomunicazione Prevenzione Linee anonime o coperte Cellulari criptati Telefoni satellitari Telefoni/reti speciali

40 Difesa dei Sistemi di Telecomunicazione Rilevamento Molto difficile e generalmente illegale Si pratica nella difesa dei sistemi in rete Qualcuno ci prova tutti i giorni per i cellulari

41 Difesa dei Sistemi di Telecomunicazione Link >>

42 Difesa dei Sistemi di Telecomunicazione Link >>

43 Difesa dei Sistemi di Telecomunicazione Link >>

44 Sistemi di Sicurezza Combinazione di: Contromisure Protocolli (norme) d'uso

45 Sistemi di Sicurezza

46 Sistemi di Sicurezza Scegliere lo Scenario d'uso del Sistema di Sicurezza

47 Sistemi di Sicurezza Link >>

48 Sistemi di Sicurezza Scenario 1 Chiamate verso tutti

49 Sistemi di Sicurezza Scegliere le contromisure più appropriate SIM anonime? Cellulari Criptati? Telefoni Satellitari? Telefoni/Reti speciali?

50 Sistemi di Sicurezza Cellulari (nuovi) e SIM anonime

51 Sistemi di Sicurezza Link >>

52 Sistemi di Sicurezza Telefoni Satellitari e SIM anonime

53 Sistemi di Sicurezza Link >>

54 Sistemi di Sicurezza Cellulari/Reti Speciali e SIM anonime Link >>

55 Sistemi di Sicurezza Link >>

56 Sistemi di Sicurezza Scenario 2 Chiamate su rete privata

57 Sistemi di Sicurezza Cellulari (nuovi) e SIM anonime

58 Sistemi di Sicurezza Telefoni Satellitari e SIM anonime

59 Sistemi di Sicurezza Cellulari Criptati e SIM anonime Link >>

60 Sistemi di Sicurezza Cellulari Criptati e SIM anonime Link >>

61 Sistemi di Sicurezza Telefoni Satellitari Criptati e SIM anonime

62 Sistemi di Sicurezza Telefoni Satellitari Criptati e SIM anonime

63 Sistemi di Sicurezza Cellulari/Reti Speciali e SIM anonime

64 Contromisure Cifratura Anonimato Reti Satellitari Server Remoti, VPN e Onion Routing

65 Contromisure Cifratura Il governo degli Stati Uniti ha di fatto liberalizzato l'esportazione di sistemi robusti E' difficile scrivere buoni codici, tuttavia è la parte facile dei Sistemi di Sicurezza

66 Contromisure Cifratura Il mercato offre diverse soluzioni Snake Oil ma esistono soluzioni valide Il codice sorgente deve essere disponibile Si può usare su cellulari (coppie), satellitari, reti VoIP, reti VoSIP, Internet

67 Contromisure

68 Contromisure

69 Contromisure

70 Contromisure Anonimato E' una parte importante della sicurezza Si ottinene con linee anonime o coperte, cifratura e protocolli (es. Zero Knowledge Authentication) Si può applicare anche alla navigazione WEB

71 Contromisure Anonimato SIM Anonime GSM e satellitari Connessioni Internet Anonime (SIM UMTS) Connessioni IP Satellitari Onion Routing (es. TOR)

72 Contromisure

73 Contromisure

74 Contromisure Reti Satellitari Thuraya Iridium Inmarsat

75 Contromisure Thuraya Due satelliti a Km Sicurezza GSM - A51 Sistemi di monitoraggio dedicati facile localizzazione

76 Contromisure

77 Contromisure

78 Contromisure

79 Contromisure Link >>

80 Contromisure Iridium 66 satelliti a 781 Km Trasmissione in chiaro Frequency Hopping Sistemi di monitoraggio dedicati, difficile localizzazione

81 Contromisure

82 Contromisure

83 Contromisure

84 Contromisure Link >>

85 Contromisure

86 Alcuni Testi Secret and Lies Bruce Schneier Beyond Fear Bruce Schneier Privacy on the Line Whitfield Diffie, Susan Landau Practical Cryptography Bruce Schneier Security Engineering Ross Anderson

87 Grazie!