Università degli Studi di Cagliari Corso di Laurea Specialistica in Ingegneria Elettronica SISTEMI OPERATIVI http://www.diee.unica.it/~giacinto/sisop A.A. 2006/2007 Docente: Giorgio Giacinto SICUREZZA Introduzione Sicurezza informatica Controllo fisico delle apparecchiature Politiche di amministrazione delle apparecchiature Strumenti software ad hoc In questo corso ci occuperemo principalmente di Problematiche di sicurezza specifiche dei SO Strumenti SW per garantire la sicurezza Giorgio Giacinto 2006 2
Definizione di Sicurezza per un sistema informatico Disponibilità Le risorse devono essere sempre disponibili agli utenti autorizzati Confidenzialità L accesso alle informazioni memorizzate negli elaboratori è consentito solo da parte di utenti autorizzati Integrità La modifica dei dati sensibili può essere fatta solo da utenti autorizzati Autenticità L identità degli utenti deve poter essere sempre accertata dal calcolatore Giorgio Giacinto 2006 3 Definizione di minaccia alla sicurezza La funzione principale di un elaboratore è quella di fornire (elaborare) informazioni In generale c è un flusso di informazione fra una sorgente (file, ecc.) e un destinatario (utente, ecc.) Si può definire minaccia alla sicurezza ogni attività che modifica il percorso normale del flusso NOTA Esistono molte tassonomie diverse! Giorgio Giacinto 2006 4
1. Interruzione del flusso Una risorsa del sistema è distrutta o diventa indisponibile o non utilizzabile Distruzione hardware Interruzione linee di comunicazione Disabilitazione di servizi software (file system management, ecc.) Viene negata la disponibilità di una risorsa. Si parla di attacchi di tipo Denial of Service (DoS) Giorgio Giacinto 2006 5 2. Intercettazione del flusso Un utente non autorizzato ottiene l accesso ad una risorsa Wiretapping per catturare dati in rete Copie illecite di file e programmi Password spoofing Ecc. È violata la confidenzialità delle informazioni Giorgio Giacinto 2006 6
3. Modifica del flusso Un utente non autorizzato non solo ottiene l accesso ad una risorsa ma la manomette Modifica dei valori in un file di dati Alterazione del comportamento di un programma Modifica di messaggi trasmessi in una rete Ecc. È violata l integrità delle informazioni Giorgio Giacinto 2006 7 4. Fabbricazione di un flusso Un utente non autorizzato inserisce oggetti contraffatti nel sistema Inserimento in rete di messaggi spuri Aggiunta di record ad un file Ecc. È violata l autenticità dell informazione Giorgio Giacinto 2006 8
Risorse di un sistema informatico Hardware Le minacce sono legate prevalentemente alla disponibilità o Danni accidentali o Danni deliberati o Furto Misure di prevenzione a livello fisico controllo degli accessi alle sale macchine Giorgio Giacinto 2006 9 Risorse di un sistema informatico Software Le minacce sono legate a o Cancellazione di programmi (Denial of Service) o Copie non autorizzate di software (Confidenzialità) o Modifica di programmi (virus e similari) (Integrità/Autenticità) Misure di prevenzione copie di riserva (backup) Per le copie non autorizzate pochi meccanismi Giorgio Giacinto 2006 10
Risorse di un sistema informatico Dati Le minacce sono legate a o Cancellazione di file (Denial of Service) o Lettura non autorizzata dei dati (Confidenzialità) File di dati o basi di dati Interrogazioni di basi di dati per estrarre informazioni aggregate Modifica di file esistenti o creazione di nuovi file (Integrità/Autenticità) Misure di prevenzione Controllo accessi ai file (ACL, password, ecc.) Giorgio Giacinto 2006 11 Risorse di un sistema informatico Linee di comunicazione Minacce passive Diffusione del Contenuto dei Messaggi Analisi del Traffico Minacce Attive Mascheramento Ritrasmissione Denial of Modifica del Service Contenuto del Messaggio Giorgio Giacinto 2006 12
Attacchi passivi contro linee di comunicazione Diffusione del contenuto dei messaggi (eavesdropping) Intercettazione telefonica, intercettazione di messaggi e-mail, ecc. Analisi del traffico Può consentire l identificazione della natura del messaggio anche nel caso di cifratura (ad es., una transazione di una carta di credito) Giorgio Giacinto 2006 13 Rilevazione di attacchi passivi Difficili da individuare I dati non sono alterati L enfasi in questo caso è sulla prevenzione piuttosto che sulla rilevazione Tecniche di crittografia Giorgio Giacinto 2006 14
Attacchi attivi contro linee di comunicazione Mascheramento Una entità si traveste da un altra entità e effettua attività non autorizzate (violazione della confidenzialità) Ritrasmissione Intercettazione passiva di dati e la sua ritrasmissione in modo da provocare un effetto non desiderato (violazione dell integrità e dell autenticità) Giorgio Giacinto 2006 15 Attacchi attivi contro linee di comunicazione Denial of service Disabilita l uso normale o la gestione dei dispositivi per la comunicazione (ad es., intasamento della linea con un numero elevato di messaggi) Modifica del contenuto dei messaggi Una parte di un messaggio lecito viene modificata in modo che il messaggio viene ritardato o il contenuto riordinato per produrre un effetto non desiderato (violazione dell integrità/autenticità) Giorgio Giacinto 2006 16
Rilevazione di attacchi attivi È molto difficile prevenire gli attacchi attivi Richiederebbe la protezione fisica continua degli apparati di comunicazione e di tutti i percorsi Si preferisce realizzare strumenti di rilevazione degli attacchi attivi e di reazione conseguente Gli strumenti di rilevazione possono fungere anche da deterrente d altra parte gli strumenti di rilevazione sono software (e hardware) che possono essere attaccati a loro volta Giorgio Giacinto 2006 17 Problemi di sicurezza nei Sistemi Operativi L introduzione della multiprogrammazione consente la condivisione delle risorse Processore Memoria Dispositivi I/O Programmi Dati È necessario proteggere queste risorse da un uso improprio o illecito dei meccanismi di condivisione! Giorgio Giacinto 2006 18
Strumenti di Protezione offerti dai Sistemi Operativi Nessuna protezione Possibile nei casi in cui le procedure delicate sono eseguite in tempi separati Isolamento Questo approccio implica che ogni processo deve essere eseguito separatamente, senza condivisione o comunicazione Condivisione tutto o niente Il proprietario di una risorsa deve dichiararla pubblica o privata Giorgio Giacinto 2006 19 Strumenti di Protezione offerti dai Sistemi Operativi Condivisione con limitazione dell accesso Il SO controlla la possibilità che un dato utente acceda ad un dato oggetto (il SO funge da guardiano ) Condivisione mediante strumenti dinamici I diritti di accesso vengono creati dinamicamente Limitazione dell uso di un oggetto La limitazione non riguarda solo l accesso ai dati ma anche il suo utilizzo Giorgio Giacinto 2006 20
Protezione della Memoria Aspetto Principale Assicurare il corretto funzionamento dei vari processi attivi Impedire accesso ad aree di memoria non condivise e controllo degli accessi alle aree di memoria condivise Soluzione Progettazione accurata del sistema di memoria virtuale (hardware e software) Giorgio Giacinto 2006 21 Controllo dell Accesso degli Utenti Log on Richiede un ID utente e una parola chiave o L ID deve appartenere al gruppo di utenti autorizzati a collegarsi alla macchina e la password deve essere corretta Problemi Cessione intenzionale o accidentale della password a terzi o Spesso le password possono essere facilmente indovinate o Il file con le coppie ID/password può essere copiato illegalmente Giorgio Giacinto 2006 22
Protezione attraverso le password La sicurezza della coppia ID-password è data dalla possibilità di Determinare se l utente è autorizzato ad accedere al sistema Determinare i privilegi concessi all utente o Pochi utente hanno privilegi di amministratore o Gli account guest o anonimo hanno un numero di privilegi più ristretto rispetto ad altri utenti ID è usato per discriminare gli accessi Un utente può stabilire gli accessi ai propri file sulla base degli ID Password memorizzata in formato cifrato Giorgio Giacinto 2006 23 Vulnerabilità delle tecniche di cifratura Una ricerca esaustiva (o quasi esaustiva) potrebbe provare tutte le possibili password per rendere questa operazione onerosa da un punto di vista computazionale sono stati sviluppati numerosi algoritmi sofisticati La complessità degli algoritmi deve tenere il passo con la crescente capacità computazionale dei sistemi di elaborazione, sia centralizzati sia, soprattutto, distribuiti Giorgio Giacinto 2006 24
Strategie per la selezione di password sicure Password generate dal calcolatore Pregi estremamente difficile l individuazione per tentativi Difetti Scarsa accettabilità degli utenti o Difficoltà di memorizzazione o Necessità di scrivere la password da qualche parte Giorgio Giacinto 2006 25 Strategie per la selezione di password sicure Strategie di controllo reattivo delle password Un programma password cracker viene eseguito periodicamente per individuare password facili da individuare per tentativi Queste password sono cancellate e l utente viene avvisato Problema Impegna risorse e spesso il cracker usato è meno sofisticato di quello usato dagli hacker (che hanno a disposizione risorse dedicate) Giorgio Giacinto 2006 26
Strategie per la selezione di password sicure Controllo proattivo delle password La password è accettata o rifiutata al momento in cui l utente la seleziona Il sistema può guidare l utente nella scelta di una password o Facilmente memorizzabile da parte dell utente o Difficile da individuare per tentativi Giorgio Giacinto 2006 27 Altri meccanismi di autenticazione Challange-response One-time password Smart card Biometriche Giorgio Giacinto 2006 28
Accesso controllato ai dati A ciascun utente può essere associato un profilo che specifica quali accessi ai file sono permessi L applicazione di queste regole spetta al Sistema Operativo Nel caso delle basi di dati, il DBMS effettua il controllo a livello di record o di campi di record Giorgio Giacinto 2006 29 Matrice di Accesso Soggetto Una entità che può richiedere l accesso ad un oggetto Oggetto Qualunque cosa il cui accesso sia controllato Diritti d accesso Le modalità con le quali è possibile che un dato soggetto effettui un accesso ad un dato oggetto Giorgio Giacinto 2006 30
Matrice degli Accessi Giorgio Giacinto 2006 31 Matrice degli Accessi Di solito la matrice degli accessi è sparsa Viene suddivisa Per colonne: Access Control List elenca per ciascun oggetto gli utenti che possono accedervi e i relativi diritti d accesso Per righe: Capability tickets elenca per ciascun utente gli oggetti per i quali è permesso l accesso e I relativi diritti Giorgio Giacinto 2006 32
Access Control List (ACL) Giorgio Giacinto 2006 33 Capability Tickets Giorgio Giacinto 2006 34
Intrusi Mascheramento Un utente non autorizzato accede ad un elaboratore mascherato da utente autorizzato Approfittatore Un utente autorizzato che accede a risorse per le quali non ha privilegi, oppure fa un uso non autorizzato dei propri privilegi Utente clandestino Un utente che prende il controllo da supervisore del sistema per sfuggire o bloccare le attività di auditing Giorgio Giacinto 2006 35 Intruders and protection measures Anderson, Computer Security Threat Monitoring and Surveillance, Tech Rep, 1980 Giorgio Giacinto 2006 36
Motivi della crescita delle intrusioni Globalizzazione Pressioni della competizione internazionale Diffusione delle architetture client/server Molte aziende sono passate dai mainframe (alti livelli di sicurezza) ad architetture distribuite, per le quali è più difficile garantire la sicurezza Crescita della curva di apprendimento degli hacker Esistono reti di hacker molto efficienti e aggiornate per lo scambio di informazioni su vulnerabilità di sistemi, software, ecc. Giorgio Giacinto 2006 37 Tecniche di intrusione Obiettivo Ottenere l accesso al sistema o aumentare la gamma di privilegi di accesso al sistema Il raggiungimento dell obbiettivo spesso implica che l intrusore riesca ad acquisire informazioni riservate Ad es., acquisizione del file delle password, di solito memorizzate in forma cifrata Giorgio Giacinto 2006 38
Tecniche per acquisire le password Prova le password di default (quelle inserite in fabbrica dai produttori di software) Prova in modo esaustivo tutte le password brevi Prova le parole presenti in un apposito dizionario di password comuni Disponibili nella comunità degli hacker Cerca ulteriori informazioni legate agli utenti e prova a usarle come password Il nome, il nome della moglie, dei figli, ecc. Giorgio Giacinto 2006 39 Altre tecniche per acquisire le password Prova i numeri di telefono, il SSN, il numero dell ufficio Prova i numeri di targa relativi ad una provincia Usa un Cavallo di Troia per superare le barriere d accesso Intercetta la linea fra un utente remoto e il sistema Spesso le password viaggiano sulle linee di comunicazione in formato non cifrato (oggi meno frequente) Giorgio Giacinto 2006 40
Rilevazione delle Intrusioni La prevenzione da sola non basta! Intrusion detection Maggiore è la rapidità nella rilevazione, minori sono i danni arrecati dall intruso e minore è il tempo di ripristino del sistema Sistemi di rilevazione efficaci possono servire da deterrente La raccolta di informazioni da parte dei sistemi di rilevazione può servire a migliorare i sistemi di prevenzione Giorgio Giacinto 2006 41 Intrusion Detection Due approcci principali Anomaly detection o Basato sulla stima statistica del comportamento di ciascun utente in certo intervallo di tempo o Intrusione: attività di un utente non corrispondente al profilo statistico Rule-based detection o Scrittura di regole che determinano se una certa sequenza di azioni è un attacco (richiede la conoscenza degli attacchi passati). Le regole sono chiamate firme o Sistemi esperti confrontano ciascuna attività del sistema con l insieme delle firme degli attacchi Giorgio Giacinto 2006 42
Esempio di Anomaly Detection Giorgio Giacinto 2006 43 Intrusion Detection Fonti di informazione Audit record Nativi o Tutti I SO prevedono la raccolta e la memorizzazione di informazioni relative all uso dell elaboratore Specifici o Raccolta di informazioni aggiuntive necessarie al software di rilevazione delle intrusioni La rete Classe di IDS che analizzano il traffico di rete per trovare tracce di intrusioni Giorgio Giacinto 2006 44
Categorie di programmi cattivi Programmi che hanno bisogno di un programma che li ospiti Non possono esistere indipendentemente, ma solo all interno di applicazioni utente, programmi di utilità, programmi di sistema, ecc. Programmi indipendenti Programmi che possono essere eseguiti come processi individuali dal SO Giorgio Giacinto 2006 45 Una tassonomia dei programmi cattivi Giorgio Giacinto 2006 46
Trapdoor Un ingresso segreto che consente l ingresso al programma evitando alcune o tutte le protezioni Usate in genere dai programmatori per test e debugging Utile per attivare il programma se per qualche motivo la routine di autenticazione non funziona Il SO difficilmente può implementare dei controlli sulle trapdoor Giorgio Giacinto 2006 47 Logic Bomb Codice all interno di un programma impostato per esplodere al verificarsi di una (o più) condizioni Presenza o mancanza di certi file Un certo giorno della settimana (o dell anno) ID utente che sta eseguendo il programma Giorgio Giacinto 2006 48
Cavallo di Troia Un programma apparentemente utile che contiene codice nascosto che esegue operazioni indesiderate e/o pericolose L utente autorizzato (eseguendo il programma apparentemente utile) esegue funzioni scritte da un utente non autorizzato Ad esempio, può cambiare I permessi dei file, ecc. Cavalli di troia nascosti nei compilatori, editor di testo, giochi, ecc. Giorgio Giacinto 2006 49 Virus Programmi che possono infettare altri programmi, modificandoli La modifica contiene una copia del programma-virus Il programma infettato può infettare altri programmi Giorgio Giacinto 2006 50
Worm Utilizza connessioni di rete per propagarsi da un sistema ad un altro Programmi di posta elettronica Un worm spedisce una copia di se ad altri sistemi Capacità di esecuzione remota Un worm esegue una copia di se stesso in un altro sistema Capacità di log-in remoto Un worm si collega ad un sistema remoto come utente e usa i comandi di terminale per copiare se stesso da un sistema ad un altro Giorgio Giacinto 2006 51 Zombie Un programma che in modo nascosto prende il possesso di un computer connesso a Internet Questo computer è usato per effettuare attacchi che difficilmente possono essere ricondotti all autore dello zombie Usato negli attacchi di DoS contro server Web o Gli zombie sono inseriti in centinaia di computer appartenenti ad utenti ignari Questi inviano una quantità elevata di richieste che saturano le capacità del server Giorgio Giacinto 2006 52
Tipologie di Virus Parassiti Si attacca a file eseguibili e si replica Durante l esecuzione del programma infettato il virus cerca altri programmi da infettare Residenti in memoria Risiede nella memoria principale come parte di un programma residente Infetta tutti I programmi che vengono eseguiti nel sistema Giorgio Giacinto 2006 53 Tipologie di Virus Settore di boot Infettano il settore di boot del disco di sistema Si propaga durante l avviamento del sistema dal disco infettato Stealth Progettato per nascondersi ai programmi antivirius Può usare tecniche di compressione dati Polimorfo Muta ad ogni infezione per sfuggire agli antivirus La mutazione avviene creando una chiave di cifratura usata per cifrare il resto del virus (la chiave è memorizzata insieme al virus) Giorgio Giacinto 2006 54
Macro Una macro è un programma eseguibile immerso in un file dati (ad esempio, un documento) Esecuzione di macro in MS Word Autoexecution Esecuzione automatica all avvio del programma Automacro Eseguita quando avviene un certo evento Command macro Eseguita quando l utente usa un comando Giorgio Giacinto 2006 55 Virus relativi a Macro Indipendenti dalla piattaforma Sono comandi di programmi che sono compilato per diverse piattaforme, come Microsoft Word Infettano documenti e non file eseguibili Si diffondono molto rapidamente Giorgio Giacinto 2006 56
Virus relativi a E-mail Attivati quando il destinatario apre l allegato Spesso usano il linguaggio di script Visual Basic Si propaga a tutti gli indirizzi di posta elettronica memorizzati nel computer infettato Giorgio Giacinto 2006 57 Approcci Antivirus Rilevazione Da strumenti basati su firme, a regole euristiche, ecc. Identificazione Rimozione Giorgio Giacinto 2006 58
Sistemi Fidati Nel settore della difesa la protezione di dati e risorse è realizzata secondo diversi livelli di sicurezza U unclassified C confidential S secret TS top secret Giorgio Giacinto 2006 59 Sistemi Fidati Sicurezza Multilivello (Modello Bell-La Padula, 1973) A ciascuna risorsa (processi e oggetti) è associato un livello di sicurezza Il flusso di informazione deve obbedire alle seguenti regole No read up (simple security property) o Ciascuna risorsa può effettuare letture di oggetti con livello di sicurezza uguale o inferiore No write down (*-property) o Ciascuna risorsa può effettuare scritture su oggetti con livello di sicurezza uguale o superiore Giorgio Giacinto 2006 60
Il modello Bell-La Padula Giorgio Giacinto 2006 61 Reference Monitor Mediazione completa Le regole di sicurezza sono applicate ad ogni accesso Isolamento Il reference monitor e la base di dati sono protetti da modifiche non autorizzate Verificabilità La correttezza del reference monitor deve poter essere verificata matematicamente. Quest ultima è una definizione di Sistema Fidato Giorgio Giacinto 2006 62
Il concetto di reference monitor Giorgio Giacinto 2006 63 Orange Book Il Dipartimento della Difesa (DoD) degli USA ha pubblicato nel 1985 un documento noto come Orange Book. http://www.dynamoo.com/orange Il documento divide i Sistemi Operativi in sette categorie (D, C1, C2, B1, B2, B3, A1) relativamente ad un certo numero di caratteristiche relative alla sicurezza Attualmente è una classificazione datata, ma i principi-guida sono tutt ora validi Giorgio Giacinto 2006 64
Orange Book Livello D: Minimal Protection Questa categoria è assegnata a sistemi operativi non classificabili dal punto di vista della sicurezza o MS-DOS, Windows 95/98/ME Livello C: Discretionary Protection La protezione degli oggetti è opzionale. Il Sistema Operativo supporta le funzioni di logging di base o C1: Discretionary Security Protection Prime versioni di UNIX o C2: Controlled Access Protection IBM OS/400, Win NT/2000/XP, Novell Netware Giorgio Giacinto 2006 65 Orange Book Livello B: Mandatory Protection La protezione non è facoltativa ma obbligatoria A ciascun utente e a ciascun oggetto è assegnato un livello di sicurezza o B1: Labeled Security Protection HP-UX, Cray Research Trusted Unicos 8.0, Digital SEVMS o B2: Structured Protection Honeywell Multics, Cryptek VSLAN, trusted XENIX o B3: Security Domains Getronics/Wang Federal XTS-300 Livello A: Verified Protection Metodi formali per verificare la sicurezza o A1: Verified Protection Boeing MSL LAN, Honeywell SCOMP Giorgio Giacinto 2006 66
Common Criteria Le organizzazioni per la sicurezza di USA, Canada e Europa hanno intrapreso uno sforzo per uniformare i criteri con cui valutare la sicurezza dei sistemi operativi Common Criteria Prima versione nel 1996. Versione attuale 2.3, pubblicata come ISO/IEC 15408:2005 e ISO/IEC 18405:2005 http://www.commoncriteriaportal.org Giorgio Giacinto 2006 67 Common Criteria I sistemi sono valutati in una scala da 1 a 7 1, livello inferiore 7, livello superiore Si parla di Evaluation Assurance Level (EAL) Alcuni esempi Windows 2000 SP3, Windows Server 2003 e Windows XP Red Hat Enterprise Linux (RHEL) V. 4 Update 1 IBM AIX 5L for POWER V 5.2, Maintenance Level 5200-05 with Innovative Security Systems PitBull Foundation 5.0 Apple Mac OS X 10.3.6 EAL4+ EAL4+ EAL5+ EAL3 Giorgio Giacinto 2006 68