Sicurezza nei Sistemi Informatici (A-L) italiano@disp.uniroma2.it Anno Accademico 2006/07
Pagina Web del Corso gauguin.info.uniroma2.it/~italiano/teaching/security Contiene tutto (o quasi) sul corso Lucidi, link, informazioni sull esame
Libro di testo Menezes, van Oorschot, Vanstone Handbook of Applied Cryptography CRC Press Disponibile on-line (link sulla pagina Web) Altri testi consigliati sulla pagina Web
Esame Consiste in una prova scritta + progetto Proposte di progetto saranno disponibili sulla pagina Web
Organizzazione del Corso Lezioni (piu o meno tradizionali) Guest lectures
11th Annual 2006 CSI/FBI Report CSI (Computer Security Institute) & San Francisco FBI hanno intervistato 615 computer security practitioners in aziende, agenzie governative, istituzioni finanziarie, istituzioni mediche e università. 2006 Computer Crime and Security Survey Sunto disponibile su: http://www.gocsi.com/
2006 CSI/FBI Report (cont.) Perdite finanziarie quantificate: $ 52,494,290 in 2006 Report $ 130,104,542 in 2005 Report $ 141,496,560 in 2004 Report $ 201,797,340 in 2003 Report $ 455,848,700 in 2002 Report $ 377,828,700 in 2001 Report $ 265,589,940 in 2000 Report $ 120,240,180 media prima del 2000
2006 CSI/FBI Report (cont.) Perdite finanziarie quantificate per rispondente: $ 167,713 in 2006 Report $ 203,606 in 2005 Report $ 526,010 in 2004 Report
2003 CSI/FBI Report (cont.)
Summary Sicurezza informatica non è una moda ma una questione seria Alti rischi e perdite ($$$) Quanta sicurezza? Studenti vs. orso Insicurezza della mia piattaforma può recare danni a me ma anche ad altri Non sono molte le organizzazioni (individui) che hanno piani di sicurezza e/o adottano tecniche e policy per migliorare la sicurezza: Crittografia (Privacy, Integrity, Authentication,...) Politiche (Auditing, Security Management,...) Soluzioni (Firewall, Antivirus, Intrusion Detection System, Network Scanner,...)
Cosa si vuole rendere sicuro Riservatezza dei dati presenti nei sistemi Riservatezza della comunicazione Controllo dei sistemi e delle reti Integrità dell informazione Il livello di servizio offerto L identità di chi accede ai servizi Privacy
Cosa può accadere? L informazione sui nostri sistemi può essere compromessa Gen. 2000, un hacker penetra nei sistemi della CDUniverse, sottrae 300,000 numeri di carta di credito e informazioni sui clienti; altri hackers ottengono accesso ai dati della Egghead.com. Luglio 2001, un hacker riesce ad sottrarre i dati sui guadagni della JDS earnings prima che vengano rilasciati. Gen. 2002, un hacker penetra nei sistemi della Online Resources (software finanziario); usa questi sistemi per accedere ad una banca di NY che viene ricattata
Cosa può accadere? La comunicazione può essere compromessa Nel XVI secolo, Maria Stuarda fu decapitata dopo che i suo messaggi segreti furono decifrati (dimostrando che complottava contro Elisabetta I). Nella seconda guerra mondiale, molti U-boat tedeschi furono distrutti dopo che gli Inglesi riuscirono a decifrare i messaggi che utilizzavano la macchina Enigma. Oggi, il sistema Carnivore analizza milioni di messaggi di email al giorno.
Cosa può accadere? I nostri sistemi possono essere compressi Febbraio 2000, ICQ userid, PIN hijacked per un riscatto Agosto 2001, Code Red infetta 359.000 server in 14 ore Scandisce la rete alla ricerca di server IIS vulnerabili; rallenta i server; lascia backdoor per gli hacker Molti altri virus prendono il controllo del sistema operativo, inviano messaggi. I sistemi compromessi possono essere utilizzati per attaccare altri siti sensibili
Cosa può accadere? I nostri dati possono essere alterati. Settembre 1999, i siti del NASDAQ e dell AMEX vengono violati; gli hacker aprono dei propri account di email. Ottobre 99, un Worm svuota interi archivi al Pentagono. Ottobre 2000, hacker Pro-Israeliani e pro-palestinesi (e- Jihad) violano decine di siti; i visitatori del sito di Hamas sono dirottati su un sito porno. Aprile 2001, il sito della British Telecom site è violato due volte in tre giorni gli hacker protestano contro la sospensione del servizio ADSL Luglio 2001, un gruppo di hacker viola 679 siti in un minuto
Cosa può accadere? Il nostro servizio può essere interrotto. Settembre 1996: Panix, un ISP di NY, subisce un attacco di tipo Denial of Service (DoS) basato su SYN flooding Maggio 1999, il virus Melissa virus manda in crash molti servers di e-mail si diffonde replicandosi verso i primi 50 contatti di Outlook Febbraio 2000: attacco Mafiaboy di tipo Distributed Denial of Service (DDoS): Yahoo, CNN, ebay, Amazon non disponibili per più di 3 ore. Attacchi vari a siti istituzionali (Ministero della Giustizia).
Altre informazioni sugli attacchi Numero degli attacchi gli USA sono i primi nel mondo per il numero assoluto Israele è in testa per il numero di attacchi per abitante circa il 45% degli attacchi sono critici. Gran parte delle maggiori società sono attaccate continuamente (specialmente le società finanziarie). Molti attacchi sono semplici scansioni alla ricerca di nodi vulnerabili Molti utenti sono sempre connessi (ad esempio tramite ADSL) da sistemi altamente insicuri i dispositivi wireless (cellulari o palmari) iniziano ad essere interessati da virus
Come possiamo proteggerci? Segretezza delle informationi sui propri sistemi Segretezza della comunicazione Controllo dei nostri sistemi e reti Integrità dei dati Denial of Service Autenticità dei partner nella comunicazione Privacy Uso esteso della crittografia Controllo degli Accessi (hardware, software, sistema, applicazioni) Autenticazione (password, certificazione, biometrica) Virtual Private Networks Sistemi per la rilevazioni delle intrusioni Ridondanza delle strutture Cultura della riservatezza
Strumenti commerciali disponibili Crittografia RSA Security, F-Secure, Certicom Autenticazione Verisign, Entrust, Baltimore, società biometriche hi-tech Autorizzazione, Autenticazione ed Amministrazione (3A) Computer Associates, IBM Tivoli, BMC Software Software Anti-Virus Network Associates (McAfee), Symantec (Norton) Firewalls Checkpoint, Cisco, CA, Microsoft Intrusion Detection ISS, Cisco, NFR VPN Hardware Nokia, Nortel, Intel Public Key Infrastructure (PKI) Entrust, Baltimore, IBM (VeriSign)
Programma del corso Crittografia breve storia, convenzionale e a chiave pubblica (gestione e distribuzione delle chiavi in altro modulo) Autenticazione Sistemi base, challenge-response, autenticazione di sistemi ed utenti Sicurezza delle Communicazioni IPSec, VPN, sicurezza del Web, sicurezza dell email. Incidenti e contromisure firewalls, tripwire, sistemi di controllo e gestione delle intrusioni
Computer Security: An Overview
Modello di comunicazione sicura Alice Bob
Esempio Trusted Server Alice Comm(Bob) PubK(Bob) PubK(Alice) Bob PrivK(Alice) Encrypt Decrypt Sign PrivK(Alice) ( Alice ) Sign PrivK(Bob) ( Bob ) Decrypt Encrypt PrivK(Bob) Gen Sess Key Encrypt Encrypt Enc PubK(Bob) (SessK) Enc SessK (Message) Decrypt Decrypt
Modello di accesso sicuro Identifica e filtra le richieste di informazioni
Attacchi alla sicurezza
Esempi di Attacco Intrusione Eavesdropping Impersonificazione Virus / Worm Denial of Service Man-in-the-middle Reflection attack Replay attack Password cracking Corruzione di dati/codici Attribuzione fraudolenta/ripudiazione
Meccanismi Uso specifico di algoritmi, protocolli, e procedure per rilevare e difendersi da attacchi. Esempi Cifrare l informazione Autenticare gli utenti usando qualcosa che possiedono qualcosa che sanno, oppure qualcosa che sono Rilevare e rendere inoffensivi i virus, e le intrusioni Creare e gestire sistemi e procedure per il controllo degli accessi Molti meccanismi usano la Crittografia
Servizi di Sicurezza Confidenzialità Autenticazione Integrità Non-ripudiazione Controllo degli Accessi Disponibilità del servizio