Corso di Sicurezza e Gestione delle reti

introduzione
Leonardo Maccari,
[email protected]
I NTRODUZIONE ALLA SICUREZZA
Sicurezza: concetti di
base
Corso di Sicurezza e Gestione delle reti
Caratteristiche dei servizi
offerti
Evoluzione
L EONARDO M ACCARI : LEONARDO. MACCARI @ UNIFI . IT
L A RT - L ABORATORIO DI R ETI E T ELECOMUNICAZIONI
D IPARTIMENTO DI E LETTRONICA E T ELECOMUNICAZIONI
This work (excluding contents diversely specified) is licensed under the Creative Commons
Attribution-NonCommercial-ShareAlike 3.0 License.
Know your enemy
Gli attaccanti
Gli attacchi
TOC
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
1
Sicurezza: concetti di base
Caratteristiche dei servizi offerti
Evoluzione
2
Know your enemy
Gli attaccanti
Gli attacchi
Gli attaccanti
Gli attacchi
Bruce Schneier on security:
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Security is a mindset, and the best security experts come by
the profession naturally. They constantly go about the world
looking at how to get around security: how to vote twice, how to
shoplift, how to sneak in and out. They probably won’t do any
of these things, but they’re always thinking about them.
Sicurezza: definizione
La sicurezza viene normalmente immaginata come un
processo, intendendo un insieme dinamico di attenzioni che
rendono la vostra rete sicura. La sicurezza deve essere
garantita in tutti gli gli aspetti della vostra rete, da quello fisico a
quello di gestione degli utenti. Si individuano in letteratura 6
temi fondamentali su cui concentrare l’attenzione1
I
Disponibilità dei dati
I
Autenticazione dei dati
I
I
Integrità dei dati
Segretezza dei dati
I
Controllo degli accessi
I
Non ripudiabilità
A questi se ne può aggiungere un settimo: l’anonimato
1 William
Stallings Cryptography and Network Security
(http://williamstallings.com/Crypto3e.html)
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Disponibilità del servizio
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Disponibilità
I
Il servizio deve essere sempre raggiungibile
I
La disponibilità viene violata se siete vittima di un attacco
DoS: Denial of Service
I
La disponibilità del servizio è la cosa più difficile da
garantire:
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
I
I
Esistono sempre limiti fisici delle risorse
I
Realizzare un attacco DoS deve costare il più possibile
La disponibilità si ottiene con una accurata progettazione
della rete
Mafiaboy contro Yahoo, Amazon, Ebay
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
I fatti
Caratteristiche dei servizi
offerti
Evoluzione
I
Nel febbraio del 2000 un ragazzo di 17 anni, noto come
mafiaboy inizia un attacco di tipo DDOS, distributed denial
of service, contro alcuni siti molto noti.
I
L’attacco viene portato da una cinquantina di computer da
lui precedentemente compromessi appartenenti a reti di
università, enti pubblici ecc. . . con molta banda a
disposizione.
I
I siti yahoo.com, eaby.com, cnn.com sono rimasti
irraggiungibili per alcune ore
I
Mafiaboy se l’è cavata con 8 mesi di riformatorio e
l’interdizione di attività in forum, liste, gruppi dedicati ai
temi del cracking
Know your enemy
Gli attaccanti
Gli attacchi
Segretezza dei dati scambiati
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Segretezza
I
I dati scambiati devono rimanere riservati tra le parti che
partecipano allo scambio
I
Le reti ethernet permettono, generalmente, di fare sniffing
dei pacchetti
I
Per ottenere segretezza si devono utilizzare algoritmi di
crittografia (simmetrici, asimmetrici, distribuiti. . . )
Gli attaccanti
Gli attacchi
Integrità dei dati scambiati
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Integrità
I
I dati devono raggiungere la destinazione senza essere
stati modificati
I
Si possono modificare dati cifrati senza decifrarli (attacchi
di bit flipping)
I
Per ottenere l’integrità dei dati si devono utilizzare funzioni
di hashing
Gli attaccanti
Gli attacchi
Maryland contro Diebold
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
I fatti
I
I
I
Evoluzione
Nello stato del Maryland dal 2002 sono state introdotte le
macchine DRE (Direct Recording Electronic) Voting
Machine prodotte dall’azienda Diebold.
Lo stato del Maryland ha commissionato diverse ricerche
per valutare l’affidabilità delle macchine a ricercatori
indipendenti.
I ricercatori sono stati in grado di:
I
I
I
leggere i dati relativi alle votazioni
inserire codice nelle macchine, in modo da cambiarne il
comportamento
modificare le schede magnetiche dei votanti per poter
votare più volte.
Know your enemy
Gli attaccanti
Gli attacchi
Autenticazione del mittente dei dati scambiati
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Autenticazione
I
Chi riceve un’informazione deve essere sicuro che il
mittente è effettivamente quello dichiarato
I
I protocolli IP e ethernet permettono di effettuare lo
spoofing degli indirizzi
I
Per ottenere l’autenticazione dei dati si devono utilizzare
funzioni di firma digitale
Gli attaccanti
Gli attacchi
Phishing
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Phishing
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Controllo degli accessi
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
I
I
I
Limitare l’accesso al servizio che si offre alle sole entità
autorizzate.
Assegnare ad ogni utenza dei profili di accesso
proporzionati
Se necessario utilizzare tecniche di Accounting, ovvero di
profilazione del traffico o delle attività degli utenti (ad
esempio per effettuare billing, nel rispetto della loro
privacy).
Gli attaccanti
Gli attacchi
Controllo degli accessi: spiacevoli
conseguenze
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
I
I
L’host da cui parte l’attacco viene sempre coinvolto nelle
azioni legali che intraprendono le vittime, sta al gestore
dimostrare che l’attacco non è avvenuto per volontà del
gestore stesso.
Perdere il controllo degli accessi significa poter essere
utilizzati come testa di ponte per attacchi verso terze parti,
quindi anche per reti che non contengono informazioni
particolarmente delicate, la sicurezza è fondamentale.
Non ripudiabilità dei dati scambiati
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Non ripudiabilità
I
I
I
Chi invia un messaggio non può in seguito negare di
averlo mandato
Importante soprattutto a livello di applicazione, nello
scambio di documenti
Se la firma digitale utilizzata è rilasciata da un’ente
autorizzato è del tutto equivalente ad una firma su carta
Gli attaccanti
Gli attacchi
Aste Online
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
I
17.10.2003: La procura di Milano organizza un’asta
Online, su un sito gestito dal comune vengono messe le
foto degli oggetti all’asta e si possono fare offerte via fax.
I
Il fax non è uno strumento sicuro, non c’è garanzia di
ricezione, non c’è non-ripudiabilità.
I
Un attaccante avrebbe potuto inviare fax con offerte false
per far alzare il prezzo e indurre gli altri offerenti a pagare
un prezzo maggiorato.[?]
Gli attaccanti
Gli attacchi
Anonimato
La possibilità di immettere informazioni in una rete senza che
queste siano direttamente collegabili all’identità del mittente.
I Esistono reti anonimizzanti:
I
I
I
I
Perchè si vuole anonimato:
I
I
I
Tor
freenet
Remailer anonimi
Forse perchè si vogliono commettere atti illeciti senza
essere rintracciati. . .
. . . o forse perchè non si è in condizione di esercitare i propri
diritti civili.
Le reti anonimizzanti producono entrambe le
conseguenze, ma non bisogna considerarle con
pregiudizio. In ogni caso, perche’ AoL mantiene quei
database?
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
America On Line e la privacy dei suoi utenti:
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
I fatti
I
Agosto 2006: il portale AoL, uno dei più grossi provider
nonchè motore di ricerca americano mette erroneamente
in rete un file di 440Mbyte contenente le ricerche effettuate
negli utlimi 3 mesi da 500000 utenti.
I
Per ogni ricerca viene riportato un ID anonimizzato
dell’utente in questione, la stringa ricercata, i risultati e su
quale dei risultati l’utente ha cliccato.
I
Alcuni esempi di contenuti:
Know your enemy
Gli attaccanti
Gli attacchi
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
personal injury, auto accident pictures,
Gli attacchi
divorce law, blackberry, family law,
florida divorce law, palm beach county
family connection, florida criminal lawyer,
[persons name], [persons name HOUSE],
[persons name and JUDGE], code of judicial conduct
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
strippers men, men in briefs, men in speedos,
tan speedos, tanning oil, man sexy brief,
man swimsuit
Evoluzione dell’attaccante
I
1983: Fred Cohen (University of Southern California )
conia il termine computer virus come un programma che
colpisce altri programmi modificandoli in un modo da
includere delle copie di se stesso.
I
Per anni i virus sono stati considerati un gioco fastidioso
creato da hacker burloni. Monitor che si capovolgono di 90
gradi, fuochi d’artificio, solo raramente perdita di dati o altri
danni. Chi crea i virus viene dipinto dai media come un
piccolo genio del computer in vena di scherzi.
I
Tutto questo cambia radiclamente nel 1989: in Indiana
viene arrestato Fry Guy un ragazzo di 16 anni che
utilizzando la sua bravura tecnica era riuscito a introdursi
nelle centrali della AT&T e deviare le telefonate al 911 (il
113 americano) di parte di New York verso un telefono
erotico. Gli scherzi cominciavano a essere pesanti.
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
L’underground
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
I
Le prime vulnerabilità informatiche vengono diffuse negli
anni 80 da gruppi underground di persone non meglio
identificate (crews) che se le scambiano come segreti
I
Oggi, se da un lato l’IT Security è un business, dall’altro
esiste ancora un underground che produce e pubblica
vulnerabilità.
I
Il lavoro del security manager consiste anche nel
mantenere aperto un canale verso questo mondo da cui a
volte emergono innovazioni o minacce.
Know your enemy
Gli attaccanti
Gli attacchi
Gergo underground - Gli attaccanti
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Hacker
Caratteristiche dei servizi
offerti
Evoluzione
Storicamente il termine hacker non ha un’accezione negativa.
Hack significa letteralmente fare a pezzi, spezzare in modo irregolare, hackers si auto definirono alcuni scienziati del MIT (Massachutsets Institute of Technology) riferendosi al loro piacere
nel sezionare, scomporre gli apparati al fine di comprenderne e
migliorarne il funzionamento.
I
Un hacker generalmente non produce danni, non ruba
denaro, non taglieggia. . .
I
. . . ma si diverte a verificare la sicurezza delle reti che
incontra (e anche questo può costituire reato)
I
Negli ultimi anni il termine è stato spesso abusato dai
media, per indicare malfattori di vario tipo.
Know your enemy
Gli attaccanti
Gli attacchi
Gergo underground - Gli attaccanti
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Cracker
Un cracker è qualcuno il cui scopo è quello di penetrare
nei sistemi informatici che non gli appartengono per renderli
inutilizzabili o per guadagnarne qualcosa.
I
Nel 99% dei casi, quando si sente parlare in televisione di
hacker, si deve intendere un cracker, cioè una persona
dotata tecnicamente che sfrutta le sue conoscenze per
commettere azioni illegali.
I
Dietro ad un cracker ci possono essere grossi interessi,
associazioni a delinquere o terrorismo
Know your enemy
Gli attaccanti
Gli attacchi
Gergo underground - Gli attaccanti
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Lamer
Un lamer è una persona poco dotata tecnicamente, con pochi
mezzi tecnici a disposizione, che raccoglie programmi su internet per riuscire a penetrare in reti che non gli appartengono.
I
generalmente la motivazione del lamer è la gloria, il
potersi vantare delle azioni svolte.
I
il lamer è il prototipo dell’adolescente sveglio che cerca
fama nel suo piccolo gruppo di conoscenze.
Know your enemy
Gli attaccanti
Gli attacchi
Evoluzione dell’attaccante
I
I
Nel 1991 Symantec rilascia il Norton Anti-Virus, la
sicurezza diventa un business.
Da allora ad oggi molte cose sono cambiate, sia tra gli
attaccanti che tra gli esperti di sicurezza, alcuni esempi:
I
I
I
12/2005: Il direttore dell’istituto SANS dichiara in una
conferenza stampa che il network governativo americano
subisce attacchi provenienti dalla Repubblica Poplare
Cinese, e che data l’intensità degli attacchi, questi possono
provenire soltanto da organizzazioni governative e militari.
2005: il rapporto annuale dell’FBI sul cybercrime sostiene
che nel 2005 il mercato del crimine digitale (attacchi, furti,
taglieggiamenti ma anche pirateria) ha superato il fatturato
del mercato della droga. Inoltre, la media del costo di una
intrusione informatica per le aziende americane si aggira
intorno ai 250.000 $.
2009: Der Spiegel rivela che la germania addestra
cybersoldati. L’esercito tedesco si appresta a formare una
Cyberwar unity con compiti sia di difesa delle reti nazionali
che di ricognizione azione attiva sui network avversari.
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Evoluzione dell’attaccante - casi celebri
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Kevin Poulsen
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Noto come Dark Dante, Poulsen ha vinto una Porsche
rispondendo per primo ad un concorso a premi di una radio di
LA. Aveva sotto controllo tutte le linee telefoniche.
Evoluzione dell’attaccante - casi celebri
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Matthew the phone phreak — Boston
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Febbraio 2008, l’ FBI identifica il colpevole di uno swatting
incident. Un ragazzo di 17 anni riusciva a redirigere chiamate
di emergenza della polizia e si divertiva a mandare squadre di
assalto in casa di persone ignare.
Evoluzione dell’attaccante - casi celebri
Edwin Andreas Pena
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Insieme ad un complice, sfrutta vulnerabilità in server VoIP di
carrier americani, prende il controllo di alcune di queste
macchine ed organizza un suo provider VoIP dove rivende a
tariffe vantaggiose servizi voce che lui non paga.
Oltre al folklore. . .
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Anche se questi casi possono far sorridere, la lezione che se
ne deve trarre è che:
I
qualsiasi informazione può essere preziosa per un
attaccante, anche se a voi sembra inutile.
I
Qualsiasi rete deve essere progettata tenendo presente le
sue caratteristiche di sicurezza.
Gli attacchi
Evoluzione dell’attaccante
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
I
Per rendere più chiara l’idea descriviamo in breve cosa
succede comunemente quando i nostri computer si
prendono un virus:
1.
2.
3.
4.
Alcune protezioni vengono disabilitate (antivirus, firewall)
Il virus si diffonde in più canali possibili (email)
Viene aperta una connessione ad un canale IRC (una chat)
Nella chat si trovano connessi migliaia di altri computer
infetti
5. Alla chat si connette anche un amministratore che
impartisce comandi ai computer, quali comandi?
I
I
I
I
I
Inviare email di SPAM
Raccogliere indirizzi email per costruire liste di SPAM
Raccogliere dati sensibili (password, numeri di carte di
credito) presenti sul computer
Iniziare connessioni verso un singolo host per produrre un
attacco denial of service
Portare altri attacchi verso terze macchine
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Evoluzione dell’attaccante
I
Esempio: Claria.com
I
I
Vende pubblicità online
distribuisce il software Gator utilizzando qualsiasi mezzo
(licenze non valide, inserendolo in programmi su filesharing
o utilizzando siti contenenti codice malevolo)
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
I
Nel 2004 ha prodotto vendite per 117.000.000 $
Evoluzione dell’attaccante
I
Si intuisce che i tempi degli hacker burloni sono finiti,
adesso i nemici sono associazioni più o meno legali che
hanno a disposizione enormi capitali e scopi ben
strutturati.
I
Quando si viene attaccati le nostre informazioni personali
sono a rischio, i nostri recapiti, numeri di carta di credito e
password vengono raccolti e inseriti in database, questi
database vengono utilizzati e venduti a nostra insaputa.
I
Ancora peggio è quando l’attacco subito è un punto di
partenza per un ulteriore attacco, visto che si prende parte
ad un crimine.
Se da una macchina da me amministrata parte un attacco
verso terzi, sono io a dover dimostrare di non essere
responsabile. Cosa comporta:
I
I
I
I
Perdita di connettività: il mio provider stacca la spina
Perdita di immagine verso clienti
Possibili coseguenze legali
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Quantificare i danni:
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Si può fare una cost analisys sulla sicurezza informatica?
Normalmente chi è vittima di attacchi non diffonde la
dimensione dei danni provocati per evitare il danno (ulteriore)
di immagine, quindi non c’e’ molta esperienza. Un esempio
può essere il seguente, preso da una ricerca Forrester.
introduzione
Quantificare i danni:
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
I
Scenario: furto di un milione di dollari da una banca online
con 250.000 clienti.
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Rimborso del furto
48 ore di down
Controllo su tutti i conti
Danni di immagine
Aumento premi assicurativi
Perdita di 10000 clienti
Totale
100.000.000$
96.000.000$
1.000.000$
6.000.000$
5.000.000$
2.500.000$
111.500.000$
Pubbliche amministrazioni
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
I
Finora abbiamo parlato di conseguenze economiche,
vediamo alcuni esempi di insicurezze in ambito di pubblica
amministrazione:
I
I
I
21 ottobre 2002: la marina americana subisce un furto di
quasi 600 computer, almeno 14 dei quali contenevano
informazioni classificate.
19 giugno 2006: un impiegato della U.S. Financial services
viene derubato del proprio laptop, contenente i dati di
previdenza sociale di 13000 lavoratori.
giugno 2006: un impegato del dipartimento dei veterani
americano porta a casa un laptop contenente i dati privati di
26 milioni di persone e subisce un furto. I veterani chiedono
un rimborso di 1000 euro per ogni fascicolo perso.
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Anatomia di un attacco
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Ogni attacco ha una sua storia, perchè proviene da motivazioni
diverse. Possiamo distinguere due tipi di attacchi:
I
attacchi automatizzati
I
attacchi manuali
Attacchi automatizzati
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
In questo caso l’attaccante non fa altro che lanciare uno script
che fa la scansione di una zona di internet (classe di indirizzi,
dominio. . . ) e aspetta i risultati. Generalmente:
I
L’attaccante non ha interesse specifico in quello che
attacca, vuole solo guadagnare il controllo di più
piattaforme possibili
I
L’attaccante utilizza un set di vulnerabilità note
I
La vittima puà essere chiunque.
I
Le conseguenze possono essere spiacevoli, dalla
partecipazione ad un successivo attacco di DOS alla
perdita di informazioni personali.
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Attacchi mirati
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
In questo caso l’attaccante ha interesse ad una risorsa
specifica contenuta in una certa rete.
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
I
Generalmente c’e’ una fase di studio in cui si cerca di
capire il più possibile della rete
I
Una volta trovato il varco si sfrutta, passando anche
attraverso tecniche non note a priori (ad es. vulnerabilità
trovate in un applicativo Web)
I
Una volta entrato l’attaccante farà la sua strada all’interno
della rete verso la risorsa che gli interessa (un db, un
email ecc. . . )
I
A quel punto o se ne va cercando di cancellare le tracce, o
rimane in attesa di altre informazioni.
Gli attacchi
Defacement
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Se non tenete aggiornati i vostri siti, potete finire cosi’:
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Defacement
Se non tenete aggiornati i vostri siti, potete finire cosi’:
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Programmi con licenze proprietarie
I
permettono di utilizzare il programma
I
non permettono di vedere o modificare il codice sorgente
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
Caratteristiche dei servizi
offerti
Evoluzione
Sicurezza
I
- Non si sa cosa faccia il programma (security through
obscurity )
I
- Non si può migliorare/patchare, bisogna aspettare le
patch
I
- Obbediscono soltanto a logiche di mercato (spesso in
situazioni di monopolio)
I
+ Esiste un team di sviluppatori che ci lavora
costantemente (davvero?)
“There’s no evidence that any source code has been modified
or corrupted”
(Comunicato stampa Microsoft (10/2000))
Know your enemy
Gli attaccanti
Gli attacchi
Programmi con licenze libere/open source
introduzione
Leonardo Maccari,
[email protected]
Sicurezza: concetti di
base
I
permettono di utilizzare il programma
I
permettono di vedere, modificare, ridistribuire il codice
sorgente
Caratteristiche dei servizi
offerti
Evoluzione
Know your enemy
Gli attaccanti
Gli attacchi
Sicurezza
I
+ si sa esattamente cosa fa il programma
I
I
Download signed ActiveX backdoor
Netscape engineers are weenies!
I
+ si può migliorare/patchare, non bisogna aspettare le
patch
I
+ il codice viene riutilizzato (anche dagli altri), quindi
migliora
I
- raramente esiste un team di sviluppatori pagati che
progetta e implementa il software