Sicurezza dei sistemi informatici

1. Sicurezza dei sistemi informatici Master di I° livello inSistemi e Tecnologie per la sicurezza dell'Informazione e della Comunicazione Prima lezione31/3/2007

2. Contenuto della lezione • Motivazioni • Dati sulla sicurezza • I concetti di sicurezza • Minacce e loro classificazione • Politiche e meccanismi • Modelli teorici di sicurezza • Politiche per la confidenzialità

3. Sicurezza dell’informazione 20 anni fa • Sicurezza di tipo “fisico” • L’informazione era principalmente su carta • Chiusa a chiave (armadi, casseforti, ...) • La trasmissione fisica abbastanza sicura • Amministrazione della sicurezza • Controllo “fisico” degli accessi alle risorse • Screening del personale • Auditing

4. Sicurezza dell’informazione oggi • Utilizzo emergente di Internet e dei sistemi distribuiti • L’informazione digitale deve mantenuta sicura • I costi dell’insicurezza • Stime dell’FBI indicano che un attacco insider può produrre in media un danno da 2.8 milioni di $ • Le perdite annue finanziarie dovute a falle nel sistema di sicurezza dell’informazione sono stimate tra i 5 e i 45 miliardi di $

5. Sicurezza dell’informazione oggi • Sicurezza a livello nazionale • Protezione of infrastrutture critiche • Rete energetica • Trasporto aereo • agenzie governative e connesse con il governo • Molte agenzie non hanno livelli di sicurezza accettabili • Soprattutto per quanto riguarda la gestione della sicurezza interna e le misure di controllo di accesso

6. Sicurezza di rete • Ovviamente se ogni computer avesse un solo utente e non fosse collegato ad altri computer, il problema della sicurezza non si porrebbe neppure • Questa situazione di isolamento tra gli utenti dei computer non si è in realtà mai verificata

7. Sicurezza di rete • Fino agli anni ‘70 i computer erano grandi e molto costosi main-frame usati da molti utenti che si connettevano da terminali (molto semplici) • In questa situazione sono state sviluppate molte tecniche (HW e SW) per garantire la sicurezza di ciascun utente: • distinguere utente normale dal sistema operativo • autenticare gli utenti • controllare gli accessi • sviluppo di modelli generali di sicurezza

8. Sicurezza di rete • dagli anni ‘70 ad oggi, i terminali sono diventati PC intelligenti ed autonomi ed i mainframe sono scomparsi • i PC sono ora collegati in rete • sulla rete ci sono server che offrono servizi commerciali delicati per la sicurezza (banche, e-commerce…) • ma anche solo la posta elettronica nasconde insidie

9. Insidie nella sicurezza di rete 1) in un computer multi-utente, uno degli utenti può assumere l’identità di un altro utente per carpire informazioni di quest’ultimo o per spacciarsi per lui 1+) i servizi di rete sono potenzialmente aperti a tutti, quindi l’insieme degli utenti di un sistema aumenta arbitrariamente e quindi anche le interazioni tra utenti diversi e quindi i pericoli di tipo (1)

10. Insidie nella sicurezza di rete • 2 nuovo) i servizi che usano la rete internet si basano sulla trasmissione di informazioni che attraversano reti e router non sempre controllabili • Per difendersi dai pericoli (1) e (1+) • è fondamentaleche ogni utente sia identificato e che le azioni che gli sono consentite siano decise in funzione di questa identità • cioè è fondamentale che il SO attui una chiara politica di sicurezza

11. Ulteriori problemi • il fatto che i PC siano in rete (possibilmente insicura) rende più difficile autenticare gli utenti • le password vanno protette e non devono passare in chiaro sulla rete • Per evitare (2) si deve trasmettere in rete solo informazione criptata cioè incomprensibile da chi non abbia l’apposita chiave di decrittazione

12. Ridimensioniamo il ruolo della crittografia • insomma la crittografia è una tecnica importante per risolvere questi problemi, • ma non risolve tutto … anzi Se un utente riesce a diventare system manager di un PC o di una rete non c’è crittografia che tenga

13. Definizioni ufficiali di sicurezza Esistono diverse definizioni di sicurezza e diversi organismi di valutazione della sicurezza : • US Department of Defence Trusted Computer System Evaluation Criteria (Orange Book), 1985. radium.ncsc.mil/tpep/process/faq.html • European Information Technology Security Evaluation Criteria (ITSEC), 1991. cesg.gov.uk • Canadian Trusted Computer Product Evaluation Creteria (CTCPEC), 1993. ftp.cse-st.gc.ca/pub/criteria/CTCPEC

14. Qualche dato sulla (in)sicurezza • L’impatto economico dei virus, worm e Trojan horse è di 17.1 miliardi di $ nel 2000 (8.75 miliardi solo per il virus “I Love You”) • In uno studio, una e-mail ogni 325 aveva un attachment maligno • In un recente studio dell’EU, la metà di ogni messaggio di e-mail è posta non richiesta che alle imprese europee più di 2,5 miliardi all’anno in produttività persa • Nella prima metà del 2005 sono state scoperte 1862 nuove vulnerabilità del software, delle quali il 60% in programmi che girano su Internet

15. Problemi di sicurezza segnalati nei media • “Computer Hacker Invades Web Site of the Justice Department”, NYT, 18 August 1996 • “Hacker Group Commandeers The New York Times Web Site”, NYT, 14 September 1998 • “Yahoo Blames a Hacker Attack for a Lengthy Service Failure”, NYT, 8 February 2000 • “A Hacker May Have Entered Egghead Site”, NYT, 23 December 2000 • “Stung by Security Flaws, Microsoft Makes Software Safety a Top Goal”, NYT, 17 January 2002 • “Millions of Cisco Devices Vulnerable To Attack”, Information Week, 18 July 2003 • “A method for shutting down networking devices circulates on the Internet” • “New Doomjuice Worm Emerges, Targets Microsoft”,Reuters UK, 9 February 2004

16. Problemi di sicurezza segnalati dai media • E innumerevoli altri incidenti che non sono stati pubblicizzati per paura di imbarazzo • Ogni volta che viene pubblicizzato un incidente, gli esperti di sicurezza e i rivenditori di antivirus tendono ad esagerarne i costi • Nel 2002, le compagnie americane hanno speso più di 4.3 miliardi di dollari solo per gli antivirus

17. Cambiamento del tipo di attacchi • Si passa da attacchi multiobbiettivo in grande scala su grandi sistemi ad attacchi mirati sui PC • C’è inoltre il passaggio dall’ “hacking” malizioso ad attacchi criminali con motivi economici • Furto di identità • Phishing • Denial-of-service

18. Furto di identità • Nell’aprile 2005, un’intrusione nel database della LexisNexis ha compromesso le informazioni personali di circa 310000 persone • Nell’agosto 2004, un’intrusione aveva compromesso 1,4 milioni di record di informazioni personali all’università di Berkeley

19. Phising • Durante la prima metà del 2005 il volume delle e-mail “phishing” è cresciuto da circa 3 milioni al giorno a circa 5.7 milioni • Ogni 125 messaggi di e-mail di media uno è un tentativo di phishing • L’1% of US households sono state vittime of successful phishing attacks in 2004

20. Ciber-estorsioni • Durante la prima metà del 2005 gli attacchi Denial-of-Service (DoS) sono aumentati da una media 119 a una media 927 al giorno • Il 17% dei siti commerciali hanno ricevuto minacce di chiusure mediante attacchi DoS • Una compagnia che si rifiuta di pagare gli estortori spende 100,000 $ all’anno per difendersi dagli attacchi DoS

21. Botnets e Zombies • SecurityFocus, 23 January 2006 • " Bot herder pleads guilty to 'zombie' sales: A 20-year-old California man used automated software to infect Windows systems and to create botnets — centrally controlled networks of compromised PCs — to which he sold access. • " In October 2005, Dutch authorities arrested three men in the Netherlands who allegedly controlled a network of more than 1.5 million compromised computers.

22. Aggiornamenti • New York Times, 25 September 2006. • ChoicePoint, CardSystems Solutions, Time Warner and dozens of universities have collectively revealed 93,754,333 private records • The Commerce Department announced that between 2001 and the present, 1,137 laptops were lost, missing or had been stolen • Symantec Internet Security Threat Report covering the first 6 months of 2006, 25 September 2006. • The Symantec Probe Network detected 157,477 unique phishing messages • Botnets have become a major part of the underground economy • An average of 6,110 denial-of-service attacks per day • Spam made up 54% of all monitored email traffic

23. Considerazioni finali • La sicurezza deve essere implementata secondo le esigenza personali • Non esiste una soluzione che va bene per tutti • La sicurezza è un’area complessa ed estesa che permea • tutti i livelli di un sistema informatico, compresi quelli fisici: Hardware-OS-Application-Network-Operator • E come in altri contesti, la sicurezza informatica è per la sicurezza sia l’anello più forte che quello più debole

24. Una rassegna dei concetti di sicurezza • La sicurezza deve garantire le proprietà di • Confidenzialità • Integrità • Disponibilità • La sicurezza studia le minacce e gli attacchi, in base ai quali stabilisce delle politiche e dei meccanismi • Tali meccanismi sono poi implementati e verificati

25. Confidenzialità • Si ottiene la confidenzialità nascondendo ai non autorizzati informazioni o risorse • In molti ambiti esistono informazioni e risorse “sensibili” a cui non possono accedere tutti • Un modo per nascondere le informazioni è la crittografia • Un altro modo è controllarne gli accessi • Anche le risorse possono essere soggette a restrizioni

26. Integrità • L’integrità richiede che le informazioni o le risorse “sensibili” non subiscano alterazioni non autorizzate • Integrità dei dati • Integrità della sorgente • Differenza: si può intercettare un fax in modo completo che contiene informazioni false • I meccanismi per garantire l’integrità si dividono in meccanismi di prevenzione e di scoperta

27. Integrità • Integrità: è difficile da esprimere in modo preciso: • è la proprietà che tutto è come dovrebbe essere • Spesso si riduce nel proibire la scrittura senza autorizzazione • E’ collegata alla segretezza: • modificare il SO è spesso prerequisito per avere accesso a documenti proibiti • problema: violazione dell’integrità del SO

28. Disponibilità • Per disponibilità si intende semplicemente la possibilità di usare una determinata risorsa o un’informazione nel tempo • Alcuni attacchi, il già citato DoS, tendono a diminuire e/o ad annullare la disponibilità di alcune risorse

29. Minacce • Una minaccia è una possibile violazione della sicurezza • La violazione non deve necessariamente accadere: è il fatto stesso che può accadere che la rende una minaccia • E’ importante salvaguardarsi dalle minacce ed essere pronti ad eventuali violazioni • La violazione effettiva è chiamata attacco e coloro che la commettono “attaccanti”

30. Classi di minacce • Disclosure: accesso non autorizzato alle informazioni • Deception: accettazione di dati falsi • Disruption: interruzione o prevenzione di operazioni corrette • Usurpation: controllo non autorizzato di alcune parti del sistema

31. Minacce più ricorrenti • Snooping: intercettazione non autorizzata di informazioni. Disclosure passiva • Modificazione o alterazione: cambiamento non autorizzato di informazioni. Deception attiva. Esempio: attacco “man-in-the-middle” • Masquerading o spoofing: impersonificazione di un’entità da parte di un’altra. Deception/usurpation passiva o anche attiva. Esempio: siti “civetta”. Forme legali: delegazione

32. Minacce più ricorrenti (2) • Ripudiazione dell’origine: falso diniego che un’entità abbia inviato (o creato) qualcosa. Deception. • Diniego di ricezione: falso diniego che un’entità abbia ricevuto qualcosa. Deception • Ritardo: inibizione temporanea di un servizio. Usurpation.

33. Denial of service • Diniego di servizio: inibizione a lungo termine di un servizio. Usurpation. Può essere svolta sul server, sul client o in mezzo • Si verifica quando un server viene sepolto sotto un enorme numero di richieste di servizi che non può trattare e quindi non riesce più a fare il suo lavoro normale • E’ difficile da evitare in generale

34. Politiche e meccanismi • Una politica di sicurezza è un’indicazione di cosa è e cosa non è permesso • Un meccanismo di sicurezza è un metodo (strumento/procedura) per garantire una politica di sicurezza • Esempio: • il lab. di inf. di un università stabilisce come politica che non si possono copiare i file dei compiti di un altro studente. • Il sistema ha un meccanismo per prevenire la copia di un file da parte di un altro utente • Anna non usa tale meccanismo e il sistema è violato

35. Le politiche • Una politica di sicurezza stabilisce regole che possono riguardare: • le operazioni che si possono usare su certi dati e l’utente che può usarle • gli utenti che possono accedere a certi dati. • eventuali profili di utente con specifici diritti

36. Politiche di sicurezza • La politica di sicurezza si focalizza su: • i dati (proteggere) • le operazioni (controllare) • gli utenti/profili (controllare) • Tradizionalmente i SO hanno meccanismi che proteggono i dati. Oggi diventa più importante controllare gli utenti

37. Meccanismi di sicurezza • Data una politica, che distingue le azioni “sicure” da quelle “non sicure”, i meccanismi di sicurezza devono prevenire, scoprire o recuperare da un attacco • La prevenzione significa che il meccanismo deve rendere impossibile l’attacco • Spesso sono pesanti ed interferiscono con il sistema al punto da renderlo scomodo da usare • Esempio unanimanente accolto: richiesta di password come modo di autenticazione

38. Meccanismi di sicurezza (2) • La scoperta significa che il meccanismo è in grado di scoprire che un attacco è in corso • E’ utile quando non è possibile prevenire l’attacco, ma può servire anche a valutare le misure preventive • Si usa solitamente un monitoraggio delle risorse del sistema, cercando eventuali tracce di attacchi

39. Meccanismi di sicurezza (3) • Il recupero da un attacco si può fare in due modi • Il primo è fermare l’attacco e recuperare/ricostruire la situazione pre-attacco, ad esempio attraverso copie di backup • Il secondo è continuare a far funzionare il sistema correttamente durante l’attacco (fault-tolerant)

40. Assunzioni e fiducia • Come possiamo essere certi che la politica descrive correttamente il livello e il tipo richiesto di sicurezza ? • Esempio: per aprire una porta occorre una chiave, l'assunzione ritenuta da molti valida è che il lucchetto sia a prova di ladri • In un ambiente in cui ci sono abili scassinatori tale assunzione non è più valida e il sistema non si può più ritenere sicuro

41. Assunzioni e fiducia (2) • Un meccanismo M è sicuro (rispetto ad una politica P) se non può condurre a stati non ammessi da P • M è liberale se può condurre anche a stati non ammessi da P • M è preciso gli stati a cui può condurre coincidono con quelli ammessi da P

42. Come ottenere un sistema sicuro • Fasi • Specificazione: descrizione del funzionamento desiderato del sistema • Progetto: traduzione delle specifiche in componenti che le implementeranno • Implementazione: creazione del sistema che soddisfa le specifiche • E’ indispensabile verificare la correttezza dei programmi

43. Considerazioni implementative • Analisi costi-benefici della sicurezza • Analisi dei rischi (valutare le probabilità di subire attacchi e i danni che possono causare) • Aspetti legali (ad esempio uso della crittografia negli USA) e morali • Problemi organizzativi (ad esempio la sicurezza non “produce” nuova ricchezza, riduce solo le perdite) • Aspetti comportamentali delle persone coinvolte

44. Aspetti psicologici • La sicurezza viene difficilmente apprezzata • La maggior parte degli utenti di internet non sanno nulla di sicurezza, ma hanno bisogno di sicurezza • Esiste un conflitto tra sicurezza e facilità d’uso del computer • Sono necessarie maggiori risorse di calcolo, interagisce con le abitudini, la gestione della sicurezza costa

45. Aspetti psicologici (2) • D’altra parte la sicurezza è necessaria perché c’è una continua crescita delle violazioni della sicurezza informatica • Esistono software d’attacco disponibili su rete • Si riscontrano anche attacchi molto sofisticati che arrivano a cancellare le tracce • Quindi in percentuale cresce il numero degli attacchi che hanno successo ed arrivano a compromettere il sistema attaccato

46. Rintracciabilità • Certe “garanzie” possono non bastare: • anche azioni autorizzate possono causare violazioni di sicurezza • ci può essere un “buco” nei controlli che abbiamo stabilito • Impossibile la sicurezza al 100% • E’ importante riuscire a tenere traccia di chi ha fatto le azioni che violano la sicurezza : Rintracciabilità (Auditing)

47. Rintracciabilità • L’auditing richiede: • selezione delle azioni pericolose • protezione dei file di log • Inoltre richiede l’autenticazione degli utenti in modo da poter collegare le azioni pericolose a chi le ha compiute

48. Sicurezza e livelli • in quale livello del computer conviene inserire un meccanismo di controllo ? applicazioni servizi SO kernel del SO hardware

49. Sicurezza e livelli • livelli bassi: meccanismi di sicurezza generali, semplici, grossolani, ma dimostrabili corretti • livelli alti: meccanismi ad hoc per gli utenti, sofisticati, difficili da dimostrare corretti

50. Sicurezza e livelli • il livello sottostante: • ogni meccanismo di controllo definisce un perimetro di sicurezza • al suo esterno ci sono le parti del sistema il cui malfunzionamento non compromette il meccanismo di controllo • al suo interno ci sono invece le parti del sistema che possono essere usate per scardinare il meccanismo di protezione