UNIVERSITÀ DEGLI STUDI DI BOLOGNA
FACOLTÀ DI SCIENZE MATEMATICHE, FISICHE E NATURALI
Corso di laurea in Informatica
Materia di Tesi: Metodi Formali II
Analisi di sicurezza per un portale
di informazione finanziaria: Borse.it
Tesi di laurea di:
Matteo Venerucci
Relatore: Chiar.mo Prof
Roberto Gorrieri
Introduzione
• Progettazione,
realizzazione e
aggiornamento per
garantire la riservatezza
e l’integrità dei sistemi.
• Diminuzione dei rischi
informatici.
• Analisi della sicurezza
tenendo conto dei vincoli
esistenti.
• Studio, realizzazione e
proposte di soluzioni per
l’aumento della sicurezza
dell’intero sistema.
Matteo Venerucci
Chi è Borse.it
Borse.it è un portale di informazione finanziaria
indipendente, caratterizzato dall’elevata qualità di
contenuti offerti.
Servizi Web
-Dati
-Grafici
-Notizie
-Analisi
-Rubriche
-Guide di finanza
-Forum
Servizi e-mail
Newsletter quotidiane
-Rassegna stampa
-Pagina personale
-Portafoglio personale
Newsletter settimanali
-Il mondo dei fondi
-Analisi tecnica
-Capire la borsa
Matteo Venerucci
Servizi personali
-Pagina personale
-Portafoglio personale
Scenario
Nt Feeder: richiede i dati finanziari e li registra sul
database (programma “Feeder”).
Main: Database server, web server.
Dell: Database server, web server, “nuovo Feeder”.
Ciò Che Deve Essere Garantito:
•
•
•
•
•
Il corretto funzionamento dei servizi.
I dati che riguardano gli utenti.
I dati che riguardano i titoli.
I dati dello storico dei titoli del mercato.
I portafogli degli utenti.
Matteo Venerucci
Architettura del Sistema
Invest.net
Main, Dell, Nt Feeder
Sviluppo e
Redazione
NT Feeder
Main
Dell
Server esterni
Grafici
dei Titoli
Banner/Pubblicità
Cluster
Utenti
http://www.borse.it
Login: email/password
Traffico HTTP
Traffico FTP
VNC
MySQL
TAL
Server Farm
Matteo Venerucci
Architettura del Sistema
Invest.net
Main, Dell, Nt Feeder
Sviluppo e
Redazione
NT Feeder
Main
Dell
Server esterni
Grafici
dei Titoli
Banner/Pubblicità
Cluster
Utenti
http://www.borse.it
Login: email/password
Traffico HTTP
Traffico FTP
VNC
MySQL
TAL
Server Farm
Matteo Venerucci
Architettura del Sistema
Invest.net
Main, Dell, Nt Feeder
Sviluppo e
Redazione
NT Feeder
Main
Dell
Server esterni
Grafici
dei Titoli
Banner/Pubblicità
Cluster
Utenti
http://www.borse.it
Login: email/password
Traffico HTTP
Traffico FTP
VNC
MySQL
TAL
Server Farm
Matteo Venerucci
Architettura del Sistema
Invest.net
Main, Dell, Nt Feeder
Sviluppo e
Redazione
NT Feeder
Main
Dell
Server esterni
Grafici
dei Titoli
Banner/Pubblicità
Cluster
Utenti
http://www.borse.it
Login: email/password
Traffico HTTP
Traffico FTP
VNC
MySQL
TAL
Server Farm
Matteo Venerucci
Architettura del Sistema
Invest.net
Main, Dell, Nt Feeder
Sviluppo e
Redazione
NT Feeder
Main
Dell
Server esterni
Grafici
dei Titoli
Banner/Pubblicità
Cluster
Utenti
http://www.borse.it
Login: email/password
Traffico HTTP
Traffico FTP
VNC
MySQL
TAL
Server Farm
Matteo Venerucci
Architettura del Sistema
Invest.net
Main, Dell, Nt Feeder
Sviluppo e
Redazione
NT Feeder
Main
Dell
Server esterni
Grafici
dei Titoli
Banner/Pubblicità
Cluster
Utenti
http://www.borse.it
Login: email/password
Server Farm
Matteo Venerucci
Carenze e Necessità
Carenze del sistema esistente
1.
2.
3.
4.
5.
La macchina Main raggiungibile solo con protocolli non sicuri (TELNET,
FTP e HTTP).
Autenticazione MySQL (basato su nome utente e password).
Menù di amministrazione (gruppi tra gli utenti).
Meccanismo della creazione dei gruppi e appartenenza dell’utente ai
gruppi.
Autenticazione di Apache (password non codificate).
Necessità del sistema esistente
1.
2.
3.
4.
5.
Test per il corretto funzionamento del “nuovo Feeder”.
L’installazione di un nuovo servizio Feeder sulla macchina Main
avrebbe portato ad una temporanea interruzione del servizio.
Installare programmi come SSH e Apache-ssl sulla macchina Main.
Avere un sistema di riserva qualora Main risultasse bloccata o non
accessibile, garantendo una sorta di tolleranza ai guasti.
Esecuzione di script per l’analisi statistica presso Dada.
Matteo Venerucci
Modifiche al Sistema
•
•
•
•
•
•
•
Installazione di SSH.
Disabilitazione di TELNET ed FTP.
Installazione di Apache-ssl.
Gestione dei privilegi.
Restrizione di MySQL.
Modifiche script di sistema.
Modifiche a Nt-Feeder.
In questo modo tutte e due le macchine,
Main e Dell, collaborano al mantenimento di
tutti i servizi del portale.
Tecnologie di SSL:
•Cifratura asimmetrica.
•Firme digitali.
•Certificati digitali (X509v.3).
•Negoziazione dei parametri.
•Handshake al momento della
connessione.
•Riutilizzo di parametri negoziati in
precedenza.
Tecnologie di OpenSSH:
•Crittografia forte(3DES, Blowfish).
•X11 Forwarding (cifratura
automatica del traffico X11).
•Port Forwarding (canali criptati
per altri protocolli).
•Autenticazione Forte (Rhosts,
Chiave Pubblica, Password).
•Compressione Dati.
Si garantisce inoltre una sorta di tolleranza ai guasti dovuti per esempio
ad un mal funzionamento di un programma o all’ intrusione di un
aggressore.
Matteo Venerucci
Apache-ssl
Apache-ssl
Con l’installazione di questo
web server si è pensato di
rendere la comunicazione
tra Client e Server più
robusta di quella esistente.
Le transizioni tra lo staff di
Borse.it e la macchina Dell
sono quindi rese sicure
dalla comunicazione
attraverso SSL.
Matteo Venerucci
Gestione dei Privilegi
Privilegi di /adm/
È stato inserito nel
database l’associazione tra
gruppo d’appartenenza e
utente, rendendo possibile
la modifica automatica
della stessa.
È stato creato un
metodo per
l’inserimento di nuovi
livelli e per
l’associazione degli
utenti a questi.
Access Matrix: gestisce l’appartenenza dell’utente ai gruppi
Matteo Venerucci
Restrizione di MySQL
• Mysql prevede la possibilità di gestire vari livelli di
permessi ai database.
• La connessione sulle macchine con il database
avviene attraverso connessioni criptate utilizzando
SSH.
• Sicurezza della connessione tra client remoto e
server realizzata tramite un tunnel SSH.
• Creazione dei privilegi dell’utente su determinate operazioni
come la select, insert, update e delete (vengono controllati tutti i
comandi dell’utente, verificando che abbia i privilegi adeguati
per poterli eseguire).
• Possibilità di accedere ai database solamente da IP del
sistema di borse.It.
Matteo Venerucci
Modifiche al Sistema
Modifica a tutti gli script
È stato necessario riscrivere gli script che
utilizzavano le connessioni HTTP.
Sono stati modificati gli script che
utilizzavano FTP e sostituiti con scp (della
suite dei comandi di SSH).
Modifiche a Nt Feeder
Sono state applicate tutte le patch si
sicurezza di Microsoft, gli ultimi Service
Pack.
È stato previsto che, in caso di mal
funzionamento della macchina NT Feeder, si
provveda al feeding dei dati attraverso il
server di sviluppo.
Matteo Venerucci
Conclusioni
• Le modifiche applicate sono trasparenti all’utilizzo del sistema.
• Le soluzioni introdotte non degradano le prestazioni del sistema,
ma ne aumentano la sicurezza.
• In futuro sarà possibile realizzare un IDS.
• Non sono stati affrontati i problemi di Denial of Service del
cluster delle macchine di Dada.
• Le soluzioni proposte e realizzate hanno migliorato la situazione,
ma non sono certo da considerarsi una risposta definitiva alla
sicurezza del portale, che dovrà essere affrontata in maniera
continuativa e, con l’aumentare della complessità dei sistemi,
dedicandovi sempre più risorse.
Matteo Venerucci