La sicurezza
nell’Information
and
Communication
Technology
(ICT)
Gaetano Maretto – Mainframe IT Specialist
La sicurezza nell’ICT – Gaetano Maretto
Agenda
 Una transazione di e-Commerce
 Client, Server
 C. I. A.
 Intranet, Extranet, Internet
 La sicurezza del commercio Online
 Log On
 La crittografia
 Il Data Base della sicurezza
 Domande e risposte
2
La sicurezza nell’ICT – Gaetano Maretto
Internet Book store: Attori
Store server
Acquirente
(Client)
Payment server
3
La sicurezza nell’ICT – Gaetano Maretto
Delivery
server
Client – Server 1
Acquirente
(Client)
Client
•Svolge prevalentemente un’operazione alla volta
•Può definire più utenti
•Con attributi diversi (administrator, user… )
•Solo un utente alla volta può essere attivo
•HW e SW sono orientati all’interazione umana
•Il Capacity Planning non è essenziale
4
La sicurezza nell’ICT – Gaetano Maretto
Client – Server 2
… Server
Server
•E’ costruito per svolgere molte operazioni insieme
•Gli utenti definiti possono essere milioni
•Possono essere tutti contemporaneamente attivi
•HW e SW non prevedono l’interazione umana
•Il Capacity Planning è essenziale
•Il controllo dei livelli di servizio è molto sofisticato
•La gestione operativa è effettuata mediante PC ad hoc
•Può occupare solo una porzione di un dato HW
(Virtualizzazione)
•Può essere costituito da più HW (Clustering)
5
La sicurezza nell’ICT – Gaetano Maretto
Client – Server 3
Client
… Server
La sicurezza sul client
•Vi sono pochi utenti definiti
•L’utente LogOn ha il controllo del client
•Massima preoccupazione per attacchi virali
•Per client ‘aziendali’ può essere gestita centralmente
La sicurezza sul server
•E’ gestita da uno staff dedicato
•E’ costruita partendo dall’architettura HW e SW del Server
•Coinvolge anche aspetti non informatici; ad esempio:
 Sicurezza degli edifici
 Assegnazione delle responsabilità dei gestori
6
La sicurezza nell’ICT – Gaetano Maretto
Come si acquista un libro – 1
Client – Book store
Server
①Connessione
②Consultazione
③LogOn
④Riempimento carrello
⑤Ammontare
⑥ Accettazione pagamento
⑦ -----⑧ -----⑨Ricevuta;
⑩ Ordine di spedizione
Acquirente
(Client)
7
La sicurezza nell’ICT – Gaetano Maretto
Store server
Delivery
server
Come si acquista un libro - 2
Book store Server – Payment server
① -----② -----③ -----④ -----⑤ -----⑥ -----⑦ Dati pagamento
⑧ Pagamento OK
⑨ -----⑩ -----Store server
8
La sicurezza nell’ICT – Gaetano Maretto
Payment server
La sfida dell’e-Commerce
Accesso il più
facile possibile
Store server
Accesso il più
controllato possibile
‘Your competitor is only one click away’
9
La sicurezza nell’ICT – Gaetano Maretto
Il modello C.I.A.
•Confidentiality: La transazione deve avvenire in
modo confidenziale
•Integrity: I dati coinvolti non devono subire
danneggiamenti, cioè devono restare integri prima,
durante e dopo lo svolgersi della transazione
•Availability: I dati devono essere disponibili per la
transazione in qualunque momento questa debba
avvenire
10
La sicurezza nell’ICT – Gaetano Maretto
… net
•Intranet: Tutti i server interni ad un’azienda
•Extranet: I server che svolgono funzioni che
implicano la collaborazione con i business partner
•Internet: Tutti i server che sono disponibili per offrire
funzioni agli utenti esterni
11
La sicurezza nell’ICT – Gaetano Maretto
Firewall
Application
gateway
protocol
IP packet
filtering
Internet
Intranet
Network
Address
Translation
‘
12
La sicurezza nell’ICT – Gaetano Maretto
Virtual private Network (VPN)
Virtual Private
Network
Intranet - 1
Intranet - 2
Mediante la crittografia si realizza un tunnel che
protegge la comunicazione fra le due Intranet
‘
13
La sicurezza nell’ICT – Gaetano Maretto
Transazione sicura - 1
Client – Book store
Server
①Connessione
②Consultazione
③LogOn
④Riempimento carrello
⑤Ammontare
⑥ Accettazione pagamento
⑦ -----⑧ -----⑨Ricevuta;
⑩ Ordine di spedizione
Acquirente
(Client)
14
La sicurezza nell’ICT – Gaetano Maretto
Store server
Delivery
server
Transazione sicura - 1
Connessione
Consultazione
Acquirente
(Client)
Sono veramente connesso alla
libreria online?
Affidabilità del Domain Name
System
Come impedire accessi malintenzionati alle
funzioni aziendali critiche?
Separazione fra Intranet e Internet server
Store server
15
La sicurezza nell’ICT – Gaetano Maretto
Transazione sicura - 2
Client – Book store
Server
①Connessione
②Consultazione
③LogOn
④Riempimento carrello
⑤Ammontare
⑥ Accettazione pagamento
⑦ -----⑧ -----⑨Ricevuta;
⑩ Ordine di spedizione
Acquirente
(Client)
16
La sicurezza nell’ICT – Gaetano Maretto
Store server
Delivery
server
Transazione sicura - 2
LogOn
Acquirente
(Client)
Tutte le operazioni devono essere imputabili
L’acquirente deve essere registrato allo Store
server
Security data base
•Dati per l’identificazione
•Identificazione interna (Userid)
•Identità dell’acquirente
•Categoria di utente
•(Informazioni utili al marketing)
•(Modalità preferita di pagamento)
•Le informazioni sono cifrate
17
La sicurezza nell’ICT – Gaetano Maretto
Store server
Classificazione degli utenti
•
•
•
•
•
Standard
Operations
Auditor
Special
Protected (No logon)
18
La sicurezza nell’ICT – Gaetano Maretto
Store server
La crittografia - 1
Il problema
Enrico vuole chattare con Anna in modo che
nessun altro capisca cosa si stanno dicendo
Anche se chiunque è in grado di intercettare le
battute della loro conversazione
La soluzione
Enrico/Anna trasformano il testo prima di inviarlo in modo da
renderlo incomprensibile a chiunque (cifratura); solo loro sanno
come è stato trasformato
Al ricevimento lo trasformano al contrario in modo da farlo tornare
comprensibile (decifratura)
19
La sicurezza nell’ICT – Gaetano Maretto
La crittografia - 2
Un esempio
CASA
FDVD
Cifratur
a
Decifratura
CASA
L’algoritmo:
Sostituire ogni lettera con un'altra lettera dell'alfabeto,
•In cifratura prendendo fra quelle che seguono
•In decifratura prendendo fra quelle che precedono
Il parametro:
Per trovare la lettera da sostituire bisogna salire o scendere di tre
posizioni
20
La sicurezza nell’ICT – Gaetano Maretto
La crittografia - 3
La crittografia informatica
Ci sono vari algoritmi
• Data Encryption Standard (DES)
• Advanced Encryption Standard (AES)
Il parametro (Chiave)
Viene scelto da chi vuole usare la crittografia
Gli algoritmi sono di pubblico dominio
Le chiavi sono rigorosamente segrete
Gli algoritmi sono implementati SW o HW
21
La sicurezza nell’ICT – Gaetano Maretto
Flusso del LogOn
①Schermata di LogOn
②Dati per identificazione
③Verifica con Data base
④LogOn OK
⑤Associazione Process-Userid
Acquirente
(Client)
22
La sicurezza nell’ICT – Gaetano Maretto
Store server
Modalità di LogOn
Acquirente
(Client)
• Userid/Password scelte dall’utente
• (Userid scelto dall’utente, Password
imposta dal server)
• (Userid imposto dal server, Password
scelta dall’utente)
• Userid imposto dal server, Password scelta
dall’utente, One-Time Password
• Userid imposto dal server, Password scelta
dall’utente, caratteri casuali
• Certificati digitali
Store server
23
La sicurezza nell’ICT – Gaetano Maretto
One time password
Generatore di password casuali
•
•
•
•
•
•
•
•
•
Ogni utente ne ha uno
Il dispositivo è inizializzato con i dati dell’utente
E’ dotato di RAM e di un clock
Il clock è tenuto sincronizzato con il clock del Server
Premendo il pulsante arancione si genera un numero di sei cifre che
dipende da:
• I dati utente
• L’istante in cui si è premuto il pulsante
Il numero è valido per un minuto
Va immesso durante la finestra di validità
Il server ripete il processo di generazione
Se ottiene lo stesso numero immesso dall’utente, identificazione OK
24
La sicurezza nell’ICT – Gaetano Maretto
Dati casuali
1 - DC91BG
5 - 9EH3A1
9 - M29H02
13 - 0L7XAQ
2 - CF7B3J
6 - FE13A7
10 - NES419
14 - G91E74
3 - 470I3C
7 - 6SW841
11 - 2TF93X
15 - M68TS9
4 - 30T514
8 - P3Z28X
12 - W49DG3
16 - 249FY5
Tabella alfanumerica
•
•
•
•
•
•
•
•
•
Il server assegna ad ogni utente registrato una tabella alfanumerica
Il contenuto è diverso per ogni utente
Il contenuto della tabella è memorizzato assieme agli altri dati che servono
per l’identificazione dell’utente
All’ultimo passo del LogOn il server chiede al client
‘Del numero “x” (da 1 a 16) dammi le posizioni “a” e “b” (da 1 a 6)’
L’utente li immette prendendoli dalla tabella in suo possesso
Il server le confronta con le stesse posizioni nella tabella del Data Base
Se sono uguali, identificazione OK
‘x’, ‘a’, ‘b’ vengono calcolati dal server in modo casuale ad ogni richiesta di
LogOn
25
La sicurezza nell’ICT – Gaetano Maretto
Certificato digitale
E’ la carta d’identità informatica
Carta d’identità
Certificato digitale
Dati del titolare
Dati dell’utente
Dati biometrici (foto)
Chiave pubblica dell’utente
Timbro del comune
Sigillo dalla CA
Fiducia nel comune
Fiducia nella CA
CA: Certification Authority
26
La sicurezza nell’ICT – Gaetano Maretto
La crittografia asimmetrica
Ci sono coppie di numeri (privato/pubblico)
tali che
• Ciò che cifra il privato solo il pubblico può decifrare
• Ciò che cifra il pubblico solo il privato può decifrare
• Dato un numero esiste solo un altro numero che
possa unirsi in una coppia asimmetrica.
I due numeri si chiamano
• Chiave privata
• Chiave pubblica
27
La sicurezza nell’ICT – Gaetano Maretto
Come si ottiene il certificato digitale
1.
2.
3.
4.
5.
6.
7.
8.
Si sceglie una Certification Authority
Il Client genera una chiave asimmetrica random
La chiave privata resta segreta sul client
Richiesta di certificato digitale con la chiave pubblica inviata alla CA
La CA verifica; se OK
Invia al client il certificato digitale 'timbrato’
Il certificato digitale viene memorizzato nel 'Key ring file'
Il certificato digitale è costruito in modo da poter essere distribuito a
chiunque, anche se contiene la chiave pubblica
28
La sicurezza nell’ICT – Gaetano Maretto
Il certificato digitale - 1
Un certificato X509
Certificate:
Data:
Version: 1 (0x0)
Serial Number:
7829 (0x1e95)
Signature Algorithm: md5WithRSAEncryption
Issuer: C=ZA, ST=Western Cape, L=Cape Town, O=Thawte Consulting cc,
OU=Certification Services Division,
CN=Thawte Server CA/[email protected]
Validity
Not Before: Jul 9 16:04:02 1998 GMT
Not After : Jul 9 16:04:02 1999 GMT
Subject: C=US, ST=Maryland, L=Pasadena, O=Brent Baccala,
OU=FreeSoft, CN=www.freesoft.org/[email protected]
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
00:b4:31:98:0a:c4:bc:62:c1:88:aa:dc:b0:c8:bb:
……
d2:75:6b:c1:ea:9e:5c:5c:ea:7d:c1:a1:10:bc:b8:
e8:35:1c:9e:27:52:7e:41:8f
Exponent: 65537 (0x10001)
Signature Algorithm: md5WithRSAEncryption
93:5f:8f:5f:c5:af:bf:0a:ab:a5:6d:fb:24:5f:b6:59:5d:9d:
…..
8f:0e:fc:ba:1f:34:e9:96:6e:6c:cf:f2:ef:9b:bf:de:b5:22:
68:9f
29
La sicurezza nell’ICT – Gaetano Maretto
Il certificato digitale - 2
Il certificato X509 della CA
Certificate:
Data:
Version: 1 (0x0)
Serial Number:
1 (0x1)
Signature Algorithm: md5WithRSAEncryption
Issuer: C=ZA, ST=Western Cape, L=Cape Town, O=Thawte Consulting cc,
OU=Certification Services Division,
CN=Thawte Server CA/[email protected]
Validity
Not Before: Aug 1 00:00:00 1996 GMT
Not After : Dec 31 23:59:59 2020 GMT
Subject: C=ZA, ST=Western Cape, L=Cape Town, O=Thawte Consulting cc,
OU=Certification Services Division,CN=Thawte Server CA/[email protected]
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
00:d3:a4:50:6e:c8:ff:56:6b:e6:cf:5d:b6:ea:0c:
…..
3a:c2:b5:66:22:12:d6:87:0d
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Basic Constraints: critical
CA:TRUE
Signature Algorithm: md5WithRSAEncryption
07:fa:4c:69:5c:fb:95:cc:46:ee:85:83:4d:21:30:8e:ca:d9:
……..
70:47
30
La sicurezza nell’ICT – Gaetano Maretto
Il certificato digitale - 3
Verifica di un certificato digitale
• La CA ha firmato il certificato che ha emesso:
1. Calcolando l‘MD5 del testo del certificato (MD5-A)
2. Cifrandolo con la propria chiave privata (segreta)
3. Mettendo il risultato nel certificato
• La verifica avviene:
1. Calcolando ex-novo MD5 del certificato che si vuole verificare
(MD5-B)
2. Decifrando la firma del certificato con la chiave pubblica della
CA. Si ottiene di nuovo MD5-A
3. Se MD5-A = MD5-B, certificato OK
31
La sicurezza nell’ICT – Gaetano Maretto
Logon mediante certificato digitale
①Certificato digitale
②CA registrata?
③Certificato non scaduto?
④Certificato non in CRL?
⑤LogOn OK
Acquirente
(Client)
32
La sicurezza nell’ICT – Gaetano Maretto
Store server
La transazione sicura – 3
Client – Book store
Server
①Connessione
②Consultazione
③LogOn
④Riempimento carrello
⑤Ammontare
⑥ Accettazione pagamento
⑦ -----⑧ -----⑨Ricevuta;
⑩ Ordine di spedizione
Acquirente
(Client)
33
La sicurezza nell’ICT – Gaetano Maretto
Store server
Delivery
server
All’interno del server
User process
1
PID_32
File Manager
4
Userid
DA004
Risorsa: File_7
2
3
1. PID_32: DA004 vuole accedere a File_7
per aggiornarlo
2. File Manager: Può DA004 accedere a
File_7 in aggiornamento?
3. Security Manager: Può
4. File Manager: Accesso consentito
Security
Manager
Security DB
34
La sicurezza nell’ICT – Gaetano Maretto
DA004 e File_7 sono descritti da profili nel
Security DB
Risorse da proteggere
Risorsa è tutto ciò che un processo può usare e il cui
uso si vuole controllare
• File
• La/Le directory che comprendono il file
• Transazioni:
• Riempire il carrello
• Effettuare il pagamento.
• Funzioni (sia HW che SW)
• Tutte le informazioni all'interno di un Data Base che fanno
riferimento ad un solo utente.
• La possibilità di modificare i profili nel Security DB
35
La sicurezza nell’ICT – Gaetano Maretto
Definizione nel Data Base – 1
Per ogni risorsa che si vuole proteggere
• Nome della risorsa
• Natura della risorsa
• Lista degli utenti abilitati ad accedere alla
risorsa, con i relativi livelli di accesso
(Access list)
• Quali informazioni raccogliere nel log degli
accessi (Audit)
36
La sicurezza nell’ICT – Gaetano Maretto
Definizione nel Data Base - 2
Nome della risorsa
•File: Filename
•Directory: Directory name
•A discrezione del Resource Manager
Esempio: Modifica file di configurazione di I/O
Accesso in ‘Update’ alla risorsa ‘CBD.CPC.IOCDS’
37
La sicurezza nell’ICT – Gaetano Maretto
Definizione nel Data Base - 3
Access list:
• Userid
• Tipo di accesso
z/OS
UNIX
•
Execute
•
R: Read
•
Read
•
W: Write
•
Update
•
X: Execute
•
Alter
38
La sicurezza
nell’ICT – Gaetano Maretto
Definizione nel Data Base - 4
Risorse, Utenti, Gruppi di utenti
Resource
Access
List
Groupid
Dept03
Userid
E032
…..
Z917
39
Access
Alter
…..
Update
La sicurezza nell’ICT – Gaetano Maretto
Access
Read
Userid
D03001
D03002
D03007
….
D03713
Il pagamento
Store Server (quasi Client) – Payment server
① -----② -----③ -----④ -----⑤ -----⑥ -----⑦ Dati pagamento
⑧ Pagamento OK
⑨ -----⑩ -----Store server
40
La sicurezza nell’ICT – Gaetano Maretto
Payment server
La connessione fra server
Store process
Payment process
PID_163
PID_3903
VPN
Userid
PA_1003
Userid
ST_1003
Store server
• La connessione è fra processi (demon)
• Lo store server fa logon una tantum
• Si stabilisce un VPN
• Fra i due processi avviene una conversazione
• 7, 8 fanno parte di questa conversazione
41
La sicurezza nell’ICT – Gaetano Maretto
Payment
server