Elementi Di Sicurezza Nelle Reti Informatiche

Elementi di Sicurezza nelle Reti Informatiche

Premessa

Questo lavoro nasce al termine di un corso I.F.T.S. (Istruzione e Formazione Tecnica Superiore) dal titolo “Esperto di Progettazione, Sviluppo e Gestione delle Reti Informatiche” svoltosi a Grosseto tra settembre 2003 e gennaio 2005. Non è – né vuol essere - il resoconto delle tematiche affrontate in aula, bensì una presentazione del mondo del “networking” dal punto di vista della sicurezza informatica. L’idea di proporre questa tesina, anziché una prova di esercizio o altro, nasce dalla volontà dell’autore di creare qualcosa di utile non solo per l’esame finale, ma anche per i prossimi “newbie” che visiteranno Lan Planet (www.lanplanet.it), sito di networking per uso professionale e personale creato e gestito da Nicola Deboni (studente presso la facoltà di Scienze Matematiche, Fisiche e Naturali dell'Università di Urbino, in Informatica Applicata); ciò sarà possibile, quando questa guida (chiamiamola così), una volta terminata e utilizzata in sede d’esame, sarà riadattata ad un formato più comodo per il web e pubblicata sotto licenza Creative Commons Attribuzione NoOpereDerivate License Italia (consultabile su http://creativecommons.org/licenses/by-nd/2.0/it in forma ridotta o su http://creativecommons.org/licenses/by-nd/2.0/it/legalcode in forma completa), d’accordo con il gestore del sito. Per rendere chiaro il mio intento userò la metafora del palazzo in costruzione: durante il corso ci sono state date inizialmente le fondamenta (insegnamenti sul funzionamento della rete e degli apparati) e quindi sono stati costruite le stanze, quella della crittografia, quella delle comunicazioni wireless,…e quella della sicurezza; io vorrei ribaltare questo concetto, presentando la sicurezza come fondamenta, ed aiutandosi con lo studio delle reti negli approfondimenti che sarebbero altrimenti incomprensibili.

Prefazione alla versione cartacea

Usando collegamenti ipertestuali e note “cliccabili” sarà decisamente più semplice per l’autore scrivere questa guida, come sarà più facile per il lettore la consultazione; mi scuso se per seguire l’obiettivo previsto, cioè l’avvicinarsi al mondo delle reti passando dalla porta della sicurezza, ho reso alcuni paragrafi piuttosto complessi, questo problema scomparirà nella versione elettronica. Elementi di Sicurezza nelle Reti Informatiche

1

baiocco.info

Proprietà astratte di sicurezza:


Autenticazione (semplice o mutua)

Si deve essere certi dell’identità del nostro interlocutore e si deve provare la propria


Autenticazione dei dati

Si deve essere certi che i dati che ci arrivano provengano dal nostro interlocutore


Autorizzazione

Ogni utente deve poter accedere solamente alle risorse che gli sono necessarie


Integrità

Si deve essere certi che i dati che ci arrivano non siano stati modificati o sostituiti durante il tragitto


Riservatezza

Dev’essere possibile garantire che solo il destinatario di un messaggio possa leggerlo o quantomeno possa capirlo


Non ripudio (prova legale che dimostra l’identità dell’autore dei dati)

Dev’essere impossibile disconoscere un proprio messaggio o un proprio servizio dato, esattamente come accade per la firma a mano in presenza di testimoni


Disponibilità

Le risorse e i servizi necessari devono essere in grado di soddisfare le richieste


Tracciabilità

Dev’essere possibile sapere in ogni momento quali e quanti utenti stanno fruendo di quali risorse

La soddisfazione di tutti questi requisiti porterebbe alla realizzazione di un sistema perfetto (utopistico), al sicuro da ogni tipo di attacco, escluso l’errore umano.

Dov’è il pericolo?


Fuori dalla LAN: difesa dei confini della LAN




Fuori dalla LAN ma entro l’Extranet: protezione dell’Extranet omologa alla LAN




Dentro la LAN: protezione dell’Intranet




Ovunque: protezione degli applicativi utilizzati

Elementi di Sicurezza nelle Reti Informatiche

2

baiocco.info

Individuare i possibili pericoli e le falle di un sistema, un servizio, o una macchina, permette di organizzare le difese necessarie ad impedire che venga sferrato un attacco; purtroppo gran parte delle difese possibili sono “contromisure” (derivate da esperienze precedenti della comunità) come ad esempio gli antivirus. In ogni caso l’uso di firewall per difendere i confini della propria rete è un valido strumento per preservarne l’inviolabilità, data la loro capacità di riconoscere pacchetti o tentativi di connessioni maligni. Statisticamente un bravo programmatore commette un errore ogni 80 righe di codice scritto, quindi è impensabile che gli applicativi o i gestionali che vengono usati, per quanto ottimi, siano esenti da bugs, per cui un'altra contromisura molto valida è rappresentata da patches e aggiornamenti rilasciati via via dalle software house; questi, se applicati tempestivamente, impediscono che l’ondata di infezioni, solitamente in pieno svolgimento al momento del rilascio, si propaghi anche alla propria rete.

Conseguenze e possibili obiettivi di un attacco:


Contagio di virus

Per quanto sia, per un utente esperto, impensabile aprire un allegato eseguibile giunto in posta da un mittente sconosciuto, non lo è per un utente alle prime armi: l’Internet Security Threat Report (ISTR) della Symantec nel marzo scorso ha evidenziato una crescita del 400% nella diffusione di virus e worm (specialmente in ambiente windows). Le conseguenze di un contagio possono essere le più svariate (si pensi a Blaster, Welchia o Sasser).


Abuso dall’interno

Molte volte l’abuso si limita al furto di tempo macchina, cioè all’usare le risorse fornite dall’azienda per scopi personali (anche il solo leggere la propria posta dall’ufficio), ma si verificano anche casi di dipendenti che cercano deliberatamente (per scontentezza o desiderio di vendetta verso qualcuno) di danneggiare l’azienda per cui lavorano.


Accessi non autorizzati dall’interno

La possibilità, per quanto remota, che qualcuno possa penetrare entro la sede di una lan aziendale e sfruttare accessi da insider è da considerarsi, specie nelle realtà più dispersive; più frequente è invece il caso che utenti normali vengano a conoscenza di password o codici di accesso riservati al personale addetto alla gestione della rete, e li usino per scopi non legali.


Negazione di servizio (dos)

Questo tipo di attacco consiste nel saturare le risorse di una macchina o di un sistema per far sì che questo non riesca più ad erogare il servizio previsto. Per quanto semplice è molto difficile da Elementi di Sicurezza nelle Reti Informatiche

3

baiocco.info

contrastare, pur disponendo di molte risorse, specialmente nella sua variante ddos (Distributed Denial of Service) che si differenzia per la molteplicità e la diversità degli attaccanti. Da qualche tempo esistono esempi al limite della legalità, organizzati e dichiarati: sono i NetStrike, vere e proprie manifestazioni di migliaia di utenti che si accordano per richiedere un certo servizio ad una certa macchina in una particolare ora e in un giorno stabilito, con il risultato di mettere fuori uso il servizio in breve tempo (come quello che il 25 aprile scorso è stato sferrato contro il sito del Governo, della Camera e della SIAE per protestare contro la Legge Urbani).


Penetrazione nei sistemi

Tecnicamente complesso, sfruttare errori o bug di applicativi o apparati per ottenere una posizione privilegiata all’interno di una rete o di una macchina, è la cosa peggiore che possa accadere in quanto i privilegi di root (o amministratore) consentono all’attaccante di lavorare sulla macchina vittima come se vi fosse davanti. Recentemente, il 19 dicembre, il sito dell’ISP Wind libero.it è stato defacciato, sfruttando un bug del forum Phpbb2 e del kernel 2.4.20 per ottenere lo status di root sulla macchina che lo ospitava; pochi giorni prima (il 7) era toccato a Picasa, società appena acquisita da Google.


Sabotaggio

Come nella realtà, così nell’informatica, riuscendo a violare alcuni sistemi di sicurezza è possibile danneggiare o ostacolare il funzionamento dell’hardware o del software preso di mira.


Furto di dati

Indipendentemente da come viene perpetrato, il furto di dati sensibili è una calamità per i siti che lo subiscono; dal momento che nessuno è interessato alle foto delle vacanze ospitate su uno spazio gratuito da qualche aspirante fotografo, i dati che solitamente vengono rubati riguardano utenti di siti di e-commerce, home banking, servizi di istituti di credito e simili (contenenti informazioni anagrafiche, numeri di carte di credito e altro); molte volte poi il cracker non è interessato ai dati in sé ma ad ottenere un riscatto dal proprietario del sito: è accaduto a Cd Universe, sito per l’acquisto di cd e dvd online, a cui sono stati sottratti dati di più di 300mila utenti e successivamente chiesto un riscatto; dopo aver rifiutato di pagare, Cd Universe si è visto pubblicare tutti i nomi e i numeri delle carte di credito degli utenti.


Frode

Anche qui, come nel caso del sabotaggio, si applica il tema dell’omologia alla vita reale; sfortunatamente sono molte le persone che si fidano, erroneamente, per poi cadere vittima di frodi più o meno complicate. Recentemente in Italia è esplosa la frode “dei 34 euro”: siti offrono prodotti nuovi, generalmente high-tech, molto costosi, al prezzo di 34 euro, con la promessa che in breve un largo numero di persone metteranno 34 euro e ognuno (per ordine di iscrizione) riceverà Elementi di Sicurezza nelle Reti Informatiche

4

baiocco.info

il prodotto desiderato; è ovviamente una truffa in tutto e per tutto, ma sono molti, purtroppo, ad aver già aderito.


Intercettazione

Intercettare dei dati vanifica la condizione di riservatezza e, se modificati, quella di autenticità, con tutto ciò che ne può conseguire, molto spesso furto di dati o informazioni riservate usate per compiere altre violazioni.

7 dicembre 2004, picasa.google.com defacciata dall’hacker brasiliano Xfaulz

Cause della non-sicurezza:


le tecnologie di attacco si sviluppano rapidamente nel mondo open source

la collaborazione tra gli utenti rende i tool di attacco estremamente più efficaci e le notizie delle scoperte di bug o di exploit si propagano più velocemente in comunità interessate


le strategie di difesa sono reazionarie e poco preventive

Elementi di Sicurezza nelle Reti Informatiche

5

baiocco.info

come precedentemente affermato (nel paragrafo “Dov’è il pericolo?”) gran parte dei sistemi di sicurezza si basa su contromisure e bug fix, il che rende l’idea di quanto non siano protette prima della scoperta di un problema critico


la grande maggioranza delle macchine connesse non sono protette

Internet non è popolata solamente da guru, smanettoni ed esperti di sicurezza: la maggioranza degli utenti è totalmente indifferente alle problematiche della sicurezza e non si rende conto, o non si cura, di essere un pericoloso veicolo di infezione anche solo per aver cliccato su un collegamento ad una animazione divertente o installando un software particolare


il codice viene scritto senza tenere conto di come potrebbe essere usato da un attaccante

L’obiettivo primo di chi scrive software è snellire il codice e rendere il listato il più semplice possibile; il che è anche comprensibile se si pensa a quante righe di codice servono per completare un sistema operativo, un server o anche un programma di masterizzazione. Purtroppo questo va a scapito dell’inattacabilità del codice che, una volta in funzione su macchine importanti, sarà sicuramente studiato nei minimi dettagli da moltissimi possibili attaccanti, fino a trovarne una parte utile al loro scopo.


è estremamente difficile rintracciare e punire i criminali informatici

La diversità da nazione a nazione delle leggi, spesso la loro assenza totale, unita alla difficoltà tecnica di scoprire l’autore dei crimini rende cracker e – qualche volta – hacker estremamente ardui da perseguire.

Cause tecnologiche della non-sicurezza:


Le reti sono insicure

Scarse misure di sicurezza preventiva, apparati e software obsoleti, insicurezza intrinseca.


Le reti locali funzionano in broadcast

Ogni host riceve tutti i pacchetti destinati al proprio segmento di rete, ne consegue un vantaggio per chi volesse sfruttare informazioni dirette ad altri o cercare di congestionare la rete,…


Le comunicazioni non sono cifrate

Leggere le informazioni che passano su una rete broadcast non switchata è estremamente semplice, lo stesso (seppur in forma ridotta) su una rete switchata; se le informazioni rubate fossero però cifrate non si potrebbe leggerle né usarle a proprio vantaggio.


Le connessioni geografiche avvengono su linee condivise e tramite router di terze parti

Elementi di Sicurezza nelle Reti Informatiche

6

baiocco.info

La complessità amministrativa dei collegamenti geografici aumenta la difficoltà nel gestire e ottimizzare interventi che avrebbero l’unico scopo di migliorare la sicurezza globale della rete.


L’autenticazione degli utenti è generalmente molto debole

Nella maggior parte dei casi, si tratti di accesso a macchine, informazioni o altro, l’unica forma di autenticazione prevista è composta dal duo username e password; l’username è solitamente non nascosto, disponibile sfogliando il sito o facilmente intuibile conoscendo la vittima; la password, che fortunatamente alcuni impongono essere di minimo 6-8 caratteri, è comunque un’autenticazione debole, facilmente superabile con attacchi brute force (si provano tutte le combinazioni possibili con software appositi) o con un po’ di social engineering, conoscendo chi l’ha scelta. Anche in grandi aziende molte volte le password, nei vari livelli di gestione hardware e software, coincidono e sono facili da ricordare, per facilitare la vita a chi ci lavora (ma sfortunatamente anche a chi volesse sfruttare questa debolezza!).


Non c’è nessuna autenticazione lato server

Quando usiamo un servizio nessuno ci garantisce che il server che lo fornisce sia in realtà quello da noi scelto; prendiamo come esempio una normale visita ad un sito: nel momento stesso in cui apriamo il browser, questo fa una query al DNS da noi impostato per ottenere l’indirizzo ip del sito che si apre nella nostra pagina iniziale; ma chi ci assicura che le informazioni inviate dal DNS ci arrivino integre? E chi ci assicura che le riposte arrivino proprio dal DNS che abbiamo querato e non da uno shadow server tra noi e lui?Nessuno.


Il software contiene (inevitabilmente) bug

Come già espresso sia nel paragrafo “Cause della non sicurezza”, la complessità del codice presente nei software che usiamo e la non abitudine dei programmatori a scrivere codice sicuro causano la scoperta (postuma rispetto al rilascio dell’applicativo) di falle che possono essere usate da eventuali attaccanti per ottenere privilegi non permessi (possesso della macchina, possibilità di eseguire codice arbitrario,…)

Elementi di Sicurezza nelle Reti Informatiche

7

baiocco.info

DNS Shadow Server

Cause ulteriori della non-sicurezza:


I problemi e le falle non vengono individuati da chi protegge e amministra la rete

Una scarsa preparazione impedisce una corretta difesa, così come non tenersi costantemente informati; infatti non installando rapidamente gli aggiornamenti (specie bug fix e patches) si lascerebbe via libera a chi volesse (e sapesse) sfruttarli malignamente.


L’uomo tende a commettere errori

Nessuno è perfetto, pur essendo un motto molto vecchio, riassume pienamente il concetto; l’errore umano, specie nelle configurazioni di hardware o software, e nella scritta del software, è possibile, anzi molto probabile. Testare la propria rete via via o farla analizzare da un esperto può ridurre al minimo le possibilità di errore.


si usano interfacce e architetture complesse che aumentano la possibilità di un errore umano

La semplicità nel configurare hardware e software destinato a mantenere inviolata la propria rete non è di questo mondo: sono necessarie una buona preparazione, esperienza, e molta attenzione. Spesso ci si trova ad avere a che fare con configurazioni complicate senza un’interfaccia grafica (che sarebbe di troppo), specie nelle configurazioni di apparati di rete (si veda sotto la CLI, Command Line Interface, della Cisco), ma anche con applicativi importanti, come Sendmail, server Elementi di Sicurezza nelle Reti Informatiche

8

baiocco.info

di posta per ambiente *nix molto quotato ma ritenuto molto difficile da configurare (anche attraverso la GUI offerta dal tool di configurazione webmin), tanto che è stato creato un software, M4, per semplificarne la configurazione che, con l’uso di macro, crea il file sendmail.cf, il quale va poi inserito nell’apposita direttrice (solitamente etc/sendmail).

Cisco CLI




Social Engineering

L’ingegneria sociale si può definire come l'uso di trucchi psicologici per ottenere l'accesso a un sistema, la capacità di raccogliere da una persona le informazioni necessarie ad un attacco. Oltre a commettere errori, l’uomo è a volte un grave punto debole della rete a causa della sua naturale predisposizione alla fiducia, che lo porta, specialmente se sotto stress o oberato di lavoro, a rivelare ad altre persone, magari via telefono, senza alcuna certezza dell’identità dell’interlocutore (che sfrutta questa debolezza), codici di accesso o password riservati. Una tecnica molto usata è la persuasione attraverso lo sfruttamento della paura: minacciando guasti tecnici imputabili alla persona che non ha fornito i codici di accesso, un malfattore potrebbe circuire un semplice Elementi di Sicurezza nelle Reti Informatiche

9

baiocco.info

impiegato e costringerlo, facendo leva sulla paura di essere licenziato, o comunque di creare un problema all’azienda, a farsi rivelare dati riservati con cui poi potrebbe sferrare un attacco alla rete.

Elementi chiave di una rete sicura:


Identificazione

Tecnologie di autenticazione, autorizzazione, tracciabilità


sicurezza perimetrale

Uso di firewall, bastion host


riservatezza dei dati

Uso di VPN, ip tunneling, crittografia


controllo

Uso di intrusion detection systems


politica di sicurezza

Predisposizione di comportamenti e procedure da seguire in caso di problemi

Identificazione: Cosa è? Accurata identificazione di utenti, macchine, applicazioni, servizi e risorse Come si implementa? Con protocolli di autenticazione come RADIUS, TACACS+ o KERBEROS, con servizi OTP (One Time Password), con Certificati Digitali e con Smart Card.

Sicurezza Perimetrale: Cosa è? Controllo degli accessi ad applicazioni, dati e servizi; Come si implementa? Con apparati di rete abilitati al packet filtering o stateful inspection, si completa con soluzioni anti malfare (virus, trojan, worm) e con il controllo dei contenuti.

Riservatezza dei Dati: Cosa è? Elementi di Sicurezza nelle Reti Informatiche

10

baiocco.info

Comunicazioni confidenziali e autenticate, protette da possibili intercettazioni Come si implementa? Con tecnologie di tunneling ip (GRE, L2TP) ma soprattutto con IPSec e VPN

Controllo: Cosa è? Periodico controllo del livello di sicurezza e affidabilità della rete Come si implementa? si esegue con sistemi di controllo intrusioni (IDS), scanner di vario genere (scanport, nmap, …)

Politica: Cosa è? Insieme di regole che definiscono l’uso delle risorse da parte degli utenti, i comportamenti che devono essere tenuti e le procedure da seguire al verificarsi di un dato evento Come si implementa? La crescita logica e fisica della rete deve andare di pari passo con l’ampliamento e il miglioramento dei sistemi di sicurezza; per reti piccole o su cui corrono dati non sensibili può essere sufficiente l’uso di software capaci di analizzare lo stato della rete, ad alto livello è spesso necessario un responsabile della sicurezza

Le debolezze di una rete:

Debolezze tecnologiche:


debolezza del tcp/ip

es: syn flood


debolezza del sistema operativo

es: bugs


debolezza della rete

es: apparati mal configurati, identificazioni approssimative

Debolezze nella configurazione: Elementi di Sicurezza nelle Reti Informatiche

11

baiocco.info




accessi non controllati

es: ACL non attivate


password semplici

es: password di dominio pubblico


errate configurazioni hardware e/o software

es: errori di valutazione o nella configurazione

Debolezze nella politica:


nessuna politica prevista

es: aziende piccole che credono di non essere soggette a possibili attacchi o malfunzionamenti


hardware e/o software non adatto

es: applicativi vecchi o che necessitano di sistemi operativi vecchi, parte hardware mai aggiornata


nessun disaster recovery plan

es: eccessiva sicurezza nei mezzi di difesa della rete

Minacce alla rete (tipologie):


non strutturate

shell scripts, script kiddie, password crackers


strutturate

presone competenti che analizzano e conoscono le vulnerabilità della rete e sviluppano exploit e script appositi


esterne

individui o organizzazioni che cercano accesso tramite dial-up o da internet


interne

errori nell’attribuzione dei permessi portano persone incompetenti a poter lavorare su macchine importanti

Elementi di Sicurezza nelle Reti Informatiche

12

baiocco.info

Attacchi alla rete (tipologie):


acquisizione di informazioni scoperta e mappatura di sistemi e servizi (tramite ping, finger, telnet, portscan,..)




accesso visione di dati protetti, accesso a sistemi protetti (password cracking, trojan horse,…)




denial of service (dos) rendere non disponibili una macchina, un servizio o una risorsa (icmp flood, spam,...)

Politica di Sicurezza:

Una valida politica di sicurezza deve:


controllare l’attuale stato della sicurezza di rete




definire i confini all’interno dei quali agire




definire i comportamenti permessi e quelli vietati




definire quali siano gli strumenti e le procedure necessari




definire i ruoli del personale




definire come gestire eventuali incidenti

Una valida politica di sicurezza deve contenere:


politica di uso delle risorse hardware e software accettabile




politiche di identificazione e autenticazione




politica di uso di Internet e della LAN




politica di accesso remoto




procedure di gestione degli incidenti

Modelli di politiche di sicurezza teoriche:


aperta

è permesso tutto ciò che non è esplicitamente negato


restrittiva Elementi di Sicurezza nelle Reti Informatiche

13

baiocco.info

combinazione di divieti e permessi specifici


chiusa

è vietato tutto ciò che non è esplicitamente permesso

Organizzazione di una LAN:


host pubblici con indirizzi IANA

Internet Assigned Numbers Authority, organismo responsabile dell'assegnazione degli indirizzi IP


host privati con indirizzi privati

classi riservate per reti private: classe A (una rete di oltre 16 milioni di indirizzi): 10/8 classe B (16 reti per un totale di circa un milione di indirizzi): 172.16/12 classe C (256 reti per circa 65mila indirizzi): 192.168/16


proxy o NAT per accedere da host privati a servizi pubblici

Proxy: macchina che si interpone tra client e server, inoltrando le richieste e le risposte dall'uno all'altro (riceve una richiesta da un host con ip privato, inoltra la richiesta con il proprio ip pubblico, riceve la risposta e la inoltra all’host privato richiedente); richiede la consapevolezza dell’esistenza da parte degli host con indirizzo privato; permette di selezionare protocolli, utenti e richieste da far passare. NAT: Network Address Translation, funzione di traduzione di ip privati in ip pubblici (si dice statico se ad ogni ip privato corrisponde un ip pubblico o dinamico se a più indirizzi privati corrisponde un solo ip pubblico), limita le prestazioni in termini di velocità della rete ma non necessita modifiche agli applicativi né conoscenza da parte degli host privati.


filtro sui router verso le reti pubbliche

evita il propagarsi di informazioni dalla LAN


divisione dei nameserver

sono necessari due DNS, uno pubblico (con ip pubblico, nomi e indirizzi ip di host pubblici, collegato al DNS mondiale) e uno privato (con ip privato, nomi e indirizzi ip di host privati e pubblici, che usa il DNS pubblico come forwarder)

Elementi di Sicurezza nelle Reti Informatiche

14

baiocco.info

Sicurezza e i modelli OSI, IPS:

L’OSI (Open System Interconnection) è il modello di riferimento per le architetture di rete proposto da ISO (International Organization for Standardization) con l’obiettivo di definire uno schema “aperto” per la realizzazione di apparati di rete, così da bloccare i tentativi di far prevalere protocolli e schemi proprietari da parte delle grandi aziende del settore; a causa della lentezza della sua nascita, quando ha fatto la sua prima comparsa, il modello IPS (Internet Protocol Suite) aveva già preso il sopravvento, per cui OSI è rimasto come modello di riferimento, ma non ha mai visto nessuna implementazione pratica. Il modello è diviso in 7 livelli (qui elencati dal basso verso l’alto):




Livello 1 FISICO

trasmette sequenze binarie sul canale di comunicazione


Livello 2 COLLEGAMENTO

diviso in LLC (Logical Link Control), interfaccia con il livello 3, e MAC (Medium Access Control) che gestisce la condivisione del mezzo; crea pacchetti, gestisce l’accesso al canale, sincronizza tx e rx, gestisce errori e ritrasmissioni


Livello 3 RETE

definisce pacchetti, instradamento e indirizzamento in modo astratto rispetto al mezzo fisico, conosce la topologia di rete, sceglie il percorso migliore per ogni pacchetto, interfaccia reti diverse


Livello 4 TRASPORTO

apre e chiude le connessioni, gestisce le connessioni multiple, controlla errori e ordine di ricomposizione, gestisce la congestione della rete


Livello 5 SESSIONE

instaura, mantiene e conclude il dialogo tra due programmi, gestisce token o turni di comunicazione


Livello 6 PRESENTAZIONE

gestisce sintassi, cifratura e decifratura dell’informazione da trasmettere


Livello 7 APPLICAZIONE

interfaccia di comunicazione con i programmi, gestisce i trasferimenti di file

Per conoscenza, è giusto sapere che l’IPS (Internet Protocol Suite), meglio conosciuto come modello TCP/IP è diviso in quattro livelli: Elementi di Sicurezza nelle Reti Informatiche

15

baiocco.info




Livello 1 HOST TO NETWORK

non definito (corrisponde ai livelli OSI 1 e 2)


Livello 2 INTERNET (IP)

corrisponde al livello OSI 3


Livello 3 TRANSPORT (TCP)

corrisponde al livello OSI 4


Livello 4 APPLICATION

corrisponde al livello OSI 7

I due modelli a confronto

Per capire il funzionamento di certi attacchi è necessario sapere come funziona il protocollo TCP; la connessione TCP è divisa in tre fasi principali: avvio, scambio dei dati e chiusura. In modo molto semplice e scarno: quando navighiamo, viene instaurata una connessione TCP tra la nostra macchina e il server web, viene inviata la richiesta del documento che abbiamo scelto e il server lo invia (la connessione rimane aperta finchè non usciamo dal sito dove abbiamo prelevato il documento). Analizziamo più dettagliatamente la connessione da un computer (con ip 192.168.1.15) al server web locale (con ip 192.168.1.79):




Il computer apre una porta (la prima libera, diciamo la 1100) sull’interfaccia di rete e da questa invia un SYN, un pacchetto TCP con il flag syn attivo (a indicare la richiesta di Elementi di Sicurezza nelle Reti Informatiche

16

baiocco.info

iniziare una connessione), con indicazione delle porte da usare (la 1100 TCP sul computer, la 80 TCP sul server http)


Il server riceve il pacchetto e invia come risposta un altro pacchetto TCP (dalla sua porta 80 diretto alla mia porta 1100) con i flag SYN e ACK, per comunicare che la connessione è stata accettata ed p in attesa di conferma da parte del computer




Alla ricezione della conferma da parte del server, il computer rimanda il pacchetto con il solo flag ACK, a indicare la conferma della connessione, che a questo punto può dirsi stabilita (3 way handshake)




Dopo lo scambio dei dati (il documento), il computer invia un pacchetto TCP con il flag FIN per comunicare l’intenzione di chiudere la connessione




Il server, ricevuto il FIN, risponderà con un paccheto con i flag FIN e ACK,




Per terminare la connessione, il computer dovrà successivamente inviare un pacchetto con il flag ACK




Nel caso la connessione si interrompesse indipendentemente dalle due macchine, o se fosse presunta tale (pacchetti che arrivano a destinazione oltre un tempo massimo previsto), la prima ad accorgersene invierebbe all’altra un pacchetto con il flag RST, a indicare che è necessario ripetere l’handshake

I flag TCP:


SYN

Viene inviato nel primo pacchetto di un host che vuole stabilire una connessione con un altro (synchronize)


SYN ACK

E’ la risposta di un host che accetta la connessione che gli è stata richiesta (acknowledgement)


ACK

E’ la conferma dell’arrivo di ogni pacchetto


FIN

Viene inviato da un host che vuole chiudere una sessione (finish)


FIN | ACK

E’ la risposta di un host che chiude la connessione


RST

Elementi di Sicurezza nelle Reti Informatiche

17

baiocco.info

Viene inviato da un host che riceve un pacchetto non previsto e impone di iniziare nuovamente l’handshake

Protezioni possibili:


a livello fisico: protezione fisica del mezzo trasmissivo, cavedi e pozzetti; uso di reti switched

la difesa del mezzo trasmissivo (sia esso rame, fibra o altro, escluso l’etere) è fondamentale perché un attaccante potrebbe sfruttare un qualsiasi luogo in cui passano i cavi per ottenere un punto di accesso “invisibile” e soprattutto una posizione privilegiata (nella struttura logica della rete); nei casi più gravi l’accessibilità fisica al mezzo potrebbe permetterne la distruzione.


a livello collegamento: cifratura dei dati, uso di ip fissi (no DHCP), controlli su nuovi MAC (di conseguenza host) connessi

la cifratura dei dati è fondamentale nel caso di comunicazioni wireless (data l’impossibilità di proteggere il mezzo) ma è importante anche in quelle via cavo, molti apparati permettono di cifrare l’intero frame ethernet; l’uso di ip fissi (quindi il non uso del DHCP, Dynamic Host Configuration Protocol, che assegna ad ogni macchina in rete un indirizzo ip in modo automatico) permette di effettuare controlli più sicuri sugli host connessi; è consigliabile inoltre impostare tool di sicurezza affinché segnalino eventuali comparse di indirizzi MAC non conosciuti o duplicazioni (a dir poco sospette) di indirizzi MAC conosciuti


a livello rete: uso di VPN, ip tunneling (GRE, L2TP), SSL o IPSec

le VPN (Virtual Private Network) servono a connettere, come se fossero in rete locale, due (o più) host attraverso un mezzo condiviso come ad esempio internet; sono di per sé insicure in quanto usano gli stessi protocolli della rete, ma sono rese molto sicure se utilizzate in combinazione con protocolli che implicano l’uso di sistemi di cifratura come l’IP Security o il Secure Socket Layer, o se gestite da un singolo nodo fidato (L2TP)

Elementi di Sicurezza nelle Reti Informatiche

18

baiocco.info

Tipi di attacco

Smurfing: Come agisce: Un host invia pacchetti ICMP ECHO Request all’indirizzo di broadcast della rete contraffacendo l’ip del mittente tutti gli host connessi rispondono con ICMP ECHO REPLY inondando sia la rete che l’host mittente (falsificato), saturandoli Come impedirlo: Rifiutare il broadcast ip dall’esterno, identificare il responsabile se nell’interno

Syn Flooding: Come agisce: Un host, falsificando il proprio ip invia richieste di connessione ad una macchina da un indirizzo inesistente finchè non si satura la tabella delle connessioni, bloccando di fatto la macchina Come impedirlo: Abbassare il timeout (rischiando di far fuori connessioni valide ma lente), aumentare le dimensioni della tabella (più che altro un palliativo aggirabile con maggior flood), usare un router come syn interceptor (che si accerta dell’avvenuto handshake e successivamente passa la comunicazione alla macchina richiesta), o come syn monitor (termina i collegamenti pendenti con RST)

Ip Spoofing: Come agisce: Un host, falsificando il proprio ip (volendo anche il mac) dei propri pacchetti fa credere all’host vittima di essere il suo interlocutore Come impedirlo: Non basare l’autenticazione sugli indirizzi

Sniffing: Come agisce: Un host legge i pacchetti destinati ad altri nodi della rete (tecnica molto semplice nelle reti broadcast e ancora di più se non sono segmentate) Come impedirlo: Crittografare i pacchetti, non usare reti broadcast e segmentare il più possibile Elementi di Sicurezza nelle Reti Informatiche

19

baiocco.info

Connection Hijacking: Come agisce: Qualcuno prende il controllo di un canale di comunicazione per leggere, modificare o eliminare pacchetti Come impedirlo: Codificare i pacchetti ai livelli 2 e 3 del modello OSI

Social Engineering: Come agisce: Qualcuno sfrutta la naturale inclinazione umana alla fiducia per carpire password o altri dati sensibili Come impedirlo: Creare politiche amministrative di gestione della rete in modo, renderle note e formare al riguardo gli utenti

Un esempio di attacco

Il DNS (Domani Name Server) traduce gli url (Uniform Resource Locator) in indirizzi ip e viceversa ed è quindi un servizio indispensabile; usa la porta UDP 53 per le query e la TCP 53 per le zone transfer; quando è stato inventato, nel 1983, non necessitava di nessun tipo di controlli di sicurezza, ed anche attualmente ne è completamente sprovvisto (anche se è allo studio una versione DNS-Sec: http://www.dnssec.net )

Elementi di Sicurezza nelle Reti Informatiche

20

baiocco.info

Funzionamento di un DNS 1. L’host richiede l’ip associato ad un url 2. Il dns, non avendo quell’informazione, effettua a sua volta la query ad un altro dns 3. Il secondo dns, conoscendo l’informazione richiesta, invia la risposta al primo dns 4. Il dns invia la risposta all’host

DNS Shadow Server: sniffing per intercettare le query spoofing per generare false risposte

DNS Cache Poisoning: si attira una vittima a querare il dns dell’attaccante, e si forniscono risposte anche a query non effettuate per forzare o sovrascrivere la cache della vittima Elementi di Sicurezza nelle Reti Informatiche

21

baiocco.info

Entrambe queste possibilità possono essere sfruttate per portare un attacco dos verso un nodo della rete.

Possibile difesa:

WallDNS: Software che scarta query inverse, query per classi di ip non proprie di internet, pacchetti corrotti o il cui contenuto è diverso da una singola query; funziona in pratica come un dns con un piccolo firewall a monte. In pratica maschera i veri nomi degli host fornendo nomi fasulli per compiacere il richiedente; blocca l’invio di record PTR (Pointer: trasformano gli ip in hostname) a server che ancora non hanno fornito servizi

Crittografia

E’ impossibile di questi tempi parlare di sicurezza senza volgere uno sguardo al mondo della crittografia. Iniziamo dando una definizione: “nel networking, il processo di trasmettere in modo sicuro dati su una rete in modo che se il dato venisse intercettato, non possa venir compreso da utenti non autorizzati” (M. Tulloch, Microsoft Encyclopedia of Networking). Storicamente possiamo risalire fino a Cesare, che scambiava messaggi con i suoi generali usando cifrari a sostituzione (ogni carattere viene sostituito da un altro lontano x posizioni), oggi invece le tecniche di crittografia sono molto complesse, basate su modelli matematici (che hanno fatto la fortuna dei loro scopritori).

La crittografia può soddisfare la condizione di:


Riservatezza

deve garantire che solo il destinatario possa leggere l’informazione


Autenticità

deve garantire l’autenticità dell’informazione


Integrità

deve garantire che l’informazione non venga modificata prima della consegna Elementi di Sicurezza nelle Reti Informatiche

22

baiocco.info

I sistemi di cifratura si dividono in due grandi parti:


convenzionale (simmetrica)

le due parti devono condividere la stessa chiave (si pone il problema di come la chiave possa venir scambiata in sicurezza), gli algoritmi di cifratura possono essere pubblici, le chiavi no


a chiave pubblica (asimmetrica)

sono necessarie due chiavi (una pubblica ed una privata), un messaggio cifrato con la chiave pubblica può essere decifrato solo con la rispettiva chiave privata (e viceversa)

La distribuzione delle chiavi nelle cifrature simmetriche:

Un problema di fondo riguarda la distribuzione delle chiavi: mittente e destinatario debbono accordarsi in qualche modo sulla chiave, altrimenti dovrebbero scambiarsi la chiave prima di aver creato i presupposti di una comunicazione sicura, di fatto rendendola insicura. Si possono pensare cinque modi per uno scambio sicuro:




consegna fisica da A a B




consegna fisica da C (fidato per entrambi) a A e B




A e B hanno una chiave e la usano per scambiarsi una nuova chiave




A e B hanno chiavi per comunicare con C, e C assegna la chiave a A e B




A e B contribuiscono entrambi alla creazione di una nuova chiave comune

Alcuni algoritmi a chiave simmetrica:


DES Data Encryption Standard (1977)

Cifrario a blocchi di 64 bit, chiave a 56 bit (piccola per le attuali capacità di calcolo)


3DES Triple DES (1985)

Tre chiavi e tre esecuzioni di DES, chiave a 168 bit


IDEA International Data Encryption Algorithm (1991)

Chiave a 128 bit, usato per PGP


BLOWFISH (1993) Elementi di Sicurezza nelle Reti Informatiche

23

baiocco.info

Facile, veloce, necessita di 5kb per girare, chiavi fino a 448 bit


RC5 (1994)

Velocissimo, leggero, lunghezza della chiave variabile, molto sicuro

Cifrature asimmetriche:

Possono essere sfruttate per due fini:


riservatezza

A cifra il messaggio con la chiave pubblica di B, che lo legge con la propria chiave privata


autenticazione

B cifra il messaggio con la propria chiave privata, A lo legge con la chiave pubblica di B

Alcuni algoritmi a chiave asimmetrica:




Diffie-Hellman

Nel 1976 Diffie e Hellman inventano il sistema asimmetrico (cifrario a chiave pubblica) : servono due chiavi (una pubblica e una privata, non ricavabili l’una dall’altra), la chiave per cifrare non è la stessa di quella per decifrare


RSA

Nel 1978 tre scienziati trovano un modello matematico adatto, basato sul problema complesso della fattorizzazione in numeri primi: dati due numeri primi è facile trovare il loro prodotto ma è molto difficile, avendo il prodotto, risalire ai numeri primi che l’hanno generato

La firma elettronica:

Visto il notevole sviluppo delle comunicazioni attraverso la rete, era giusto e necessario stabilire le modalità di identificazione necessarie a creare una firma digitale, di eguale valore a quella convenzionale su carta; per farlo si usa una crittografia asimmetrica, in modo da garantire autenticità ed integrità (non riservatezza). Il mittente, attraverso una funzione di hash ricava un'impronta digitale del documento da spedire, chiamata “message digest”, (solitamente un file di dimensione fissa che riassume le informazioni Elementi di Sicurezza nelle Reti Informatiche

24

baiocco.info

contenute nel documento), dopodiché utilizza la propria chiave privata per codificarla: quella sarà la firma che A dovra allegare al documento inviato a B per permettergli di constatarne l’autenticità e l’integrità.

Certification Authority:

Un certificato digitale è un documento elettronico che associa l'identità di una persona ad una chiave pubblica. Viene emesso da una autorità di certificazione riconosciuta secondo standard internazionali (X.509) e viene firmato con la chiave privata dell'autorità. Gli enti che fanno da autorità devono sottostare a regole rigidissime per quanto riguarda la gestione dei dati personali, pertanto si possono considerare sicuri.

Elementi di Sicurezza nelle Reti Informatiche

25

baiocco.info

Indice e argomenti trattati:

Premessa:

pagina 01

Proprietà astratte di sicurezza:

pagina 02

Dov’è il pericolo?

pagina 02

Conseguenze e possibili obiettivi di un attacco:

pagina 03

Cause della non-sicurezza:

pagina 05

Cause tecnologiche della non-sicurezza:

pagina 06

Cause ulteriori della non-sicurezza:

pagina 08

Elementi chiave di una rete sicura:

pagina 10

Le debolezze di una rete:

pagina 11

Minacce alla rete (tipologie):

pagina 12

Attacchi alla rete (tipologie):

pagina 13

Politica di Sicurezza:

pagina 13

Organizzazione di una LAN:

pagina 14

Sicurezza e i modelli OSI, IPS:

pagina 15

Protezioni possibili:

pagina 18

Tipi di attacco:

pagina 19

Un esempio di attacco:

pagina 20

Crittografia:

pagina 22

Indice:

pagina 26

Elementi di Sicurezza nelle Reti Informatiche

26

baiocco.info