Le tecnologie per la difesa

1. Le tecnologie per la difesa Claudio Telmon <claudio@di.unipi.it>

2. Il caso di studio I sistemi firewall Autenticazione Virtual Private Networks Sistemi di Intrusion detection Integrity Checkers Scanners Virus, worm e il resto del bestiario Argomenti

3. Il caso di studio Internet

4. Caso di studio • Esiste già una connessione a Internet • Rappresentanti e sedi remote accedono via modem • Il router ha alcune regole di filtraggio messe dal provider • Il mainframe gestisce i dati critici ed è isolato... • ... Ma chiacchierando viene fuori che un PC ha una scheda di emulazione 3270

5. Primo problema: la rete è compromessa? • Gli attaccanti nascondono le tracce • Un trojan horse potrebbe ad esempio: • connettersi a un server sulla porta 80 (http) • accettare comandi nelle pagine web • mandare le risposte nelle query • La soluzione comune per un sistema compromesso è reinstallarlo • Non è generalmente pratico reinstallare “preventivamente” una rete

6. Come affrontare il problema sicurezza • La sicurezza deve essere parte della progettazione di ogni parte della rete • La sicurezza “aggiunta dopo”: • è meno efficace • è più difficile da implementare • interferisce maggiormente con le normali attività • Esempio precedente: connettersi a Internet e poi, con calma, affrontare la sicurezza della rete?

7. Politica di sicurezza • Non è un problema da sistemisti: • il sistemista non può decidere quali servizi sono necessari a un’azienda • il sistemista non è in grado di imporre le sue decisioni • il sistemista non può stabilire i provvedimenti da prendere in caso di violazione • Definisce cosa è lecito fare • solo dopo è possibile scegliere gli strumenti per implementarla

8. Primo strumento: il firewall Internet DMZ servizi pubblici

9. Il sistema firewall • Controlla il traffico fra due o più reti implementando la politica di sicurezza • Caratteristiche: • Efficacia nell’implementazione della politica • Versatilità nella gestione di nuovi servizi • Efficienza nella gestione del traffico • Capacità di logging, accounting e generazione allarmi • Facilità di gestione • Costo (in funzione dei sistemi protetti) anche come perdita di produttività • Tecnologia utilizzata?

10. Funzionalità di un firewall • Il firewall può: • selezionare i servizi accessibili dall’esterno • selezionare i servizi accessibili dall’interno • verificare il traffico per individuare schemi di attacco • aggiungere meccanismi di autenticazione e accounting • Il firewall non può: • controllare il traffico che passa per altre vie (modem, floppy) • rimediare a una politica di sicurezza carente • proteggere da connivenze interne

11. Secondo strumento: autenticazione • La maggior parte dei meccanismi di autenticazione tradizionali ha delle gravi debolezze: • esposizione dell’informazione di autenticazione (es. password in chiaro) • autenticazione iniziale (es. One Time Password) soggetta a connection hijacking • vulnerabilità ad attacchi di forza bruta (basati su dizionario o test esaustivo)

12. Meccanismi di autenticazione • Qualcosa che si sa (password, PIN) • Qualcosa che si ha (smart card, token) • Qualcosa che si è (misure biometriche) • È possibile ( e preferibile) combinare più meccanismi • ... Ma ogni catena è robusta quanto il suo anello più debole • è inutile usare meccanismi di autenticazione robusti su sistemi deboli (es. Client con BO2K)

13. Smart card e sistemi biometrici • L’uso della smart card garantisce, salvo manomissioni, che una chiave non sia diffusa, ma non garantisce che la smart card non sia consegnata a un’altra persona o rubata • I sistemi biometrici danno più garanzie?

14. I dati sono dati 01100110001 01100110001 01100110001

15. Firma digitale • Utilizza un meccanismo a chiave pubblica • Garantisce l’integrità di un messaggio • Garantisce che l’origine del messaggio conosca la chiave privata utilizzata • È verificabile da chiunque senza perdita di sicurezza della chiave privata

16. Firma digitale ¹firma autografa • La firma digitale è legata all’uso della chiave privata • La firma autografa è legata all’uso della mano

17. Legare la chiave alla persona • Le Certification Authority sono delle “Terze parti fidate” che garantiscono l’associazione fra un’entità e una coppia di chiavi • L’uso di TTP introduce dei punti di vulnerabilità estremamente critici ma gestiti centralmente • In ogni caso la chiave è effettivamente legata al massimo alla smart card

18. Cosa si firma? • Usare la chiave senza rubarla • Il caso Quicken: nel gennaio 1997 un gruppo di hacker tedeschi (CCC) ha dimostrato in televisione di essere in grado di far eseguire delle operazioni bancarie senza conoscere il PIN….. Con la firma digitale sarebbe cambiato qualcosa?

19. Cosa si firma BBB BBB AAA AAA AAA

20. Terzo strumento: le VPN Internet DMZ servizi pubblici

21. Le Virtual Private Networks • Realizzano dei canali autenticati e cifrati fra reti e/o sistemi • Permettono di utilizzare reti pubbliche al posto di linee dedicate e/o modem • Non permettono l’esame del traffico • agli hacker • ai firewall e agli IDS • Non proteggono dal comportamento di utenti autorizzati

22. Quarto strumento: gli IDS Internet DMZ servizi pubblici

23. I sistemi di Intrusion Detection • Rilevano schemi di attacchi (noti o potenziali) • Esaminano solo il traffico che vedono • Non esaminano il traffico cifrato • Hanno gli stessi problemi degli antivirus: • aggiornamento e qualità dei database • falsi positivi • Rilevano attacchi interni e che superano il firewall • Dove posizionarli?

24. Quinto strumento: integrity checker e IDS locali Internet DMZ servizi pubblici

25. IDS locali e integrity checker • Un IDS dedicato a un host è più personalizzabile e potenzialmente efficace • I sistemi di integrity check verificano lo stato di un sistema rispetto a un database • Richiedono una gestione host based • Sono sensibili alle modifiche alla configurazione • Vanno protetti (codice e database) come gli antivirus

26. Sesto strumento: gli scanner • I “security probe” e i “penetration test” cercano di verificare lo stato di una rete mettendosi nei panni di un hacker • Gli scanner permettono di verificare lo stato di molti sistemi • Sono spesso inadatti a verificare firewall • Sono facilmente rilevabili dagli IDS (spesso i produttori sono gli stessi) • Piccole personalizzazioni di un attacco fanno spesso la differenza

27. Limiti dei security probe • Non si è mai nelle condizioni di un hacker vero • limiti alle autorizzazioni • limitazione dei disservizi • Si provano solo le competenze di una persona • Non si verificano i difetti architetturali • Si ottiene una visione puntiforme nel tempo della sicurezza del sistema

28. Virus, worm e il resto del bestiario • Le macchine più vulnerabili sono sempre più spesso i client: • sono utilizzati per attività critiche e insicure contemporaneamente • sono peggio configurati e gestiti • sono meno controllati e controllabili • La verifica centralizzata di tutto quello che può arrivare su un client è impraticabile • Da Internet arrivano più velocemente i virus degli aggiornamenti agli antivirus