Paniere sicurezza informatica - domande aperte

Set Domande: Sicurezza informatica

Lezione 002

Docente: Pecori Riccardo

1. I primi virus e worm nascono
   • Negli anni 70
   • x negli anni 80
   • Nessuna delle altre
   • Negli anni 90
2. Il primo worm è datato
   • 1976
   • 1985
   • 1996
   • x Morris worm 1988
3. Fino a quando è possibile cancellare i propri dati dalla rete?

   Cancellare i propri dati dalla rete non è del tutto possibile. Quando i dati vengono inviati ad un server bisogna essere sicuri dell’utilizzo che il server farà dei nostri dati. Ad esempio, un’azienda potrebbe utilizzare i dati per scopi pubblicitari, per inoltrare offerte oppure anche per effettuare sondaggi e analisi di mercato. Il problema è che anche effettuando semplici analisi i dati andrebbero a finire su diversi server, salvati e utilizzati al momento opportuno. Purtroppo c’è anche chi utilizza i dati per scopi malevoli, vendendo dati a terzi. Anche se si avesse la sicurezza che i dati vengano utilizzati esclusivamente dall’azienda, non si ha la certezza che utenti interni possano comunque leggere i dati ed utilizzarli esternamente. A mio parere, una volta che i dati sono online, resteranno per sempre come se fossero in una sorta di “limbo” su qualche server.

Lezione 003

Docente: Pecori Riccardo

1. Le soluzioni per la sicurezza Internet inizialmente erano basate su
   • Autenticazione
   • x Crittografia
   • Controllo degli accessi
   • Nessuna delle altre
2. Il DRM è
   • Data Right Masquarading
   • Data Regular Management
   • Digital Random Management
   • x Digital Rights Management
3. Valutare come sono cambiate le responsabilità degli utenti dei sistemi informatici nel tempo, durante le diverse epoche della sicurezza informatica.

   All’inizio degli anni 80 non ancora si conosceva bene il mezzo di trasmissione che si sarebbe dovuto utilizzare per i documenti. Negli anni 90 le alternative erano 2, o il fax oppure l’email. Ovviamente inizialmente tutta la sicurezza informatica era incentrata sulla crittografia e quindi si poneva l’obiettivo di preservare la confidenzialità dei dati in transito. Al tempo nessuna attenzione era rivolta agli host (client e server). La crescita degli attacchi ha portato ad una maggiore attenzione sui servizi erogati dal server. Successivamente con l’avvento dei contenuti multimediali online è nato il DRM che consentiva di evitare la pirateria e quindi proteggere entità terze. La nascita dei famosi DoS e di numerosi attacchi ha aumentato la responsabilità di chi gestisce un sistema informatico. Con l’avvento dei servizi web il target di attacco si è spostato dal protocollo TCP/IP alle applicazioni web stesse. I principali vettori di attacco diventano le SQL Injection (anche XSS, Broken Auth).

   Con l’incremento della tecnologia cambiano anche le tipologie di attacco e vengono di volta in volta aggiornate costringendo gli amministratori di un sistema informatico ad aumentare il livello di sicurezza, sicurezza che deve tener conto anche dell’usabilità e del contesto a cui viene applicata (se un servizio bancario o un servizio che eroga informazioni/notizie). Ovviamente proprio per questo motivo è nata la figura dell’ethical hacker (white hat) che ha l’obiettivo di fornire servizi di sicurezza ad altre aziende. I responsabili dei sistemi non solo devono garantire la sicurezza del sistema, ma devono garantire agli utenti che i loro dati sono al sicuro, e questo è il più grande disagio per chi eroga servizi. La trapelazione di informazioni riservate può essere devastante a livello di immagine.

Lezione 004

Docente: Pecori Riccardo

1. L'organizational security policy è
   • x l'insieme delle regole che definiscono come l'azienda distribuisce risorse per raggiungere particolari obiettivi
   • l'insieme delle restrizioni che definiscono come l'azienda attua una politica di difesa da intrusioni esterne
   • le restrizioni che un'azienda impone ai propri dipendenti per accedere a determinate risorse
   • l'insieme delle regole con cui un'azienda definisce gli asset prioritari da proteggere
2. Cos'è il social engineering?
3. Cosa deve fare un'azienda security-aware?
4. Cos'è una politica di sicurezza?
5. Il social engineering o ingegneria sociale è un particolare tipo di attacco in cui un utente malintenzionato sfrutta particolari debolezze “umane” per riuscire a carpire informazioni riservate. Uno scenario di esempio può essere rappresentato da un utente malintenzionato che sfrutta una finta email promozionale (ad esempio su un corso di cucina) e la invia ad un impiegato che, ad esempio, è appassionato di cucina. Ovviamente tramite link malevoli o altre tipologie di attacco, l’utente malintenzionato riesce a carpire informazioni riservate senza che l’utente se ne accorga.
6. Per essere security aware un’azienda deve: produrre guide di sensibilizzazione per impiegati inerenti le problematiche di sicurezza (anche attraverso corsi di formazione), definire documenti in cui viene evidenziato cosa ci si aspetta dall’impiegato, definire best practices per la sicurezza e fare corsi per gli sviluppatori per lo sviluppo sicuro del software.
7. Una politica di sicurezza, detta policy di sicurezza, è una dichiarazione in cui sono definiti tutti gli obiettivi di sicurezza dell’azienda, gli stati che devono essere protetti e, in qualche caso, anche come garantire la protezione.

Lezione 005

Docente: Pecori Riccardo

1. La severità di un attacco NON dipende
   • dalla probabilità di accesso al sistema
   • dalla probabilità di successo
   • dalla probabilità che sia lanciato
   • x dai danni che può provocare
2. Gli asset con valutazione quantitativa possono essere
   • solo software
   • hardware
   • hardware e software
   • x risorse umane
3. Le analisi quantitative del rischio
   • si basano su modelli probabilistici
   • nessuna delle altre
   • x si basano su modelli matematici
   • si basano su domini
4. Cos'è il CVSS?
5. Cos'è il Denial of Service?
6. Il common vulnerability scoring system è un sistema per misurare l’impatto di una vulnerabilità. Si basa su un insieme di 14 metriche che sono raggruppate in 3 grandi gruppi: metriche di base (impatto su integrità, confidenzialità e disponibilità), metriche temporali (considerano la sfruttabilità e i tempi e i modi per porre rimedio agli attacchi), metriche ambientali (danni al di fuori dell’infrastruttura IT - infortuni).
7. Il Denial of Service, meglio conosciuto come DoS, è una tipologia di attacco che mira ad ottenere un disservizio. Questa tipologia di attacco consente ad un utente malintenzionato di inviare un numero di pacchetti elevato sovraccaricando il server in modo tale da non renderlo più disponibile agli altri utenti. Attacchi più mirati e più forti sono sicuramente i DDoS, ovvero Distributed Denial of Service.

Lezione 006

Docente: Pecori Riccardo

1. Quale tra i seguenti NON rientra tra i servizi di sicurezza?
   • Data origin authentication
   • Data integrity
   • Congestion control
   • x Availability
2. La prevenzione informatica
   • è l'insieme delle misure atte a reagire ad una intrusione
   • serve per proteggere gli asset da danni già manifestati
   • nessuna delle altre
   • x serve ad evitare danni agli asset
3. La responsabilità è
   • la proprietà che garantisce la non modifica dei dati
   • nessuna delle altre
   • la proprietà che determina l'autenticità degli accessi
   • x la proprietà che determina chi ha compiuto un attacco
4. Cos'è la disponibilità?
5. Cos'è la confidenzialità?
6. Cos'è l'integrità?
7. Cos'è la proprietà del non ripudio?
8. La disponibilità è la proprietà di rendere disponibili servizi a chi è autorizzato. I meccanismi atti a garantire la disponibilità devono prevenire attacchi DoS. La disponibilità va anche oltre la sicurezza informatica dato che un servizio potrebbe non essere disponibile anche per cause diverse (disastri naturali).
9. La confidenzialità è la proprietà che deve garantire che informazioni sensibili non siano lette da terze parti. La confidenzialità sui singoli dati non può garantire la confidenzialità in senso lato, per questo motivo un’altra proprietà direttamente legata ad essa è la proprietà di unlinkability, cioè la capacità di prevenire un attaccante dal correlare due eventi separati che sono logicamente collegati tra loro. Per incrementare la confidenzialità si può ricorrere all’anonimato.
10. L’integrità è la proprietà che mira a verificare che un dato non venga modificato durante la trasmissione. In poche parole l’integrità deve garantire che i dati inviati da una sorgente non abbiano ottenuto variazioni di alcun tipo, legate ad incidenti o azioni malevole.
11. Il non ripudio è la proprietà legata alla responsabilità e garantisce che una certa azione è stata compiuta. Ad esempio se un documento è firmato digitalmente da un utente X, l’utente X non può dichiarare di non aver scritto quel documento.

Lezione 007

Docente: Pecori Riccardo

1. Una buona interfaccia grafica è un buon criterio per la scelta di un antivirus? Perché?
2. Qual è l'errore fondamentale della sicurezza informatica?
3. Cos'è il modello a cipolla di un meccanismo di sicurezza?
4. Una buona interfaccia grafica è un buon criterio per la scelta di un antivirus perché migliora l’esperienza d’uso dell’utente. L’antivirus deve essere di facile utilizzo e sicuramente un’interfaccia intuitiva e semplice guida l’utente nella scelta di esso. Ovviamente anche l’esposizione dei risultati delle scansioni può aiutare l’utente a risolvere i problemi. Ad esempio se un antivirus trova un virus, farà apparire a schermo un pop-up che indica se leggere i dettagli, eliminare il virus o metterlo in quarantena.
5. L’errore fondamentale della sicurezza informatica? L’errore umano. Avere mille tool di sicurezza a disposizione, utilizzare password difficili non mette al sicuro il nostro sistema. Prima di tutto bisogna sottolineare l’importanza degli aggiornamenti dei software: ogni giorno vengono pubblicate migliaia di vulnerabilità nuove che possono essere mitigate con l’applicazione di patch o aggiornamenti di versione (upgrade). Ovviamente ciò non basta. Avere un perimetro “impenetrabile” non basta a garantire sicurezza. La formazione alla sicurezza è fondamentale. Se un utente con privilegi amministrativi sul proprio pc apre un’email malevola può installare una backdoor o un malware e ciò porta sicuramente alla compromissione del sistema. Il fattore umano è al centro della sicurezza e diventa sempre più importante dato che molti attacchi si basano sul phishing/smishing. Educare alla sicurezza dovrebbe essere fondamentale.
6. Il modello a cipolla permette di modellare i meccanismi di sicurezza in diversi anelli. Più sono interni più sono orientati alle risorse, più sono esterni e più sono orientati agli utenti. Il modello a cipolla parte da uno strato più esterno con le Applicazioni, poi si sposta verso l’interno con i Servizi, Sistema Operativo, Kernel e Hardware.

Lezione 008

Docente: Pecori Riccardo

1. La chiave segreta è
   • nota solo al mittente
   • nota solo al destinatario
   • nota a chiunque conosca l'algoritmo di cifratura
   • x nota solo alle parti che devono comunicare in maniera confidenziale
2. Cos'è un attacco a forza bruta?
3. Cos'è l'attacco chosen text?
4. Cos'è l'attacco known plaintext?
5. Cos'è la crittoanalisi?
6. Qual è la differenza tra cifrario a blocchi e cifrario a flusso?
7. Un brute force attack è una tipologia di attacco automatico utilizzato da un utente malintenzionato con lo scopo di individuare la chiave di cifratura/decifratura. Solitamente più è lunga la chiave più si abbassa la probabilità di indovinarla e più aumenta il tempo necessario ad identificarla. Questa tipologia di attacco non ha senso in alcuni casi (chiavi troppo lunghe) perché impiegherebbe migliaia di anni. C’è da sottolineare che con l’avvento dei quantum computer l’RSA, algoritmo utilizzato molto in ambito crittografico, risente dell’algoritmo di shor che consente di fattorizzare numeri interi in numeri primi in un tempo che ha complessità polinomiale, il che rende tutto più semplice per un attaccante.
8. L’attacco chosen text consente ad un attaccante sia di scegliere un plaintext ed ottenere un relativo testo cifrato sia il viceversa. Ovviamente quante più informazioni disponibili ha un attaccante più possibilità ha di scoprire la chiave segreta.
9. L’attacco known plaintext consente ad un attaccante di conoscere coppie di plaintext/cyphertext. Con questa tipologia di attacco un utente malintenzionato cerca di scoprire la chiave analizzando le coppie di informazioni che ha a disposizione e di decifrare altri messaggi.
10. La crittoanalisi è l’insieme delle tecniche atte a testare la robustezza di un algoritmo e della chiave utilizzando provando ad estrarre/indovinare la chiave partendo dai chipertext disponibili. Le tecniche utilizzate dipendono dalle informazioni possedute dall’attaccante. Infatti un attaccante potrebbe non conoscere nulla, nemmeno l’algoritmo, conoscere cyphertext e algoritmo o conoscere alcuni plaintext. Per questo le tecniche sono: cyphertext only (dove il crittoanalista conosce solo il testo cifrato), known plaintext (dove il crittoanalista conosce algoritmo e una o più coppie plaintext/cyphertext), chosen plaintext (il crittoanalista conosce algoritmo plaintext e risale al cyphertext corrispondente), chosen ciphertext (algoritmo, ciphertext e risale al testo decriptato) e chose text (plaintext scelto e relativo ciphertext o viceversa).
11. I cifrari a blocchi e a flusso sono applicati alla crittografia simmetrica (quindi trasposizione e sostituzioni). La differenza tra i 2 è nel modo di elaborare P, il plaintext. Infatti nel caso di cifrario a blocchi P è elaborato un blocco alla volta, mentre nel cifrario a flusso è elaborato un singolo elemento alla volta.

Lezione 009

Docente: Pecori Riccardo

1. Una sostituzione
   • porta ogni elemento del ciphertext a corrispondere esattamente allo stesso simbolo
   • porta ogni elemento del plaintext ad essere sostituito con un altro elemento dello stesso alfabeto
   • porta ogni elemento del plaintext ad essere sostituito con un altro elemento di un altro alfabeto
   • nessuna delle altre
2. Data la stringa ABCD, il ciphertext corrispondente nel cifrario di Cesare è
   • DHJG
   • EDJH
   • DEFG
   • DFGH
3. Quante chiavi possibili ha il cifrario di Cesare?
   • 26
   • 23
   • 24
   • x 25
4. La steganografia è l’arte di nascondere informazioni. Infatti il termine indica appunto le parole “coperto” e “scrittura”. Mentre la crittografia ha lo scopo di rendere un messaggio incomprensibile a chi non possegga informazioni riservate, la steganografia nasconde l’esistenza stessa della comunicazione. Infatti si può nascondere un messaggio in un’immagine o addirittura in una canzone (come accade anche nella serie di Mr Robot, informazioni segrete in cd MP3).
5. Qual è la lettera più frequente dell'alfabeto inglese?
   • A
   • H
   • E
   • I
6. La sostituzione è la tecnica utilizzata nei cifrari asimmetrici e consente di sostituire un elemento del plaintext con un altro dello stesso alfabeto. Il cifrario di Cesare ne è un esempio. Infatti, questo cifrario consisteva nel sostituire una lettera dell’alfabeto con un'altra (3 lettere dopo). Ad esempio, la A con la D, B con E e così via.
7. Le tecniche di trasposizione prevedono
   • la modifica delle consonanti del plaintext
   • nessuna delle altre
   • la modifica delle vocali del plaintext
   • la modifica dell'ordine delle lettere del plaintext
8. La trasposizione mira a modificare l’ordine delle lettere del plaintext. Un esempio è dato dal rail fence in cui le lettere del plaintext sono scritte in sequenze di diagonali e poi lette in riga per ottenere un cipher text.
9. Il cifrario di Cesare è un cifrario monoalfabetico a sostituzione. La chiave infatti è semplicemente la sostituzione di una lettera dell’alfabeto con un'altra dello stesso alfabeto spostata di 3. Ad esempio, la lettera A del plaintext corrisponde alla lettera D nel ciphertext. Quindi il testo cifrato C=E(3,p) = (p+3) mod 26. Ovviamente è un cifrario debole perché...