Sicurezza di un'identità tesina

Tesina pluridisciplinare

L’Annunziata Vincenzo

“IIS G.B. Pentasuglia Matera”

Anno scolastico 2014/201

Indice

Sistemi

La firma digitale

Pag. 1-7

Inglese

Identity theft

Pag. 8-10

Informatica

Sicurezza nel database

Pag. 11-16

T.P.S.

Socket TCP

Pag. 17-22

Gestione

ISO/IEC 27001

Pag. 23-25

Italiano

Luigi Pirandello

Pag. 26-33

Storia

Il fascismo

Pag. 34-37

Sistemi

La firma digitale

Sistemi 1

Vincenzo L’Annunziata 5AI

Crittare un messaggio completo può essere troppo dispendioso e lento; spesso non serve la segretezza ma basta l’autenticazione e la certezza che il messaggio non venga modificato.

In questi casi è sufficiente che il messaggio venga “imbustato” all’interno di un “contenitore digitale” che prende il nome di firma digitale che, oltre che a permettere di riconoscere se il documento stesso è stato modificato o meno dopo l’apposizione della firma, è soprattutto in grado di attestare la validità, la veridicità e la paternità di un documento elettronico e quindi, grazie a essa, è possibile risalire con certezza all’identità del firmatario.

La firma digitale è stata introdotta nella normativa europea dalla Direttiva 1999/93/CE ed è l’equivalente informatico di una tradizionale firma apposta su carta; la firma digitale si basa su un sistema di codifica crittografica a chiavi asimmetriche che consente:

• La sottoscrizione di un documento informatico;
• La verifica, da parte dei destinatari, dell’identità del soggetto sottoscrittore;
• La certezza che l’informazione contenuta nel documento non sia stata alterata.

In termini informatici è una sequenza binaria (informazione), che viene apposta ad un qualsiasi documento elettronico; garantisce:

• Integrità: un documento firmato, corrotto o alterato, viene riconosciuto come non autentico;
• Autenticità: la firma digitale non può essere falsificata e il mittente non può essere contraffatto.
• Non ripudiabilità: chi firma digitalmente un documento non può negare di averlo fatto.

La differenza tra firma digitale e firma autografa

La firma digitale non è uno strumento di crittografia dei documenti elettronici né tantomeno è l’immaginazione digitalizzata della propria firma autografa posizionata, automaticamente dal software, sulla prima pagina o alla fine di un documento.

Questo perché la firma autografa è direttamente riconducibile all’identità di colui che la appone mediante il riconoscimento della calligrafia, mentre la firma digitale non ha questa caratteristica per cui si ricorre all’autorità di certificazione, il cui compito è quello di stabilire, garantire e pubblicare l’associazione tra un soggetto e le firme digitali da lui generate.

Questa associazione viene formalizzata mediante un certificato elettronico.

La firma digitale è legata al singolo documento elettronico a cui è apposta e a documenti elettronici corrispondono firme digitali diverse e, inoltre, è impossibile trasferire una firma digitale da un documento all’altro; mentre l’associazione tra documento e firma autografa è ottenuta esclusivamente attraverso il supporto cartaceo.

Operativamente l’utente possiede un dispositivo di firma sicuro (smart card o token USB o Business Key) rilasciato da appositi enti certificatori, i quali accertano l’identità del richiedente prima di consegnargli la carta: oltre al dispositivo l’utente viene dotato di codice segreto (PIN – Personal Identification Number) personale da utilizzarsi contemporaneamente alla smart card.

La Carta Nazionale dei Servizi (CNS), ideata per accedere ai servizi online della Pubblica Amministrazione su tutto il territorio nazionale, oltre che alla funzione di tessera sanitaria del SSN offre anche la possibilità di firma digitale oltre a un insieme di ulteriori servizi resi disponibili dalle diverse amministrazioni tra cui i pagamenti online, il codice fiscale ecc.

In figura sono riportate alcune tessere del SSN con le personalizzazioni regionali.

Firma digitale 2

Vincenzo L’Annunziata 5AI

La firma di un documento

Per firmare un documento elettronico occorre un software rilasciato da un’autorità di certificazione; la firma viene generata seguendo questi passi:

1. Generazione dell’impronta a partire dal documento elettronico;
2. Generazione della firma mediante cifratura dell’impronta;
3. Apposizione della firma al documento elettronico e generazione della busta elettronica.

Impronta/1

Al documento da firmare viene applicata una particolare funzione (funzione di hash) che produce una sequenza binaria di lunghezza costante chiamata impronta.

Questa funzione garantisce che a testi diversi non corrisponda la stessa impronta e, inoltre, dall’impronta è impossibile risalire al documento originale.

Generazione della firma/2

Con la chiave privata del sottoscrittore, contenuta nella SmartCard e segreta a chiunque, l’impronta viene cifrata, ottenendo così una sequenza binaria che corrisponda alla firma digitale.

Apposizione della firma/3

La firma digitale viene aggiunta alla fine del documento elettronico e insieme alla firma viene allegato anche il certificato del sottoscrittore, che contiene la chiave pubblica necessaria per la verifica dell’autenticità e dell’integrità del documento.

Firma digitale 3

Vincenzo L’Annunziata 5AI

Durante l’apposizione della firma il file viene “incapsulato” in una “busta crittografica” e il risultato è un nuovo file, con estensione .p7m: la firma digitale in formato p7m consente di firmare qualunque tipo di file (rtf, doc, tiff, xls, pdf ecc.).

Il formato p7m, noto come formato pkcs#7, è quello previsto dalla normativa vigente sull’interoperabilità della firma digitale ed è quello che le Pubbliche Amministrazioni sono obbligate ad accettare.

È il formato disponibile fin dagli albori, cioè il primo formato in uso fin dall’anno 1999, al quale si aggiunsero sette anni più tardi i formati di firma PDF e XML.

Gli enti di certificazione forniscono appositi programmi o servizi online per verificare l’identità del firmatario e la validità della firma apposta nel file p7m, permettendo di “aprire” il contenuto della “capsula p7m” e di leggere i dati che contiene.

Autorità di certificazione

È un soggetto pubblico o privato che identifica il titolare di dispositivo di firma digitale; inoltre certifica la chiave pubblica appartenente al titolare rilasciando e pubblicando il certificato e pubblica ed aggiorna gli elenchi dei certificati sospesi e quelli dei certificati revocati.

Certificato

Un certificato è l’equivalente elettronico di un passaporto, di una patente o di una carta d’identità.

La funzione principale di un certificato consiste nel garantire la validità della chiave pubblica in esso contenuta.

Un certificato stabilisce un legame tra l’identità di uno specifico individuo e la sua chiave pubblica.

Busta crittografica

È la sequenza di bit che ingloba il documento elettronico originale, la firma digitale e il certificato del sottoscrittore; essa permette a chi esegue la funzione di verifica di appurare senza alcun dubbio l’identità del sottoscrittore e l’integrità del documento.

La verifica del documento firmato

Sul documento originale viene ricalcolato il valore dell’impronta (che possiamo indicare con impronta -1), viene decodificata la firma digitale con la chiave pubblica del sottoscrittore; la decodifica della firma produce l’impronta -2: questa impronta è quella calcolata durante il processo di firma; se il valore dell’impronta -1 coincide con l’impronta -2, si verifica l’autenticità della firma e l’integrità del documento.

Firma digitale 4

Vincenzo L’Annunziata 5AI

Tra le motivazioni per cui è nata la firma digitale è doveroso ricordare la lentezza dei sistemi di crittografia a chiave pubblica, incluso RSA: per rendere più efficiente il meccanismo si utilizza una funzione di hash attraverso la quale si calcola una stringa identificativa del messaggio, detta fingerprint (impronta digitale) o message digest composta da un numero limitato di caratteri.

Funzione di hash

È una funzione matematica che genera, a partire da una generica sequenza di simboli binari, una impronta, in modo tale che risulti di fatto impossibile, a partire da questa, determinare una sequenza di simboli binari che la generi, ed altresì risulti di fatto impossibile determinare una coppia di sequenze di simboli binari per le quali la funzione generi impronte uguali.

Il calcolo della funzione di hash viene fatto in modo veloce così che risulta significativamente vantaggioso creare il fingerprint del messaggio e criptare quello con la propria piuttosto che criptare tutto il messaggio: in questo modo si autentica l’intero messaggio limitando l’uso dell’algoritmo di crittografia a chiave pubblica al solo fingerprint.

Firma digitale 5

Vincenzo L’Annunziata 5AI

Algoritmo RSA

Il più noto e diffuso sistema crittografico asimmetrico è il Rivest-Shamir-Adleman

RSA

Nella crittografia a chiave pubblica (o asimmetrica) si usano due chiavi crittografiche per ogni utente; una delle due chiavi (detta privata) viene conservata dall’utente e mai rilevata a terzi, mentre l’altra chiave (detta pubblica) deve essere resa nota.

Un messaggio cifrato con la chiave privata può essere solo decifrato con la corrispondente chiave pubblica, e viceversa.

Inoltre non è possibile dalla conoscenza delle due determinare quale sia l’altra.

Quando A vuole mandare a B un messaggio autenticato e integro, calcola il fingerprint, lo cripta con la sua chiave privata e lo “aggancia” in fondo al messaggio in chiaro: la procedura è descritta di seguito:

• A. Da documento informatico si estrae l’impronta in chiaro (fingerprint);
• B. L’impronta in chiaro viene cifrata, ad esempio con la smart card;
• C. L’impronta crittografata viene “accodata” al messaggio in chiaro;
• D. Al messaggio viene anche accodato il certificato del firmatario (descritto in seguito).

Firma digitale 6

Vincenzo L’Annunziata 5AI

Il destinatario B per decriptare la firma deve utilizzare la chiave pubblica di A e solo questa è in grado di riconoscere il mittente, che quindi viene identificato come certo.

Lo schema di funzionamento può essere rappresentato in un figura:

Firma digitale 7

Vincenzo L’Annunziata 5AI

Inglese

Identity theft

Inglese 8

Vincenzo L’Annunziata 5AI

What is Identity Theft?

Identity theft is a crime whereby criminals impersonate individuals, usually for financial gain.

In today's society, you often need to reveal personal bits of information about yourself, such as your social security number, signature, name, address, phone number, cell number, password or even banking and credit card information.

If a thief is able to access this personal information, he or she can use it to commit fraud in your name.

Armed with your personal information, a malicious person could do any number of things, like apply for loans or new credit card accounts.

It's possible they could request a billing address change and run up your existing credit card without your knowledge.

A thief could use counterfeit checks and debit cards or authorize electronic transfers in your name and wipe out funds in a bank account.

Using information on the Internet for identity theft

The outcome of identity theft is usually the same, regardless of how the thief obtains your information.

However, the Internet is providing new ways for people to steal your personal information and to commit fraud.

Thieves can accomplish their goal several ways such as using Internet chat rooms and spreading Trojan horses that drop key loggers on your computer to transmit any passwords, usernames and credit card numbers you use on your computer back to the thieves.

Many online businesses today also store personal information about customers and shoppers on websites, and this provides another way for your personal information to be accessed, without your permission or knowledge.

Additionally, email phishing is another way that thieves can attempt to gather your personal information.

Phishing emails falsely claim to be an established legitimate enterprise in an attempt to scam you into surrendering private information that will be used for identity theft.

The email will direct you to visit a website where you're asked to update personal information, such as passwords and credit card, social security, and bank account numbers — information the legitimate organization already has.

The website, however, is bogus and set up only to steal your information.

Is Internet identity theft cause for concern?

Internet-based identity theft is a problem and it makes people hesitant about making a purchase online, or signing up for what others consider everyday occurrences such as creating a PayPal account, purchasing from ecommerce sites, using auction sites or even using Internet banking and checking credit card statements online.

While Internet identity theft is definitely a hot topic in the media today, Internet identity theft actually accounts for only a small percentage of the total identity theft fraud cases.

9

Vincenzo L’Annunziata 5AI Identity theft

How to protect yourself: minimize the risk

Almost every worldwide government agency responsible for identity theft issues will tell you the same thing: The first step to fighting identity theft is to minimize the risk.

To do this they urge consumers to protect their personal information.

Start by asking companies how they use your information, and for online transaction, take a moment to review a website's privacy policy.

For Internet transactions, be sure the Web site offers secure data encryption and other services to protect your personal information.

In offline transactions don't provide credit card numbers, financial account numbers, and personal identifying information over the phone unless you know the communication line is secure.

Ideally, you should initiate the phone conversation.

Lastly, there are recommended everyday practices, such as keeping an eye on postal mail to ensure your bills are arriving when they should be, and taking the time to properly dispose of paper documents that may contain credit card numbers and other identifying personal information.

Remember: The more private and secure you keep your personal identifying information, the less susceptible to identify theft you are.

10

Vincenzo L’Annunziata 5AI Identity theft

Informatica

Sicurezza nel database

11

Vincenzo L’Annunziata 5AI Informatica

Controllo degli accessi al database MySQL

Come noto l’accesso al DBMS MySQL necessita di autenticazione.

I dati archiviati possono essere anche importanti quindi non è il renderli manipolarli da chiunque.

Questo vuol dire che ad ogni utente autorizzato alla gestione dei database potranno essere associate una “username” e una “password” indispensabili per poter passare alla fase successiva al login, quella in cui il server MySQL rimane in attesa delle interrogazioni.

L’identità dell’utilizzatore si basa su due parametri: il nome utente (username) e l’host, nome della macchina su cui è in esecuzione il DBMS.

La procedura di login è fondata invece sul database denominato “mysql” che contiene la tabella “user” con il compito di archiviare in tre colonne: host, user e password, cioè i dati di accesso dei diversi utilizzatori.

L’accesso al DBMS sarà quindi consentito solo nel caso in cui vi sia una corrispondenza tra le informazioni contenute in uno dei records presenti in tabella e i dati immessi per l’autenticazione.

Valori consentiti per l’host

I valori consentiti per il campo host della tabella “user” sono in genere un comune hostname, un numero IP o semplicemente localhost se lavoriamo in locale.

Nella definizione di un host vengono comunque accettati alcuni caratteri speciali come il simbolo percentuale (“%”) e l’underscore (“_”); questi ultimi vengono utilizzati per facilitare operazioni di ricerca all’interno delle stringhe con un procedura omologa a quella dell’operatore SQL LIKE, per cui “%” indicherà qualsiasi gruppo di caratteri, mentre “_” indicherà la corrispondenza ad un solo carattere.

Nel caso in cui l’host sia definito tramite l’indicazione di un numero IP è possibile stabilire anche una netmask corrispondente al range di indirizzi da cui potrà essere effettuato l’accesso.

Consideriamo un’autorizzazione formulata nel modo seguente:

GRANT ALL PRIVILEGES ON db.* TO claudio@'192.xx.xxx.0/255.255.255.0';

L’utente definito nell’istruzione avrà la possibilità di accedere a MySQL da qualsiasi terminale dotato di numero IP in grado di soddisfare la seguente condizione:

client_ip & netmask = host_ip

Che nel caso specifico sarà espressa in questo modo:

client_ip & 255.255.255.0 = 192.xx.xxx.0

Ciò significa avranno accesso al DBMS tutti i client il cui IP sarà ricompreso all’interno di un range che va dal “192.xx.xxx.0” al “192.xx.xxx.255.”

Sicurezza nel database 12

Vincenzo L’Annunziata 5AI