Appunti Privacy e sicurezza

Corso di "Sicurezza dei sistemi informatici in Internet"

Corso tenuto nell’A.A. 2021/2022 dal prof. Massimo Carnevali presso l’Università degli Studi di Ferrara. Licenza Creative Commons 4.0 International: BY-SA. Documento derivato dall’elaborazione del materiale didattico fornito dal prof. Massimo Carnevali per il corso "Sicurezza dei sistemi informatici in Internet" presso l'Università degli Studi di Ferrara.

Indice

• Privacy e sicurezza
• Open Source Intelligence
• Cookie
• Tipi di cookie
• Tracciamento degli utenti
• Cookie di terze parti: tracciamento degli utenti tramite annunci web
• Intercettazioni di rete
• Cross-site scripting: furto dei cookie
• Cookie dal punto di vista giuridico
• Nuovi strumenti
• Altri strumenti di tracciamento
• Tracciare l'utente usando HTML5 “ping”
• Panopticlick (Browser fingerprint)
• Facebook
• Modello Ocean (Big Five)
• Consigli per mitigare il rischio

Privacy e sicurezza

Privacy: sono le azioni che eludono (violano) la mia volontà. Sicurezza: sono le cose fatte contro la mia volontà.

La privacy può essere definita come la capacità di proteggere le informazioni sensibili di carattere personale, mentre la sicurezza è tutto l’apparato e l’infrastruttura che previene l’accesso non autorizzato ai dati e viene definita dalle normative che tutelano la persona e i suoi dati.

La reputazione online indica le cose che succedono secondo la mia "volontà involontaria" (se è volontà volontaria si dice branding, ovvero costruire la propria immagine online). Sono tutti temi strettamente correlati: se c’è un problema di sicurezza si viola la privacy, mentre se c’è un problema di privacy viene compromessa la reputazione.

Open Source Intelligence

L'Open Source Intelligence è la disciplina dell'intelligence che si occupa della ricerca, raccolta ed analisi di dati e di notizie d'interesse pubblico tratte da fonti aperte per fare attacchi di Social Engineering.

L'OSINT utilizza diverse fonti di informazioni tra cui:

• Mezzi di comunicazione (giornali...)
• Dati pubblici (conferenze stampa...)
• Osservazioni dirette (fotografie...)
• Ascolto delle conversazioni (in radio...)
• Professionisti e studiosi (conferenze, lezioni...)

L'OSINT applica un specifico processo di gestione delle informazioni, data l'attenzione richiesta nell'individuazione preventiva e selezione delle fonti rilevanti, nonché nella determinazione del loro grado di attendibilità.

Cookie

I cookie consentono di mantenere la sessione dell’utente, basandosi sull'utilizzo di un protocollo stateless: vengono utilizzati dalle applicazioni web lato server per archiviare e recuperare informazioni a lungo termine sul lato client.

Nel dettaglio, un cookie è una stringa di testo di piccole dimensioni inviata da un web server ad un web client (di solito un browser) e poi rimandata indietro dal client al server (senza subire modifiche) ogni volta che il client accede alla stessa porzione dello stesso dominio web.

I server inviano i cookie nella risposta HTTP al client e ci si aspetta che i web browser salvino e inviino i cookie al server, ogni qual volta si facciano richieste aggiuntive al web server. Tale riconoscimento permette di:

• Realizzare meccanismi di autenticazione, usati ad esempio per i login
• Memorizzare dati utili alla sessione di navigazione, come le preferenze sull'aspetto grafico o linguistico del sito
• Tracciare la navigazione dell'utente, ad esempio per fini statistici o pubblicitari
• Associare dati memorizzati dal server, ad esempio il contenuto del carrello di un negozio elettronico

La sicurezza di un cookie di autenticazione dipende generalmente:

• Dalla sicurezza del sito che lo emette
• Dal browser web dell'utente
• Dal fatto che il cookie sia criptato o meno