Elaborato Sicurezza dei Sistemi Informatici

ELABORATO SICUREZZA DEI SISTEMI INFORMATICI

Matricola: -1

Cosa si intende per servizi di sicurezza e quali sono le categorie dei servizi di sicurezza?

I servizi di sicurezza sono dei servizi che migliorano la sicurezza dei sistemi di trasmissione ed elaborazione delle informazioni di un'organizzazione, proteggendoli dagli attacchi attraverso dei meccanismi di sicurezza. Sono suddivisi in 5 categorie, ovvero:

1. Autenticazione
2. Controllo degli accessi
3. Segretezza dei dati
4. Integrità dei dati
5. Non ripudiabilità

L'autenticazione garantisce l'autenticità di comunicazione tra le due entità coinvolte, il servizio è atto a garantirne l'effettiva identità delle entità coinvolte.

In particolare, si parla di autenticazione dell'entità peer, la quale garantisce l'autenticazione dell'identità delle entità connesse in una connessione logica e di autenticazione dell'origine dei dati, che garantisce la provenienza dei dati.

dati ricevuti in un trasferimento in modalità non connessa ma non protegge dalla duplicazione o controllo delle modifiche degli stessi. In contesto di sicurezza di rete, è definito accesso la capacità di limitare e controllare l'accesso agli host e alle applicazioni via rete. Il controllo avviene attraverso l'identificazione di un'entità quando la stessa tenta di ottenere l'accesso a una risorsa. Il servizio definisce chi, in quali condizioni e cosa può fare colui che sta tentando di accedere alla risorsa.

La segretezza dei dati. Il servizio si pone come obiettivo quello di segregare e proteggere i dati trasmessi a discapito di attacchi passivi, quali l'intercettazione di messaggi e l'analisi del traffico. Esso si differenzia in:

• Segretezza in modalità connessa (protezione dall'intercettazione dei dati trasmessi durante una connessione o dei dati contenuti in un singolo pacchetto)
• Segretezza in modalità non connessa

(protezione dall’intercettazione di tutti i dati contenuti nel pacchetto), segretezza selettiva a campi in un singolo (ovvero la segretezza di campi selezionati all’interno dei dati utente su una connessione o in un singolo dato), segretezza del traffico blocco (protezione del flusso di traffico dall’analisi in modo da evitare che un attaccante possa rilevare origine, destinazione, frequenza o altre caratteristiche del traffico).

integrità dei dati L’integrità dei dati è quel servizio che garantisce che i dati ricevuti siano esattamente uguali a quelli inviati senza subire alcuna modifica, cancellazione o inserimento. Il servizio si riferisce ad attacchi di tipo attivo e si differenzia nelle modalità seguenti: (garantisce l’integrità dei dati in una connessione, rileva ogni modifica ed eventualmente effettua il ripristino), (garantisce l’integrità dei dati in una connessione senza ripristino), (garantisce l’integrità dei dati in una connessione selettiva a campi, rileva ogni modifica ed eventualmente effettua il ripristino).

modifica ma non effettua il ripristino), campi in modalità connessa (garantisce l'integrità di determinati campi dei dati utente trasferiti su una connessione consentendo di rilevare se sono stati selettivamente modificati, inseriti, cancellati o riprodotti), connessa (garantisce l'integrità di determinati campi di un blocco dati in modalità non connessa rilevando se tali campi sono stati modificati) ed infine in modalità non connessa (garantisce l'integrità di un singolo blocco dati in modalità non connessa rilevando eventuali modifiche ai dati stessi). non ripudiabilità Infine, la disponibilità o servizio di Si aggiunge a questi servizi anche la disponibilità che è atto a garantire la protezione sulla disponibilità di una determinata risorsa. Questo servizio si

1 - La crittografia è un meccanismo di sicurezza che rende i dati illeggibili attraverso l'uso di algoritmi matematici basati o meno su chiavi. I sistemi crittografici si differenziano in base alle operazioni usate per trasformare il testo in chiaro a cifrato (sostituzione e trasposizione) ed in base al modo in cui viene elaborato il testo in chiaro (cifratura a blocchi o a flussi).

2 - La crittografia si suddivide in crittografia simmetrica e asimmetrica. La crittografia simmetrica è un tipo di sistema crittografico in cui crittografia e decrittografia sono eseguite utilizzando la stessa chiave ed il cui modello è considerato denial of service come tipologia di attacco in cui l'attaccante riesce a fare saurire le risorse disponibili sul sistema, impedendone l'utilizzo al momento della richiesta.

ètesto in chiaro, algoritmo di crittografia, chiavecomposto da 5 elementi:segreta, testo cifrato algoritmo di decrittografia.eTale modello si impegna a soddisfare requisiti quali:- algoritmo di crittografia “forte”, in cui l’estraneo non deve essere ingrado di decifrare il messaggio né scoprire la chiave, pur essendo inpossesso di più messaggi;- sia mittente che destinatario devono custodire la chiave segreta (dopoaverla ottenuta) in modo sicuro e possono avvalersi di una terza parte;- non necessariamente l’algoritmo deve restare segreto, questo perché lasicurezza è intrinseca nell’algoritmo stesso, indipendentemente dallasua segretezza. Può essere considerato un accorgimento il fatto stessodi non pubblicare l’algoritmo ma non ne costituisce un elementodeterminante.asimmetrica , pubblicaLa crittografia invece, utilizza due differenti chiavi: unaprivataper la crittografia ed una per la decrittografia.

Esistono studi che dimostrino una efficacia superiore della crittografia asimmetrica rispetto a quella simmetrica, né tantomeno si può parlare di obsolescenza della crittografia simmetrica; piuttosto, si può affermare che la crittografia asimmetrica si è ritenuta necessaria per risolvere problemi annessi alla crittografia simmetrica quali, la distribuzione delle chiavi (in quanto si ipotizza una possibile violazione del centro di distribuzione delle chiavi) e la firma digitale (in quanto ha una applicazione in ambito privato e commerciale per garantire che un messaggio sia prodotto da una persona definita ed identificabile univocamente).

3. Spiegare il funzionamento dell'algoritmo RSA e i suoi principali utilizzi

L'algoritmo RSA è il sistema a chiave pubblica più usato ed è complesso soprattutto nella generazione delle chiavi. L'utente genera una coppia di chiavi (una pubblica ed una privata) scegliendo per prima cosa due numeri primi p e q. La chiave pubblica è costituita dal prodotto di questi due numeri, mentre la chiave privata è costituita da una combinazione di p e q. L'algoritmo RSA viene utilizzato principalmente per la crittografia e la firma digitale, garantendo la sicurezza delle comunicazioni e l'autenticità dei messaggi.

maniera casuale poi con essi calcola il loro prodotto che è ϕ(n)=(p-1)*(q-1). pubblico e con esso la funzionee e ϕ(n) In seguito sceglie il valore (pubblico) in modo che e siano primi tra loro 1<e<ϕ(n) d e*d=1 modϕ(n) con e calcola (privato) risolvendo l'equazione con l'algoritmo di Euclide esteso. PU={e,n} PR={d,n}. Quindi la chiave pubblica è mentre quella privata è Generate le chiavi si passa alla cifratura a blocchi del testo e nel caso dellafunzione di segretezza il mittente avendo la chiave pubblica del destinatario M C=Me mod n (con 0<M<n) per ogni blocco del testo da cifrare calcola [(a mod n)*(b mod n)] mod n attraverso la proprietà dell'aritmetica modulare:= (a*b) mod n. C Il destinatario con la propria chiave privata decifra il testo M = Cd mod n = Med mod n effettuando il calcolo applicando di nuovo la proprietà dell'aritmetica modulare. La sicurezza di questo sistema sta nel fatto che è difficile

L'operazione di fattorizzazione di grandi numeri infatti siccome p*q è pubblico i due numeri primi sono scelti in un insieme sufficientemente esteso ed attraverso vari algoritmi affinché siano sicuramente primi.

L'algoritmo RSA viene usato per l'applicazione della firma digitale ed anche per cifrare le chiavi (relativamente brevi) da trasmettere in maniera sicura agli utenti.

4. Descrivere la firma digitale e fornire degli esempi concreti di utilizzo

La firma digitale è una delle applicazioni più importanti della crittografia a chiave pubblica. Infatti, l'autenticazione dei messaggi protegge l'utente A e l'utente B nelle loro trasmissioni da una eventuale terza parte (un attaccante) ma non li protegge l'uno dall'altro nel caso di dispute fra di loro. In alcuni servizi di rete è più importante l'autenticazione e l'integrità dei dati piuttosto che la riservatezza (ad es. in una).

transazione bancaria online è necessario essere sicuri che il sito dellabanca sia certificato rispetto alla riservatezza delle operazioni che effettuo). La firma digitale, analoga a quella autografa, risponde a tali esigenze e deve presentare le seguenti caratteristiche:

• deve certificare l'autore e la data/ora della firma;
• deve autenticare il contenuto nel momento in cui viene apposta la firma;
• deve essere verificabile da terzi al fine di risolvere eventuali dispute tra mittente e destinatario.

Affinché abbia le caratteristiche descritte, deve presentare i seguenti requisiti:

1. deve dipendere dal messaggio;
2. deve utilizzare informazioni specifiche del mittente (al fine di garantire la non ripudiabilità);
3. deve essere facile produrre e verificare la firma digitale;
4. deve essere computazionalmente impossibile falsificare la firma digitale (dato un determinato messaggio o una certa firma digitale);
5. deve essere possibile conservare una copia della firma.

firma digitale può essere diviso in due tipologie: diretta e arbitrata. La firma digitale diretta coinvolge solo il mittente e il destinatario del messaggio. In questo caso, il destinatario deve essere in possesso della chiave pubblica del mittente per poter verificare la validità della firma. La firma digitale arbitrata, invece, coinvolge una terza parte chiamata arbitro. Ogni messaggio inviato dal mittente deve passare attraverso l'arbitro, che non è in grado di leggerlo ma ne verifica solo la validità. Dopo essere stato validato, il messaggio viene inviato al destinatario. In generale, il procedimento della firma digitale permette di garantire l'integrità e l'autenticità dei messaggi trasmessi attraverso la crittografia a chiave pubblica.