Paniere sicurezza informatica - domande aperte

Set Domande: SICUREZZA INFORMATICA

INGEGNERIA INFORMATICA E DELL'AUTOMAZIONE

Docente: Pecori Riccardo

Lezione 002

01. I primi virus e worm nascono

negli anni 70

x negli anni 80

nessuna delle altre

negli anni 90

02. Il primo worm è datato

1976

1985

1996

x Morris worm

1988

03. Fino a quando è possibile cancellare i propri dati dalla rete?

Cancellare i propri dati dalla rete non è del tutto possibile. Quando i dati vengono inviati ad un Server bisogna essere sicuri dell’utilizzo che il Server farà dei nostri dati.

Ad esempio un’azienda potrebbe utilizzare i dati per scopi pubblicitari, per inoltrare offerte oppure anche per effettuare sondaggi e analisi di mercato. Il problema che

anche effettuando semplici analisi i dati andrebbero a finire su diversi Server, salvati e utilizzati al momento opportuno. Purtroppo c’è anche chi utilizza i dati per scopi

malevoli, vendendo dati a terzi.

Anche se si avesse la sicurezza che i dati vengano utilizzati esclusivamente dall’azienda non si ha la certezza che utenti interni possano comunque leggere i dati ed

utilizzarli esternamente. A mio parere, una volta che i dati sono online, resteranno per sempre come se fossero in una sorta di “limbo” su qualche Server.

© 2016 - 2018 Università Telematica eCampus - Data Stampa 07/06/2018 22:53:26 - 4/88

Set Domande: SICUREZZA INFORMATICA

INGEGNERIA INFORMATICA E DELL'AUTOMAZIONE

Docente: Pecori Riccardo

Lezione 003

01. Le soluzioni per la sicurezza Internet inizialmente erano basate su

autenticazione

x crittografia

controllo degli accessi

nessuna delle altre

02. Il DRM è

Data Right Masquarading

Data Regular Management

Digital Random Management

x Digital Rights Management

03. Valutare come sono cambiate le responsabilità degli utenti dei sistemi informatici nel tempo, durante le diverse epoche della sicurezza informatica.

All’inizio degli anni 80 non ancora si conosceva bene il mezzo di trasmissione che si sarebbe dovuto utilizzare per i documenti. Negli anni 90’ le alternative erano 2, o il

fax oppure l’email. Ovviamente inizialmente tutta la sicurezza informatica era incentrata sulla crittografia e quindi si poneva l’obiettivo di preservare la confidenzialità

dei dati in transito. Al tempo nessuna attenzione era rivolta agli host (client e server). La crescita degli attacchi ha portato ad una maggiore attenzione sui servizi erogati

dal server. Successivamente con l’avvento dei contenuti multimediali online è nato il DRM che consentiva di evitare la pirateria e quindi proteggere entità terze. La

nascita dei famosi DoS e di numerosi attacchi ha aumentato la responsabilità di chi gestisce un sistema informatico. Con l’avvento dei servizi web il target di attacco si è

spostato dal protocollo TCP/IP alle applicazioni web stesse. I principali vettori di attacco diventano le SQL Injection (anche XSS, Broken Auth).

Con l’incremento della tecnologia cambiano anche le tipologie di attacco e vengono di volta in volta aggiornate costringendo gli amministratori di un sistema informatico

ad aumentare il livello di sicurezza, sicurezza che deve tener conto anche dell’usabilità e del contesto a cui viene applicata (se un servizio bancario o un servizio che

eroga informazioni/notizie). Ovviamente proprio per questo motivo è nata la figura dell’ethical hacker (white hat) che ha l’obiettivo di fornire servizi di sicurezza ad

alltre aziende. I responsabili dei sistemi non solo devono garantire la sicurezza del sistema, ma devono garantire agli utenti che i loro dati sono al sicuro, e questo è il più

grande disagio per chi eroga servizi. La trapelazione di informazioni riservate può essere devastante a livello di immagine.

© 2016 - 2018 Università Telematica eCampus - Data Stampa 07/06/2018 22:53:26 - 5/88

Set Domande: SICUREZZA INFORMATICA

INGEGNERIA INFORMATICA E DELL'AUTOMAZIONE

Docente: Pecori Riccardo

Lezione 004

01. L'organizational security policy è

x l'insieme delle regole che definiscono come l'azienda distribuisce risorse per raggiungere particolari obiettivi

l'insieme delle restrizioni che definiscono come l'azienda attua una politica di difesa da intrusioni esterne

le restrizioni che un'azienda impone ai propri dipendenti per accedere a determinate risorse

l'insieme delle regole con cui un'azienda definisce gli asset prioritari da proteggere

02. Cos'è il social engineering?

03. Cosa deve fare un'azienda security-aware?

04. Cos'è una politica di sicurezza?

02. Il Social engineering o Ingegneria sociale è un particolare tipo di attacco in cui un utente malintenzionato sfrutta particolari debolezze

“umane” per riuscire a carpire informazioni riservate. Uno scenario di esempio può essere rappresentato da un utente malintenzionato che

sfrutta una finta email promozionale (ad esempio su un corso di cucina) e la invia ad un impiegato che, ad esempio, è appassionato di cucina.

Ovviamente tramite link malevoli o altre tipologie di attacco, l’utente malintenzionato riesce a carpire informazioni riservate senza che l’utente

se ne accorga.

03. Per essere security aware un’azienda deve : produrre guide di sensibilizzazione per impiegati inerenti le problematiche di sicurezza (anche

attraverso corsi di formazione), definire documenti in cui viene evidenziato cosa ci si aspetta dall’impiegato, definire best practices per la

sicurezza e fare corsi per gli sviluppatori per lo sviluppo sicuro del software.

04. Una politica di sicurezza, detta Policy di sicurezza, è una dichiarazione in cui sono definiti tutti gli obiettivi di sicurezza dell’azienda, gli stati

che devono essere protetti e, in qualche caso, anche come garantire la protezione. © 2016 - 2018 Università Telematica eCampus - Data Stampa 07/06/2018 22:53:26 - 6/88

Set Domande: SICUREZZA INFORMATICA

INGEGNERIA INFORMATICA E DELL'AUTOMAZIONE

Docente: Pecori Riccardo

Lezione 005

01. La severità di un attacco NON dipende

x dalla probabilità di accesso al sistema

dalla probabilità di successo

dalla probabilità che sia lanciato

dai danni che può provocare

02. Gli asset con valutazione quantitativa possono essere

solo software

hardware

hardware e software

x risorse umane

03. Le analisi quantitative del rischio

si basano su modelli probabilistici

nessuna delle altre

x si basano su modelli matematici

si basano su domini

04. Cos'è il CVSS?

05. Cos'è il Denial of Service?

04. Il Common Vulnerabilitiy Scoring System è un sistema per misurare l’impatto di una vulnerabilità. Si basa su un’insieme di 14 metriche che

sono raggruppate in 3 grandi gruppi: Metriche di base (impatto su integrità, confidenzialità e disponibilità), metriche temporali (considerano la

sfruttabilità e i tempi e i modi per porre rimedio agli attacchi), metriche ambientali (danni al di fuori dell’infrastruttura IT - infortuni).

05. Il Denial of Service, meglio conosciuto come DoS, è una tipologia di attacco che mira ad ottenere un disservizio. Questa tipologia di

attacco consente ad un utente malintenzionato di inviare un numero di pacchetti elevato sovraccaricando il Server in modo tale da non

renderlo più disponibile agli altri utenti. Attacchi più mirati e più forti sono sicuramente i DDoS, ovvero Distributed Denial of Service.

© 2016 - 2018 Università Telematica eCampus - Data Stampa 07/06/2018 22:53:26 - 7/88

Set Domande: SICUREZZA INFORMATICA

INGEGNERIA INFORMATICA E DELL'AUTOMAZIONE

Docente: Pecori Riccardo

Lezione 006

01. Quale tra i seguenti NON rientra tra i servizi di sicurezza?

Data origin authentication

Data integrity

Congestion control

x Availability

02. La prevenzione informatica

è l'insieme delle misure atte a reagire ad una intrusioe

serve per proteggere gli asset da danni già manifestati

nessuna delle altre

x serve ad evitare danni agli asset

03. La responsabilità è

la proprietà che garantisce la non modifica dei dati

nessuna delle altre

la proprietà che determina l'autenticità degli accessi

x la proprietà che determina chi ha compiuto un attacco

04. Cos'è la disponibilità?

05. Cos'è la confidenzialità?

06. Cos'è l'integrità?

07. Cos'è la proprietà del non ripudio?

04. La disponibilità è la proprietà di rendere disponibili servizi a chi è autorizzato. I meccanismi atti a garantire la disponibilità devono prevenire

attacchi DoS. La disponibilità va anche oltre la sicurezza informatica dato che un servizio potrebbe non essere disponibile anche per cause diverse

(disastri naturali).

05. La confidenzialità è la proprietà che deve garantire che informazioni sensibili non siano lette da terze parti. La confidenzialità sui singoli dati

non può garantire la confidenzialità in senso lato, per questo motivo un’altra proprietà direttamente legata ad essa è la proprietà di unlinkability,

cioè la capacità di prevenire un attaccante dal correlare due eventi separati che sono logicamente collegati tra loro. Per incrementare la

confidenzialità si può ricorrere all’anonimato.

06. L’integrità è la proprietà che mira a verificare che un dato non venga modificato durante la trasmissione. In poche parole l’integrità deve

garantire che i dati inviati da una sorgente non abbiano ottenuto variazioni di alcun tipo, legate ad incidenti o azioni malevole.

07. Il non ripudio è la proprietà legata alla responsabilità e garantisce che una certa azione è stata compiuta. Ad esempio se un documento è

firmato digitalmente da un utente X, l’utente X non può dichiarare di non aver scritto quel documento.

© 2016 - 2018 Università Telematica eCampus - Data Stampa 07/06/2018 22:53:26 - 8/88

Set Domande: SICUREZZA INFORMATICA

INGEGNERIA INFORMATICA E DELL'AUTOMAZIONE

Docente: Pecori Riccardo

Lezione 007

01. Una buona interfaccia grafica è un buon criterio per la scelta di un antivirus? Perché?

02. Qual è l'errore fondamentale della sicurezza informatica?

03. Cos'è il modello a cipolla di un meccanismo di sicurezza?

01. Una buona interfaccia grafica è un buon criterio per la scelta di un antivirus perchè migliora l’esperienza d’uso dell’utente. L’antivirus deve

essere di facile utilizzo e sicuramente un’interfaccia intuitiva e semplice guida l’utente nella scelta di esso. Ovviamente anche l’esposizione dei

risultati delle scansioni può aiutare l’utente a risolvere i problemi. Ad esempio se un antivirus trova un virus, farà apparire a schermo un pop-up

che indica se leggere i dettagli, eliminare il virus o metterlo in quarantena.

02. L’errore fondamentale della sicurezza informatica ? L’errore umano. Avere mille tool di sicurezza a disposizione, utilizzare password difficili

non mette al sicuro il nostro sistema. Prima di tutto bisogna sottolineare l’importanza degli aggiornamenti dei software: ogni giorno vengono

pubblicate migliaia di vulnerabilità nuove che possono essere mitigate con l’applicazione di patch o aggiornamenti di versione (upgrade).

Ovviamente ciò non basta. Avere un perimetro “impenetrabile” non basta a garantire sicurezza. La formazione alla sicurezza è fondamentale. Se

un utente con privilegi amministrativi sul proprio pc apre un’email malevola può installare una backdoor o un malware e ciò porta sicuramente

alla compromissione del sistema. Il fattore umano è al centro della sicurezza e diventa sempre più importante dato che molti attacchi si basano

sul phishing/smishing. Educare alla sicurezza dovrebbe essere fondamentale.

03. Il modello a cipolla permette di modellare i meccanismi di sicurezza in diversi anelli. Più sono interni più sono orientati alle risorse, più sono

esterni e più sono orientati agli utenti. Il modello a cipolla parte da uno strato più esterno con le Applicazioni, poi si sposta verso l’interno con i

Servizi, Sistema Operativo, Kernel e Hardware. © 2016 - 2018 Università Telematica eCampus - Data Stampa 07/06/2018 22:53:26 - 9/88

Set Domande: SICUREZZA INFORMATICA

INGEGNERIA INFORMATICA E DELL'AUTOMAZIONE

Docente: Pecori Riccardo

07. La chiave segreta

è nota solo al mittente

è nota solo al destinatario

è nota a chiunque conosca l'algoritmo di cifratura

è nota solo alle parti che devono comunicare in maniera confidenziale

x

08. Cos'è un attacco a forza bruta?

09. Cos'è l'attacco chosen text?

10. Cos'è l'attacco known plaintext?

11. Cos'è la crittoanalisi?

12. Qual è la differenza tra cifrario a blocchi e cifrario a flusso?

08. Un brute force attack è una tipologia di attacco automatico utilizzato da un utente malintenzionato con lo scopo di individuare la chiave di

cifratura/decifratura. Solitamente più è lunga la chiave più si abbassa la probabilità di indovinarla e più aumenta il tempo necessario ad identificarla.

Questa tipologia di attacco non ha senso in alcuni casi (chiavi troppo lunghe) perchè impiegherebbe migliaia di anni.C’è da sottolineare che con

l’avvento dei quantum computer l’RSA, algoritmo utilizzato molto in ambito crittografico, risente dell’algoritmo di shor che consente di fattorizzare

numeri interi in numeri primi in un tempo che ha complessità polinomiale, il che rende tutto più semplice per un attaccante.

09. L’attacco chosen text consente ad un attaccante sia di scegliere un plaintex ed ottenere un relativo testo cifrato sia il viceversa. Ovviamente

quante più informazioni disponibili ha un attaccante più possibilità ha di scoprire la chiave segrata.

10. L’attacco known plaintext consente ad un attaccante di conoscere coppie di plaintext/cyphertext. Con questa tipologia di attacco un utente

malintenzionato cerca di scoprire la chiave analizzando le coppie di informazioni che ha a disposizione e di decifrare altri messaggi.

11. La crittoanalisi è l’insieme delle tecniche atte a testare la robustezza di un algoritmo e della chiave utilizzando provando ad estrarre/indovinare la

chiave partendo dai chipertext disponibili. Le tecniche utilizzate dipendono dalle informazioni possedute dall’attaccante. Infatti un attaccante

potrebbe non conoscere nulla, nemmeno l’algoritmo, conoscere cyphertext e algoritmo o conoscere alcuni plaintext. Per questo le teniche sono:

cyphertext only (dove il crittoanalista conosce solo il testo cifrato), known plaintext (dove il crittoanalista conosce algoritmo e una o più coppie

plaintext/cyphertext), chosen plaintext (il crittoanalista conosce algoritmo plaintext e risale al cyphertext corrispondente), chosen ciphertext

(algoritmo, ciphertext e risale al testo decriptato) e chose text (plaintext scelto e relativo ciphertext o viceversa).

12. I cifrari a blocchi e a flusso sono applicati alla crittografia simmetrica (quindi trasposizione e sostituzioni). La differenza tra i 2 è nel modo di

elabirare P, il plaintext. Infatti nel caso di cifrario a blocchi P è elaborato un blocco alla volta, mentre nel cifrario a flusso è elaborato un singolo

elemento alla volta. © 2016 - 2018 Università Telematica eCampus - Data Stampa 07/06/2018 22:53:26 - 11/88

Set Domande: SICUREZZA INFORMATICA

INGEGNERIA INFORMATICA E DELL'AUTOMAZIONE

Docente: Pecori Riccardo

Lezione 009

01. Una sostituzione

porta ogni elemento del ciphertext a corrispondere esattamente allo stesso simbolo

porta ogni elemento del plaintext ad essere sostituito con un altro elemento dello stesso alfabeto

porta ogni elemento del plaintext ad essere sostituito con un altro elemento di un altro alfabeto

nessuna delle altre

02. Data la stringa ABCD, il ciphertext corrispondente nel cifrario di Cesare è

DHJG

EDJH

DEFG

DFGH

03. Quante chiavi possibili ha il cifrario di Cesare?

26

23

24 06. La steganografia è l’arte di nascondere informazioni. Infatti il termine indica

25 appunto le parole “coperto” e “scrittura”. Mentre la crittografia ha lo scopo di

rendere un messaggio incomprensibile a chi non possegga informazioni riservate, la

steganografia nasconde l’esistenza stessa della comunicazione. Infatti si può

04. Qual è la lettera più frequente dell'alfabeto inglese? nascondere un messaggio in un’immagine o addirittura in una canzone (come accade

A anche nella serie di Mr Robot (informazioni segrete in cd MP3).

07. La sostituzione è la tecnica utilizzata nei cifrari asimmetrici e consente di

H sostituire un elemento del plaintext con un altro dello stesso alfabeto. Il cifrario di

E Cesare ne è un esempio. Infatti questo cifrario consisteva nel sostituire una lettera

dell’alfabeto con un altra (3 lettere dopo). Ad esempio la A con la D, B con E e così

I via.

05. Le tecniche di trasposizione prevedono 08. La trasposizione mira a modificare l’ordine delle lettere del plaintext. Un

esempio è dato dal rail fence in cui le lettere del plaintext sono scritte in sequenze

la modifica delle consonanti del plaintext di diagonali e poi lette in riga per ottenere un cipher text.

nessuna delle altre 09. Il cifrario di cesare è un cifrario monoalfabetico a sostituzione. La chiave infatti

la modifica delle vocali del plaintext è semplicemente la sostituzione di una lettera dell’alfabeto con un altra dello stesso

alfabeta spostata di 3. Ad esempio la lettera A del plaintext corrisponde alla lettera

la modifica dell'ordine delle lettere del plaintext D nel ciphertext. Quindi il testo cifrato C=E(3,p) = (p+3) mod26. Ovviamente è un

cifrario debole perchè