Riassunto esame Information Communication Technology (ICT), testo consigliato Tecnologie e innovazione nei mercati digitali, Valacich, Schneider,Carignani, Longo, Negri

ETICA DIGITALE (SICUREZZA INFORMATICA)

Etica digitale = filone che studia i problemi legati ai temi etici e alla tecnologia (sicurezza,

privacy, cyber bullismo, fake news, riservatezza della vita privata, cyber ricatti, cyber terrorismo).

Studia come cambiano fenomeni legati a temi etici grazie/per colpa delle nuove tecnologie.

La sicurezza assoluta non esiste, quindi qualsiasi tentativo di cercarla nel mondo digitale è vano; anche il

concetto di privacy assoluta non esiste.

Nel mondo fisico quando ci si trova davanti ad un pericolo si analizza il rischio e si mettono in atto le misure per

mitigare adeguatamente quel rischio --> non si azzera il rischio, si mitiga solamente.

Nel mondo dell'etica digitale il problema è che l'utente medio non conosce i rischi del mondo digitale e quando li

conosce non sa quali sono gli strumenti adeguati per mitigarli. Il più delle volte il rischio è sovrastimato o sottostimato:

la comunità di utenti deve essere educata ad un uso più consapevole del mondo digitale.

Le minacce alla sicurezza dei sistemi informativi sono molteplici: errori e incidenti, calamità naturali, rivolte e atti di

terrorismo, crimini computerizzati. I responsabili di tali danni sono: dipendenti, utenti esterni, hacker e cracker (o black

hat hacker). Minacce in ambito business

Minacce generiche Danni all'immagine e alla reputazione, perdita di dati

riservati/di proprietà intellettuale, danni a terze parti,

Malware, applicazioni di terze parti non frodi, minore produttività dei collaboratori. Le aziende

trusted, spam, phishing, furto d'identità, danni spesso vietano l'associazione del nome dei dipendenti al

alla privacy, diffamazione, stalking nome dell'azienda, perché un post pubblicato a nome

dell'utente danneggia nome e immagine aziendali

Gli hacker violano i sistemi informativi per passione e per visibilità, mentre i cracker li violano per fini di lucro e dolo.

Non esistono sistemi più sicuri degli altri, la differenza è che Windows viene attaccato di più dagli hacker perché è più

diffuso e permette di avere maggiore visibilità. Uno dei worm più famosi è "I love you", che ha raggiunto 60% dei

sistemi Windows.

= Malicious + Software. Software creato per danneggiare il computer su cui viene eseguito. La modalità di

Malware divulgazione più diffusa è tramite Internet e lo scaricamento di contenuti. Esistono diverse tipologie di

Virus. Un Virus è un software indipendente che attacca il sistema.

- Worm = pezzetti di software che si legano a software esistenti, non possono funzionare senza un

software esistente a cui legarsi; prende il controllo di qualcosa che c'è sul pc e lo fanno funzionare in

modo errato

- Trojan è usato per attaccare i sistemi, idea di entrare di nascosto ed agire dall'interno; può essere in

qualsiasi programma o app scaricata, rimanere nascosto/dormiente fino a che viene attivato dagli hacker

per compiere crimini informatici

- Spyware. Sniffing e Spoofing sono le due maggiori modalità di attacco informatico. Sniffing =

"sniffare"/studiare i dati in entrata e in uscita da un sistema per poi attaccarlo. Spoofing= un pirata

informatico si sostituisce ad un utente; una forma è il furto di identità

La principale frode online

Il phising

I pirati informatici (tipicamente tramite l'invio Il cracker manda un'altra mail ad un altro utente

di mail ingannevoli --> utilizzando una tecnica con la promessa di guadagnare 2000 euro in un

di spoofing) provano a sostituirsi ad una entità pomeriggio (riceve dei soldi sul suo conto, li deve

riconosciuta (Poste Italiane, Apple) e fanno prelevare e mettere su un conto Union Western?).

credere all'utente attaccato qualcosa di non Il cracker preleva i soldi dall'account di cui ha

vero, es. che l'account è stato violato o rubato le credenziali e li gira sul conto del

cambiare la password --> ottenere secondo utente --> il bonifico è fatto sul conto del

informazioni sensibili, numeri di carta di secondo utente e il cracker può fuggire con i soldi

credito, credenziali del conto corrente bancario

Strumenti mitiganti: il buon senso (no lingua scorretta da Poste Italiane,

no guadagnare 2000 euro in un pomeriggio), controllare https e indirizzo mail

Negazione di servizio (Distribued Denial of Service DDoS) = attacco di un hacker finalizzato a bloccare un sito.

Per fare ciò gli hacker utilizzano dei complici inconsapevoli, cioè utenti che navigando sulla Rete scaricano un

trojan silente sul pc; il trojan viene attivato al momento dell'attacco, non fa danni al pc, ma blocca il sito.

Ogni giorno vengono creati migliaia di malware dagli hacker, sono 10 quelli che fanno il 27% totale dei danni maggiori

--> continuo aggiornamento degli antivirus. I crimini computerizzati non sono più solo i pc, ma anche gli smartphone e i

social network. Il trend Internet of Things ha portato alla creazione di virus per gli oggetti collegati ad Internet (è stato

creato un virus per il microonde). Modalità di gestione della sicurezza:

Integrità dei dati e

Identificazione e Riservatezza dei sistemi

controllo degli accessi Identificazione e controllo degli accessi

La maggior parte degli accessi ai dati personali su Internet è protetto da un meccanismo di

autenticazione/accreditamento, la maggior parte delle volte composto da username e password. La minaccia potenziale

è che qualcuno possa ottenere le credenziali di accesso --> precauzioni: password solide (minimo 8 caratteri), diverse

per ogni sito, non scrivere le password in giro, cambiarle spesso.

Il meccanismo di autenticazione username-password è un sistema di autenticazione intangibile, cioè basato su qualcosa

che l'utente sa; per questo è più facile scoprire le credenziali. Esistono altri meccanismi di accreditamento, es tangibile o

misto che sono basati su qualcosa che l'utente possiede (es il bancomat, bisogna avere sia il pin che il bancomat). I

meccanismi di accreditamento biometrici sono basati su qualcosa dell'utente (riconoscimento dell'iride, del DNA,

dell'impronta digitale) --> forme sofisticate e più sicure, ma non sicurezza assoluta. Le aziende per proteggersi hanno

anche un firewall, che fa da tramite tra il pc dell'utente e il server dell'azienda. Il firewall ha lo scopo di bloccare le

minacce, controlla gli accessi, è in mezzo ad una Rete sicura (dell'azienda) e un utente potenzialmente dannoso, per far

passare solamente quello che è permesso e non quello che è dannoso. I CAPTCHA e IBOOT sono altri strumenti di

protezione Riservatezza

Il rischio della sicurezza su Internet è mitigato dal fatto che i dati viaggiano a pacchetti, l'area di rischio è tra il proprio

device e l'Internet Service Provider. Il problema è risolto dall'utilizzo delle tecniche di crittografia.

La crittografia è il processo di trasformazione di dati da dati visibili a dati illeggibili, che

avviene tramite algoritmi matematici. La crittografia è stata inventata molto prima di Internet

Un sistema di crittografia è composto da:

un alfabeto --> alfabeto binario, cioè sequenze di 0 e 1

un algoritmo di crittografia --> sistema di equazioni complesse

una chiave di crittografia --> la chiave di crittografia è una sequenza di 1056 bit

Tutti i dati escono dal pc criptati e chiunque intercetti quel messaggio non può decriptare il messaggio se non

elaborandoli con un pc per circa 30 anni. La cia riesce a decriptare i dati in qualche ora --> se il rischio è quello che mi

rubino il numero di carta di credito, la crittografia come mezzo di protezione è già sovradimensionato.

I sistemi di crittografia possono essere:

simmetrici o a chiave privata

•

L'utente A cripta un messaggio con una chiave privata, l'utente B lo decripta perché conosce la chiave privata di A. Nel

mondo Internet questo sistema ha un duplice problema:

1. dovrei scambiare in un momento precedente la chiave privata nel mondo fisico in quanto Internet non è sicuro

2. questo sistema richiede un numero di chiavi estremamente elevato, una chiave per ogni coppia di utenti: dati

N utenti, il numero di chiavi necessarie è N x (N-1)/2

asimmetrici o a chiave pubblica

•

Ogni utente del sistema ha due chiavi, una privata e una pubblica. Chi scrive usa la chiave pubblica per criptare il

messaggio e solamente l'utente, che ha la chiave privata, può decriptarlo. Questo riduce il numero delle chiavi e il

problema dello scambio preliminare delle chiavi. L'utente A manda un messaggio a B, lo cripta con la chiave pubblica, B

riceve il messaggio e lo decripta con la rispettiva chiave privata. La chiave pubblica può solo criptare il messaggio,

mentre la chiave privata può solamente decriptare il messaggio. Per capire se i dati che vengono trasmessi da un sito

sono criptati bisogna accertarsi che ci sia il lucchetto chiuso e che ci sia https --> il browser è andato su un elenco di

chiavi pubbliche e ha individuato quella di Amazon, i dati vengono così criptati con la chiave pubblica di Amazon e

l'unico che può decriptare i dati è Amazon con la rispettiva chiave privata. La chiave pubblica è composta da una

sequenza di 2048 bit: il livello di sicurezza è altissimo. Https = sto usando un sistema di crittografia a chiave

asimmetrica. Ogni browser ha una chiave privata e una chiave pubblica, ma gli utenti solitamente inviano dati sensibili e

non ricevono dati che devono essere protetti. Il problema sarebbe se l'hacker rubasse la chiave privata. Il rischio deriva

dal comportamento irresponsabile delle persone: non controllano https, danno password via mail. Questi comportamenti

derivano dall'inconsapevolezza. Il numero delle chiavi necessarie è 2N, dove N è il numero degli utenti. SSL utilizza la

crittografia a chiave pubblica, implementando il protocollo HTTPS (Secure http)

DRM = "Digital Rights Management" I pagamenti online

Pagando con la carta di credito o la carta di debito/prepagata si è nel sistema protetto a chiave pubblica appena descritto.

Secondo una legge una transazione con carta di credito è valida solo se c'è la firma dell'utente --> le

transazioni online in realtà sono nulle --> l'utente ha il diritto di ripudiare qualsiasi operazione, di

annullare la transazione e di avere indietro i soldi. Si chiama operazione di charge back. Con la carta di

Carta di credito credito sono a rischio i venditori. Con una sola telefonata alla banca la transazione viene bloccata e

annullata

Il sistema di carta prepagata non tutela l'utente, ma tutela il venditore; è fondata sulla paura

dell'utente di pagare online e del furto di soldi. Sulle carte prepagate la scritta "Electr