Sicurezza della Posta Elettronica - Appunti

Sicurezza della posta elettronica

Introduzione

Oggi giorno uno dei mezzi più conosciuti e diffusi per la comunicazione è quello della posta elettronica. Questo servizio è nato, come tutti i sistemi di comunicazione umana, con l’intento di semplificare il sistema di comunicare in tutto il mondo, renderlo più efficiente e produttivo, libero e semplice da usare. D’altra parte, anche la posta elettronica è divenuta oggetto di un’infinità di usi illeciti ai quali si è dovuto porre rimedio. Si sente comunemente parlare di spam, di sniffing, e, in tutte queste attività illecite, la posta elettronica è il mezzo in cui, in parte, queste attività vengono compiute.

Il sistema di posta elettronica

L’e-mail (Electronic Mail) è un servizio internet grazie al quale ogni utente può inviare e ricevere messaggi. Ciascun utente può possedere una o più caselle di posta elettronica, sulle quali riceve messaggi che vengono conservati. A ciascuna casella sono associati uno o più indirizzi di posta elettronica; questi hanno la forma nomeutente@dominio, dove nomeutente è un nome scelto dall'utente o dall'amministratore del server, che identifica in maniera univoca un utente (o un gruppo di utenti), e dominio è il nome del server DNS, che si occupa dell’invio e della ricezione dei messaggi.

I componenti fondamentali del sistema di posta elettronica sono:

• I client (detti Mail User Agent), utilizzati per accedere ad una casella di posta elettronica e per inviare messaggi.
• I server, che svolgono due funzioni fondamentali: immagazzinare i messaggi per uno o più utenti, e ricevere i messaggi in arrivo ed in partenza e smistarli.

L’SMTP (Simple Mail Transfer Protocol) è il protocollo standard per la trasmissione via internet di e-mail. È un protocollo relativamente semplice, in forma testuale, nel quale vengono specificati, verificata la loro esistenza, uno o più destinatari di un messaggio, per poi in seguito inviarlo. SMTP è un protocollo che permette soltanto di inviare messaggi di posta, ma non di richiederli ad un server: per fare questo il client di posta deve usare altri protocolli, quali il POP3 (Post Office Protocol) e l'IMAP (Internet Message Access Protocol).

E-mail sicure

Lo standard di sicurezza ISO stabilisce che affinché il sistema di posta elettronica sia sicuro, deve possedere i seguenti requisiti:

• Riservatezza, ovvero la protezione della privacy.
• Integrità, cioè la certezza che i messaggi non siano modificati durante il trasporto.
• Disponibilità, risorse e servizi devono essere protetti da interruzioni non autorizzate.
• Autenticità, cioè il destinatario deve poter verificare l’identità del mittente.
• Non ripudio, ovvero il mittente di un messaggio non può negare di averlo inviato.

Purtroppo nella realtà la posta elettronica non risponde a questi requisiti, in quanto:

• I messaggi sono trasmessi in chiaro.
• Il messaggio può essere modificato durante il percorso.
• Nessuno può assicurare che un messaggio venga effettivamente ricevuto dal destinatario.
• La falsificazione del mittente è alla portata di chiunque.
• È difficile poter dimostrare che un messaggio sia stato effettivamente inviato da quel mittente.

Cominciamo ad esaminare i rischi sulla sicurezza a partire dalla richiesta più importante: la riservatezza.

Intercettazione di una e-mail

La posta elettronica è soggetta agli stessi rischi di intercettazione come accade per altri spostamenti nella rete: nel momento in cui un’e-mail transita in rete può essere aperta e dunque letta da ogni intercettatore.

Lo sniffing è un’operazione di intercettazione passiva dei dati che viaggiano attraverso una rete di comunicazione. Tale attività può essere svolta per scopi legittimi (ad esempio l’individuazione di problemi di connessione) ma anche per scopi illeciti (intercettazione di password o altri dati sensibili). I prodotti software utilizzati per eseguire queste attività vengono detti sniffer (talora posizionati illecitamente su un sistema di proprietà di un utente inconsapevole) ed oltre ad intercettare e memorizzare il traffico offrono funzionalità di analisi del traffico stesso, in modo del tutto trasparente.

Il modo più semplice per ottenere l’importante requisito della riservatezza durante l’invio di e-mail è l’utilizzo di programmi di crittografia. L’algoritmo di cifratura con chiave simmetrica (come...