Domande Aperte di Cybercrime 2023-2024

L©

Hash una funzione unidirezionale che trasforma un testo di qualsiasi lunghezza in una stringa di

è

lunghezza fissa, limitata e univoca. In sostanza, una particolare operazione matematica che, applicata a

un documento da firmare , ne produce un ©

impronta digitale , o "riassunto ", costituita da un numero

costante di bit, che rappresenta in modo univoco il documento originale . Questo riassunto , noto anche

come valore di hash, checksum crittografico o message digest , funge da "impronta digitale " del testo in

chiaro. La lunghezza dei valori di hash può variare a seconda degli algoritmi utilizzati. La potenza di questo

sistema si basa su tre fattori principali : l©

algoritmo restituisce sempre una stringa di lunghezza fissa ,

è

indipendentemente dalla dimensione del documento originale; l©

algoritmo non reversibile, il che significa

è

che non possibile risalire al documento originale a partire dalla stringa di hash generata; la stringa di hash

è è

teoricamente unica per ogni documento e ne costituisce un identificator . Tuttavia , importante

considerare il concetto di collisione , che rappresenta una debolezza potenziale del sistema . Per capire

meglio le collisioni generate dalle funzioni crittografiche di Hash, possiamo fare riferimento al "principio

della colombaia " (o principio dei cassetti ), secondo il quale se abbiamo un numero di oggetti (colombi )

superiore al numero di contenitori disponibili (buchi), allora almeno due oggetti dovranno condividere lo

è

stesso contenitore . Nel contesto degli hash , questo si traduce nel fatto che se il numero di messaggi

superiore al numero di possibili hash code , allora almeno due messaggi dovranno essere associati allo

stesso hash code, compromettendo così l©

unicità dell©

identificatore . Per quanto riguarda la sicurezza degli

è

algoritmi di hash, l©

attenzione si concentrata soprattutto sulle tecniche di rilevamento delle collisioni .

è

Trovare una collisione più semplice di quanto si possa pensare , grazie al cosiddetto "paradosso del

compleanno". Questo paradosso deriva dal fatto che la probabilità che due persone in un gruppo compiano

è

gli anni lo stesso giorno sorprendentemente alta anche con un numero relativamente basso di persone.

In ambito crittografico, si utilizza il paradosso del compleanno per indicare la necessità che le funzioni hash

crittografiche abbiano una forte resistenza alle collisioni, ovvero che sia estremamente difficile trovare due

messaggi diversi con lo stesso hash code. lOMoARcPSD|16274857

Lezione 006

02. Prendendo spunto dallo schema riportato nell'immagine di seguito, descrivere la logica di funzionamento

della cosidde琀琀a HMAC (Hash-based Message Authen琀椀ca琀椀on), tecnica basata sulle funzioni cri琀琀ogra昀椀che di

Hash; indicare i mo琀椀vi per cui HMAC è in grado di garan琀椀re integrità e auten琀椀cità dei 昀椀le ma non la loro

riservatezza e non ripudiabilità. è

Assicurare la sicurezza dei documenti un requisito fondamentale per qualsiasi tipo di organizzazione o

attività . In determinate circostanze , per garantire la gestione e la trasmissione sicura di documenti e

informazioni , si ricorre all©

utilizzo di HMAC (Keyed -Hash Message Authentication Code ). Si tratta di un

metodo utilizzato per autenticare i messaggi , garantendo sia l©

autenticità che l©

integrità di un dato

messaggio, al fine di assicurarsi che non sia stato alterato o manipolato in alcun modo. L©

HMAC si basa sull©

utilizzo di una funzione di hash, ampiamente impiegata in diversi ambiti della sicurezza informatica. Questa

funzione trasforma una stringa di lunghezza variabile in una stringa di lunghezza fissa predefinita , agendo

in pratica come un codice che permette di ottenere il messaggio originale dalla stringa generata dalla

funzione. La peculiarità dell©

HMAC sta nel fatto di non essere vincolato a una specifica funzione di hash, il

è

che consente di sostituirla secondo le necessità. Una delle possibili applicazioni dell©

HMAC la marcatura

elettronica dei documenti , in quanto assicura la corrispondenza tra un documento amministrativo

informatico originale e la sua controparte cartacea . Nel contesto della comunicazione tra Alessandro ed

Armando , le funzioni MAC (Message Authentication Code ) non solo proteggono l©

integrità del file, ma

garantiscono anche la sua autenticità in modo simile alla firma digitale . Tuttavia , a differenza di quest ©

ultima, dove il mittente firma il messaggio criptandolo con la crittografia asimmetrica tramite la sua chiave

privata , e gli altri devono utilizzare la chiave pubblica del mittente per verificarlo , la funzione HMAC

prevede che la "firma" venga apposta utilizzando una chiave segreta condivisa tra mittente e destinatario.

è

Ciò significa che il destinatario può essere sicuro che il file stato inviato dal mittente , ma a differenza

è

della firma digitale, non può garantire la "non ripudiabilità". Questo perché la chiave nota sia al mittente

è

che al destinatario , consentendo a ciascuno di loro di negare la paternità del file, affermando che stata

dell ©

altro . Inoltre , la funzione HMAC non garantisce la riservatezza della comunicazione , poiché il file

inviato da Alessandro ad Armando viaggia in chiaro.

Lezione 007

05. Due aspe琀� che vanno assolutamente salvaguarda琀椀 nell'ambito della Sicurezza Informa琀椀ca sono

l'auten琀椀cità e la non ripudiabilità dei da琀椀. Entrambi a昀昀eriscono al tema della reale iden琀椀tà dei sogge琀� che si

scambiano da琀椀 (ad esempio inviandosi dei 昀椀le); ma c'è una sostanziale di昀昀erenza tra i due aspe琀�, di cui tener

conto quando si analizzano le diverse tecniche per garan琀椀re la protezione delle informazioni. Qual'è la

di昀昀erenza tra auten琀椀cità e non ripudiabilità?

Per autenticità si intende la verifica dell ©

effettiva provenienza del file, al fine di avere la certezza dell ©

è

identità reale di chi ha originato l©

invio del documento . Questo cruciale per garantire che non vi sia

manipolazione da parte di un potenziale aggressore che cerca di inviare file per scopi fraudolenti, fingendo

di essere qualcun altro, al fine di assumere falsamente l©

identità digitale di un©

altra persona.

La non ripudiabilità , invece, garantisce che i partecipanti a una determinata comunicazione non possano

negare il loro coinvolgimento . In particolare , il mittente non può negare di aver inviato il file o il suo

contenuto , mentre il destinatario non può negare di aver ricevuto il file o il suo contenuto . In sostanza , l©

è

autenticità garantisce al destinatario che il mittente effettivamente colui che ha inviato il file, ma non

fornisce le prove concrete per dimostrarlo.

Per esemplificare , immaginiamo che Luca e Fabio abbiano condiviso una chiave di cifratura nota solo a

è

loro due. Se Luca invia un file cifrato con quella chiave , Fabio può essere certo che il mittente Luca (

autenticità). lOMoARcPSD|16274857

Lezione 008

03. Se un a琀琀accante riuscisse ad accedere abusivamente ad un sistema informa琀椀co, le conseguenze in termini

di compromissione della riservatezza e dell'integrità dei da琀椀 sarebbero pesan琀椀ssime; occorre quindi

prevedere opportune poli琀椀che di sicurezza al 昀椀ne di proteggere i sistemi dagli a琀琀acchi esterni che mirano ad

accedervi illegalmente. Quando una en琀椀tà esterna (persone 昀椀siche, disposi琀椀vi hardware o programmi

so昀琀ware) richiede l’accesso al sistema, esistono speci昀椀ci meccanismi di sicurezza che si occupano delle fasi

di: l iden琀椀昀椀cazione; l auten琀椀cazione; l autorizzazione. Descrivere brevemente cosa si intende per

iden琀椀昀椀cazione, auten琀椀cazione e autorizzazione, evidenziando quali sono gli obie琀�vi di ognuna delle fasi ed

in cosa di昀昀eriscono tra loro. è

Immaginiamo che un utente desideri accedere al proprio account Google . Google un esempio pertinente

è

in quanto il suo processo di login articolato in diverse fasi ben definite . Ecco come avviene su Google :

Identificazione : Inizialmente , il sistema richiede un login. L©

utente fornisce un nome utente e il sistema lo

riconosce come utente valido.

Autenticazione : Successivamente , Google richiede la password . Se la password inserita corrisponde a

quella memorizzata , il sistema conferma che l©

utente sembra essere autentico . In alcuni casi, potrebbe

essere richiesta un©

autenticazione a due fattori, dove Google chiede un codice di verifica unico tramite SMS

o un©

applicazione dedicata . Se l©

utente fornisce correttamente anche questo codice, il sistema riconosce

infine che si tratta del vero proprietario dell©

account.

Autorizzazione : Infine , il sistema concede all©

utente il permesso di accedere ai messaggi nella propria

è

casella di posta in arrivo e ad altre funzionalità. Questo un atto di autorizzazione.

È è

importante notare che l©

autenticazione senza previa identificazione priva di significato: sarebbe inutile

È

iniziare a controllare l©

accesso senza sapere prima chi sta cercando di accedere . necessario stabilire l©

identità prima di procedere . Allo stesso modo, l©

identificazione senza autenticazione sarebbe inefficace .

Qualsiasi utente potrebbe inserire un qualsiasi nome utente esistente nel database, ma il sistema richiede

la password per confermare l©

autenticità. Tuttavia, qualcuno potrebbe riuscire ad indovinare la password o

È

ottenere accesso in modo non autorizzato . quindi preferibile richiedere ulteriori prove che solo il

legittimo utente può fornire, come un codice di verifica unico. è è

Tuttavia, l©

autorizzazione senza identificazione, e ancor più senza autenticazione, possibile. Ad esempio,

possibile concedere l©

accesso pubblico a un documento su Google Drive, rendendolo disponibile a chiunque

è

. In questo caso, potreste ricevere una notifica che indica che il vostro documento stato visualizzato da un

è

"utente anonimo". Anche se l©

utente anonimo, il sistema lo ha autorizzato, consentendogli di visualizzare

il documento. Tuttavia, se aveste concesso l©

accesso solo a determinati utenti, un utente anonimo avrebbe

dovuto identificarsi (fornendo il proprio login) e superare la fase di autenticazione (inserendo la password e

un codice di