Sicurezza delle reti informatiche: come, dove e perchè

Sicurezza delle reti informatiche: come, dove e perchè F.Baiardi *, S.Suin+, C.Telmon* *Dipartimento di Informatica, +Centro SerRA Università di Pisa

Sicurezza Informatica UniPI • corso Sicurezza delle Reti -DU in Informatica • progetto Credits • corsi specialistici • sviluppo di software per sicurezza • proxy sicuro • firewall kit • autorità di certificazione in Java

I temi trattati oggi • I punti critici di una rete informatica • come individuarli • Gli strumenti per attaccare • come violare i punti critici • Gli strumenti per difendersi dagli attacchi • come rafforzare il sistema

Politiche di sicurezza • la definizione della politica di sicurezza non può che partire da una analisi dei rischi • l’analisi dei rischi deve individuare i punti critici • criticità = ridotta robustezza

Robustezza Informatica • robustezza di un componente = capacità di non danneggiare il sistema in cui è inserito quando vengono violate le specifiche del componente stesso • violazione delle specifiche = • input diversi da quelli specificati, • risorse diverse da quelle specificate

Robustezza Informatica • è una proprietà diversa da correttezza, efficienza, facilità d’uso, .... • è in contrasto con efficienza e facilità d’uso, può aumentare solo a spese di queste due proprietà No Free Lunch Theorem

Robustezza Informatica Un programma per il calcolo degli stipendi che dato un nome restituisce lo stipendio - corretto se calcola lo stipendio esatto - efficiente se impiega poco tempo - facile da usare se addestramento è breve - robusto ????

Robusto .... • nome sbagliato • nome non esistente • allocata meno memoria di quella necessaria • file con nomi non esistente • file con qualifiche non esistente • disco non esistente ....

Quanto robusto .... • è estremamente difficile prevedere tutte le possibili violazioni delle specifiche • robustezza non è una proprietà 0/1 • misura di robustezza = associare ad ogni componente un valore da 0 a 1 • 1 è valore asintotico

Quanto robusto 1 Robustezza Numero dei controlli

Quanto robusto • valore dipende dai controlli che il componente esegue sul proprio ambiente • robustezza tende ad 1 al tendere ad infinito dei controlli • normalmente i controlli sono inutili, ciò limita il numero dei controlli possibili senza danneggiare le prestazioni

Robustezza • è stato provato come controlli anche banali siano in grado di rilevare numerose situazioni anomale • quindi è bene eseguire controlli sofisticati solo dopo quelli semplici • i controlli più significativi sono quelli sull’uso dei dati coerenti con i tipi dichiarati

Robustezza è inutile cercare di essere impenetrabili occorre essere costosi (tempo e danaro ) da penetrare

Sistema Robusto ... • la robustezza di un sistema nasce dalla robustezza dei suoi componenti • è inutile costruire sistemi ove componenti robusti interagiscono con componenti poco robusti • criticità dei sistemi operativi e dei linguaggi di programmazione per la robustezza

Robustezza Globale ... Applicazioni Sistema Operativo Hardware • è inutile, e dannoso, costruire applicazioni robuste su sistemi non robusti è inutile costruire utilizzare la crittografia su sistemi in cui è facile rubare la chiave

Robustezza globale ... • la situazione può essere ancora più critica nel caso di linguaggi di programmazione • un linguaggio poco robusto inficia tutte le applicazioni sviluppate con quel linguaggio un linguaggio con operazioni sui vettori non controllate non può essere robusto

Robustezza globale • esistono molti attacchi a cui sono soggette tutte le applicazioni sviluppate in C • tutti questi attacchi sono possibili perchè il C non controlla che • le operazioni sui dati siano coerenti con il tipo dichiarato • le operazioni sui vettori rispettino i limiti dichiarati per il vettore stesso

Come valutare la robustezza • Caso di interesse : un componente condiviso di un sistema che definisce un insieme di operazioni • le operazioni possono essere invocate da “utenti” che condividono il componente • le operazioni sono fisse ma gli utenti possono variare

Valutazione: primo criterio • esiste una struttura dati che rappresenta i diritti degli utenti sul componente • diritto = operazioni che utente può invocare • assenza di informazioni deve essere interpretata come un divieto • la struttura o è interna al componente o è utilizzata dal sistema operativo

Valutazione: primo criterio • struttura dati complessiva = matrice di protezione • soggetto = può invocare una operazione = utente o altro componente • oggetto = un componente condiviso • controllo degli accessi = controllo dei diritti dei soggetti sugli oggetti

Matrice di protezione oggetti soggetti

Matrice di protezione • i controlli sono eseguiti ogni volta che un soggetto invoca una operazione • riga della matrice = dominio di protezione di un soggetto • non può esistere robustezza senza una qualche rappresentazione di questa struttura • domini non gerarchici

Matrice di protezione • nel caso in cui gli oggetti siano i file di un server ed i soggetti siano gli utenti del server stesso sono necessarie da 10 a 15 ore per rappresentare correttamente la matrice di protezione (stima NSA) • in questo caso i diritti sono semplicemente lettura, scrittura ed esecuzione

Matrice di protezione • sorge il problema della identificazione di un soggetto • password • crittografia • uso di certificati e firma elettronica • ....

Matrice di protezione non sempre questo criterio è applicabile perchè non tutte le risorse sono sotto il controllo del sistema ad esempio non è possibile garantire che nessuno stia monitorando il traffico sulle linee fisiche crittografia

Domini di protezione • è fondamentale poter associare un dominio di protezione ad ogni applicazione • il rispetto del dominio deve essere garantito dal sistema operativo del/dei nodi dove essa è eseguita • questo mandatory access control si affianca a quello dell’applicazione stesso

Tre politiche per la robustezza • il primo criterio evidenzia tre politiche che sono fondamentali per la robustezza • controlli nell’accesso agli oggetti • controlli di identificazione • politiche di crittografia • per l’identificazione dei soggetti • per la confidenzialità dei dati

Valutazione: secondo criterio • per rispecchiare l’avanzamento della computazione i diritti (e quindi la matrice) variano dinamicamente • occorre minimizzare il dominio corrente di ogni soggetto • al diminuire del dominio aumenta la capacità di rilevare comportamenti anomali

Valutazione: secondo criterio • in teoria occorre modificare la matrice per ogni istruzione eseguita • ovviamente questo produce un sistema robusto ma inutile • una granularità più ragionevole è quella delle procedure o dei metodi

Valutazione: secondo criterio • il criterio sottolinea l’importanza di eliminare le funzionalità non necessarie • generalizzazione = la regola KISS Keep è più semplice garantire la It robustezza di un sistema semplice Simple Stupid non si attacca quel che non esiste

Valutazione: secondo criterio • separare i componenti critici dal punto di vista della robustezza dagli altri • possibile aumentare i controlli nei componenti critici per la robustezza • un codice che deve essere commentato è troppo complesso per essere robusto

Valutazione: terzo criterio • non deve essere possibile violare i controlli operando ad un livello diverso da quello considerato • ciò avviene tipicamente se è possibile utilizzare nella stessa applicazione due linguaggi di programmazione con caratteristiche diverse (linguaggio ad alto livello e assembler)

Sistema Robusto Applicazioni Sistema Operativo Assembler Firmware Hardware

Valutazione: quarto criterio • la robustezza aumenta se lo stesso controllo viene ripetuto in componenti diversi • ad esempio il possesso di un diritto viene controllato prima nell’invocante e poi nell’invocato • evitare i punti di caduta catastrofica = sandbox di Java, firewall, ...

Come utilizzare i criteri • un uso paranoico dei criteri può portare a sistemi robusti ma inutilizzabili • questo non sembra comunque un rischio a breve termine • attualmente un pizzico di paranoia non può che essere utile e produttivo

Come utilizzare i criteri • individuare i componenti critici • inserire tutti i controlli che non riducono le prestazioni di tali componenti • spesso il controllo può essere inserito in componenti che interagiscono con quelli ad elevata criticità • bilanciamento del carico • rilevazione veloce di violazioni

Come utilizzare i criteri • stabilire la probabilità di attacco ad ogni punto • aumentare la robustezza di un punto in maniera proporzionale agli attacchi • non comprare un firewall poco robusto • a firewall is a replacement of the unsecurity of the network host (S.Bellovin)

Sicurezza delle reti informatiche: come, dove e perchè