Autenticazione e Sicurezza Informatica

Introduzione al Modulo I: Sistemi Operativi

• Il modulo tratta la sicurezza nei sistemi operativi, in un corso di laurea in informatica.
• L'autore è Fabio De Gaspari, del Dipartimento di Informatica della Sapienza Università di Roma.
• Le slide sono state create da Igor Melatti.

Definizione di Sicurezza

• La sicurezza informatica, secondo il NIST (National Institute of Standards and Technology), è la protezione offerta da un sistema informatico per mantenere integrità, disponibilità e confidenzialità delle risorse del sistema stesso.

Sicurezza: La Triade

• I tre pilastri fondamentali della sicurezza sono integrità, disponibilità e confidenzialità.
• Questi tre concetti sono interconnessi e costituiscono il cuore della sicurezza informatica.

Sicurezza: Concetti Ulteriori

• Due ulteriori concetti chiave nella sicurezza informatica sono autenticità e tracciabilità (accountability).
• L'autenticità verifica l'identità di un utente, e la tracciabilità registra le attività all'interno del sistema.

Gli Obiettivi nel Dettaglio

• Integrità: i dati non devono essere modificati senza autorizzazione.
• Confidenzialità: i dati non devono essere accessibili senza autorizzazione.
• Disponibilità: i servizi devono essere disponibili senza interruzioni.
• Autenticità: gli utenti devono essere chi dichiarano di essere. Questo concetto si estende anche a messaggi e dati.

Minacce (Threats)

• L'RFC 2828 descrive quattro conseguenze delle minacce informatiche: accesso non autorizzato, imbroglio, interruzione e usurpazione.
• Tali concetti descrivono possibili minacce all'integrità, confidenzialità e disponibilità di un sistema.

Accesso non Autorizzato

• Un'entità ottiene l'accesso a dati per cui non ha autorizzazione.
• Espone la confidenzialità del sistema.
• Tipologie di attacchi includono esposizione (intenzionale o per errore), intercettazione, inferenza e intrusione.
• Un'entità malintenzionata cerca di accedere a dati non autorizzati.

Imbroglio

• Un'entità autorizzata riceve dati falsi e li considera veri.
• Attacchi tipici includono mascheramento, trojan, falsificazione e ripudio.
• Il mascheramento cerca di sostituire un utente per ottenere accesso non autorizzato.

Interruzione

• L'impedimento al normale funzionamento di un servizio.
• Minaccia all'integrità e alla disponibilità del sistema.
• Tipologie di attacchi includono incapacitazione, ostruzione, Denial of Service (DoS), corruzione e alterazione dei servizi.

Usurpazione

- Un sistema viene controllato da chi non ne ha l'autorizzazione, minacciando l'integrità del sistema.
- Gli attacchi includono appropriazione indebita e uso improprio, come botnet e virus.

Asset

• Sono le risorse di un sistema computerizzato, che includono hardware, software, dati, linee di comunicazione e reti.
• Le risorse del sistema possono essere oggetto di minacce e devono essere protette.

Ambito della Sicurezza Informatica

• Questo ambito descrive come proteggere le risorse di un sistema.
• Accesso ai dati e ai file, trasferimento dati tramite reti e protezione di accesso al centro elaborazione.

Relazione tra Asset e la Triade

• Questa sezione spiega come diversi asset (hardware, software, dati, comunicazione) influenzano i tre pilastri della sicurezza (integrità, disponibilità e confidenzialità).
• Ogni colonna evidenzia per ciascun elemento cosa succede in caso di attacco al bene specifico.

Autenticazione

• Processo di verifica dell'identità di un utente.
• Include due fasi principali: identificazione e verifica, oltre determinazione dei privilegi.

Mezzi per l'Autenticazione

• Possono essere suddivisi in tre categorie principali: qualcosa che sai, qualcosa che hai e qualcosa che sei.
• Metodi includono password, chiavi fisiche, badge RFID e metodi biometrici (retina, impronte digitali).

Un Altro Punto di Vista

• Nick Mathowson suggerisce una classificazione alternativa per i mezzi di autenticazione: qualcosa che hai dimenticato, qualcosa che avevi e qualcosa che eri.
• Questa sezione serve a rimarcare i potenziali problemi con i meccanismi di autenticazione convenzionali.

Autenticazione con Password

• Le password sono un metodo di autenticazione comune, ma è fondamentale memorizzarle in modo sicuro per evitare accessi non autorizzati.

Autenticazione con Token

• I token sono oggetti fisici utilizzati per l'autenticazione, come le memory card e le smartcard.

Memory Card

• Possono memorizzare dati, ma senza elaborarli generalmente.
• Sono spesso utilizzate per operazioni come bancomat tradizionali.

Smartcard

• Diverse tipologie di smartcard, dipendono dalle interfacce a disposizione, protocollo di autenticazione, statico o dinamico, e metodo di risposta alla richiesta.

Biometrica, Ultimi Sviluppi

• In generale, la biometria include la biometrica statica (impronta e faccia) e dinamica (scrittura a mano, voce, ritmo di battitura).

Autenticazione Biometrica Statica

• Metodi biometrici basati su caratteristiche costanti, come impronta digitale, geometria della mano, retina e iride.

Autenticazione Biometrica Dinamica

• Metodi biometrici basati su pattern che possono cambiare nel tempo. Questi includono firma, voce e ritmo di battitura.

Costo vs. Accuratezza

• Rappresenta graficamente il trade-off tra costo e accuratezza dei vari metodi biometrici.

Controllo di Accesso

• Gestione dei permessi di accesso a risorse.
• Include i tipi di controllo di accesso discrezionale, obbligatorio e basato su ruoli.

Controllo di Accesso (Discrezionale)

• Sistema in cui un subject può controllare l'accesso ad un object.

Controllo di Accesso Basato su Ruoli (RBAC)

• Meccanismo di controllo di accesso che assegna diritti agli utenti in base ai ruoli.

UNIX: Meccanismi di Protezione

• Presenta metodi di autenticazione, permessi, e altri meccanismi di protezione nel sistema operativo UNIX.

Utenze e Gruppi

• Ogni utente ha uno username e un identificatore univoco (UID).
• Ogni utente appartiene ad uno o più gruppi identificati da un identificatore di gruppo (GID).

Login

• Procedura per l'autenticazione di un utente per consentirgli di utilizzare il sistema.
• Mostra come avviene il login sui sistemi UNIX sia tramite terminale che tramite rete.

Accesso ai File

• Descrizione dei permessi di lettura, scrittura ed esecuzione per ogni file, in relazione al proprietario, al gruppo e agli altri utenti.

SETUID e STGID

• Meccanismi per assegnare privilegi speciali ad un utente, e come devono essere utilizzati con cautela per evitare attacchi.