Scarica Controllo degli Accessi: Politiche, Modelli e Architetture di Riferimento - Prof. Armando e più Appunti in PDF di Sicurezza Dei Sistemi Informativi solo su Docsity!
Controllo Degli Accessi
La sicurezza informatica persegue gli obiettivi di Confidenzialità, Integrità e Disponibilità (CIA). Sebbene la crittografia sia uno strumento potente per garantire confidenzialità e integrità, specialmente per i dati in transito (es. traffico di rete) o a
riposo (es. file cifrati), essa risulta meno adatta per controllare le azioni che i processi
possono eseguire su dati e altri processi all'interno di un sistema operativo. Per questo scopo, entra in gioco il Controllo degli Accessi (Access Control).
Politiche e modelli
La gestione del controllo degli accessi si articola su tre livelli concettuali:
Politica di Sicurezza (Security Policy): Definisce cosa è permesso e cosa
non lo è. È un insieme di regole di alto livello che specificano le restrizioni di accesso tra soggetti (entità attive, es. utenti, processi) e oggetti (risorse passive, es. file, dati, processi). Esempi includono regole per studenti in un sistema universitario, clienti in e-banking o gestione della privacy dei dati personali; Modello di Sicurezza (Security Model): Fornisce una rappresentazione
formale o semi-formale di una politica (o famiglia di politiche). Traduce le regole
astratte in costrutti più precisi; Meccanismo di Sicurezza (Security Mechanism): È l'implementazione
concreta (hardware/software) che impone i controlli definiti dalla politica e
formalizzati dal modello.
Classificazione delle Politiche
Le politiche di controllo degli accessi si dividono principalmente in: Discretionary Access Control (DAC): Il controllo si basa sull'identità del richiedente e su regole che specificano chi può fare cosa. Tipicamente, il proprietario di una risorsa ha la discrezione di concedere o revocare accessi. Mandatory Access Control (MAC): Il controllo si basa su regolamenti imposti da un'autorità centrale, spesso utilizzando etichette di sicurezza (security labels) per soggetti e oggetti. L'accesso non è a discrezione dei singoli utenti. Role-Based Access Control (RBAC): Il controllo si basa sui ruoli assegnati agli utenti all'interno di un'organizzazione e sulle permissioni associate a tali ruoli.
Architettura di Riferimento e Reference Monitor
Un sistema di controllo degli accessi tipicamente presuppone che l'identità dell'utente sia stata verificata (autenticazione). Ogni richiesta di accesso a un oggetto da parte di un soggetto deve passare attraverso un componente logico fidato chiamato Reference Monitor. Per essere efficace, il Reference Monitor deve avere le seguenti proprietà: Tamper-proof: Non deve essere alterabile.
Non-bypassable: Deve mediare tutti gli accessi.
Verificabile: Deve essere sufficientemente piccolo e semplice da poter essere analizzato rigorosamente (spesso implementato come parte del Security Kernel ).
Statto di Protezione e sicurezza del Sistema
Lo stato di protezione di un sistema è l'insieme delle informazioni correnti rilevanti per la sicurezza (es. permessi sui file, stato del firewall, stack di esecuzione). Una politica di sicurezza partiziona lo spazio di tutti i possibili stati del sistema in stati autorizzati (sicuri) e stati non autorizzati (insicuri). Un sistema è considerato sicuro se parte da uno stato autorizzato e tutti i suoi meccanismi garantiscono che non possa mai transitare in uno stato non autorizzato. Discretinary Access Control (DAC) Il DAC si basa sul concetto che gli utenti "possiedono" le risorse e possono decidere chi vi accede. Vantaggi: Flessibilità. Svantaggi: Vulnerabile a errori, negligenza o abusi da parte degli utenti. Richiede che gli utenti comprendano la politica e i meccanismi. È particolarmente suscettibile ai Trojan Horse : programmi malevoli che sfruttano i permessi dell'utente che li esegue a sua insaputa.
revoca dei permessi e nell'ottenere una visione d'insieme dei permessi su un oggetto. Trova applicazione in sistemi distribuiti. Esempio DAC: Linux Utilizza ACL semplificate con permessi di lettura (r), scrittura (w) ed esecuzione (x) per owner, group e other. setuid/setgid bits: Meccanismo speciale per i file eseguibili. Se impostato, quando un utente esegue il file, il processo assume temporaneamente l'identità (e i privilegi) dell'owner (setuid) o del gruppo (setgid) del file. Utile per consentire azioni privilegiate limitate (es. cambiare la propria password, che richiede la modifica di un file di sistema) , ma storicamente fonte di molte vulnerabilità se non usato correttamente.
Problema dei Trojan Horse nel DAC
Il DAC tratta utenti e processi (soggetti) allo stesso modo: un processo eredita tutti i permessi dell'utente che lo ha avviato. Un programma apparentemente innocuo (es. un editor) potrebbe contenere codice nascosto (Trojan Horse) che abusa dei permessi dell'utente (es. leggere un file privato e copiarlo in un file accessibile all'attaccante)
all'insaputa dell'utente. Il DAC non controlla il flusso di informazioni dopo che un
accesso iniziale è stato concesso. Mandatory Access Control (MAC) Il MAC affronta le debolezze del DAC imponendo regole di accesso a livello di sistema, non a discrezione dei singoli utenti. Le decisioni si basano sul confronto tra etichette di sicurezza (security labels) associate a soggetti e oggetti. Vantaggi: Più rigido e sicuro del DAC, resistente ai Trojan Horse per quanto riguarda le regole MAC. Contesto: Sviluppato originariamente in ambito militare/governativo.
Livelli di Sicurezza e Lattici
I livelli di sicurezza spesso non hanno un ordine totale, ma formano un ordine parziale , specificamente un reticolo (lattice). Un reticolo ( L ,≤ )garantisce che per ogni coppia di livelli a , b ∈ L , esistano sempre un least upper bound (lub) e un greatest lower bound (glb). Questo è utile per determinare il livello necessario per accedere a più oggetti o il livello massimo di un oggetto accessibile da più soggetti. Un esempio comune combina una classificazione gerarchica (es. Unclassified < Confidential < Secret < Top Secret) con un insieme di categorie non gerarchiche (es. NATO, NOFORN). Un'etichetta è una coppia (^ livello^ ,^ {^ categorie^ })^.^ (^ h^1 ,^ c^1 )^ ≤^ (^ h^2 ,^ c^2 ) se^ h^1 ≤^ H h^2 e^ c^1 ⊆^ c^2.
Modello Bell-LaPadula (BLP)-Confidenzialità.
È il modello MAC più famoso, focalizzato sulla confidenzialità. Combina MAC e DAC (tramite una matrice ACM). Impone regole mandatorie basate sui livelli di sicurezza per prevenire flussi di informazione illeciti verso il basso. Simple Security Property (no-read-up - NRU): Un soggetto s può leggere un oggetto o solo se livello ( s ) ≤ livello ( o ). Impedisce a soggetti a basso livello di leggere dati ad alto livello. Property (star-property, no-write-down - NWD): Un soggetto s può scrivere su un oggetto o solo se livello ( s ) ≤ livello ( o ) .Impedisce a soggetti ad alto livello di scrivere dati (potenzialmente sensibili) a basso livello. Limitazioni: Modello statico (i livelli non cambiano - tranquility property ), non gestisce la creazione/distruzione di oggetti/soggetti; soffre di covert channels (canali nascosti attraverso cui l'informazione può fluire violando la politica, es. segnalando un permesso negato).
Modello Biba - Integrità
È il duale di BLP, focalizzato sull' integrità. L'obiettivo è prevenire che dati a bassa integrità "contaminino" dati ad alta integrità. Utilizza livelli di integrità. Simple Integrity Property (no-read-down): Un soggetto s può leggere un oggetto o solo se integrità ( s ) ≤ integrità ( o ). Impedisce a soggetti "affidabili" di leggere dati "non affidabili". Integrity Property (no-write-up): Un soggetto s può scrivere su un oggetto o solo se integrità ( s ) ≥ integrità ( o ). Impedisce a soggetti "non affidabili" di modificare dati "affidabili". Varianti Dinamiche (Low Watermark): A differenza di BLP, Biba considera
anche politiche dinamiche. Ad esempio, nella Subject Low Watermark Property,
se un soggetto legge dati a bassa integrità, il suo stesso livello di integrità viene abbassato al livello dei dati letti.
Modello Chinese Wall – Conflitti di Interesse
Modello MAC orientato al contesto commerciale, specificamente per gestire conflitti di interesse (es. in società di consulenza). Struttura: Gli oggetti (dati) appartengono a Company Datasets (cd). Le aziende in competizione appartengono allo stesso Conflict of Interest Class (cic). Regola Fondamentale (ss-property): Un soggetto (consulente) può leggere un oggetto o solo se:
Intrusion Detection: o Passiva: Analisi offline dei log per rilevare intrusioni passate. o Attiva: Analisi in tempo reale per identificare e rispondere immediatamente a un attacco in corso. Tecniche di Rilevamento: o Anomaly Detection: Identifica deviazioni dal comportamento normale del sistema/utente. o Misuse Detection: Cerca pattern specifici (firme) di attacchi noti. È cruciale proteggere l'integrità dei dati di audit stessi da possibili manomissioni.
