3 obiettivi per la sicurezza:
•confidenzialità -> assicurare la privatezza e riservatezza delle informazioni
• integrità -> assicurare la non modificabilità da parte di soggetti non autorizzati e quindi fi
assicurarne l'attendibilità (firma digitale)
• disponibilità -> assicurare la possibilità di usare risorse agli utenti autorizzati (attacchi DoS – Denial
of Service)
Difesa:
• crittografia
• software -> controlli interni al programma, controlli nel sistema/rete, antivirus, controlli e standard
di qualità in fase di sviluppo
• hardware -> smartcard crittografate, firewall, controlli circuitali
•policy -> addestramento utenti e amministratori, regoli di attribuzione password
Ostacoli:
• usabilità -> troppa sicurezza può essere d’intralcio nella vita quotidiana degli utenti
• progetto tardivo -> si considerano tali problemi solamente quando sorgono
• compromesso benifici-costi -> la sicurezza costa e non sempre stiamo nel budget
Attacco
atto intenzionale con il quale un attaccante cerca di eludere i servizi di sicurezza di un sistema.
Si distinguono per 3 caratteristiche:
• tipologia -> attivo (altera il sistema) o passivo (acquisisce informazioni)
•point of initiation -> interno (l’attaccante ha già accesso alle risorse ma vuole usarle in un modo non
consono alle policy a lui attribuite) o esterno (l’attaccante risiede fuori dal perimetro di sicurezza del
sistema)
• method of delivery -> diretto (attacca il sistema target direttamente) o indiretto (utilizza un terzo
sistema per accedere al target o per amplificare l’attacco)
Esistono diverse organizzazioni che si occupano di collezionare e riportare le vulnerabilità:
Common Weakness Enumeration (CWE) – elenco formale di tipologie di falle di sicurezza destinato
a sviluppatori ed esperti di sicurezza con lo scopo di fornire un dizionario comune per descrivere le
tipologie di falle di sicurezza e misurare le potenzialità dei sw di analisi/verifica.
