Sicurezza Informatica: Sistemi, Crittografia e Firma Digitale, Dispense di Sistemi Informativi

Scarica Sicurezza Informatica: Sistemi, Crittografia e Firma Digitale e più Dispense in PDF di Sistemi Informativi solo su Docsity!

1 Prof. Francesco Moscato Seconda Università di Napoli [email protected]

Sicurezza, Firma Digitale

e

Licenze Software

Outline ● Problemi di Sicurezza ● Obiettivi dei sistemi di sicurezza ● (^) Autenticazione, Riservatezza, Autorizzazione, Integrità, Non ripudio, Disponibilità ● (^) Crittografia e firma digitale ● Firma Digitale: aspetti metodologici-architetturali ● (^) Firma Digitale: aspetti giuridici ● (^) Licenze Software ● (^) GPL ● BDS ● (^) Creative Commons

Minacce alla Sicurezza Discolsure (rivelazione) Accesso non autorizzato ad una informazione Deception (raggiro, frode) Accettazione di dati falsi Accettazione da parte di una identità usurpata Disruption (rottura) Interruzione o Prevenzione di un'operazione corretta Usurpation (usurpazione) Controllo non autorizzato di Parti del SIstema

Necessità Riservatezza : la comunicazione è stata intercettata? Autenticazione : l’utente è veramente chi dice di essere? Autorizzazione : ogni utente può accedere solo alle risorse cui ha diritto. Integrità : i dati ricevuti (trattati) sono proprio quelli spediti (originali)? Non ripudio : il mio interlocutore può ritrattare quello che ha detto? Disponibilità : il mezzo di comunicazione o si servizi sono stati resi inutilizzabile?

Crittografia: Necessità Perché un sistema di crittografia sia efficace , è necessario che un dato crittografato sia Impossibile o (bisogna dimostrarlo matematicamente) Estremamente complicato In termini di tempo e costo della decodifica (bisogna dimostrarlo matematicamente) da decodificare se non si conosce la chiave di decodifica NOTA: non è detto che la chiave di codifica e decodifica siano le stesse... Nel caso del messaggio precedente, la chiave era la stessa ed era il numero 1 L'algoritmo di codifica sostituiva ad ogni lettera la successiva L'algoritmo di decodifica sostituiva ad ogni lettera la precedente

Obiettivi di un sistema di sicurezza Prevention (prevenzione) Evitare gli attacchi alla sicurezza PRIMA che questi avvengano (terminino) con successo Es: un firewall che identifica gli attacchi MENTRE avvengono Es: un dato crittografato Detection (individuazione) Individuare gli effetti degli attacchi dopo che questi sono stati effettuati con successo Recovery (ripristino) Ripristino del sistema in uno stato sicuro

Chiave Simmetrica Una chiave segreta nota ai corrispondenti La stessa chiave serve a cifrare e decifrare il messaggio Sia il “mittente” che il “ricevente” condividono la stessa chiave segreta Pro Veloce (computazionalmente) Contro Se le entità che devono comunicare sono n , le chiavi sono dell'ordine di nn* Una chiave diversa per ogni destinatario Non vi è garanzia di univocità e autenticità del mittente

Chiave Simmetrica

Chiave Asimmetrica

Chiave Asimmetrica: Confidenzialità

Hash (Integrità, firma e non ripudio) Le funzioni di Hash risolvono il problema dell'integrità Sono funzioni (H) che hanno in ingresso un messaggio (M) di dimensioni variabili e producono un messaggio in uscita ( digest ) di dimensioni FISSE (in genere centinaia di byte) Dato il messaggio deve essere facile produrre il digest Dato il digest deve essere difficile risalire al messaggio generatore Alcuni algoritmi: SHA, MD5,... Utilizzato nella firma digitale permette di firmare solo il Digest (piccolo) Controllo dell'integrità: Ad ogni Documento si associa il suo Digest. Il Digest si protegge (crittografia) Quando si distribuisce il documento, si distribuisce anche suo il Digest In ricezione si calcola il Digest del messaggio ricevuto e si confronta con quello prodotto dalla sorgente Se cambia anche un solo Bit nel Messaggio originale, i digest non corrispondono (e quindi il messaggio originale è stato manomesso)

Firma Digitale

Autenticazione: Certificati La firma digitale rende sicuro un messaggio se: La chiave privata di A non è stata compromessa B è in possesso della chiave pubblica di A Come può essere certo B di possedere la vera chiave di A? E' necessario convalidare l'abbinamento tra dati anagrafici e chiavi pubbliche Certificati digitali Autorità che gestiscano i certificati e le autenticità delle chiavi pubbliche ( Certification Authority ) A e B devono fidarsi della CA Modelli principali di CA PGP: Web of Trust X.509: organizzazione gerarchica

PGP