1
IT SECURITY SPECIALISED LEVEL
1. Concetti di sicurezza
• Dati (un valore, un testo, es. 172) e informazione (dà contenuto informativo, un dato con metadati, contesto es. 172 cm
di altezza)
• Crimine informatico: qualsiasi attività dolosa realizzata con mezzi informatici (es. clonazione bancomat o accesso a pc
altrui)
• Hacker: esperto di informatica a tutto tondo (programmazione e sicurezza);
• Lamer: persona con scarse capacità e conoscenza informatiche; usando programmi che non conosce a fondo, facendo
anche danni (lamerata)
• Cracker: figura negativa, sfrutta le sue conoscenze informatiche per causare danni a terzi (es. defacing o farming) •
Hacker etico (white hat): esperto di informatica, fa attacchi su richiesta per verificare la resistenza agli attacchi sia interni
che esterni - scopo: migliorare la sicurezza. Usa i PEN TESTING (penetration testing). • Minacce ai dati possono essere:
• Dolose (provocate da singoli individui, fornitori di servizi - es. servizi paghe che hanno i dati personali dei
dipendenti - e organizzazioni esterne)
• Provocate da eventi straordinari come fuoco, inondazioni, furto, terremoti (danni ai sistemi) • Provocate dall’uso del
cloud computing (permette di avere molto spazio di archiviazione, ma difesa dati blanda), quali controllo su dati,
potenziale perdita di riservatezza (privacy)
VALORE DELLE INFORMAZIONI:
Per la loro sicurezza necessarie:
- confidenzialità: info accessibile solo a chi ha titolo/ragione di averla
- integrità: info è uguale a sé stessa nel tempo (non cambia a meno che non sono io a farlo) - Disponibilità: accessibile in
qualsiasi momento (vincolo principale: avere strumento elettronico) Le informazioni personali devono essere protette per
evitare furti di identità o frodi; lo stesso vale per le informazioni di lavoro su computer, per evitare perdite di dati,
sabotaggi o utilizzi fraudolenti.
Principi comuni per la protezione dei dati: trasparenza, scopi legittimi e proporzionalità delle misure in rapporto ai danni.
Linee guida e politiche per l’uso dell’TC (information and Communication technology - unisce dati e fonia).
SICUREZZA PERSONALE
• “Ingegneria sociale”: accesso non autorizzato a sistemi informatici , raccolta non autorizzata ddi info, frodi - Metodi:
chiamate telefoniche, phishing (raccolta dati attraverso email spam o siti creati uguali ad altri = farming), shoulder surfing
(es. osservazione al bancomat (per pin) oppure comune senza che te ne accorga) • “Furti di identità”: hanno implicazioni
personali, ma anche finanziarie, lavorative e legali. - Metodi: acquisire info a partire da oggetti e info scartate
(information diving; per questo egli studi legali i documenti passano per il tritacarte); uso di dispositivi fraudolenti di
lettura (skimming - es. per clorazione bancomat: applicare una finta tastiera che raccoglie dati), inventare uno scenario
pretestuoso (pretexting)
SICUREZZA DI FILE
Impostazioni di sicurezza relative alle macro.
Cifratura (di file, cartelle, unità disco): non divulgare o perdere password, chiave o certificato di cifratura
Impostare password per file.
Cittografia: scrittura “nascosta”, rende illeggibile il file, chi lo intercettasse non lo saprebbe interpretare. - Primo
esempio: per trasposizione (striscia di pergamena attorno ad una bacchetta, una volta srotolato è illeggibile; chiave->
bastone) ; Plutarco, Vita di Lisandro
- Cifrario di Cesare: lettere slittano di 3 (si dice la usasse Cesare per comunicazione con generali) - Cifrario di
Vigenère (1586): invece di spostare sempre di 3, si sposta di un numero di posti determinato dalla parola chiave, da
concordarsi tra mittente e destinatario (detta verme)
- Telegramma Zimmermann (1917): di Bismark al governo messicano per invitarli ad entrare in guerra vs. USA.
Intercettato dagli inglesi e passato agli USA: era però un trucco di Bismark per smascherare il fatto che gli inglesi
intercettavano le comunicazioni.
- Macchina Enigma: sviluppata negli anni ’20, usata dai nazisti per scopi militari, il codice cambiato ogni notte. -
Cifrario di Vernam: unico cifrario con sicurezza matematicamente dimostrata (Shannon,1949). Usa chiavi monouso di
lunghezza pari al messaggio da cifrare - usato durante Guerra Fredda.
- Algoritmi a chiave simmetrica (o privata): es. di algoritmi DES, 3DES, o AES. Il mittente e destinatario condividono
la stessa chiave per cifrare/decifrare il messaggio (ci deve essere un sistema sicuro per scambiare la chiave).
2
- Algoritmi a chiave asimmetrica (o pubblica): es. algoritmo RSA. La chiave è usata da chiunque per cifrare il
messaggio, ma solo il destinatario con la corrispondete chiave privata può decifrarlo. Il messaggio viene cittografato
e solo con la chiave privata può essere decifrato (inverso è il principio di non-ripudiabilità= firma digitale applicata
su un documento, così da non poter negare di averlo realizzato).
