Sicurezza Informatica: Riservatezza, Disponibilità e Integrità delle Informazioni, Slide di Reti informatiche

Scarica Sicurezza Informatica: Riservatezza, Disponibilità e Integrità delle Informazioni e più Slide in PDF di Reti informatiche solo su Docsity!

Fondamenti di Informatica

Accademia di Belle Arti di Verona Università degli Studi di Verona A.A. 2019-

Docente - Vincenzo Giannotti

CAPITOLO 7 – SICUREZZA INFORMATICA

Il problema di « come trasmettere informazioni in maniera sicura » è antico quanto l’Uomo, o almeno, quanto l’Uomo da quando può comunicare.

Un tempo la «riservatezza» delle informazioni riguardava prettamente il settore militare e la « crittografia », cioè la scienza che si occupa di come codificare un messaggio e di come successivamente decodificarlo.

Alcuni importanti sviluppi di questa scienza (già nota a Greci e Romani) si ebbero nel Rinascimento (sistemi a trasposizione, a sostituzione o sistemi misti), ma il maggiore impulso si ebbe nel secolo scorso, durante la seconda guerra mondiale, con la costruzione di macchine molto sofisticate per la cifratura dei messaggi (Enigma) e di macchine altrettanto sofisticate per la loro decifratura (la Bomba).

Sicurezza delle informazioni

La « Bomba » fu una macchina ideata da Alan Turing con lo scopo di individuare giornalmente la configurazione con cui veniva impostata la macchina «Enigma» (di cui gli Inglesi possedevano una copia esatta) utilizzata dai Tedeschi nella II Guerra Mondiale per criptare i loro messaggi.

Sicurezza delle informazioni

La Riservatezza consiste nel limitare l’accesso alle informazioni e alle risorse informatiche, solamente alle persone e ai sistemi autorizzati a farlo.

La riservatezza si può realizzare sia nella fase di archiviazione dell’informazione, sia durante la comunicazione.

Poiché spesso una informazione è data dalla somma di più dati messi in relazione tra di loro – per esempio il mio nome e la mia data di nascita in taluni contesti hanno significato solo se abbinati, poiché consentono di riconoscermi univocamente – ne consegue che la riservatezza può dipendere dal contesto.

Nel caso appena citato si può pensare di cifrare solo uno dei due dati (e.g. la data di nascita) cosicché la riservatezza dell’informazione (nome+data di nascita) sia preservata.

Riservatezza

La riservatezza in gran parte dipende dalle procedure software che adottiamo e dall’hardware che utilizziamo, ma anche il fattore umano ha il suo peso.

Poiché nella catena della sicurezza l’elemento più debole spesso siamo noi stessi , vi sono alcune semplici regole da seguire che ci possono aiutare a fare la nostra parte:

• Mantenere segrete le proprie password
• Utilizzare password non banali (e.g. il mio nome)
• Tenere sotto controllo gli accessi al proprio sistema (p.e. con password di accesso)
• Rifiutare di fornire informazioni a persone di cui non siamo assolutamente certi (p.e. via mail a sedicenti tecnici che chiedono i vostri dati)
• Cifrare i nostri documenti più riservati ( in primis quelli che contengono le password)

Riservatezza

1. preservare la disponibilità delle condizioni ambientali (energia, temperatura, umidità etc.), utilizzando idonei sistemi di controllo, sistemi di climatizzazione e gruppi di continuità
2. preservare la disponibilità delle risorse hardware e software anche a fronte di problemi di varia natura (guasti, errori, disastri etc.), utilizzando sistemi di backup (per gli archivi) e sistemi ridondanti (per l’hardware)
3. preservare i sistemi da attacchi esterni , per esempio provenienti da Internet, utilizzando sistemi di firewall (per il controllo degli accessi), sistemi antivirus (per la protezione del computer da software dannosi), sistemi antispyware (per la rimozione di software spia).

Disponibilità

• Il backup normalmente avviene su due supporti distinti che poi

vengono mantenuti in luoghi distinti. Il cosiddetto piano di backup

(programmato) consiste nella definizione di:

• cosa salvare (dischi, database, cartelle, utenti, macchine, volumi, ecc.)
• frequenza di backup (giornalmente, settimanalmente etc.)
• ora di avvio del backup
• supporto e percorso di archiviazione
• tipologia di backup (completo, differenziale, incrementale)
• modalità di compressione, tipo di log e messaggistica da esporre, tipo di verifica integrità, e molte altre opzioni a seconda della complessità del sistema.

Disponibilità - esempio

L’ integrità riguarda il grado di correttezza, coerenza e affidabilità sia delle informazioni, sia delle risorse informatiche.

• Quando si parla di informazioni , il concetto di integrità riguarda il fatto che queste non possano venire alterate, cancellate o modificate per errore o per dolo. Questo significa, per esempio, che all’interno di un database i dati devono essere tra loro coerenti (quando inizia una transazione il database si trova in uno stato coerente e quando la transazione termina si deve trovare in un nuovo stato coerente; ciò significa che non debbono verificarsi contraddizioni tra i dati archiviati)

Integrità

• Quando si parla di hardware , l’integrità si riferisce invece:
  • alla corretta elaborazione dei dati da parte della macchina (che potrebbe avere dei malfunzionamenti)
  • alla garanzia di un adeguato livello delle prestazioni (la rete può essere oberata o richiedere una banda maggiore di quella realmente disponibile)
  • al corretto instradamento dei dati in rete (nel caso di malfunzionamenti dovuti per esempio ad accessi indesiderati)
  • altri eventuali fattori.
• Infine l’integrità può riguardare il software ; in tal caso ci si può riferire a:
  • completezza e correttezza delle applicazioni
  • correttezza dei file di sistema e dei file di configurazione
  • altri fattori.

Integrità

• Ancora, le cosiddette tecniche di « hashing » sono impiegate per

verificare che le informazioni non vengano alterate per dolo o per errore

(anche a causa di errori di trasmissione). Queste stesse tecniche sono

anche utilizzate in crittografia.

• Una funzione crittografica di hash è un algoritmo matematico che

trasforma un messaggio di lunghezza arbitraria in una stringa di bit di

lunghezza fissa chiamata valore di hash o impronta del messaggio.

• La funzione crittografica di hash ideale ha tre proprietà fondamentali:
  • È molto semplice calcolare;
  • È irreversibile (dal hash non si può risalire al testo che l’ha generato);
  • È deterministica (lo stesso testo genera sempre lo stesso hash).

Integrità - esempio

Oltre ai tre principali obiettivi di sicurezza citati, possiamo averne anche altri che oggigiorno sono considerati di rilevante interesse in relazione ad alcune specifiche tipologie di transazione:

• Autenticità – per essere certi che un messaggio o un documento sia attribuito al suo autore e a nessun altro
• Non ripudio – per impedire che un autore possa disconoscere la paternità di un dato documento da lui redatto.

Entrambe queste caratteristiche trovano applicazione nella

FIRMA DIGITALE

in cui vengono utilizzate specifiche tecniche che garantiscono sia l’integrità del documento (hashing) sia la sua provenienza (crittografia).

Altri obiettivi di sicurezza

• Con GDPR è andata in soffitta la vecchia direttiva 95/46/CE

(regolamento generale sulla protezione dei dati) che a partire dal maggio

2018 è stata completamente sostituita.

• GRPR prevede che sia tenuto un registro delle attività di trattamento ,

che deve contenere una serie di informazioni, tra cui le finalità del

trattamento, la descrizione delle categorie di interessati e di dati

personali che vengono trattati, l’indicazione delle misure di sicurezza

adottate.

General Data Protection Regulation (GDPR)

• La tenuta del registro costituisce un adempimento molto importante in

quanto permette di monitorare e tenere sotto controllo le operazioni di

trattamento dei dati personali all’interno dell’organizzazione.

• Enti e Società devono nominare un «Responsabile del trattamento dei

dati»: una persona competente e indipendente che avrà diversi obblighi

tra cui:

• Trasparenza
• Sicurezza dati
• Adozione di misure tecniche e organizzative.

Per questo motivo uno dei principali obiettivi di una qualsiasi azienda è

quello di garantire che « solo persone autorizzate » possano accedere a

informazioni cosiddette « sensibili ».

General Data Protection Regulation (GDPR)