Sicurezza in internet

Questo sito utilizza cookie, anche di terze parti. Se vuoi saperne di più leggi la nostra Cookie Policy. Scorrendo questa pagina o cliccando qualunque suo elemento acconsenti all’uso dei cookie.I testi seguenti sono di proprietà dei rispettivi autori che ringraziamo per l'opportunità che ci danno di far conoscere gratuitamente a studenti , docenti e agli utenti del web i loro testi per sole finalità illustrative didattiche e scientifiche.

Le informazioni di medicina e salute contenute nel sito sono di natura generale ed a scopo puramente divulgativo e per questo motivo non possono sostituire in alcun caso il consiglio di un medico (ovvero un soggetto abilitato legalmente alla professione).

Sicurezza in internet

1 – INTRODUZIONE

Internet oggi è indispensabile, ma per lo più insicura ai meno tecnici.
I protocolli di trasmissione del flusso dei dati (chiamati TCP e UDP) sono spesso terreno fertile per hacker, virus di ogni sorta, spamming ed ogni software che può volontariamente o meno essere nocivo. Recentemente si è assistito ad un fenomeno di necessaria ed immancabile diffusione di applicazioni volte alla tutela ed alla salvaguardia delle unità informatiche: oggi un computer non è sicuro se privo antivirus e senza aggiornamenti odierni.
Ma perché, almeno per i meno esperti, internet è così insicura?
Quando Antonio Meucci inventò il telefono, o quando Marconi sviluppò i propri studi sulle radiocomunicazioni, avrebbero forse pensato che in futuro sarebbero esistiti cellulari e televisioni?
Ecco allora la nostra risposta: internet non è sicura oggi perché non era nata per esserlo.

La nascita di internet: le ragioni per cui non è sicuro
L’elaboratore elettronico nacque come prototipo negli USA alla fine degli anni ’60.
Esso era inizialmente utilizzato per scopi militari e nelle università, in modalità che ricordano molto i sistemi UNIX e LINUX di oggi, che permettono di usufruire, su distinti punti operativi, dello stesso processore centrale; questo per ovvie ragioni di tipo economico.
La prima sbalorditiva pregevolezza di tale struttura era proprio la condivisione dei dati, tema attualmente discusso anche in sede politica, in materia di tutela del diritto d’autore.
Per quanto riguardava gli scopi militari, invece, l’ARPA, agenzia del dipartimento USA per la difesa, sviluppò il primo vero prototipo di internet, che si chiamava, appunto, ARPANET e sarebbe dovuto servire in caso di guerra nucleare. Da quel granello di sabbia si generò quello che oggi è sia una spiaggia per i turisti dell’informatica, sia un mare di informazioni per qualunque studioso del mondo.
Ma per come è stato sviluppato, Internet è di per sé un mezzo insicuro, poiché dagli anni ’60 ad oggi, non è stato previsto un protocollo “auto-controllante”. Questa non è stata certo colpa dei programmatori, ma semplicemente del contesto storico in cui essi si sono trovati ad operare e delle scelte tecniche che si trovarono ad affrontare: il linguaggio/protocollo di dialogo doveva, prima di essere sicuro, poter evitare la dispersione fisica dei dati lungo i fili di collegamento tra computer. Questo era, anzitutto, necessario perché la rete funzionasse, e nessuno avrebbe previsto una tale successiva diffusione globale, da dover tener conto di possibili “intrusioni” nei personal computer del nuovo millennio, tanto più che i possibili intrusori inizialmente non arrivavano al centinaio di utenti.
Per farla breve, ci si preoccupò, prima d’ogni cosa, che il sistema funzionasse, senza prevedere che potesse funzionare così bene da raggiungere un tale sviluppo.

Internet oggi
Sin qui è la storia internet, ma cosa è oggi il “web o la rete”, che dir si voglia?
Internet è il retto connubio tra suono, immagine e stampa; ma fin qui si limiterebbe a ricalcare le opportunità intrinseche nel telefono e nella televisione. La sua caratteristica, unica e fondamentale, che travalica i limiti dei suddetti mezzi è l’interattività: il multimediale, termine ormai abusato, tuttavia nella fattispecie perfettamente confacente all’idea di “mezzo interattivo”.
Definire internet è impresa ardua; cercheremo, dunque, di semplificare tale compito mediante astrazione. Tanti calcolatori collegati tra loro in grado di comunicare un dialogo complesso di informazioni decifrabili talora in toni, talora in grafica, altre volte in semplici caratteri di testo, dei fonts più stravaganti: questo è, in linea di massima, quello che l’utente finale è in grado di vedere, ma certamente non è palesato a tutti quanti 0 e quanti 1 siano necessari per comporre, ad esempio, il testo di cui stiamo avendo lettura.
Volendo essere meno astratti, e ricorrendo comunque ad un paragone, pensiamo che non tutti coloro i quali guidano un autovettura conoscono il moto dei pistoni o le dinamiche del volano.
Sempre per analogia, il meccanismo che collega i personal computer tra di loro, è lo stesso che veniva utilizzato per il centralino di un tempo. Gli ISP sono “i centralini di internet”: sono, a loro volta, dei computer che si occupano di ricevere le richieste delle singole postazioni di lavoro, denominate HOST, e di re-indirizzarle al destinatario. Esistono, ovviamente, ISP locali, nazionali ed internazionali.
In altri termini, più specifici, e forse più utilizzati nel verbo comune, gli ISP sono i SERVER, e gli HOST sono i CLIENT; economicamente parlando: il “servitore serve il cliente”.
Questo modello è la base del flusso dei dati ad oggi, e permette una miriade di servizi, dai più banali, quali la posta, ai più elaborati, come le videoconferenze, mediante applicativi quale l’ormai noto a tutti i possessori di PC, MSN.

2 - LE NORME A TUTELA DEI SISTEMI INFORMATIVI

La legislazione dal 1993 ad oggi
Abbiamo visto che internet non è progettato per essere sicuro. Ma la sicurezza in generale, la privacy e la certezza di salvaguardare i propri dati debbono comunque essere garantiti per legge.
Il primo collegamento con il diritto commerciale è alle disposizioni in materia di marchi e segni distintivi, brevetti, diritto d'autore, repressione della concorrenza sleale ed in generale tutte le materie economicamente rilevanti, visto che nessuna violazione può essere preventivamente evitata, senza deterrenti economici o sanzionatori.
Oggi internet fa tanto discutere proprio perché tali deterrenti paiono non aver alcuna funzione reale.
Citiamo alcune delle norme che dovrebbero, teoricamente, prevenire atti contrari alla sicurezza:

Art. 640-ter Codice Penale: «chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a sé o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da lire centomila a due milioni».
L’art. 615-quinques stabilisce, inoltre, che «chiunque diffonde, comunica o consegna un programma informatico da lui stesso o da altri redatto, avente per scopo o per effetto il danneggiamento di un sistema informatico o telematico, dei dati o dei programmi in esso contenuti o ad esso pertinenti, ovvero l'interruzione, totale o parziale, o l'alterazione del suo funzionamento, è punito con la reclusione sino a due anni e con la multa sino a lire venti milioni».
L’art. 635-bis del Codice Penale del 1993 prevede, a sua volta, che «chiunque distrugge, deteriora o rende, in tutto o in parte, inservibili sistemi informatici o telematici altrui, ovvero programmi, informazioni o dati altrui, è punito, salvo che il fatto costituisca più grave reato, con la reclusione da sei mesi a tre anni».
Ancora l’art. 617-quinquies Codice Penale: «chiunque, fuori dai casi consentiti dalla legge, installa apparecchiature atte ad intercettare, impedire o interrompere comunicazioni relative ad un sistema informatico o telematico ovvero intercorrenti tra più sistemi, è punito con la reclusione da uno a quattro anni» ();
Infine, citiamo l’art. 617-sexies del Codice Penale: «Chiunque, al fine di procurare a sé o ad altri un vantaggio o di arrecare ad altri un danno, forma falsamente ovvero altera o sopprime, in tutto o in parte, il contenuto, anche occasionalmente intercettato, di taluna delle comunicazioni relative ad un sistema informatico o telematico o intercorrenti tra più sistemi, è punito, qualora ne faccia uso o lasci che altri ne facciano uso, con la reclusione da uno a quattro anni» ().

Purtroppo queste casistiche non possono definirsi né del tutto esaustive, né, tantomeno, efficaci, come in precedenza accennato.
Le fattispecie necessitano, quindi, di un ampliamento da parte del legislatore.

Il Decreto Urbani, un esempio che amplia le fattispecie sanzionabili riguardanti internet
Recentemente, ad esempio, è stato approvato il c.d. Decreto Urbani, dal nome del Ministro, che prevede sanzioni più pesanti in materia di violazione del diritto d’autore, e nella fattispecie concreta, in materia di contraffazione di opere d’arte o dell’ingegno come accade per la diffusissima tecnica della duplicazione e diffusione in reti di scambio (citiamo Winmx, Kazaa, per non parlare del primo e più famoso Napster, già condannato all’estero e costretto a chiudere) dei film e delle opere musicali. Tuttavia, il Decreto ha annoverato decine di emendamenti, soprattutto sull’art. 1, il più dibattuto in sede politica nonché sui vari forum (così si chiamano i centri d’incontro su internet), e tutt’ora non esiste giurisprudenza al riguardo. Per esempio, durante le modifiche in sede di approvazione alle Camere, sono state sostituite le parole “per scopo di lucro” con “per trarne profitto”, volendo far intendere che non saranno soltanto gli “spacciatori di opere contraffatte” ad essere perseguibili civilmente e penalmente, bensì anche i singoli utenti, cioè le persone, che, per diletto, intendono appropriarsi di opere musicali/cinematografiche, senza pagarne il prezzo.
Questo ha sollevato questioni morali, soprattutto riguardo alla punibilità di tali soggetti, che verrebbero assoggettati a delinquenti, avendo “soltanto” ascoltato musica gratuitamente.
Questa pare, sui forum, appunto, un’opera intimidatoria degna di nota, che potrebbe disinvogliare i cittadini alla condivisione dei files/opere e ad abbandonare il c.d. Peer to Peer (acronimo che sta per scambio/condivisione tra computer e computer di files).
È questa la strada per contrastare l’anarchia vigente nella rete oggi? Come il decreto Urbani disinvoglia la duplicazione via internet delle opere d’ingegno, altre leggi più severe potrebbero disinvogliare la creazione di virus ed altri programmi distruttivi, oppure il relativo anonimato garantito da internet non avrà effetto su questi ultimi e, quindi, sulla sicurezza? Ai posteri l’ardua sentenza.

3 - GLI ONERI LEGALI IN MATERIA DI SICUREZZA

Tra tali oneri, citiamo in primis:

l'art. 615-ter, che prevede che «chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni».
L'art. 615-quater, che prevede, invece, che «Chiunque, al fine di procurare a sé o ad altri un profitto o di arrecare ad altri un danno, abusivamente si procura, riproduce, diffonde, comunica o consegna codici, parole chiave o altri mezzi idonei all'accesso ad un sistema informatico o telematico, protetto da misure di sicurezza, o comunque fornisce indicazioni o istruzioni idonee al predetto scopo, è punito con la reclusione sino ad un anno e con la multa sino a lire dieci milioni».

Ciò che traspare, dunque, dai succitati articoli è la necessità di chi voglia essere protetto, sia a livello informatico sia a livello giuridico, di doversi munire di appositi strumenti che garantiscano la sua sicurezza.
Per semplificare il concetto, possiamo realizzare un paragone con il sistema assicurativo: qualora non si sia dotati di appositi strumenti antincendio, l’assicurazione non potrà provvedere al risarcimento in caso di danni causati dall’incendio stesso.
Da qui operiamo una traslazione del concetto appena espresso sul sistema di posta elettronica: non è da considerarsi reato “aprire” la posta altrui se non crittografata o, comunque, adeguatamente protetta.
Non in questo senso si orienta l’art. 616 del Codice Penale, che punisce

«chiunque prende cognizione del contenuto di una corrispondenza chiusa, a lui non diretta». E continua: «agli effetti delle disposizioni di questa sezione, per "corrispondenza" si intende quella epistolare, telegrafica, telefonica, informatica o telematica ovvero effettuata con ogni altra forma di comunicazione a distanza».

4 – NUOVE DISPOSIZIONI IN MATERIA DI SICUREZZA

La privacy
Il decreto legislativo n.196 del 30 giugno 2003 è entrato in vigore il 1° gennaio 2004 e sostituisce la legge 31 Dicembre ’96 n. 675, la c.d. "legge sulla privacy", che era stata criticata proprio a causa del suo scarso contributo alla sicurezza.
Il nuovo Codice, diviso in tre Parti, dedica il Titolo V della prima Parte alla "Sicurezza dei dati e dei sistemi" (articoli da 31 a 36).

Il nuovo art. 31 (obblighi di sicurezza) riprende il vecchio articolo 15 comma 1 della legge 675/96 indicando le misure "idonee" di sicurezza: misure di sicurezza non identificate analiticamente ma identificabili dal titolare o dal responsabile del trattamento al fine di "ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità di raccolta".
L'articolo 32 (particolari titolari) riguarda le misure di sicurezza che devono adottare i fornitori di servizi di comunicazione elettronica, ed anche in questo caso si fa riferimento all'adozione di "idonee misure tecniche e organizzative adeguate al rischio esistente, per salvaguardare la sicurezza dei servizi, l'integrità dei dati relativi al traffico, dei dati relativi all'ubicazione e delle comunicazioni elettroniche rispetto ad ogni forma di utilizzazione o cognizione non consentita".
Gli articoli da 33 a 36 del nuovo Codice sulla riservatezza sono dedicati alle "misure minime di sicurezza". La novità introdotta dal testo unico è la presenza di un Disciplinare Tecnico in materia di misure minime di sicurezza (inserito in appendice al Codice della Privacy nell’allegato B), che sostituisce il Regolamento delle misure minime di sicurezza: l'attuale DPR 318/99.

L'articolo 33 (misure minime) individua le misure minime di sicurezza in quelle "misure volte ad assicurare un livello minimo di protezione dei dati personali". Il seguente articolo 34 prende in considerazione i trattamenti con strumenti elettronici, mentre l'articolo 35 prende in considerazione i trattamenti senza l'ausilio di tali strumenti.

Ad oggi, quindi, le reti interne (LAN), anche qualora non collegate con l’esterno, sono considerate alla stregua di computer collegati al web.

L'articolo 34 (trattamenti con strumenti elettronici) prevede le seguenti misure minime di sicurezza (nei modi previsti dal disciplinare tecnico):

- autenticazione informatica;
- adozione di procedure di gestione delle credenziali di autenticazione;
- utilizzazione di un sistema di autorizzazione;
- aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai
singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici;
- protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad
accessi non consentiti e a determinati programmi informatici;
- adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità
dei dati e dei sistemi;
- tenuta di un aggiornato documento programmatico sulla sicurezza;
- adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati
idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari.

L'articolo 35 (trattamenti senza l'ausilio di strumenti elettronici) prevede le seguenti misure minime di sicurezza (nei modi previsti dal disciplinare tecnico):

a) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai
singoli incaricati o alle unità organizzative;
b) previsione di procedure per un'idonea custodia di atti e documenti affidati agli incaricati
per lo svolgimento dei relativi compiti;
c) previsione di procedure per la conservazione di determinati atti in archivi ad accesso
selezionato e disciplina delle modalità di accesso finalizzata all'identificazione degli
incaricati.

Il disciplinare tecnico in materia di misure minime di sicurezza
Il "Disciplinare tecnico" sostituirà, dal 1° gennaio 2004, il DPR 318/99.
Una prima distinzione, rispetto al DPR 31/99, riguarda la suddivisione tra "trattamenti con strumenti elettronici" e "trattamenti senza l'ausilio di strumenti elettronici": eliminando il concetto, che più volte era stato oggetto interpretazioni assai discordi, di elaboratore connesso ad altri elaboratori attraverso reti di telecomunicazioni disponibili al pubblico.
Analizzando i trattamenti con strumenti elettronici il titolare, il responsabile ove designato e l'incaricato devono adottare le seguenti modalità tecniche:

Sistema di autenticazione informatica:

gli incaricati dovranno essere dotati di credenziali di autenticazione, cioè di codici per l'identificazione associati ad una parola chiave riservata, conosciuta solo dall'incaricato stesso, oppure di un dispositivo di autenticazione o utilizzare una caratteristica biometrica;
bisognerà impartire delle chiare istruzioni agli incaricati al fine di far loro adottare le necessarie cautele per assicurare la segretezza della parola chiave;
la parola chiave deve essere composta da almeno otto caratteri;
il titolare o il responsabile deve impartire precise istruzioni agli incaricati per non lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento.

Sistema di autorizzazione:

deve essere utilizzato quando per gli incaricati sono individuati profili di autorizzazione di ambito diverso;
i profili di autorizzazione sono individuati e configurati in modo da limitare l'acceso ai soli dati necessari per effettuare le operazioni di trattamento.

Il Documento programmatico sulla sicurezza
Il disciplinare tecnico dedica poi ampio spazio al "Documento programmatico sulla sicurezza", generalizzando la sua adozione da parte dei titolari del trattamento. Tale documento dovrà essere redatto obbligatoriamente entro il 31 marzo di ogni anno.
Resta sempre l'obbligo da parte del titolare di adottare sistemi antivirus; nuovo risulta invece l'obbligo di impartire istruzioni organizzative e tecniche che prevedono il salvataggio dei dati con frequenza almeno settimanale.
A tal proposito si ricorda anche l'adozione di tecniche di “disaster recovery” in quanto il disciplinare, al punto 23, obbliga il titolare e il responsabile ad "adottare idonee misure per garantire il ripristino dell'accesso ai dati in caso di danneggiamento degli stessi o degli strumento elettronici, in tempi certi compatibili con i diritti degli interessati e non superiori a sette giorni".
Le nuove misure minime di sicurezza sono state certamente adeguate alle nuove esigenze, con uno sguardo alle nuove tecnologie oggi disponibili sul mercato.

Nuove misure di sicurezza e protezione dei dati personali
Entro il 30 giugno 2004 Pubbliche Amministrazione ed aziende private dovranno provvedere all’adozione di nuove misure minime di sicurezza ed alla redazione del Documento programmatico per la sicurezza (Dps), secondo quanto stabilisce il Codice della privacy, adottato col decreto legislativo n.196 del 30 giugno 2003 ed entrato in vigore il 1° gennaio 2004.
Tali misure, di carattere tecnico, informatico, organizzativo, logistico o procedurale hanno l'obiettivo primario di ridurre i rischi di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alla finalità della raccolta dei dati personali custoditi negli archivi delle pubbliche amministrazioni o delle aziende.
Fra le misure minime rientra, in particolare, la previsione del Documento programmatico per la sicurezza (Dps).
Si tratta di un documento, previsto già dalla precedente disciplina, ma ora modificato dal Codice della privacy, che deve essere adottato da chiunque effettui il trattamento di dati sensibili e giudiziari con strumenti elettronici ed aggiornato periodicamente, entro il 31 marzo di ogni anno.
Si richiede espressamente che il documento contenga un'indicazione dei criteri e delle modalità dirette al ripristino dei dati in caso di distruzione o danneggiamento di informazioni o strumenti elettronici, un'analisi dei rischi che gravano sui dati personali ed una specificazione delle tutele accordate per prevenire la loro distruzione e l'accesso abusivo.
Novità introdotta dal Codice è che nella relazione di accompagnamento a ogni bilancio d'esercizio venga fatta menzione della redazione o dell'aggiornamento del Dps.
La mancata adozione delle misure di sicurezza costituisce reato.
Di conseguenza, chi omette di adottare le misure minime di protezione dei dati è punito con l'arresto fino a due anni o un'ammenda da 10mila a 50mila euro. Tuttavia, se si provvede entro i 60 giorni successivi alla scadenza del termine, il pagamento dell’ammenda è ridotto ad un quarto dell’importo massimo.

Gruppo di lavoro per la protezione delle infrastrutture informatiche critiche
Il ministro per l'innovazione e le nuove tecnologie ha annunciato la creazione di un gruppo di lavoro per la protezione delle infrastrutture critiche informatizzate. L'obiettivo è quello di realizzare un costante monitoraggio delle infrastrutture ad alto tasso di informatizzazione quali telecomunicazioni, energia, trasporti, Pubblica amministrazione per rafforzare le misure di sicurezza nazionale attualmente adottate in Italia.
Sono membri del gruppo appena costituito il ministeri dell'Interno, delle Comunicazioni, della Giustizia, delle Infrastrutture, delle Attività Produttive oltre che quello dell'Innovazione e Tecnologie che lo presiede, ma anche l'Autorità per le Comunicazioni, l'ABI, l'ASI, gli operatori delle telecomunicazioni, le istituzioni della ricerca e dell'università, i gestori di reti di servizi, come il GRTN, Rete Ferroviaria Italiana, Snam, Sogin.
Saranno tempestivamente intraprese iniziative volte a proteggere da intrusioni o aggressioni le infrastrutture della P.A. in cui siano custoditi dati sensibili relativi ai cittadini come l'anagrafe tributaria e quella dell'INPS, il catasto e gli archivi informatici regionali e locali.

5 - LA CERTIFICAZIONE DELLE FIRME DIGITALI
Definizioni

Certificato qualificato	Insieme di informazioni che creano una stretta ed affidabile correlazione fra una chiave pubblica e i dati che identificano il Titolare. Sono certificati elettronici conformi ai requisiti di cui all'allegato I della direttiva n. 1999/93/CE, rilasciati da certificatori che rispondono ai requisiti di cui all'allegato II della medesima direttiva.
Chiave privata	La chiave della coppia utilizzata nel processo di sottoscrizione di un documento informatico
Chiave pubblica	La chiave della coppia utilizzata da chiunque esegua la verifica di una firma digitale
Dispositivo di firma	Insieme di dispositivi hardware e software che consentono di sottoscrivere con firma digitale documenti informatici
Documento informatico	E’ costituito da qualunque oggetto informatico (file) che contenga atti, fatti o dati giuridicamente rilevanti
Firma digitale	E’ un particolare tipo di firma elettronica qualificata basata su un sistema di chiavi asimmetriche a coppia, una pubblica e una privata, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l’integrità di un documento informatico o di un insieme di documenti informatici
Firma elettronica	L’insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di autenticazione informatica
Firma elettronica avanzata	Firma elettronica ottenuta attraverso una procedura informatica che garantisce la connessione univoca al firmatario e la sua univoca identificazione, creata con mezzi sui quali il firmatario può conservare un controllo esclusivo e collegata ai dati ai quali si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati
Firma elettronica qualificata	La firma elettronica avanzata che sia basata su un certificato qualificato, creata mediante un dispositivo sicuro per la creazione della firma
Soggetto giuridico	Impresa, azienda, società; qualunque soggetto dotato di partita IVA
SSCD	Acronimo inglese (Secure Signature Creation Device) di "dispositivo sicuro per la creazione della firma". E’ un dispositivo che soddisfa particolari requisiti di sicurezza. I più utilizzati sono costituiti da smartcard.
Titolare	Il soggetto cui sono attribuite le firme digitali generate attraverso una determinata chiave associata ad un determinato certificato

Utilizzo della firma digitale
La firma digitale è uno strumento e come tale deve essere utilizzato nei modi e nei casi appropriati. Ricordiamo che non è corretto il suo utilizzo come sistema di identificazione in rete, per il quale esistono strumenti quali la carta d’identità elettronica e le carte di accesso ai servizi.
La firma digitale è utile nel momento in cui è necessario sottoscrivere una dichiarazione ottenendo la garanzia di integrità dei dati oggetto della sottoscrizione e di autenticità delle informazioni relative al sottoscrittore.
La garanzia che il documento informatico, dopo la sottoscrizione, non possa essere modificato in alcun modo in quanto, durante la procedura di verifica, eventuali modifiche sarebbero riscontrate, la certezza che solo il titolare del certificato possa aver sottoscritto il documento perché non solo possiede il dispositivo di firma (smartcard/tokenUSB) necessario, ma è anche l’unico a conoscere il PIN (Personal Identification Number) necessario per utilizzare il dispositivo stesso, unite al ruolo del certificatore che garantisce la veridicità e la correttezza delle informazioni riportate nel certificato (dati anagrafici del titolare), forniscono allo strumento "firma digitale" caratteristiche tali da non consentire al sottoscrittore di disconoscere la propria firma digitale (fatta salva la possibilità di querela di falso).
Esempi tipici dell’utilizzo della firma digitale possono essere ricercati in tutti gli adempimenti da effettuarsi verso le amministrazioni che richiedono appunto la sottoscrizione di una volontà: denunce, dichiarazioni di cambi di residenza, di domicilio, richieste di contributi, di esenzioni a pagamenti a causa del reddito o di altre condizioni particolari, ricorsi, ecc.
Fra privati può trovare un interessante impiego nella sottoscrizione di contratti, verbali di riunioni, ordini di acquisto, risposte a bandi di gara, ecc.
Ancora, la firma digitale trova già da tempo applicazione nel protocollo informatico, nella procedura di archiviazione documentale, nel mandato informatico di pagamento, nei servizi camerali, nelle procedure telematiche d’acquisto, ecc.

La diffusione della "firma digitale" in Europa
Nell’ambito del F.E.S.A. (Forum of European Supervisor Authority), il cui scopo è far incontrare rappresentanti dei vari organismi di vigilanza nazionali in Europa per l’armonizzazione dei principi e delle tecniche fondamentali che regolano la materia nei rispettivi Stati, si è proceduto alla verifica della diffusione della firma digitale. Da questa analisi, (eseguita nell’ottobre 2002) è emerso che l’Italia era, con 500.000 certificati lo Stato con la maggiore diffusione di certificati, seguita dalla Norvegia con 32.000, e dalla Germania (26.000).
Nel primo trimestre 2004 il numero dei dispositivi rilasciati in Italia per la firma digitale ha superato 1.250.000 unità.
La firma digitale generata in qualunque Stato membro della Comunità deve, sulla base dei trattati comunitari, essere riconosciuta dagli altri Stati. Al fine di rendere agevole tale mutuo riconoscimento è indispensabile che le norme nazionali di recepimento della Direttiva europea 1999/93/CE sulle firme elettroniche nei rispettivi Stati, forniscano un insieme comune di garanzie e certezze. Anche a tale fine diversi organismi fra cui l’EESSI, la Commissione sancita dall’articolo 9 della citata Direttiva europea, l’ETSI, il FESA, stanno lavorando per affinare la Direttiva stessa e realizzare nel contempo degli standard la cui applicazione consenta appunto di raggiungere un adeguato livello di fiducia in tutta la Comunità.
La diffusione della firma digitale in Europa e il suo utilizzo fra gli Stati è una sfida non da poco.
Basti pensare quanto è stato complicato raggiungere l’interoperabilità, perlomeno nel processo di verifica, in Italia, dove si aveva comunque il grande vantaggio derivante dal fatto che tutti i protagonisti (certificatori e titolari) dovevano sottostare alle medesime norme.

Il valore legale della firma digitale in Italia
La firma digitale ha trovato l’impianto legislativo necessario per il proprio utilizzo con la pubblicazione, in data 15 aprile 1999, delle regole tecniche costituite dal Decreto del Presidente del Consiglio dei Ministri 8 febbraio 1999 (oggi sostituito dal DPCM 13 gennaio 2004).
In data 27 gennaio 2000 veniva incluso, nell’elenco pubblico dei certificatori, il primo soggetto autorizzato a rilasciare dispositivi di firma digitale utilizzabili per poter sottoscrivere documenti informatici con la medesima validità giuridica della firma autografa. Un richiamo ben preciso all’articolo 2702 del codice civile ne sanciva, infatti, la validità giuridica, prevedendo appunto che "La scrittura privata fa piena prova, fino a querela di falso, della provenienza delle dichiarazioni da chi l'ha sottoscritta, se colui contro il quale la scrittura è prodotta ne riconosce la sottoscrizione, ovvero se questa è legalmente considerata come riconosciuta".
Quindi la firma digitale era giuridicamente valida, fatta salva la possibilità per il presunto sottoscrittore di disconoscerne la paternità. In tale evenienza era la controparte, e non il sottoscrittore, a doverne dimostrare la reale paternità.
Diversamente se una firma è "legalmente considerata come riconosciuta", ed è il caso ad esempio di una firma autenticata da un pubblico ufficiale, è il sottoscrittore che, per vederne nulli gli effetti, deve intentare una querela di falso.
Con il recepimento della Direttiva europea sulle firme elettroniche 1999/93/CE le cose sono cambiate.
Difatti, già il primo provvedimento legislativo, il DLGS 23 gennaio 2002, n.10, modificando l’articolo 10 (L) " Forma ed efficacia del documento informatico" del DPR 28 dicembre 2000, n.445 – dove era confluito il DPR 10 novembre 1997, n.513 – modificava, rafforzandolo, il valore giuridico di una sottoscrizione effettuata con firma digitale. Detto articolo, al comma 3, prescrive che " Il documento informatico, quando è sottoscritto con firma digitale o con un altro tipo di firma elettronica avanzata, e la firma è basata su di un certificato qualificato ed è generata mediante un dispositivo per la creazione di una firma sicura, fa inoltre piena prova, fino a querela di falso, della provenienza delle dichiarazioni da chi l’ha sottoscritto".
Quindi, alla sottoscrizione con firma digitale "forte" (quella che possiede le seguenti caratteristiche: 1- è una firma elettronica avanzata, 2- è basata su un certificato qualificato, 3- è generata per mezzo di un dispositivo sicuro per la generazione delle firme) viene data la medesima validità giuridica di una firma autografa autenticata da un pubblico ufficiale.
A tutte le altre possibili tipologie di firme elettroniche, cioè quelle cui mancano uno o più delle tre caratteristiche indicate nel periodo precedente, viene esplicitamente conferito valore probatorio.
In un procedimento legale tali firme elettroniche dovranno essere di volta in volta analizzate dal giudice (che si avvarrà certamente di un perito) che deciderà se ammetterle quali prove in giudizio.

La procedura di verifica
La procedura di verifica della firma digitale apposta ad un documento informatico consiste sostanzialmente nel verificare che:
1. il documento non sia stato modificato dopo la firma;
2. il certificato del sottoscrittore sia garantito da una Autorità di Certificazione (CA) inclusa nell’Elenco Pubblico dei Certificatori;
3. il certificato del sottoscrittore non sia scaduto;
4. il certificato del sottoscrittore non sia stato sospeso o revocato.
Per eseguire queste verifiche, oltre che per rendere leggibile il contenuto del documento, sono utilizzati specifici software.
Per eseguire le verifiche è sufficiente essere dotati di un personal computer, di un prodotto utile per la verifica e del collegamento ad Internet per la verifica con il prodotto disponibile via web.
I software di verifica si collegano alla lista di revoca dove il certificatore che ha emesso il certificato qualificato renderà disponibili le informazioni relative alla sospensione o revoca del certificato nel caso in cui si verifichi.

6 – GLI ATTACCHI ALLA SICUREZZA

Cookies
sono file di testo che vengono memorizzati nel disco rigido del PC di un utente quando questi visita un sito Web che decida di farne uso e permettono al sito Web stesso di identificare il PC dell'utente, attraverso le informazioni in esso memorizzate, ogniqualvolta si ha un nuovo contatto fra il PC e quel sito Web.
Le informazioni possono essere di vario genere: le pagine visitate, gli annunci pubblicitari consultati, il numero identificativo dell'utente (GUI, Global Unique Identifier), etc.
Per personalizzare l'invio dei messaggi pubblicitari, alcune società pubblicitarie profilano gli utenti attraverso cookies che sono inviati al PC dell'utente utilizzando il legame ipertestuale invisibile fra il sito Web visitato e la società pubblicitaria. Tali briciole di informazioni possono essere volatili e quindi conservate nella memoria del calcolatore oppure persistenti ovvero immagazzinate sull' Hard disk sotto forma di piccoli file di testo.
La struttura dei dati memorizzati è rigida ed è composta in genere da:
un nome univoco che permette di riconoscere un ben preciso cookie tra molti;
un valore che si desidera memorizzare nel cookie;
una data di scadenza [opzionale] superata la quale il cookie sarà rimosso dal sistema;
l'indirizzo Internet, la c.d. URL (uniform resource locator), più un eventuale path, ovvero il percorso del dominio che manda il cookie. Solo il dominio che ha depositato il cookie è infatti autorizzato a leggerlo;
un campo sicurezza che indica se il cookie deve essere trasmesso con connessione sicura (per evitare che durante la comunicazione esso sia intercettato e letto da persone non autorizzate).
Nel momento in cui viene stabilita una comunicazione con un sito Internet, quest'ultimo può proporre al browser la memorizzazione di una o più informazioni (strutturate come visto in precedenza). Si noti che si tratta solo di una richiesta che potrebbe anche non essere accettata (è prevista infatti, praticamente in tutti i browser, la possibilità di rifiutare, limitare o comunque regolamentare la memorizzazione di informazioni sull'elaboratore). Invece un cookie già memorizzato in una precedente sessione verrà trasmesso automaticamente dal browser verso il sito all'inizio di ogni connessione (almeno fin quando esso non viene rimosso dal calcolatore perché superata la data di scadenza).

Spywares
Gli spywares sono programmi installati in modo occulto sul PC dell'utente, ad esempio, al momento in cui questi scarica un programma di grandi dimensioni, anche di tipo musicale, che permettono di raccogliere informazioni sul nostro personal computer e sulle nostre abitudini e di trasmetterle, via Internet, a terze parti per raccogliere dati personali come, per esempio, i file musicali ascoltati più di frequente.
Sono applicazioni definite "applicazioni ET" perché una volta entrate nel PC dell'utente e apprese le informazioni necessarie, fanno quello che faceva l'extraterrestre di Spielberg: "telefonano a casa".
Molto spesso la raccolta e la trasmissione di dati personali avviene senza il nostro consenso: si tratta quindi di una pratica illegittima, in Italia come in altri Paesi. Il pericolo giunge dai software shareware e freeware che fanno uso della tecnologia adware ossia da gran parte delle applicazioni che, mentre sono in esecuzione, visualizzano banner pubblicitari. Tali banner vengono, infatti, prelevati da un server che si occupa della loro gestione: è facile, quindi, intuire come si instauri, in questo caso, un collegamento diretto tra il nostro personal computer e un server Web che si occupa dell'esposizione di banner.
Tra le principali società che seguono lo sviluppo e la fornitura della tecnologia che permette la visualizzazione di banner pubblicitari all'interno di pacchetti software vi sono Radiate, Cydoor, Web3000 e Flyswat.
L'esposizione dei banner, di per se stessa, non costituisce alcun problema, né viola in alcun modo la privacy dell'utente. Va sottolineato, poi, come alcuni software gratuiti o meno facciano uso di banner pubblicitari senza però adottare alcuna pratica lesiva nei confronti dell'utente.
I software shareware e freeware, distribuiti gratuitamente via Internet, sono migliaia, ma ben poche sono le persone che, a fronte di un esborso economico di solito abbastanza contenuto, si registrano presso gli autori acquistando una licenza d'uso personale. Per ovviare a questo problema alcuni sviluppatori hanno deciso di fare uso della tecnologia adware messa a disposizione dalle società precedentemente citate: a fronte dell'esposizione di banner pubblicitari all'interno dei loro prodotti software, essi ricevono un compenso variabile che, qualora il proprio programma abbia successo su scala mondiale, possono portare a grandi guadagni.
Si tratta di una tecnologia potenzialmente pericolosa per il fatto che, quando utilizziamo software adware, non possiamo sapere, in modo certo, quali dati vengono trasmessi durante la connessione Internet. I programmi adware, in quanto tali, ricevono dati da un server Web (le informazioni riguardanti i banner pubblicitari che il programma deve esporre), ma come possiamo essere certi che la comunicazione avvenga solo in questa direzione e non vi sia, quindi, anche una trasmissione di informazioni dal nostro computer verso la rete Internet?
È proprio questa la differenza che distingue i software adware dagli spywares. Mentre i primi si limitano esclusivamente a ricevere informazioni da Internet in modo da visualizzare banner pubblicitari, i secondi inviano spesso anche dati relativi alla nostra identità, alle nostre abitudini, alle informazioni memorizzate sul personal computer, i siti visitati, il contenuto delle finestre pop up, le user ID, password o e-mail digitate sulla tastiera.
Si pensi, per esempio, a quali e quante informazioni siano memorizzate all'interno del registro di sistema di Windows: codici di registrazione di software con il nostro nome e cognome in chiaro, username e password per la connessione ad Internet e tanti altri dati relativi alle applicazioni installate ed alla configurazione del sistema. Operazione assai semplice risulterebbe per un programma recuperare questi dati e ritrasmetterli altrove attraverso la Rete.

Virus, Virus Trojani ed i Worm
Esistono molteplici tipologie di virus, ma, in linea di massima, possiamo distinguerli in due categorie:

i virus:

sono software dannosi per il sistema informatico. Possono causare differenti tipologie di danni. I primi virus nacquero nell’Europa dell’Est, come un gioco-sfida tra sviluppatori di software. Il primo virus famoso e pesantemente dannoso si chiamava Michelangelo, e distruggeva fisicamente i supporti di memoria soltanto il giorno del compleanno del Buonarroti: per la cronaca, il 6 Marzo 1475. Questo per dare un’idea della teorica potenza distruttiva di un virus qualsiasi. Ultimamente, invece, questi programmi pericolosi, per lo più, si trasmettono via posta elettronica, andando ad analizzare la lista dei contatti e replicandosi autonomamente sino a raggiungere i malcapitati destinatari, che, peraltro, ingannati dal mittente “amico”, potrebbero non curarsi di verificare la sicurezza del messaggio, aprendolo ed auto-installando, a loro volta, il software dannoso. Una volta installatosi, il virus può generare una serie distinta di malfunzionamenti al sistema, sino a causarne il blocco completo, o la totale perdita dei dati. Taluni si sostituiscono ai file eseguibili (file con estensione .EXE o .COM), ovvero ai file in grado di “lanciare” (cioè far partire) altri software non dannosi, come, ad esempio, i programmi di video scrittura o i fogli di calcolo. Quando questo tipo di virus avrà contaminato tutti gli altri software presenti sull’hard disk (la memoria fisica del personale computer), avrà completato la sua riproduzione, nonché conquistato il controllo del pc. Ma questi sono soltanto un paio di esempi tra le innumerevoli centinaia di migliaia.

i trojans:

sono considerati “agli occhi” degli antivirus quali veri e propri software dannosi, tuttavia sono nati soltanto per il controllo a distanza delle apparecchiature informatiche. Ma cosa sono in realtà i trojani? Sono dei software che, installati nella macchina “vittima” (così in gergo definita) instaurano una vera e propria connessione di tipo SERVER/CLIENT, di cui avevamo già accennato nella nostra introduzione. Una volta installato il trojano, la vittima (che nella fattispecie diventa un server) viene ad essere controllata totalmente a distanza dal client, che può attivare azioni anche altamente rischiose. Il controllo è davvero totale: si tratta di poter avere non solo accesso ai dati, ma anche di poterli modificare o cancellare, ed alcuni trojan consentono persino di poter visualizzare ciò che sta avvenendo sulla macchina vittima, visualizzare l’output di una webcam, ascoltare i suoni della scheda sonora, o, addirittura, aprire e chiudere il cd-rom, oltre che le normali applicazioni in uso. Nomi famosi tra essi sono il SubSeven, il NetBus o il VNC. In realtà tali software sono distribuiti in commercio legalmente quali programmi di controllo a distanza, e le software house che le producono si liberano da ogni responsabilità per un eventuale utilizzo dannoso del loro prodotto.

Falle dei browser e Worms:

i worms (virus che, “come i vermi” si introducono nei sistemi operativi) sono attualmente il maggior problema per i personal computer non protetti da antivirus e privi altresì di aggiornamenti costanti giornalieri. Ma cosa sono e come vengono sfruttate queste c.d. falle nella sicurezza dei browser? Innanzitutto i browser sono software per la navigazione in rete (quali Internet Explorer o Opera). Ma come tutto ciò che è prodotto dall’uomo, non sono perfetti: spesso capita che esperti hacker (pirati informatici) individuino dei difetti nel software che permettono loro di aver accesso ai computer remoti. Questi difetti devono essere corretti dal produttore stesso del browser, che deve fornire il prima possibile una patch, ovvero un aggiornamento correttivo delle falle. In mancanza di tali aggiornamenti, il computer è totalmente esposto all’accesso di virus e malintenzionati. Ultimamente questi virus hanno generato non indifferenti problemi tecnici, ma soprattutto economici, infatti si stima che soltanto i 3 virus chiamati Blaster, Sasser e Lovsan, e loro varianti, abbiano causato miliardi di dollari di danni in termini di assistenza tecnica, di perdita dei dati nonché di perdite di tempo.

Spamming
Lo spamming e l’attività di produzione di “spam”, ossia i messaggi che sono diffusi avvalendosi delle funzionalità della Rete, senza rispettare lo scopo per il quale tali funzionalità esistono.
I messaggi di spam vengono anche chiamati UCE: Unsolicited Commercial E-mail.
Generalmente s’intende un messaggio, tipicamente pubblicitario, che viene spedito a tappeto su decine di gruppi di discussione, o a centinaia di persone via e-mail, senza che esso rientri nell’argomento di discussione dei gruppi, o che le persone che lo ricevono l'abbiano richiesto.
Il punto fondamentale riguarda, però, le implicazioni economiche dello spam: colui che effettua spam (definibile spammer) nell’arco di qualche ora può facilmente raggiungere milioni di destinatari, di conseguenza, i costi complessivi associati alla distribuzione di uno spam possono essere molto elevati. Si è calcolato che la distribuzione di un tipico spam ha un costo di alcune centinaia di milioni di euro.
Le componenti coinvolte sono molteplici:

Il tempo perduto dai destinatari per scaricare, verificare e cancellare il messaggio (ad esempio, cinque secondi moltiplicato per un milione di destinatari corrisponde a 1400 ore di lavoro); i costi di banda sostenuti da provider e utenti (collegamento via telefono) per il trasporto del messaggio (ad esempio, 10kB moltiplicato per un milione corrisponde a 10GB di dati, il cui transito prende circa 20 giorni di tempo-linea assumendo una velocità di trasmissione media).
I danni (sia quelli diretti sui sistemi che quelli indiretti dovuti ai malfunzionamenti) causati dalle congestioni indotte dallo spam.
I danni di immagine per i provider che subiscono il cosiddetto “spoofing”, una tecnica tramite la quale lo spammer si appoggia ad un indirizzo terzo che non gli appartiene (oppure inesistente), per mascherare la reale provenienza del messaggio e deviare le eventuali risposte di protesta al possessore di questo indirizzo terzo.

Ora si ragioni sui danni sopra citati e si pensi che, ad oggi, il 60% delle e-mail in circolazione sono costituite da spamming!
Pertanto, al di là del puro e semplice disturbo che può provocare lo spam, siamo in presenza di un fenomeno con un forte impatto economico negativo su tutta l'industria di internet e sulla sicurezza, visto che attraverso lo spamming possono anche arrivare virus e trojan e altri programmi lesivi della sicurezza dei nostri pc.
Il problema più grande dello spam è che non esiste una normativa regolamentatrice del fenomeno, o quantomeno non esiste in tutti paesi. abbiamo una situazione abbastanza disomogenea, passando da paesi in cui già si è a buon punto (alcuni stati usa) a paesi in cui, ancora, si sta lavorando al problema e si adattano, ove possibile, norme pensate per altri scopi (Italia).
Semplificando possiamo affermare che gli orientamenti legislativi si alternano fra due estremi.

Il primo è normalmente appoggiato dagli spammer, ed è la soluzione chiamata “opt-out”, la quale autorizza l'invio di UCE salvo l'espresso rifiuto da parte del destinatario. Questa soluzione richiede un ruolo attivo da parte del destinatario, che può manifestare il suo rifiuto in due modi: singolarmente, richiedendo al mittente di togliere dagli elenchi dei destinatari il proprio indirizzo e-mail, oppure tramite una lista universale di esclusione con cui ogni utente può rifiutare una categoria di e-mail non richieste. Questa soluzione a volte si presenta sotto altre forme come il cosiddetto opt-out globale, o global remove list. L’ opt-out è gradito a chi svolge attività di spam perchè in ogni modo permette un primo contatto con il potenziale cliente, ma è una soluzione osteggiata dagli utenti poiché implica un traffico e-mail in arrivo notevole, e non garantisce in nessun modo il rispetto della propria casella di posta elettronica.
Il secondo orientamento è quello dell’“opt-in”, ed è appoggiato in particolare dai provider e dalle associazioni degli utenti, tra le quali le più importanti sono CAUCE e EUROCAUCE. Questa soluzione consiste nel vietare completamente l’invio di messaggi pubblicitari salvo una preventiva accettazione dei destinatari. Anche quando questa condizione è stata soddisfatta, il mittente deve tuttavia fornire un esatto indirizzo per la risposta e deve identificarsi correttamente. Secondo i suoi sostenitori, questo sistema interrompe il trasferimento dei costi sui destinatari. Quindi inviare e-mail pubblicitarie senza il consenso del destinatario è vietato dalla legge. Se questa attività, specie se sistematica, è effettuata a fini di profitto si viola anche una norma penale e il fatto può essere denunciato all’autorità giudiziaria.

Attacchi di forza bruta (Brute Force)
Sono software, che all’interno di un computer, di una rete o di un singolo file, permettono di recuperare le parole chiave (password). Attivano un processo che genera tante combinazioni di caratteri ASCII (cioè tutti i simboli possibili in un computer) sino a trovare la password desiderata. Questi attacchi sono tanto più potenti quanto inferiore è, ovviamente, il livello di crittografia (di cui tratteremo più avanti). Per l’utente singolo possono non essere molto dannosi, mentre per quanto riguarda aziende e banche, questi attacchi, se persino combinati con controlli a distanza di virus trojani, è comprensibile quanto possano causare seri danni alla sicurezza.

7 - LE TIPOLOGIE DI DIFESA

Dopo aver analizzato alcune delle più diffuse tipologie di attacchi telematici, si passi ora ad esaminare i più importanti strumenti di difesa che le aziende hanno a disposizione per la protezione del loro sistema informativo.

I Firewall
Lo strumento che spesso viene utilizzato per proteggere il proprio sistema da intrusioni non autorizzate e per definire contemporaneamente l’area accessibile agli utenti autorizzati è il Firewall (muro taglia fuoco). Tale strumento consente di regolamentare la sicurezza dei flussi informativi fra le reti, tenendo fuori dalla portata di hacker e di malicious code i dati strategici dell’azienda.
Il Firewall separa e protegge la rete privata aziendale: solo gli utenti autorizzati internamente sono in grado di passare attraverso il punto di controllo e di usufruire dei servizi Internet, mentre gli utenti esterni non autorizzati non riescono ad accedere direttamente al sistema interno. Le aziende connesse ad Internet utilizzano frequentemente tale strumento per proteggere il proprio network privato dalle intrusioni esterne, per prevenire accessi non autorizzati e diminuire il rischio di trafugamento di informazioni confidenziali.

Gli Intrusion Detection System
Accanto al sistema dei Firewall, che ha il compito di prevenire gli attacchi tramite il controllo degli accessi, le aziende utilizzano spesso la funzione di auditing che registra i tentativi di attacco e consente la segnalazione delle possibili violazioni in atto. I file di log registrano tutte le transazioni e sono spesso oggetto di analisi per verificare le comunicazioni e gli eventuali problemi di security: questi files devono essere tutelati in modo particolare visto che sono oggetto di particolare attenzione da parte degli hacker che cercano sempre di modificarli per cancellare le proprie tracce di intrusione. Gli Intrusion Detection System (IDS) processano i log files ed evidenziano le violazioni in atto; tale processo può essere svolto sia in tempo reale, attraverso il lancio di una serie di messaggi di allarme prima che l’hacker sia penetrato, sia successivamente alla violazione.
Due sono le metodologie operative utilizzate dagli IDS:
· Il controllo delle firme degli attacchi: secondo questa procedura vengono stabilite le firme sintomatiche di un attacco in corso e vengono raccolte in un database. Nel caso in cui si verifichi la corrispondenza delle firme tra il log file e il database, viene immediatamente segnalata l’intrusione e attuata una contromisura.
· Il riconoscimento delle anomalie: il motore dell’IDS, una volta istruito sul funzionamento dell’ambiente in cui è installato, è in grado di riconoscere le anomalie del comportamento definendole come possibili violazioni in atto.

La Crittografia
La crittografia è una tecnica che consente di creare e di utilizzare un sistema cifrato per garantire la riservatezza e l’immodificabilità dei dati scambiati in Rete. Questa tecnica garantisce la sicurezza delle trasmissioni dei dati sulla rete pubblica visto che il testo originale, denominato anche testo in chiaro, viene convertito, attraverso l’utilizzo di un algoritmo di crittografia, in un testo cifrato che sarà poi leggibile solamente da colui che possiede l’opportuna chiave di decifrazione.
Le tecnologie di cifratura principali sono i sistemi crittografici a chiave privata (simmetrica) e quelli a chiave pubblica (asimmetrica). I primi prevedono l’impiego di un’unica chiave di codifica/decodifica, conosciuta sia dall’emittente che dal destinatario, mentre i secondi prevedono l’utilizzo di due chiavi, una per cifrare il messaggio e l’altra per decifrarlo: in questo secondo caso la chiave di cifratura è pubblica, mentre quella di decifrazione è segreta e privata.

Gli Antivirus
Come già riportato in precedenza una delle contromisure più efficaci e diffuse nella lotta alla proliferazione dei malicious code è rappresentata dall’utilizzo degli antivirus.
E’ fondamentale però che gli utenti svolgano periodici aggiornamenti del software antivirus installato sul sistema affinché esso sia in grado di intercettare anche i virus più innovativi e di mettere in atto una serie di misure preventive (back up, scanning dei file) atte ad evitare la possibilità di subire attacchi. I moderni virus in circolazione però spesso impiegano delle routine di funzionamento perfettamente legali, utilizzate cioè anche da altri programmi: il rischio consiste quindi nel creare tipologie di antivirus che non riescano a distinguere i programmi utilizzati dai virus o viceversa.

Fonte: http://davidebenza.altervista.org/triennale/Diritto_commerciale.zip

Sito web da visitare: http://davidebenza.altervista.org/

Autore del testo: R. Boscetto

Nota : se siete l'autore del testo sopra indicato inviateci un e-mail con i vostri dati , dopo le opportune verifiche inseriremo i vostri dati o in base alla vostra eventuale richiesta rimuoveremo il testo.

Sicurezza in internet