INTRODUZIONE CYBERSECURITY 1

La cybersecurity è la prassi di proteggere i sistemi, le reti e i programmi dagli attacchi digitali, di

solito finalizzati all'accesso, alla trasformazione o alla distruzione di informazioni sensibili, nonché
all'estorsione di denaro agli utenti o all'interruzione dei normali processi aziendali.
L'implementazione di misure di cybersecurity efficaci è particolarmente impegnativa oggi perché ci
sono più dispositivi che persone, quindi un aumento della superficie di attacco e gli hacker stanno
diventando sempre più innovativi. Particolare attenzione ai sistemi obsoleti, punti di accesso facili
per un intruder.
Pagare un riscatto in Italia è illegittimo, quindi penalmente perseguibile, in quanto può inquadrarsi
in un favoreggiamento al malintenzionato. Per cui quando succedono queste cose è un problema
gravissimo e le conseguenze si protraggono nel tempo, a volte non si sanano mai. Da una decina di
anni in Italia si è avviato un piano strategico nazionale per la cybersecurity l’ACN, Agenzia
Cybersicurezza Nazionale, volta a formare il CSIRT, Computer Security Incident Response Team,
cioè un’organizzazione che in tempo reale cerca di monitorare i nuovi attacchi e diffondere
informazioni più velocemente possibile, come una gestione di un’emergenza. I suoi difetti sono una
sovra o sottostima di una pericolosità, però il fatto che questo sistema esiste è fondamentale.

1- EVOLUZIONE delle TECNICHE di ATTACCO

- PHISHING
Prassi di inviare e-mail fraudolente che assomigliano a
e-mail provenienti da fonti affidabili. Una delle
contromisure, studiata nei primi anni 2000, era quella
di aumentare il costo computazionale per inviare un’e-
mail, non fu mai messo in pratica poiché anche le
aziende hanno la necessità d’inviare un numero molto
elevato.

- RANSOMWARE
Ideato da ricercatori per scopi di ricerca, divenne una minaccia reale quando implementato.
È un programma informatico dannoso, malevolo, che può infettare un dispositivo digitale
bloccando l’accesso a tutti o ad alcuni dei suoi contenuti per poi chiedere un riscatto, in
inglese ransom, da pagare per liberarli. La richiesta di
pagamento, con le relative istruzioni, compare di solito
in una finestra che si apre automaticamente sullo
schermo del dispositivo infettato. All’utente viene
minacciosamente comunicato che ha poche ore o pochi
giorni per effettuare il versamento del riscatto, altrimenti
il blocco dei contenuti diventerà definitivo.

1
- SOCIAL ENGINEERING
Tipico attacco d’ingegneria sociale, il criminale
informatico comunica con la vittima sostenendo di far
parte di un’azienda fidati, In alcuni casi, proverà
addirittura a fingersi una persona conosciuta.

- PHONE HACKING
Target privilegiato in quanto un telefono contiene informazioni più
interessanti, inoltre è più limitato dal punto di vista della protezione
rispetto un server.

- SIM SWAPPING
Tipo di frode che colpisce gli operatori di telefonia
mobile. Con l'inganno, i criminali informatici
impersonano il legittimo cliente e ottengono il duplicato
non autorizzato della sua scheda SIM.

- DEEPFAKES
Usare l’intelligenza artificiale per creare cloni di persone.

- MELTDOWN e SPECTRE
Ho un sistema crittografico che metto su un hardware per farlo eseguire → side channel
attack: attacco l’hardware per farmi dare info sul sistema crittografico da qui appunto il
nome attacchi a canale laterale. Esempi di attacchi: calcolo del tempo di cifratura, analisi
della corrente consumata, del campo elettromagnetico prodotto dal sistema cifrante, cioè di
tutto ciò che non riguarda l’algoritmo cifrante ma tutto ciò che sta intorno.
Meltdown vulnerabilità hardware, resa pubblica
congiuntamente a spectre il 3 gennaio 2018, che
colpisce microprocessori Intel e ARM (l'architettura
ARM, in elettronica e informatica, indica una famiglia
di microprocessori RISC a 32-bit e 64-bit sviluppata
da ARM Holdings e utilizzata in una moltitudine
di sistemi embedded. Grazie alle sue caratteristiche di
basso consumo elettrico, rapportato alle prestazioni, l'architettura ARM domina il settore
dei dispositivi mobili dove il risparmio energetico delle batterie è fondamentale), che
permette a programmi e potenziali attaccanti di accedere ad aree protette di memoria di
un computer. I microprocessori AMD non sembrano colpiti.
Spectre è una vulnerabilità hardware nell'implementazione della predizione delle
diramazioni nei moderni microprocessori con esecuzione speculativa (tecnica
di ottimizzazione che consiste nel fare eseguire al computer operazioni che potrebbero
2
 essere necessarie solo in un secondo tempo. Elaborando i dati prima di sapere se è davvero
necessario farlo può ridurre i ritardi che si avrebbero facendo il lavoro solo dopo aver
saputo se è davvero necessario o no. Se ad un certo momento del flusso di esecuzione il
lavoro svolto anticipatamente si dimostra inutile, allora i risultati ottenuti verranno
semplicemente ignorati), che consente ai processi dannosi di accedere al contenuto
della memoria mappata di altri programmi.

- QUANTUM COMPUTER
Computer che può eseguire attacchi non eseguibili con un computer tradizionale, in quanto
è stato dimostrato che riesce a risolvere un problema matematico difficile per un computer
tradizionale, per cui tutta la crittografia classica asimmetrica è da buttare. Vi è dunque
molta attività di ricerca e sviluppo di crittografia post-quantum, cioè di crittografia che
possa resistere anche quando gli attaccanti avranno quantum computer.

2- SICUREZZA a TUTTI i LIVELLI PROTOCOLLARI

Modello OSI, acronimo di Open Systems
Interconnection, conosciuto anche come modello o pila
ISO/OSI, in telecomunicazioni e informatica, è
uno standard stabilito nel 1984 dall'International
Organization for Standardization, ISO, il principale
ente di standardizzazione internazionale, il quale sentì
la necessità di produrre una serie di norme tecniche per
legge, per reti di calcolatori, avviando il progetto per la
definizione di un modello di riferimento a formato
aperto per l'interconnessione di sistemi di computer.
Tale modello stabilisce per l'architettura logica di rete,
una struttura a strati composta da una pila di protocolli
di comunicazione di rete suddivisa in 7 livelli, i quali
insieme eseguono tutte le funzionalità della rete,
seguendo un modello logico-gerarchico. Di fatto lo standard affermatosi per architetture di rete
a livelli è invece il TCP/IP, Transmission Control Protocol e Internet Protocol, pila
protocollare a 4 livelli: il livello fisico è inglobato con il livello collegamento, poi ci sono i
livelli di rete e di trasporto lasciati uguali ed i 3 livelli dati messi insieme.

La sicurezza deve coprire tutti i livelli, l’anello debole determina la disfatta, e la si fa utilizzando
standard di sicurezza. Esistono standard che coprono uno o più livelli ma non ve n’è uno per il
livello fisico, esistono però protocolli in grado di estendere la copertura anche al livello 1, per
esempio nelle reti wireless faccio una cifratura dei dati al livello 2, se qualcuno li intercetta al
livello 1 trova dati cifrati.

3
3- GENERAL DATA PROTECTION REGULATION, GDPR
Chiarisce come i dati personali debbano essere
trattati, incluse le modalità di raccolta, utilizzo,
protezione e condivisione. L’obiettivo è quello di
rafforzare la protezione dei dati per tutte le persone
le cui informazioni personali rientrano nel suo
campo di applicazione, dando loro il pieno controllo
dei propri dati. I dati personali nel contesto del
GDPR si riferiscono a tutti i dati relativi a una
persona vivente identificata o identificabile. Esempi di dati personali includono, ma non si
limitano a, dati identificativi come nomi, dati genetici, biometrici o inerenti la salute, dati web
come indirizzi IP, indirizzi e-mail personali, opinioni politiche e orientamento sessuale.
Diritti degli interessati:
- Diritto all’informazione;
- Diritto di accesso;
- Diritto alla rettifica;
- Diritto di revoca del consenso;
- Diritto di opporsi;
- Diritto di opporsi al trattamento automatizzato;
- Diritto all’oblio;
- Diritto alla portabilità dei dati.
Il Regolamento sulla Data Protection, applicato a tutti i membri UE dal 25 maggio 2018,
disciplina l’istituzione della figura del Data Protection Officer, DPO, in italiano Responsabile
della protezione dei dati. Il DPO, figura storicamente già presente in alcune legislazioni
europee, è un professionista che deve avere un ruolo aziendale, sia esso soggetto interno o
esterno, con competenze giuridiche, informatiche, di risk management e di analisi dei processi.
La sua responsabilità principale è quella di osservare, valutare e organizzare la gestione del
trattamento di dati personali e dunque la loro protezione, all’interno di un’azienda sia essa
pubblica che privata, affinché questi siano trattati nel rispetto delle normative privacy europee e
nazionali.
Negli Stati Uniti non ci sono le stesse garanzie che ci sono in Europa, persino Google, in origine
non compliant (trad. conforme) alla GDPR, ha dovuto rivedere alcune sue politiche per poter
essere utilizzata in Europa.
C’è un ambito a metà tra il mondo sommerso ed emerso, che si chiama blockchain, dove i dati
non possono essere rimossi e quindi fanculo GDPR.

4
4- DARK WEB
La parte della rete internet utilizzata
quotidianamente è la surface web,
aperta a tutti, il cosiddetto World Wide
Web, www, cioè un sottoinsieme della
rete internet i cui contenuti sono stati
resi facilmente rintracciabili tramite
l’URL, Uniform Resource Locator,
cioè stringa mnemonica che riporta ad
un qualche contenuto.
Esiste però una parte del World Wide
Web, il deep web, non rintracciabile dai
motori di ricerca perché fatti trascurare
volontariamente, ad esempio quando
condivido un file viene creato un URL
non rintracciabile dalla barra di ricerca
ma soltanto chi ha l’autorizzazione
riesce a farlo.
C’è poi un’ultima parte, il dark web,
dove non esiste più l’URL perché fuori
dal www ma dentro un altro network,
con altri indirizzi, regole e con una
tecnologia che si chiama TOR, The Onion Routing, basata su crittografia
che fa in modo che le connessioni, cioè i percorsi logici che i pacchetti
fanno attraverso la rete non siano tracciabili, per cui ogni nodo intermedio
della rete, router, non sa qual è la destinazione finale dei pacchetti che lo
attraversano, sa soltanto da dove vengono e dove deve indirizzarli. TOR nasce da un progetto di
ricerca della marina statunitense, usata per garantire la libertà di espressione nei paesi dove non
è possibile ma purtroppo è anche sfruttata per scopi criminali, grazie all’anonimato e non
tracciabilità dei pacchetti. Dentro TOR ci sono grossi elenchi di dati rubati, difficilmente si
riescono a cancellare perché nascosti.