Panoramica sulla sicurezza informatica

Linux Day 2002

Daniele Duca - daniele@danieleduca.it

I due principali approcci per il releasing del software

Closed Source

Open Source

L' approccio closed source...

http://www.osopinion.com/Opinions/AlanCox/AlanCox1.html

Il principio di Kerckhoff (http://www.counterpane.com/crypto-gram-0205.html)

Per rendere un codice piu' sicuro e' necessario svelarlo al pubblico

Manutenibilita'

Il caso Internet Explorer (http://pivx.com/larholm/unpatched/), 31 vulnerabilita' non patchate al 1° Novembre 2002

Dipendenza dalla azienda fornitrice

Basso profilo di personalizzazione

TCO effettivo piu' elevato

...e quello Open Source

Il caso NSA e SELinux (http://www.nsa.gov/selinux/index.html)

Possibilita' di miglioramento virtualmente infinite

Sicurezza del codice maggiore, vista la grandissima comunita'

Bassissima possibilita' di "black box"

Windows e la Registry Key NSA (http://www.amug.org/~glguerin/opinion/win-nsa-key.html)

TCO abbattuto a partire dal secondo anno

La scoperta delle vulnerabilita'

Non Discosure

Middle Disclosure

Full Disclosure

Non Disclosure ...

L'approccio

Scoperta della vulnerabilita'

Avviso del vendor

Scrittura della patch

Release della stessa senza troppi dettagli su cosa va a tappare

Svantaggi

Nessuno, oltre al vendor, ha notizia del problema

Eventuali scopritori della vulnerabilita' possono sfruttarla a loro piacere

L'utilizzatore si trova sostanzialmente scoperto

... Middle disclosure ...

L'approccio

Scoperta della vulnerabilita'

Avviso del vendor

Scrittura della patch

Release della stessa a un ristreto numero di utenti paganti

Release pubblica della patch e della vulnerabilita'

Svantaggi

Solo un ristretto numero di persone ha inizialmente notizia del problema

Chi scopre la vulnerabilita' nel tempo che va dalla release privata a quella pubblica puo' fare quello che vuole

... e Full Disclosure

L' approccio

Viene scoperta la vulnerabilita'

Si avvisa il vendor e tutta la comunita'

Il vendor o la comunita' propongono una patch

Di solito in tempi brevissimi, come ad esempio Apache

Vantaggi

Tutti sanno nel dettaglio cosa succede

Virtualmente tutti possono correggere il problema

Il feedback di una comunita' di migliaia di utenti e' sicuramente migliore di quello di un team ristretto

Svantaggi

Dipende se si e' vendor o utilizzatore...

Key Decision Flow Chart

Rrr

Quale distro?

In genere la sicurezza data dalle distribuzioni con installazione di default non e' sempre la migliore

RedHat (http://www.redhat.com)

Debian (http://www.debian.org)

Slackware (http://www.slackware.org)

Mandrake (http://www.mandrake.com)

United Linux (http://www.unitedlinux.com)

Suse (http://www.suse.de/en/)

Turbo Linux (http://www.turbolinux.com)

Sco (http://www.caldera.com)

E via dicendo...

Le politiche di sicurezza

Sicurezza fisica

Sicurezza locale

Sicurezza di rete

Sicurezza delle apparecchiature...

Non e' per niente da sottovalutare

Sistemi di allarme e antincendio

UPS

Ridondanza

RAID e LVM

Clustering e OpenMosix

Accessi controllati al CED

Password nel BIOS

Password del bootloader

Niente login automatici! (si veda ad esempio quello che permettono di fare le TweakUI su Windows)

... difendersi dai propri utenti ...

In genere, una buona parte delle intrusioni proviene dalla propria rete

Sicurezza delle tty

Limitare l'utilizzo di su

Impedire Denial of Service locali tramite ulimit

L' opzione nosuid per le partizioni

Integrity check

OpenWall

Ricompilare e usare chroot() (http://www.linuxsecurity.com/docs/LDP/Chroot-BIND-HOWTO.html)

Antivirus

Qmail - Amavis - rblsmtpd

... difendersi dagli altri

Firewall

Packet Filter

Stateful Firewall

Rimuovere servizi pericolosi (rsh, rlogin)

Packet sniffer

NFS e Samba

Autenticazione distribuita

Nis e LDAP

Verifica delle entry nel DNS

DOS (Denial Of Service) e DDOS (Distributed Denial Of Service)

Password, Crittografia e Backup

Le password troppo semplici sono una delle principali cause di break in

Conservare files importanti usando programmi di cifratura

PGP

GPG

SSH, SFTP, POPS, HTTPS

Backup

Effettuarli giornalmente

Tenerli in un posto sicuro

Tenere una history possibilmente mensile

VPN

Monitoraggio

Connettivita'

Dall interno...

...ma soprattutto dall'esterno

Remote logging con syslog

Network Scanners

SATAN

SAINT

NMAP

Il routing particolare di un noto carrier commerciale...

NESSUS

NIDS e IDS

Mantenersi aggiornati

L'aggiornamento dei sistemi e' cruciale

Aggiornare le apparecchiature di rete

Aggiornare i server

La chunked encoding vulnerability di Apache

Meno del 10% di intrusioni in sistemi italiani sono state denunciate

Responsabilita' legali

DPR n.318 legge n. 675 del 31/12/96

Le fonti migliori

Mailing list di sicurezza

Mailing list di annuncio

In caso di intrusione

Chi e' entrato, perche' e come

Hacker

Cracker

Script Kiddie

Decidere l'approccio

Tracciare l'intrusore ...

... o sbatterlo fuori

HoneyPot

Controllare cosa e' stato compromesso

Reinstallare da 0 e' da considerarsi buona norma dopo un intrusione

... perle ...

Reti Wireless

I segni sulla strada (http://www.macitynet.it/macity/aA10471/)

Warchalking intelligente (http://www.e3.com.au/stories.php?story=02/08/18/7667279)

Social engineering

Kevin Mitnick come esempio

La sicurezza alla sorgente: scrittura di codice robusto

Secure Programming for Unix and Linux HOWTO
http://www.dwheeler.com/secure-programs/Secure-Programs-HOWTO.html

Shoulder Surfing

Operational Guidelines for a Root Server (http://www.isi.edu/in-notes/rfc2870.txt)

Grazie per la vostra pazienza
Le slide sono anche disponibili sul sito
http://www.danieleduca.it

2002-12-07T02:44:24