Standard di sicurezza

Nel descrivere i vari aspetti della sicurezza informatica, è necessario adottare un modo sistematico per definire i requisiti di sicurezza e descrivere i meccanismi che possono essere utilizzati per garantire tali requisiti. A tale scopo, si fa utilizzando gli standard di sicurezza definiti da diversi enti internazionali, governativi e industriali. In particolare, per introdurre la sicurezza informatica è utile seguire lo standard ITU (International Telecommunicaiton Union) X.800, “Security Architecture for OSI”, il quale definisce sotanzialmente un’architettura di sicurezza di riferimento, focalizzandosi su tre aspetti: gli attacchi alla sicurezza, i servizi di sicurezza che soddisfano determinati requisiti, e i meccanismi di sicurezza impiegati per implementare tali servizi. Questo è un documento un po’ datato, che non tratta alcune delle problematiche più receenti, ma è assolutamente adeguato per fare una panoramica dei fondamenti.

Attacchi alla sicurezza

Un attacco alla sicurezza è una qualsiasi azione che compromette la sicurezza delle informazioni in possesso di un’organizzazione (o anche di risorse hardware, ecc.. — ad esempio, mandare offline un server è a tutti gli effetti un attacco). L’obiettivo della sicurezza è prevenire gli attacchi, o perlomeno scoprirli nel minor tempo possibile.

Più in generale, lo standard X.800 definisce security threat (minaccia alla sicurezza) qualunque minaccia che sfrutta le vulnerabilità di un sistema informativo (che esistono a causa di bug nel software, caratteristiche dei protocolli e dell’hardware impiegati, ecc…) per causare potenzialmente dei danni. Si distinguono due tipi di minacce:

• si ha una minaccia accidentale (accidental threat) quando si sfruttano in modo non intenzionale le vulnerabilità del sistema;
• si ha invece una minaccia intenzionale (intentional threat), ovvero un attacco “vero e proprio”, quando le vulnerabilità del sistema vengono sfruttate in modo “mirato”, con l’obiettivo di compromettere intenzionalmente la sicurezza.

Gli attacchi possono essere condotti dall’esterno o, spesso, dall’interno di un’organizzazione, e, in questo secondo caso si parla di insider threat. Tali attacchi sono molto comuni perchè le persone all’interno di un’organizzazione hanno tipicamente più autorizzazioni rispetto a persone esterne, dunque potrebbero sfruttare tali autorizzazioni per arrecare danni più facilmente.

Un’altra distinzione presente nello standard X.800 è quella tra attacchi passivi e attivi: un attacco è passivo se non modifica i dati presenti/trasmessi in un sistema, mentre è attivo se modifica i dati o il loro flusso. Ad esempio, l’intercettazione dei messaggi e l’analisi del traffico sono attacchi passivi, mentre la riproduzione di messaggi intercettati in precedenza è un attacco attivo. Tipicamente, gil attacchi passivi sono i più difficili da scoprire.

Servizi e requisiti di sicurezza

I servizi di sicurezza sono servizi che migliorano la sicurezza delle informazioni di un’organizzazione, al fine di contrastare gli attacchi alla sicurezza. X.800 organizza i servizi di sicruezza secondo i requisiti di sicurezza più importanti, che sono:

• Autenticità (o autenticazione, authentication): assicurare che una comunicazione sia autentica. X.800 suddivide l’autenticità in due aspetti:
  • autenticità dell’entità peer: garantire l’identità dell’entità con cui si comunica, tipicamente al momento dell’instaurazione della comunicazione
  • autenticità dei dati d’origine: garantire che tutti i dati ricevuti provengano effettivamente dall’entità con cui si vuole comunicare.
• Segretezza dei dati (secrecy): garantire la protezione dei dati durante la trasmissione.
• Confidenzialità (confidentiality, o contorllo degli accessi nella terminologia dello standard X.800): assicurare la protezione dei dati da letture non autorizzate. Nel caso dei dati personali, si usa invece iol termine privatezza (privacy), anche se questo è un problema molto più ampio, che non può essere affrontato solo con i tipici meccanismi di confidenzialità.
• Integrità dei dati (data integrity), che ha due accezioni:
  • nell’ambito del controllo degli accessi, significa proteggere i dati da modifiche non autorizzate;
  • secondo lo standard X.800, significa garantire che i dati ricevuti siano esattamente quelli inviati dall’entità comunicante.
• Non ripudiabilità (non-repudiation): proteggere contro la possibilità che una delle entità coinvolte nella comunicazione neghi di aver inviato o ricevuto un messaggio.
• Disponibilità (availability): assicurare che l’accesso ai dati non sia negato ai soggetti aventi le necessarie autorizzazioni. Un tipico esempio di attacco alla disponibilità è il Denial of Service (DoS), che impedisce l’accesso a un servizio, tipicamente inviando o reindirizzando un numero elvato di richieste per sovraccaricare i sistemi hardware/software che erogano il servizio.

CIA triad

Quando si analizza la sicurezza di un sistema informativo, si verificano tipicamente per primi tre requisiti fondamentali: confidenzialità, integrità e disponibilità. Complessivamente, questi tre requisiti prendono il nome di CIA triad, dalle iniziali dei termini inglesi (Confidentiality, Integrity e Availability).

E’ importante sottolineare che in questo caso, e anche in molti altri, il requisito di confidenzialità va inteso in senso più ampio rispetto alla definizione data prima, includendo in particolare anche la segretezza. Inoltre, i tre requisiti compresi nella CIA triad sono i più importanti, ma non sono affatto gli unici che devono essere considerati nell’analisi di un sistema.