IT Security Distinguere tra dati e informazioni - PowerPoint Presentation

Slide1

IT SecuritySlide2

Distinguere tra dati e informazioni I

dati

sono informazioni non ancora sottoposte a

elaborazione (numeri, testi o immagini) informazioni sono dati elaborati in modo da renderli comprensibili e significativi per i loro utilizzatori1,80 metri è un dato. Marco è alto 1,80 metri è un’informazioneIn termini di sicurezza informatica, è ben diverso il furto dei dati rispetto al furto delle informazioni.Slide3

Comprendere il termine crimine informatico

Il

crimine informatico

è un’attività illegale che avviene utilizzando dei mezzi informatici.Esempi:frodi informatichefurto di

identità-

intrusione

nei sistemi informaticiIntercettazioneInterferenze di dati (danneggiamento, cancellazione…)Diffusione di malware Slide4

Differenza tra Hacking, Kracking e Hacking etico

L’attività di

Hacking

(dall’inglese to hack, intaccare) è svolta da programmatori (hacker) che si collegano e accedono a risorse di rete senza averne l’autorizzazione, solo per gusto di sfidare il computer e i sistemi di protezione. Slide5

Differenza tra Hacking, Cracking (kracking) e

Hacking

etico

Quando la violazione di un sistema da parte di un hacker comporta un vantaggio personale o un uso delle risorse per proprio lucro, si parla di Cracking. Il cracker (detto anche BLACK HAT) si dedica

anche alla

pirateria informatica, rimuovendo le protezioni dai programmi e distribuendone copie illegalmente a scopo di lucro

.Slide6

Differenza tra Hacking, Kracking e Hacking etico

A volte le competenze e le abilità di un hacker possono essere utilizzate “a fin di bene” per testare il grado di sicurezza di un sistema informatico. In questo caso si parla di

hacking

etico In pratica è permesso l’attacco al sistema di sicurezza di un computer da parte dei proprietari per rilevarne le vulnerabilità. Slide7

Un famoso hacker che è diventato un hacker etico è Kevin David Mitnick, nome in codice “Condor

”. Negli anni ’90 si è introdotto illegalmente nei sistemi informatici di varie società americane, sia sfruttando i

bug

dei loro sistemi informatici sia utilizzando la tecnica dell’ingegneria sociale.

Ha eseguito tra le più ardite intrusioni nei computer del governo degli Stati Uniti. Dopo essere stato catturato e aver scontato diversi anni di carcere ha iniziato ad occuparsi di sicurezza informatica e attualmente è amministratore delegato di una azienda di consulenza e sicurezza. Slide8

Repressione dei crimini informaticiA

livello europeo l’

EC3

(European Cybercrime Center) un apposito centro dell’EUROPOL (European Police Office) In Italia attraverso la Polizia postale e il C.N.A.I.P.I.C. (Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche)Slide9

Minacce ai dati provocate da impiegati, fornitori di servizi e persone esterne

Gli

impiegati

e i fornitori di servizi (tecnici) potrebbero accedere a informazioni e dati e provocare, in modo volontario o meno, dei danni, in maniera accidentale o con scopo fraudolento Se persone esterne possono accedere al sistema informatico senza alcun controllo, (Wi-Fi senza password), i dati sono a rischio di furto o danneggiamento. Slide10

Riconoscere le minacce ai dati provocate da forza maggiore

Incendi

, inondazioni, terremoti, guerre, furti, atti vandalici,

eccUna buona norma da seguire è assicurarsi che per tutti i dati importanti esista una copia di riserva, una copia di backup (non conservata nelle vicinanze del computer , ad esempio online)Slide11

Riconoscere le minacce ai dati provocate dall’uso del cloud computing

L’azienda

perde

il controllo sui dati fisici (è impossibile stabilire dove siano realmente immagazzinati)la memorizzazione di dati sensibili espone l’utente a potenziali problemi di violazione della privacy. Slide12

Comprendere le caratteristiche fondamentali della sicurezza delle informazioni

Per

Confidenzialità

(o Riservatezza) si intende che l’informazione deve essere accessibile solo a chi è autorizzato a conoscerla e che le informazioni devono essere protette sia durante la trasmissione che durante la memorizzazione. L’Integrità implica che le informazioni devono essere trattate in modo che siano difese da manomissioni e modifiche non autorizzate. La Disponibilità invece impone che l’informazione sia sempre disponibile alle persone autorizzate quando necessario.

CIDSlide13

Identificare i principi comuni per la protezione, conservazione e controllo dei dati e della riservatezza

Necessità di

mediare tra due esigenze contrastanti:

La tutela della riservatezza; La necessità di rendere sempre disponibili i dati per ragioni di legalità e trasparenza- cioè l’inammissibilità dell’anonimato per questioni di sicurezza. Il tutto è regolato dal D.L. 196/2003 comunemente conosciuto come “

Codice della privacy

”. Slide14

Codice della privacy

PRINCIPIO

DESCRIZIONE

Trasparenza

L’attività di raccolta dati deve essere manifesta e dichiarata;

Devono essere descritti i motivi e le finalità;

Devono essere dichiarate le procedure adottate per il rispetto delle regole; Devono essere comunicate le modalità di contestazione. Legittimità La raccolta ed il trattamento possono essere consentiti solo se:

Perseguono fini legittimi

Non violano i diritti dell’interessato

Proporzionalità

I dati personali raccolti devono essere adeguati, pertinenti e non eccedenti le finalità per cui sono raccolti;

Devono essere accurati e mantenuti aggiornati Slide15

Comprendere i termini “interessato” e “responsabili del trattamento

“

Interessato":

la persona fisica cui si riferiscono i dati personali; "Responsabile": la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali. Slide16

Diritti dell’interessatoEssere informato sull'esistenza

di dati personali e di averne comunicazione in forma intellegibile.

Conoscere

l'origine di tali dati, le finalità e modalità del trattamento, gli estremi del titolare del trattamento e i soggetti ai quali possono essere comunicati tali dati. Ottenere cancellazione, aggiornamento, rettifica e integrazione dei dati. Opporsi, per motivi legittimi, al trattamento dei propri dati personali a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale. Slide17

Doveri del responsabile

Principio di conservazione

I dati raccolti devono essere conservati per un tempo non superiore al necessario per gli scopi per i quali sono raccolti.

Principio di sicurezza

I

dati devono essere conservati in modo sicuro e al riparo da intrusioni

esterne Slide18

Comprendere l’importanza di attenersi a linee guida e politiche per l’uso dell’ICT e come fare per ottenerle

Ogni azienda

analizza

l’utilizzo delle proprie tecnologie ICT e stila un documento che formalizza le linee guida a cui ciascun dipendente deve attenersi.La disponibilità di tale documento viene poi comunicata a tutto il personale con l’indicazione di dove reperirloSlide19

Motivi per proteggere le informazioni personali

Il

furto d’identità

consiste nell’ottenere indebitamente le informazioni personali di un soggetto al fine di sostituirsi in tutto o in parte al soggetto stesso e compiere azioni illecite in suo nome o ottenere credito tramite false credenziali. L’attività di carpire informazioni ingannando un utente ed indurlo a rivelare dati sensibili e personali come le credenziali di accesso al proprio conto online è detta

ingegneria sociale

.

Un crescente numero di utenti, inoltre, sta fornendo un’elevata quantità di dati personali a social networks come MySpace, Facebook, chat, blog, ecc.  Slide20

Tecniche di ingegneria sociale

Phishing

- Questo termine identifica il furto di dati via mail. Telefonate (Pretexting) funziona in modo simile al Phishing, ma tramite un mezzo differente come il telefono, intervista o altro Questionari on line. Ingannare qualcuno a proposito della propria identità durante una chat, in un forum, ecc. Finte promozioni o vincite: mediante la ricezione di messaggi (SMS, Email) che, con la scusa di promozioni o vincite ad esempio di un telefonino di ultima generazione, portano a un link che porta ad una azione di phishing finalizzata ad acquisire i dati personali.

Bin-

raiding

o Dumpster diving Tecnica d’indagine basata sull’analisi della spazzatura prodotta dalla vittima. Scontrini, ricevute, giornali, riviste, ogni singolo oggetto può essere utile per ricostruire lo stile di vita o la abitudini del potenziale truffato. Eavesdrop Tecnica che consiste nell’origliare, cioè ascoltare una conversazione di nascosto, un dialogo sottovoce, o un colloquio a cui non si dovrebbe far parte. Wiretap Meglio nota come intercettazione, si attua attraverso il telefono ma soprattutto tramite mezzi di messaggistica istantanea, VoIP, e posta elettronica con strumenti di sniffing del traffico, hacking del canale di comunicazione, utilizzo di microspie, ecc. Slide21

Tecniche di ingegneria sociale

Contatti indesiderati.

Si deve fare molta attenzione a chi ci contatta, anche telefonicamente: spesso i truffatori si dichiarano incaricati di una banca o di un ente pubblico e vi chiedono di aggiornare i vostri dati personali. Accade la stessa cosa con coloro che si presentano come ricercatori di mercato e richiedono informazioni personali.

Furto o smarrimento del portafoglio. Generalmente i portafogli contengono bancomat, carte di redito e documenti di identità come la patente di guida e le tessere di iscrizione a determinate associazioni. Skimming. Lo Skimming consiste generalmente nella clonazione di una carta di credito. Rubare l’identità di un deceduto. I malviventi più spietati svolgono le loro attività criminali utilizzando l’identità di persone decedute, ottenendo informazioni sulla loro età, data di nascita ed indirizzo attraverso necrologi e pubblicazioni funebri. Questionari cartacei. Spesso vengono inviati per posta. Se sono molto lunghi, il compilatore non si accorge che sta fornendo a estranei delle informazioni private. Tramite… noi stessi

. Capita, inconsciamente, di raccontare in pubblico fatti che ci riguardano (nell’anticamera del dottore, al supermercato durante la fila alla cassa, ecc.), non sapendo che per un ascoltatore interessato possono essere una miniera di dati.

Shoulder

surfing (letteralmente “fare surf alle spalle”). Mentre la vittima digita la propria password (oppure il PIN o altri codici), il malintenzionato lo osserva Slide22

Comprendere l’effetto di attivare/disattivare le impostazioni di sicurezza delle macro

Una

macro

è un insieme di

istruzioni che

utilizzano un linguaggio di programmazione (come Visual Basic o

Libreoffice Basic) che possono essere eseguite, all'interno di un software di produttività (videoscrittura, foglio di calcolo, ecc...)Le macro sono strumenti molto utili perché automatizzano procedure lunghe e noiose, ma possono contenere codice malevolo che quindi può causare danni al computer. Ciò vale soprattutto quando l'origine della macro non è certa. In linea di massima la cosa migliore è attivare le macro di cui si è certi della provenienza e dell'affidabilitàSlide23

Misure per prevenire accessi non autorizzati ai dati: crittografiaLa

Crittografia

analizza come “offuscare” un messaggio in modo che non sia comprensibile a persone non autorizzate a leggerlo.

Un tale messaggio si chiama crittogramma e le tecniche usate per rendere incomprensibile il messaggio si chiamano tecniche di cifratura. Slide24

Comprendere il termine malware

Il termine

malware

indica un software creato con lo scopo di causare danni Il termine deriva dalla contrazione delle parole inglesi malicious e software e ha dunque il significato letterale di "programma malevolo”Spesso si confonde il termine

malware

con

virus. Per malware si intende l’intera tipologia dei software dannosi. Un virus è un tipo di malware Slide25

Riconoscere diversi modi con cui il malware si può

nascondere

Trojan

(o cavallo di troia): è un software che oltre ad avere delle funzionalità "lecite", utile per indurre l'utente ad utilizzarlo, contiene istruzioni dannose che vengono eseguite all'insaputa dell'utilizzatore. Backdoor (letteralmente "porta sul retro"): è un software pensato per creare un accesso nascosto al sistema che lo incorpora.

Rootkit

(letteralmente “Attrezzi da amministratore”): non sono dannosi in sé, ma hanno la funzione di nascondere la presenza di particolari file o impostazioni del sistema e vengono utilizzati per mascherare spyware e trojanSlide26

Riconoscere i tipi di malware infettivo e comprendere come funzionano

Virus

: un virus è un programma che si attiva e si diffonde in modo totalmente indipendente dalla volontà dell'utente.

L'obiettivo è quello di danneggiare i dati o i programmi dei destinatari, oppure infettare altre applicazioni, modificandole e includendovi una copia di se stessi. Si usa il termine "virus" in quanto il suo comportamento può essere paragonato a quello biologico, per la similitudine del modo di propagarsi dell'infezione. In genere i virus si “nascondono” per un certo tempo e durante questo periodo, chiamato “letargo”, controllano tutti gli eventi del sistema operativo o quelli legati all'utente. Quando si verifica l'evento atteso, per esempio viene aperto un determinato file, il virus inizia la sua azione. Worm: (letteralmente "verme") è simile ad un virus, ma a differenza di questo non necessita di legarsi ad altri eseguibili per diffondersi in quanto modifica il computer che infetta, in modo da venire eseguito ogni volta che si avvia la macchina e tenta di replicarsi sfruttando Internet, tipicamente a mezzo della posta elettronica. Slide27

Riconoscere i tipi di malware e comprendere come operano

Spyware

: è un software usato per raccogliere informazioni dal sistema su cui viene installato al fine di trasmetterle ad un destinatario interessato. Le informazioni carpite possono andare dalle abitudini di navigazione fino alle password e alle chiavi crittografiche di un utente.

Adware: (advertising-supported software ) sono programmi software che presentano all'utente messaggi pubblicitari durante l'uso. Possono causare danni quali rallentamenti del pc e rischi per la privacy in quanto comunicano le abitudini di navigazione ad un server remoto. Keylogger: sono dei programmi in grado di registrare tutto ciò che viene digitato sulla tastiera o che copia e incolla, consentendo il furto di password o di dati. Dialer: sono programmi che modificano il numero telefonico chiamato dalla connessione predefinita a Internet con uno a tariffazione speciale, allo scopo di trarne illecito profitto all'insaputa dell'utente.

Botnet

:

(rete di (ro)bot) è l'infezione di una rete informatica che viene controllata da remoto dal botmaster, che e in grado di utilizzare la rete stessa e i dispositivi ad essa collegati per svolgere attività non autorizzate. si può far parte di una botnet senza neanche saperlo. Più computer infettati e controllati formano una botnet: se un computer diventa parte di una botnet, potrebbe rallentare ed essere completamente in balia di hacker. Chi è in possesso di una botnet può far svolgere qualsiasi azione ad ogni singolo computer infetto: inviare messaggi email indesiderati, diffondere virus, attaccare “in massa” computer e server. Infatti, una botnet è formata da un numero elevato di computer, addirittura milioni di pc. Ransomware: è un software malevolo che blocca li desktop dell'utente e invia delle richieste di pagamento di alcune somma di denaro per sbloccarlo. Slide28

Comprendere come funziona il software anti-virus e quali limitazioni presenta

Per combattere il software maligno le aziende produttrici di software per la sicurezza hanno creato dei programmi appositi:

gli

antimalware. Per la maggior “fama” del termine virus si usa genericamente il termine antivirus. È importante aggiornare costantemente l'antivirusIn generale gli antivirus hanno un sistema di protezione real time ma può essere avviata una scansione manuale o periodica

.

In

generale, quando un software antivirus individua dei file contenenti del codice virale che non riesce a rimuovere chiede all'utente se intende metterli in quarantena, Esistono anche antivirus online, utili per fare la scansione del proprio computer quando si teme che il proprio antivirus sia infettoSlide29

Comprendere che il software anti-virus dovrebbe essere installato su tutti i sistemi informatici

È importante installare un buon antivirus anche per i dispositivi mobili, soprattutto in caso di

Jailbreak

per i sistemi IOS (Apple) e il Rooting per i sistemi Android (esecuzuine di qualsiasi programma, anche se non approvato) Slide30

Comprendere il termine “rete” e riconoscere i più comuni tipi di rete Una rete di computer, è

un insieme di più elaboratori indipendenti ma interconnessi, in grado di scambiare e condividere informazioni

.

I principali vantaggi di una rete sono: Condivisione risorse (file, periferiche…) Indipendenza dei singoli elaboratori Tolleranza ai guasti Dischi e servizi di backup Condivisione delle informazioni Possibilità

di lavoro di gruppo Slide31

Comprendere il termine “rete” e riconoscere i più comuni tipi di rete

In base all’estensione, geografica si possono identificare i seguenti tipi di reti.

LAN

o Local Area Network quando si sviluppa in un’area fisica delimitata, come una o più stanze, un edificio o più edifici tra loro vicini; quando poi la rete utilizza, in toto o in parte, una copertura wireless, si parla di WLAN (cioè Wireless Local Area Network). MAN o Metropolitan Area Network se la rete si estende a un’intera area cittadina. WAN

o Wide Area Network se la rete è geograficamente

molto estesa e collega tra loro LAN.Un particolare tipo di rete, non classificabile con le precedenti è la VPN o Virtual Private Network. Come suggerisce il nome, è una rete di telecomunicazioni privata, instaurata tra soggetti che utilizzano un sistema di trasmissione pubblico e condiviso, generalmente Internet. Nelle VPN un apposito software si occupa di creare un “tunnel” sicuro attraverso la criptazione dei dati e l'autenticazione della comunicazione. Slide32

I pericoli del lavorare in reteMalwareAccessi non autorizzati

PrivacySlide33

Amministratori di reteFunzioni

gestione tecnica della rete

implementazione di politiche di accesso alle strutture di

rete (creazione e gestioni account)Monitoraggio della rete. Test della rete per individuarne eventuali debolezze. Applicazione degli aggiornamenti necessari. Installazione e implementazione di programmi per la sicurezza. Individuazione dei “colli di bottiglia”. Slide34

Comprendere la funzione e i limiti di un firewall in ambiente personale e lavorativo

Un

firewall (letteralmente “muro tagliafuoco

”)è un componente di difesa frapposto tra uncomputer o una rete privata e Internet,

allo

scopo

di evitare intrusioni e accessi non autorizzati è opportuno distinguere tra firewall perimetrali, utilizzati con apparati dedicati nelle aziende a protezione della LAN; e firewall personali, solitamente realizzati mediante software in ambito personale. Il compito primario di un firewall è quello di monitorare il traffico di rete e filtrarlo in base ad opportune regole che garantiscano la sicurezza di tutti i dati in entrata e in uscita, da e verso la rete o il computer Slide35

Riconoscere diversi tipi di sicurezza per reti wireless e i loro limiti

WEP

(Wired

Equivalent Privacy). Nasce nel 1999 come primo standard con lo scopo di fornire una sicurezza comparabile a quella delle reti cablate, da cui il nome. Lo standard e ancora disponibile per supportare i dispositivi meno attuali, ma il suo utilizzo è sconsigliato perché relativamente facile da violare. WPA e WPA2 (Wi-Fi Protected Access). Disponibili rispettivamente nel 2003 e 2004 mettono a disposizione una maggiore sicurezza. Slide36

MAC e SSIDPer aumentare la sicurezza, si può aggiungere ai sistemi di autenticazione e crittografia appena visti un controllo hardware dei computer che si collegano.

Questa protezione si realizza utilizzando il

MAC

address, ossia l’indirizzo fisico di ogni scheda di rete (sia cablata che wireless). Dato che tale indirizzo è univoco al mondo, è possibile utilizzarlo in apposite “Access control List” all’interno degli apparati di rete. Ciò garantisce l’accesso alla rete ai soli dispositivi registrati. SSID. Acronimo di Service Set IDentifier, l'SSID è il nome col quale una rete Wi-Fi si presenta ai suoi utenti. Slide37

Essere consapevoli che usando una rete wireless non protetta si rischia che i propri dati vengano intercettati da “spie digitali”

Tipologie d’attacco ad una rete wireless:

wardriving

“Wireless Access Revolution” e “driving”) che consiste nell'intercettare reti Wi-Fi, in automobile o a piedi con un laptop, solitamente abbinato ad un ricevitore GPS per individuare l'esatta locazione della rete trovata ed eventualmente pubblicarne le coordinate geografiche su un sito web, o per accedere abusivamente ad una connessione ad internet.

L’

eavesdropping

che consiste nel catturare passivamente i segnali radio cercando di decodificare i dati trasmessi Network hijacking che consiste nell’entrare nell’account di qualcuno senza conoscerne le credenziali ma “rubando” il suo cookie di sessione Man in the middle quando l'attaccante si frappone tra due parti comunicanti tra di loro e si sostituisce ad uno di essi in modo da poter leggere, inserire o modificare messaggi a piacere. Slide38

Comprendere il termine “hotspot personale”

In questi anni si sono diffusi gli

hotspot

WiFi: sono dei punti di accesso ad internet, con tecnologia wireless, aperti al pubblico.Tethering (incatenamento)Tale termine individua la funzionalità che consente al telefono di trasformarsi in un gateway per offrire connettività Internet a device che ne sono sprovvisti. La connessione può avvenire wireless (Bluetooth o Wi-Fi) oppure con un cavetto USB. Quando la connessione si attua a mezzo Wi-Fi, il telefono diventa a tutti gli effetti un Access Point. In altri termini il telefono crea un

hotspot

.

Il termine Personal Hotspot, è stato coniato da Apple per iOS per indicare l’utilizzo della tecnologia di Tethering con Wi-Fi in modo da condividere la connessione dati di iPhone e iPad con altri dispositivi e computer senza necessità di connessione fisica.Slide39

Misure per prevenire accessi non autorizzati ai dati: password

La

forma di autenticazione più semplice si fonda sull’utilizzo di un

nome utente (per identificare l’utente)e di una password, ovvero il“login” (logout)la password deve essere scelta in modo oculato, non deve essere comunicata ad altre persone e, in casi di dati riservati o importanti, deve essere cambiata con regolarità. Come deve essere una password? La password deve essere lunga a sufficienza, composta da lettere e numeri e non facilmente associabile alla vita dell’utente: quindi non il proprio nome, cognome, soprannome, data di nascita, indirizzo, ecc. Slide40

In generale, si può affermare che i metodi di autenticazione utilizzabili da un essere umano sono classificabili in tre classi in base a:

Qualcosa

che conosce

(es. password o PIN) Qualcosa che ha (es. tesserino identificativo o smart card) Qualcosa che è (es. impronta digitale, vocale o retinica, calligrafia o altri identificatori biometrici) Slide41

OTPL’espressione “

One

-Time Password

” identifica una password "usa e getta" che può essere usata una sola volta; cioè valida per una singola transazione o per la sola sessione di lavoro fino alla disconnessione. Le password OTP possono essere rese note all’utente in molti modi: A mezzo di una chiavetta con display, oggi molto usata nell’home banking. Attraverso apposito software che gira su cellulare. Attraverso la messaggistica SMS.

Per

mezzo di una

scheda stampata in possesso dell’utente. Slide42

Comprendere lo scopo di un account di rete Nelle organizzazioni aziendali per ragioni di sicurezza e facilità di manutenzione, le reti client/server sono basate su un

dominio

, cioè un insieme di computer che vengono amministrati come un'unità con regole e procedure comuni.

Attraverso l’account l’amministratore della rete può stabilire esattamente a quali risorse avrà accesso, limitando la visibilità delle informazioni aziendali in base al ruolo ricoperto dall’utente. Slide43

Identificare le comuni tecniche di sicurezza biometriche usate per il controllo degli accessi

scansione

di un’

impronta digitale Scansione della retina, basata sull’analisi della struttura dei vasi sanguigni sul fondo dell’occhio. Riconoscimento facciale, basato sull’analisi della geometria del volto come, i lati della bocca, gli zigomi, la posizione del naso, il profilo degli occhi, ecc. La geometria della mano, basata sulle misure della mano, la lunghezza delle dita e la curvatura del palmo.Il colore e la dimensione dell’iride, Le caratteristiche della voce,

Il

riconoscimento della

firma. Slide44

Comprendere la funzione e le limitazioni dei software di gestione delle password

Password

manager

: programma specializzato per conservare in sicurezza le password nel computer o nel cloud. La sicurezza è garantita dalla cifratura di tutti i dati. Un programma di questo tipo permette di ricordare soltanto un’unica password: quella di accesso al database del programma. Questa password è chiamata Master password Slide45

Utilizzare una connessione di rete sicura per le attività in rete La navigazione sul web è resa possibile grazie al protocollo HTTP che però ha la caratteristica di trasmettere tutti i dati in chiaro e quindi a rischio di intercettazione.

il protocollo

HTTPS (

Hyper Text Transfer Protocol over Secure

socket

layer) invece trasmette i dati attraverso un canale cifrato al fine di garantire che solamente il client, cioè il browser, e il server, cioè il sito web, siano in grado di conoscere il contenuto della comunicazione. HTTPS richiede che il server si autentichi nei confronti del client presentandogli il proprio certificato digitale in modo che il client possa controllare la validità della relativa firma digitale. Se supera questo controllo, il browser visualizza sulla propria interfaccia l’icona di un lucchetto. La presenza di questo simbolo rientra tra gli elementi indispensabili a classificare una pagina come sicura. Slide46

Pharming

Pharming

:

indirizzare una vittima verso un server web "clone" appositamente attrezzato per carpire i dati personali della vittima. Digitando l'indirizzo di un sito web lecito, si viene diretti verso un altro sito web, identico a quello lecito ma falso. Questa operazione si attua modificando opportunamente la traduzione dell’URL nel corrispondente indirizzo IP attuato dal DNS. Slide47

Parental control “Controllo genitori

” o “

Parental

control“ consente di filtrare i contenuti e di programmare i tempi di accesso a Internet per i propri figli nonché di mantenere il log delle attività svolte per eventuale referenza. Si trova nel pannello di controllo/account utente e protezione famigliaSlide48

Cifrare e decifrare un messaggio di posta elettronica La posta elettronica è normalmente un mezzo di comunicazione non sicuro dato che i messaggi vengono

inviati in chiaro

: se viene intercettato può essere letto da chiunque.

Per rendere l'invio di un messaggio sicuro, si può aggiungere ai messaggi un ID digitale (firma digitale) per confermare la propria identità, oppure crittografare i messaggi. Slide49

ID DIGITALE – Firma DigitaleUn ID digitale consente di verificare l'identità del mittente e del destinatario di un messaggio e-mail e può impedirne la manomissione.

Gli

ID digitali consentono di proteggere i messaggi aggiungendo un codice univoco denominato

firma digitale al messaggio. La firma assicura ai destinatari dei messaggi e-mail che questi ultimi provengano effettivamente dal mittente indicato.Slide50

La firma digitale non è l’inserimento in un messaggio della scansione della propria firma Per generare una firma digitale è necessario utilizzare una coppia di chiavi digitali asimmetriche attribuite in maniera univoca ad un soggetto, detto

titolare

. La chiave privata è conosciuta solo dal titolare ed è usata per generare la firma digitale da apporre al documento. Viceversa, la chiave da rendere pubblica è usata per verificare l’autenticità della

firmLa firma digitale è l'equivalente informatico di una firma autografa apposta su carta ed ha il suo stesso valore legale, ovvero di integrità, autenticità, non ripudiabilitàSlide51

Per ottenere la firma digitale occorre acquistare un apposito kit, attivarlo fornendo all’azienda (

ARUBA, POSTE ITALIANE, Camera di Commercio

etc

) che offre il servizio un documento d’identità valido e utilizzare i software utili a firmare digitalmente i documenti sul computerSlide52

Identificare possibili messaggi fraudolenti e indesiderati

Junk-mail

(posta spazzatura) o spam: posta indesiderata ricevuta nella propria casella postale. In genere si tratta di messaggi pubblicitari o fraudolenti.Quando si ricevono messaggi di questo tipo, la cosa da fare è cancellarli immediatamente, senza aprirli e soprattutto senza rispondere, per non confermare che l'indirizzo email è attivo.Slide53

Essere consapevoli della possibilità di denunciare tentativi di phishing a organizzazioni legittime o alle autorità preposte

Nel dubbio di aver lasciato i propri dati personali su un sito contraffatto è sempre possibile contattare il

servizio Clienti dell’organizzazione legittima

allegando il testo della mail ricevuta. È altresì possibile segnalare online alla polizia postale Slide54

Reti Sociali Impostazione privacy (solo agli amici)Disattivare GPSNon comunicare informazioni personali (ferie, dati della banca

etc

)

Tutto ciò che viene messo su Internet diventa di pubblico dominio e di fatto se ne perde il controllo Slide55

Potenziali pericoli connessi all’uso di siti di reti sociali cyberbullismo

adescamento

divulgazione dolosa di informazioni personali

false identità, o “fake”phishing (ex test, etc)Slide56

Termini legati ai social mediaFollower (Twitter

)

Cerchie (Google plus)

Amici (Facebook)Segnalare contenuti inappropriati Bannare Slide57

Le vulnerabilità di sicurezza della messaggistica istantanea e del VoIP E’ possibile ricevere

malware

dai file allegati

La comunicazione via VoIP può essere facilmente intercettata. Un’intrusione può avvenire intercettando i pacchetti e trasformandoli in file wav o mp3. Inoltre, all’insaputa degli interessati, un malintenzionato può attivare i microfoni dei telefoni o dei PC connessi alla rete VoIP ed intercettare qualsiasi conversazione avvenga intorno agli apparecchi colpiti SPIT Spam over Internet Telephony ( messaggi non richiesti che pubblicizzano siti e servizi vari)Vishing

Phishing

vocale. Un truffatore ci contatta tramite VoIP e cerca di indurci a divulgare dati personali importantiHacking. Gli hacker possono ottenere accesso alla propria connessione VoIP e usare la linea per effettuare chiamate. In alcuni casi, possono arrivare a vendere le informazioni relative alla connessione sul mercato nero dipendenza dalla rete e dall'alimentazione elettrica Slide58

App

Benché

app

non ufficiali potrebbero essereperfettamente sicure, in generale, il loro usoespone l’utilizzatore a rischi potenziali Costi IN-APP: costi nascosti delle app dichiarate come gratuite ma con contenuti a pagamento, più facilmente presenti nelle app non ufficiali ma sfortunatamente anche in quelle disponibili negli store di Apple e Google

.

Ogni

app che viene installata, per poter funzionare richiede delle autorizzazioni. È opportuno verificare se l’applicazione che si sta utilizzando utilizza autorizzazioni coerenti con il proprio scopo Dopo l’installazione su un dispositivo Android è possibile verificare le autorizzazioni di cui dispone un’app aprendo Impostazioni > Gestione applicazioni > app. Slide59

Misure precauzionali e di emergenza da adottare in caso di perdita di un dispositivo mobile Segnarsi e conservare

l’IMEI

(International

Mobile Equipment Identity) è un codice numerico che identifica univocamente il Attivare sul dispositivo un software con funzione di antifurto in modo da potersi collegare in remoto per localizzarlo, bloccarlo e cancellarne i contenuti. Slide60

Sicurezza fisicacontrollo accessi elettronico cavi di sicurezza (Kensington o similari

)

catalogare i dispositivi

registrandonedettagli e collocazione Slide61

Effettuare copie di sicurezza Backup (automaticamente a scadenze regolari, riposti

in un luogo diverso

Restore

(procedura opposta al backup)immagine del sistema Slide62

Distinguere tra cancellare i dati ed eliminarli in modo permanente Quando

si cancella un file sul computer

usando

il Cestino Windows non lo distrugge in modo permanente ma segnala al file system che lo spazio occupato da quel file è disponibile per essere scritto da qualcos’altro. Per un certo periodo di tempo, quindi, è possibile recuperare i dati cancellati usando un programma di recupero file. Nemmeno formattando il pc si cancellano i file perché tale operazione serve solo a rendere invisibili i file al sistema Slide63

Identificare i metodi per distruggere i dati in modo permanente

Per

i documenti cartacei e per le memorie ottiche è opportuno utilizzare dei

trita documenti, che tagliano a striscioline non solo la carta ma anche i CD/DVD. Per le memorie magnetiche si possono utilizzare speciali apparecchi conosciuti come “degausser” in grado di smagnetizzare completamente il disco in soli 4 secondi. Per cancellare in modo permanente i dati senza distruggere il disco bisogna invece utilizzare appositi programmi

che riscrivono le aree del file più

volte

.Slide64

Essere consapevoli che l’eliminazione del contenuto dai servizi potrebbe non essere permanente

Non è possibile eliminare in maniera definitiva ciò che è stato pubblicato sul web (social media: il documento potrebbe essere stato salvato e ripubblicato)

Non è possibile essere sicuri di aver eliminato completamente i file conservati sul cloud (potrebbero esserci delle copie di backup)