www.MegaLab.it

Non passa ormai giorno senza che vengano annunciati problemi di sicurezza in questo o quel programma o sito web. La maggior parte dei comunicati viene però presa sotto gamba, fino a quando non ci si scontra concretamente con i risultati del problema: computer infettati, furto di denaro dai conti correnti, violazione dei segreti industriali o della privacy dei singoli utenti.

D'altro canto però, molti dei bollettini sono spesso pensati per gli addetti ai lavori, e utilizzano quindi termini estremamente specifici e sconosciuti ai più.

Proprio per questo ho pensato di realizzare questo articolo, nel quale cerco di illustrare, in modo quanto più semplice possibile, cosa si intende con espressioni come buffer overflow, cross-site scripting e via dicendo.

La sicurezza dei sistemi informativi è comunque un argomento estremamente ampio e complesso: ognuno dei temi qui proposti richiederebbe un libro (o forse addirittura"collane di libri") per essere pienamente sviscerati! Il mio intento qui è solamente quello di realizzare una "carrellata" dell'argomento, per consentire al lettore di comprendere quantomeno il lessico impiegato nei bollettini di sicurezza.

Siete (troppo) pronti per questo articolo?

L'articolo è pensato per un target di utenti appassionati, che posseggano già buone competenze inerenti l'amministrazione del sistema e, magari, un'infarinatura dei basilari concetti di programmazione.

D'altro canto, se siete già "guru" della sicurezza, qui non troverete niente di nuovo. Anzi: vista l'intrinseca complessità dell'argomento, ho ritenuto opportuno utilizzare una serie di banalizzazioni, che, sebbene possano far storcere il naso a qualcuno, sono, a mio avviso, indispensabili per presentare la terminologia a chi, ancora, guru non è.

Cause, tipi d'attacco ed effetti

La prima cosa da fare è classificare una terminologia che troppo spesso viene usata (impropriamente) in modo intercambiabile.

Cause

Tutto quello che stiamo per trattare ha origine da un errore: errore dell'hardware, errore del software eseguito su di esso, oppure errore dell'utente.

Volendo semplificare al massimo, possiamo affermare che qualsiasi problema di sicurezza è causato dal verificarsi di una circostanza che uno dei progettisti del sistema informativo non aveva considerato.

Pensate ad esempio al caso in cui in un area adibita alla memorizzazione di una "data di nascita" vada a finire "un cognome": cosa succederà alla base di dati che dovrà memorizzare tale informazione? e come reagirà il programma al successivo caricamento di una stringa di testo in una zona studiata per contenere un dato nel formato gg/mm/aaaa?

Un errore di questo tipo viene chiamato "bug". Un bug può portare a situazioni impreviste, come quella appena citata, e quindi a un possibile problema di sicurezza.

Precisiamo però che non si tratta di una condizione necessaria e sufficiente: ad ogni problema di sicurezza è associabile un errore di fondo, ma non è detto che ogni bug possa portare ad una situazione idonea a sferrare un attacco.

Tipi d'attacco

Una volta rintracciato uno scenario non debitamente gestito, un cracker deve capire se può essere sfruttato, ai propri scopi e, se sì, in che modo.

Ecco quindi che parliamo di tipo di attacco, ovvero il modo mediante il quale il cracker che avesse individuato una "causa" può sfruttarla per generare un "effetto".

Vedetela in questo modo: la causa "avere lo stomaco vuoto" porta a desiderare l'effetto "non aver più la fastidiosa sensazione di fame". Il "tipo d'attacco", in questo caso, è "preparare il pranzo".

Effetti

Gli effetti di un attacco di sicurezza sono quelli che richiamano l'attenzione del grande pubblico: trasferimento di denaro dal conto corrente, caselle di posta intasate, PC rallentato, violazione della privacy, milioni di dollari di danni, e tutti gli altri scenari che, ciclicamente, arrivano anche sulle pagine della stampa generalista.

L'effetto è "il premio" che attende il cracker in grado di portare con successo un assalto alla sicurezza di un sistema informativo.

Entriamo nel vivo

Ultimata questa distinzione, passiamo ad analizzare la terminologia impiegata in ognuna le tre fasi.