Menu

Osservatorio Astrofisico di Arcetri

  • Italiano (IT)
  • English (UK)

Le norme e le restrizioni di accesso: domande e risposte

L. Fini. 15 maggio 2000

 



In questo documento sono raccolte varie domande e risposte relative alle misure di protezione della nostra rete interna rispetto ad intrusioni, virus e quanto altro.

Trattandosi di argomenti ampiamente discussi anche altrove qui troverete soltanto dettagli specifici attinenti alla nostra situazione, per le informazioni generali ed introduttive alla sicurezza si rimanda ad altri documenti nella sezione finale.

  1. Io non ho dati o informazioni importanti nelle mie directory e salvo tutte le cose a cui tengo su un dischetto nel cassetto della mia scrivania. Perché devo preoccuparmi della sicurezza del mio account?

    Il primo e più importante passo per violare la sicurezza di una rete consiste nel guadagnare l'accesso ad un account. Se l'account ha privilegi di sistema è molto meglio, ma anche un account normale in mancanza di meglio è già un bel vantaggio.

    Gli episodi più recenti di attacchi con gravi conseguenza sono stati tutti effettuati, secondo le ricostruzioni successive, mediante l'accesso ad accounts locali.

  2. Fra tutti i milioni di computer in Internet perchè un hacker deve scegliere proprio me?

    Con il diffondersi delle procedure di sicurezza i siti che rimangono vulnerabili diventano sempre più appetibili. Esistono programmi (detti scanner) che hanno proprio lo scopo di provare sistematicamente tutti i nodi per identificare quelli più vulnerabili verso cui indirizzare gli attacchi.

  3. Sulla base di quali considerazioni vengono adottate le misure di sicurezza?

    Vengono seguite le indicazioni elaborate dai servizi ufficiali per la sicurezza della rete. In particolare il centro di gestione GARR ha un gruppo di lavoro dedicato ai problemi della sicurezza che, fra le altre cose, elabora proposte e fornisce consulenza circa le misure di sicurezza a vari livelli. Oltre a ciò vengono tenuti contatti informali con altri istituti con caratteristiche analoghe alle nostre per seguirne gli sviluppi.

    Cerchiamo poi di attenerci ad una linea di comportamento intermedia fra le politiche di massima e minima restrizione di cui abbiamo notizia cercando di minimizzare l'impatto sulle abitudini degli utilizzatori.

  4. Perché è stato deciso di supportare il programma XY per la posta elettronica (trasferimento files, accesso Web, etc.) e non invece il programma WZ che funziona meglio?

    Ogni possibile operazione di accesso alla rete può essere effettuata in molti modi diversi e usando diversi programmi e protocolli. Il primo sforzo da parte degli addetti al supporto è quello di supportare il massimo numero possibile di quelli diffusi, ma qualche volta è necessario fare alcune scelte.

    Il principale criterio adottato nelle scelte, oltre a quello ovvio di garantire la sicurezza che si vuole ottenere, consiste nella disponibilità del programma/protocollo su tutte le piattaforme hardware/software utilizzate: Windows, Unix/Linux e MacOS. Altri criteri comprendono: stabilità e maturità del programma/protocollo, facile reperibilità, generalità delle funzioni svolte. Capita e continuerà a capitare che sia necessario o opportuno cambiare idea, ad esempio in presenza di nuovi prodotti migliori. Questo è possibile, ma tenendo conto del punto successivo.

  5. Periodicamente vengono cambiate alcune regole di accesso e/o vengono adottate nuove restrizioni. Non sarebbe possibile adottare misure più stabili?

    La situazione relativa alla sicurezza evolve piuttosto rapidamente. Il servizio di sicurezza del GARR che è l'organismo che controlla gli aspetti di sicurezza della rete scientifica in alcuni casi impone norme e restrizioni dettate dall'evidenziarsi di problemi non precedentemete previsti. È ragionevole aspettarsi che la situazione tenda a stabilizzarsi con il maturare delle tecnologie coinvolte.

  6. Perché non posso usare telnet/ftp come prima?

    telnet ed ftp sono programmi (e protocolli) nati prima che si ponessero i problemi di sicurezza. Entrambi prevedono l'accesso tramite un controllo di identità con username e password, le stringhe che vengono digitate in risposta al prompt vengono inviate tramite la rete al nodo con cui ci si sta collegando dentro un pacchetto di dati senza particolari accorgimenti. È assai facile per chiunque abbia un PC collegato alla rete intercettare il pacchetto e ricavarne le informazioni.

    In due occasioni in passato abbiamo individuato su calcolatori della nostra LAN programmi di questo tipo (detti sniffer) in esecuzione.

  7. Perché non è consentito l'accesso dall'esterno tramite i protocolli POP e IMAP [1] in chiaro?

    Per motivi analoghi a quelli relativi a telnet ed ftp. Entrambi i protocolli comunicano con il server in modo non sicuro anche per lo scambio delle password.

    Esistono standard (TLS, SSL) per consentire l'uso di POP ed IMAP sopra un protocollo sicuro e la quasi totalità delle applicazioni di posta li supportano. L'accesso alla posta con POP e IMAP è consentito in questa modalità.

  8. Non sarebbe possibile differenziare le password relative all'accesso alla posta elettronica da quelle per l'uso dell'account?

    È una possibilità che abbiamo valutato. Essa presenta tuttavia alcune controindicazioni non trascurabili. Per adottarla, infatti, occorre attivare un computer specifico sul quale tenere una copia di tutti gli account per l'accesso alla posta elettronica e sulla quale sia disabilitato il login (altrimenti la conoscenza della password consentirebbe il login su una macchina di rete). Questo rende impossibile per ciascun utente gestire la propria password con evidenti problemi per la distribuzione delle password agli utilizzatori, gli eventuali cambiamenti, ecc.

    Oltre a ciò resta il problema che la password per l'accesso alla posta rimarrebbe vulnerabile, il che pur non costituendo più una minaccia per l'integrità dei sistemi in rete, rimarrebbe tuttavia una minaccia per la privatezza della casella di posta elettronica.

  9. Se la cattura delle password con sniffer può avvenire anche sulla rete locale perché è stato bloccato l'uso di telnet/ftp dall'esterno e non anche internamente?

    Per limitare l'impatto sulle abitudini degli utenti. Abbiamo considerato l'uso per l'accesso esterno potenzialmente più pericoloso, perché il pacchetto fa una strada più lunga e passa per reti a noi sconosciute, ma secondo logica dovrebbe essere impedito l'uso anche internamente alla nostra LAN. Per il momento, con una evidente scelta di compromesso, ci siamo limitati a sconsigliarlo.

    Analogamente pensiamo che per il momento l'uso di IMAP e POP in chiaro sulla rete locale sia un rischio da dover correre per evitare di imporre regole troppo severe.

  10. Quali altre misure di sicurezza vengono adottate?

    Le misure relative alla sicurezza sono molteplici. In particolare:
    • Il router che costituisce l'unica via di comunicazione con la rete esterna è configurato in modo da bloccare selettivamente le modalità di accesso ritenute non sicure.
    • La sottorete dell'amministrazione è dotata di un ulteriore livello di filtraggio che consente solo comunicazioni uscenti.
    • Viene effettuato il log delle attività di rete che possono essere indicatori di attacchi in corso.
    • Vengono applicate sistematicamente le "patches" relative alla sicurezza ai sistemi operativi delle macchine.

  11. Quali altre misure si prevedono per il futuro?

    Non è facile prevedere quello che accadrà in un settore cosí dinamico. Tuttavia riteniamo che rapidamente emergeranno applicazioni e protocolli standard che rendano assai più "trasparenti" le pratiche di sicurezza agli utilizzatori. Riteniamo che questo sia il momento di maggior caoticità e confidiamo che si riesca in tempi brevi (diciamo entro l'anno in corso) a consolidare queste pratiche, nel senso di una ampia disponibilità e diffusione dei programmi e dei protocolli.

    Per quanto riguarda le novità ci aspettiamo che presto si presenteranno necessità connesse con la protezione crittografica della posta elettronica e con l'autenticazione dei corrispondenti.

Note

POP ed IMAP sono due protocolli utilizzati per l'accesso ai servizi di posta elettronica da parte dei clienti di posta elettronica.