Enviar pesquisa
Carregar
PKI
•
1 gostou
•
1,488 visualizações
Massimo Penco
Seguir
Denunciar
Compartilhar
Denunciar
Compartilhar
1 de 352
Baixar agora
Baixar para ler offline
Recomendados
Autenticazione Mobile Intelligente ppt
Autenticazione Mobile Intelligente ppt
Leonardo Boscaro
Il problema dei furti di identita' nelle infrastrutture Cloud e possibili rimedi
Il problema dei furti di identita' nelle infrastrutture Cloud e possibili rimedi
Giuseppe Paterno'
Manifesto della Cyber Resilience
Manifesto della Cyber Resilience
Symantec
Webinar sicurezza nei social network
Webinar sicurezza nei social network
Matteo Barberi
Sistema Paese Italia e Cyber Security : un nuovo scenario di interazione tra ...
Sistema Paese Italia e Cyber Security : un nuovo scenario di interazione tra ...
Angeloluca Barba
Iot introduction 2009
Iot introduction 2009
CATTID "Sapienza"
Clever Consulting Newsletter > Gennaio 2012
Clever Consulting Newsletter > Gennaio 2012
Clever Consulting
Splunking big data
Splunking big data
gmrinaldi
Recomendados
Autenticazione Mobile Intelligente ppt
Autenticazione Mobile Intelligente ppt
Leonardo Boscaro
Il problema dei furti di identita' nelle infrastrutture Cloud e possibili rimedi
Il problema dei furti di identita' nelle infrastrutture Cloud e possibili rimedi
Giuseppe Paterno'
Manifesto della Cyber Resilience
Manifesto della Cyber Resilience
Symantec
Webinar sicurezza nei social network
Webinar sicurezza nei social network
Matteo Barberi
Sistema Paese Italia e Cyber Security : un nuovo scenario di interazione tra ...
Sistema Paese Italia e Cyber Security : un nuovo scenario di interazione tra ...
Angeloluca Barba
Iot introduction 2009
Iot introduction 2009
CATTID "Sapienza"
Clever Consulting Newsletter > Gennaio 2012
Clever Consulting Newsletter > Gennaio 2012
Clever Consulting
Splunking big data
Splunking big data
gmrinaldi
Sicur Control System Cloud - Agostino Forestiero
Sicur Control System Cloud - Agostino Forestiero
Centro di competenza ICT-SUD
Security Awareness Training Course
Security Awareness Training Course
Sylvio Verrecchia - IT Security Engineer
Prima parte: Proteggi la tua organizzazione con un approccio multilivello all...
Prima parte: Proteggi la tua organizzazione con un approccio multilivello all...
Ivanti
Sophos - Sicurezza dei Dati
Sophos - Sicurezza dei Dati
M.Ela International Srl
Data Breach e Garante Privacy: Problemi e soluzioni
Data Breach e Garante Privacy: Problemi e soluzioni
DFLABS SRL
Clever Consulting Newsletter > Giugno 2012
Clever Consulting Newsletter > Giugno 2012
Clever Consulting
Clever Consulting Newsletter > Febbraio 2012
Clever Consulting Newsletter > Febbraio 2012
Clever Consulting
Clever Consulting Newsletter - Luglio 2012
Clever Consulting Newsletter - Luglio 2012
Clever Consulting
La protezione dell’impresa distribuita, secondo Fortinet
La protezione dell’impresa distribuita, secondo Fortinet
Maticmind
Il DLP, uno strumento di difesa del patrimonio informativo aziendale
Il DLP, uno strumento di difesa del patrimonio informativo aziendale
Babel
New Web Jobs - Le Nuove Professioni del Web 2013
New Web Jobs - Le Nuove Professioni del Web 2013
Giulio Xhaet
Content: We not me i 2013
Content: We not me i 2013
Jan Godsk
Literaturverzeichnis aller L3T-Kapitel
Literaturverzeichnis aller L3T-Kapitel
L3T - Lehrbuch für Lehren und Lernen mit Technologie
ABC Breakfast Club m Eva Solo: Aktionslister og ABC-baseret KPI
ABC Breakfast Club m Eva Solo: Aktionslister og ABC-baseret KPI
ABC Softwork
Ppt I S H 2010
Ppt I S H 2010
Massimo Penco
Alan Docherty Bio
Alan Docherty Bio
AlanDocherty
The Innovation Gap in Pharmaceutical Drug Discovery and New Models for R&D Su...
The Innovation Gap in Pharmaceutical Drug Discovery and New Models for R&D Su...
Michael Hu
Sorrento Centre Governance Policies
Sorrento Centre Governance Policies
Sorrento Centre
Buy rakhi online
Buy rakhi online
ChrisPerez
Mitigating fraud waste_misuse
Mitigating fraud waste_misuse
Multi Service
Algebra ii photo project
Algebra ii photo project
School of Laumber
Vasco da gama grace and sam2
Vasco da gama grace and sam2
guest893afef
Mais conteúdo relacionado
Mais procurados
Sicur Control System Cloud - Agostino Forestiero
Sicur Control System Cloud - Agostino Forestiero
Centro di competenza ICT-SUD
Security Awareness Training Course
Security Awareness Training Course
Sylvio Verrecchia - IT Security Engineer
Prima parte: Proteggi la tua organizzazione con un approccio multilivello all...
Prima parte: Proteggi la tua organizzazione con un approccio multilivello all...
Ivanti
Sophos - Sicurezza dei Dati
Sophos - Sicurezza dei Dati
M.Ela International Srl
Data Breach e Garante Privacy: Problemi e soluzioni
Data Breach e Garante Privacy: Problemi e soluzioni
DFLABS SRL
Clever Consulting Newsletter > Giugno 2012
Clever Consulting Newsletter > Giugno 2012
Clever Consulting
Clever Consulting Newsletter > Febbraio 2012
Clever Consulting Newsletter > Febbraio 2012
Clever Consulting
Clever Consulting Newsletter - Luglio 2012
Clever Consulting Newsletter - Luglio 2012
Clever Consulting
La protezione dell’impresa distribuita, secondo Fortinet
La protezione dell’impresa distribuita, secondo Fortinet
Maticmind
Il DLP, uno strumento di difesa del patrimonio informativo aziendale
Il DLP, uno strumento di difesa del patrimonio informativo aziendale
Babel
New Web Jobs - Le Nuove Professioni del Web 2013
New Web Jobs - Le Nuove Professioni del Web 2013
Giulio Xhaet
Mais procurados
(11)
Sicur Control System Cloud - Agostino Forestiero
Sicur Control System Cloud - Agostino Forestiero
Security Awareness Training Course
Security Awareness Training Course
Prima parte: Proteggi la tua organizzazione con un approccio multilivello all...
Prima parte: Proteggi la tua organizzazione con un approccio multilivello all...
Sophos - Sicurezza dei Dati
Sophos - Sicurezza dei Dati
Data Breach e Garante Privacy: Problemi e soluzioni
Data Breach e Garante Privacy: Problemi e soluzioni
Clever Consulting Newsletter > Giugno 2012
Clever Consulting Newsletter > Giugno 2012
Clever Consulting Newsletter > Febbraio 2012
Clever Consulting Newsletter > Febbraio 2012
Clever Consulting Newsletter - Luglio 2012
Clever Consulting Newsletter - Luglio 2012
La protezione dell’impresa distribuita, secondo Fortinet
La protezione dell’impresa distribuita, secondo Fortinet
Il DLP, uno strumento di difesa del patrimonio informativo aziendale
Il DLP, uno strumento di difesa del patrimonio informativo aziendale
New Web Jobs - Le Nuove Professioni del Web 2013
New Web Jobs - Le Nuove Professioni del Web 2013
Destaque
Content: We not me i 2013
Content: We not me i 2013
Jan Godsk
Literaturverzeichnis aller L3T-Kapitel
Literaturverzeichnis aller L3T-Kapitel
L3T - Lehrbuch für Lehren und Lernen mit Technologie
ABC Breakfast Club m Eva Solo: Aktionslister og ABC-baseret KPI
ABC Breakfast Club m Eva Solo: Aktionslister og ABC-baseret KPI
ABC Softwork
Ppt I S H 2010
Ppt I S H 2010
Massimo Penco
Alan Docherty Bio
Alan Docherty Bio
AlanDocherty
The Innovation Gap in Pharmaceutical Drug Discovery and New Models for R&D Su...
The Innovation Gap in Pharmaceutical Drug Discovery and New Models for R&D Su...
Michael Hu
Sorrento Centre Governance Policies
Sorrento Centre Governance Policies
Sorrento Centre
Buy rakhi online
Buy rakhi online
ChrisPerez
Mitigating fraud waste_misuse
Mitigating fraud waste_misuse
Multi Service
Algebra ii photo project
Algebra ii photo project
School of Laumber
Vasco da gama grace and sam2
Vasco da gama grace and sam2
guest893afef
Indian salwar kameez_designs
Indian salwar kameez_designs
ChrisPerez
Leveraging Microsoft Azure for Next Gen App Development
Leveraging Microsoft Azure for Next Gen App Development
WinWire Technologies Inc
ABC Breakfast Club m. NKT Cables: Servicegrad steg til 96 % mens råvarelagere...
ABC Breakfast Club m. NKT Cables: Servicegrad steg til 96 % mens råvarelagere...
ABC Softwork
Apostol t m calculus and linear algebra vol 1 2 ed (wiley)(686s)
Apostol t m calculus and linear algebra vol 1 2 ed (wiley)(686s)
Maria Paula Martins
Kids to College WSJ Article
Kids to College WSJ Article
Maran Corporate Risk Associates, Inc.
Ndgf Sept 09
Ndgf Sept 09
Thomas Zangerl
Imenco Offshore Helicopter refuelling system presentation
Imenco Offshore Helicopter refuelling system presentation
Imenco AS- Houston (Al Cohen, MBA)
Documenting Sexual and Reproductive Health Best Practices in SADC
Documenting Sexual and Reproductive Health Best Practices in SADC
Rouzeh Eghtessadi
Building a Better National Targeting System for Improving Social Safety Net P...
Building a Better National Targeting System for Improving Social Safety Net P...
Paul Mithun
Destaque
(20)
Content: We not me i 2013
Content: We not me i 2013
Literaturverzeichnis aller L3T-Kapitel
Literaturverzeichnis aller L3T-Kapitel
ABC Breakfast Club m Eva Solo: Aktionslister og ABC-baseret KPI
ABC Breakfast Club m Eva Solo: Aktionslister og ABC-baseret KPI
Ppt I S H 2010
Ppt I S H 2010
Alan Docherty Bio
Alan Docherty Bio
The Innovation Gap in Pharmaceutical Drug Discovery and New Models for R&D Su...
The Innovation Gap in Pharmaceutical Drug Discovery and New Models for R&D Su...
Sorrento Centre Governance Policies
Sorrento Centre Governance Policies
Buy rakhi online
Buy rakhi online
Mitigating fraud waste_misuse
Mitigating fraud waste_misuse
Algebra ii photo project
Algebra ii photo project
Vasco da gama grace and sam2
Vasco da gama grace and sam2
Indian salwar kameez_designs
Indian salwar kameez_designs
Leveraging Microsoft Azure for Next Gen App Development
Leveraging Microsoft Azure for Next Gen App Development
ABC Breakfast Club m. NKT Cables: Servicegrad steg til 96 % mens råvarelagere...
ABC Breakfast Club m. NKT Cables: Servicegrad steg til 96 % mens råvarelagere...
Apostol t m calculus and linear algebra vol 1 2 ed (wiley)(686s)
Apostol t m calculus and linear algebra vol 1 2 ed (wiley)(686s)
Kids to College WSJ Article
Kids to College WSJ Article
Ndgf Sept 09
Ndgf Sept 09
Imenco Offshore Helicopter refuelling system presentation
Imenco Offshore Helicopter refuelling system presentation
Documenting Sexual and Reproductive Health Best Practices in SADC
Documenting Sexual and Reproductive Health Best Practices in SADC
Building a Better National Targeting System for Improving Social Safety Net P...
Building a Better National Targeting System for Improving Social Safety Net P...
Semelhante a PKI
LE RAGIONI DELLA SICUREZZA IT
LE RAGIONI DELLA SICUREZZA IT
Vincenzo Calabrò
Nuove minacce nella Cyber Security, come proteggersi
Nuove minacce nella Cyber Security, come proteggersi
Simone Onofri
Sicurezza informatica per le professioni legali
Sicurezza informatica per le professioni legali
Raffaella Brighi
Mobile Security Business-e
Mobile Security Business-e
Paolo Passeri
Smau Milano 2011 Giuseppe Paternò
Smau Milano 2011 Giuseppe Paternò
SMAU
ProtezioneCyber - La soluzione assicurativa contro il cyber risk
ProtezioneCyber - La soluzione assicurativa contro il cyber risk
M2 Informatica
Perché oggi è importante tutelare le informazioni
Perché oggi è importante tutelare le informazioni
DI.TECH - Innovazione per la distribuzione
Go Passwordless_La piattaforma FIDO2 per l’autenticazione multifattore SafeAc...
Go Passwordless_La piattaforma FIDO2 per l’autenticazione multifattore SafeAc...
Bit4id1
ProtezioneCyber - Gestione integrata del cyber risk
ProtezioneCyber - Gestione integrata del cyber risk
M2 Informatica
Social Network Security powered by IBM
Social Network Security powered by IBM
Angelo Iacubino
SocialNetwork Security
SocialNetwork Security
guest23c22c6
La sicurezza delle reti aziendali ai tempi di Facebook
La sicurezza delle reti aziendali ai tempi di Facebook
hantex
Corso geometri completo 2 ottobre
Corso geometri completo 2 ottobre
Cloudea s.r.l.
Go Passwordless_La piattaforma FIDO2 per l’autenticazione multifattore SafeAc...
Go Passwordless_La piattaforma FIDO2 per l’autenticazione multifattore SafeAc...
Bit4id1
ProtezioneCyber - La soluzione assicurativa contro il cyber risk
ProtezioneCyber - La soluzione assicurativa contro il cyber risk
M2 Informatica
Sicurezza Integrata Dedagroup
Sicurezza Integrata Dedagroup
Dedagroup
APT, Social Network e Cybercriminali: Strategie difensive
APT, Social Network e Cybercriminali: Strategie difensive
iDIALOGHI
2009 02 17 Sophos Tour
2009 02 17 Sophos Tour
Marco Guardigli
GDPR Day Web Learning: Rischio Data Breach
GDPR Day Web Learning: Rischio Data Breach
adriana franca
La sicurezza delle reti aziendali ai tempi di Facebook
La sicurezza delle reti aziendali ai tempi di Facebook
AmmLibera AL
Semelhante a PKI
(20)
LE RAGIONI DELLA SICUREZZA IT
LE RAGIONI DELLA SICUREZZA IT
Nuove minacce nella Cyber Security, come proteggersi
Nuove minacce nella Cyber Security, come proteggersi
Sicurezza informatica per le professioni legali
Sicurezza informatica per le professioni legali
Mobile Security Business-e
Mobile Security Business-e
Smau Milano 2011 Giuseppe Paternò
Smau Milano 2011 Giuseppe Paternò
ProtezioneCyber - La soluzione assicurativa contro il cyber risk
ProtezioneCyber - La soluzione assicurativa contro il cyber risk
Perché oggi è importante tutelare le informazioni
Perché oggi è importante tutelare le informazioni
Go Passwordless_La piattaforma FIDO2 per l’autenticazione multifattore SafeAc...
Go Passwordless_La piattaforma FIDO2 per l’autenticazione multifattore SafeAc...
ProtezioneCyber - Gestione integrata del cyber risk
ProtezioneCyber - Gestione integrata del cyber risk
Social Network Security powered by IBM
Social Network Security powered by IBM
SocialNetwork Security
SocialNetwork Security
La sicurezza delle reti aziendali ai tempi di Facebook
La sicurezza delle reti aziendali ai tempi di Facebook
Corso geometri completo 2 ottobre
Corso geometri completo 2 ottobre
Go Passwordless_La piattaforma FIDO2 per l’autenticazione multifattore SafeAc...
Go Passwordless_La piattaforma FIDO2 per l’autenticazione multifattore SafeAc...
ProtezioneCyber - La soluzione assicurativa contro il cyber risk
ProtezioneCyber - La soluzione assicurativa contro il cyber risk
Sicurezza Integrata Dedagroup
Sicurezza Integrata Dedagroup
APT, Social Network e Cybercriminali: Strategie difensive
APT, Social Network e Cybercriminali: Strategie difensive
2009 02 17 Sophos Tour
2009 02 17 Sophos Tour
GDPR Day Web Learning: Rischio Data Breach
GDPR Day Web Learning: Rischio Data Breach
La sicurezza delle reti aziendali ai tempi di Facebook
La sicurezza delle reti aziendali ai tempi di Facebook
Mais de Massimo Penco
Dopo Vent'anni il trapianto d'organi decolla senza CIE
Dopo Vent'anni il trapianto d'organi decolla senza CIE
Massimo Penco
Cie e trapianto organi
Cie e trapianto organi
Massimo Penco
Cie
Cie
Massimo Penco
L’immortalità digitale
L’immortalità digitale
Massimo Penco
Privacy E Nuove Tecnologie
Privacy E Nuove Tecnologie
Massimo Penco
P E C Dae 1
P E C Dae 1
Massimo Penco
Carta d\identità elettronica
Carta d\identità elettronica
Massimo Penco
Firma Digitale prima presentazione della legge
Firma Digitale prima presentazione della legge
Massimo Penco
Mais de Massimo Penco
(8)
Dopo Vent'anni il trapianto d'organi decolla senza CIE
Dopo Vent'anni il trapianto d'organi decolla senza CIE
Cie e trapianto organi
Cie e trapianto organi
Cie
Cie
L’immortalità digitale
L’immortalità digitale
Privacy E Nuove Tecnologie
Privacy E Nuove Tecnologie
P E C Dae 1
P E C Dae 1
Carta d\identità elettronica
Carta d\identità elettronica
Firma Digitale prima presentazione della legge
Firma Digitale prima presentazione della legge
PKI
1.
GlobalTrust®
Securing the globe Copyright © by GlobalTrust, Inc.
2.
Copyright © by
GlobalTrust, Inc.
3.
Capitolo 1 Applicazioni Internet:
Obiettivo Sicurezza Internet e il World Wide Web Soluzioni Web per il Business Nuovi orizzonti con l’E-Business B2B I pericoli della Rete: mito o realtà? Problematiche del Web Le preoccupazioni del Security Administrator Potenzialità dell'E-Business I fondamenti dell'E-Business Perché utilizzare le PKI (Public Key Infrastructures)? Copyright © by GlobalTrust, Inc. 3
4.
Capitolo 1 Che cosa
è una rivoluzione 1. Cambiamento improvviso, radicale, completo 2. Cambiamento sostanziale nell’organizzazione politica; in particolare: rovesciamento di un governo o abdicazione di un sovrano, che viene sostituito con un altro scelto da chi è governato 3. Organizzazione o movimento che si propone di modificare radicalmente l’assetto socio-economico 4. Mutamento radicale nel modo di pensare o di concepire qualcosa: cambiamento di una teoria, es. la Rivoluzione Copernicana 5. Cambiamento radicale nell’uso o nella preferenza di qualcosa, specialmente in ambito tecnologico Copyright © by GlobalTrust, Inc. 4
5.
Capitolo 1 Effetti della
Rivoluzione Internet • Rivoluzione nel modo di comunicare e conseguente riduzione dei costi • Sistemi di vendita innovativi — Internet come “vetrina globale” • Nuove possibilità d’interazione tra soggetti pubblici e privati • Grazie a lnternet il cittadino può accedere in modo facile e immediato a informazioni e servizi privati • Internet ⇔ Globalizzazione Copyright © by GlobalTrust, Inc. 5
6.
Capitolo 1 Internet come
mezzo per il Business Vantaggi: È aperto a tutti ed è in continua evoluzione Non è controllato da alcuna autorità È economico È affidabile Collega tutto il mondo Svantaggi: Non è controllato da nessuno Non c’è privacy – le e-mail sono come le cartoline - se non adeguatamente protetto È facile subire perdite economiche dovute a “pirateria informatica” - se non adeguatamente protetto Non si può vedere chi c’è “dall’altra parte” È globale: come si fa ad applicare le leggi? Le leggi di chi? Dove e quando? Copyright © by GlobalTrust, Inc. 6
7.
Capitolo 1 In che
modo Internet può migliorare un business? • Intranet Gestione Risorse Umane: facilita il reperimento delle informazioni personali Agevola e potenzia la comunicazione all’interno di un’azienda Management ⇔ Dipendenti Dipendente ⇔ Dipendente Ufficio ⇔ Ufficio Permette la comunicazione nei gruppi di discussione tecnica (Forum) • Extranet Avvicina l’azienda ai clienti e ai fornitori I clienti possono accedere alle informazioni in tempo reale Garantisce la partecipazione dei fornitori alla catena di distribuzione • Internet Permette di comunicare con soggetti pubblici e privati Permette di fare business attraverso l’incontro tra Domanda e Offerta Supera le barriere internazionali Copyright © by GlobalTrust, Inc. 7
8.
Capitolo 1 E-Business B2B
Oggi l’infrastruttura Internet è usata non solo per… Avere informazioni sui prodotti e sulla società Ricevere/emettere ordini di vendita/acquisto Operare nei mercati finanziari Fare Home-Banking …Ma anche per attività che un tempo venivano svolte tramite sistemi EDI (Electronic Data Interchange), come: Trattamento dell’ordine Gestione della catena di rifornimento (produzione/acquisto MP/SL, gestione delle scorte) Contabilità e analisi finanziaria Sistemi di pagamento Copyright © by GlobalTrust, Inc. 8
9.
Capitolo 1 I pericoli
della Rete: mito o realtà? Copyright © by GlobalTrust, Inc. 9
10.
Capitolo 1 Problematiche del
Web Oggi la sicurezza è di fondamentale interesse per qualsiasi business, che deve difendersi da: Acquisti non autorizzati Furti di identità (Impersonation) Virus/Attacchi Hacker etc. …e garantire ai propri utenti: La sicurezza delle operazioni La riservatezza dei dati sensibili Copyright © by GlobalTrust, Inc. 10
11.
Capitolo 1 Rischi connessi
all’uso del Web Frode qualcuno può spacciarsi per il legittimo cliente Furto/uso scorretto dei numeri della carta di credito Divulgazione o manipolazione di dati riservati o segreti Perdite dovute a downtime (inaccessibilità del sito) a causa di attacchi hacker Spese per la risoluzione delle controversie data la sostanziale intangibilità delle “prove” digitali Ansia del cliente che intuisce l’esistenza di punti deboli nella sicurezza Copyright © by GlobalTrust, Inc. 11
12.
Capitolo 1 Che cosa
cercano gli hackers? Tra gli obiettivi degli hackers ci sono le • Informazioni “Sensibili” CLIENTI e FORNITORI PRODOTTI e TECNOLOGIE DATI PERSONALI • Sconvolgere i sistemi • Virus - Worms Copyright © by GlobalTrust, Inc. 12
13.
Capitolo 1 Le preoccupazioni
del Security Administrator • Numerosi dispositivi di rete da gestire Hub, Server, Router, Firewall, Switch.... • Molteplicità dei punti di accesso alla rete interna • Continuo sviluppo della tecnologia Difficoltà nel “Rimanere Aggiornati” • Straordinaria domanda da parte degli utenti di servizi Internet Posta, Navigazione, FTP, Applicazioni E-Commerce, ecc. • Conoscenza limitata nel settore della sicurezza Il personale IT non pensa come gli hacker, i cracker e gli attacker Copyright © by GlobalTrust, Inc. 13
14.
Capitolo 1 Sicurezza: cresce
il pericolo Le infrastrutture di rete sono sempre più indispensabili… Oggi Internet è l’infrastruttura essenziale di moltissime business-area La violazione di una rete aziendale può implicare una notevole perdita d’immagine …e gli hackers sono sempre più competenti e agguerriti! Hanno forti motivazioni Sempre maggior risalto dei media agli attacchi hacker (emulazione) Internet facilita la comunicazione (anche tecnica) tra i gruppi hacker WArEz, rootshell.com, Phrack Copyright © by GlobalTrust, Inc. 14
15.
Capitolo 1 Potenzialità dell’E-Business
Copyright © by GlobalTrust, Inc. 15
16.
Capitolo 1 E-Business B2B:
il modello EDI Processi di Business gestiti usando l’Accesso Diretto (linee dedicate, connessioni Vantaggi telefoniche) Privacy e larghezza di banda garantita Svantaggi Costoso Firewall Rigido ISP ISP ISP Accesso limitato ISPInternet ISP Non è interoperabile Non è scalabile ISP ISP ISP La gestione non è integrata WEB Server Copyright © by GlobalTrust, Inc. 16
17.
Capitolo 1 E-Business B2B:
il modello Internet Processi di Business gestiti usando la tecnologia Vantaggi Internet Ottimo tradeoff Costi-Benefici Flessibile Ad accesso universale Fire wall Interoperatività basata su standards Firewall Gestione distribuita ISP ISP ISP ISPInternet ISP Svantaggi ISP ISP ISP Insicuro Non ci sono garanzie sulle prestazioni WEB Server Copyright © by GlobalTrust, Inc. 17
18.
Capitolo 1 La sicurezza
in Internet: I vari livelli Più alto PKI Certificati digitali Cifratura e autenticazione Virtual Private Network Firewall Più basso Packet Filter, Router Più basso Livello di sicurezza complessiva Più alto dell’E-Business Copyright © by GlobalTrust, Inc. 18
19.
Capitolo 1 I fondamenti
dell'E-Business Copyright © by GlobalTrust, Inc. 19
20.
Capitolo 1 I fondamenti
dell'E-Business Le transazioni on-line devono essere simili a quelle tradizionali (basate su materiale cartaceo) In caso contrario bisognerebbe reinventare l’intero sistema di leggi Il punto è: Come creare un contratto “digitale” in grado di regolare la vendita di beni e servizi? Come assicurare la riservatezza nella comunicazioni di dati sensibili? Come garantire la validità di una transazione digitale? Come garantire il rispetto delle leggi relative ai contratti, agli accordi, alla trasparenza? Il controllo legale include: La firma valida “fino a prova di falso” Uso di carta a prova di falsificazione; es. assegni Marcatura temporale (date and time stamping), es. ricevuta di spedizione Intervento di terze parti di fiducia: notai, testimoni, documenti di identità rilasciati da terze parti di fiducia Copyright © by GlobalTrust, Inc. 20
21.
Capitolo 1 Transazioni Internet
Business-to-Business • La Società A fa una proposta d’affari Pubblica il suo catalogo e il listino prezzi su un server Web, oppure… Pubblica una RFP (Request for Proposal = Richiesta di Offerta) sul Web, oppure… Manda un’e-mail alla Società B proponendole la fornitura di beni o servizi • La Società B risponde alla proposta Manda un’e-mail con un ordine di acquisto per uno o più prodotti del catalogo secondo i prezzi indicati Risponde alla RFP facendo un’offerta via e-mail, oppure… Manda un’e-mail con una bozza di contratto per la transazione o ancora… Manda un’e-mail contenente il numero di carta di credito per pagare • La Società A accetta l’offerta Comunica via e-mail la propria accettazione dei prezzi, dei termini, ecc. Spedisce la merce o concorda con B il momento d’inizio della fornitura Copyright © by GlobalTrust, Inc. 21
22.
Capitolo 1 Che differenza
c’è tra l’E-Business e le transazioni tradizionali? • Le parti coinvolte nella transazione non possono essere sicure della reciproca identità (elettronica) Nemmeno se si sono già conosciute o se hanno già fatto affari Gli indirizzi e-mail possono essere falsificati • Non possono essere sicure che i loro messaggi non siano stati intercettati da terze parti Confidenzialità della transazione (letta da altri) Integrità della transazione (modificata da altri) • In che modo si raggiunge un accordo inequivocabile? Entrambe le parti hanno l’autorità per concludere la transazione Una volta conclusa la transazione, nessuna delle due parti può rifiutarsi di riconoscerla Come fanno le due parti a firmare l’accordo? • C’è chiarezza nella transazione? • Dove e quando si svolge la transazione? Copyright © by GlobalTrust, Inc. 22
23.
Capitolo 1 Perché utilizzare
le PKI (Public Key Infrastructures)? Per salvaguardare la sicurezza nel business La sicurezza è in crescente pericolo Rischi di perdite dovute a frode Gli attacker sono sempre più preparati Efficienza Potenziale guadagno grazie a processi più efficienti Per l’E-Business Le PKI realizzano nuove catene di valore Rendono sicura la vendita di prodotti sul Web Forniscono al cliente assistenza via Web Integrano la catena di informazione di clienti e fornitori Le PKI modificano le barriere d’ingresso ai mercati Possono far espandere il business aziendale in nuovi mercati e... …ostacolare i concorrenti nel penetrare all’interno del Vostro! Copyright © by GlobalTrust, Inc. 23
24.
Capitolo 1 La PKI
è LA soluzione, o solo una delle tante? • Progettata per essere espandibile Basso costo d’impianto ed estensione Sistema integrato Standard aperto Infrastruttura ormai riconosciuta a livello legale • È l’unica tecnologia che garantisce la sicurezza su una rete pubblica I lettori biometrici riconoscono la persona al terminale • Il terminale ha bisogno della PKI per farsi riconoscere sulla rete • Tuttavia la PKI da sola non basta, deve rientrare in una più ampia architettura della sicurezza Perimetro di sicurezza: firewall, router, DMZ Intrusion Detection attraverso un monitoraggio in tempo reale Copyright © by GlobalTrust, Inc. 24
25.
Capitolo 2 Un primo
approccio alle PKI Creare un E-Business sicuro Firme Digitali e PKI: Perché sono necessarie? Componiamo il Puzzle delle PKI Copyright © by GlobalTrust, Inc. 25
26.
Capitolo 2 Creare un
E-Business sicuro E-Business Sicuro Integrità dei dati Autenticazione Autorizzazione NON Ripudio Privacy Tecnologia Gestione Infrastruttura di sicurezza Politiche di sicurezza Copyright © by GlobalTrust, Inc. 26
27.
Capitolo 2 I principi
della sicurezza nell’E-Business Autenticazione/Validazione • Assicurati di sapere con chi stai comunicando Privacy • Mantieni i segreti… segreti Autorizzazione • Assicurati che gli utenti non superino il limite dell’autorità loro concessa Integrità (dei dati) • Accertati che non sia cambiato nulla a tua insaputa Non-Ripudio • Assicurati di avere delle prove irriputiabili in caso di eventuali controversie Copyright © by GlobalTrust, Inc. 27
28.
Capitolo 2 I principi
della sicurezza nell’E-Business Come vengono applicati nel mondo …. non elettronico? Copyright © by GlobalTrust, Inc. 28
29.
Capitolo 2 Autenticazione È
la certezza che gli altri siano davvero chi dicono di essere Normalmente dipende da un certo tipo di credenziali, come: Qualcosa che “hai”, es. la carta di identità o documento equipollente Le credenziali devono essere emesse da soggetti legalmente riconosciuti Le credenziali devono essere difficili da falsificare, copiare, o cambiare Qualcosa che “conosci”: un’informazione riservata, di carattere personale Qualcosa che “sei” Rilevazioni biometriche (se disponibili e riconosciuti): impronte digitali, scansione oculare, DNA Copyright © by GlobalTrust, Inc. 29
30.
Capitolo 2 Privacy Assicura
che un’informazione non cada nelle mani di persone non autorizzate a conoscerla Materialmente questo risultato si può ottenere: Chiudendo l’informazione in una cassaforte Sigillandola in una busta opaca non leggibile dall’esterno Impiegando personale certificato che la custodisca Controllando l’accesso fisico all’informazione Usando l’inchiostro invisibile Usando sistemi di codifica, es. “Cifrario di Cesare” piuttosto che il “Codice Beale” Applicando in concreto le normative sulla Legge 196 Copyright © by GlobalTrust, Inc. 30
31.
Capitolo 2 Autorizzazione
È la garanzia che nessuno oltrepassi il proprio limite di autorità Materialmente questo risultato si ottiene attraverso: Contratti standard con obbligo di firma autografa L’uso di serrature con chiavi custodite da apposito personale La definizione di speciali aree ad accesso ristretto L’imposizione di limiti di autorità esercitabile Politica e regolamenti aziendali Limitazione quantitativa degli ordini d’acquisto (e.g. fino a €5000, €10000, ecc.) L’obbligo di firma per ottenere l’accesso Identity e audit trail Il controllo effettuato da revisori interni ed esterni Copyright © by GlobalTrust, Inc. 31
32.
Capitolo 2 Integrità dei
dati Uso di dispositivi di sicurezza per proteggere il messaggio da modifiche non autorizzate L’integrità dei dati è garantita da: Controllo materiale dei supporti utilizzati (e.g. carta filigranata) Attestazione delle modifiche attraverso simboli o sigle Uso di terze parti di fiducia Che autenticano tutte le copie Che fanno da testimoni firmando e autenticando le eventuali variazioni Stretto controllo di tutte le copie qualora siano particolarmente importanti o confidenziali Attente revisioni manuali dei documenti Documenti legali o richieste di brevetto (coinvolgimento avvocati) Audit reports finanziari (coinvolgimento commercialisti) Copyright © by GlobalTrust, Inc. 32
33.
Capitolo 2 Non Ripudio
Il Non Ripudio è garantito da: Manifestazione di volontà ed effettiva presenza delle parti al momento della firma della transazione Coinvolgimento di terze parti di fiducia Autenticazione notarile delle firme Certificazione o invio tramite raccomandata Ancora una volta dipende dalle terze parti, e.g. Poste Italiane Non è evitabile il ripudio (busta vuota) Apposizione di data e ora Francobolli Registrazione delle date di trasmissione, ricezione, accettazione, ecc. Poste Italiane, FedEx, UPS, ecc. Copyright © by GlobalTrust, Inc. 33
34.
Capitolo 2 Come si
applicano questi principi all’E-Business? Autenticazione e Autorizzazione Chi c’è dall’altra parte della rete? E se il nostro interlocutore non fosse chi dice di essere? (impersonificazione) Privacy Le e-mail sono come le cartoline, chiunque può leggerle Integrità dei dati Possono essere intercettati e modificati attraverso la Rete Come possiamo sapere che non sono stati modificati? Non ripudio Non c’è modo di legare indissolubilmente una e-mail al mittente Come si fa a firmare una e-mail? Copyright © by GlobalTrust, Inc. 34
35.
Capitolo 2 Modalità di
autenticazione su Internet Visiva Si sta sviluppando la tecnologia di riconoscimento dei tratti somatici È ancora in fase di sviluppo Instant View – l’invio di e-mail contestuale al video Firma Si può tracciare la bitmap di una firma Può essere alterata! Password Può essere individuata e usata per scopi disonesti È debole, può essere facilmente dimenticata o indovinata Caratteristiche fisiche, es. impronte digitali, rilevazioni biometriche È in fase di sviluppo È previsto dalla legge 196 come alternativa alla password Copyright © by GlobalTrust, Inc. 35
36.
Capitolo 2 Elementi dell’e-commerce
sicuro Privacy Integrità Non ripudio Autorizzazione Autenticazione Copyright © by GlobalTrust, Inc. 36
37.
Capitolo 2 Firme digitali
e Infrastrutture a Chiavi Pubbliche (PKI): Perchè sono necessarie? Copyright © by GlobalTrust, Inc. 37
38.
Capitolo 2
Privacy = Cifratura Per definizione, le informazioni che si inviano attraverso Internet non sono sicure Possono essere viste dagli amministratori di sistema Possono essere intercettate da hackers Transitando attraverso server intermedi sono a rischio di rimanere negli stessi La soluzione è far sì che i dati siano comprensibili solo per il(i) legittimo(i) destinatario(i) La cifratura è l’unica soluzione accettabile Deve poter essere utilizzata anche da utenti privi di specifiche conoscenze tecniche Deve essere compatibile con le applicazioni client standard Deve assicurare un alto livello di protezione contro falsificazione e cattivo uso Copyright © by GlobalTrust, Inc. 38
39.
Capitolo 2 Autenticazione digitale
È l’identificazione di chi effettua una transazione elettronica • Deve identificare solamente quella persona o entità, che a sua volta deve essere verificabile dall’altra parte della transazione o da terze parti • Deve permettere alle parti di “firmare” un documento elettronico con la stessa facilità e valenza con cui se ne firma uno cartaceo • Deve garantire un alto livello di protezione da furti d’identità e falsificazione • Può essere visibile a tutti, ma non modificabile Copyright © by GlobalTrust, Inc. 39
40.
Capitolo 2 Autorizzazione digitale
L’autorizzazione è il processo che permette di valutare gli effettivi privilegi di un utente autenticato L’utente può effettuare ordini di acquisto illimitati? Può vedere gli stipendi nel sistema di gestione? Può modificarli? Normalmente, una volta autenticato l’utente, l’autorizzazione è una decisione a livello di applicazione Quali informazioni incluse nei database può vedere l’utente? Può dipendere dall’applicazione per ogni singolo utente *In questo corso non ci soffermeremo sugli esiti dell’autorizzazione:in teoria l’autenticazione dovrebbe fornire all’applicazione le informazioni necessarie per decidere sull’autorità dell’utente di effettuare o meno determinati tipi di transazione* Copyright © by GlobalTrust, Inc. 40
41.
Capitolo 2 Integrità dei
dati attraverso la Rete Bisogna essere sicuri che i dati non vengano modificati durante la transazione, eccetto in caso di modifiche a transazioni effettuate da soggetti autorizzati Eventuali cambiamenti non autorizzati devono essere immediatamente individuabili (comparando i due documenti) Implica l’uso di sistemi di checksum applicati ai dati Simile al Cyclic Redundancy Check (CRC) Collega la checksum alla firma del mittente Come fare a impedire che un intruso modifichi la checksum? (è possibile che accada) Copyright © by GlobalTrust, Inc. 41
42.
Capitolo 2 Non Ripudio L’identità
digitale dell’utente deve essere strettamente legata a quella fisica o all’autenticazione e validazione di qualsiasi soggetto pubblico o privato La ID digitale è legata alla firma digitale La firma/certificato digitale deve essere basato su informazioni conosciute solo dal firmatario/richiedente autorizzato Implica il ricorso a terze parti che si faranno garanti dell’identità dell’utente Verificando la corrispondenza fisica/giuridica Monitorando l’uso della ID o lo status giuridico del soggetto Rimanendo in possesso del diritto di revocare o annullare la ID digitale Copyright © by GlobalTrust, Inc. 42
43.
Capitolo 2 Creazione di
un’identità digitale Distribuzione di una ID elettronica standard a tutte le parti coinvolte nelle transazioni elettroniche Potrebbero essere utenti singoli, aziende, siti Web La ID deve essere universalmente valida Come la carta di credito, il passaporto, o la patente di guida Deve essere emessa da una Authority universalmente riconosciuta Potrebbero essere necessari più livelli di identità digitale Il passaporto è valido a livello internazionale (una volta era valido solo per le nazioni riconosciute da un Governo La ID card di un’azienda è valida solo in quella azienda A soggetti diversi corrispondono livelli di autorità diversi L’autorità nel settore acquisti è diversa da quella nelle risorse umane Identità private e aziendali Copyright © by GlobalTrust, Inc. 43
44.
Capitolo 2
Certificato digitale ID digitale Documento elettronico la cui validità è garantita da terze parti di fiducia Copyright © by GlobalTrust, Inc. 44
45.
Capitolo 2 Che cos’è
una CA (Certification Authority) Può essere qualsiasi Ente Pubblico o Privato e può operare come segue: Le aziende/enti possono essere in grado di emettere certificati digitali (i certificati) a: Dipendenti Clienti Fornitori Garantire l’accesso sicuro e autenticato agli utenti Garantire un appropriato audit trail dei certificati Cosa implica il concetto di Certification Authority (CA) La ID deve essere garantita da parti affidabili (es. certificati autorizzati) Il cliente deve sentirsi sicuro nel consultare i dati e nell’inviare dati sensibili (e.g. numero carta di credito, dati personali etc) L’azienda/ente deve essere sicura che solo i clienti autorizzati possano accedere ai dati Copyright © by GlobalTrust, Inc. 45
46.
Capitolo 2 Il contesto
legale e procedurale Il passaggio all’e-business deve avvenire in un contesto appropriato, costituito da: Aspetti legali relativi a qualsiasi transazione elettronica (validità, termini di riferimento, chiarezza, responsabilità, ecc.) Procedure necessarie per gestire la CA Responsabilità, rischi, copertura assicurativa Condizioni di accettazione dei certificati (CPS) Questo contesto è chiamato Public Key Infrastructure (PKI) = Infrastruttura a chiavi pubbliche Il concetto di “chiave pubblica” sarà approfondito in uno dei seguenti capitoli Copyright © by GlobalTrust, Inc. 46
47.
Capitolo 2
Credenziali = Sicurezza Enti Pubblici o Privati Name ENEL Email webmaster@enel.it Public Key CYP00F1227DKDEK SDFJDKGGGH Exp. 01/07 Intranet/Extranet Name H3G Email dal webmaster@tre.it Public Key Tradizionale HH3GUKDIKIIKD85L23DK69MVJ9 al Firewall Exp. 01/06 Router Digitale Name FBI Email webmaster@fbi.gov Public Key GKE589MM14’PLD+12MBO123@1! Exp. 01/08 Copyright © by GlobalTrust, Inc. 47
48.
Capitolo 2
PKI Aziendale Sistema di gestione dei certificati Gestione della Applicazioni chiave Legacy Archivi •Microsoft • Directory Client •Netscape Integration •X.500 Toolkit Server • Certificati di • Microsoft • S/MIME, SSL, SET, interoperabilità • Secure • Netscape IPSec • Servizi del Client/Server Access (SSL) • Lotus ciclo di vita PKI • EDI • Apache Applicazioni di E-BUSINESS Copyright © by GlobalTrust, Inc. 48
49.
Capitolo 2
L’espansione della Rete Opportunità, Rischi, Controllo, Sicurezza Potenziali clienti resto del mondo INTERNET COMMUNITY Enti Associazioni Governi centrali EXTRANET Clienti e locali Fornitori Business Partner INTRANET Dipendenti Succursali Copyright © by GlobalTrust, Inc. 49
50.
Capitolo 2
Applicazioni sicure Servizi di sicurezza – Transazioni di sicurezza – ID di Autenticazione Pagamento tasse e presentazione moduli, certificazione di email registrazione elettori servizi sanitari INTERNET Virtual Private Network COMMUNITY Pagamenti EDI Transazioni Sicure Associazione di (Home Banking, Documenti EXTRANET Trading Online) firmati Risorse condivise Email sicura INTRANET Copyright © by GlobalTrust, Inc. 50
51.
Capitolo 2 I Fondamenti
dell’E-Business ELECTRONIC BUSINESS PKI CA AUTORIZZATE CERTIFICATI DIGITALI FIRME DIGITALI CRITTOGRAFIA SICUREZZA INFORMATICA Copyright © by GlobalTrust, Inc. 51
52.
Capitolo 2 Parole chiave
di questo capitolo Crittografia Firme e identità digitali Certificati digitali Certification Authority (CA) Infrastruttura a chiavi pubbliche (PKI) Copyright © by GlobalTrust, Inc. 52
53.
Capitolo 3
Crittografia di base Cos’è la Crittografia? Crittografia a Chiave Simmetrica: Vantaggi e svantaggi Il Data Encryption Standard (DES) Oltre il DES: Advanced Encryption Standard La rivoluzione: Lo Standard di Crittografia a Chiave Pubblica (PKCS) Il sistema crittografico a Chiave Pubblica RSA Cosa ha risolto il PKCS Copyright © by GlobalTrust, Inc. 53
54.
Capitolo 3 Cos’è la
crittografia Crittografia: dal greco Kryptos (Nascosto) e Graphia (Scrittura) È la codifica di un messaggio in modo tale che possa essere decifrato solo da chi è autorizzato a farlo Il processo deve essere reversibile Il mascheramento dei dati è detto cifratura Il procedimento inverso è detto decifratura Per entrambi i processi occorre una chiave Una sequenza di parole (frase) o di numeri Una sequenza di bit di lunghezza definita (es. 40, 56, 128, 512 bit) Trasforma il testo originale (“plaintext” o testo in chiaro) in un testo cifrato (“ciphertext”) Copyright © by GlobalTrust, Inc. 54
55.
Capitolo 3 La necessità
di una crittografia “robusta” Prima Guerra Mondiale, l’esercito russo a Tannenberg La comunicazione tra due armate dell’esercito russo non avvenne in condizioni di sicurezza Gli Alleati riuscirono a leggere i loro messaggi e le attaccarono separatamente Risultato: Vittoria degli Alleati! Durante la Seconda Guerra Mondiale gli Alleati riuscirono a violare la macchina crittografica tedesca Enigma Spesso Montgomery veniva a conoscenza degli ordini di Rommel prima che lui stesso li ricevesse Risultato: in Nord Africa la situazione si rovesciò I crittografi della Marina statunitense riuscirono a violare i codici usati dal convoglio giapponese “Purple” I sottomarini americani riuscirono a distruggere la flotta giapponese Attacco a sorpresa presso l’isola di Midway Anche i tedeschi violarono i codici degli Alleati Gli U-boats furono micidiali nell’Atlantico anche grazie alle informazioni carpite al nemico e decrittate Copyright © by GlobalTrust, Inc. 55
56.
Capitolo 3 Crittografia a
chiave simmetrica È la più antica forma di crittografia Usata dagli antichi romani (Cifrario di Cesare), fino ai tempi moderni È detta “simmetrica” in quanto si basa sull’uso di una chiave segreta conosciuta da entrambe le parti (mittente e destinatario) Anche detta crittografia “a chiave segreta” La sua forma più semplice è il cifrario a sostituzione A D, B E, ecc. Il cifrario a sostituzione può essere facilmente “violato” dalla criptoanalisi elementare Copyright © by GlobalTrust, Inc. 56
57.
Capitolo 3 Crittografia a
chiave simmetrica commerciale ◄Usa come chiave una sequenza di bit Generalmente 40, 56, o 128 bit (5, 7, or 16 byte) ◄Si basa sull’applicazione di operazioni matematiche al messaggio e alla chiave per creare il testo cifrato ◄Applicando al contrario queste operazioni matematiche al testo cifrato, si ottiene di nuovo il messaggio in chiaro ◄L’algoritmo è in grado di cifrare un blocco di testo in chiaro per volta (i.e. molteplici byte) Quindi la stessa lettera può essere cifrata in modo diverso ogni volta che compare nel messaggio Copyright © by GlobalTrust, Inc. 57
58.
Capitolo 3
Crittografia a chiave simmetrica Chiave simmetrica (nota solo a Bruno e Anna) Ciao Anna Ciao Anna Bruno Anna xpL98? CIFRA DECIFRA M: - 43 C=E(M, K) M=D(C, K) C=Testo Cifrato D= Funzione di M=Messaggio (testo in chiaro) Decifratura K= Chiave Segreta E= Funzione di cifratura Intruso Copyright © by GlobalTrust, Inc. 58
59.
Capitolo 3
Lunghezza Robustezza Robustezza della cifratura = Difficoltà di violazione La “solidità” della cifratura a chiave simmetrica dipende da: Lunghezza della chiave Complessità dell’algoritmo matematico Qualità dell’implementazione L’algoritmo: Per essere complesso, l’algoritmo non deve MAI essere segreto o proprietario Gli algoritmi di cifratura pubblici possono essere testati dai migliori crittografi del mondo Tutti gli algoritmi “segreti” sono stati (virtualmente) violati dai matematici Copyright © by GlobalTrust, Inc. 59
60.
Capitolo 3 La frase
famosa… “Il problema della crittografia semplice è che sembra proprio uguale alla crittografia complessa” Bruce Schneier (Esperto di sicurezza informatica di fama mondiale) Copyright © by GlobalTrust, Inc. 60
61.
Capitolo 3 Violazione della
cifratura a chiave simmetrica Se l’algoritmo è robusto, l’unico modo possibile di violare (o decrittare) un messaggio cifrato è usare la “forza bruta” Forza Bruta = ricerca esaustiva, che si svolge provando tutte le possibili chiavi Inizia con 0000…..1, ecc. Comprende fino a mille miliardi di chiavi per cifrature a 40 bit Oggi si può decrittare un messaggio collegando tra di loro migliaia di computer Che sono connessi a Internet Che usano i cicli idle dei processori dei vari sistemi Copyright © by GlobalTrust, Inc. 61
62.
Capitolo 3 Complessità della
cifratura a chiave simmetrica Dimensioni chiave Numero delle Possibili chiavi Tempo di violazione (*) 40 bit 1 x 1012 (1000 miliardi) 2 ore 56 7 x 1016 20 ore 64 2 x 1019 9 anni 112 5 x 1033 1015 anni 128 3 x 1038 1019 anni 256 1 x 1077 1058 anni * Tempo richiesto per un attacco con la “forza bruta”, realizzato usando un ipotetico computer creato ad-hoc per la violazione Copyright © by GlobalTrust, Inc. 62
63.
Capitolo 3 Problemi della
cifratura a chiave simmetrica Pro Contro Rapida e relativamente facile Occorrono chiavi diverse per da implementare ogni coppia o gruppo di utenti Molto efficace, soprattutto se Se un utente smarrisce o la chiave è usata solo poche compromette la chiave, volte (es. una volta) bisogna sostituire tutte le chiavi • Domanda: la gestione della chiave Come fanno A e B a essere sicuri che nessun altro, a parte loro, conosca la chiave? • Risposta: la chiave deve essere comunicata in modi diversi Per telefono, di persona, posta assicurata, via fax, o tramite condivisione di un’informazione riservata Copyright © by GlobalTrust, Inc. 63
64.
Capitolo 3 Complessità della
cifratura a chiave simmetrica Lunghezza della Algoritmo Supporter Disponibilità Commenti chiave Più usato: Pubblico DES NSA, NIST, ANSI 40 e 56 bit Dominio Oggi è considerato insicuro Pubblico Variante più TRIPLE DES Gli stessi 80 e 112 bit Dominio robusta del DES Proprietario Molto robusto: Variabile RC2, RC4 RSA (40-128 bit) Esportabile in 40 e RSA DS, Inc. 56 bit ASCOM-Tech, Proprietario IDEA Svizzera 128 bit Usato in PGP ASCOM-Tech Declassificato Elaborato per i chip SKIPJACK NSA 80 bit Clipper&Capstone (Luglio 1998) del Governo USA Copyright © by GlobalTrust, Inc. 64
65.
Capitolo 3 Il DES
(Data Encryption Standard) È l’algoritmo a chiave simmetrica più usato È stato elaborato dall’IBM nel 1975 per il Governo degli USA Usa una chiave simmetrica a 56-bit L’IBM propose una chiave simmetrica a 80-bit La NSA la ridusse a 56 bit Probabilmente compresero che la complessità effettiva era solo di 56 bit (24 bits ridondanti) Usato principalmente nei servizi finanziari L’unico modo conosciuto per attaccare il DES è la ricerca esaustiva della chiave (meglio conosciuta come “forza bruta”) Implementazione hardware semplice ed economica Esportabile per le istituzioni finanziarie Copyright © by GlobalTrust, Inc. 65
66.
Capitolo 3 Complessità del
DES • La RSA Data Security si propose come obiettivo quello di violare gli algoritmi crittografici • La sfida della “violazione del DES” ha suscitato particolare interesse a causa della relativa brevità della chiave • I gruppi hanno usato Internet per unire il grande potere del computer nella ricerca della chiave • Nel 1997 ci vollero 3 mesi e 20000 macchine Web per violare il DES • Nel febbraio del 1998 furono sufficienti 39 giorni Copyright © by GlobalTrust, Inc. 66
67.
Capitolo 3 La storia
del DES • Nel 1993 Michael Wiener ipotizzò la creazione di una procedura specificatamente designata per violare l’algoritmo DES Costo previsto: $1 milione Tempo necessario per violare una chiave DES: meno di 3 ore • La Electronic Frontier Foundation (EFF) progettò e realizzò una procedura di violazione del DES, presentandola il 17 luglio 1998 Costo: $250000 Tempo di violazione di una chiave DES nella RSA challenge: 3 giorni Le previsioni del 1993 non si erano sbagliate di tanto! “Il DES probabilmente continuerà a essere usato, visto il grande investimento che è stato fatto su di esso.” Whitfield Diffie, luglio 1998 Copyright © by GlobalTrust, Inc. 67
68.
Capitolo 3 Arrivederci DES
Copyright © by GlobalTrust, Inc. 68
69.
Capitolo 3
L’elaboratore dedicato Deep Crack: un sistema di violazione del DES personalizzato È un insieme di chip dedicati progettati esclusivamente per provare le chiavi DES Costruito dalla Electronic Frontier Foundation Non da aziende o governi, ma da tecnici “smanettoni” Guidati da Paul Kocher, la cui società si dedicò alla progettazione dell’architettura e all’implementazione del software In collaborazione con AWT, una società di progettazione di chip I chip Deep Crack lavorano in parallelo alla ricerca di potenziali chiavi I singoli chip “riferiscono” alla CPU se hanno trovato una chiave e la CPU la verifica in modo più approfondito, es. verifica se è in grado di produrre un testo in chiaro dotato di significato Se sì, l’obiettivo è stato raggiunto; se no, continua con il successivo insieme di chiavi Osserviamo l’elaboratore Deep Crack ... Copyright © by GlobalTrust, Inc. 69
70.
Capitolo 3
L’elaboratore Deep Crack CHIP dedicato per la violazione del DES una batteria di CHIP per la violazione del DES Copyright © by GlobalTrust, Inc. 70
71.
Capitolo 3 Brutte notizie... •
Paul Kocher sostiene che il Deep Crack possa violare le chiavi DES a 40 bit in una media di 5.9 secondi (è una media abbastanza veloce per la decrittazione in tempo reale del traffico di rete) • E le chiavi a 64 bit? Solo 28 = 256 volte meglio del DES Non è molto confortante, data la legge di Moore • Kocher sostiene che, raddoppiando il budget del Deep Crack, le prestazioni si quadruplicherebbero Una macchina 256 volte più potente costerà meno di $3.5 milioni • E il triplo DES? Richiede una macchina 256 = 72 milioni di miliardi di volte più grande REALIZZABILE con la tecnologia attuale in tempi lunghi e con costi elevati Copyright © by GlobalTrust, Inc. 71
72.
Capitolo 3 Ma il
DES è veramente superato? Dal novembre del 1998 il Governo degli USA non permette l’uso del DES nelle applicazioni utilizzate dagli enti pubblici Il Triple-DES (3DES) è stato progettato per migliorare il DES Sostanzialmente il contenitore è lo stesso, ma le dimensioni della chiave sono più grandi È in grado di cifrare i dati 3 volte, usando 2 o 3 chiavi diverse 1. Cifra con la chiave A 2. Decifra con la chiave B (in realtà è un’altra cifratura) 3. Cifra con la chiave C Il 3DES equivale al DES con una chiave a 112 bit (= 2 x 56 bit) ANS X9.52 ha definito il Triple Data Encryption Algorithm (TDEA) standard L’X9F Standards Committee definisce gli standard per l’industria dei servizi finanziari (e.g. i sistemi ATM e POS, EFT e la Automated Clearing House (ACH)) Copyright © by GlobalTrust, Inc. 72
73.
Capitolo 3 3DES e
DESX Tre opzioni per il 3DES: DES-EEE3: 3 cifrature DES con 3 chiavi diverse DES-EDE3: 3 operazioni DES (cifra-decifra-cifra) con tre chiavi diverse DES-EEE@ e DES-EDE2: stessa cosa, a parte il fatto che per la prima e la terza operazione si usa la stessa chiave Il DESX è una variante che combina il DES con le interfacce dell’RSA Aggiunge altre cifrature (“scrambling”) con una chiave a 64 bit Copyright © by GlobalTrust, Inc. 73
74.
Capitolo 3 Cifratura a
chiave simmetrica: la storia Il NIST (National Institute of Standards and Technology) decise di sostiture il DES con l’Advanced Encryption Standard (AES) nel 2000 L’AES è un sistema di cifra a blocchi e dal 26 novembre 2001 è uno standard FIPS All’inizio del 1998 vennero presentate varie implementazioni dell’AES dai migliori crittografi del mondo 15 candidati da vari paesi Il NIST ha promosso il Triple DES per poi passare all’AES, che però è stato a sua volta abbandonato Oggi il governo americano ritiene che la cifratura a chiave simmetrica non sia affidabile per il passaggio di informazioni riservate Copyright © by GlobalTrust, Inc. 74
75.
Capitolo 3 Alcuni tra
i 15 candidati ufficiali del NIST per l’AES Contender Autore/Promoter Società Paese RC6 Ron Rivest RSA USA Frog Dianelos Gergoudis TecApro Intern’l Costa Rica MARS Nevenko Zunik IBM USA Crypton Chae Hoon Lin Future Systems Korea Safer+ Lily Chen Cylink Corp. USA CAST-256 Carlyle Adams Entrust Tech. Canada E2 Masayuki Kanda, et al NTT Japan DFC Serge Vaudenay CNRS France TWOFISH Bruce Schneier Counterpane Sys USA Rijndael J. Daemen, V. Rijmen Catholic Univ. Belgium Copyright © by GlobalTrust, Inc. 75
76.
Capitolo 3 Cifratura a
chiave simmetrica: pro e contro Tutela la privacy dei dati …presenta però alcuni PROBLEMI: Gestione della chiave Come fare a condividere la chiave segreta senza comprometterla? Occorre una chiave diversa per ogni coppia di utenti – è poco pratico se i soggetti sono numerosi È impossibile comunicare con soggetti ai quali non si è materialmente consegnata la chiave Non risolve il problema del non ripudio I documenti non possono essere “firmati” Una delle parti può negare di aver spedito o ricevuto il documento Copyright © by GlobalTrust, Inc. 76
77.
Capitolo 3
Chiave simmetrica = sicurezza parziale E-Business Sicuro 8 4 8 8 8 Integrità dei dati Autenticazione Autorizzazione NON Ripudio Tecnologia Privacy Gestione Infrastruttura di sicurezza Politiche di sicurezza Copyright © by GlobalTrust, Inc. 77
78.
Capitolo 3 Il sistema
crittografico ideale Occorre un sistema di crittografia che: Permetta a chi non si conosce di comunicare, senza scambiarsi segreti condivisi o persino senza conoscersi a vicenda Permetta di firmare i documenti in modo irripudiabile Assicuri che il contenuto della comunicazione non è cambiato en route Faccia sì che si possa verificare l’autenticità delle firme… …senza che le firme possano essere contraffatte o riutilizzate Esiste davvero? SI ! Copyright © by GlobalTrust, Inc. 78
79.
Capitolo 3 La crittografia
a chiave pubblica Inventata da Whitfield Diffie & Martin Hellman nel 1975 L’utente avrà una coppia di chiavi Una chiave pubblica, di dominio pubblico, come un numero nell’elenco telefonico Una chiave privata, tenuta segreta Le due chiavi sono matematicamente collegate La chiave pubblica è usata per cifrare, quella privata per decifrare O viceversa! La robustezza della codice dipende dalla difficoltà di trovare i fattori di numeri molto lunghi (fino a 300 cifre) – “problema del logaritmo discreto” Si ritiene (ma non è stato provato) che sia estremamente arduo calcolare la chiave privata a partire dalla chiave pubblica Ci vorrebbero migliaia di anni, usando tutti i computer del pianeta, per “tentare” di violare questo sistema crittografico Copyright © by GlobalTrust, Inc. 79
80.
Capitolo 3 Lo scambio
di chiave di Diffie-Hellman L’invenzione di Diffie e Hellman è usata oggi per scambiare la chiave in modo sicuro attraverso una rete pubblica Permette ad Anna e a Bruno di calcolare la stessa chiave di sessione (valida per un solo utilizzo) senza rivelare nessuna informazione a terzi Funzionamento Ci sono 2 numeri pubblicamente noti, detti g e p Sia Anna che Bruno scelgono numeri privati casuali lunghi, a e b Anna fa un semplice calcolo che coinvolge a, g, e p; quindi invia il risultato a Bruno Bruno fa lo stesso calcolo con b, g, e p, e poi manda il risultato ad Anna Usando i valori condivisi, Anna e Bruno possono calcolare entrambi lo stesso valore privato che sarà la loro chiave segreta condivisa La chiave segreta non potrà essere calcolata neanche da un intruso che abbia visto i suddetti numeri attraversare la rete Copyright © by GlobalTrust, Inc. 80
81.
Capitolo 3 Crittografia a
chiave pubblica RSA La più famosa variante della crittografia a chiave pubblica è stata inventata dai crittografi Ron Rivest, Adi Shamir e Ron Adelman del MIT Nota come RSA E’ considerata una soluzione valida e affidabile a livello internazionale È integrata nei browser Netscape e Internet Explorer 20.000.000 di utenti in tutto il mondo Fa parte del protocollo MIME di posta elettronica sicura (approfondiremo questo argomento in seguito) Brevettata da Rivest, Shamir e Adelman Il brevetto è scaduto nel 2000; attualmente le aziende possono sviluppare liberamente implementando l’algoritmo RSA Copyright © by GlobalTrust, Inc. 81
82.
Capitolo 3 La RSA
Data Security I 3 professori hanno fondato la RSA Data Security, Inc. (oggi una consociata della Security Dynamics, Inc.) Nel 1991 la RSA/DSI ha sviluppato e pubblicato i Public Key Cryptography Standards (PKCS #1- #12) In collaborazione con Apple, Digital, Lotus, Microsoft, MIT, Northern Telecom, Novell e Sun. Non si tratta di una vero insieme di standard pubblici, in quanto sono completamente controllati dalla RSA/DSI I PKCS servono a garantire l’effettiva osservanza degli standard da parte dei vendors “I Public-Key Cryptography Standards sono stati creati per fornire un catalizzatore per una sicurezza interoperabile basata su algoritmi di cifratura a base pubblica, e sono diventati la base di molti standard formali.” RSA/DSI Copyright © by GlobalTrust, Inc. 82
83.
Capitolo 3
Cifratura a chiave pubblica Chiave Pubblica di B Chiave Privata di B Ciao Ciao Bruno Bruno Anna Bruno xpL98? CIFRA DECIFRA M: - 43 A invia dati riservati a B, sapendo che solo B può decifrare il messaggio inviato A cifra con la chiave pubblica di B (visibile a tutti) B decifra con la propria chiave privata (tenuta segreta) Copyright © by GlobalTrust, Inc. 83
84.
Capitolo 3
Quali obiettivi di sicurezza sono stati raggiunti? Privacy: Sì solo il destinatario può leggere il messaggio cifrato Autenticazione: Parzialmente solo il destinatario può leggere il messaggio cifrato il mittente non è autenticato Integrità: No un intruso può cifrare un nuovo messaggio con la chiave pubblica di B e sostituirlo al vero messaggio di A Non Ripudio: No non c’è garanzia che sia stata proprio Anna ad averlo spedito Autorizzazione: ? dipende dall’applicazione Copyright © by GlobalTrust, Inc. 84
85.
Capitolo 3 Crittografia a
chiave pubblica: obiettivo sicurezza raggiunto E-Business Sicuro 4 4 4 4 4 Integrità dei dati Autenticazione Autorizzazione NON Ripudio Privacy Tecnologia Gestione Infrastruttura di sicurezza Politiche di sicurezza Copyright © by GlobalTrust, Inc. 85
86.
Questa pagina è
stata lasciata intenzionalmente bianca
87.
Capitolo 4
Le Firme e i Certificati Digitali (Digital Signatures & Certificates) Le novità introdotte dall’E-Business Cos’è e come funziona una firma digitale? Le procedure di autenticazione e cifratura con Chiavi Pubbliche Message Digest (MD) e Firma Digitale Il binomio chiave pubblica e chiave simmetrica Requisiti per una chiave sicura Gestire una comunicazione sicura verso una pluralità di destinatari Copyright © by GlobalTrust, Inc. 87
88.
Capitolo 4 Firmare un
messaggio elettronico Da Anna? Ciao Ciao Bruno Bruno Anna Bruno xpL98? CIFRA DECIFRA M: - 43 Occorre un metodo che permetta ad Anna di firmare il messaggio Deve essere inequivocabile che il messaggio sia stato scritto da Anna Bisogna quindi far sì che la sua identità sia unita al messaggio Vediamo il metodo “tradizionale” per farlo Copyright © by GlobalTrust, Inc. 88
89.
Capitolo 4 Firmare un
messaggio elettronico La normale firma del mittente può essere convertita in forma digitale (bitmap) e aggiunta al messaggio La firma digitalizzata può sì autenticare il messaggio, ma… può essere facilmente contraffatta e apposta su altri messaggi, una firma diversa può essere apposta sul messaggio non esiste carta equivalente a quella a prova di falsificazione, es. carta degli assegni, carta filigranata etc Copyright © by GlobalTrust, Inc. 89
90.
Capitolo 4 La firma
digitale Occorre un codice digitale unico e specifico di una persona o entità Codice fiscale? No, non è segreto Chiave privata? Sì! È importante ricordare che la chiave privata e quella pubblica sono correlate matematicamente e funzionalmente Una cifra, l’altra decifra Soluzione: si cifra un’informazione con la chiave privata del mittente, quindi la si decifra con la chiave pubblica Se la chiave riesce a decifrare, vuol dire che il mittente ha cifrato e inviato il messaggio ATTENZIONE!! A meno che la chiave privata del mittente non sia più privata … La firma digitale realizza l’autenticazione del mittente È Il messaggio stesso che garantisce il raggiungimento di questo obiettivo Copyright © by GlobalTrust, Inc. 90
91.
Capitolo 4 Chiave pubblica:
modalità di autenticazione Chiave Privata di A Chiave Pubblica di A Bruno, Bruno, ci ci vediamo vediamo dopo? dopo? Anna Bruno X89^ç? DECIFRA CIFRA F;: - 67 Anna cifra l’intero messaggio con la sua chiave privata Chiunque può decifrare il messaggio, che quindi non è riservato Il destinatario Bruno può comunque essere certo che il messaggio è stato sicuramente creato da Anna — solo la chiave pubblica di Anna decifrerà il messaggio Copyright © by GlobalTrust, Inc. 91
92.
Capitolo 4 Cifratura e
Autenticazione Osserviamole insieme Copyright © by GlobalTrust, Inc. 92
93.
Capitolo 4 Chiave pubblica:
cifratura + autenticazione Chiave Pubblica di B Chiave Privata di B Bruno, Bruno, ci ci vediamo vediamo dopo? dopo? Anna Bruno X89^ç? Controllo DECIFRA della CIFRA F;: - 67 firma FIRMA IL MESSAGGIO P?9-@ DECIFRA Firmato A (cifrando ancora) nna Chiave Privata di A Chiave Pubblica di A Copyright © by GlobalTrust, Inc. 93
94.
Capitolo 4 Obiettivi di
sicurezza raggiunti In una comunicazione abbiamo raggiunto i seguenti obiettivi: Privacy: il messaggio è cifrato in modo sicuro e solo Bruno, il destinatario designato, è in grado di leggerlo. Autenticazione: solo Anna può aver cifrato il messaggio con la sua chiave privata Non ripudio: solo Anna poteva firmare il messaggio con la sua chiave privata Integrità dei dati: confrontando le due versioni, Bruno può constatare che, apportando qualsiasi cambiamento non autorizzato, esse sono diverse, dato che… …il sistema di crittografia è sensibile a qualsiasi cambiamento, anche di un solo bit La firma digitale garantisce l’autenticazione e il non ripudio Copyright © by GlobalTrust, Inc. 94
95.
Capitolo 4 Problemi di
questo metodo 1. Non è pratico, in quanto le dimensioni del messaggio vengono raddoppiate L’intero messaggio viene cifrato due volte Aumenta il traffico di rete 2. Chiunque può leggere il messaggio! Come? Utilizzando la chiave pubblica del mittente! Si può firmare digitalmente un messaggio “più corto”? Sì! Basta usare una funzione Message Digest (MD), ossia: Una funzione matematica, che prende un messaggio di qualsiasi lunghezza come input e lo trasforma in un codice breve la cui lunghezza è fissa In genere la lunghezza varia tra i16 e i 20 byte Il message digest è strettamente legato al messaggio Dipende da tutti i bit del messaggio e dei suoi attachment Copyright © by GlobalTrust, Inc. 95
96.
Capitolo 4 Proprietà di
un Message Digest (MD) Proprietà delle funzioni MD (o hash) Output di dimensioni limitate: riduce un messaggio a una lunghezza fissa, tra i 16 e i 20 caratteri Non invertibile: impossibile determinare un messaggio dal suo hash Unico: statisticamente “raro” trovare 2 messaggi con lo stesso hash Sensibile alle modifiche: la checksum cambia se un bit viene modificato, aggiunto o rimosso dal messaggio Un MD è come un’impronta digitale Contiene meno “informazioni” rispetto alla globalità del suo possessore (es. la mia persona) Appartiene solo a me È (relativamente) impossibile trovare 2 persone con le stesse impronte digitali Avendo l’impronta digitale, non si può ricostruire l’intera persona Copyright © by GlobalTrust, Inc. 96
97.
Capitolo 4 Funzioni del
Message Digest (MD) I matematici hanno sviluppato numerosi algoritmi hash complessi Funzioni MD più usate: MD4 e MD5 della RSA (128 bit o 16 caratteri) Sviluppate nel 1990/91 da Ron Rivest della RSA La MD5 è più sicura (ma leggermente più lenta) della MD4 SHA-1 (Secure Hash Algorithm) del NIST (160 bit o 20 caratteri) L’SHA-1 ha corretto un problema nell’SHA; è stato pubblicato nel 1994 Fa parte dello standard ANSI X9.30 (parte 2) Questi algoritmi sono estremamente sensibili a ogni bit del messaggio Copyright © by GlobalTrust, Inc. 97
98.
Capitolo 4
Firma digitale con un Message Digest Bruno, Bruno, Bruno ci Messaggio ci vediamo ci vediamo vediamo dopo? dopo? dopo? Decifrato Anna Bruno MD MD 3. Calcola 1. Message Digest l’MD 5236458912 5236458912 =?? FIRMA IL MESSAGGIO (digitalmente) 2. Lo firma Anna 4. Decifra il 5236458912 (cifra il codice MD) MD Cifrato codice MD di Anna (firma) 5. MD di Anna Chiave Privata di A Chiave Pubblica di A Copyright © by GlobalTrust, Inc. 98
99.
Capitolo 4 Problemi di
questo metodo La cifratura e la decifratura a chiavi pubbliche sono molto dispendiose in termini computazionali Usano l’elevamento a potenza di numeri molto grandi (300 cifre in lunghezza) Sono quindi processi poco adatti ad applicazioni Time-Critical Via software è 100 volte meno efficiente della cifratura a chiave simmetrica (fino a 1000 volte più lenta se confrontata ad una cifratura a chiave simmetrica via hardware) La cifratura di messaggi lunghi è inaccettabilmente lenta Attachment grandi (megabyte) Copyright © by GlobalTrust, Inc. 99
100.
Capitolo 4 Una soluzione
combinata La cifratura a chiave simmetrica è veloce e robusta (con una chiave abbastanza lunga) Si possono combinare la chiave simmetrica e quella pubblica? Sì! Usando il meglio di entrambe La chiave simmetrica è veloce e robusta (se la chiave è lunga) La chiave pubblica è valida per lo scambio di chiavi Mettiamole insieme... Generiamo una chiave simmetrica, utilizzabile una sola volta - la CHIAVE DI SESSIONE Cifriamo il messaggio con la chiave di sessione Per finire cifriamo la chiave di sessione — relativamente corta — con la chiave pubblica del destinatario Copyright © by GlobalTrust, Inc. 100
101.
Capitolo 4
Combinazione della cifratura a chiave pubblica con quella a chiave simmetrica Bruno, Bruno, ci ci vediamo vediamo dopo? dopo? Anna Bruno X89^ç? Chiave Cifra il DECIFRA di Sessione messaggio F;: - 67 Il MESSAGGIO DECIFRA la Cifra la chiave di CHIAVE DI SESSIONE sessione Chiave di Chiave Pubblica di B Sessione Ora solo la chiave di sessione (corta) è cifrata con una chiave pubblica e il messaggio (lungo) è decifrato con la chiave Chiave Privata di B di sessione random Copyright © by GlobalTrust, Inc. 101
102.
Capitolo 4 Uniamo la
cifratura a chiave pubblica e la firma digitale Bruno, Bruno, Pacchetto Cifrato ci vediamo ci dopo? vediamo dopo? Anna Bruno X89^ç? Cifra il DECIFRA Calcola e Cifra messaggio F;: - 67 Il MESSAGGIO MD Bruno DECIFRA la CHIAVE DI SESSIONE Chiave Privata Chiave Pubblica di B Chiave di di A cifra la Sessione con la sua Chiave Privata Anna Firma Verifica FIRMA Copyright © by GlobalTrust, Inc. 102
103.
Capitolo 4 Uniamo la
cifratura a chiave pubblica e la firma digitale Anna… scrive un messaggio e crea un message digest, cifra il MD con la sua chiave privata, cifra il messaggio con una chiave di sessione random, cifra la chiave di sessione con la chiave pubblica di Bruno, …e gli invia tutto il pacchetto. A questo punto Bruno… Riceve il pacchetto con la chiave di sessione e la firma digitale, decifra la chiave di sessione con la sua chiave privata (nessun altro può farlo), decifra il messaggio, usando la chiave di sessione, decifra il MD con la chiave pubblica di Anna e calcola il proprio MD dal messaggio; se i 2 MD coincidono, Bruno può essere sicuro che il messaggio è di Anna e non è stato cambiato “in trasmissione”. Copyright © by GlobalTrust, Inc. 103
104.
Capitolo 4 I cinque
principi: cifratura + firma digitale E-Business Sicuro 4 4 4 4 4 Integrità dei dati Autenticazione Autorizzazione NON Ripudio Privacy Tecnologia Gestione Infrastruttura di sicurezza Politiche di sicurezza Copyright © by GlobalTrust, Inc. 104
105.
Capitolo 4 Riepilogo della
crittografia a chiave pubblica Cifratura Garantisce la confidenzialità Il messaggio è protetto con la chiave simmetrica e la cifratura a chiave pubblica protegge la chiave simmetrica Firma digitale Garantisce l’autenticazione e l’integrità dei dati (il destinatario sa chi ha firmato il messaggio e che il messaggio non ha subito modifiche) Supporta il non ripudio (la firma può essere generata solo dal suo titolare) Chiave di sessione Velocizza la cifratura a chiave simmetrica Usa una chiave a generazione random per essere utilizzata una sola volta e mai più Copyright © by GlobalTrust, Inc. 105
106.
Capitolo 4 Quanto deve
essere lunga una chiave? Copyright © by GlobalTrust, Inc. 106
107.
Capitolo 4
Quanto deve essere lunga una chiave? La chiave simmetrica, se implementata correttamente, può essere violata solo da un attacco con la forza bruta (ricerca esaustiva) Oggi la chiave DES a 56 bit è facilmente violabile I 56 bit sono stati violati in 3 giorni con un algoritmo ad hoc Il Triple DES (3DES) usa 3 diverse chiavi e 3 distinti passi per la cifratura Eleva la robustezza a 112 bit (2 x 56) La tecnologia, la matematica e i computer di oggi non sono in grado di effettuare un attacco di forza bruta Nemmeno con tutte le macchine collegate a Internet Per il futuro che si può prevedere, 128 bit dovrebbero essere sufficienti Copyright © by GlobalTrust, Inc. 107
108.
Capitolo 4
Quanto deve essere lunga una chiave? La cifratura a chiave pubblica dipende dalla difficoltà di fattorizzare numeri molto grandi (300 cifre) Attualmente non si conosce nessun modo di attaccare la cifratura a chiave pubblica, eccetto l’uso della “Forza Bruta” (tecnicamente si parla di “fattorizzazione del modulo”) Stato dell’arte Negli ultimi anni sono stati fatti progressi significativi sia nelle tecniche di fattorizzazione via hardware che negli approcci risolutivi con basi matematiche Oggi le chiavi pubbliche lunghe 512 bit (numeri a 150 cifre) sono considerate insicure Le chiavi pubbliche di 1024 bit per uso commerciale dovrebbero essere sicure ancora per decenni (a meno che non siano fatti ulteriori passi in avanti nelle tecniche di fattorizzazione o nella potenza di calcolo dei computer...) Sono ancora più sicure le chiavi di 2048 bit Copyright © by GlobalTrust, Inc. 108
109.
Capitolo 4
Lunghezza delle chiavi: chiave pubblica e chiave simmetrica SECOLI - Lunga Tempo di Rottura ANNI - Media GIORNI - Breve ORE - 40 56 80 128 768 1024 512 Lunghezza della chiave (bit) Copyright © by GlobalTrust, Inc. 109
Baixar agora