Gli attacchi informatici
I servizi Internet prevedono generalmente il coinvolgimento di entità diverse (comunemente client e server).
L’interazione tra client e server si manifesta attraverso lo scambio di messaggi prestabiliti.
L’ordine e il contenuto dei messaggi scambiati sono definiti da protocolli condivisi dai partecipanti, che descrivono le modalità di fruizione del servizio.
Affinchè il servizio sia utilizzabile da qualsiasi utente occorre che:
- Tutti i partecipanti siano messi preliminarmente a conoscenza del protocollo e dei passi in cui si articola;
- Tutti i partecipanti condividano il protocollo senza limitazioni;
- Il protocollo non sia ambiguo e ogni passo sia descritto con tutti i particolari necessari alla sua corretta implementazione sul client e sul server;
- Il protocollo sia completo, definendo il comportamento delle parti in gioco in ogni possibile situazione che si può presentare.
Gli utenti che seguono le regole e sottostanno alle direttive generali del protocollo, vengono riferiti come “utenti legittimi”.
Nonostante la definizione di protocolli standard per ogni singolo servizio, esiste sempre la possibilità che qualcuno interpreti le regole in maniera sbagliata.
Questa eventualità può accadere inavvertitamente o essere cercata volontariamente.
Nel primo caso, l’entità che non segue le regole può essere facilmente ricondotta sulla giusta via, attraverso la diffusione gratuita di applicazioni conformi allo standard e/o l’educazione dell’utente.
Nel secondo caso, le motivazioni che hanno portato a utilizzare in modo inappropriato il servizio possono essere ben più complesse e difficili da correggere.
Nell’Internet attuale, se un partecipante utilizza di proposito un servizio fuori dagli schemi previsti, generalmente lo fa per trarne un vantaggio non consentito.
Gli utenti che rientrano in questa categoria vengono chiamati hacker (o più propriamente cracker).
La loro azione può essere agevolata dall’introduzione di software ingannevoli (virus, cavalli di Troia) nei sistemi oggetto dell’attacco.
Il termine hacker però, non ha avuto sempre valenza negativa.
Nell’internet delle origini venivano infatti etichettati con questo termine, tutti i programmatori che riuscivano a ideare metodi e sviluppare software, in grado di spingere la rete oltre i suoi stessi limiti.
Molti addetti ai lavori, affezionati a questa originale definizione, preferiscono utilizzare altri termini per definire gli utenti dell’Internet attuale che contravvengono alle regole.
Sono sinonimi generalmente usati i termini cracker, vandali, pirati informatici, bad guy.
Senza voler dimenticare l’opera costruttiva dei primi hacker informatici, che hanno contribuito all’evoluzione dell’Internet, il termine hacker è ad oggi usato nella sua accezione negativa.
Il comportamento di un hacker, di caso in caso, può trarre origine da motivazioni diverse.
Le motivazioni più frequenti sono di seguito elencate:
- Ottenere accesso non autorizzato a informazioni (violando privacy e segretezza dei dati);
- Identificarsi come un altro utente, in modo da addossargli ogni responsabilità per il proprio operato;
- Utilizzare l’identità di un altro utente per immettere in rete informazioni false, modificare informazioni legittime, effettuare transazioni senza averne il diritto;
- Affermare di aver inviato a un ricevente informazioni mai spedite o affermare di averle spedite in altro momento, rispetto a quando in realtà accaduto;
- Affermare di non aver mai ricevuto informazioni spedite da altro utente o affermare di averle ricevute in altro momento, rispetto a quando in realtà accaduto;
- Modificare i diritti di altri utenti per l’accesso a specifici servizi, senza averne l’autorità;
- Individuare la presenza di particolari informazioni all’interno dei messaggi scambiati tra altri utenti;
- Inserirsi in maniera attiva, modificando i dati in transito, nella comunicazione tra altri utenti;
- Registrare identità di utenti che accedono a informazioni di natura particolare;
- Sovvertire le funzionalità di applicativi client e/o server, aggiungendovi funzionalità non previste e/o dannose all’integrità del servizio;
- Rendere impossibile l’utilizzo di un particolare servizio;
- Impedire la comunicazione tra altri utenti, inserendo interferenze distruttive tra le applicazioni coinvolte.
La lista precedente rappresenta solo un esempio delle ragioni che possono spiegare il comportamento di un hacker.
Senza avere la pretesa di essere un elenco completo, rende l’idea della varietà di obiettivi che stanno dietro a un attacco.
Oltre ai temi generali di Riservatezza, Integrità e Disponibilità, un attacco informatico può mirare a compromettere altri “specifici” aspetti di un servizio:
- Autenticità della sorgente: requisito secondo il quale l’origine delle informazioni prodotte, mantenute sulle stazioni e trasmesse in rete, deve essere riconducibile a una sorgente univocamente determinata.
Un attaccante può mirare a tale obiettivo per poter inserire più facilmente un messaggio falso nel sistema. - Non Ripudio: requisito secondo il quale nessuna delle parti coinvolte può negare lo scambio di messaggi intercorso.
Un attaccante può mirare a tale obiettivo per poter successivamente negare di aver effettuato una frode e/o un’azione con gravi conseguenze. - Autenticazione: un servizio Internet può richiedere che l’identità dei partecipanti sia correttamente stabilita, prima della fruizione del servizio, attraverso lo scambio di opportune credenziali.
Un attaccante può tentare di aggirare questa fase per poter fruire di servizi anche quando non ne ha titolo. - Controllo degli accessi: un servizio Internet può risultare, per motivi di monitoraggio e/o tariffazione, associato a procedure di controllo e registrazione degli accessi.
Un attaccante può tentare di aggirare questa fase per poter fruire di un servizio in maniera anonima e/o senza doversi procurare credenziali di autenticazione valide.
Le numerose forme di attacco, che possono essere condotte da un hacker, sono classificabili in base alla funzionalità del servizio che mirano a compromettere.
- Interruzione del servizio (denial of service o semplicemente DoS): questo tipo di attacco mira a compromettere la Disponibilità del servizio;
- Intercettazione dei dati (eavesdropping): questo tipo di attacco mira a compromettere la Confidenzialità dei dati;
- Modifica delle informazioni (data manipulation): questo tipo di attacco mira a compromettere l’Integrità e l’Autenticità dei dati e dei programmi coinvolti nel servizio;
- Inserimento di informazioni false (masquerade): questo tipo di attacco mira a compromettere l’Autenticità dei dati, compromettendo le funzionalità di Non Ripudio e di Autenticazione.
Per attuare un’interruzione del servizio, un hacker dispone di diversi strumenti: la distruzione dei collegamenti fisici, la manomissione dei dispositivi di interconnessione, la saturazione del canale di trasmissione, la saturazione dei buffer dei server, l’invio di messaggi di terminazione alle applicazioni coinvolte (client e server).
Quando per aumentarne l’effetto dell’attacco, un hacker si avvale di molteplici sistemi, distribuiti sulla rete, l’attacco viene denominato DDoS (Distributed Denial of Service).
Per attenuare un’intercettazione dati o modificare le informazioni trasmesse l’attaccante può inserirsi entro l’area di interferenza, inserendovi un dispositivo intercettatore oppure manomettere i dispositivi di interconnessione, alterare le applicazioni server, installare software ingannevole sul client.
Ancor più semplice portare un attacco che mira all’inserimento di informazioni false.
L’internet attuale consente, in maniera relativamente semplice, di assumere l’identità IP di un’altra entità.
Una volta assunta l’identità dell’utente legittimo, conoscendo il protocollo che regola l’accesso al servizio, è facile replicare una sequenza di messaggi già trasmessa o inserirne di nuovi.
Tra le quattro possibili forme di attacco, l’intercettazione dei dati è l’unico definito con il termine di “attacco passivo”.
Lo scopo dell’hacker è in tal caso limitato all’ottenimento delle informazioni trasmesse e l’interazione tra client e server non viene modificata in alcun modo.
Un simile attacco è difficilmente rilevabile, in quanto spesso non produce effetti apprezzabili dai sistemi finali coinvolti.
Gli altri attacchi vengono invece definiti anche “attacchi attivi”, in quanto comportano la modifica del flusso dei dati.
Gli attacchi attivi sono più facili da rilevare di quelli passivi, ma risultano assai più difficili da prevenire, considerata la natura eterogenea delle reti che costituisce l’Internet attuale, e la molteplicità di organizzazioni chiamate ad amministrarle.
