Elementi di Sicurezza nelle Reti Informatiche
2.3 Conseguenze e possibili obiettivi di un attacco:
Contagio di virus
Per quanto sia, per un utente esperto, impensabile aprire un allegato eseguibile giunto in posta da un mittente sconosciuto, non lo è per un utente alle prime armi: l’Internet Security Threat Report (ISTR) della Symantec nel marzo scorso ha evidenziato una crescita del 400% nella diffusione di virus e worm (specialmente in ambiente windows). Le conseguenze di un contagio possono essere le più svariate (si pensi a Blaster, Welchia o Sasser).
Abuso dall’interno
Molte volte l’abuso si limita al furto di tempo macchina, cioè all’usare le risorse fornite dall’azienda per scopi personali (anche il solo leggere la propria posta dall’ufficio), ma si verificano anche casi di dipendenti che cercano deliberatamente (per scontentezza o desiderio di vendetta verso qualcuno) di danneggiare l’azienda per cui lavorano.
Accessi non autorizzati dall’interno
La possibilità, per quanto remota, che qualcuno possa penetrare entro la sede di una lan aziendale e sfruttare accessi da insider è da considerarsi, specie nelle realtà più dispersive; più frequente è invece il caso che utenti normali vengano a conoscenza di password o codici di accesso riservati al personale addetto alla gestione della rete, e li usino per scopi non legali.
Negazione di servizio (dos)
Questo tipo di attacco consiste nel saturare le risorse di una macchina o di un sistema per far sì che questo non riesca più ad erogare il servizio previsto. Per quanto semplice è molto difficile da contrastare, pur disponendo di molte risorse, specialmente nella sua variante ddos (Distributed Denial of Service) che si differenzia per la molteplicità e la diversità degli attaccanti. Da qualche tempo esistono esempi al limite della legalità, organizzati e dichiarati: sono i NetStrike, vere e proprie manifestazioni di migliaia di utenti che si accordano per richiedere un certo servizio ad una certa macchina in una particolare ora e in un giorno stabilito, con il risultato di mettere fuori uso il servizio in breve tempo (come quello che il 25 aprile scorso è stato sferrato contro il sito del Governo, della Camera e della SIAE per protestare contro la Legge Urbani).
Penetrazione nei sistemi
Tecnicamente complesso, sfruttare errori o bug di applicativi o apparati per ottenere una posizione privilegiata all’interno di una rete o di una macchina, è la cosa peggiore che possa accadere in quanto i privilegi di root (o amministratore) consentono all’attaccante di lavorare sulla macchina vittima come se vi fosse davanti. Recentemente, il 19 dicembre, il sito dell’ISP Wind libero.it è stato defacciato, sfruttando un bug del forum Phpbb2 e del kernel 2.4.20 per ottenere lo status di root sulla macchina che lo ospitava; pochi giorni prima (il 7) era toccato a Picasa, società appena acquisita da Google.
Sabotaggio
Come nella realtà, così nell’informatica, riuscendo a violare alcuni sistemi di sicurezza è possibile danneggiare o ostacolare il funzionamento dell’hardware o del software preso di mira.
Furto di dati
Indipendentemente da come viene perpetrato, il furto di dati sensibili è una calamità per i siti che lo subiscono; dal momento che nessuno è interessato alle foto delle vacanze ospitate su uno spazio gratuito da qualche aspirante fotografo, i dati che solitamente vengono rubati riguardano utenti di siti di e-commerce, home banking, servizi di istituti di credito e simili (contenenti informazioni anagrafiche, numeri di carte di credito e altro); molte volte poi il cracker non è interessato ai dati in sé ma ad ottenere un riscatto dal proprietario del sito: è accaduto a Cd Universe, sito per l’acquisto di cd e dvd online, a cui sono stati sottratti dati di più di 300mila utenti e successivamente chiesto un riscatto; dopo aver rifiutato di pagare, Cd Universe si è visto pubblicare tutti i nomi e i numeri delle carte di credito degli utenti.
Frode
Anche qui, come nel caso del sabotaggio, si applica il tema dell’omologia alla vita reale; sfortunatamente sono molte le persone che si fidano, erroneamente, per poi cadere vittima di frodi più o meno complicate. Recentemente in Italia è esplosa la frode “dei 34 euro”: siti offrono prodotti nuovi, generalmente high-tech, molto costosi, al prezzo di 34 euro, con la promessa che in breve un largo numero di persone metteranno 34 euro e ognuno (per ordine di iscrizione) riceverà il prodotto desiderato; è ovviamente una truffa in tutto e per tutto, ma sono molti, purtroppo, ad aver già aderito.
Intercettazione
Intercettare dei dati vanifica la condizione di riservatezza e, se modificati, quella di autenticità, con tutto ciò che ne può conseguire, molto spesso furto di dati o informazioni riservate usate per compiere altre violazioni.