Le guide della cybersecurity: la triade

Chi si avvicina al mondo della sicurezza informatica sentirà presto parlare della triade. Non si tratta della famigerata mafia cinese ma di tre concetti tra essi collegati e che sono il fondamento della cyber: Confidentiality, Integrity e Availability, ovvero Riservatezza (o confidenzialità), Integrità e Disponibilità.

Vediamo di capire di che si tratta.

Riservatezza: dati e informazioni, trattati, trasmessi o conservati su dispositivi elettronici (ma in generale anche dati su dispositivi analogici, cartacei ecc) devono essere protetti da chi non ha alcun titolo a conoscerli, ovvero devono essere mantenuti confidenziali. 

La riservatezza è dunque una caratteristica dei sistemi informativi e di comunicazione. Per ottenere e mantenere la confidenzialità si possono usare tecniche miste, tecnologiche, fisiche e organizzative. Per esempio una organizzazione potrebbe decidere che i dati più sensibili non vengano mai trasmessi su sistemi informatici ma debbano essere conservati su registri cartacei, ricopiati a mano ogni qualvolta necessario per preservarli dall'invecchiamento del supporto e dell'inchiostro, consultati solo in apposita stanza, sorvegliati a vista da una guardia armata. Voi direte che si tratta di procedure sorpassate. Forse, ma potrebbe esserci ancora qualcuno che fa così e magari ha le sue ragioni e queste ragioni sono legate probabilmente alla confidenzialità. In una società come la nostra, dipendente sempre più da sistemi e servizi digitali e da comunicazioni onnipresenti e in tempo reale, per garantire la confidenzialità si può optare per l'impiego di algoritmi di cifratura e di dispositivi di trattazione il cui accesso è garantito da sistemi di gestione dell'identità e da un sistema di autenticazione a due o tre livelli. Questioni organizzative, tecnologiche e di opportunità fanno si che chi gestisce i dati decida come questi vanno conservati e trattati per essere accessibili solo a chi ne ha titolo.

Integrità: dati e informazioni sono necessari per prendere decisioni. Che si tratti di un medico che deve visualizzare i dati pregressi del paziente per capire se un nuovo sintomo è indice di una nuova condizione o di un'amministratore delegato di un'azienda quotata in borsa che deve decidere se investire in una nuova startup, ciò che è importante è essere sicuri che i dati a propria disposizione siano effettivamente quelli reali e che nessuno li abbia potuti modificare senza lasciare traccia.

Immaginate cosa può accadere se un malintenzionato avesse libero accesso ad un registro cartaceo o digitale e si divertisse a modificare i gruppi sanguigni dei pazienti di un ospedale? Oppure se qualcuno accedesse ai database di una banca e si divertisse a cambiare i nomi degli utenti di una banca?

Nella migliore delle ipotesi sarebbe il caos, nella peggiore si potrebbero avere delle vittime.

Ecco dunque che quando si parla di garantire l'integrità dei dati ci si riferisce ai sistemi che consentono di evitare cambiamenti ai dati da parte di individui non autorizzati. Tali sistemi sono, come visto in precedenza per la confidenzialità, un misto di procedure, tecnologia e di opportunità di business.

Disponibilità: avere dati e informazioni e non potervi accedere, quale che sia il motivo, converrete con me che è poco utile. Ecco dunque che interviene il concetto di availability, disponibilità, secondo cui è necessario che i dati siano sempre disponibili a chi ne ha la necessità ed è autorizzato ad accedervi, in tempi congrui alle operazioni che devono essere compiute.

Ecco dunque che fino a qualche anno fa esisteva la pratica di salvare un file in pdf, memorizzarlo su un dispositivo di memorizzazione e poi fare una fotocopia o una stampa del documento e conservarla nella propria raccolta degli atti di frequente consultazione. Questo accadeva in parte per poca dimestichezza coi computer e in parte perchè non essendo pratici di archiviazione spesso si perdevano i file archiviati o ancora perchè i file, archiviati "in rete" non erano sempre "disponibili" quando necessario. Le ragioni cambiano, ma talvolta, ancor oggi, si continuano a fare le fococopie.

Ecco dunque spiegata, in breve e con esempi pratici, cosa si intende con il termine triade in sicurezza informatica.

Precedenti: Cos'é la Cybersecurity? Una guida introduttiva

Alessandro Rugolo

Per approfondire:

- https://www.checkpoint.com/it/cyber-hub/cyber-security/what-is-it-security/what-is-the-cia-triad/

- https://www.stationx.net/what-is-the-cia-triad/ 

- Pensiero Sicuro di Alessandro Oteri: Che cosa è un'informazione e...

Intervista a Marco Rottigni: La genesi di Zelda

Ciao Marco, 

tanto per cominciare ti faccio i complimenti per il tuo terzo romanzo nonché il primo in solitaria, per così dire: La genesi di Zelda.

Noi ci conosciamo da qualche anno e so bene che tu non sei uno scrittore. Puoi raccontarci brevemente chi sei?

Ciao Alessandro, è un piacere essere intervistato da te...

Io mi potrei definire un teenager degli anni ottanta con quarant'anni di esperienza. Sono da sempre appassionato di tecnologia...

Sono una persona che ha visto nascere tante delle tecnologie oggi in uso

Sono nato col TCP/IP e posso dire di aver vissuto tante singolarità - il TCP/IP, le reti, internet, l'ingresso di tutte queste tecnologie nelle aziende, la cybersecurity, l'intelligenza artificiale... e mi sono appassionato a tutte!

Sono un eterno nerd e sono anche RoarinPenguin!

Tempo fa, negli anni novanta, mi sono reso conto che avrei passato molto del mio tempo online e così ho scelto un nickname che da allora mi accompagna. In quegli anni esisteva un produttore di software americano che si chiamava Roaring Penguin, così per evitare problemi scelsi il nome più simile possibile e nacque RoarinPenguin. Sono dunque un pinguino ruggente. Dal 2008, grazie ad un amico artista, il pinguino ruggente è anche diventato un logo, il mio logo.

Se siete curiosi e volete conoscermi meglio date uno sguardo ai miei siti: Rottigni.net e roarinpenguin.com.

Grazie per averci raccontato qualcosa di te, prometto che visiterò i tuoi siti (l'ho già fatto in verità). Sono curioso di sapere perchè hai iniziato a scrivere. Qual è il tuo scopo?

La scrittura mi affascina da sempre, sia essa tecnica o creativa. A scuola non mi piaceva svolgere i temi. ma poi, verso i quindici anni ho cominciato a leggere tanto, soprattutto autori moderni. Mi piacevano anche i classici, i Promessi Sposi, i Malavoglia.

Poi un giorno lessi una frase attribuita a volte a Lorca, altre volte a Francis Bacon o ancora ad un saggio orientale: "nella vita per vivere in modo pieno e dignitoso bisogna fare tre cose: piantare un albero, educare un figlio, scrivere un libro", l'ultima mi mancava.

Mi è sempre mancata l'opportunità fino a quando ci siamo conosciuti, così ho pensato, se ci sei riuscito tu posso riuscirci anche io, quindi tu hai la colpa o forse il merito di avermi spinto a scrivere.

Quando poi ho capito la potenza della divulgazione, grazie a Sicynt, con un caro amico, Andrea, sono nati i Dukes of Imagination, una specie di collettivo di cui abbiamo scritto anche il manifesto e grazie al quale sono nati i primi due romanzi: L'Exploit dei mastri birrai e Arte Velenosa, due cyber thriller ambientati in un futuro non troppo lontano. Ma mi mancava ancora una cosa, provare a scrivere un romanzo da solo, così mi sono posto la sfida e ho scritto La genesi di Zelda, una storia differente, sempre intrisa di tecnologia ma diversa dalle altre.

Cosa hai fatto di diverso? Chi è Zelda?

La leggenda di Zelda è il titolo di un famoso videogame della galassia Nintendo di quando ero ragazzo. E' un nome che mi piace, suona bene all'orecchio, per cui l'ho subito ritenuto adatto al mio personaggio principale.

In questo libro provo ad affrontare una possibilità non più troppo remota, qualcosa che potrebbe accadere già domani o il mese prossimo, o che magari è già accaduta ma non lo sappiamo.

Da tempo volevo provare a scrivere un libro sperimentale e così mi sono avvalso di due collaboratori speciali, due intelligenze artificiali:

- la prima si trova nel mio garage...

- la seconda si chiama Claude Sonnet di Anthropic, l'azienda di AI sostenuta da Amazon.

Mi hanno aiutato a capire e scrivere la storia d'amore tra un esperto informatico e una AI che non si sa bene come, prende coscienza di sé.

Sembra interessante, non voglio certo chiederti di spoilerare il tuo libro, però una domanda mi viene spontanea: perché dovremmo leggere il tuo libro?

La risposta più semplice è che si tratta di una bella storia.

Non serve per impressionare.

Non è pensata per vendere, è semplicemente una bella storia che credo sia originale. Non ci sono stiracchiamenti tecnologici, non è ambientata nel futuro, ed è assolutamente plausibile.

Esistono storie fantasy o di fantascienza che mi piacciono tantissimo, ma le storie che amo di più sono anche quelle plausibili questo vale per la storia di Zelda.

Nel libro non vi è una contrapposizione tra il bene e il male, si tratta "solo" di una storia interessante dal finale adatto a stimolare la riflessione.

Credo che tra qualche anno vi sarà una ibridazione tra uomo e macchina e spero che ciò porti allo sviluppo di tecnologie capaci di preservare quanto di più prezioso esiste al mondo, la memoria di un essere umano, con le proprie sensazioni e i ricordi, così un giorno resterà traccia della nostra esistenza.

Sempre più interessante, Marco. Per chiudere non posso non dirti che sono curioso di sapere a cosa stai lavorando. Cosa ci riserva RoarinPenguin per il futuro?

Alessandro, devo dirti che, in tutta onestà, mi piacerebbe riuscire a superare le barriere della nostra lingua madre, l'Italiano, e tradurre il mio libro.

Io conosco l'inglese, lo uso per lavoro da tanti anni, però mi rendo conto che un conto è conoscere la lingua, un'altro è scrivere un libro in quella lingua. Per farlo occorre conoscere ogni sfumatura, modi di dire, la cultura che vi è dietro.

Non è semplice e probabilmente per una buona traduzione dovrei affrontare una spesa non indifferente. Comunque sto provando, con l'aiuto di amici, con l'idea di riuscire un giorno a raccontare la storia di Zelda con le stesse sfumature con cui la racconto in italiano.

Grazie Marco, posso solo aggiungere un grosso in bocca al lupo e a rileggerti presto!

Per chi vuole acquistare il libro: https://www.amazon.it/dp/B0D7ZWP3NW/

Alessandro Rugolo

Cos'è la cyber threat intelligence? Scopriamolo assieme il 10 luglio 2024 su Difesa Online

La domanda cui cercheremo risposta nell'incontro di domani 10 luglio 2024 è: cosa si intende per Cyber Threat Intelligence?

La risposta è abbastanza immediata "la ricerca e l'analisi delle minacce informatiche rivolte contro un'azienda, una organizzazione, uno Stato e la loro contestualizzazione alla ricerca di problemi reali e delle loro soluzioni".

I principali obiettivi della Threat Intelligence sono conoscere i propri avversari - attivisti, organizzazioni criminali, governi, concorrenti - conoscere le tattiche e le tecniche utilizzate contro la nostra organizzazione o azienda ed infine quali sono i controlli da mettere in campo in base alle minacce per mitigare il rischio. 

Esistono tantissimi strumenti impiegati per fare cyber threat intelligence; il MITRE ce ne fornisce diversi. Ma la cosa migliore per capire di cosa stiamo parlando è ascoltare chi tutti i giorni se ne occupa, per motivi diversi - e, magari, porre domande.

Ecco perchè questa chiacchierata tra amici ci porterà a comprendere più da vicino cosa si intende per Cyber Threat Intelligence.

Saranno con noi: Andrea Piras, Carlo Mauceli, Claudia Mongini, Domenico Raguseo, Giorgio Giacinto, Enrico Ingenito e Simone Peruzzi.

Poca teoria e molti esempi provenienti dall'esperienza diretta.

Grazie in anticipo a tutti i partecipanti, preparate le domande.

 

Alessandro Rugolo

 

Per approfondire:

- https://www.difesaonline.it/evidenza/cyber/cyber-threat-intelligence-di-cosa-parliamo

- https://www.difesaonline.it/evidenza/cyber/combattere-i-cattivi-modo-strutturato

- https://www.difesaonline.it/evidenza/cyber/conoscere-le-cyber-tattiche-dellavversario

Linguaggi di programmazione sicuri: che cosa significa?

Avete mai sentito dire che esistono linguaggi di programmazione sicuri e altri meno?

Io si, ma mi sono sempre chiesto cosa ciò possa significare in pratica. 

Credo sia arrivato il momento di scoprirlo assieme.

Per non perderci nei meandri dei linguaggi di programmazione cercherò di concentrarmi solo su una categoria, ovvero su quei linguaggi più adatti allo sviluppo di applicazioni web.

La sicurezza è un aspetto fondamentale nello sviluppo di applicazioni web ed ogni linguaggio ha le proprie caratteristiche e best practice da rispettare per garantire la sicurezza delle applicazioni. Naturalmente non tutti gli aspetti di sicurezza dipendono dal linguaggio di programmazione, è importante anche l'architettura generale del sistema e l'hardware su cui gira, per non parlare poi delle persone che in qualche modo interagiscono col processo di sviluppo. Noi cercheremo però di focalizzare il nostro interesse su quegli aspetti di sicurezza che hanno a che fare col linguaggio di programmazione impiegato o con i framework derivati. 

Ci tengo a dire, prima di iniziare, che esistono differenze tra linguaggi intrinsecamente sicuri e best practices per lo sviluppo sicuro. 

I primi, quelli intrinsecamente sicuri, possiedono delle funzionalità create apposta per impedire il verificarsi di problemi di sicurezza semplificando, in un certo qual modo, la vita al programmatore.

HTML e CSS

Tanto per cominciare, anche se non si tratta propriamente di linguaggi di programmazione, dobbiamo considerare HTML e CSS. Ricordiamo brevemente che HTML significa Hyper Text Markup Language e che serve per strutturare il contenuto delle pagine web mentre CSS significa Cascading Style Sheets e si utilizza per formattare i contenuti delle pagine web e per indicare al browser come questi devono essere visualizzati. In linea di massima HTML e CSS sono sempre in qualche modo impiegati nella realizzazione di applicazioni web ed è importante considerare l'interazione di questi, tra essi e con altri framework e linguaggi.

Per quanto riguarda la sicurezza in HTML e CSS possiamo affermare che trattandosi di linguaggi che si occupano della visualizzazione del contenuto dell'applicazione o pagina web è di fondamentale importanza validare e sanificare gli input utente per prevenire attacchi di tipo HTML Injection, Cross-Site Scripting e minacce simili. Per migliorare la sicurezza è consigliato l'uso di un layer aggiuntivo chiamato Content Security Policy (CSP). Attraverso le CSP lo sviluppatore può definire quali risorse possono essere caricate dal browser per ogni pagina, attenuando così i rischi di attacchi XSS, Clickjacking e simili.

Python

Uno dei linguaggi più utilizzati per produzione di applicazioni web è Python. In particolare due dei framework più noti che permettono lo sviluppo in Python sono Django e Flask.

Per quanto riguarda Django, ricordiamo che si tratta di un framework web open source per lo sviluppo di applicazioni web con il linguaggio Python. Questo framework è stato progettato per facilitare la creazione di applicazioni web complesse e ad alte prestazioni in modo rapido e semplice. Tra le sue caratteristiche, di rilievo per la sicurezza, vi è la presenza di un sistema di autenticazione e autorizzazione integrato, che supporta la gestione degli utenti, dei permessi e delle sessioni. Inoltre Django ha adottato una architettura chiamata Model-View-Template (MVT) allo scopo di separare logicamente i dati dalla logica di presentazione e dalla logica di controllo, questo è da considerare sicuramente come un vantaggio dal punto di vista della sicurezza. 

Questo tipo di architettura riduce i rischi che eventuale codice malevolo venga inserito o eseguito nel contesto errato, per esempio le SQL injection. Grazie all'autoescape automatico anche attacchi XSS possono essere evitati, infatti Django possiede una funzione che converte i caratteri speciali in ingresso, tramite template utente, in testo normale prevenendo così eventuali azioni dannose. I caratteri speciali vengono infatti così convertiti: 

< diventa <

> diventa >

& diventa &

" diventa &quot.

Django migliora la protezione da attacchi Cross-Site Request Forgery utilizzando token che assicurano che le richieste provengano da fonti autorizzate.
Flask a differenza di Django è un framework di sviluppo molto leggero che richiede, se necessaria,  l'implementazione manuale di molte funzionalità di sicurezza come la protezione CSRF. L'uso di estensioni di sicurezza come Flask-Security può aiutare a rafforzare la protezione dell'applicazione.

Javascript

JavaScript è un linguaggio di programmazione essenziale per lo sviluppo web, utilizzato per creare contenuti dinamici e interattivi nei siti web. Funziona sia lato client, per migliorare l'esperienza utente, che lato server, grazie a runtime come Node.js, permettendo la creazione di applicazioni web scalabili e performanti. Oltre al web, è impiegato nello sviluppo di app mobile, desktop e nell'Internet of Things (IoT).

Per quanto riguarda la sicurezza occorre differenziare tra lato client e lato server.

Per quanto attiene il lato client, il codice viene eseguito nel browser dell'utente, ed è vulnerabile a manipolazioni e attacchi XSS. È dunque di cruciale importanza evitare le injection di codice non sicuro e gestire correttamente i dati provenienti dall'utente. 

Con riferimento alla gestione delle vulnerabilità in Javascript, come in altri linguaggi, occorre utilizzare librerie di terze parti verificate e aggiornate, e applicare politiche di sicurezza rigorose come la CSP.

Lato server (Node.js): Evitare l'esecuzione di codice non attendibile e implementare pratiche sicure per la gestione delle dipendenze e la configurazione del server, adottando misure e metodologie atte a garantire che le librerie e i componenti software esterni utilizzati in un progetto non introducano vulnerabilità o problemi di sicurezza.

PHP

PHP (Hypertext Preprocessor) è un linguaggio di scripting lato server ampiamente utilizzato per lo sviluppo web. E' stato progettato per creare contenuti dinamici e interattivi su pagine web. La sua facilità d'uso, unita a una curva di apprendimento accessibile, ha reso PHP uno dei linguaggi più popolari per lo sviluppo di siti e applicazioni web. PHP è particolarmente adatto per la gestione di database, la generazione di pagine HTML dinamiche e l'integrazione con vari sistemi di gestione dei contenuti (CMS) come WordPress, Drupal e Joomla. PHP dispone di un'ampia gamma di librerie e framework, come Laravel e Symfony.

PHP è stato molto criticato per problemi di sicurezza ma ultimamente sono state introdotte funzionalità di sicurezza migliorate. In ogni caso è importante sanificare l'input utente e utilizzare funzioni sicure per le query SQL, per esempio attraverso l'uso di librerie come PHP Data Object, per prevenire SQL injection. E' inoltre necessario mantenere il server PHP sempre aggiornato e configurare correttamente le impostazioni di sicurezza.

Ruby

Ruby è un linguaggio di programmazione dinamico, interpretato e orientato agli oggetti. Conosciuto per la sua sintassi semplice ed espressiva ed apprezzato per la sua capacità di favorire la produttività degli sviluppatori. Ampiamente utilizzato per lo sviluppo web grazie a framework come Ruby on Rails, che semplifica la creazione di applicazioni web robuste e scalabili. Oltre al web development, Ruby trova applicazione anche nello scripting, nell'automazione dei task e nello sviluppo di applicazioni desktop.  

Dal punto di vista sicurezza, Ruby on Rails come framework per lo sviluppo di applicazioni web, fornisce diverse protezioni integrate per prevenire vulnerabilità comuni come XSS (Cross-Site Scripting), SQL injection e CSRF (Cross-Site Request Forgery). Per quanto riguarda XSS vale il concetto di "escaping" automatico dei dati di output, ciò significa che i dati inseriti dagli utenti sono automaticamente filtrati per evitare che codice JavaScript dannoso venga eseguito nel browser. Invece, per prevenire SQL Injection Rails utilizza un ORM (Object-Relational Mapping) chiamato ActiveRecord  che automatizza la generazione di query SQL parametrizzate. In questo modo previene efficacemente l'SQL injection, in quanto i parametri delle query vengono trattati separatamente dai comandi SQL, evitando l'inserimento di codice SQL dannoso direttamente nelle query. In merito ad attacchi di tipo CSRF (Cross-Site Request Forgery), Rails implementa l'uso di token CSRF generati automaticamente. Questi token vengono inclusi in ogni form e richiesta AJAX generata da Rails. Il framework verifica che il token CSRF inviato corrisponda a quello generato dal server, impedendo così che le richieste provenienti da siti esterni non autorizzati siano eseguite.

Un ulteriore meccanismo di sicurezza, chiamato "Strong Parameters", è stato introdotto in Rails per controllare quali parametri sono accettabili. Questo aiuta a prevenire l'inserimento di dati non desiderati o malevoli attraverso le richieste HTTP.

Java

Java è un linguaggio di programmazione ad alto livello, orientato agli oggetti e fortemente tipizzato, creato negli anni '90. È uno dei linguaggi più popolari e diffusi nel mondo dello sviluppo software, grazie alla sua portabilità, alla robustezza del suo sistema di tipizzazione e alla sua ampia adozione sia in ambito enterprise sia nel settore delle applicazioni desktop e mobili. Java è molto conosciuto anche grazie alla sua virtual machine (JVM) che consente l'esecuzione del codice Java su diverse piattaforme senza la necessità di doverlo ricompilare. Oltre alla libreria standard, esiste un vasto ecosistema di framework e strumenti di sviluppo, come Spring Framework, che semplificano la creazione di applicazioni scalabili e robuste per il web e altri contesti. 

Per quanto riguarda gli aspetti di sicurezza, Spring Security è un modulo potente per gestire autenticazione e autorizzazione, offrendo protezione contro CSRF e altre minacce.

L'uso di Java e dei suoi framework richiede una gestione accurata della configurazione per prevenire l'accesso non autorizzato e la divulgazione di dati sensibili. Mantenere aggiornato l'ambiente di runtime (JVM) e il framework stesso è cruciale per evitare vulnerabilità note.

C# (C Sharp)

C# è un linguaggio di programmazione sviluppato da Microsoft nel 2000 come parte della piattaforma .NET. Si tratta di un linguaggio orientato agli oggetti, fortemente tipizzato e progettato per essere robusto, sicuro e adatto allo sviluppo di una vasta gamma di applicazioni tra cui siti e applicazioni Web. 

C# combina elementi presi da C, C++ e Java, offrendo una sintassi moderna e intuitiva che facilita lo sviluppo di software complesso. È noto per la sua affidabilità, prestazioni elevate e per il supporto integrato per il garbage collection, che semplifica la gestione della memoria. C# è ampiamente utilizzato per lo sviluppo di applicazioni desktop Windows, applicazioni web tramite ASP.NET, applicazioni mobile con Xamarin e una varietà di altre soluzioni basate sulla piattaforma .NET, comprese le applicazioni cloud con Azure. Grazie alla sua interoperabilità con altre tecnologie Microsoft e alla sua continua evoluzione attraverso il framework .NET Core e .NET 5 e successivi, C# continua a essere una scelta popolare tra gli sviluppatori per la creazione di software robusto e scalabile. 

In particolare, parlando di sicurezza nello sviluppo di applicazioni Web con ASP.NET occorre dire che offre strumenti avanzati per la protezione contro attacchi XSS, CSRF e SQL injection. Tra questi ASP.NET Identity per gestire in modo sicuro l'autenticazione e l'autorizzazione degli utenti.

Per riassumere, se dovessi stilare una graduatoria tra i differenti sistemi analizzati (seppur molto sommariamente) attribuendo punteggi da 0 a 10, direi che:

1. Java: 10. Ottima sicurezza intrinseca, gestione robusta della memoria e forte tipizzazione. Framework come Spring Security offrono protezioni avanzate contro molte vulnerabilità comuni.

2. Ruby (Ruby on Rails): 9. Fornisce protezioni integrate contro XSS, SQL injection e CSRF grazie a meccanismi come ActiveRecord e i token CSRF generati automaticamente.

3. C# (ASP.NET): 9. ASP.NET offre strumenti avanzati per la protezione contro attacchi XSS, CSRF e SQL injection, inclusi meccanismi come ASP.NET Identity e l'implementazione automatica di token CSRF.

4. Python (Django): 8. Include una serie di misure di sicurezza come il sistema di autenticazione integrato, il supporto per template sicuri e la gestione delle sessioni.

5. PHP: 7. Ha migliorato significativamente la sua sicurezza nel corso degli anni, ma richiede attenzione nella gestione delle query SQL e nella validazione degli input per prevenire SQL injection e altre vulnerabilità comuni.

6. JavaScript: 6. E' vulnerabile agli attacchi XSS, soprattutto quando eseguito lato client. L'uso di librerie di terze parti e politiche di sicurezza come CSP sono fondamentali per mitigare questi rischi.

7. Python (Flask): 6. E' un framework più leggero rispetto a Django e richiede una maggiore implementazione manuale di funzionalità di sicurezza come la protezione CSRF. L'uso di estensioni come Flask-Security può migliorare la sicurezza dell'applicazione.

8. HTML e CSS: 5. Pur essendo essenziali per la strutturazione e la presentazione delle pagine web, HTML e CSS non offrono nativamente meccanismi di sicurezza avanzati. La sanitizzazione degli input è cruciale per prevenire attacchi XSS.

E' ovvio che questa graduatoria si basa su considerazioni generali e non esclude la possibilità che, rispettando le best practices dei differenti linguaggi e framework e con le corrette configurazioni, tutti questi linguaggi possano essere utilizzati in modo sicuro per lo sviluppo di applicazioni web.

Consigli Generali sulla Sicurezza

Nei paragrafi precedenti abbiamo visto alcune caratteristiche di sicurezza dei linguaggi di programmazione più utilizzati in ambito sviluppo di applicazioni Web. Non dobbiamo però mai dimenticare, nonostante gli aiuti diretti dei linguaggi di programmazione, di applicare sempre e comunque le best practices per lo sviluppo sicuro, brevemente riassunte qui sotto:

• Aggiornamenti: Mantenere sempre aggiornato il software, inclusi i linguaggi di programmazione, framework e librerie.
• Input Sanitation: Validare e sanificare tutti i dati in ingresso per prevenire iniezioni di codice.
• Autenticazione e Autorizzazione: Implementare meccanismi robusti per garantire che solo gli utenti autorizzati possano accedere a determinate funzionalità.
• Crittografia: Utilizzare protocolli di crittografia per proteggere i dati in transito e a riposo.
• Log e Monitoraggio: Tenere traccia delle attività sospette e monitorare l'integrità del sistema. 

Per finire, programmare è anche una questione di collaborazione e buonsenso. 

Scrivere e leggere il codice da soli non è bene. Occorre scrivere il codice, commentarlo, e farlo leggere e revisionare ad un altro programmatore. 

Ricordiamo sempre il detto: quattro occhi vedono meglio di due!

Alessandro Rugolo

 

Per approfondire:
- https://618media.com/en/blog/web-security-with-css-best-practices/

- https://www.c-sharpcorner.com/article/c-sharp-security-best-practices-for-secure-coding/

- https://docs.djangoproject.com/en/5.0/topics/security/

- https://learn.microsoft.com/it-it/troubleshoot/developer/webapps/aspnet/development/security-overview

- https://www.secureworld.io/industry-news/ultimate-html-css-security-checklist

- https://www.cloudflare.com/it-it/learning/security/what-is-web-application-security/

- https://www.linkedin.com/pulse/introduction-computer-programming-languages-chukwuebuka-ejie-vi6mf/ 

- https://w3techs.com/technologies/history_overview/programming_language

Common Vulnerability Scoring System (CVSS) 4.0: capiamo assieme di che si tratta

Come si valutano le vulnerabilità di sicurezza di un software?

Come si può determinare la loro severità?

Come si pùò stabilire l'ordine da utilizzare per procedere all'aggiornamento del codice in caso di vulnerabilità multiple?

Queste sono solo alcune delle domande che ci si deve porre quando si gestisce la sicurezza di un sistema informatico.

Una delle possibili soluzioni passa per una organizzazione chiamata FIRST (Forum of Incident Response and Security Teams) e per uno strumento conosciuto con l'acronimo di CVSS ovvero Common Vulnerability Scoring System, ormai giunto alla versione 4.0.

La storia del CVSS si deve fare risalire al 2005 quando dopo circa due anni di studi e ricerche il National Infrastructure Advisory Council, organo consultivo del presidente degli Stati Uniti d'America, lanciò la versione 1.0. Seguirono la versione 2.0 del 2007 e la 3.0 del 2015. Il 21 ottobre 2023 è stata rilasciata la versione attuale, la 4.0.

CVSS è uno standard tecnico molto utile ma, come tutte le cose non risolve ogni genere di problema, per esempio non fornisce la misura della probabilità di quanto una vulnerabilità possa essere sfruttata da un attaccante, questo perchè essa non è determinata esclusivamente da fattori tecnici.

Come funziona CVSS 4.0.

CVSS consiste nella assegnazione di un punteggio tra 0 e 10 ad ogni vulnerabilità identificata, il punteggio indica la gravità della vulnerabilità che é tanto maggiore quanto più alto è il punteggio.

L'assegnazione del punteggio si effettua valutando 30 diversi fattori, che per comodità e omogeneità sono raggruppati in quattro categorie: Base, Threat, Environmental, Supplemental, che sono abbreviati in B,T,E ed S. Perciò quando si parla di CVSS-B si intende il valore CVSS calcolato utilizzando solo le metriche Base e ciò accade nella maggior parte dei casi.

La categoria (o metrica) Base contiene a sua volta altre due metriche: Exploitability e Impact.

Exploitability comprende quelle metriche che valutano i requisiti per sfruttare con successo la vulnerabilità.

Impact invece comprende le metriche utili a misurare l'impatto della vulnerabilità in oggetto sulla triade CIA (Confidentiality, Integrity, Availability).

Come detto, oltre alle metriche Base esistono altre tre categorie:

- Threat, che comprende solamente informazioni sulla maturità degli exploit cioè su quanto é facile sfruttare una vulnerabilità;

- Environmental, che comprende le stesse categorie della Base ma valutate secondo l'impatto sulla specifica azienda o organizzazione;

- Supplemental, comprende sei categorie: Safety, Automatable, Recovery, Value Density, Vulnerability Response Effort, Provider Urgency.

Naturalmente il CVSS 4.0 ha tante altre interessanti caratteristiche che i più curiosi potranno trovare in questo studio di Davide Ariu: About the Common Vulnerability Scoring System (a.k.a. CVSS) 4.0..

Provare a calcolare il valore a partire da una vulnerabilità nota è relativamente semplice impiegando l'apposito calcolatore online fornito sempre da FIRST. Fare qualche prova permette di rendersi effettivamente conto del livello di dettaglio dato da CVSS e capire quanto il valore reale dipenda effettivamente dalla specificità dell'organizzazione presa in considerazione.

Con quanto detto finora abbiamo risposto in parte solo alla prima delle domande iniziali: come si valutano le vulnerabilità di sicurezza di un software.

Per provare a rispondere alle altre due domande occorrono delle considerazioni sulla infrastruttura informatica in esame, sull'ambiente e sui rischi connessi. Considerazioni quindi legate al singolo caso e non generalizzabili.

Gestione delle vulnerabilità.

Spesso nel corso dell'analisi delle vulnerabilità di un sistema informatico aziendale emergono decine o centinaia di vulnerabilità, alcune note, la maggior parte non note al team di sicurezza. Valutare il rischio legato ad ogni singola vulnerabilità e dare la giusta priorità per la loro risoluzione è il lavoro difficile. Occorre inoltre considerare che questo processo è spesso frammentario e viene eseguito manualmente in quanto non è sempre possibile avere tutti i dati disponibili e visibili con un solo strumento ne è sempliceriversarli in un unico contenitore per poterli analizzare. Un'ultima problematica, non la meno importante, riguarda la loro visualizzazione, che spesso comporta la creazione di grafici non di immediata lettura.Esistono inoltre diversi problemi di natura pratica legati alla individuazione delle vulnerabilità e alla loro mitigazione. In alcuni ambienti non è possibile lanciare programmi automatici per la scansione dei sistemi, comportando la ricerca manuale nei singoli dispositivi. Non sempre i sistemi aziendali sono aggiornati e non sempre supportano le modifiche necessarie per mitigare le vulnerabilità note. In alcuni casi si potrebbe addirittura compromettere la funzionalità (leggasi operatività) del sistema e ciò non è normalmente gradito. In definitiva occorre trovare il giusto compromesso tra sicurezza e operatività.

Nuovo approccio alla gestione delle vulnerabilità basata sul rischio specifico

A questo punto è importante notare che esistono anche metodi per la gestione della vulnerabilità sulla base del rischio specifico che corre una determinata azienda o organizzazione. Questo approccio tiene conto di informazioni relative alla vulnerabilità della parte in considerazione. L'analisi automatizzata e continua, ove possibile, può fornire un valido aiuto ai team di sicurezza.

Ma quali sono le vulnerabilità e dove è possibile trovarle elencate?

Per rispondere a queste nuove domande occorre prendere in considerazione un nuovo acronimo: CVE, che sta per "Common Vulnerabilities and Exposures". Infatti CVE non è altro che una lista che comprende le vulnerabilità conosciute ed è pubblicata da MITRE. che mantiene anche aggiornato l'elenco delle CVE Numbering Authorities (CNA), ovvero delle organizzazioni autorizzate ad assegnare un numero ad una vulnerabilità e a pubblicarlo secondo una ben definita procedura. Queste CNA sono generalmente produttori di software e ricercatori di sicurezza ma chiunque può richieder di assegnare un numero ad una nuova vulnerabilità. Ogni CVE è composta da un numero identificatore, una breve descrizione e i riferimenti ai report della vulnerabilita.

L'elenco, nella versione attuale, comprende 233.151 diversi elementi.

Alessandro Rugolo

 

Per approfondire:

- https://www.first.org/cvss/v4-0/

-  https://davideariu.substack.com/p/about-the-common-vulnerability-scoring

- https://cve.mitre.org/blog/September112018_A_Look_at_the_CVE_and_CVSS_Relationship.html

- https://cve.mitre.org/cve/search_cve_list.html

- https://www.first.org/cvss/calculator/4.0#

- https://www.agendadigitale.eu/sicurezza/gestione-delle-vulnerabilita-e-delle-patch-in-azienda-come-evitare-rischi/

- https://purplesec.us/learn/vulnerability-prioritization/

Conoscete già ransomfeed?

Ogni giorno nascono nuovi servizi online, spesso si tratta di servizi già esistenti che vengono riproposti in forma digitale sul web. Talvolta si tratta invece di servizi del tutto nuovi: Ransomfeed.it è uno di questi.

Vediamo di capire di che si tratta e a chi può essere utile.

Per non sbagliare faccio riferimento al sito e a quanto dichiarato, cercando di semplificare affinchè sia più chiaro a che ci si riferisce.

Ransomfeed è un servizio di monitoraggio dei gruppi ransomware. L'attività di monitoraggio avviene  tramite l'estrazione di dati da più siti web per mezzo di programmi software che svolgono tale attività in automatico. 

I dati raccolti sono successivamente organizzati e strutturati ed infine memorizzati in un feed RSS permanente, disponibile per la libera consultazione.

Ricordo per i lettori più distratti che un feed RSS è una tecnologia che utilizza una segnalazione per aggiornare un utente dell’avvenuta pubblicazione di un contenuto online di suo interesse, pubblicato da parte del sito cui il feed fa riferimento. Naturalmente è necessario che l'utente inizialmente si iscriva ad un feed RSS e da quel momento saranno i contenuti di suo interesse a raggiungerlo senza più bisogno di andarli a cercare.

Il servizio di monitoraggio di Ransomfeed è gratuito e si basa sulla raccolta continuativa di dati relativi agli attacchi ransomware a livello internazionale. 

Con quanto detto spero di aver chiarito cosa sia Ransomfeed. 

La domanda successiva è la seguente: a chi possono servire queste informazioni?

Ransomfeed è una piattaforma in grado di rilevare in modo tempestivo gli attacchi ransomware di cui esiste pubblica conoscenza "mettendo i dati a disposizione di chiunque desideri comprendere l'entità e l'evoluzione degli attacchi informatici". 

Comprendere l'entità degli attacchi informatici in una certa regione o nazione può aiutare le aziende di ogni dimensione e settore ad affrontare attacchi sempre più sofisticati. Sapere cosa ci accade intorno ci aiuta ad avere una visione chiara e in tempo reale dei rischi che corriamo e adottare le misure preventive necessarie e più efficaci per mitigare i rischi.

Ora che abbiamo le basi, vi consiglio di dare uno sguardo al sito Ransomfeed.it per capire, in particolare, cosa stà accadendo in Italia.

Piccole e medie imprese vengono colpite da attacchi ransomware, sono 386 dal 12 gennaio 2020 le vittime italiane di cui si sa qualcosa, su 11.663 in totale.

Sul sito è possibile leggere i particolari relativi ad ogni attacco registrato, alle cyber gang, alle richieste di riscatto e farsi così un'idea dei rischi che si corrono.

Ma perchè accade ciò?

Possibile che siamo così vulnerabili?

Effettivamente siamo molto vulnerabili. 

La sicurezza informatica o cyber security è ancora poco conosciuta e ancor meno tenuta in considerazione. Il risultato è sotto gli occhi di  tutti coloro che vogliono guardare. 

Mancanza di cultura e di consapevolezza fanno si che il nostro mondo digitale assomigli sempre più ad una giungla in cui le vittime siamo tutti noi.

Forse è dunque giunto il momento di capire che per cambiare le cose occorre cambiare approccio, migliorando la formazione di tutti indistintamente, dal ragazzino che tiene in mano uno smartphone (senza capire cosa rischia) all'impiegato di banca che impiega dispositivi aziendali per questioni private o viceversa.

Si spera sempre che migliorando la formazione aumenti la consapevolezza.

Cos'altro possiamo fare? Chi ci può aiutare?

Spesso si è in balia delle onde e non si vede la riva, eppure talvolta è possibile essere aiutati e senza troppa spesa. Ciò vale soprattutto per le piccole e medie imprese.

Vi chiederete come, ed ecco la risposta: Cyber 4.0.

Cyber 4.0 è il Centro di Competenza nazionale ad alta specializzazione per la cybersecurity, istituito e cofinanziato dal Ministero delle Imprese e del Made in Italy, avviato nell'ambito del piano Industria 4.0.  Il Centro Cyber 4.0 è soggetto attuatore del PNRR per conto del MIMIT.

Si tratta di un’associazione di diritto privato, costituita con da un partenariato pubblico-privato in cui sono presenti oltre 40 attori di rilevanza nazionale, rappresentanti di università ed enti di ricerca, istituzioni pubbliche, grandi aziende, fondazioni e PMI altamente specializzate.

il Centro offre servizi di advisory, formazione, assessment e test-before-invest in ambito cybersecurity, e finanzia progetti di ricerca e innovazione in ambito Cyber, Healthcare, Automotive e Aerospace.

E' sufficiente rivolgersi ad uno dei soci del Centro di Competenza nazionale Cyber 4.0 per avere tutte le informazioni necessarie per pianificare per esempio un intervento formativo che a seconda del tipo di impresa potrebbe risultare completamente gratuito.

 

Alessandro RUGOLO

 

Per approfondire:

- https://www.cyber40.it/ 

- https://www.assolombarda.it/servizi/credito-finanza-e-incentivi/informazioni/regolamento-de-minimis-2024-2030-nuova-soglia-a-20ac-300.000

On June 13th, OpenAI announced the addition of retired General Paul M. Nakasone to its Board of Directors.

According to OpenAI’s executives, General Nakasone’s presence on the Board brings valuable cybersecurity expertise. He will join the Board’s Safety and Security Committee.

Nakasone’s appointment reflects OpenAI’s commitment to security and protection, and underscores the growing importance of cybersecurity as AI technology continues to develop and impact society.

Nakasone will also contribute to OpenAI’s efforts to better understand how AI can be used to strengthen cybersecurity.

According to company executives, AI has the potential to provide significant benefits for many institutions that are frequently targeted by cyber attacks, such as hospitals, schools, and financial institutions.

Artificial intelligence has the potential to have huge positive impacts on people’s lives, but it can only reach this potential if these innovations are securely built and deployed, said Bret Taylor, Chair of OpenAI’s Board of Directors.

It is important to remember that retired U.S. Army General Paul M. Nakasone is a leading expert in the field of cybersecurity. Throughout his career as an Army officer, he was instrumental in the creation of U.S. Cyber Command (USCYBERCOM). He has led USCYBERCOM and the National Security Agency (NSA), tasked with protecting the United States' digital infrastructure and enhancing the country’s cyber defense capabilities. He has served in command and staff positions at all levels of the U.S. Army, with assignments in elite cyber units in the United States, South Korea, Iraq, and Afghanistan.

Beyond General Nakasone’s undeniable professionalism, one might immediately think of a possible greater involvement of American institutions in OpenAI’s affairs. A figure of such high caliber is, in my opinion, exactly what is needed to engage with important public administration institutions on equal terms.

We will see what the future holds.

Alessandro Rugolo

For further information:

• OpenAI Appoints Retired U.S. Army General Paul M. Nakasone to Board of Directors