Lezione 10 di 11

Sistemi e Reti 9

Modulo 9 — Sicurezza di Base | Hands on Stem

Modulo 9 di 10

Sicurezza di Base

Firewall, ACL, VPN, DMZ, crittografia: i concetti fondamentali per proteggere una rete e i dati che vi transitano.

Prof. D. Bertolino Hands on Stem Sistemi e Reti

9.1 Perché la Sicurezza di Rete?

Una rete senza protezioni è come una casa con le porte aperte: chiunque può entrare, prendere ciò che vuole, o fare danni senza lasciare traccia. La sicurezza di rete protegge i dati, i servizi e la privacy degli utenti.

I 3 pilastri della sicurezza (triade CIA)

Confidentiality (Riservatezza) — solo chi è autorizzato può leggere i dati.
Integrity (Integrità) — i dati non vengono alterati durante il transito.
Availability (Disponibilità) — i servizi sono accessibili quando servono.

🔒

Riservatezza

Crittografia, VPN, HTTPS, controllo accessi

✅

Integrità

Hash, firma digitale, checksum, TLS

⚡

Disponibilità

Ridondanza, backup, anti-DDoS, UPS

Le minacce principali

Minaccia	Cosa fa	Pilastro CIA violato	Contromisura
Sniffing	Intercetta il traffico di rete	Riservatezza	Crittografia (TLS, VPN)
Man-in-the-Middle	Si interpone tra mittente e destinatario	Riservatezza + Integrità	TLS, certificati, HSTS
DoS / DDoS	Sovraccarica il servizio rendendolo inaccessibile	Disponibilità	Firewall, anti-DDoS, CDN
Spoofing	Falsifica l’identità (IP, MAC, DNS)	Integrità	Autenticazione, DNSSEC
Brute Force	Prova tutte le combinazioni di password	Riservatezza	Rate limiting, MFA, password forti
Malware	Software malevolo (virus, ransomware, trojan)	Tutti e tre	Antivirus, firewall, aggiornamenti

9.2 Firewall

Il firewall è il guardiano della rete: esamina ogni pacchetto in transito e decide se lasciarlo passare o bloccarlo, in base a un insieme di regole. È il primo e più importante dispositivo di sicurezza perimetrale.

Principio base

Un firewall applica regole (dette ACL — Access Control List) che specificano: quale traffico è permesso (permit) e quale è bloccato (deny), in base a IP sorgente/destinazione, porte, protocollo e (nei firewall avanzati) contenuto.

Tipi di firewall

Packet Filter (L3-4)

Esamina solo gli header IP e TCP/UDP. Filtra per IP sorgente/destinazione e porta.

Velocissimo (hardware)
Non vede il contenuto
Non traccia le connessioni
Facile da aggirare

Esempio: ACL su router Cisco

Stateful (L3-4)

Traccia lo stato delle connessioni TCP (NEW, ESTABLISHED, RELATED).

Permette risposte automatiche
Blocca pacchetti “fuori contesto”
Molto più sicuro del packet filter
Lo standard moderno

Esempio: iptables/nftables, pfSense

Application / NGFW (L7)

Ispeziona il contenuto applicativo con Deep Packet Inspection (DPI).

Blocca URL, malware, content type
Identifica le applicazioni (es. “Facebook”)
IDS/IPS integrato
Più lento e costoso

Esempio: Fortinet, Palo Alto, Sophos

Stateful: perché è meglio del packet filter?

Con un packet filter, se permetti il traffico in uscita sulla porta 80, devi anche permettere le risposte in ingresso — ma come distinguere una risposta legittima da un attacco? Il firewall stateful risolve il problema: traccia le connessioni aperte e permette automaticamente le risposte ai pacchetti che tu hai iniziato, bloccando tutto il resto.

9.3 ACL — Access Control List

Le ACL sono le regole che il firewall (o il router) applica al traffico. Ogni regola specifica un’azione (permit/deny) per un certo tipo di traffico. Le regole sono valutate dall’alto verso il basso: la prima che corrisponde viene applicata.

! Esempio ACL su router Cisco
access-list 100 permit tcp 192.168.1.0 0.0.0.255 any eq 80
access-list 100 permit tcp 192.168.1.0 0.0.0.255 any eq 443
access-list 100 permit udp 192.168.1.0 0.0.0.255 any eq 53
access-list 100 deny ip any any
! Permette: HTTP, HTTPS, DNS dalla LAN. Blocca tutto il resto.

Il “deny implicito” alla fine

Nella maggior parte dei sistemi, alla fine di ogni ACL c’è un deny implicito: tutto ciò che non è esplicitamente permesso viene bloccato. Questo è il principio del “default deny” — la configurazione più sicura. L’opposto (“default permit”) è pericoloso: significa che tutto è permesso tranne ciò che è esplicitamente bloccato.

Approccio	Filosofia	Sicurezza	Uso
Default Deny (whitelist)	Blocca tutto, permetti solo il necessario	Molto alta	Firewall aziendali, server
Default Permit (blacklist)	Permetti tutto, blocca solo il pericoloso	Bassa	Sconsigliato (quasi mai usato)

9.4 DMZ — Zona Demilitarizzata

La DMZ è una rete intermedia tra la LAN interna (protetta) e Internet (non protetta). Ospita i servizi che devono essere accessibili dall’esterno (web server, mail server, DNS pubblico) senza esporre la rete interna.

Architettura con DMZ

Internet
Non fidato

→

Firewall
esterno

→

DMZ
Web, Mail, DNS

→

Firewall
interno

→

LAN
Protetta

Regole tipiche della DMZ

Internet → DMZ: permesso solo verso i servizi esposti (porta 80/443 al web server, porta 25 al mail server).
DMZ → LAN: normalmente bloccato (se il web server viene compromesso, non può raggiungere la LAN).
LAN → DMZ: permesso (gli utenti interni accedono ai server in DMZ).
LAN → Internet: permesso (con NAT e filtraggio).

9.5 Crittografia: le Basi

La crittografia trasforma i dati leggibili (plaintext) in dati illeggibili (ciphertext) usando un algoritmo e una chiave. Solo chi possiede la chiave corretta può decifrare i dati. È il fondamento della riservatezza nelle comunicazioni di rete.

🔑 Simmetrica

Una sola chiave condivisa tra mittente e destinatario, usata sia per cifrare che per decifrare.

Veloce (ideale per grandi volumi)
Problema: come scambiare la chiave in modo sicuro?

Algoritmi: AES-256, ChaCha20, (DES obsoleto)

Analogia: un lucchetto con una sola chiave — entrambi ne hanno una copia.

🔐 Asimmetrica

Due chiavi: una pubblica (condivisa con tutti) e una privata (segreta). Ciò che si cifra con una, si decifra solo con l’altra.

Risolve il problema dello scambio chiavi
Molto più lenta della simmetrica

Algoritmi: RSA, ECDSA, Ed25519

Analogia: una cassetta postale — tutti possono imbucerare (chiave pubblica), solo tu puoi aprire (chiave privata).

In pratica: crittografia ibrida

TLS (usato da HTTPS) combina entrambe: la crittografia asimmetrica viene usata solo all’inizio per scambiare in modo sicuro una chiave simmetrica temporanea (session key). Poi tutta la comunicazione usa la crittografia simmetrica, molto più veloce. Questo approccio ibrido offre il meglio di entrambi i mondi.

Hash e firma digitale

Concetto	Cosa fa	Pilastro CIA	Algoritmi
Hash	Genera un’impronta digitale fissa (digest) da dati di qualsiasi dimensione. Irreversibile.	Integrità	SHA-256, SHA-3, (MD5 obsoleto)
Firma digitale	Hash + crittografia asimmetrica. Garantisce chi ha firmato e che il documento non è stato alterato.	Integrità + Autenticazione	RSA + SHA-256, ECDSA
Certificato digitale	Associa una chiave pubblica a un’identità, firmato da una CA (Certificate Authority) fidata.	Autenticazione	X.509 (standard)

9.6 TLS e HTTPS

TLS (Transport Layer Security) è il protocollo che rende sicuro il web. Quando vedi il lucchetto nel browser, significa che la connessione è protetta da TLS. HTTPS = HTTP + TLS.

Client Hello: il browser invia al server le versioni TLS supportate, i cipher suite (algoritmi) che conosce e un numero casuale.

Server Hello: il server sceglie la versione TLS e il cipher suite, invia il proprio certificato digitale (con la chiave pubblica) e un numero casuale.

Verifica certificato: il browser controlla che il certificato sia firmato da una CA fidata, non sia scaduto e corrisponda al dominio.

Scambio chiavi: usando la crittografia asimmetrica (chiave pubblica del server), client e server negoziano una chiave simmetrica di sessione.

Comunicazione cifrata: da qui in poi, tutti i dati HTTP sono cifrati con la chiave simmetrica (AES-256). Veloce e sicuro.

Perché HTTPS è obbligatorio?

Senza HTTPS, qualsiasi persona sulla stessa rete (Wi-Fi pubblico, rete aziendale) può leggere tutto il traffico: password, email, dati bancari. Con HTTPS, anche se il traffico viene intercettato, è illeggibile senza la chiave di sessione. Google penalizza i siti HTTP nel ranking e i browser moderni li segnalano come “Non sicuro”.

9.7 VPN — Virtual Private Network

Una VPN crea un “tunnel” crittografato attraverso una rete non sicura (tipicamente Internet), permettendo di collegare in modo sicuro sedi remote, lavoratori in smart working o dispositivi mobili alla rete aziendale.

Come funziona

I pacchetti originali vengono incapsulati e crittografati all’interno di nuovi pacchetti. Attraversano Internet come dati illeggibili. All’altro capo del tunnel, vengono de-incapsulati e decifrati. Per le applicazioni, è come essere collegati direttamente alla LAN remota.

Site-to-Site VPN

Collega due sedi (reti intere) in modo permanente. Il tunnel è tra i due router/firewall. Gli utenti non devono fare nulla: tutto il traffico tra le sedi è automaticamente crittografato.

Esempio: sede Milano ↔ sede Roma

Remote Access VPN

Collega un singolo dispositivo alla rete aziendale da remoto. L’utente avvia un client VPN (software) che crea il tunnel verso il server VPN aziendale.

Esempio: smart working, tecnici in trasferta

Protocolli VPN

Protocollo	Livello	Sicurezza	Velocità	Note
IPsec	L3	Molto alta	Buona	Standard industriale. Due modalità: transport e tunnel. Usato in site-to-site.
OpenVPN	L3-L4	Molto alta	Buona	Open source, molto diffuso. Usa TLS. Attraversa facilmente i firewall (porta 443).
WireGuard	L3	Alta	Eccellente	Moderno, velocissimo, codice minimale. Sempre più adottato.
L2TP/IPsec	L2	Alta	Media	L2TP non cifra: si appoggia a IPsec. Nativo su molti OS.
PPTP	L2	Bassa	Alta	Obsoleto e insicuro. Da non usare.

9.8 Altre Misure di Sicurezza

IDS / IPS

IDS (Intrusion Detection System): monitora il traffico e segnala attività sospette. Passivo: rileva ma non blocca.

IPS (Intrusion Prevention System): rileva e blocca automaticamente il traffico malevolo. Attivo: inline nel percorso dei dati.

Spesso integrati nei firewall NGFW.

802.1X e RADIUS

802.1X: standard per l’autenticazione a livello 2. Una porta dello switch resta bloccata finché l’utente non si autentica.

RADIUS: server centralizzato di autenticazione. Verifica credenziali per accesso alla rete (Wi-Fi enterprise, VPN, switch).

AAA: Authentication, Authorization, Accounting.

VLAN e segmentazione

Le VLAN separano logicamente la rete: il traffico di un reparto non raggiunge gli altri. Limita la superficie di attacco: un malware nella VLAN ospiti non raggiunge la VLAN dei server.

Principio del minimo privilegio: ogni segmento accede solo a ciò che serve.

Aggiornamenti e hardening

Patch management: aggiornare regolarmente OS, firmware, applicazioni. La maggior parte degli attacchi sfrutta vulnerabilità note e già corrette.

Hardening: disabilitare servizi non necessari, cambiare password di default, chiudere porte non usate.

9.9 Riepilogo del Modulo

Triade CIA

Riservatezza, Integrità, Disponibilità: i 3 pilastri. Ogni misura di sicurezza protegge uno o più di questi.

Firewall

Packet filter → Stateful → NGFW (L7). ACL con default deny. Essenziale per il perimetro.

Crittografia

Simmetrica (AES, veloce) + Asimmetrica (RSA, scambio chiavi) = ibrida (TLS/HTTPS).

VPN e DMZ

VPN: tunnel crittografato su Internet. DMZ: zona intermedia per server pubblici senza esporre la LAN.

🧪 Verifica di Autovalutazione

01 Cosa rappresenta la triade CIA? Fai un esempio per ogni pilastro.

02 Qual è la differenza tra un firewall packet filter e uno stateful?

03 Cos’è una ACL? Cosa significa “default deny”?

04 Cos’è la DMZ e perché è importante?

05 Spiega la differenza tra crittografia simmetrica e asimmetrica.

06 Come funziona TLS (HTTPS) in modo semplificato?

07 Cos’è una VPN site-to-site? E una remote access?

08 Qual è la differenza tra IDS e IPS?

09 Perché le VLAN migliorano la sicurezza?

10 Cos’è un attacco Man-in-the-Middle e come ci si protegge?

Soluzioni

Domanda 01 — Triade CIA

Confidentiality (Riservatezza): protezione dall’accesso non autorizzato. Esempio: HTTPS impedisce di leggere il traffico web. Integrity (Integrità): protezione dalla modifica non autorizzata. Esempio: un hash SHA-256 verifica che un file scaricato non sia stato alterato. Availability (Disponibilità): i servizi devono essere accessibili. Esempio: un sistema anti-DDoS protegge un sito web dall’essere reso inaccessibile.

Domanda 02 — Packet filter vs stateful

Packet filter: esamina ogni pacchetto individualmente, basandosi solo su IP e porte negli header. Non sa se un pacchetto fa parte di una connessione lecita o è un attacco. Stateful: traccia lo stato delle connessioni (nuova, stabilita, correlata). Permette automaticamente le risposte a connessioni iniziate dall’interno e blocca pacchetti “fuori contesto”. Il stateful è molto più sicuro perché ha il concetto di “conversazione”.

Domanda 03 — ACL e default deny

Una ACL (Access Control List) è un elenco ordinato di regole che specificano quale traffico è permesso (permit) o bloccato (deny). Le regole sono valutate dall’alto: la prima corrispondenza vince. Default deny significa che alla fine dell’ACL c’è un “deny implicito”: tutto ciò che non è esplicitamente permesso viene bloccato. È l’approccio più sicuro (whitelist): permetti solo il necessario.

Domanda 04 — DMZ

La DMZ (Demilitarized Zone) è una rete intermedia tra Internet e la LAN interna, protetta da firewall su entrambi i lati. Ospita i server che devono essere accessibili dall’esterno (web, mail, DNS pubblico). Se un server in DMZ viene compromesso, l’attaccante non ha accesso diretto alla LAN interna — il firewall interno lo blocca. La DMZ isola i servizi esposti dalla rete protetta.

Domanda 05 — Simmetrica vs asimmetrica

Simmetrica: una sola chiave condivisa per cifrare e decifrare. Veloce, ma il problema è scambiare la chiave in modo sicuro. Algoritmo: AES-256. Asimmetrica: due chiavi (pubblica e privata). Ciò che si cifra con una si decifra solo con l’altra. Risolve il problema dello scambio chiavi. Molto più lenta. Algoritmo: RSA. In pratica si usano insieme (ibrida): asimmetrica per scambiare la chiave, simmetrica per i dati.

Domanda 06 — TLS semplificato

1) Il browser si connette al server e chiede una connessione sicura. 2) Il server invia il suo certificato digitale (con la chiave pubblica). 3) Il browser verifica il certificato con la CA. 4) Usando la chiave pubblica del server, client e server negoziano una chiave simmetrica di sessione. 5) Da qui tutta la comunicazione è cifrata con la chiave simmetrica (AES). Risultato: crittografia ibrida — asimmetrica per lo scambio, simmetrica per i dati.

Domanda 07 — VPN site-to-site vs remote access

Site-to-site: tunnel permanente tra due sedi (router-to-router). Tutto il traffico tra le due reti è automaticamente crittografato. Gli utenti non devono fare nulla. Remote access: un singolo utente da remoto avvia un client VPN per connettersi alla rete aziendale. Il tunnel è temporaneo e individuale. Usato per smart working e trasferte.

Domanda 08 — IDS vs IPS

IDS (Intrusion Detection System): passivo — monitora il traffico, rileva anomalie e attacchi, e segnala all’amministratore (alert/log). Non blocca il traffico. IPS (Intrusion Prevention System): attivo — è posizionato inline nel flusso del traffico e può bloccare automaticamente i pacchetti malevoli in tempo reale. L’IPS è un IDS che agisce, non solo osserva.

Domanda 09 — VLAN e sicurezza

Le VLAN segmentano la rete in domini di broadcast separati. Un dispositivo in VLAN 10 non può comunicare direttamente con un dispositivo in VLAN 20 senza passare per un router (con ACL). Questo limita la propagazione di malware e attacchi: se un PC nella VLAN ospiti viene compromesso, non può raggiungere i server nella VLAN datacenter. È il principio del minimo privilegio applicato alla rete.

Domanda 10 — Man-in-the-Middle

In un attacco MitM, l’attaccante si posiziona tra il mittente e il destinatario, intercettando e potenzialmente modificando il traffico senza che le parti se ne accorgano. Esempio: ARP spoofing su una LAN, oppure un falso hotspot Wi-Fi. Protezione: HTTPS/TLS (il certificato verifica l’identità del server), HSTS (forza HTTPS), certificati validi da CA fidate, DNSSEC, verifica delle impronte dei certificati.