Ateneo - UPO

Introduzione ai principi fondamentali di sicurezza delle reti e di crittografia, descrizione delle tecniche fondamentali, ed esempi di  applicazioni e protocolli.

William Stallings, Cryptography and Network Security, qualunque edizione a partire dalla quinta, Pearson
oppure
Maurizio Cinotti, Internet Security, terza edizione, Hoepli Informatica, ISBN 978-88-203-3895-4 (questo libro è fuori catalogo ma ancora valido sotto molti aspetti; è disponibile presso la biblioteca del Dipartimento)
Del materiale aggiuntivo è fornito sul sito online del corso.

Scopo dell'insegnamento è
-sviluppare sensibilità sui rischi di sicurezza, sulla base di conoscenze di vulnerabilità e tipi di attacchi e di trasferire agli studenti
-comprendere i principi della sicurezza informatica;
-acquisire gli strumenti fondamentali per garantire requisiti di sicurezza.

Conoscenza del funzionamento delle reti di calcolatori, programmazione in Java, nozioni base di utilizzo di Unix.

Il corso è insegnato interamente in laboratorio. Ciascuna lezione è costituita da una presentazione degli argomenti nella quale gli aspetti tecnici vengono arricchiti da ampi riferimenti ad incidenti informatici recenti, seguita da attività pratica; l'attività in laboratorio guida nella realizzazione di attacchi informatici, per fornire sensibilità riguardo alle vulnerabilità e comprensione delle caratteristiche e dei limiti delle tecnologie e dei meccanismi di sicurezza presentati; si propone implementazione di software crittografico, e configurazione di sistemi di sicurezza per fornire familiarità con gli strumenti software e il loro utilizzo.
Gli argomenti trattati in ogni lezione insieme alle appropriate indicazioni bibliografiche e le indicazioni sull'attività pratica sono riportate sulla piattaforma DIR per permettere a coloro che seguono il corso di rivedere o completare le attività proposte e di mantenersi al passo con il corso in caso perdano qualche lezione; inoltre questo permette a coloro che non frequentano di svolgere autonomamente l'attività di laboratorio, e di seguire pur a distanza il corso delle lezioni.
Inoltre sul DIR sono presenti documenti e link aggiuntivi a protocolli in uso, a notizie di cronaca sulla sicurezza informatica, ad organizzazioni che si occupano di sicurezza ecc, per stimolare la curiosità e mantenerw aggiornati in un campo in veloce evoluzione. Poiché tale documentazione è per la maggior parte in inglese, lo studio sarà anche uno strumento per migliorare la propria padronanza del linguaggio tecnico informatico in inglese.
Infine sono a disposizione sul DIR quiz di autovalutazione che hanno lo scopo di incoraggiare il ragionamento autonomo sugli argomenti presentati.
Durante la lezione viene usato lo strumento wooclap in modalità anonima per per porre domande al fine di verificare la comprensione degli argomenti e per stimolare una partecipazione attiva.

L'attività in laboratorio richiede una partecipazione attiva e individuale e induce a porsi dei quesiti (e spesso di conseguenza a porne alla docente); in tal modo permette una regolare verifica del modo in cui gli argomenti vengono recepiti.
L'attività in laboratorio è pensata come strumento didattico per facilitare la comprensione e lo sviluppo della necessaria sensibilità, non come mezzo per insegnare ad utilizzare strumenti di sicurezza . Però chi partecipa con buona volontà trae dall'attività in laboratorio anche utili competenze pratiche.
Durante la lezione viene usato lo strumento wooclap in modalità anonima per monitorare costantemente le difficoltà incontrate.

Le persone con disabilità o con Disturbi Specifici dell’Apprendimento (DSA) o con
Bisogni Educativi Speciali (BES) possono richiedere servizi e strumenti specifici a loro dedicati
rivolgendosi allo Staff Sviluppo e Coordinamento Carriere e Servizi alle Studentesse e agli Studenti e
consultando la pagina dedicata del sito di Ateneo: https://uniupo.it/it/servizi/servizi-studenti-
disabili-e-dsa
Le persone con disabilità, DSA, BES, una volta preso contatto con lo Staff di Ateneo,
possono contattare la docente titolare dell'insegnamento in relazione alla declinazione delle
modalità di esame, in merito agli aspetti didattici.

L'esame si articola in due parti. La prima parte è un quiz di 20 domande alle quali gli studenti devono rispondere in laboratorio. Il quiz è a correzione automatica. Si ottiene la sufficienza rispondendo all' 70% delle domande correttamente. Il voto massimo che si può ottenere con il quiz è 22/30, con il 90% di risposte corrette.Chi ha risposto almeno all'85% delle domande correttamente può accedere all'orale. In questo caso, il voto è determinato unicamente dalle conoscenze e competenze dimostrate durante l'orale. All'orale vengono poste in generale due domande (il numero di domande può variare ove necessario in base alle risposte, per verificare che gli obiettivi formativi siano stati raggiunti). Il colloquio si basa su due strumenti di verifica: la richiesta di descrizione di meccanismi o tecnologie presentate nel corso, al fine di verificare che siano stati appresi i principi e i meccanismi fondamentali; la discussione di semplici problemi di sicurezza o di variazioni di protocolli noti, per verificare che siano stati acquisiti la sensibilità ai rischi di sicurezza e una certa autonomia e senso critico nell'utilizzo degli strumenti appresi. La sufficienza si ottiene dimostrando la comprensione dei principi fondamentali e la padronanza del linguaggio tecnico. L'eccellenza si ottiene mostrando di avere acquisito capacità di individuare rischi di sicurezza in semplici problemi e dell'autonomia di giudizio nel proporre soluzioni e di avere acquisito un linguaggio tecnico appropriato. Il voto ottenuto con il quiz è comunque mantenuto.

-Introduzione alla sicurezza. Vulnerabilità e requisiti di sicurezza. - Politica di sicurezza - Crittografia a chiave simmetrica. Sistemi di cifratura a blocchi e a flusso. Principi di confusione e diffusione. DES e 3DES, AES, RC4. Cifratura di messaggi lunghi. - Crittografia a chiave pubblica. RSA, Diffie-Hellman e DSA: uso, attacchi, protocolli e standard.Introduzione alla crittografia a curve ellittiche: ECDH ed ECDSA. - Confronto tra i sistemi di crittografia a chiave pubblica e a chiave simmetrica. Schema ibrido. Scambio di segreti e generazione di chiavi simmetriche. IES ed ECIES. - Funzioni di hash crittograficamente sicure. Collisioni. Struttura delle funzioni hash. Esempi di funzioni hash. - Message Authentication Codes. Confronto con le funzioni hash. HMAC. - Autenticazione di messaggi a chiave pubblica e non ripudiabilità. - Il tempo: nonce e timestamp. Sincronizzazione. - Certificati digitali. Autorità di certificazione e Registration Authority. Liste di revoca. Protocollo OCSP. - Schema Autentication Authorization Accounting (AAA). Autenticazione: paradigmi login/password, challenge/response e timestamp. - VPN. Cenni su IPsec. Come applicazione dei principi studiati: SSL/TLS, SSH. - Firewall. Architettura di un firewall. Principi fondamentali. Bastion Host. DMZ. - Filtri di pacchetti statici e dinamici. Access list. Proxy.

Conoscenza e capacità di comprensione: conoscere i principi basilari della sicurezza informatica, le tecniche crittografiche fondamentali e i dispositivi essenziali per la protezione di una rete di calcolatori.
Applicazione di conoscenza e comprensione: saper riconoscere vulnerabilità evidenti e proporre strumenti di protezione. Come beneficio aggiuntivo, chi si applica con buona volontà imparerà a implementare protocolli di sicurezza in Java, ad utilizzare alcuni strumenti di sicurezza e a configurare alcuni semplici sistemi.
Autonomia di giudizio: corretta percezione dei rischi di sicurezza e del modo in cui gli aspetti di sicurezza informatica si intrecciano con l'organizzazione di una rete.
Abilità comunicative : acquisizione della terminologia tecnica specifica dell'area e capacità di discutere di aspetti di sicurezza, e di meccanismi di protezione. Inoltre verrà migliorata la padronanza della lingua inglese a livello tecnico informatico.
Capacità di apprendere: avendo appreso i principi fondamentali, si acquisira la capacità di apprezzare e valutare anche in futuro tecnologie e protocolli nuovi che si basano sugli stessi principi.