sono un suo studente del corso di Reti I e la crittografia mi ha sempre affascinato. Credo che sia un mondo parecchio vasto e purtroppo in rete si trovano un sacco di informazioni sparse.
Visto che oggi a lezione abbiamo ne abbiamo accennato vorrei chiederle se può consigliarmi dei testi, oppure uno in particolare, di riferimento sul quale iniziare a studiare (o approfondire) questi aspetti.
Per iniziare ad approfondire, questo è un ottimo testo disponibile online (molto interessante ma secondo me non scritto in modo "scorrevole"):
L'autore è Ross Anderson, dell'Università di Cambridge. E' una persona che certamente le banche di mezzo mondo vorrebbero rinchiudere da qualche parte buttando via la chiave. Non perché sia un ladro, ma perché è quello che ha dimostrato che:
- Le truffe via Bancomat esistono veramente---prima le banche ne negavano l'esistenza, dicendo "hai scritto il PIN su un foglietto e te l'hanno rubato", "è stata tua moglie a fare il prelievo senza dirtelo" etc."Your bank statement arrives in the post, and you find a thousand pounds missing. Someone has been making ATM withdrawals using your card and your PIN. Yet your card wasn't stolen, you've told no-one your PIN, and you're careful to make sure you're not watched as you type it in. If this sounds like you, your dispute is a phantom withdrawal, and this website is designed to help you." (http://www.phantomwithdrawals.com)
- Le nuove tessere Bancomat introdotte da poco in tutta Europa, quelle con il chip, hanno errori di protocollo che permettono di fare tante cose interessanti---per i ladri (http://reti-inginf-units.blogspot.it/2010/03/bancomat-c.html).
Per studiare in modo approfondito la crittografia invece occorre considerare "il" libro:
di Bruce Schneier (non so se la copia linkata sia legale; è il primo risultato fornito da Google).
Se invece uno è interessato alla storia della crittografia, c'è un libro davvero fantastico che è anche una ottima lettura serale o estiva. Non si tratta di un libro tecnico, è una sorta di racconto scritto in modo molto semplice, accurato ed avvincente:
ATTENZIONE: spesso le persone sono "interessate alla crittografia" perché pensano che conoscere la crittografia sia importante per soddisfare il loro vero interesse, che è quello della "sicurezza informatica" in generale. In realtà sono pochi i casi in cui conoscere approfonditamente la crittografia sia davvero "utile / importante". A meno di non essere uno studioso di crittografia.
Nella stragrande maggioranza delle applicazioni pratiche è sufficiente considerare gli algoritmi crittografici come una black box. Si sa cosa fanno, ma non come lo fanno. Inoltre, cosa ben più importante, avere un algoritmo crittografico assolutamente perfetto e inattaccabile è spesso del tutto inutile. Cito me stesso:
L’effettivo ruolo della crittografia nelle applicazioni informatiche, peraltro, è spesso frainteso. Si tende infatti a considerare il mero uso della crittografia come sinonimo di “garanzia assoluta di sicurezza”. Purtroppo questa conclusione è del tutto infondata ed in questo breve contributo cercheremo di spiegarne il motivo. In estrema sintesi, la sicurezza di un’applicazione informatica richiede la soluzione di numerosi problemi. La crittografia risolve alcuni di essi ma è del tutto inutile per altri. Nella pratica, gli attaccanti sfruttano proprio i numerosi problemi irrisolti.
Lo stesso concetto era stato spiegato, in modo infinitamente più autorevole di me, dallo stesso Ross Anderson già nel 1993:
("Why cryptosystems fail", si trova via Google Scholar http://meslab.snu.ac.kr/courses/2007f/dip/papers/12-Anderson94.pdf)
dato il mio interesse per la sicurezza informatica volevo chiederle se poteva consigliarmi del materiale su cui approfondire.uno in particolare, di riferimento sul quale iniziare a studiare (o approfondire) questi aspetti.
In questo caso è difficile rispondere, perchè la "sicurezza informatica" è un settore vastissimo e che si può studiare a molti livelli di astrazione ed approfondimento diversi. Si va dagli aspetti molto specifici per i quali sono necessarie competenze tecniche molto approfondite (come si penetra in un sistema operativo; come si attacca un sito web o una applicazione specifica; come si cercano le vulnerabilità in una applicazione o in una installazione fisica). Ci sono poi tutti i numerosi protocolli e tecnologie per la difesa (SSL/HTTPS che si fa alla fine di Reti I; varie tecnologie che si fanno a Reti II come Kerberos, VPN, OAuth etc; molte altre tecnologie che ho insegnato in corsi vari ma mai a Reti, come DNSSEC; molte altre tecnologie che personalmente conosco solo di nome).
Personalmente penso che un tema molto affascinante sia quello della nascente economia del crimine informatico. Tema che meriterebbe di essere conosciuto da tutti. Potete dare un'occhiata qui:
Nei mesi scorsi ho tenuto un corso di Sicurezza Informatica in Area di Ricerca. Nelle prime lezioni ho cercato di convincere i partecipanti che ormai gli attacchi informatici sono un vero e proprio business e quindi non devono essere considerati come una attività ludica-o-quasi. A tale scopo ho esposto i risultati di alcuni studi recenti molto interessanti sulla "underground economy" del settore....Ho inserito anche alcune slide (leggermente più tecniche) sul malware in generale. Consiglio caldamente un'occhiata all'argomento "Botnet: Torpig case study", a partire dalla numero 44. Mostra che questa botnet sostituisce tutti i programmi dei computer infettati, compresi i
browser...
Commenti