Università Roma Tre

- Introduzione al corso
- Introduzione alla sicurezza informatica e terminologia
- Vulnerabilità del software input fidato e non fidato, validazione dell'input. Vulnerabilità di applicazioni scritte in linguaggi interpretati, code injection. Injection in pagine web: XSS. Cross site request forgery. OWASP. Esempio di sito vulnerabile a sql injection.
- Attacchi di tipo buffer overflow. Exploitation: privilege excalation, intrusioni via rete tramite servizi aperti, intrusione via documenti non fidati (via email, via web o altro).
esempio di codice vulnerabile a buffer overflow e relativo exploit
- Vulnerabilità delle reti: sniffing, mac flood, ARP poisoning, vulnerabilità del DNS, attacco di Kaminsky. TCP session hijacking, attacchi MitM, DOS e Distributed DoS, Route hijacking.
- Pianificazione della sicurezza: contenuti del piano di sicurezza, analisi dei rischi.
- Principi di progettazione di politiche e meccanismi
- Modelli: AAA, confinamento, DAC, MAC, access control matrix
- Considerazioni sui sistemi per la rilevazione automatica dei problemi
- Sicurezza dei sistemi: principi generali (passwords e vulnerabilità, metodologia di hardening, assessment e auditing). unix (controllo di accesso discrezionario, sicurezza nel filesystem, autenticazione, PAM, syslog)
- Sicurezza delle reti: sicurezza a livello 1 e 2, firewall stateless e stateful, linux netfilter ed esempi di configurazioni, proxy e loro vulnerabilità. Suddivisioni di carico e full high-availability. Intrusion detection systems di rete.
- Tecniche crittografiche: richiami di crittografia (hash, simmetrica, asimmetrica, MAC, firma digitale), attacchi birthday, rainbow, qualità delle chiavi, generazione di numeri pesudo-casuali.
- Protocolli di autenticazione e di scambio di chiavi. Attacchi replay e reflection. Nonces. Perfect Forward Secrecy. Diffie-Helman.
- Certificati, certification authority, public key infrastructure e loro vulnerabilità. Applicazioni: Porotocolli ssl, tls, ssh, virtual private network, ipsec, ecc. Protocolli di autenticazione punto-punto e in rete locale. radius e vulnerabilità. Altre applicazioni.
- Authenticated Data Structures
- Distributed Ledger Technologies and Bitcoin
- Smart contracts
- Cybersecurity nelle grandi organizzazioni

Dispense del corso.