HTTP
E' un modello basato su client/server. I client sono elementi attivi che utilizzano il protocollo http
per connettersi ai server ai quali richiedono pagine web, usano URL per identificare le risorse.
I server sono elementi passivi, rimangono in ascolto di eventuali connessioni su porte TCP.
E' un protocollo per trasmettere risorse identificate da:
URI: (Uniform Resource Identifier) nomi, indirizzi, stringhe delle risorse.=URL+URN(...Name)
URL:(Uniform Resource Locator)
Componeneti obbligatori di un URI:
– Protocollo: identifica il protocollo usato per accedere alla risorsa
– Host: identifica il sistema che ha la risorsa, per http è il server web
– Percorso: percorso dove è collocata la risorsa(directory del file system)
– File: la risorsa
in ordine abbiamo: Protocollo, Username, Password, Host, Porta, Percorso, File, Query, Frammento
Nella pila TCP/IP opera a livello application. Hyper Text Transfer Protocol consente di inviare e
ricevere riso se web. Per comunicare utillizza sessioni che avvengono con una connessione TCP al
server porta TCP 80 effettuando una richiesta che contiene un URL, poi il server produce e
restituisce il file richiesto.
RICHIESTA HTTP
RISPOSTA HTTP
METODI HTTP
In HTTP 1.0 formato da GET POST HEAD per ricevere solo INFO sull'oggetto
In HTTP 1.1 sono presenti anche PUT e DELETE
CODICI DI STATO
Sono codici per indicare al client l'esito di una richiesta. Significativa è la prima cifra: 1,2,3,4,5
HTTPS
E' una variante del protocollo HTTP che rende più sicure le connessioni con i client mediante
tecniche di cifratura dei dati. Utilizza oltre a TCP/IP anche i protocolli SSL e TLS.
L'AUTENTICAZIONE
avviene quando il browser chiede email e password, generando un header.
Per far arrivare il messaggio solo agli interessati possiamo:
– Filtro ip
– HTTP Basic Autentication (BA)
– HTTP Digest Autentication (DA)
FILTRO IP : riconoscimento del ip del destinatario. Però esisto tecniche di ip spoofing che
permettono ai malintenzionati di usare un ip fasullo per attrarre le risposte
BA: il server può rifiutare una transazione invitando il client a inviare l'identificativo dell'utente. Se
da esito positivo allora la risposta viene inviata. Possibile sniffing da parte di un terzo soggetto, e il
problema è che l'identificativo viene trasmesso in chiaro.
DA: il server non ha bisogno di ricevere la password, ma soltanto un digest (riassunto della
password) utilizzando funzioni di hash, risolvendo alcune problematiche di sicurezza.
CRITTOGRAFIA
Obbiettivo di mantenere nascosti i messaggi tra due attraverso la cifratura ovvero un processo per
rendere il messaggio incomprensibile a chi non ha i diritti per leggerlo.
PLAIN TEXT-> CHIPER TEXT
attraverso algoritmo di codifica che in fase di decodifica è speculare.
E' composta da due elementi principali:
– la regola (algoritmo)
– parametri (chiave)
Quando la chiave di cifratura coincide con quella di decifratura si dice simmetrico con la chiave
comune. Quando si utilizzano due chiavi si parla di algoritmo asimmetrico con una chiave pubblica
e una privata.
CRITTOANALILSI: studio dei metodi per ottenere le informazioni crittate.
PRINCIPIO DI KERCKHOFFS: la chiave è l'elemento fondamentale per la sicurezza di un
sistema informatico.
La crittografia consente di:
- identificare un utente
- autenticare un messaggio cioè accertasi dell'autore
- firmare digitalmente per verificare l'autore
DES(Data Encription Std)
algoritmo simmetrico che usa chiave a 64b ma 8 di controllo e la chiave prevede sedici
trasformazioni. Siccome era però vulnerabile si sono studiate nuove tecniche
3DES
3 VOLTE DES con lunghezza tripla della chiave 168b (k1,k2,k3)
IDEA (International Data Encription Algorithm)
chiave a 128b dove i vari blocchi del messaggio vengono modificati con operazioni di XOR somma
e moltiplicazione.
AES: grazie alla sua velocità di esecuzione e alle caratteristiche di robustezza.
E' un cifrario a blocchi, e vengono effettuate operazioni sui vari blocchi per rendere incomprensibile
il messaggio
ALGORITMI ASIMMETRICI
due chiavi una pubblica per la crittazione e una privata per la decrittazione
si risolvono problemi di riservatezza: solo il possessore della chiave privata può decrittarlo
si risolvono problemi dell'autenticità: la chiave pubblica è conservata in registri dove è possibile
associare chiave pubblica all'identità del proprietario
RSA
A deve inviare a B
B sceglie due n primi e li moltiplica, li comunica ad A
A critta con il risult
B decritta con i due n primi
Questo processo si può dividere in due fasi:
- generazione delle chiavi
- algoritmo crittografico
Le chiavi e i rispettivi proprietari sono associati in registri gestiti da un PKI(Public Key
Infrastructure). Il problema è che questi metodi sono troppo lenti, sono nati quindi i sistemi di
crittografia MISTI o IBRIDA, viene utilizzata la chiave pubblica solo per comunicare la chiave
segreta (chiave di sessione) unendo vantaggi di crittografia simmetrica e asimmetrica
FIRME DIGITALI
per rendere più efficienti si utilizza una funzione di hash attraverso la quale si calcola una stringa
identificativa, FINGERPRINT o message digest. Esistono diversi algoritmi:
MD5(Message Digest 5) dove dopo 4 fasi il messaggio è composto da una sintesi del messaggio e il
fingerprint
SHA(Secure Hash Algorithm): modifiche del MD4
CERTIFICATI DIGITALI
sono file con validità temporanea usati per garantire l'identità di un soggetto. All'interno contiene la
chiave pubblica ed è gestito dalla PKI che crea distribuisce e revoca certificati di chiave pubblica