Resumos

Apontamentos universitários em formato Markdown do Obsidian.

Separazione dei Privilegi (Privilege Separation)

download Descarregar MD

Un privilegio è la capacità di accedere o modificare una risorsa. Se un'applicazione compromessa ha privilegi elevati, l'attaccante potrà manipolare l'intero sistema. La Privilege Separation mira a ridurre questo rischio aumentando la granularità del controllo degli accessi.

1. Principio del Minimo Privilegio

Il concetto cardine è: "Ogni modulo di sistema dovrebbe avere solo i privilegi minimi necessari per compiere il proprio lavoro".

  • Dividendo l'applicazione in moduli isolati, se un attaccante controlla il modulo $M_1$, potrà accedere solo alle risorse $D_1$ associate ad esso, senza compromettere il resto del sistema.

2. Struttura di Controllo

Il modello standard prevede un Reference Monitor che intercepte ogni richiesta di accesso a una risorsa. Il monitor valuta:

  1. Il processo richiedente.
  2. La richiesta specifica.
  3. La policy di sicurezza.

3. Meccanismi di UNIX

In UNIX, i soggetti attivi sono i principals (processi identificati da User ID - UID e Group IDs - GID).

  • Root (UID 0): Può bypassare quasi tutti i controlli.
  • Oggetti protetti: File, socket, memoria, altri processi.

Access Control List (ACL) e Permessi

Il kernel consulta le ACL per decidere se un processo può operare su un oggetto.

  • Inode: Struttura associata a file/directory contenente UID proprietario, GID e permessi (rwx) per proprietario, gruppo e altri (rappresentati in ottale, es. 644).
  • chroot: Cambia la directory root apparente per un processo, confinandolo in una porzione del file system.
  • File Descriptors: Funzionano come ticket di accesso ottenuti all'apertura del file. Possono essere passati tra processi tramite socket.

4. Architetture a confronto: Apache vs OKWS

Il problema di Apache

In architetture come Apache, se un componente (es. un modulo PHP) è compromesso tramite SQL Injection o Buffer Overflow, l'attaccante ottiene i privilegi del server web, potendo accedere a sorgenti, file nascosti o eseguire codice remoto.

OKWS (OK Web Server)

Progettato per la massima sicurezza (siti di dating), OKWS divide le funzionalità in moduli specializzati:

  • Dispatcher (okd): Gestisce le richieste.
  • Logger (oklogd): Registra i login.
  • Template Generator (pubd): Genera le pagine.
  • Launcher (okld): L'unico che opera come root per avviare gli altri moduli.
  • dbproxy: Un intermediario critico che isola il database.

Vantaggi di OKWS:

  • Ogni modulo ha un UID/GID distinto ed è confinato da chroot.
  • Comunicazione tramite UNIX domain socket.
  • Il dbproxy permette solo query predefinite tramite template SQL e autorizza le operazioni tramite token (20 byte). Se un modulo è compromesso, può eseguire solo le query associate al suo token.

5. Capabilities

Mentre le ACL si basano sull'identità dell'utente (chi sei?), le Capabilities si basano sul possesso di un ticket (cosa hai?).

  • Capability: Una sequenza casuale di bit che funge da gestore per una risorsa.
  • Vantaggi: Il monitor non deve conoscere l'identità del processo; le capabilities possono essere trasferite a runtime.
  • Svantaggi: La revoca è molto più complessa rispetto alle ACL.

6. Role-Based Access Control (RBAC)

Utilizzato tipicamente nei DBMS, introduce una gerarchia di ruoli. Gli utenti non ricevono permessi direttamente, ma vengono assegnati a ruoli, semplificando la gestione di sistemi complessi.