Vulnerabilità dei siti web

This paper aims to analyze the various threats that can be encountered while surfing the web, in particular it will address the issue of cyber security of websites. To do this we will start by introducing the birth of the Internet to actually understand the transformation of the web from a set of static pages, mainly textual, to a network of highly dynamic and interactive applications. The birth and developments of the Internet will be analyzed in this paper before explaining step by step (in the other chapters) the problems related to cyber security, better known as cybersecurity, which denotes a specific field of research in computer science. The beginning of the Internet occurred through the ARPANET project, an acronym for Advanced Research Projects Agency NETwork, which consisted of a computer network, theorized in 1969 by DARPAThis is the short story of how the birth of the Internet took place and evolved, but in our case it will be mainly the birth of the World Wide Web, whose conception and creation is attributed to Tim Berners-Lee, who was the first to realize a web server. The birth date of the World Wide Web is commonly indicated on August 6, 1991, the day when the English computer scientist Tim Berners-Lee published the first website, but the idea behind the WWW was born two years earlier, on March 12 of the 1989, by Berners-Lee himself, while working at CERN (Conseil Européen pour la Recherche Nucléaire) in Geneva, the most important European physics laboratory. In the beginning, however, it was only a description of an automated system to manage the large amount of information related to the scientific experiments that were taking place at CERN, where the scientific staff was around 17,000 units. His name at the time was not yet World Wide Web, but MESH. In 1990, Tim Berners-Lee published the first web page at: http://info.cern.ch/hypertext/WWW/TheProject.html. The site was visible only to CERN employees and collaborators. Housed on Berners-Lee's computer, a NeXT with a label that warned "don't turn off, it's a server!", This was the first website in history.Over the years, the security issue has changed its face and has gained much more weight since new technologies have been developed, introducing various vulnerabilities to websites. The most serious attacks expose sensitive data or allow unrestricted access to the back-end systems on which the website is run. For several governmental and non-governmental organizations, the most common attacks are denial-of-service application-level attacks. They can be used to achieve the same results as more traditional infrastructure attacks. These types of attacks are used to destroy a particular user or service to thereby gain a competitive advantage over competitors in the financial fields. Most government sites claim to be safe because they use SSL. For example, on the sites you can find a message like the following, as we read in chapter 1 page 7 in the book The Web Application Hacker's Handbook: "This site is absolutely safe. It was designed to use 128-bit Secure Socket Layer (SSL) to prevent unauthorized users from viewing your information. The goal of this paper is not to induce people to become criminals, but to give an extra tool, through the flow of explanations that will be found, to become a little more aware of the risks that are run on the net. By knowing the main threats to your data on the web, you can limit the damage.

Questo elaborato si propone di analizzare le varie minacce che si possono incontrare navigando sul web, in particolare si affronterà il tema della sicurezza informatica dei siti web. Per fare questo si inizierà con l'introdurre la nascita di Internet per capire effettivamente la trasformazione del web da insieme di pagine statiche, prevalentemente testuali, a rete di applicazioni altamente dinamiche e interattive. La nascita e gli sviluppi di Internet verranno analizzati in questo elaborato prima di spiegare passo per passo (negli altri capitoli) i problemi relativi alla sicurezza informatica, meglio nota come cybersecurity, che denota uno specifico campo di ricerca in informatica. L'inizio di Internet avvenne tramite il progetto ARPANET, acronimo di Advanced Research Projects Agency NETwork, che consisté in una rete di computer, teorizzata nel 1969 dal DARPA . Questa è la storia in breve di come è avvenuta ed è evoluta la nascita di Internet, ma nel nostro caso si tratterà principalmente della nascita del World Wide Web, la cui ideazione e creazione viene attribuita a Tim Berners-Lee, il quale realizzò per primo un server web. La data di nascita del World Wide Web viene comunemente indicata nel 6 agosto 1991, giorno in cui l'informatico inglese Tim Berners-Lee pubblicò il primo sito web, ma l'idea dietro al WWW era nata due anni prima, il 12 marzo del 1989, dallo stesso Berners-Lee, mentre lavorava al CERN (Conseil Européen pour la Recherche Nucléaire) di Ginevra, il più importante laboratorio di fisica europeo. Agli inizi però si trattava solo di una descrizione di un sistema automatizzato per gestire la grande mole di informazioni legata agli esperimenti scientifici che erano in atto al CERN, dove il personale scientifico si aggirava intorno alle 17.000 unità. Il suo nome all'epoca non era ancora World Wide Web, ma MESH. Nel 1990, Tim Berners-Lee pubblicò la prima pagina web all'indirizzo: http://info.cern.ch/hypertext/WWW/TheProject.html. Il sito era visibile solamente ai dipendenti e collaboratori del CERN. Ospitato sul computer di Berners-Lee, un NeXT con un'etichetta che avvertiva "non spegnete, è un server!", questo fu il primo sito web della storia. Con il passare degli anni il problema della sicurezza ha cambiato faccia e ha acquisito un peso molto maggiore poiché nuove tecnologie sono state sviluppate, introducendo diverse vulnerabilità ai siti web. I più gravi attacchi espongono dati sensibili o permettono di accedere senza restrizioni ai sistemi back-end su cui il sito Internet viene eseguito. Per diverse organizzazioni governative e non gli attacchi più comuni sono quelli a livello di applicazione di tipo denial-of-service. Essi possono essere utilizzati per raggiungere gli stessi risultati dei più tradizionali attacchi contro le infrastrutture. Questi tipi di attacchi vengono utilizzati per distruggere un particolare utente o un servizio per ottenere quindi un vantaggio competitivo rispetto ai concorrenti nei campi finanziari. La maggior parte dei siti governativi affermano di essere sicuri poiché utilizzano SSL. Per esempio nei siti si può trovare un messaggio come quello che segue, come si legge nel capitolo 1 pagina 7 nel libro The Web Application Hacker's Handbook: “Questo sito è assolutamente sicuro. E' stato progettato per utilizzare 128-bit Secure Socket Layer (SSL) per impedire agli utenti non autorizzati di visualizzare le tue informazioni. L'obiettivo di questo elaborato non è di indurre le persone a diventare criminali, ma di concedere uno strumento in più, tramite il flusso di spiegazioni che si troveranno, per diventare un po' più consapevoli dei rischi che si corrono in rete. Conoscendo le principali minacce per i propri dati sul Web, si possono limitare i danni.