Un bridge tra sistemi di bordo e di terra per prevenire minacce informatiche alla sicurezza delle infrastrutture critiche dei trasporti ferroviari

Il progetto di tesi nasce dall’interesse e dalla passione verso il mondo della Cybersecurity, che da sempre segna il mio percorso accademico e di vita, ma che durante questo ultimo anno di università ha avuto particolare rilevanza. Il progetto è stato svolto con il supporto e la supervisione del team Railway dell’azienda ALTEN Italia presso la sede di Bologna. Il lavoro di tesi mira allo sviluppo di un componente software che rappresenta un livello aggiuntivo di sicurezza nella comunicazione tra sistemi di bordo e di terra. In particolare, il progetto si pone come obiettivo la creazione di un Bridge, ovvero un componente software indipendente e configurabile che si interfaccia sia con il client che con il server, con lo scopo di garantire autenticità e cifratura dei messaggi scambiati tra le due entità. Inoltre, la potenza del Bridge sta nel fatto che nasce come possibile soluzione ai problemi di sicurezza informatica in ambito ferroviario, ma la sua applicabilità può essere estesa anche ad altri settori in cui sia presente una comunicazione client/server da rendere sicura. Infatti, tale software risulta particolarmente flessibile e adattabile, attraverso l’impostazione a priori di parametri di configurazione, in base al tipo di comunicazione che si desidera implementare tra le due entità. Per questo motivo, si ritiene che la forza del progetto sia la possibilità di fornire una soluzione software per proteggere l’infrastruttura critica dei trasporti ferroviari da eventuali minacce informatiche, ma anche la capacità adattiva del Bridge, in grado di svolgere le sue funzioni di sicurezza in un ampio ventaglio di ambiti di applicazione.

Analisi e implementazione di un sistema di autorizzazione compatibile con token OAuth 2.0 e certificati VOMS

Il Worldwide LHC Computing Grid (WLCG) è una collaborazione internazionale costituita da decine di centri di calcolo distribuiti globalmente, la cui missione consiste nell'elaborazione delle grandi quantità di dati prodotti dai maggiori esperimenti di Fisica delle Alte Energie, in particolare quelli al CERN di Ginevra. Uno di questi centri di calcolo è ospitato presso il CNAF dell'Istituto Nazionale di Fisica Nucleare a Bologna, che contribuisce anche allo sviluppo di middleware per la gestione dell'infrastruttura. Molti componenti di tale middleware, che hanno funzionalità e scopi diversi, richiedono un servizio di autorizzazione versatile e compatibile con i meccanismi di autenticazione attualmente in uso, basati su token OAuth 2.0 e su certificati VOMS Proxy. In questa tesi si analizzerà l'architettura e l'implementazione di un proof-of-concept di un sistema di autorizzazione che soddisfi queste necessità, enfatizzando l'integrazione delle tecniche di autenticazione citate. Per dimostrare la sua versatilità, verrà illustrato il processo di interfacciamento con un componente middleware attualmente in sviluppo al CNAF. Il risultato finale ottenuto è un sistema che rispetta i vincoli richiesti e si integra facilmente con servizi eterogenei.

Cyber threat intelligence: identifying hardcoded secrets in GitHub

The usage of version control systems and the capabilities of storing the source code in public platforms such as GitHub increased the number of passwords, API Keys and tokens that can be found and used causing a massive security issue for people and companies. In this project, SAP's secret scanner Credential Digger is presented. How it can scan repositories to detect hardcoded secrets and how it manages to filter out the false positives between them. Moreover, how I have implemented the Credential Digger's pre-commit hook. A performance comparison between three different implementations of the hook based on how it interacts with the Machine Learning model is presented. This project also includes how it is possible to use already detected credentials to decrease the number false positive by leveraging the similarity between leaks by using the Bucket System.

ricerca di vulnerabilità in applicazioni apple su dispositivi mobile

Le app mobile sono sempre più pervasive nella vita quotidiana delle persone: gli smartphone hanno rivoluzionato il modo di interagire degli utenti con le varie organizzazioni. Che sia per l'accesso al proprio conto corrente, per la visualizzazione delle notizie quotidiane o per il semplice svago, gli utenti usano sempre più il mondo mobile come canale privilegiato per la fruizione dei contenuti digitali. Il sempre maggior successo delle applicazioni mobile ha sempre più spostato l'attenzione dei malintenzionati sugli smartphone, che sono diventati così uno degli obiettivi più popolari per i cyberattacchi: ciò comporta nuove sfide per le organizzazioni al fine di garantire la sicurezza di dati e sistemi. Risulta fondamentale per un organizzazione in particolare mantenere un controllo sulle proprie applicazioni mobile: configurazioni errate, errori di programmazione, inclusione di librerie software vulnerabili o malevoli e la presenza di credenziali cablate nel codice o nelle configurazioni rappresentano un notevole rischio per la confidenzialità, l'integrità e disponibilità di dati e sistemi. Se risulta fondamentale nello sviluppo un approccio che utilizzi i principi della Security by Design, risulta ancora più importante un presidio costante sulle applicazioni e la costruzione di un ciclo di vita del software sicuro (SSDLC). A tal fine la proposta del progetto di tesi riguarda l'analisi delle principali minacce e vulnerabilità delle applicazioni mobile e lo sviluppo di uno strumento di analisi dei pacchetti mobile (su piattaforma Android o iOS) al fine di identificare possibili rischi prima della pubblicazione dei pacchetti sugli store ufficiali.