# data[].attributes.body
reti LAN

reti WAN

# data[].attributes.body
dettagliare la struttura interna della rete

• ipotesi iniziali e aggiuntive (dimensioni, costi, scalabilità, reti preesistenti);

• topologia (stella o stella estesa);

• mezzi trasmissivi (cavi in rame, fibre ottiche, wireless) con le loro caratteristiche (velocità, distanze) e tecniche di accesso alla rete (802.3 Ethernet, 802.11 Wi-Fi);

• schema logico dell’infrastruttura di rete progettata indicando le caratteristiche hardware e software dei dispositivi (PC, stampanti di rete, server, wireless terminal) e degli apparati di rete (switch, router, access point);

• piano di indirizzamento IPv4.

# data[].attributes.body
descrivere come si intendono gestire le collaborazioni con l'esterno.

Se la rete ha più sedi messe in rete con clienti, fornitori o aziende partner, bisogna progettare reti WAN di tipo extranet.

Creazione di una VPN (Remote-access o Site-to-site)

Progettazione messa in sicurezza attraverso modello AAA

Scelta del tipo di server (NAS, AAA)

Scelta dei protocolli necessari (IPSec, SSL/TLS, MPLS etc)

# data[].attributes.body
definizione servizi interni per il funzionamento della rete

definizione servizi esterni offerti agli utenti attraverso Internet

# data[].attributes.headline
problematiche sulla sicurezza della rete aziendale

# data[].attributes.subject
problematiche sulla sicurezza della rete aziendale

# data[].attributes.body
A seconda degli scenari proposti si dovranno implementare i servizi di rete opportuni e garantirne la sicurezza.

Le principali parti che vanno sviluppate sono:

• la collocazione dei server dedicati o virtuali (standalone, data center, server farm, hosting e housing, cloud);

• l'implementazione dei server role principali (AD DS, DHCP, DNS, ecc.);

• la progettazione dei servizi integrati per la sicurezza (proxy, firewall, NAT e DMZ);

• le applicazioni e i protocolli usati dai client per accedere ai servizi e dai server per offrire i servizi;

• i sistemi operativi (per desktop, server o installati su apparati) presenti in rete;

• gli strumenti scelti per la gestione della rete (network management tools);

• gli strumenti scelti per garantire la sicurezza della rete (controllo degli accessi, crittografia delle trasmissioni, filtraggio dei pacchetti).

# data[].attributes.headline
Domande da fare dopo la lettura del testo

# data[].attributes.subject
Domande da fare dopo la lettura del testo

# data[].attributes.headline
HARDWARE E SOFTWARE DI UNA LAN AZIENDALE

# data[].attributes.subject
HARDWARE E SOFTWARE DI UNA LAN AZIENDALE

# data[].attributes.attachment_link.title
Hardware e software di Lan aziendale.docx

# data[].attributes.headline
Il servizio di assegnazione della configurazione di rete

# data[].attributes.subject
Il servizio di assegnazione della configurazione di rete

# data[].attributes.attachment_link.title
Il servizio di assegnazione della configurazione di rete.docx

# data[].attributes.body
https://docs.google.com/document/d/1qi6hjQXrCJOa2NqMr3SoS2VY9GxZvx2sWSDBGwJUhuc/edit?usp=sharing

# data[].attributes.attachment_link.title
Il BYOD (Bring Your Own Device, ovvero "porta il tuo dispositivo (telefono, tablet, notebook) a scuola e usalo per la didattica") viene espressamente previsto dal Piano Nazionale Scuola Digitale (PNSD) come strumento in grado di favorire lo sviluppo di una didattica digitale basata sull'integrazione tra le dotazioni informatiche scolastiche e i dispostivi personali degli alunni e dei docenti

# data[].attributes.attachment_link.description
Get access to files anywhere through secure cloud storage and file backup for your photos, videos, files and more with Google Drive.

# data[].attributes.attachment_link.title
2019 - Sessione straordinaria Ospedale su tre piani

# data[].attributes.body
-	PAZIENTI
-	MEDICI 
-	FARMACIA
-	LOCALE TECNICO

# data[].attributes.body
Per sicurezza, l’ospedale pone delle serie restrizioni ai medici: possono solo usare i tablet forniti loro dall’ospedale stesso e non dispositivi propri, devono identificarsi quando accedono al Wi-Fi dell’ospedale e non devono poter accedere a siti web non autorizzati.

# data[].attributes.body
DAL TESTO SI EVINCE CHE SI VUOLE ADOTTARE UNA SOLUZIONE INTERNA.

L’azienda ospedaliera dispone di un locale tecnico al piano seminterrato e intende adottare una soluzione interna.

# data[].attributes.body
NON CI SONO LOCALI ESTERNI DA CONNETTERE GEOGRAFICAMENTE

QUINDI SI TRATTA DELLA CREAZIONE DI UNA RETE LAN

TOPOLOGIA A STELLA ESTESA

# data[].attributes.body
Una linea in fibra FTTB (Fiber to thè Building o Fiber to thè Basement) collegherà la LAN dell’ospedale alle dorsali di Internet.

# data[].attributes.headline
COLLEGAMENTO VERTICALE INTERNO TRA I PIANI

# data[].attributes.subject
COLLEGAMENTO VERTICALE INTERNO TRA I PIANI

# data[].attributes.body
Dallo switch principale partirà la dorsale verticale in Ethernet che va ai piani.

# data[].attributes.body
Sempre al piano seminterrato è posta la farmacia che avrà 3 postazioni fisse, una stampante di rete e un access point (ma nessun tablet in dotazione).

# data[].attributes.body
Dovranno essere installati 2 access point per piano (uno per reparto), con funzioni di routing, che assegnino gli indirizzi IP ai tablet in DHCP.

Ogni access point avrà un pool di indirizzi diversi da assegnare ai tablet per evitare duplicazioni.

# data[].attributes.body
La WLAN tra tablet e access point sarà realizzata con tecnologia 802.11n (256 QAM in dual band a 2,4 GHz e a 5,2 GHz) che consente migliori prestazioni anche in presenza di altri dispositivi.

# data[].attributes.body
Il servizio non richiede alte velocità di trasmissione (la 802.11n arriva fino a 450 Mbps) altrimenti sarebbe stato meglio puntare sulla 802.11ac (una sola banda a 5,2 GHz) che arriva fino 1,3 Gbps.

Avendo poi cura di configurare canali diversi per i due access point di reparto, si evitano sovrapposizioni di banda.

# data[].attributes.body
L’SSID può essere trasmesso in chiaro avendo previsto altri sistemi per garantire la sicurezza della rete.

# data[].attributes.body
Ogni piano avrà un armadio rack a muro che farà da centro stella di piano e conterrà lo switch da cui parte la dorsale orizzontale del piano stesso verso gli access point e gli hub della saletta medica di reparto dotata di 2 postazioni fisse e una stampante di rete.

# data[].attributes.body
L’intera rete sarà cablata con cavi UTP Cat 6 e switch 1000BASE-TX (Gigabit Ethernet) e 10GBASE-T (10 Gigabit Ethernet) per i piani e cavi FTP Cat 7 e switch 10GBASE-T per le dorsali verticali e il piano seminterrato. I piani 2 e 3 avranno struttura identica al piano 1.

# data[].attributes.body
CONSERVAZIONE TABLET

Si può ipotizzare che ogni medico tenga in custodia il suo tablet in un cassetto chiuso a chiave.

COLLEGAMENTO DEI TABLET

Il medico, quando prende servizio, si reca nella sala medica del reparto e ritira il tablet dal proprio cassetto di cui possiede la chiave. All’accensione del tablet, l’APP del servizio preinstallata in esecuzione automatica, tenterà di collegarsi alla rete Wi-Fi dell’ospedale tramite l’access point di reparto.

Si può prevedere di inserire nella configurazione del router un filtro basato su MAC ADDRESS.

Solo i tablet possono collegarsi.

L’access point verificherà l’indirizzo MAC e chiederà username e password:

• l’indirizzo MAC per avere la certezza che si stia usando il tablet dell’ospedale e nessun altro dispositivo possa accedere alla rete interna dell’ospedale tranne quelli che hanno gli indirizzi MAC consentiti dall’amministratore di rete;

• le credenziali per avere la certezza che sia il tal medico a usare il dispositivo. Il server del servizio verificherà le credenziali (eventualmente appoggiandosi a un server AAA) e consentirà all’APP l’accesso al Wi-Fi, ottenendone l’indirizzo IP con lease per l’intera giornata, e al database dei pazienti del medico e dei farmaci della farmacia.

# data[].attributes.headline
IMPOSSIBILITA’ DI CONNETTERSI A SITI WEB NON AUTORIZZATI: PROXY

# data[].attributes.subject
IMPOSSIBILITA’ DI CONNETTERSI A SITI WEB NON AUTORIZZATI: PROXY

# data[].attributes.body
Dai tablet, oltre a utilizzare l’APP, il medico potrà consultare la propria posta e in generale navigare in rete ma non sarà possibile accedere a siti web non autorizzati.

A questo provvederà il proxy server che fa da gateway con funzione di firewall (bloccando indirizzi, applicazioni, tipi di trasmissioni) con le ACL previste dall’amministratore di rete in base alla policy aziendale.

Ipotizziamo la presenza di 2 PC fissi e una stampante di rete nelle salette mediche di ogni reparto, utili ai medici per accedere alle cartelle cliniche dei pazienti o produrre documentazione al termine delle visite. I PC verranno configurati con le stesse restrizioni dei tablet. Al termine del turno lavorativo, il medico riporrà il tablet nel suo cassetto.

# data[].attributes.body
I medici farmacisti avranno l’APP installata sui loro PC e quando prendono servizio anche loro la eseguono.

L’APP chiederà le credenziali di accesso (username e password). II server del servizio verificherà le credenziali (eventualmente appoggiandosi a un server AAA) e consentirà l’accesso al database dei farmaci a disposizione della farmacia interna.

Questo consentirà immediatamente al farmacista di vedere la richiesta inserita dal medico (l’APP consentirà l’attivazione delle notifiche) e di approntare la prescrizione e aggiornare il database. L’APP è la stessa del medico, le credenziali diverse mostreranno un diverso menù al farmacista e l’accesso a informazioni diverse. Ipotizziamo la presenza di un access point anche in farmacia, con due tablet a disposizione dei medici farmacisti, utili per la mobilità all’interno della zona magazzino medicinali.

# data[].attributes.headline
USO DI UNA MDM IN CLOUD PER LA GESTIONE UNIFICATA DEI DISPOSITIVI MOBILI

# data[].attributes.subject
USO DI UNA MDM IN CLOUD PER LA GESTIONE UNIFICATA DEI DISPOSITIVI MOBILI

# data[].attributes.body
Al fine di garantire una gestione unificata, il monitoraggio e l’aggiornamento dei dispositivi mobili in dotazione, per poter applicare policy di sicurezza dei dispositivi (email, navigazione, ecc.), distribuire software e APP ed eseguire la risoluzione dei problemi in remoto e in tempo reale sui dispositivi gestiti, occorre servirsi di una piattaforma di gestione dei dispositivi mobili (MDM: Mobile Device Management).

Le scelte in locale implicherebbero tempi lunghi per l’aggiornamento dei dispositivi e renderebbero più complessa la gestione e il monitoraggio.

Si fa quindi una scelta in cloud esclusivamente per la gestione e la protezione dei tablet. Il resto dei servizi rimane in locale, dal DBMS al servizio di gestione delle terapie prescritte dai medici.

La soluzione proposta consiste nell’acquisto di tablet normalmente in commercio con sistema operativo Android e l’utilizzo di servizi MaaS (Mobility as a Service) per l’MDM. La soluzione consente la gestione e la messa in sicurezza di tutti i dispositivi di un’azienda, nonché delle applicazioni e dei contenuti in essi incorporati. Inoltre mette a disposizione un contenitore sicuro che tiene tutti i file aziendali separati dal resto delle applicazioni del dispositivo. In questo modo, i dipendenti possono lavorare in sicurezza senza compromettere la sicurezza dei dati e dei dispositivi. Ciò semplifica anche la gestione dell’IT, poiché si deve solo monitorare l’APP del contenitore e non l’intero dispositivo.

# data[].attributes.body
Si mettono inoltre in sicurezza i server con una DMZ (DeMilitarizated Zone) di tipo a vicolo cieco. Allo scopo utilizziamo in ingresso alla rete un proxy server avente lo scopo di separare fisicamente la rete aziendale dalla sala server in DMZ.

# data[].attributes.headline
le possibili soluzioni ed i protocolli utilizzabili per impedire il furto di dispositivi diversi dai tablet fomiti al personale medico, per garantire l’accesso solo tramite autenticazione delle diverse categorie di utenti, per garantire la continuità ed affidabilità del servizio. 

# data[].attributes.subject
le possibili soluzioni ed i protocolli utilizzabili per impedire il furto di dispositivi diversi dai tablet fomiti al personale medico, per garantire l’accesso solo tramite autenticazione delle diverse categorie di utenti, per garantire la continuità ed affidabilità del servizio. 

# data[].attributes.body
Il modo più semplice per impedire l’uso di dispositivi diversi dai tablet forniti al personale medico consiste nell’utilizzare tecniche di MAC filtering associate alle schede di rete Wi-Fi. L’access point verificherà l’indirizzo MAC e consentirà l’accesso alla rete ai soli dispositivi consentiti dall’amministratore di rete. Il MAC filtering è però poco sicuro: attacchi di tipo spoofing (falsificazione dell’identità) e m an in thè m id d le (a tablet e access point viene fatto credere di comunicare direttamente tra di loro) possono violare la privacy delle comunicazioni. La presenza di dati sensibili impone l’utilizzo di tecniche più sicure. È consigliabile configurare il Wi-Fi con crittografia WPA2-Enterprise che utilizza un server di autenticazione (protocollo AAA) di tipo RADIUS in grado di fornire un livello di sicurezza assai superiore. Il server può essere messo in cloud e il collegamento reso sicuro con una VPN di tipo Remote-access utilizzando la suite di protocolli IPsec.

Al fine di garantire la continuità e l’affidabilità del servizio bisogna: • dotarsi di un gruppo di continuità (UPS) per evitare mancanza di alimentazione agli apparati di rete; • avere due linee con tecnologie diverse se si utilizza il cloud, per esempio una veloce in fibra (FTTH) e una di riserva su doppino (ADSL tradizionale); • avere server ridondanti e bilanciabili che consentano di suddividere il carico di lavoro; • garantire la business continuity mediante soluzioni di backup dedicate e prevedere procedure di ripristino (Disaster Recovery Pian). A livello di sicurezza software possiamo pensare a più soluzioni. A livello applicativo, si potrà accedere alla pagina solo dopo aver fatto il login e inserito una password. Ogni utente apparterrà a una specifica categoria (medici o farmacisti) e questo gli permetterà di avere accesso solo a certe funzionalità. Un ulteriore grado di sicurezza può essere definito a livello di database tram ite la funzione GRANT che perm etterà l’accesso ad alcune tabelle solo agli utenti autorizzati.

# data[].attributes.headline
La rivoluzione digitale ha profondamente modificato la gestione delle attività economiche portando ad una crescente richieste di servizi di natura informatica. Il candidato, dopo aver analizzato le esigenze delle imprese che devono gestire le proprie attività in modalità digitale, presenti i principali paradigmi di servizi cloud (XaaS) disponibili, delineando le caratteristiche di ciascuno. 

# data[].attributes.subject
La rivoluzione digitale ha profondamente modificato la gestione delle attività economiche portando ad una crescente richieste di servizi di natura informatica. Il candidato, dopo aver analizzato le esigenze delle imprese che devono gestire le proprie attività in modalità digitale, presenti i principali paradigmi di servizi cloud (XaaS) disponibili, delineando le caratteristiche di ciascuno. 

# data[].attributes.body
Negli ultimi anni si assiste a una crescita esponenziale delle richieste di servizi informatici da parte delle aziende con la conseguente necessità di acquistare apparecchiature e software costosi.

Molto spesso questi software e hardware vengono utilizzati saltuariamente e diventano velocemente obsoleti, con la conseguenza di dover effettuare costosi aggiornamenti.

Anche la quantità di informazioni da gestire aumenta, e molto spesso c’è la necessità di incrementare la potenza di calcolo e di memorizzazione degli elaboratori presenti per far fronte a crescenti esigenze.

Per risolvere questi problemi la soluzione attualmente più diffusa è quella di gestire risorse dati e applicazioni in remoto: all’utente finale può non interessare dove si trovino, l’importante è che funzionino. Si parla allora di un luogo generico, a cui accedere tramite la rete (che normalmente viene mostrata come nuvola, in inglese cloud) dove possiamo trovare delle applicazioni da usare solo quando ci servono o dello spazio di memoria praticamente infinito dove memorizzare i nostri dati.

In pratica possiamo dire che il cloud computing è la possibilità di distribuire e utilizzare servizi IT attraverso il web.

Più specificatamente, con cloud computing si intende un insieme di tecnologie informatiche che permettono di memorizzare e/o archiviare e/o elaborare dati, grazie all’utilizzo di risorse hardware e/o software distribuite sulla rete Internet attraverso un’architettura di tipo Client/Server, rendendo disponibili all’utilizzatore le risorse come se fossero implementate da sistemi (server o periferiche personali) standard.

Con il cloud computing, i sistemi e le applicazioni informatiche che consentono alle aziende di funzionare sono concentrati in pochi grandi data center messi a disposizione degli utenti, in maniera dinamica, elastica e, a richiesta, sotto forma di servizio in abbonamento (subscription) o a consumo.

In questo modo si abbattono i costi degli investimenti nei centri informatici (CED) delle aziende e degli enti pubblici, e al contempo le organizzazioni, grandi e piccole, possono accedere rapidamente a grandi risorse di qualsiasi tipo (calcolo, memorizzazione, ecc.) per mezzo della virtualizzazione, abbattendo quindi completamente tutti i costi delle infrastrutture fisse (acquisto, mantenimento, potenziamento, ecc.). L’utente finale, infatti, pagherà l’uso delle risorse virtuali solo all’atto del loro effettivo utilizzo. Così, sono superate le tradizionali barriere alla realizzazione dei sistemi informativi, quali i costi e la complessità, mentre gli utilizzatori dei sistemi informatici possono concentrarsi sulla propria missione più strategica (core business).

In base alle varie componenti presenti, si possono realizzare diverse tipologie di servizi (o funzionalità) di cloud computing:

-        SaaS (Software as a Service): consiste nell’utilizzo di programmi installati su un server remoto, cioè fuori dalla LAN aziendale, spesso attraverso un web server;

-        DaaS (Data as a Service): con questo servizio vengono messi a disposizione via web solamente i dati, ai quali gli utenti possono accedere tramite qualsiasi applicazione come se fossero residenti su un disco locale;

-        HaaS (Hardware as a Service): con questo servizio l’utente invia i dati in remoto affinché vengano elaborati da computer messi a disposizione e infine restituiti all’utente in forma di risultato dell’elaborazione effettuata;

-        PaaS (Platform as a Service): invece di uno o più programmi singoli, viene eseguita in remoto una piattaforma software che può essere costituita da diversi servizi, programmi, librerie e così via;

-        IaaS (Infrastructure as a Service): utilizzo di risorse hardware in remoto. Questo tipo di cloud è quasi un sinonimo di grid computing, ma con la caratteristica imprescindibile che le risorse vengono utilizzate on demand nel momento in cui una piattaforma ne ha bisogno, e non vengono assegnate a prescindere dal loro utilizzo effettivo.

La possibilità offerta dal cloud computing di utilizzare le tecnologie informatiche con un modello a consumo o ad abbonamento (si parla anche di modello a servizio) libera l’amministrazione da tutto ciò che riguarda la manutenzione, l’aggiornamento e la distribuzione dei sistemi informativi, rapportando il pagamento all’erogazione di un servizio. Nella tabella seguente è mostrato un confronto tra la soluzione cloud e l’approccio tradizionale all’IT nel caso, per esempio, della Pubblica Amministrazione.

# data[].attributes.headline
VANTAGGI E SVANTAGGI SOLUZIONI INTERNE E SU CLOUD

# data[].attributes.subject
VANTAGGI E SVANTAGGI SOLUZIONI INTERNE E SU CLOUD

# data[].attributes.attachment_link.title
2019 - Sessione suppletiva Infoservice ticketing

# data[].attributes.headline
FASE DI ANALISI PER AGGIUNGERE LE IPOTESI AGGIUNTIVE

# data[].attributes.subject
FASE DI ANALISI PER AGGIUNGERE LE IPOTESI AGGIUNTIVE

# data[].attributes.body
 Business needs (ROI return of investment, Normativa (obbligatorie come il GDPR, oppure volontare ISO …, Competitività)

 Requisiti tecnici (scalabilità, throuput, sicurezza, gestione della rete )

# data[].attributes.body
La ditta è una ditta esistente che già opera sul mercato con una cinquantina di dipendenti.

 Vuole ottimizzare un servizio che già offrono, ovvero assistenza hardware e software e consulenza informatica.

 Il servizio che vogliono implementare è un servizio di ticketing.

 Si suppone che siano in possesso di un server dove hanno registrato già i loro clienti.

 Il servizio richiesto riguarda solo una parte dei servizi che offrono

 La ditta opera a livello regionale

 I tecnici possono effettuare due tipi di interventi: da remoto e in loco per cui si possono spostare.

# data[].attributes.body
Medio piccola: per l’azienda lavorano una cinquantina di tecnici specializzati

# data[].attributes.body
A livello regionale

# data[].attributes.body
Ha una sola sede

# data[].attributes.headline
Dove operano i dipendenti? In sede oppure anche in postazioni esterne?

# data[].attributes.subject
Dove operano i dipendenti? In sede oppure anche in postazioni esterne?

# data[].attributes.body
Possono effettuare lavori in loco per cui si possono spostare dalla sede interna

# data[].attributes.body
Un numero abbastanza alto ma non elevatissimo

# data[].attributes.body
La soluzione già presente in azienda è una soluzione interna con una sala server interna probabilmente per la presenza dei tecnici in sede, i cui vantaggi sono sicuramente:

o Essere l’unico gestore dei server

o Poter garantire la sicurezza in modo autonomi ed intervenire in caso di problemi, guasti e malfunzionamenti

o Poter proteggere la propria rete senza aspettare l’intervento di altri soggetti (casi di attacchi ddos)

# data[].attributes.body
CLIENTI: si collegano al sito internet dell’azienda per registrarsi e inviare la richiesta di intervento aprendo un ticket

HELPDESK: prende in carico le richieste dei clienti e gestisce il ticket.

TECNICO: si collega con un suo dispositivo e controlla le richieste di intervento, aggiornandole sia in caso di risoluzione che non.

# data[].attributes.body
Implementazione di una rete LAN con topologia a stella.

La gestione dei dati dei clienti e dei dati contabili dell’azienda devono essere necessariamente separate.

La InfoService dispone di due server,

 il Server-1 dedicato alla gestione contabile ed amministrativa dell'azienda e

 il Server-2 che gestisce il sito web aziendale, la posta elettronica e il servizio FTP e sul quale viene implementato anche il sistema di ticketing (TicketSys)

# data[].attributes.body
Il Server-2 è raggiungibile dall'esterno tramite Internet e per questo è esposto ad eventuali attacchi hacker. Per impedire che un eventuale attacco possa compromettere l'intera rete aziendale, è stata creata una zona protetta (DMZ) che ospita il Server-2.

# data[].attributes.body
La protezione è assicurata da un firewall con tre interfacce (3 legs ovvero "a tre gambe") che collegano rispettivamente:

1. La rete Internet (Wan)

2. la Lan interna (Il Server-1, i pc, le stampanti, ecc.)

3. la DMZ con il Server-2 esposto ad Internet

Il firewall permette al personale che lavora sulla Lan interna di collegarsi ad Internet e di accedere velocemente alla DMZ ma controlla fortemente il traffico dalla DMZ alla Lan interna, proteggendo quest'ultima da intrusioni indesiderate sul Server-2

# data[].attributes.body
Per la protezione dei dati relativi al sistema di ticketing così come per la protezione dei dati del sito web aziendale, sul web server Apache è stato abilitato il protocollo HTTPS. HTTPS, acronimo di Hypertext Transfer Protocol over SSL, è una variante sicura e certificata del protocollo HTTP. Come HTTP lavora con un’architettura client/server in cui un client (il browser di un utente) esegue una richiesta e il server (il sito web) restituisce la risposta, ma usando il livello SSL, acronimo di Secure Sockets Layer, cripta i dati e li rende indecifrabili. In questo modo, HTTPS garantisce che solamente il client e il server siano in grado di conoscere il contenuto della comunicazione e impedisce ad altri soggetti di leggere e modificare i dati che vengono scambiati.

# data[].attributes.body
In un qualsiasi sistema software il meccanismo di autenticazione è fondamentale per la sicurezza e la complessità delle strategie adottate varia in base al contesto, all'importanza dei dati da proteggere e alla pericolosità e all'impatto di eventuali violazioni. I metodi di autenticazione sono molteplici e vanno dal login con username e password ai sistemi di riconoscimento biometrici (impronte digitali, voce, ecc) e all'uso di smart card e di token. Per accedere al sistema, TicketSys prevede una semplice procedura di login che verifica le credenziali dell'utente e riconosce il ruolo (cliente, dirigente, addetto helpdesk o tecnico) che egli riveste. A seconda del ruolo, l'utente potrà utilizzare tutte le funzionalità del software, o potrà utilizzarne solo alcune. Un filtro importante per la sicurezza, è ovviamente previsto al momento della registrazione dell'utente che non è automatica ma viene convalidata da InfoService sulla base del controllo della mail aziendale. TicketSys prevede che le password siano robuste (con una lunghezza adeguata e composta da maiuscole, minuscole, numeri e simboli di interpunzione) e vengano cambiate obbligatoriamente ogni 6 mesi

# data[].attributes.headline
SICUREZZA LATO SOFTWARE WEB: SESSIONI TEMPORANEE

# data[].attributes.subject
SICUREZZA LATO SOFTWARE WEB: SESSIONI TEMPORANEE

# data[].attributes.body
Quando un utente viene autorizzato ad accedere al sistema tramite la procedura di login, viene impostata la variabile di sessione "autorizzato". Per evitare che un malintenzionato possa accedere direttamente ad una pagina php senza passare per il login, l'accesso a tutte le pagine php di TicketSys viene protetto da un semplice script che esegue il test della variabile di sessione "autorizzato". Le sessioni vengono correttamente create e distrutte Vengono utilizzati gli accorgimenti per far fronte alle vulnerabilità delle sessioni php. Questo punto è abbastanza complesso e lascio agli studenti più motivati il compito di approfondire i problemi (Session Hijacking e Session Fixation) e le buone pratiche php per farvi fronte.

# data[].attributes.headline
SICUREZZA LATO SOFTWARE WEB: VALIDAZIONE DELL'INPUT

# data[].attributes.subject
SICUREZZA LATO SOFTWARE WEB: VALIDAZIONE DELL'INPUT

# data[].attributes.body
I campi dei form HTML che permettono la creazione, gli aggiornamenti e la chiusura dei ticket attraverso l'interazione tra clienti e tecnici, se non vengono correttamente validati, rappresentano una seria minaccia per la sicurezza. In particolare sono soggetti al problema dell'SQL-injection che consiste nel codice malevolo che, attraverso i form e sfruttando le query SQL, un hacker può inviare al database MySql. Per contrastare l'SQL-injection e più in generale per validare i dati inseriti in un form e inviati dal browser al server via GET o via POST, TicketSys utilizza le buone pratiche di eseguire sempre il typecast dei numeri e di sottoporre le stringhe al filtro di escaping dei caratteri speciali. In ogni caso le misure di protezione del software, per quanto complesse e sofisticate, aumentano la sicurezza ma non riescono a garantire il rischio zero e la difesa da tutti gli attacchi possibili; per questo motivo resta fondamentale proteggere adeguatamente il server e utilizzare una connessione cifrata HTTPS.

# data[].attributes.body
La rete aziendale InfoService è quindi segmentata con 4 reti/interfacce: WAN, LAN interna, DMZ1 e DMZ2.

 La LAN interna, che contiene il Server-1 per la gestione contabile e amministrativa e le stazioni di lavoro del personale, è la rete più protetta. Da essa è possibile accedere ad Internet e alle due zone DMZ (in particolare i programmatori possono accedere in modo veloce al Server-2): non è invece assolutamente raggiungibile da altre reti e solo l'amministratore, dai server interni, può avviare una connessione in grado di accedervi. Per le dimensioni dell'azienda (una cinquantina di dipendenti) è sufficiente una sottorete /24 con 254 host utilizzabili.

 DMZ1 ospita il Server-2 che è pubblico su Internet e consente a chiunque di accedere sulla porta TCP 80

 Per la natura di InfoService e per le caratteristiche dei servizi aziendali offerti, la rete WiFi (realizzata con Access point con standard di conformità IEEE 802.11 a/b/g/n, banda di frequenza a 2,4 Ghz e 5 Ghz, sicurezza WEP, WPA, WPA2) è riservata ai visitatori e ai dipendenti e DMZ2 è progettata esclusivamente per fornire ai dispositivi wifi la connettività a Internet. Con tale modalità, per l'accesso al WiFi è sufficiente l'autenticazione con una wireless password condivisa.

 Il firewall è configurato in modo tale che: o la LAN interna può accedere ad Internet, DMZ1 e DMZ2 o DMZ1 può accedere a Internet ma non alla Lan interna o DMZ2 può accedere a Internet ma non alla Lan interna o fornisce l'accesso a Internet agli indirizzi IP, compressi nell'intervallo 192.168.3.0/24, che gli Access Point assegnano ai client wireless o Il Web Server sul Server-2 (IP 192.168.2.100) è accessibile da Internet alla porta 80

# data[].attributes.body
Per quel che riguarda la continuità del servizio, la professionalità degli amministratori di rete e le misure di sicurezza adottate assicurano la migliore prevenzione dei rischi e minimizzano il danno in caso di eventi negativi. In particolare:

 la continuità elettrica viene assicurata dal gruppo di continuità

 la sala server è climatizzata e protetta da intrusioni indesiderate e da eventi catastrofici quali incendi e allagamenti

 i server sono dotati di hardware ridondato (due alimentatori, dischi rigidi SATA raid 5) per far fronte a guasti o malfunzionamenti. I dischi sono Hot Swap per consentirne la sostituzione senza dover spegnere i server e interrompere il servizio

 la sicurezza logica è assicurata da antivirus, segmentazione della rete e firewall perimetrale

 il backup dei dati, indispensabile per la continuità operativa ed obbligatorio per legge (l’articolo 32 del GDPR recita: “il titolare deve mettere in atto misure adeguate per garantire la sicurezza dei dati”), è attuato giornalmente e in orari prestabiliti da un software che esegue il backup su hard disk esterno e su uno spazio cloud il piano di protezione dagli attacchi DDoS consente di contrastare eventuali attacchi massivi senza dover interrompere il normale svolgimento delle attività lavorative (Un attacco DDoS invia alla risorsa web aggredita una quantità di richieste tale da impedirgli, dopo un certo tempo, di funzionare correttamente)

 il disaster recovery plan prevede, in caso di perdita di dati e blocco delle attività, il ripristino di applicazioni e dati entro tempi brevissimi Per garantire la continuità di Internet non è invece sufficiente affidarsi a un Provider di qualità. Anche le tecnologie più sicure non sono esenti da rischi e problemi e si possono comunque verificare black-out e disservizi. Nei casi in cui la connettività deve essere assicurata sempre (always-on) si può adottare la soluzione di utilizzare una seconda linea, preferibilmente con tecnologia di trasmissione differente dalla prima. Nel nostro caso la linea principale in fibra ottica a 500Mb/s viene affiancata da una linea WiFi fornita da un altro Provider e due linee convergono in un unico router multi-Wan con la funzionalità di "Load Balancing" che permette di condividere dinamicamente le due linee e di ottimizzare la connettività totale. Con questa configurazione se "cade" la linea principale in fibra ottica, l'altra, seppure in modo meno performante, assicura la continuità del servizio Internet.

# data[].attributes.body
Esistono due versioni del protocollo IP: la versione IPv4 e la versione IPv6. Caratteristiche principali di IPV4

 la versione IPv4 è di gran lunga la versione più diffusa e trasporta oltre il 90% del traffico Internet attuale

 l'indirizzo IP è formato da 32 bit

 i 32 bit sono suddivisi in blocchi di 8 e la rappresentazione è decimale, con 4 cifre separate da un punto. In decimale il formato è XXX.XXX.XXX.XXX dove XXX è un numero compreso tra 0 e 255 (essendo 2^8= 256 le combinazioni che si possono ottenere con 8 bit)

Esempio di indirizzo IP IpV4: 192.168.1.254

 Il numero di indirizzi IPv4 disponibili è di 2^32 ovvero circa 4 miliardi Gli indirizzi IPv4 disponibili sembrano tantissimi, in realtà, in conseguenza anche del numero sempre maggiore di dispostivi IoT che si connettono ogni giorno ad Internet, presto saranno assolutamente insufficienti. Per questo motivo è nato lo standard IPv6, che in futuro sostituirà l'IPv4.

Caratteristiche principali di IPV6

 l'indirizzo IP è formato da 128 bit

 i 128 bit sono suddivisi in blocchi di 16 e la rappresentazione è esadecimale (8 cifre esadecimali separate da :) Esempio di indirizzo IP IpV6 A041:0C8D:96BC:1010:F0F0:7DD4:A24C:6276

 il numero di indirizzi disponibili, pari a 2^128, è praticamente inesauribile

 grazie all'enorme spazio di indirizzamento, IPv6 consente una vera connessione end-toend e rende superfluo il ricorso alla NAT (Network Address Translation) degli indirizzi IP privati in pubblici. In altre parole, ogni dispositivo collegato ad una LAN può essere indirizzato direttamente tramite il proprio IP privato

 utilizza IPSec (Internet Protocol Security), che consente di crittografare e autenticare i pacchetti inviati, rendendo la rete molto più sicura IPv6, essendo un'evoluzione tecnologica del Protocollo IP, è decisamente migliore di IPv4 in termini di efficienza e sicurezza. Purtroppo, però, le due versioni non sono compatibili e questo rallenta la diffusione del nuovo protocollo: la transizione allo standard futuro procede lentamente e potrà essere completata soltanto quando tutti i provider, server, sistemi e dispositivi utilizzeranno IPv6.

# data[].attributes.body
L'infrastruttura di rete necessaria riguarda:

il server che fornisce i contenuti informativi sui singoli punti di interesse e gestisce la piattaforma

i punti di interesse (POI), chiese, castelli, palazzi storici, musei, eventi ecc.., oggetto dell'offerta turistica

i chioschi (InfoPoint), in cui i turisti possono acquistare i servizi di fruizione dei contenuti multimediali relativi ai POI.

# data[].attributes.body
non vi è nessuna infrastruttura di rete W-LAN e i tablet accedono al server tramite la rete Internet utilizzando il modem LTE integrato per l’accesso alla rete dati dell’operatore di telefonia mobile:

# data[].attributes.headline
CONNESSIONE TABLET: WLAN CON ACCESS POINT

# data[].attributes.subject
CONNESSIONE TABLET: WLAN CON ACCESS POINT

# data[].attributes.body
vi sono uno o più access-point che consentono la connessione dei tablet alla rete W-LAN locale IEEE-802.11 (Wi-Fi) e, tramite questa, al server esposto sulla rete Internet: gli access-point sono connessi alla rete Internet mediante una rete Ethernet cablata utilizzando un router-switch che integra un modem DSL e un firewall; i tablet sono consegnati ai visitatori già configurati con le credenziali di accesso IEEE-802.11i (WPA-2) alla rete W-LAN e ricevono un indirizzo IPv4 dinamico da un server DHCP integrato nel router-switch, o negli access-point; l’accesso alla rete Internet avviene utilizzando NAT/PAT con un singolo indirizzo IPv4/IPv6 pubblico. È possibile elevare il livello di protezione dell’infrastruttura di rete presso il singolo POI configurando un server RADIUS IEEE-802.1X prevedendo un account per ogni singolo tablet.

# data[].attributes.body
Ogni singolo InfoPoint ha alcune postazioni di lavoro connesse al server tramite la rete Internet e una stampante per i biglietti:

i PC delle postazioni di lavoro sono connessi alla rete Internet mediante una rete Ethernet cablata utilizzando un router-switch che integra un modem DSL e un firewall; gli indirizzi IPv4 possono essere assegnati staticamente utilizzando NAT/PAT per l’accesso alla rete Internet.

# data[].attributes.body
Per quel che riguarda il server, prendiamo in considerazione 3 alternative:

1. utilizzare un Data Center costruito e gestito internamente dal Comune

2. gestire la piattaforma attraverso un portale e facendo ricorso ad una soluzione hosting tradizionale

3. affidarsi ad un Server cloud, ovvero a risorse e servizi forniti tramite Internet da un Provider

# data[].attributes.body
a) L'utilizzo di un Data Center interno garantisce il pieno controllo su dati e applicazioni ma richiede un investimento iniziale elevato per l'acquisto e la configurazione del server e necessita di personale tecnico informatico specializzato. Inoltre richiede notevoli costi annuali per la connessione DSL a larga banda, per la manutenzione e l'upgrade dell'hardware e del software e per garantire la sicurezza informatica;

# data[].attributes.body
L’hosting tradizionale è una soluzione poco costosa ma adatta per ospitare esclusivamente siti con un traffico non elevato;

# data[].attributes.body
L'utilizzo di un Server Cloud richiede che all'interno della struttura comunale sia presente una figura professionale in grado di amministrare da remoto un sistema informativo complesso. Inoltre non consente la possibilità di intervenire immediatamente in casi di guasti hardware e software: bisogna aprire un ticket di assistenza e aspettare l'intervento del provider. Ma garantisce diversi e importanti vantaggi:

 virtualizzazione dei sistemi in ambiente GNU/Linux open source su una infrastruttura dedicata

 pieno controllo e possibilità di gestione effettuando tutte le configurazioni che si ritengono necessarie

 nessun investimento iniziale e costi annuali complessivi sostenibili

 elevati livelli di sicurezza informatica grazie ad un'architettura distribuita e ridondata

 gradualità degli investimenti: possibilità di richiedere al Provider nuovi servizi o prestazioni più performanti

 man mano che crescono le esigenze o di modulare le risorse a seconda del fabbisogno

 totale scalabilità

Tra le 3 alternative, si sceglie la soluzione Cloud in quanto le tecnologie di virtualizzazione e l’hardware proposti dai fornitori di servizi Cloud garantiscono affidabilità, scalabilità, flessibilità ed elevata sicurezza informatica e permettono di contenere i costi di esercizio. Un Web Server Apache, interfacciato con DB MySql e installato sul Server Cloud, fornisce tramite protocollo HTTPS le pagine web di base ed avanzate a cui accedono i visitatori, dialogando con i POI e gli InfoPoint per la gestione delle tariffe e dei servizi da erogare.

# data[].attributes.body
I POI sono equipaggiati da un modem/router/access point per connettere i minitablet dei visitatori, via wireless, alla rete Internet e consentire la fruizione dei contenuti multimediali.

In alternativa, ciascun minitablet potrebbe essere dotato di connettività LTE/4G con evidenti vantaggi di semplificazione dell'infrastruttura ma allo stesso tempo con pesante aggravio dei costi di gestione.

# data[].attributes.body
Gli InfoPoint, oltre a fornire le informazioni turistiche, devono stampare e consegnare ai visitatori i biglietti e contestualmente, "previa consegna di un documento di identità o di un numero di carta di credito valida", i minitablet. Per questo motivo in ciascun InfoPoint, la consegna di biglietti e dispositivi sarà gestita da un operatore mentre i servizi di informazione turistica avanzati (elenco e descrizione sintetica dei POI, mappe, indicazione di percorsi, contenuti multimediali, ecc..) verranno forniti, in diverse lingue, da un totem interattivo con touchscreen. Gli InfoPoint sono dislocati in alcuni punti strategici del centro storico, presumibilmente nelle vicinanze dei POI più importanti e frequentati dai visitatori. POI ed InfoPoint sono connessi ad Internet tramite l'infrastruttura di rete cittadina, wireless e cablata, a larga banda già esistente e basata sull'utilizzo di fibra ottica, con connettività FTTH (Fiber to the Home con velocità di trasmissione sia in download che in upload fino a 1 GBit/sec). La scelta della fibra ottica, peraltro sempre più competitiva in termini di costi, è necessaria per assicurare una connettività adeguata ad un servizio a pagamento, basato su pagine web che presentano contenuti multimediali "pesanti" e che presumibilmente in alcuni POI e in determinate occasioni viene fruito contemporaneamente da un numero elevato di utenti.

# data[].attributes.body
l minitablet che viene fornito in dotazione agli utenti che hanno acquistato il servizio è equipaggiato con SO Android e si connette automaticamente alla rete WiFi nella quale si trova in quel momento, grazie al fatto che su di esso sono "salvate" le reti WiFi (SSID e password) di tutti i POI del centro storico ed è impostata l'opzione "Attiva WiFi automaticamente". I tablet consegnati ai visitatori, oltre che disporre di un browser o di una specifica APP per la visualizzazione delle pagine web con i contenuti multimediali dei POI, devono avere le seguenti caratteristiche di connettività e geolocalizzazione: • W-LAN IEEE-802.11 (WI-FI); • W-WAN LTE; • GPS (per la geolocalizzazione indoor il sistema operativo Android è in grado di utilizzare le reti wireless LAN/WAN rilevate). Sul minitablet è installata un'app dedicata che presenta la mappa del centro storico con i marker dei vari punti di interesse e, attraverso il dialogo con il server, gestisce il servizio; inoltre è settato con un account ospite e un profilo molto limitato che, per motivi di sicurezza e privacy, consentono di usare esclusivamente l'app dedicata e impediscono di modificare le impostazioni di sistema. L'app del minitablet è dunque il cuore del servizio per la fruizione di contenuti multimediali relativi ai POI e, poiché i visitatori che la utilizzano provengono verosimilmente da diverse parti del mondo, è localizzata nelle lingue più importanti e diffuse. Il sistema proposto si basa su un'architettura client-server, nella quale il dispositivo client Android scambia dati con il Db MySql attraverso script PHP lato Server. Per realizzare il collegamento agli script PHP si utilizza il protocollo HTTPS dal sistema Android, per lo scambio dei dati si utilizza preferibilmente il formato JSON (JavaScript Object Notation). Dato che devono semplicemente richiedere e ottenere pagine web, la loro connessione al webserver avviene tramite la rete Internet utilizzando i protocolli di rete standard IP/TCP/HTTP: è senz’altro opportuno che l’accesso al web-server sia protetto utilizzando il protocollo TLS e che il server sia dotato di un certificato X.509 che ne garantisca l’autenticità ai client che si connettono. Data la natura privata di tutte le comunicazioni, sia quella tra tablet e server sia quella tra InfoPoint e server, e il fatto che i tablet sono configurabili prima di essere consegnati ai visitatori, è possibile elevare il livello generale di sicurezza prevedendo l’impiego generalizzato di VPN Per gli InfoPoint e i POI dotati di infrastruttura di rete è preferibile usare una VPN router-to-router utilizzando il protocollo IPsec in modalità tunnel; per i tablet che si connettono tramite la rete dati di telefonia mobile è invece possibile utilizzare una tecnologia end-to-end come open-VPN configurata sul web-server e per la quale esiste un client specifico per sistema operativo Android. Riguardo alla soluzione del quesito c ("gli elementi dell’infrastruttura utili a limitare la fruizione delle pagine multimediali esclusivamente in prossimità o all’interno dei POI a cui si riferiscono"), si risponderà al punto 3, dopo aver definito il progetto della base dei dati.

# data[].attributes.body
Come già detto, il minitablet in dotazione del visitatore è equipaggiato con SO Android e si connette automaticamente alla rete WiFi nella quale si trova in quel momento: un'app dedicata preinstallata gestisce il servizio di fruizione delle pagine multimediali, dialogando con Il Server Web. Al primo accesso, il visitatore, una volta selezionata la lingua dell'app e dei contenuti, introduce la password ricevuta all'atto dell'acquisto del biglietto: se la password è valida e la data di emissione, che risulta nella tabella biglietti, è uguale a quella corrente, viene "loggato". Se la tariffa prescelta è quella intermedia, seleziona, cliccando sui marker della mappa, i 3 POI per cui richiede la fruizione di contenuti multimediali avanzati. La tariffa, la lingua selezionata ed eventualmente i tre POI a scelta, vengono memorizzati, tramite script PHP, nella riga della tabella 'biglietti' individuata tramite la password. La password, introdotta al primo accesso, rimane valida per l'intera giornata grazie all'utilizzo del meccanismo delle sessioni. Una volta effettuato il login e le impostazioni legate alla tariffa, l'app visualizza sulla mappa la posizione del visitatore e quella dei POI più vicini in maniera tale che il visitatore possa scegliere facilmente il POI che intende raggiungere cliccando sul marker corrispondente nella mappa. Il codice del POI selezionato viene memorizzato sulla tabella biglietti nel campo poicorrente. Al fine di "limitare la fruizione delle pagine multimediali esclusivamente in prossimità o all’interno dei POI a cui si riferiscono", la soluzione più economica è quella del controllo di coerenza tra le coordinate GPS del minitablet in dotazione e le coordinate GPS del POI che si sta visitando. Il minitablet viene localizzato automaticamente e l'app si fa carico di far fronte ai problemi di stabilità del segnale GPS: ad esempio, quando il segnale nei punti più interni degli edifici non viene più ricevuto dal minitablet, l'app assume come coordinate le ultime ricevute. Quando il visitatore si reca in un altro POI, lo seleziona sul minitablet cliccando sul corrispondente marker della mappa e il processo di dialogo con il Server e di erogazione dei contenuti si ripete. In alternativa al meccanismo basato sul GPS, si potrebbero utilizzare altre soluzioni che prevedono l'utilizzo di tag RFID o bluetooth. Anche in questo caso il minitablet sarebbe localizzato automaticamente ma si presenterebbero problemi di costo e problemi logistici dovuti alle distanze di funzionamento dei dispositivi. E' da sottolineare, comunque, che l'utilizzo dei tag RFID o bluetooth, è in forte sviluppo e costituisce una frontiera di innovazione molto importate nelle applicazioni informatiche, dell'IoT (Internet of Things) in particolare. Riguardo alla specifica funzionalità richiesta dalla traccia che "la consultazione delle pagine multimediali sia abilitata esclusivamente ai dispositivi (minitablet) forniti all’atto dell’acquisto del biglietto", si è detto che i minitablet sono equipaggiati da un'app dedicata che non si può scaricare da uno store o da un sito pubblico. Questo garantisce che, pur conoscendo la password, è complicato utilizzare dispositivi diversi da quelli forniti insieme al biglietto. In ogni caso si interviene sugli access point che consentono il collegamento dei minitablet alla rete, impostando delle regole di filtraggio basate sul mac address dei minitablet stessi. In altre parole, si imposta una lista di dispositivi (una whitelist) che possono accedere alla rete. Se altri dispositivi con mac address non presenti nella whitelist tentano di accedere, vengono bloccati. In diversi access point commerciali l'impostazione di whitelist risulta agevole grazie ad appositi software di controllo che permettono di configurare facilmente decine di access point distribuiti in luoghi diversi, anche attraverso una rete geografica WAN. Il filtraggio tramite mac address è una misura di sicurezza aggiuntiva a quelle dei protocolli di sicurezza WEP, WPA e WPA2 dello standard IEEE 802.11 che impediscono la connessione di terze parti alla rete e criptano i dati inviati attraverso di essa.

# data[].attributes.body
II. In relazione al tema proposto nella prima parte, si discuta la possibilità di allargare la fruizione dei contenuti multimediali anche ai dispositivi personali degli utenti. In particolare, si analizzino le seguenti due ipotesi alternative:

 uso limitato ai soli dispositivi (minitablet) forniti all’atto dell’acquisto del biglietto, come sopra descritto: si individuino possibili soluzioni per impedire l’accesso alle pagine multimediali attraverso dispositivi non forniti dagli InfoPoint;

 uso consentito ai dispositivi personali degli utenti (es. smartphone): si descriva una possibile integrazione del servizio volta a consentire la fruizione dei contenuti direttamente ad un singolo dispositivo di proprietà del visitatore, pur mantenendo i vincoli di fruibilità in base alla tariffa associata al biglietto. Il problema di impedire l’accesso alle pagine multimediali attraverso dispositivi non forniti dagli InfoPoint è stato già affrontato nella prima parte. In sintesi: a) il funzionamento complessivo della soluzione proposta si basa su un'app precaricata su ciascun minitablet che non si può scaricare da un sito pubblico; è dunque difficile utilizzare dispositivi diversi da quelli ricevuti in dotazione b) "ad abundantiam" gli access point delle reti WiFi consentono di selezionare i dispositivi che accedono alla rete tramite il filtraggio dei mac address (protezione MAC) Se si vuole consentire l'uso dei dispositivi personali degli utenti, mantenendo i vincoli di fruibilità in base alla tariffa associata al biglietto, occorre:

1. rinunciare al filtraggio dei dispositivi tramite mac address

2. consentire di scaricare sul dispositivo personale, da uno store pubblico (ad esempio il sito del Comune) e in modo riservato (utilizzando la password ricevuta all'atto dell'acquisto del biglietto), l'app dedicata

3. utilizzare un captive portal che permetta di autenticare i visitatori, ad esempio tramite un Server Radius: la password di autenticazione potrebbe essere fornita all'atto dell'acquisto del servizio ed essere la stessa utilizzata per la fruizione delle pagine multimediali

# data[].attributes.body
Le principali tecnologie di comunicazione che consentono la realizzazione di una WAN aziendale tra sedi remote sono le seguenti:

• leased-line (E1/E3);

• frame-relay e ATM;

• Internet VPN (Virtual Private Network) con accesso cablato (DSL, FTTB/FTTH) o wireless (LTE). Il ricorso alla tecnologia VPN è il più pratico ed economico, anche se limitato in termini di prestazioni (tempi di risposta, banda disponibile). Il protocollo standard più utilizzato per la realizzazione di Internet VPN è IPsec: • nella modalità «tunnel» viene impiegato per connettere in modo sicuro (riservato e autenticato) i router che interfacciano la rete LAN di diverse sedi aziendali alla rete Internet (VPN site-to-site); • nella modalità «trasparente» viene impiegato per connettere in modo sicuro (riservato e autenticato) attraverso la rete Internet due computer, normalmente un server aziendale con un client esterno alla rete aziendale (VPN end-to-end). Per la realizzazione di VPN end-to-end è molto utilizzato il software openVPN che realizza una VPN a livello di trasporto, anziché a livello di rete. Nel caso di studio proposto, le due sedi aziendali dovrebbero essere connesse mediante una VPN IPsec site-to-site configurata sui router che interfacciano le LAN aziendali alla rete Internet: utilizzando la modalità tunnel del protocollo IPsec è possibile unificare le due LAN aziendali in un’unica rete IP; gli agenti sul territorio possono accedere ai server aziendali mediante una VPN realizzata con openVPN installando lo specifico software client sul proprio PC:

# data[].attributes.attachment_link.title
2019 - SIMULAZIONE MINISTERIALE noleggio di biciclette

# data[].attributes.body
Ipotizziamo la presenza di un locale tecnico all’ingresso di ogni stazione dotato di router connesso a Internet per inviare i dati in tempo reale al sistema centrale e di un access point in grado di coprire col WiFi l’intera stazione. Ipotizziamo inoltre la presenza di due tipi di totem:

• uno all’ingresso di ogni stazione, dotato di reader RFID contactless in grado di leggere e riconoscere la smart card dell’utente, consentire l’accesso alla stazione e sbloccare uno slot per il noleggio o la riconsegna mostrandone il numero su display;

• uno in ciascuno dei 50 slot di ogni stazione dotato di reader RFID contactless (in grado di leggere e riconoscere il tag RFID fissato su ogni bicicletta) e di una scheda Wi-Fi per inviare i dati all’access point del locale tecnico. Su ogni totem degli slot ci sarà anche un semaforo con:

• luce rossa se la bicicletta è bloccata;

• luce verde se la bicicletta è sbloccata;

• luce spenta se la bicicletta non c’è.

# data[].attributes.body
L’utente del servizio, mediante un’APP, sceglie la stazione cittadina con biciclette disponibili per il noleggio o con slot liberi per la riconsegna della bicicletta noleggiata. Mediante la smart card ricevuta accede alla stazione e allo slot per il noleggio o la riconsegna. Quando l’utente accede alla stazione, il sistema legge il codice identificativo dell’utente dalla sua smart card grazie al lettore RFID presente sul totem all’ingresso della stazione che controllerà la validità della tessera, mostrerà a display il numero dello slot da utilizzare e metterà verde il semaforo. Nel momento in cui la bicicletta viene prelevata o riconsegnata dall’utente, il lettore RFID presente sullo slot rileverà il codice univoco della bicicletta e l’ora e le invierà, tramite Wi-Fi, all’access point del locale tecnico. Il sistema abbinerà il codice univoco della bicicletta al codice identificativo dell’utente e lo invierà al sistema centrale per l’inizio della tariffazione (in fase di noleggio) o per la fine della tariffazione (in fase di riconsegna). Riassumendo, il sistema della stazione registra e invia al server centrale:

• l’ID dell’utente (letto dal tag RFID della smart card dell’utente mediante il totem all’ingresso);

• l’ID della bicicletta (letto dal tag RFID di ogni bicicletta mediante il totem dello slot);

• la data e ora del noleggio o della riconsegna (prese dal sistema);

• l’ID della stazione (preso dal sistema).

Nel locale tecnico il router viene collegato a uno switch con tre porte GigabitEthernet:

• una verso il totem posto all’ingresso;

• una verso l’access point che raccoglie le informazioni da ogni singolo slot;

• una verso un PC client per l’accesso al server centrale direttamente dalla stazione qualora ve ne fosse bisogno per modificare la configurazione del sistema. Per quanto riguarda le misure utili per garantire la continuità del servizio, la soluzione cloud, affidata ad aziende specializzate in cloud computing e servizi di hosting, può dare ampie garanzie.

# data[].attributes.body
a) SOCIETÀ DI SPEDIZIONI: è un’azienda che, attraverso una procedura informatizzata, vuole fornire al mittente e al destinatario un servizio di consegna e tracciabilità di una missiva in spedizione. Nei propri uffici risiederà la centrale operativa.

b) MITTENTE: è un privato o un’azienda che deve effettuare una o più spedizioni. Per farlo accede al servizio di spedizione online di SOCIETÀ DI SPEDIZIONI ed effettua la richiesta compilando un apposito form (se non è ancora cliente dovrà effettuare prima la registrazione) con i propri dati, quelli del destinatario e le caratteristiche della missiva.

c) DESTINATARIO: è un privato o un’azienda che deve ricevere una o più spedizioni.

d) SEDE LOCALE (SL): è una qualsiasi sede locale della SOCIETÀ DI SPEDIZIONI dotata di magazzino e almeno un MAGAZZINIERE.

e) SEDE REGIONALE (SR): sede regionale dotata di un magazzino e di almeno un MAGAZZINIERE.

f) TRASPORTATORE: è assegnato a una SL o a una SR .

g) MAGAZZINIERE: è assegnato a una SL o a una SR .

# data[].attributes.body
Ipotizziamo che la SOCIETÀ DI SPEDIZIONI (SDP) abbia fornito a ogni trasportatore e a ogni magazziniere un mini tablet con preinstallata un’apposita APP per comunicare al sistema la presa in carico della missiva. La missiva viene univocamente identificata attraverso un QR code che il sistema produce e che il primo trasportatore applica alla missiva quando la ritira dal mittente. Il mini tablet è dotato di fotocamera per la lettura del QR code e consente di acquisire la firma grafometrica del mittente e del destinatario. L’avvenuta presa in carico viene comunicata (dal trasportatore o dal magazziniere) al sistema leggendo il QR code applicato alla missiva e inviando tutti i dati (codice_dipendente, data, ora, QR code) attraverso l’apposita APP della SDP installata sul mini tablet. I dipendenti della SDP che vengono fisicamente a contatto con la missiva, siano essi magazzinieri o trasportatori, saranno i principali autori del tracciamento della spedizione.

# data[].attributes.body
Vediamo la sequenza dei 23 passi della nuova procedura automatizzata (Figura 1).

1. II MITTENTE accede al portale della SOCIETÀ DI SPEDIZIONI, effettua il login al servizio spedizioni e compila il form con la richiesta.

2. La SOCIETÀ DI SPEDIZIONI prende in carico la richiesta, la elabora e fornisce via mail a MITTENTE e DESTINATARIO il report sui tempi di consegna previsti.

3. La SOCIETÀ DI SPEDIZIONI assegna alla SL di competenza (l’algoritmo selezionerà la sede locale più vicina al MITTENTE) la spedizione e le fornisce il QR code per la missiva.

4. Il TRASPORTATORE, incaricato dalla SL di competenza, si reca dal MITTENTE munito di QR code, ritira la missiva, ne acquisisce la firma grafometrica, applica l’etichetta col QR code sulla missiva.

5. II TRASPORTATORE comunica al sistema la presa in carico (avvenuto ritiro) inviando il proprio codice dipendente, la data, l’ora, il QR code e la firma acquisita.

6. II TRASPORTATORE porta il pacco alla SL di competenza.

7. La SL di competenza, tramite un suo MAGAZZINIERE, prende in carico la missiva e la comunica al sistema.

8. Il TRASPORTATORE incaricato dalla SL di competenza preleva la missiva dal magazzino.

9. II TRASPORTATORE comunica al sistema l’avvenuta presa in carico.

10. Il TRASPORTATORE porta la missiva alla SR della regione del MITTENTE.

11. La SR di competenza, tramite un suo MAGAZZINIERE, prende in carico la missiva e la comunica al sistema.

12. II TRASPORTATORE incaricato dalla SR di competenza preleva la missiva dal magazzino.

13. Il TRASPORTATORE comunica al sistema l’avvenuta presa in carico.

14. II TRASPORTATORE porta la missiva alla SR della regione del DESTINATARIO.

15. La SR di competenza, tramite un suo MAGAZZINIERE, prende in carico la missiva e la comunica al sistema.

16. Il TRASPORTATORE incaricato dalla SR di competenza preleva la missiva dal magazzino.

17. Il TRASPORTATORE comunica al sistema l’avvenuta presa in carico.

18. Il TRASPORTATORE porta la missiva alla SL di competenza (la più vicina al DESTINATARIO).

19. La SL di competenza, tramite un suo MAGAZZINIERE, prende in carico la missiva e la comunica al sistema.

20. Il TRASPORTATORE incaricato dalla SL di competenza preleva la missiva dal magazzino.

21. Il TRASPORTATORE comunica al sistema l’avvenuta presa in carico.

22. Il TRASPORTATORE provvede alla consegna della missiva presso il DESTINATARIO, acquisendone la firma grafometrica.

23. II TRASPORTATORE comunica al sistema l’avvenuta consegna inviando, oltre ai soliti dati, anche la firma acquisita. In qualsiasi momento, mittente e destinatario possono seguire lo stato della spedizione accedendo al servizio online della SOCIETÀ DI SPEDIZIONI.

# data[].attributes.body
 I TRASPORTATORI: si muovono lungo le sedi. => la rete 4G/LTE-A

 I MAGAZZINIERI: navigano sulla linea internet dell’azienda, quindi sono connessi ad una rete locale wireless.

 LE SEDI LOCALI E NAZIONALI devono comunicare in modo sicuro con la SEDE CENTRALE: VPN SITE-TO-SITE

 SOCIETA’ DI SPEDIZIONI: deve aver installato il server per raccogliere e gestire i dati provenienti dal mittente, dai trasportatori e dai magazzinieri: soluzione o Cloud o soluzione interna .

# data[].attributes.headline
DISPOSITIVI DI TRASPORTATORI E MAGAZZINIERI

# data[].attributes.subject
DISPOSITIVI DI TRASPORTATORI E MAGAZZINIERI

# data[].attributes.body
I dispositivi utilizzati da trasportatori e magazzinieri possono essere dei mini tablet dotati di:

 PER I TRASPORTATORI scheda SIM/USIM (Universal Subscriber Identity Module, evoluzione della SIM) per garantire la connettività 4G/LTE-A necessaria ai trasportatori per comunicare in tempo reale i cambiamenti di stato della spedizione;

 PER I MAGAZZINIERI scheda di rete Wi-Fi per garantire la connettività wireless in ambito locale, utile ai magazzinieri per comunicare in tempo reale i cambiamenti di stato della spedizione;

I magazzinieri all’interno delle SL e delle SR, anch’essi muniti di mini tablet, sfrutteranno il Wi-Fi della LAN aziendale per comunicare col Cloud della SOCIETÀ DI SPEDIZIONI. Per eventuali operazioni da svolgersi al di fuori dall’area coperta dal Wi-Fi, potranno anch’essi utilizzare la rete 4G/LTE-A

 APP per acquisire il QR code tramite la fotocamera digitale del mini tablet;

 GPS integrato per monitorare gli spostamenti degli automezzi in tempo reale;

 APP per acquisire, sul touchscreen del mini tablet, la firma autografa del mittente e del destinatario, nota come firma grafometrica o firma elettronica avanzata (da non confondersi con la firma digitale);

 APP per accedere al servizio in Cloud della SOCIETÀ DI SPEDIZIONI e comunicare i dati e i cambiamenti di stato della spedizione.

# data[].attributes.body
La comunicazione tra il sistema mobile dei trasportatori muniti di mini tablet e il Cloud della SOCIETÀ DI SPEDIZIONI avviene tramite la tecnologia 4G/LTE-A. Poiché i trasportatori sono in movimento e possono aver bisogno di collegarsi al servizio da qualsiasi luogo, la soluzione migliore è utilizzare la telefonia cellulare con tecnologia 4G/LTE-A.

I due componenti fondamentali di una rete LTE sono la LTE Access Network e la LTE Core Network. La LTE Access Network è costituita dal LTE User Equipment (LTE-UE), che è il dispositivo mobile dotato di smart card USIM che contiene i dati identificativi dell’utente utilizzati per l’autenticazione e l’accesso al servizio, e dalla stazione base eNodeB (eNB) che si interfaccia alla rete core e che svolge funzioni di sicurezza, tipicamente implementate con tecniche di tunneling e con servizi di autenticazione, integrità e cifratura dei dati. La LTE Core Network ha invece come elemento principale il Mobility Management Entity (MME) che svolge funzioni di controllo, quali, per esempio, l’autenticazione del dispositivo mobile LTE-UE tramite il database HSS (Home Subscriber Server); si occupa anche della gestione della connessione e degli aspetti di mobilità. L’evoluzione di LTE (LTE-Advanced) ha introdotto alcune importanti funzionalità. Tra queste l’impiego di ripetitori intelligenti, detti Relay Node (RN), che, compensando l’attenuazione di propagazione tra utente e stazione base, consentono di aumentare la capacità e la copertura. L’utilizzo di questa tecnologia consentirà ai trasportatori non solo di comunicare i dati per la tracciatura della missiva (utile a mittente e destinatario) come richiesto nella prima parte del tema al Punto 1, ma anche di monitorare lo spostamento degli automezzi (utile alla SOCIETÀ DI SPEDIZIONI).

# data[].attributes.headline
CONNESSIONE ALLA RETE LAN INTERNA DELLA SOCIETA’ DI SPEDIZIONI DALL’ESTERNO CON VPN Site-to-site

# data[].attributes.subject
CONNESSIONE ALLA RETE LAN INTERNA DELLA SOCIETA’ DI SPEDIZIONI DALL’ESTERNO CON VPN Site-to-site

# data[].attributes.body
Gli uffici della SOCIETÀ DI SPEDIZIONI saranno connessi in VPN Site-to-site col Cloud per garantire l’integrità e la riservatezza delle comunicazioni dei dati sensibili dell’azienda e dei suoi clienti.

# data[].attributes.headline
SPIEGARE COS’è LA VPN E LA VPN SITE-TO-SITE

# data[].attributes.subject
SPIEGARE COS’è LA VPN E LA VPN SITE-TO-SITE

# data[].attributes.body
Il tunnel VPN consente di creare un canale sicuro e dai percorsi garantiti tra gli uffici e l’infrastruttura Cloud creata in remoto.

Una VPN (Virtual Private Network) è una rete privata creata all’interno di un’infrastruttura di rete pubblica.

Una Remote-access VPN consente ai singoli utenti di stabilire connessioni sicure con la intranet aziendale, collegandosi da casa, dalla sede di un cliente o fornitore. Gli utenti possono accedere alle risorse protette della rete locale, come se fossero direttamente collegati ai server della rete.

Dal momento che una VPN utilizza una rete pubblica, si devono affrontare alcuni importanti problemi legati alla trasmissione dei dati e alla loro riservatezza:

1. la variabilità del tempo di trasferimento (traffico, congestione, latenza, velocità variabili, jitter, perdita di pacchetti, ecc.): l’impiego di tecniche di QoS (Quality of Service) consente di trattare il traffico in rete in modo da disciplinare il flusso dei pacchetti;

2. il controllo degli accessi alla VPN e la sicurezza delle trasmissioni: questi problemi vengono affrontati impiegando una combinazione di tre fattori: autenticazione, cifratura e tunneling. L’autenticazione consente solo alle persone autorizzate di accedere alla VPN; solitamente oltre al classico login con username e password si richiede di immettere un pin generato da un key fob oppure si usano applicazioni per la lettura di un QR code sulla pagina di autenticazione. La cifratura si occupa di rendere illeggibili i dati, così da garantirne la segretezza.

Le VPN usano vari algoritmi di cifratura (3-DES, IDEA, ecc.). Vengono utilizzati dei protocolli di sicurezza per lo scambio delle chiavi di cifratura: un esempio è IKE (Internet Key Exchange) della suite di protocolli IPsec.

Il tunneling è una tecnica che consiste nell’incapsulare i pacchetti da trasmettere sulla VPN in altri pacchetti, in modo tale che il pacchetto esterno protegge tutto il contenuto del pacchetto interno, che potrà essere completamente cifrato (inclusi i dati dell’header).

Tipicamente per realizzare le VPN si usano i protocolli:

• IPsec (IP security): è un’architettura di sicurezza a livello Network, molto usata dalle aziende, che si compone di più protocolli: AH (Authentication Header), che garantisce l’autenticazione e l’integrità del messaggio, ma non la confidenzialità;

ESP (Encapsulating Security Payload), che fornisce autenticazione, confidenzialità e integrità del messaggio;

IKE (Internet Key Exchange), usato per lo scambio delle chiavi di crittografia;

• SSL/TLS (Secure Sockets Layer/Transport Layer Security) di tipo Client/Server, che hanno lo scopo di autenticare il server da parte del client e di creare un canale cifrato, sicuro, di comunicazione tra i due. Si tratta di protocolli che operano a livello Transport, usati per proteggere le comunicazioni tra due applicazioni. Infatti, sono tipicamente impiegati in ambito web (HTTPS), dove l’identità nelle connessioni può essere autenticata usando la crittografia asimmetrica (esempio: RSA). È prevista la certificazione del server e, opzionalmente, quella del client. In questo contesto il certificato digitale è il documento elettronico che associa l’identità del server alla chiave pubblica;

• MPLS (Multi-Protocol Label Switching): questa modalità di creare le VPN è tipica degli ISP (Internet Service Provider) ed è offerta come servizio gestito in ambito di reti IP. Questo perché MPLS necessita della rete circoscritta di un Service provider che ne fornisca l’infrastruttura di supporto.

# data[].attributes.headline
SCELTA DEL CLOUD PER LA SOCIETA’ DI SPEDIZIONI

# data[].attributes.subject
SCELTA DEL CLOUD PER LA SOCIETA’ DI SPEDIZIONI

# data[].attributes.body
Per quanto riguarda l’organizzazione dei server per la raccolta dei dati e l’offerta dei servizi web, abbiamo fin dall’inizio puntato molto per una soluzione che contemplasse anche l’uso del Cloud. I servizi di cloud computing che servono alla SOCIETÀ DI SPEDIZIONI sono di tipo SaaS (Software as a Service). La soluzione SaaS fornirà in remoto due programmi:

 uno per gestire i dati in arrivo dalle APP installate sui mini tablet di trasportatori e magazzinieri e metterli a disposizione degli uffici centrali,

 e uno per gestire il servizio online di registrazione dei clienti e l’inserimento delle richieste di spedizione.

PERCHE’ SCEGLIERE LA SOLUZIONE IN CLOUD

Le motivazioni della scelta di appoggiarsi al cloud computing sono principalmente due: 1. economiche: poiché la SOCIETÀ DI SPEDIZIONI vuole offrire un nuovo servizio online, la soluzione Cloud consente minori investimenti iniziali sui server e sulle infrastrutture informatiche necessarie, assicurando manutenzione e aggiornamenti; 2. strategiche: poiché la SOCIETÀ DI SPEDIZIONI si occupa di spedizioni (trasportatori e magazzinieri), la soluzione Cloud libera risorse umane dell’IT (sistemisti, telecomunicazionisti, programmatori) che possono concentrarsi sul core business dell’azienda.

Nel data center interno all’azienda resterebbero solo i server per la gestione della LAN degli uffici (DHCP, DNS, web, FTP, mail, ecc.) e i database relativi ai dipendenti e alle spedizioni. Servizi che sicuramente la SOCIETÀ DI SPEDIZIONI aveva già “in casa” prima di decidere di passare alla nuova procedura di gestione informatizzata

# data[].attributes.headline
PERCHE’ IN QUESTO CASO NON VIENE SCELTA UNA SOLUZIONE INTERNA

# data[].attributes.subject
PERCHE’ IN QUESTO CASO NON VIENE SCELTA UNA SOLUZIONE INTERNA

# data[].attributes.body
Qualora si optasse per una soluzione totalmente interna all’azienda, l’investimento, soprattutto quello iniziale, per automatizzare il servizio di tracciamento e gestire le richieste dei clienti, sarebbe oneroso. Inoltre, all’azienda servirebbero competenze e risorse umane che probabilmente non ha al proprio interno e che quindi dovrebbero procurarsi. Infine tutti gli aggiornamenti in termini di sistema e di sicurezza sarebbero a carico dell’azienda.

# data[].attributes.body
La sicurezza delle strumentazioni, in particolare i mini tablet forniti ai trasportatori e ai magazzinieri, è garantita impostando l’accesso al dispositivo con password o impronta digitale.

# data[].attributes.body
Anche l’accesso ai server in Cloud viene strettamente controllato. L’utilizzo di un server AAA risponde allo scopo.

L’acronimo indica i tre compiti: il server AAA conferma chi sei (authentication), identifica ciò a cui ti è permesso accedere tramite la connessione (authorization) e tiene traccia di ciò che fai mentre sei loggato (accounting).

La sicurezza dei dati e la tolleranza ai guasti che possono comportare una perdita di dati, sono garantite dal fornitore del servizio Cloud, acquistando il backup automatico del sito e del database. Una buona pratica che la società di spedizioni metterà in atto sarà accedere regolarmente al Cloud in remoto per fare una copia in locale di sito e database. Per quanto riguarda le misure utili per garantire la continuità del servizio online della società di spedizioni (tracciamento delle spedizioni e gestione delle richieste dei clienti), la soluzione Cloud affidata ad aziende specializzate in cloud computing, può dare ampie garanzie (servizi di hosting a pagamento garantiscono la continuità del servizio).

In ogni caso, qualunque sia la soluzione scelta, l’interruzione di un servizio offerto online può essere dovuta a diversi fattori da cui ci si deve proteggere:

• interruzione dell’alimentazione: si previene fornendo la rete di gruppi di continuità;

• guasto alle macchine server: si riesce a limitare la durata dell’interruzione utilizzando server di backup ridondanti o, se i server sono virtualizzati, clonandoli;

• interruzione della connessione Internet: si previene mediante una seconda linea gestita, eventualmente, da un ISP (Internet Service Provider) diverso dal gestore della linea principale;

• eccesso di traffico con punti di congestione e successiva perdita di pacchetti: si tiene sotto controllo il traffico mediante una serie di strumenti di network management che permettono di avere una supervisione dell’intera rete; sono possibili SLA (Service Level Agreement) con gli ISP per garantirsi una voluta QoS (Quality of Service) in termini di larghezza di banda e throughput;

• server sovraccarico di richieste con rallentamento e successivo blocco del servizio (system crash) in certi orari: anche in questo caso sono i Network Management Tools che permettono di monitorare gli accessi al server e in generale alle risorse di rete e quindi permettono di intervenire tempestivamente.

Se il rallentamento si verifica di frequente, una soluzione può essere decidere per un server dedicato (non condiviso) da configurare su una macchina server dalle elevate prestazioni. Se invece il rallentamento si verifica occasionalmente, è sufficiente l’intervento dell’amministratore di rete che può, per esempio, diminuire il TTL (Time To Live) dei pacchetti in attesa.

Fondamentale è anche il controllo del throughput della banda di trasmissione da parte dell’amministratore della rete (bandwidth management);

• attacchi informatici: gli attacchi tipo DoS (Denial of Service), che mirano a bombardare il server di richieste fino a bloccarlo completamente, si possono anch’essi limitare mediante l’utilizzo dei Network Management Tools. Il filtraggio dei pacchetti in arrivo (campionamento e analisi) consente di individuare in tempo utile i flussi da bloccare.