• ipotesi iniziali e aggiuntive (dimensioni, costi, scalabilità, reti preesistenti);

• topologia (stella o stella estesa);

• mezzi trasmissivi (cavi in rame, fibre ottiche, wireless) con le loro caratteristiche (velocità, distanze) e tecniche di accesso alla rete (802.3 Ethernet, 802.11 Wi-Fi);

• schema logico dell’infrastruttura di rete progettata indicando le caratteristiche hardware e software dei dispositivi (PC, stampanti di rete, server, wireless terminal) e degli apparati di rete (switch, router, access point);

• piano di indirizzamento IPv4.

Se la rete ha più sedi messe in rete con clienti, fornitori o aziende partner, bisogna progettare reti WAN di tipo extranet.

• Creazione di una VPN (Remote-access o Site-to-site)

• Progettazione messa in sicurezza attraverso modello AAA

• Scelta del tipo di server (NAS, AAA)

• Scelta dei protocolli necessari (IPSec, SSL/TLS, MPLS etc)

Le principali parti che vanno sviluppate sono:

• la collocazione dei server dedicati o virtuali (standalone, data center, server farm, hosting e housing, cloud);

• l'implementazione dei server role principali (AD DS, DHCP, DNS, ecc.);

• la progettazione dei servizi integrati per la sicurezza (proxy, firewall, NAT e DMZ);

• le applicazioni e i protocolli usati dai client per accedere ai servizi e dai server per offrire i servizi;

• i sistemi operativi (per desktop, server o installati su apparati) presenti in rete;

• gli strumenti scelti per la gestione della rete (network management tools);

• gli strumenti scelti per garantire la sicurezza della rete (controllo degli accessi, crittografia delle trasmissioni, filtraggio dei pacchetti).

L’azienda ospedaliera dispone di un locale tecnico al piano seminterrato e intende adottare una soluzione interna.

QUINDI SI TRATTA DELLA CREAZIONE DI UNA RETE LAN

TOPOLOGIA A STELLA ESTESA

Ogni access point avrà un pool di indirizzi diversi da assegnare ai tablet per evitare duplicazioni.

Avendo poi cura di configurare canali diversi per i due access point di reparto, si evitano sovrapposizioni di banda.

Si può ipotizzare che ogni medico tenga in custodia il suo tablet in un cassetto chiuso a chiave.

COLLEGAMENTO DEI TABLET

Il medico, quando prende servizio, si reca nella sala medica del reparto e ritira il tablet dal proprio cassetto di cui possiede la chiave. All’accensione del tablet, l’APP del servizio preinstallata in esecuzione automatica, tenterà di collegarsi alla rete Wi-Fi dell’ospedale tramite l’access point di reparto.

Si può prevedere di inserire nella configurazione del router un filtro basato su MAC ADDRESS.

Solo i tablet possono collegarsi.

L’access point verificherà l’indirizzo MAC e chiederà username e password:

• l’indirizzo MAC per avere la certezza che si stia usando il tablet dell’ospedale e nessun altro dispositivo possa accedere alla rete interna dell’ospedale tranne quelli che hanno gli indirizzi MAC consentiti dall’amministratore di rete;

• le credenziali per avere la certezza che sia il tal medico a usare il dispositivo. Il server del servizio verificherà le credenziali (eventualmente appoggiandosi a un server AAA) e consentirà all’APP l’accesso al Wi-Fi, ottenendone l’indirizzo IP con lease per l’intera giornata, e al database dei pazienti del medico e dei farmaci della farmacia.

 A questo provvederà il proxy server che fa da gateway con funzione di firewall (bloccando indirizzi, applicazioni, tipi di trasmissioni) con le ACL previste dall’amministratore di rete in base alla policy aziendale.

Ipotizziamo la presenza di 2 PC fissi e una stampante di rete nelle salette mediche di ogni reparto, utili ai medici per accedere alle cartelle cliniche dei pazienti o produrre documentazione al termine delle visite. I PC verranno configurati con le stesse restrizioni dei tablet. Al termine del turno lavorativo, il medico riporrà il tablet nel suo cassetto.

L’APP chiederà le credenziali di accesso (username e password). II server del servizio verificherà le credenziali (eventualmente appoggiandosi a un server AAA) e consentirà l’accesso al database dei farmaci a disposizione della farmacia interna.

Questo consentirà immediatamente al farmacista di vedere la richiesta inserita dal medico (l’APP consentirà l’attivazione delle notifiche) e di approntare la prescrizione e aggiornare il database. L’APP è la stessa del medico, le credenziali diverse mostreranno un diverso menù al farmacista e l’accesso a informazioni diverse. Ipotizziamo la presenza di un access point anche in farmacia, con due tablet a disposizione dei medici farmacisti, utili per la mobilità all’interno della zona magazzino medicinali.

Le scelte in locale implicherebbero tempi lunghi per l’aggiornamento dei dispositivi e renderebbero più complessa la gestione e il monitoraggio.

Si fa quindi una scelta in cloud esclusivamente per la gestione e la protezione dei tablet. Il resto dei servizi rimane in locale, dal DBMS al servizio di gestione delle terapie prescritte dai medici.

La soluzione proposta consiste nell’acquisto di tablet normalmente in commercio con sistema operativo Android e l’utilizzo di servizi MaaS (Mobility as a Service) per l’MDM. La soluzione consente la gestione e la messa in sicurezza di tutti i dispositivi di un’azienda, nonché delle applicazioni e dei contenuti in essi incorporati. Inoltre mette a disposizione un contenitore sicuro che tiene tutti i file aziendali separati dal resto delle applicazioni del dispositivo. In questo modo, i dipendenti possono lavorare in sicurezza senza compromettere la sicurezza dei dati e dei dispositivi. Ciò semplifica anche la gestione dell’IT, poiché si deve solo monitorare l’APP del contenitore e non l’intero dispositivo.

Al fine di garantire la continuità e l’affidabilità del servizio bisogna: • dotarsi di un gruppo di continuità (UPS) per evitare mancanza di alimentazione agli apparati di rete; • avere due linee con tecnologie diverse se si utilizza il cloud, per esempio una veloce in fibra (FTTH) e una di riserva su doppino (ADSL tradizionale); • avere server ridondanti e bilanciabili che consentano di suddividere il carico di lavoro; • garantire la business continuity mediante soluzioni di backup dedicate e prevedere procedure di ripristino (Disaster Recovery Pian). A livello di sicurezza software possiamo pensare a più soluzioni. A livello applicativo, si potrà accedere alla pagina solo dopo aver fatto il login e inserito una password. Ogni utente apparterrà a una specifica categoria (medici o farmacisti) e questo gli permetterà di avere accesso solo a certe funzionalità. Un ulteriore grado di sicurezza può essere definito a livello di database tram ite la funzione GRANT che perm etterà l’accesso ad alcune tabelle solo agli utenti autorizzati.

Molto spesso questi software e hardware vengono utilizzati saltuariamente e diventano velocemente obsoleti, con la conseguenza di dover effettuare costosi aggiornamenti.

Anche la quantità di informazioni da gestire aumenta, e molto spesso c’è la necessità di incrementare la potenza di calcolo e di memorizzazione degli elaboratori presenti per far fronte a crescenti esigenze.

Per risolvere questi problemi la soluzione attualmente più diffusa è quella di gestire risorse dati e applicazioni in remoto: all’utente finale può non interessare dove si trovino, l’importante è che funzionino. Si parla allora di un luogo generico, a cui accedere tramite la rete (che normalmente viene mostrata come nuvola, in inglese cloud) dove possiamo trovare delle applicazioni da usare solo quando ci servono o dello spazio di memoria praticamente infinito dove memorizzare i nostri dati.

In pratica possiamo dire che il cloud computing è la possibilità di distribuire e utilizzare servizi IT attraverso il web.

Più specificatamente, con cloud computing si intende un insieme di tecnologie informatiche che permettono di memorizzare e/o archiviare e/o elaborare dati, grazie all’utilizzo di risorse hardware e/o software distribuite sulla rete Internet attraverso un’architettura di tipo Client/Server, rendendo disponibili all’utilizzatore le risorse come se fossero implementate da sistemi (server o periferiche personali) standard.

Con il cloud computing, i sistemi e le applicazioni informatiche che consentono alle aziende di funzionare sono concentrati in pochi grandi data center messi a disposizione degli utenti, in maniera dinamica, elastica e, a richiesta, sotto forma di servizio in abbonamento (subscription) o a consumo.

In questo modo si abbattono i costi degli investimenti nei centri informatici (CED) delle aziende e degli enti pubblici, e al contempo le organizzazioni, grandi e piccole, possono accedere rapidamente a grandi risorse di qualsiasi tipo (calcolo, memorizzazione, ecc.) per mezzo della virtualizzazione, abbattendo quindi completamente tutti i costi delle infrastrutture fisse (acquisto, mantenimento, potenziamento, ecc.). L’utente finale, infatti, pagherà l’uso delle risorse virtuali solo all’atto del loro effettivo utilizzo. Così, sono superate le tradizionali barriere alla realizzazione dei sistemi informativi, quali i costi e la complessità, mentre gli utilizzatori dei sistemi informatici possono concentrarsi sulla propria missione più strategica (core business).

In base alle varie componenti presenti, si possono realizzare diverse tipologie di servizi (o funzionalità) di cloud computing:

-        SaaS (Software as a Service): consiste nell’utilizzo di programmi installati su un server remoto, cioè fuori dalla LAN aziendale, spesso attraverso un web server;

-        DaaS (Data as a Service): con questo servizio vengono messi a disposizione via web solamente i dati, ai quali gli utenti possono accedere tramite qualsiasi applicazione come se fossero residenti su un disco locale;

-        HaaS (Hardware as a Service): con questo servizio l’utente invia i dati in remoto affinché vengano elaborati da computer messi a disposizione e infine restituiti all’utente in forma di risultato dell’elaborazione effettuata;

-        PaaS (Platform as a Service): invece di uno o più programmi singoli, viene eseguita in remoto una piattaforma software che può essere costituita da diversi servizi, programmi, librerie e così via;

-        IaaS (Infrastructure as a Service): utilizzo di risorse hardware in remoto. Questo tipo di cloud è quasi un sinonimo di grid computing, ma con la caratteristica imprescindibile che le risorse vengono utilizzate on demand nel momento in cui una piattaforma ne ha bisogno, e non vengono assegnate a prescindere dal loro utilizzo effettivo.

La possibilità offerta dal cloud computing di utilizzare le tecnologie informatiche con un modello a consumo o ad abbonamento (si parla anche di modello a servizio) libera l’amministrazione da tutto ciò che riguarda la manutenzione, l’aggiornamento e la distribuzione dei sistemi informativi, rapportando il pagamento all’erogazione di un servizio. Nella tabella seguente è mostrato un confronto tra la soluzione cloud e l’approccio tradizionale all’IT nel caso, per esempio, della Pubblica Amministrazione.

 Requisiti tecnici (scalabilità, throuput, sicurezza, gestione della rete )

 Vuole ottimizzare un servizio che già offrono, ovvero assistenza hardware e software e consulenza informatica.

 Il servizio che vogliono implementare è un servizio di ticketing.

 Si suppone che siano in possesso di un server dove hanno registrato già i loro clienti.

 Il servizio richiesto riguarda solo una parte dei servizi che offrono

 La ditta opera a livello regionale

 I tecnici possono effettuare due tipi di interventi: da remoto e in loco per cui si possono spostare.

o Essere l’unico gestore dei server

o Poter garantire la sicurezza in modo autonomi ed intervenire in caso di problemi, guasti e malfunzionamenti

o Poter proteggere la propria rete senza aspettare l’intervento di altri soggetti (casi di attacchi ddos)

HELPDESK: prende in carico le richieste dei clienti e gestisce il ticket.

TECNICO: si collega con un suo dispositivo e controlla le richieste di intervento, aggiornandole sia in caso di risoluzione che non.

La gestione dei dati dei clienti e dei dati contabili dell’azienda devono essere necessariamente separate.

La InfoService dispone di due server,

 il Server-1 dedicato alla gestione contabile ed amministrativa dell'azienda e

 il Server-2 che gestisce il sito web aziendale, la posta elettronica e il servizio FTP e sul quale viene implementato anche il sistema di ticketing (TicketSys)

1. La rete Internet (Wan)

2. la Lan interna (Il Server-1, i pc, le stampanti, ecc.)

3. la DMZ con il Server-2 esposto ad Internet

Il firewall permette al personale che lavora sulla Lan interna di collegarsi ad Internet e di accedere velocemente alla DMZ ma controlla fortemente il traffico dalla DMZ alla Lan interna, proteggendo quest'ultima da intrusioni indesiderate sul Server-2

 La LAN interna, che contiene il Server-1 per la gestione contabile e amministrativa e le stazioni di lavoro del personale, è la rete più protetta. Da essa è possibile accedere ad Internet e alle due zone DMZ (in particolare i programmatori possono accedere in modo veloce al Server-2): non è invece assolutamente raggiungibile da altre reti e solo l'amministratore, dai server interni, può avviare una connessione in grado di accedervi. Per le dimensioni dell'azienda (una cinquantina di dipendenti) è sufficiente una sottorete /24 con 254 host utilizzabili.

 DMZ1 ospita il Server-2 che è pubblico su Internet e consente a chiunque di accedere sulla porta TCP 80

 Per la natura di InfoService e per le caratteristiche dei servizi aziendali offerti, la rete WiFi (realizzata con Access point con standard di conformità IEEE 802.11 a/b/g/n, banda di frequenza a 2,4 Ghz e 5 Ghz, sicurezza WEP, WPA, WPA2) è riservata ai visitatori e ai dipendenti e DMZ2 è progettata esclusivamente per fornire ai dispositivi wifi la connettività a Internet. Con tale modalità, per l'accesso al WiFi è sufficiente l'autenticazione con una wireless password condivisa.

 Il firewall è configurato in modo tale che: o la LAN interna può accedere ad Internet, DMZ1 e DMZ2 o DMZ1 può accedere a Internet ma non alla Lan interna o DMZ2 può accedere a Internet ma non alla Lan interna o fornisce l'accesso a Internet agli indirizzi IP, compressi nell'intervallo 192.168.3.0/24, che gli Access Point assegnano ai client wireless o Il Web Server sul Server-2 (IP 192.168.2.100) è accessibile da Internet alla porta 80

 la continuità elettrica viene assicurata dal gruppo di continuità

 la sala server è climatizzata e protetta da intrusioni indesiderate e da eventi catastrofici quali incendi e allagamenti

 i server sono dotati di hardware ridondato (due alimentatori, dischi rigidi SATA raid 5) per far fronte a guasti o malfunzionamenti. I dischi sono Hot Swap per consentirne la sostituzione senza dover spegnere i server e interrompere il servizio

 la sicurezza logica è assicurata da antivirus, segmentazione della rete e firewall perimetrale

 il backup dei dati, indispensabile per la continuità operativa ed obbligatorio per legge (l’articolo 32 del GDPR recita: “il titolare deve mettere in atto misure adeguate per garantire la sicurezza dei dati”), è attuato giornalmente e in orari prestabiliti da un software che esegue il backup su hard disk esterno e su uno spazio cloud il piano di protezione dagli attacchi DDoS consente di contrastare eventuali attacchi massivi senza dover interrompere il normale svolgimento delle attività lavorative (Un attacco DDoS invia alla risorsa web aggredita una quantità di richieste tale da impedirgli, dopo un certo tempo, di funzionare correttamente)

 il disaster recovery plan prevede, in caso di perdita di dati e blocco delle attività, il ripristino di applicazioni e dati entro tempi brevissimi Per garantire la continuità di Internet non è invece sufficiente affidarsi a un Provider di qualità. Anche le tecnologie più sicure non sono esenti da rischi e problemi e si possono comunque verificare black-out e disservizi. Nei casi in cui la connettività deve essere assicurata sempre (always-on) si può adottare la soluzione di utilizzare una seconda linea, preferibilmente con tecnologia di trasmissione differente dalla prima. Nel nostro caso la linea principale in fibra ottica a 500Mb/s viene affiancata da una linea WiFi fornita da un altro Provider e due linee convergono in un unico router multi-Wan con la funzionalità di "Load Balancing" che permette di condividere dinamicamente le due linee e di ottimizzare la connettività totale. Con questa configurazione se "cade" la linea principale in fibra ottica, l'altra, seppure in modo meno performante, assicura la continuità del servizio Internet.

 la versione IPv4 è di gran lunga la versione più diffusa e trasporta oltre il 90% del traffico Internet attuale

 l'indirizzo IP è formato da 32 bit

 i 32 bit sono suddivisi in blocchi di 8 e la rappresentazione è decimale, con 4 cifre separate da un punto. In decimale il formato è XXX.XXX.XXX.XXX dove XXX è un numero compreso tra 0 e 255 (essendo 2^8= 256 le combinazioni che si possono ottenere con 8 bit)

Esempio di indirizzo IP IpV4: 192.168.1.254

 Il numero di indirizzi IPv4 disponibili è di 2^32 ovvero circa 4 miliardi Gli indirizzi IPv4 disponibili sembrano tantissimi, in realtà, in conseguenza anche del numero sempre maggiore di dispostivi IoT che si connettono ogni giorno ad Internet, presto saranno assolutamente insufficienti. Per questo motivo è nato lo standard IPv6, che in futuro sostituirà l'IPv4.

Caratteristiche principali di IPV6

 l'indirizzo IP è formato da 128 bit

 i 128 bit sono suddivisi in blocchi di 16 e la rappresentazione è esadecimale (8 cifre esadecimali separate da :) Esempio di indirizzo IP IpV6 A041:0C8D:96BC:1010:F0F0:7DD4:A24C:6276

 il numero di indirizzi disponibili, pari a 2^128, è praticamente inesauribile

 grazie all'enorme spazio di indirizzamento, IPv6 consente una vera connessione end-toend e rende superfluo il ricorso alla NAT (Network Address Translation) degli indirizzi IP privati in pubblici. In altre parole, ogni dispositivo collegato ad una LAN può essere indirizzato direttamente tramite il proprio IP privato

 utilizza IPSec (Internet Protocol Security), che consente di crittografare e autenticare i pacchetti inviati, rendendo la rete molto più sicura IPv6, essendo un'evoluzione tecnologica del Protocollo IP, è decisamente migliore di IPv4 in termini di efficienza e sicurezza. Purtroppo, però, le due versioni non sono compatibili e questo rallenta la diffusione del nuovo protocollo: la transizione allo standard futuro procede lentamente e potrà essere completata soltanto quando tutti i provider, server, sistemi e dispositivi utilizzeranno IPv6.

L'infrastruttura di rete necessaria riguarda:

• il server che fornisce i contenuti informativi sui singoli punti di interesse e gestisce la piattaforma

• i punti di interesse (POI), chiese, castelli, palazzi storici, musei, eventi ecc.., oggetto dell'offerta turistica

• i chioschi (InfoPoint), in cui i turisti possono acquistare i servizi di fruizione dei contenuti multimediali relativi ai POI.

non vi è nessuna infrastruttura di rete W-LAN e i tablet accedono al server tramite la rete Internet utilizzando il modem LTE integrato per l’accesso alla rete dati dell’operatore di telefonia mobile:

i PC delle postazioni di lavoro sono connessi alla rete Internet mediante una rete Ethernet cablata utilizzando un router-switch che integra un modem DSL e un firewall; gli indirizzi IPv4 possono essere assegnati staticamente utilizzando NAT/PAT per l’accesso alla rete Internet.

1. utilizzare un Data Center costruito e gestito internamente dal Comune

2. gestire la piattaforma attraverso un portale e facendo ricorso ad una soluzione hosting tradizionale

3. affidarsi ad un Server cloud, ovvero a risorse e servizi forniti tramite Internet da un Provider

 virtualizzazione dei sistemi in ambiente GNU/Linux open source su una infrastruttura dedicata

 pieno controllo e possibilità di gestione effettuando tutte le configurazioni che si ritengono necessarie

 nessun investimento iniziale e costi annuali complessivi sostenibili

 elevati livelli di sicurezza informatica grazie ad un'architettura distribuita e ridondata

 gradualità degli investimenti: possibilità di richiedere al Provider nuovi servizi o prestazioni più performanti

 man mano che crescono le esigenze o di modulare le risorse a seconda del fabbisogno

 totale scalabilità

Tra le 3 alternative, si sceglie la soluzione Cloud in quanto le tecnologie di virtualizzazione e l’hardware proposti dai fornitori di servizi Cloud garantiscono affidabilità, scalabilità, flessibilità ed elevata sicurezza informatica e permettono di contenere i costi di esercizio. Un Web Server Apache, interfacciato con DB MySql e installato sul Server Cloud, fornisce tramite protocollo HTTPS le pagine web di base ed avanzate a cui accedono i visitatori, dialogando con i POI e gli InfoPoint per la gestione delle tariffe e dei servizi da erogare.

In alternativa, ciascun minitablet potrebbe essere dotato di connettività LTE/4G con evidenti vantaggi di semplificazione dell'infrastruttura ma allo stesso tempo con pesante aggravio dei costi di gestione.

 uso limitato ai soli dispositivi (minitablet) forniti all’atto dell’acquisto del biglietto, come sopra descritto: si individuino possibili soluzioni per impedire l’accesso alle pagine multimediali attraverso dispositivi non forniti dagli InfoPoint;

 uso consentito ai dispositivi personali degli utenti (es. smartphone): si descriva una possibile integrazione del servizio volta a consentire la fruizione dei contenuti direttamente ad un singolo dispositivo di proprietà del visitatore, pur mantenendo i vincoli di fruibilità in base alla tariffa associata al biglietto. Il problema di impedire l’accesso alle pagine multimediali attraverso dispositivi non forniti dagli InfoPoint è stato già affrontato nella prima parte. In sintesi: a) il funzionamento complessivo della soluzione proposta si basa su un'app precaricata su ciascun minitablet che non si può scaricare da un sito pubblico; è dunque difficile utilizzare dispositivi diversi da quelli ricevuti in dotazione b) "ad abundantiam" gli access point delle reti WiFi consentono di selezionare i dispositivi che accedono alla rete tramite il filtraggio dei mac address (protezione MAC) Se si vuole consentire l'uso dei dispositivi personali degli utenti, mantenendo i vincoli di fruibilità in base alla tariffa associata al biglietto, occorre:

1. rinunciare al filtraggio dei dispositivi tramite mac address

2. consentire di scaricare sul dispositivo personale, da uno store pubblico (ad esempio il sito del Comune) e in modo riservato (utilizzando la password ricevuta all'atto dell'acquisto del biglietto), l'app dedicata

3. utilizzare un captive portal che permetta di autenticare i visitatori, ad esempio tramite un Server Radius: la password di autenticazione potrebbe essere fornita all'atto dell'acquisto del servizio ed essere la stessa utilizzata per la fruizione delle pagine multimediali

• leased-line (E1/E3);

• frame-relay e ATM;

• Internet VPN (Virtual Private Network) con accesso cablato (DSL, FTTB/FTTH) o wireless (LTE). Il ricorso alla tecnologia VPN è il più pratico ed economico, anche se limitato in termini di prestazioni (tempi di risposta, banda disponibile). Il protocollo standard più utilizzato per la realizzazione di Internet VPN è IPsec: • nella modalità «tunnel» viene impiegato per connettere in modo sicuro (riservato e autenticato) i router che interfacciano la rete LAN di diverse sedi aziendali alla rete Internet (VPN site-to-site); • nella modalità «trasparente» viene impiegato per connettere in modo sicuro (riservato e autenticato) attraverso la rete Internet due computer, normalmente un server aziendale con un client esterno alla rete aziendale (VPN end-to-end). Per la realizzazione di VPN end-to-end è molto utilizzato il software openVPN che realizza una VPN a livello di trasporto, anziché a livello di rete. Nel caso di studio proposto, le due sedi aziendali dovrebbero essere connesse mediante una VPN IPsec site-to-site configurata sui router che interfacciano le LAN aziendali alla rete Internet: utilizzando la modalità tunnel del protocollo IPsec è possibile unificare le due LAN aziendali in un’unica rete IP; gli agenti sul territorio possono accedere ai server aziendali mediante una VPN realizzata con openVPN installando lo specifico software client sul proprio PC:

• uno all’ingresso di ogni stazione, dotato di reader RFID contactless in grado di leggere e riconoscere la smart card dell’utente, consentire l’accesso alla stazione e sbloccare uno slot per il noleggio o la riconsegna mostrandone il numero su display;

• uno in ciascuno dei 50 slot di ogni stazione dotato di reader RFID contactless (in grado di leggere e riconoscere il tag RFID fissato su ogni bicicletta) e di una scheda Wi-Fi per inviare i dati all’access point del locale tecnico. Su ogni totem degli slot ci sarà anche un semaforo con:

• luce rossa se la bicicletta è bloccata;

• luce verde se la bicicletta è sbloccata;

• luce spenta se la bicicletta non c’è.

• l’ID dell’utente (letto dal tag RFID della smart card dell’utente mediante il totem all’ingresso);

• l’ID della bicicletta (letto dal tag RFID di ogni bicicletta mediante il totem dello slot);

• la data e ora del noleggio o della riconsegna (prese dal sistema);

• l’ID della stazione (preso dal sistema).

Nel locale tecnico il router viene collegato a uno switch con tre porte GigabitEthernet:

• una verso il totem posto all’ingresso;

• una verso l’access point che raccoglie le informazioni da ogni singolo slot;

• una verso un PC client per l’accesso al server centrale direttamente dalla stazione qualora ve ne fosse bisogno per modificare la configurazione del sistema. Per quanto riguarda le misure utili per garantire la continuità del servizio, la soluzione cloud, affidata ad aziende specializzate in cloud computing e servizi di hosting, può dare ampie garanzie.

b) MITTENTE: è un privato o un’azienda che deve effettuare una o più spedizioni. Per farlo accede al servizio di spedizione online di SOCIETÀ DI SPEDIZIONI ed effettua la richiesta compilando un apposito form (se non è ancora cliente dovrà effettuare prima la registrazione) con i propri dati, quelli del destinatario e le caratteristiche della missiva.

c) DESTINATARIO: è un privato o un’azienda che deve ricevere una o più spedizioni.

d) SEDE LOCALE (SL): è una qualsiasi sede locale della SOCIETÀ DI SPEDIZIONI dotata di magazzino e almeno un MAGAZZINIERE.

e) SEDE REGIONALE (SR): sede regionale dotata di un magazzino e di almeno un MAGAZZINIERE.

f) TRASPORTATORE: è assegnato a una SL o a una SR .

g) MAGAZZINIERE: è assegnato a una SL o a una SR .

1. II MITTENTE accede al portale della SOCIETÀ DI SPEDIZIONI, effettua il login al servizio spedizioni e compila il form con la richiesta.

2. La SOCIETÀ DI SPEDIZIONI prende in carico la richiesta, la elabora e fornisce via mail a MITTENTE e DESTINATARIO il report sui tempi di consegna previsti.

3. La SOCIETÀ DI SPEDIZIONI assegna alla SL di competenza (l’algoritmo selezionerà la sede locale più vicina al MITTENTE) la spedizione e le fornisce il QR code per la missiva.

4. Il TRASPORTATORE, incaricato dalla SL di competenza, si reca dal MITTENTE munito di QR code, ritira la missiva, ne acquisisce la firma grafometrica, applica l’etichetta col QR code sulla missiva.

5. II TRASPORTATORE comunica al sistema la presa in carico (avvenuto ritiro) inviando il proprio codice dipendente, la data, l’ora, il QR code e la firma acquisita.

6. II TRASPORTATORE porta il pacco alla SL di competenza.

7. La SL di competenza, tramite un suo MAGAZZINIERE, prende in carico la missiva e la comunica al sistema.

8. Il TRASPORTATORE incaricato dalla SL di competenza preleva la missiva dal magazzino.

9. II TRASPORTATORE comunica al sistema l’avvenuta presa in carico.

10. Il TRASPORTATORE porta la missiva alla SR della regione del MITTENTE.

11. La SR di competenza, tramite un suo MAGAZZINIERE, prende in carico la missiva e la comunica al sistema.

12. II TRASPORTATORE incaricato dalla SR di competenza preleva la missiva dal magazzino.

13. Il TRASPORTATORE comunica al sistema l’avvenuta presa in carico.

14. II TRASPORTATORE porta la missiva alla SR della regione del DESTINATARIO.

15. La SR di competenza, tramite un suo MAGAZZINIERE, prende in carico la missiva e la comunica al sistema.

16. Il TRASPORTATORE incaricato dalla SR di competenza preleva la missiva dal magazzino.

17. Il TRASPORTATORE comunica al sistema l’avvenuta presa in carico.

18. Il TRASPORTATORE porta la missiva alla SL di competenza (la più vicina al DESTINATARIO).

19. La SL di competenza, tramite un suo MAGAZZINIERE, prende in carico la missiva e la comunica al sistema.

20. Il TRASPORTATORE incaricato dalla SL di competenza preleva la missiva dal magazzino.

21. Il TRASPORTATORE comunica al sistema l’avvenuta presa in carico.

22. Il TRASPORTATORE provvede alla consegna della missiva presso il DESTINATARIO, acquisendone la firma grafometrica.

23. II TRASPORTATORE comunica al sistema l’avvenuta consegna inviando, oltre ai soliti dati, anche la firma acquisita. In qualsiasi momento, mittente e destinatario possono seguire lo stato della spedizione accedendo al servizio online della SOCIETÀ DI SPEDIZIONI.

 I MAGAZZINIERI: navigano sulla linea internet dell’azienda, quindi sono connessi ad una rete locale wireless.

 LE SEDI LOCALI E NAZIONALI devono comunicare in modo sicuro con la SEDE CENTRALE: VPN SITE-TO-SITE

 SOCIETA’ DI SPEDIZIONI: deve aver installato il server per raccogliere e gestire i dati provenienti dal mittente, dai trasportatori e dai magazzinieri: soluzione o Cloud o soluzione interna .

 PER I TRASPORTATORI scheda SIM/USIM (Universal Subscriber Identity Module, evoluzione della SIM) per garantire la connettività 4G/LTE-A necessaria ai trasportatori per comunicare in tempo reale i cambiamenti di stato della spedizione;

 PER I MAGAZZINIERI scheda di rete Wi-Fi per garantire la connettività wireless in ambito locale, utile ai magazzinieri per comunicare in tempo reale i cambiamenti di stato della spedizione;

I magazzinieri all’interno delle SL e delle SR, anch’essi muniti di mini tablet, sfrutteranno il Wi-Fi della LAN aziendale per comunicare col Cloud della SOCIETÀ DI SPEDIZIONI. Per eventuali operazioni da svolgersi al di fuori dall’area coperta dal Wi-Fi, potranno anch’essi utilizzare la rete 4G/LTE-A

 APP per acquisire il QR code tramite la fotocamera digitale del mini tablet;

 GPS integrato per monitorare gli spostamenti degli automezzi in tempo reale;

 APP per acquisire, sul touchscreen del mini tablet, la firma autografa del mittente e del destinatario, nota come firma grafometrica o firma elettronica avanzata (da non confondersi con la firma digitale);

 APP per accedere al servizio in Cloud della SOCIETÀ DI SPEDIZIONI e comunicare i dati e i cambiamenti di stato della spedizione.

I due componenti fondamentali di una rete LTE sono la LTE Access Network e la LTE Core Network. La LTE Access Network è costituita dal LTE User Equipment (LTE-UE), che è il dispositivo mobile dotato di smart card USIM che contiene i dati identificativi dell’utente utilizzati per l’autenticazione e l’accesso al servizio, e dalla stazione base eNodeB (eNB) che si interfaccia alla rete core e che svolge funzioni di sicurezza, tipicamente implementate con tecniche di tunneling e con servizi di autenticazione, integrità e cifratura dei dati. La LTE Core Network ha invece come elemento principale il Mobility Management Entity (MME) che svolge funzioni di controllo, quali, per esempio, l’autenticazione del dispositivo mobile LTE-UE tramite il database HSS (Home Subscriber Server); si occupa anche della gestione della connessione e degli aspetti di mobilità. L’evoluzione di LTE (LTE-Advanced) ha introdotto alcune importanti funzionalità. Tra queste l’impiego di ripetitori intelligenti, detti Relay Node (RN), che, compensando l’attenuazione di propagazione tra utente e stazione base, consentono di aumentare la capacità e la copertura. L’utilizzo di questa tecnologia consentirà ai trasportatori non solo di comunicare i dati per la tracciatura della missiva (utile a mittente e destinatario) come richiesto nella prima parte del tema al Punto 1, ma anche di monitorare lo spostamento degli automezzi (utile alla SOCIETÀ DI SPEDIZIONI).

Una VPN (Virtual Private Network) è una rete privata creata all’interno di un’infrastruttura di rete pubblica.

Una Remote-access VPN consente ai singoli utenti di stabilire connessioni sicure con la intranet aziendale, collegandosi da casa, dalla sede di un cliente o fornitore. Gli utenti possono accedere alle risorse protette della rete locale, come se fossero direttamente collegati ai server della rete.

Dal momento che una VPN utilizza una rete pubblica, si devono affrontare alcuni importanti problemi legati alla trasmissione dei dati e alla loro riservatezza:

1. la variabilità del tempo di trasferimento (traffico, congestione, latenza, velocità variabili, jitter, perdita di pacchetti, ecc.): l’impiego di tecniche di QoS (Quality of Service) consente di trattare il traffico in rete in modo da disciplinare il flusso dei pacchetti;

2. il controllo degli accessi alla VPN e la sicurezza delle trasmissioni: questi problemi vengono affrontati impiegando una combinazione di tre fattori: autenticazione, cifratura e tunneling. L’autenticazione consente solo alle persone autorizzate di accedere alla VPN; solitamente oltre al classico login con username e password si richiede di immettere un pin generato da un key fob oppure si usano applicazioni per la lettura di un QR code sulla pagina di autenticazione. La cifratura si occupa di rendere illeggibili i dati, così da garantirne la segretezza.

Le VPN usano vari algoritmi di cifratura (3-DES, IDEA, ecc.). Vengono utilizzati dei protocolli di sicurezza per lo scambio delle chiavi di cifratura: un esempio è IKE (Internet Key Exchange) della suite di protocolli IPsec.

Il tunneling è una tecnica che consiste nell’incapsulare i pacchetti da trasmettere sulla VPN in altri pacchetti, in modo tale che il pacchetto esterno protegge tutto il contenuto del pacchetto interno, che potrà essere completamente cifrato (inclusi i dati dell’header).

Tipicamente per realizzare le VPN si usano i protocolli:

• IPsec (IP security): è un’architettura di sicurezza a livello Network, molto usata dalle aziende, che si compone di più protocolli: AH (Authentication Header), che garantisce l’autenticazione e l’integrità del messaggio, ma non la confidenzialità;

ESP (Encapsulating Security Payload), che fornisce autenticazione, confidenzialità e integrità del messaggio;

IKE (Internet Key Exchange), usato per lo scambio delle chiavi di crittografia;

• SSL/TLS (Secure Sockets Layer/Transport Layer Security) di tipo Client/Server, che hanno lo scopo di autenticare il server da parte del client e di creare un canale cifrato, sicuro, di comunicazione tra i due. Si tratta di protocolli che operano a livello Transport, usati per proteggere le comunicazioni tra due applicazioni. Infatti, sono tipicamente impiegati in ambito web (HTTPS), dove l’identità nelle connessioni può essere autenticata usando la crittografia asimmetrica (esempio: RSA). È prevista la certificazione del server e, opzionalmente, quella del client. In questo contesto il certificato digitale è il documento elettronico che associa l’identità del server alla chiave pubblica;

• MPLS (Multi-Protocol Label Switching): questa modalità di creare le VPN è tipica degli ISP (Internet Service Provider) ed è offerta come servizio gestito in ambito di reti IP. Questo perché MPLS necessita della rete circoscritta di un Service provider che ne fornisca l’infrastruttura di supporto.

 uno per gestire i dati in arrivo dalle APP installate sui mini tablet di trasportatori e magazzinieri e metterli a disposizione degli uffici centrali,

 e uno per gestire il servizio online di registrazione dei clienti e l’inserimento delle richieste di spedizione.

PERCHE’ SCEGLIERE LA SOLUZIONE IN CLOUD

Le motivazioni della scelta di appoggiarsi al cloud computing sono principalmente due: 1. economiche: poiché la SOCIETÀ DI SPEDIZIONI vuole offrire un nuovo servizio online, la soluzione Cloud consente minori investimenti iniziali sui server e sulle infrastrutture informatiche necessarie, assicurando manutenzione e aggiornamenti; 2. strategiche: poiché la SOCIETÀ DI SPEDIZIONI si occupa di spedizioni (trasportatori e magazzinieri), la soluzione Cloud libera risorse umane dell’IT (sistemisti, telecomunicazionisti, programmatori) che possono concentrarsi sul core business dell’azienda.

Nel data center interno all’azienda resterebbero solo i server per la gestione della LAN degli uffici (DHCP, DNS, web, FTP, mail, ecc.) e i database relativi ai dipendenti e alle spedizioni. Servizi che sicuramente la SOCIETÀ DI SPEDIZIONI aveva già “in casa” prima di decidere di passare alla nuova procedura di gestione informatizzata

L’acronimo indica i tre compiti: il server AAA conferma chi sei (authentication), identifica ciò a cui ti è permesso accedere tramite la connessione (authorization) e tiene traccia di ciò che fai mentre sei loggato (accounting).

La sicurezza dei dati e la tolleranza ai guasti che possono comportare una perdita di dati, sono garantite dal fornitore del servizio Cloud, acquistando il backup automatico del sito e del database. Una buona pratica che la società di spedizioni metterà in atto sarà accedere regolarmente al Cloud in remoto per fare una copia in locale di sito e database. Per quanto riguarda le misure utili per garantire la continuità del servizio online della società di spedizioni (tracciamento delle spedizioni e gestione delle richieste dei clienti), la soluzione Cloud affidata ad aziende specializzate in cloud computing, può dare ampie garanzie (servizi di hosting a pagamento garantiscono la continuità del servizio).

In ogni caso, qualunque sia la soluzione scelta, l’interruzione di un servizio offerto online può essere dovuta a diversi fattori da cui ci si deve proteggere:

• interruzione dell’alimentazione: si previene fornendo la rete di gruppi di continuità;

• guasto alle macchine server: si riesce a limitare la durata dell’interruzione utilizzando server di backup ridondanti o, se i server sono virtualizzati, clonandoli;

• interruzione della connessione Internet: si previene mediante una seconda linea gestita, eventualmente, da un ISP (Internet Service Provider) diverso dal gestore della linea principale;

• eccesso di traffico con punti di congestione e successiva perdita di pacchetti: si tiene sotto controllo il traffico mediante una serie di strumenti di network management che permettono di avere una supervisione dell’intera rete; sono possibili SLA (Service Level Agreement) con gli ISP per garantirsi una voluta QoS (Quality of Service) in termini di larghezza di banda e throughput;

• server sovraccarico di richieste con rallentamento e successivo blocco del servizio (system crash) in certi orari: anche in questo caso sono i Network Management Tools che permettono di monitorare gli accessi al server e in generale alle risorse di rete e quindi permettono di intervenire tempestivamente.

Se il rallentamento si verifica di frequente, una soluzione può essere decidere per un server dedicato (non condiviso) da configurare su una macchina server dalle elevate prestazioni. Se invece il rallentamento si verifica occasionalmente, è sufficiente l’intervento dell’amministratore di rete che può, per esempio, diminuire il TTL (Time To Live) dei pacchetti in attesa.

Fondamentale è anche il controllo del throughput della banda di trasmissione da parte dell’amministratore della rete (bandwidth management);

• attacchi informatici: gli attacchi tipo DoS (Denial of Service), che mirano a bombardare il server di richieste fino a bloccarlo completamente, si possono anch’essi limitare mediante l’utilizzo dei Network Management Tools. Il filtraggio dei pacchetti in arrivo (campionamento e analisi) consente di individuare in tempo utile i flussi da bloccare.