Andrea Guerini | Università degli Studi di Milano - State University of Milan (Italy) (original) (raw)

Uploads

Papers by Andrea Guerini

“ PASSWORD WALLET. Sviluppare una procedura di gestione delle password in HTML5. La procedura dev... more “ PASSWORD WALLET. Sviluppare una procedura di gestione delle password in HTML5. La procedura deve funzionare con ogni browser HTML5, anche sui device iPad ed iPhone, tablet e smartphone Android. Deve essere sfruttata la possibilità di funzionare off-line. Deve essere utilizzato lo storage locale. Gli studenti dovranno ideare il sistema per esportare verso altri computer le password gestite in totale sicurezza.“
Lo scopo è la progettazione di una piattaforma per la gestione sicura delle password. Lo sviluppo è partito da un’attenta valutazione delle richieste del committente e delle mie abilità tecniche cercando un compromesso finalizzato alla massima resa. Ho escluso fin da subito la progettazione di un password manager basato su crittazione di un file da conservare in uno storage, sia in locale, sul dispositivo dell’utente, sia in cloud. L’implementazione avrebbe richiesto più tempo di quello a mia disposizione. Ho scoperto Master Password Algorithm, un algoritmo che offriva una soluzione poco diffusa, leggera ed efficace per la gestione delle password basata sul determinismo crittografico.
L’applicazione che ha preso vita funziona su ogni browser, sia mobile sia desktop, eccetto Internet Explorer, Opera Mini e la corrente versione di Microsoft Edge. Le future release del browser nativo di Windows 10 adopereranno il motore di Chromium, già disponibile nelle versioni Beta e Canary, che elimineranno i problemi di compatibilità.
Il funzionamento off-line è stato garantito ricorrendo allo scaricamento della web app nell’application cache, una porzione dello spazio di archiviazione del dispositivo dell’utente, grazie alla definizione di un file manifest.
Infine, l’esportazione delle password è stata ottenuta con le procedure di crittazione deterministica. Non esiste infatti una vera esportazione, ma la possibilità di generare le proprie password su qualsiasi browser aggiornato senza dover proteggere un file e senza dover riservare dello spazio per la memorizzazione di dati. Tale generazione senza conservazione, basata su funzioni di hash crittografiche, è il vero punto di forza dell’applicazione da cui è stato scelto il nome ossimorico di Stateless Vault. Il funzionamento ricorda quello di una calcolatrice soltanto che anziché calcolare somme e sottrazioni, calcola password abbastanza forti ed univoche. L’applicazione è disponibile al seguente indirizzo: https://statelessvault.netsons.org/. Si consiglia la fruizione prima di proseguire nella lettura.
Questo progetto nasce per completare l'esame di Programmazione Web e Mobile, Corso di laurea in Sicurezza dei Sistemi e delle Reti Informatiche, Università degli Studi di Milano, seguendo una traccia proposta da Zucchetti S.p.a.

Questo progetto tratta gli attacchi ad iniezione e, in particolare, approfondisce gli attacchi co... more Questo progetto tratta gli attacchi ad iniezione e, in particolare, approfondisce gli attacchi command injection e SQL injection. La scelta è nata in seguito a considerazioni legate al rischio di sicurezza. Nella prima parte definisco che cosa sia il rischio per un sistema informatico e che cosa sia il rischio per un’applicazione web secondo le indicazioni di OWASP, The Open Web Application Security Project. Questa organizzazione no profit pubblica ogni tre anni circa un rapporto sui maggiori rischi di sicurezza per le web application. Dopo aver elencato i 10 peggiori rischi di sicurezza stilati nel rapporto del 2017, ho osservato la costante presenza in prima posizione delle iniezioni come maggiore causa di pericolo per la sfruttabilità e il potenziale danno tecnico ed economico verso la struttura ospitante. Ad accentuare l’attenzione sul problema sono stati anche i dati pubblicati da Imperva relativi alla larga diffusione di queste falle nel web. Le superfici iniettabili sono estese poiché i vettori d’attacco sono molteplici: code injection, CRLF injection, cross-site scripting, email injection, host header injection, LDAP injection, command injection, SQL injection (SQLi), xpath injection. Tra queste differenti forme mi sono concentrato sul command injection e sull’SQL injection, ovvero sui moduli vulnerabili disponibili nella piattaforma formativa di DVWA (Damn Vulnerable Web Application). Nella seconda parte dell’elaborato ho presentato un LAB basato, appunto, su DVWA. In una macchina virtuale ho installato due sistemi operativi distinti, Parrot Security OS e Debian, rappresentanti il primo la macchina Attacker e il secondo la macchina Victim. Su quest’ultima sono stati aggiunti Apache2, MariaDB, phpMyAdmin e DVWA necessari per la fase di white-box testing. Grazie a differenti livelli di sicurezza ho analizzato come proteggersi da attacchi command injection e SQL injection ai danni di una web application.

Elaborato finale a conclusione del Master in Global Marketing, Comunicazione e Made in Italy del ... more Elaborato finale a conclusione del Master in Global Marketing, Comunicazione e Made in Italy del Centro Studi Comunicare l'Impresa (2017).
Ho lavorato all'ideazione di un canale all news che sia uno strumento utile alla nostra classe imprenditoriale e importante per comunicare al Resto del Mondo come, noi Italiani, agiamo e pensiamo con un fine sia strategico sia attrattivo. La sfida sta nel sapersi promuovere in quanto redazione capace di guardare al mondo da una prospettiva il più possibile oggettiva, consapevole e imparziale servendosi della multimedialità contemporanea. Il sostegno agli Obiettivi per lo Sviluppo Sostenibile dell’Agenda ONU 2030 mostra quale sia la mission a lungo termine: da una parte sensibilizzare il pubblico e dall’altra sostenere chi già compie sforzi nella direzione di un mondo più giusto, eguale e vivibile.
Per eventuali citazioni chiedo di usare la seguente indicazione bibliografica: Andrea Guerini, Indagine per un nuovo canale all news internazionale, sostenibile e strategico, 2017

Thesis Chapters by Andrea Guerini

Il lavoro esposto in questo elaborato si è focalizzato sull’analisi di sicurezza di cinque instan... more Il lavoro esposto in questo elaborato si è focalizzato sull’analisi di sicurezza di cinque instant messaging app (Signal, WhatsApp, Telegram, Viber e LINE) ed è frutto dell’attività svolta durante il tirocinio interno all'Università degli Studi di Milano supervisionato dal Prof. Stelvio Cimato. Le applicazioni sono state selezionate secondo questi tre criteri: reputazione e popolarità, registrazione al servizio tramite numero telefonico e pubblicazione di documenti ufficiali sulla crittografia implementata.
Il testo vuole svelare al lettore la capacità degli applicativi di proteggere le proprietà della sicurezza informatica indagandoli da quattro prospettive: il protocollo crittografico implementato, le dichiarazioni sui metadati raccolti, le informazioni estraibili da un’intercettazione passiva e la solidità contro un’intercettazione attiva.

Non mi sono avvicinato al video game storytelling da giocatore che ha deciso di dedicarsi a una p... more Non mi sono avvicinato al video game storytelling da giocatore che ha deciso di dedicarsi a una propria passione. Character Develpoment and Storytelling for Games di Lee Sheldon parla della narrazione veicolata nei videogiochi. La lettura di quelle pagine ha fatto emergere in me il ricordo delle mie esperienze videoludiche di almeno una decina d’anni fa. A colpirmi è stata la rievocazione non soltanto del desiderio di mettermi a giocare, ma di quanto provavo allora. Non era raro che un “game over” mi facesse alterare tremendamente o che faticassi a darmi un limite temporale quando gli impegni lo consentivano. Ho presunto che ci fosse una grande potenza nel mezzo in questione il cui approfondimento avrebbe potuto mostrare dei risvolti non scontati.

Nel testo inizio trattando la narrazione transmediale ovvero come veicolare un contenuto (storia) attraverso diverse piattaforme (media). La parte centrale esplora lo storytelling interattivo applicato ai videogiochi secondo Lee Sheldon. La terza parte analizza il caso videoludico, quasi senza necessità di presentazioni, di GTA V.