Area RETI — Reti e sicurezza di rete

✅ C (14). /28 = 28 bit di rete, 4 bit per gli host. 2^4 = 16 indirizzi totali. Host utilizzabili = 16 - 2 (network address + broadcast) = 14. ❌ A (30): sarebbe /27 (5 bit host, 2^5-2=30). ❌ B (16): è il totale inclusi network e broadcast. ❌ D (8): sarebbe /29 (3 bit host, 2^3-2=6) — 8 non corrisponde a nessuna subnet comune.

✅ B. IPv6: 128 bit (vs 32 IPv4), header semplificato (no checksum, no frammentazione nei router), SLAAC per autoconfigurazione senza DHCP, multicast nativo. NAT NON è necessario grazie all'enorme spazio di indirizzamento. ❌ A: 64 bit non è IPv6. ❌ C: IPv6 elimina la necessità di NAT (non lo rende obbligatorio). ❌ D: l'header IPv6 è fisso a 40 byte (più grande di IPv4), ma più semplice.

✅ B. SSH cifra l'intera sessione (negoziazione, autenticazione, comandi, output). Telnet trasmette tutto in chiaro, incluse le password → inaccettabile su reti non fidate. ❌ A: SSH usa cifratura che aggiunge overhead ma non compressione obbligatoria. ❌ C: SSH usa porta 22; Telnet usa porta 23 (invertiti nella risposta). ❌ D: SSH supporta nativamente l'autenticazione con chiave pubblica (è una delle sue principali caratteristiche).

✅ B. CSRF: l'utente è autenticato su sito-legittimo.it; un sito malevolo contiene una richiesta automatica verso sito-legittimo.it che viene eseguita con la sessione/cookie dell'utente. La prevenzione è il CSRF token (valore casuale nel form verificato lato server). ❌ A: è XSS. ❌ C: è man-in-the-middle. ❌ D: è command injection / OS injection.

✅ B. MitM: l'attaccante si interpone tra client e server. TLS con verifica del certificato (catena di fiducia) rende impraticabile l'intercettazione senza che il client veda un warning. HSTS forza HTTPS. Certificate pinning associa il certificato atteso all'applicazione. ❌ A: il firewall filtra il traffico ma non autentica l'identità del server. ❌ C: l'antivirus non previene MitM a livello di rete. ❌ D: il rate limiting limita gli abusi ma non protegge dall'intercettazione.

✅ B. Il WAF analizza il traffico HTTP/HTTPS e blocca richieste che corrispondono a pattern di attacchi web noti (OWASP Top 10). Opera a livello applicativo (L7). ❌ A: gli attacchi DDoS volumetrici sono mitigati da CDN, scrubbing center, BGP blackholing — non dal WAF. ❌ C: le vulnerabilità OS sono coperte da patch management e IDS/IPS a livello OS. ❌ D: la sicurezza fisica è separata dalla sicurezza applicativa.

✅ B. DNSSEC firma crittograficamente i record DNS con la chiave privata della zona. Il resolver verifica le firme usando la chiave pubblica → autentica l'origine e garantisce integrità (nessuna manomissione). NON cifra il contenuto (per cifratura: DNS over HTTPS o DNS over TLS). ❌ A: DNSSEC non cifra le query. ❌ C: DNSSEC non autentica gli utenti. ❌ D: il caching è funzione del DNS resolver, non di DNSSEC.

✅ B. Zero Trust: «never trust, always verify». Anche un utente dentro la rete aziendale deve autenticarsi e autorizzarsi per ogni risorsa. Contesto (device, location, orario) è sempre valutato. ❌ A: il modello tradizionale «castle and moat» (fiducia implicita interna) è esattamente ciò che Zero Trust supera. ❌ C: Zero Trust si applica sia agli accessi interni sia esterni. ❌ D: il perimetro da solo non è sufficiente (lateral movement, insider threat).

OSPF è un protocollo IGP (Interior Gateway Protocol) di tipo link-state: ogni router costruisce una mappa topologica completa della rete e calcola il percorso più breve con l'algoritmo di Dijkstra.

BGP è il protocollo EGP (Exterior Gateway Protocol) che gestisce il routing tra Autonomous System (AS) su Internet. I router degli ISP usano BGP per scambiarsi le tabelle di routing globali.

Gli indirizzi IPv6 sono di 128 bit (vs 32 bit di IPv4), scritti come 8 gruppi di 4 cifre esadecimali separati da ':'. Permette circa 3.4×10^38 indirizzi distinti.

Le VLAN segmentano a livello logico (layer 2) una rete fisica in più broadcast domain separati, migliorando sicurezza e gestione. Il traffico inter-VLAN richiede routing (router o switch L3).

SDN disaccoppia il control plane (decisioni di routing, su un controller centralizzato software) dal data plane (forwarding dei pacchetti negli switch). Permette programmabilità e gestione centralizzata della rete.

In un attacco MitM, l'attaccante si posiziona tra A e B, intercettando il canale di comunicazione. Può leggere (sniffing) e/o modificare (tampering) i dati. Contromisure: TLS con pinning, HSTS, autenticazione mutua.

TLS garantisce: autenticazione (verifica del certificato server), confidenzialità (cifratura simmetrica), integrità (MAC/HMAC). Tutte e tre le proprietà insieme.

QoS classifica il traffico e garantisce risorse (banda, latenza, jitter) ai flussi critici (VoIP, videoconferenza) rispetto al traffico best-effort. Fondamentale nelle reti convergenti.

Un DDoS usa una botnet (molti sistemi compromessi) per saturare le risorse del target (banda, CPU, memoria) rendendolo irraggiungibile ai legittimi utenti. Diverso da un attacco di esfiltrazione dati.