Quando sarà superato il concetto di perimetro di sicurezza?

MalwareSicurezzaSoluzioni per la sicurezza

La crescente mobilità del posto di lavoro spinge le imprese a rivedere le politiche di accesso alle risorse del sistema informativo. La nozione di “deperimetrizzazione” del controllo, però, presuppone un utilizzo massiccio di crittografia e sicurezza a livello di postazione

Nel 2005, il forum Jericho, un gruppo di riflessione dedicato alla sicurezza, ha iniziato a occuparsi del controllo perimetrale, abitualmente effettuato alla periferia della rete per gestire l’accesso al sistema informativo. Consigliando di superare la visione totalmente centrata sul firewall, il gruppo ha tentato di promuovere l’idea di una difesa dell’impresa in profondità. L’obiettivo, di buon senso, consiste nel portare la sicurezza più vicina alle risorse piuttosto che concentrarla alla periferia della rete. La nozione, in sé, non ha niente di nuovo ed è in linea di massima condivisa dagli specialisti di sicurezza, per i quali una buona difesa del sistema informativo va attuata in profondità.

Quattro anni fa, forse, era un po’ troppo presto per dare concretezza a questi argomenti. L’accesso remoto, certamente, era già una preoccupazione per i responsabili della sicurezza, ma nessuno aveva veramente voglia di modificare radicalmente la situazione esistente (nei casi migliori realizzata con firewall, Vpn-IpSec e autenticazione Radius). Oggi, però, le cose sono cambiate a tal punto da rendere una realtà la visione del forum Jericho?

Non ancora, stando alle riflessioni scaturite anche di recente nell’ambito degli eventi sulla sicurezza svoltisi in Italia. C’è stato il cambiamento dettato dallo sviluppo delle applicazioni Web e dei tunnel Ssl. Ma a livello di rete non è cambiato niente: al massimo sono stati scambiati link IpSec con link Ssl. In sostanza, l’architettura di rete fa leva ancora sugli stessi punti di controllo e su una totale libertà di circolazione a livello di Lan.

Il tempo della “deperimetrizzazione” non sembra ancora maturo, anche perché presuppone la garanzia della crittografia e una sicurezza portata a livello della postazione di lavoro, due cose ancora poco applicate nelle aziende o nelle istituzioni pubbliche. Un’idea che potrebbe farsi largo, tuttavia, è quella della “riperimetrizzazione”, spostandosi dai limiti fisici per creare reti più sicure a livello logico. Eliminando traslazioni di indirizzi e altri limiti, i nodi possono interconnettersi fra loro e la sicurezza va a collocarsi al di sotto del livello del trasporto, creando “comunità” specifiche (di utenti, risorse o altro). È un approccio utilizzato per ora da tecnologie di nicchia, come LogMeIn (Hamachi), una Vpn peer-to-peer che aiuta a collegare fra loro macchine via Internet, come se fossero sulla stessa porzione di rete. Tutte le risorse, così, diventano visibili dal momento in cui ci si può connettere alla “nuvola”.

Una tale visione, tuttavia, non è sostenibile in un contesto ancora dominato dall’attuale indirizzamento Ipv4, troppo frammentato, sparpagliato in tante sottoreti isolate dietro traduzioni di indirizzi Nat (Network Address Translation). Solo con l’affermazione di Ipv6 sarà possibile affrancarsi dalle reti fisiche, facilitando la crittografia punto a punto e semplificando il routing. Una rete senza perimetro fisico sarà allora libera per l’accesso, aperta anche a livello di access point Wi-Fi. Tuttavia, solo una volta avvenuta l’autenticazione certificata si potranno creare link Vpn per accedere alle risorse richieste, in funzione delle policy di accesso definite da queste ultime.

In un simile scenario, beninteso, occorre memorizzare i certificati in modo sicuro e, soprattutto, gestirli. Questo implica di avere a disposizione una Pki (Public Key Infrastructure), ossia di passare al livello della strong authentication. Se occorre aggiungere la Pki come ulteriore prerequisito per la deperimetrizzazione, l’attesa rischia di prolungarsi.

Anche qui, però, le cose si stanno muovendo. Uno de freni all’implementazione massiccia della strong authentication è la necessità di dotare gli utenti di dispositivi fisici. Che si tratti di schede a microchip, token o chiavi Usb, questo rappresenta un costo non trascurabile se si pensa a una diffusione su larga scala. Esiste però un dispositivo già largamente diffuso che può aiutare: il cellulare Gsm. Pertanto, iniziano a farsi largo sistemi di autenticazione forte basati su Sms. In concreto, anziché inserire un codice specifico visualizzato, per esempio, su un token (di tipo Rsa SecurId), l’utente riceve questo codice via Sms, dopo una prima autenticazione avvenuta dal portale d’accesso. Il codice si associa al Pin e il gioco è fatto. L’utilizzo di un secondo canale separato rafforza notevolmente la sicurezza della procedura, senza gravare sui costi.

Autore: ITespresso
Clicca per leggere la biografia dell'autore  Clicca per nascondere la biografia dell'autore