5 motivi per cui ricorrere ad una VPN

La scelta dello strumento con cui far lavorare le persone fuori sede torna sul tavolo ogni volta che un’azienda apre una sede, assume qualcuno in remoto o affida la manutenzione di un impianto a un fornitore esterno. La VPN resta la risposta più diffusa, e vale la pena capire per quali motivi lo è davvero e per quali no.

Diciamo subito una cosa, perché circola molta confusione: una VPN cifra il traffico fra due punti. Non riconosce un attacco, non blocca un malware e non distingue un dipendente da qualcuno che ne ha rubato le credenziali. Fa una cosa sola e la fa bene.

• Che cos’è una VPN
• I tipi di VPN che si incontrano in azienda
• I protocolli e quali evitare
• Come funziona il tunneling
• Cinque motivi per ricorrere a una VPN
• Quando la VPN non basta

Che cos’è una VPN

Una rete privata virtuale è un collegamento cifrato che attraversa una rete pubblica. I dati viaggiano su internet come quelli di chiunque altro, ma il loro contenuto resta leggibile solo ai due estremi del collegamento.

L’immagine del tunnel rende l’idea. Chi osserva il traffico vede che c’è uno scambio in corso e fra quali indirizzi avviene, ma non che cosa contiene. Questo è il perimetro esatto della protezione offerta: la riservatezza dei dati in transito.

Va distinto da un’altra cosa che porta lo stesso nome. I servizi VPN commerciali pubblicizzati al grande pubblico servono a mascherare la propria posizione geografica e a sottrarre la navigazione all’operatore telefonico. Non hanno niente a che vedere con l’accesso alla rete aziendale, che è il tema di cui parliamo qui e che abbiamo approfondito nell’articolo su come si protegge l’accesso remoto alla rete.

I tipi di VPN che si incontrano in azienda

Le configurazioni sono sostanzialmente due, a cui se ne aggiunge una terza meno discussa.

La prima è la VPN ad accesso remoto, in inglese client-to-site. Il dispositivo di una persona si collega a un concentratore aziendale e da quel momento si comporta come se fosse in sede. È la modalità che ha retto lo lavoro da remoto quando le aziende hanno dovuto organizzarlo in fretta, ed è quella con la superficie esposta più ampia, perché ogni utenza abilitata è un possibile punto di ingresso.

La seconda è la VPN sede-sede, o site-to-site. Due apparati di rete mantengono un collegamento permanente e le persone non se ne accorgono: da una filiale si raggiungono i server della sede centrale come se fossero nello stesso edificio. Costa meno di una linea dedicata e per questo ha finito per sostituirla quasi ovunque.

La terza è l’interconnessione con organizzazioni esterne. Il fornitore del gestionale, il manutentore di una linea produttiva, la società che gestisce il controllo accessi. Tecnicamente assomiglia a una delle prime due, ma dipende dalla sicurezza di un’azienda che non è la vostra e va governata di conseguenza, con regole scritte su chi concede e chi revoca. È il genere di cosa che dovrebbe stare nelle policy di sicurezza aziendali e che quasi mai ci sta.

I protocolli e quali evitare

Non tutti i protocolli VPN offrono lo stesso livello di protezione, e alcuni di quelli che si trovano ancora configurati sugli apparati andrebbero spenti.

La presenza di PPTP su un apparato aziendale è uno dei riscontri che emergono con una certa regolarità durante le verifiche, quasi sempre come residuo di una configurazione fatta anni prima e mai rivista.

Come funziona il tunneling

Quando un dispositivo invia dati sulla rete, li suddivide in pacchetti. Ogni pacchetto contiene il dato vero e proprio e un’intestazione con indirizzo di partenza, indirizzo di destinazione e informazioni di instradamento.

Anche quando il contenuto viaggia cifrato, come avviene con HTTPS, quell’intestazione resta visibile a chiunque controlli un tratto del percorso. Il tunneling risolve incapsulando il pacchetto originale dentro un altro pacchetto, che viene cifrato per intero: dall’esterno si vede solo un flusso fra il dispositivo e il concentratore aziendale.

Un chiarimento sulla cifratura, perché viene raccontata male quasi ovunque. Non c’è una chiave sola. All’inizio del collegamento le due parti si riconoscono e concordano una chiave temporanea usando meccanismi asimmetrici; da quel momento il traffico viaggia con cifratura simmetrica, molto più rapida. Il meccanismo è lo stesso che abbiamo descritto parlando di crittografia nella sicurezza informatica, e la solidità dell’insieme dipende da come quelle chiavi vengono generate e conservate.

Cinque motivi per ricorrere a una VPN

1. Il traffico su reti che non controllate resta illeggibile. Una persona che lavora dall’albergo, dal treno o dalla rete domestica sta usando un’infrastruttura su cui non avete alcuna voce in capitolo. Il tunnel rende irrilevante la qualità di quella rete, almeno per quanto riguarda la riservatezza di ciò che transita.
2. I servizi interni non devono essere pubblicati su internet. È il motivo tecnicamente più rilevante e il meno citato. Senza VPN, per far raggiungere un gestionale o un desktop da fuori bisogna esporlo direttamente, e quel servizio diventa bersaglio di scansioni automatiche continue. La vicenda di BlueKeep e della vulnerabilità RDP ha mostrato che cosa succede quando un protocollo nato per la rete interna finisce raggiungibile dall’esterno.
3. Più sedi lavorano come una sola rete. Filiali, stabilimenti e magazzini si collegano senza affittare linee dedicate, mantenendo un unico spazio di indirizzamento e regole coerenti. Il risparmio è consistente, e la gestione si semplifica perché i sistemi centrali restano in un posto solo.
4. Gli accessi dei fornitori diventano governabili. Un tunnel dedicato a ciascun fornitore, attivo solo verso i sistemi che deve toccare, è una situazione molto diversa dall’utenza generica condivisa da tre tecnici diversi. Consente di revocare un accesso senza toccare gli altri e di sapere a chi appartiene.
5. Resta una traccia di chi è entrato e quando. Il concentratore registra ogni collegamento con utenza, orario e indirizzo di provenienza. È materiale che serve poco finché tutto va bene e diventa l’unica cosa disponibile quando qualcosa va storto. A patto che quei registri qualcuno li conservi e ogni tanto li guardi.

Quando la VPN non basta

I cinque motivi sopra reggono, ma nessuno di essi dice che la VPN mette al riparo da un attacco. Conviene essere chiari sui limiti.

Il tunnel trasporta chiunque presenti credenziali valide, comprese quelle rubate. Per questo il secondo fattore di autenticazione non è un accessorio: senza, una password finita in circolazione vale un accesso alla rete interna, ed è utile sapere come si abilita la 2FA prima di occuparsi d’altro.

Il concentratore stesso è un servizio esposto, con le sue vulnerabilità e i suoi aggiornamenti da applicare. E una volta dentro, la domanda che decide la gravità di un incidente è quanto della rete quel collegamento raggiunge: una rete piatta trasforma una singola utenza compromessa in una compromissione completa. Lo scenario del dispositivo domestico usato come ponte verso l’azienda l’abbiamo descritto nell’articolo su lavoro da casa e prevenzione dei rischi.

C’è infine una scelta di configurazione che merita una valutazione a parte, quella fra far passare tutto il traffico dal tunnel o soltanto quello diretto ai sistemi interni. Ha implicazioni concrete su banda e controlli, e le abbiamo messe a confronto parlando di vantaggi e rischi dello split tunneling.