VPN la rete aziendale a domicilio, da dove partire

Quando un’azienda apre un accesso remoto, la domanda che si pone quasi sempre è come farlo funzionare. Quella che resta scoperta è un’altra: che cosa avete appena messo a disposizione di chiunque passi da internet.

Una VPN aziendale non è solo un tunnel cifrato per far lavorare le persone da casa. È un servizio pubblicato, raggiungibile ventiquattro ore al giorno, che custodisce le credenziali di ingresso all’intera rete interna. Vale la pena guardarlo per quello che è.

Indice degli argomenti

1. VPN aziendale e VPN commerciale non risolvono lo stesso problema
2. Le tre configurazioni che si incontrano in azienda
3. Il concentratore è un servizio esposto su internet
4. L’autenticazione è il punto in cui si cede più spesso
5. Che cosa raggiunge chi entra
6. Zero trust non sostituisce la VPN
7. Da dove partire per verificare la vostra

VPN aziendale e VPN commerciale non risolvono lo stesso problema

C’è una confusione che complica ogni discussione sull’argomento. Il termine VPN copre due cose che hanno in comune solo la cifratura del traffico.

I servizi commerciali che trovate pubblicizzati servono a mascherare la vostra posizione e a sottrarre il traffico all’operatore di rete. Il vostro dispositivo si collega a un server del fornitore, che naviga per conto vostro. Se volete capire meglio quella categoria di prodotti abbiamo scritto un articolo dedicato ai motivi per cui si ricorre a una VPN.

La VPN aziendale fa l’opposto. Non vi porta fuori, vi porta dentro: costruisce un collegamento fra un dispositivo remoto e la rete interna dell’organizzazione, come se quel dispositivo fosse in sede attaccato a una presa di rete. È una differenza che conta, perché sposta completamente il tipo di rischio. Nel primo caso il problema è di chi fornisce il servizio. Nel secondo il problema è vostro.

Le tre configurazioni che si incontrano in azienda

Le architetture che troviamo installate nelle organizzazioni italiane si riducono sostanzialmente a tre, con esposizioni diverse.

La terza è quella che si trascura con più facilità. L’accesso concesso al manutentore di un impianto o al fornitore del gestionale resta attivo per anni, spesso con un’utenza condivisa e senza secondo fattore, e nessuno lo rivede finché non succede qualcosa. Le policy di sicurezza aziendali dovrebbero stabilire chi revoca quegli accessi e ogni quanto si verificano.

Il concentratore è un servizio esposto su internet

Qui sta il punto che sfugge più spesso. Il dispositivo che termina i tunnel, che sia un firewall, un appliance dedicato o un servizio software, deve per forza essere raggiungibile da qualunque indirizzo. Altrimenti le persone non potrebbero collegarsi.

Questo significa che il concentratore VPN vive nella stessa condizione di un sito web pubblicato: chiunque può interrogarlo, capire quale prodotto è e quale versione monta. E i prodotti di accesso remoto dei principali vendor sono stati oggetto, negli ultimi anni, di vulnerabilità critiche sfruttate attivamente prima ancora che molte aziende si accorgessero dell’esistenza della patch.

Il meccanismo è quello che abbiamo descritto parlando di che cosa sono gli exploit: la vulnerabilità viene resa pubblica, il codice per sfruttarla circola nel giro di ore, e la scansione di massa su internet individua tutti i dispositivi non aggiornati. Non serve che qualcuno vi abbia preso di mira. Basta essere raggiungibili e indietro con gli aggiornamenti.

Lo stesso vale per i servizi che affiancano la VPN e che spesso restano esposti per pigrizia, come l’accesso remoto al desktop. La vicenda di BlueKeep e della vulnerabilità RDP ha mostrato bene cosa succede quando un protocollo pensato per la rete interna finisce pubblicato su internet.

L’autenticazione è il punto in cui si cede più spesso

Anche quando il concentratore è aggiornato, resta il modo in cui le persone dimostrano di essere chi dicono.

La combinazione utente e password da sola non regge. Le credenziali finiscono in circolazione attraverso violazioni di servizi terzi, campagne di phishing mirate, oppure semplicemente perché la stessa password viene riusata ovunque. Chi le ottiene non deve forzare nulla: si collega alla VPN e la rete lo accoglie come un dipendente.

Il secondo fattore di autenticazione cambia la situazione, ed è il motivo per cui vale la pena capire come si abilita la 2FA prima ancora di discutere di tecnologie più raffinate. Non tutti i secondi fattori però valgono uguale. I codici OTP inviati via SMS sono meglio di niente, ma restano intercettabili e aggirabili con tecniche di social engineering. I certificati installati sul dispositivo e le chiavi hardware sono più solidi, perché legano l’accesso a qualcosa che l’attaccante deve avere fisicamente.

Una precisazione tecnica che spesso viene raccontata male: la cifratura del tunnel non usa una chiave sola. Nella fase iniziale le due parti si riconoscono e concordano una chiave con meccanismi asimmetrici, poi il traffico vero e proprio viaggia con cifratura simmetrica, molto più veloce. Se volete il quadro completo abbiamo trattato l’argomento parlando di crittografia come tassello della sicurezza informatica.

Che cosa raggiunge chi entra

Supponiamo che qualcuno sia riuscito a collegarsi con credenziali non sue. La domanda successiva decide la gravità dell’incidente: da lì, dove arriva?

In molte reti la risposta è ovunque. Il tunnel consegna un indirizzo della rete interna e da quel momento il dispositivo remoto parla con i server, i condivisi, i gestionali, le stampanti, gli apparati di gestione. La segmentazione della rete è quindi la misura che limita il danno più di qualunque altra, perché trasforma una compromissione totale in una compromissione circoscritta a un’area.

Vale anche in senso opposto. Il computer che si collega da casa sta su una rete domestica dove convivono dispositivi che nessuno controlla, dalla smart TV al dispositivo dei figli. Se quel computer è compromesso, il tunnel diventa un ponte verso la vostra rete interna. Abbiamo approfondito lo scenario nell’articolo su lavoro da casa e prevenzione dei rischi.

C’è poi una scelta di configurazione che merita attenzione, quella fra tunnel integrale e split tunneling. Nel primo caso tutto il traffico del dispositivo passa dalla rete aziendale, comprese le navigazioni personali, con un carico maggiore sulla banda ma con la possibilità di applicare i controlli aziendali ovunque. Nel secondo caso solo il traffico diretto ai sistemi interni entra nel tunnel, alleggerendo la connessione ma lasciando il resto della navigazione fuori da qualunque filtro. Non esiste una risposta valida per tutti: dipende da quanti controlli avete in sede e da quanto vi fidate dei dispositivi.

Zero trust non sostituisce la VPN

Da qualche anno il modello zero trust viene presentato come il superamento della VPN. È una semplificazione che fa comodo a chi vende piattaforme.

L’idea di fondo, formalizzata dal National Institute of Standards and Technology nella pubblicazione speciale 800-207, è che la posizione nella rete non debba più conferire fiducia. Essere dentro il perimetro non basta: ogni richiesta viene valutata sulla base dell’identità, dello stato del dispositivo e del contesto. In pratica significa che il vostro accesso al gestionale del magazzino non vi apre automaticamente la porta del database del personale.

Questo non elimina la VPN, ne riduce il raggio d’azione. Il tunnel continua a servire per raggiungere i sistemi legacy che non sanno gestire l’autenticazione moderna, e nelle aziende manifatturiere continua a essere l’unica strada verso apparati che hanno vent’anni e nessuna intenzione di aggiornarsi. La transizione è un percorso lungo, e nel frattempo la VPN va tenuta in ordine.

Da dove partire per verificare la vostra

Le domande che portano più lontano, nella nostra esperienza, sono poche e concrete.

Quale versione monta il vostro concentratore e da quanto tempo non viene aggiornata. Quanti account hanno diritto di collegarsi e quanti di questi appartengono a persone che non lavorano più con voi. Se il secondo fattore è attivo per tutti o solo per alcuni. Se esiste un registro degli accessi che qualcuno legge davvero. E soprattutto che cosa raggiunge, una volta dentro, chi si collega con l’utenza di un fornitore.

Rispondere richiede una verifica tecnica, non un questionario. Un assessment sui servizi esposti dice quali vulnerabilità note sono presenti sul perimetro, e un’attività di penetration test mostra se e fino a dove è possibile arrivare partendo da un accesso remoto. Sono due esercizi diversi che rispondono a due domande diverse, come abbiamo spiegato confrontando le finalità del penetration test.