I directory service sono universalmente ritenuti una delle soluzioni più importanti alle problematiche di information security. Conosciamoli meglio.
Ci troviamo in un momento storico in cui l’espansione delle applicazioni di e-business è continua. A tal fine, però, si assiste a una contestuale richiesta di soluzioni relative all’autenticazione degli utenti e, di conseguenza, al non ripudio delle transazioni. Una delle risposte più immediate, ma anche complesse, è quella data dai servizi di directory. A prescindere dal vendor che le presenta, queste implementazioni stanno avendo, sia pur gradualmente, una “responsabilità” sempre più estesa, quasi strategica nel funzionamento dei sistemi informativi.
Sembrerà un paradosso, ma spesso si dimentica che i servizi di directory risiedono su macchine dedicate e che queste ultime, come tutte, del resto, hanno una determinata location fisica. Alcuni analisti rammentano l’importanza di una protezione di detto posizionamento, che di base non è da giudicarsi sicuro. Questo tipo di tutela va oltre quella della “normale” protezione perimetrale e di retroguardia di tipo logico ed è sicuramente altrettanto importante. A nulla, infatti, serve collocare un firewall/Intrusion detection system di varie centinaia di milioni e consentire che qualcuno esca dai locali con i dischi fissi in mano. Ecco, quindi, il primo punto: pianificare una protezione di livello fisico.
Un secondo cenno va fatto circa l’impiego di Ids, come sistemi inseriti in una più ampia politica di auditing dei sistemi. Per quanto concerne il caso specifico, alcuni ritengono necessaria l’adozione di un sistema ibrido più bilanciato su quello host based. Ma il motivo di questa scelta sembra risiedere nel fatto che la maggior parte degli attacchi portati contro i directory service siano mirati agli abusi e le modifiche di file di sistema e, quindi, solo sotto alcuni aspetti, un’implementazione di tipo Hids può essere ritenuta quella più idonea.
Sicurezza “out of the box”.
Se un ruolo cruciale nella tutela dei servizi di directory lo hanno le aziende che li implementano, la stessa responsabiltà, ce l’hanno gli Isv che rilasciano in commercio le soluzioni.
La tendenza che si sta registrando è quella di definire una serie molto articolata di caratteristiche di security intrinseca nei prodotti, al fine di consentirne l’hardening già dall’inizio. Il percorso di raggiungimento di questo obiettivo è dato da una cura accentuata in materia di code auditing, cioè di verifica della corretta stesura del codice sorgente. Questo dovrebbe mitigare i problemi legati ai cosiddetti format string attack. Questa categoria di violazioni è in grado di generare dei buffer overflow che, come conseguenza, possono portare alla compromissione della piattaforma attaccata. Dall’altro lato potrebbe essere interessante seguire l’esempio inizialmente dato da Microsoft, relativamente all’implementazione di Kerberos in sinergia con i directory service implementati.
Allo stato attuale, sia pur con un certo rallentamento rispetto alle previsioni, i servizi di directory stanno diventando, specie nel mondo enterprise, un punto di riferimento sia nel settore del controllo degli accessi in senso stretto, sia per quanto riguarda i privilegi legati ad un determinato utente. Questo significa, in poche parole, massima responsabiltà e strategicità di queste soluzioni. Le previsioni, infatti, vedono i servizi di directory come perno delle transazioni.
Dal punto di vista pratico, la collocazione più naturale dei servizi di directory è quella in sinergia con le Pki (Public key infrastructure). Questo significa, tra l’altro, massima interazione con le certification authority e le strutture correlate. Un esempio è il caso Microsoft/Verisign di cui abbiamo parlato sul numero scorso. Gli amministratori avranno drizzato le antenne, quando hanno saputo della metodica, alquanto approssimativa, con la quale è stata gestita la Certificate Revocation List in quell’occasione. Un consiglio, quindi, è di verificare con la massima attenzione la possibilità di gestire l’interazione tra i propri servizi di directory e altri relativi ai certificati, quali revoca, aggiornamento, validazione e via dicendo. Trattandosi di sistemi di tipo “gerarchico”, inoltre, bisognerà prestare interesse alle caratteristiche di scalabilità delle soluzioni che si stanno implementando. Questo sia per motivi di carattere pratico (prestazioni) sia di sicurezza: più il sistema è scalabile, meno gli “anelli deboli” della catena rischiano di creare problemi.
