Site-to-site Vpn, dial-Vpn ed extranet Vpn: sono queste le ultime evoluzioni delle reti pubbliche a commutazione di pacchetto, introdotte per la prima volta nei lontani anni 80. Uno per uno tutti i fattori e gli standard che le rendono sicure.
Il problema di come garantire la sicurezza delle reti aziendali di nuova generazione, ossia quelle basate su Ip in grado di far viaggiare applicazioni dati e voce, è sempre più sentito. La risposta a questa esigenza di security si è riflessa nello sviluppo, da parte dei produttori, di piattaforme intrinsecamente più sicure, in cui le funzioni di sicurezza inizialmente fornite tramite device dedicati, per esempio i firewall, sono ora distribuite all’interno dei diversi apparati e sui diversi livelli che costituiscono una rete aziendale.
Questa non rappresenta l’unica soluzione al problema, le cui dimensioni dipendono anche dall’estensione della rete aziendale e dallE aree da proteggere, ma risponde adeguatamente al caso di reti geografiche aziendali, in cui siano presenti alcuni nodi principali e decine di sedi aziendali periferiche ed, eventualmente, interconnessioni dedicate verso fornitori o associazioni di categoria, come avviene, per esempio, per il settore del credito. Un discorso analogo lo si riscontra nelle reti di trasporto pubbliche, dove non solo è seguito questo approccio, ma si è avviato anche l’uso di nuovi protocolli di rete, come l’Mpls, che permettono di garantire meglio la sicurezza delle sessioni trasmissive su base end-to-end. La soluzione generalmente adottata per garantire la sicurezza verte sulla realizzazione di Vpn, ovverosia di reti virtuali ricavate dal gestore di una rete pubblica o dal responsabile della rete aziendale sulla infrastruttura fisica di trasporto di base. Da questa, mediante funzionalità residenti nei nodi della rete, quali gli switch o i router che effettuano l’instradamento e la commutazione ai diversi livelli, sono ritagliate delle reti logiche (da cui il termine virtuale) che è possibile assegnare a specifici gruppi di utente, facendo in modo, tramite algoritmi che controllano l’accesso, di permettere l’utilizzo esclusivo solo di determinate applicazioni.
Sotto il profilo fisico le reti coesistono, ma sono del tutto separate, come se fossero infrastrutture diverse. La comunicazione tramite le sottoreti virtuali può avvenire mediante la definizione di punti nodali di interscambio così come succede per le diverse reti pubbliche. L’approccio virtuale costituisce un grosso passo avanti nella sicurezza delle reti, perché permette di realizzare più facilmente i controlli su chi accede alla rete virtuale, quali applicazioni usa e con che modalità temporali o quale qualità del traffico.
Un concetto consolidato ma rinnovato
Il concetto di Vpn non è nuovo e risale perlomeno agli anni 80 quando sono state sviluppate le prime reti pubbliche a commutazione di pacchetto, ma è tornato recentemente in auge, dopo avere avuto una forte diffusione nelle le reti locali, e sta assumendo una valenza significativa proprio abbinato a quello di sicurezza. Va osservato che per Vpn sicure ci si riferisce a quelle che non fanno il mero ricorso a soluzioni quali i firewall, ma a quelle che adottano una serie di accorgimenti aggiuntivi rispetto a quello tradizionalmente costituito dalla pura autenticazione dell’utilizzatore. L’elemento discriminante è rappresentato dalla crittografia, che permette di definire diverse tipologie di Vpn.
La prima è costituita dalle reti intranet, che permettono a reti private di essere estese attraverso Internet o un’altra rete pubblica in modo sicuro. Sono chiamate anche site-to-site Vpn o Lan-to-Lan Vpn.
La seconda è costituita dal mero accesso remoto, e consente a utenti di tipo dial-up individuali di collegarsi a un sito centrale attraverso Internet o un’altra rete pubblica in modo sicuro. Le Vpn di accesso remoto sono chiamate anche dial-Vpn.
La terza tipologia è rappresentata dalle extranet, che permettono connessioni con business partner, fornitori e clienti per usi connessi generalmente al commercio elettronico, per lo scambio di ordini, fatture o quanto attinente ad attività amministrative, mediante messaggi in formati standardizzati. In sostanza, le extranet Vpn sono un’estensione delle intranet Vpn con l’aggiunta di firewall quale strumento di protezione della rete interna.
Un canale di comunicazione riservato e protetto
La sicurezza di una Vpn deriva da diversi fattori, alcuni inerenti alla sua stessa natura, altri rappresentati da applicazioni sviluppate in modo specifico. Il concetto alla base di una rete Vpn è il tunneling, che è una sorta di canale trasmissivo riservato e protetto che viene costruito dagli apparati di rete, utilizzando i servizi di QoS e di CoS disponibili sugli apparati stessi.
Il tunneling, anche se è una connessione dedicata a una specifica sessione o utente, è pur tuttavia intercettabile con strumenti adeguati e, quindi, da solo non è in grado di proteggere efficientemente un trasferimento di informazioni.
Per rendere sicuro il tunneling, l’Internet Engineering Task Force (Ietf) ha definito standard che includono il Point-to-point tunneling protocol (Pptp), il Layer 2 forwarding (L2F), il Layer 2 tunneling protocol (L2Tp), il Virtual tunneling protocol (Vtp) e il Mobile Ip. Le diverse versioni sono supportate da relativi gruppi di produttori di piattaforme hardware e software, e hanno lo stesso obiettivo: specificare come un dispositivo remoto può accedere alla rete aziendale tramite una rete Internet in modo sicuro e a basso costo.
I diversi standard presentano alcune specificità. Per esempio, un tunneling di Livello 3 trasporta in rete solamente l’effettivo pay load di un pacchetto dati mentre il tunneling di Livello 2 trasporta l’intero pacchetto Ppp attraverso il backbone della rete. Nel caso si ricorra alla rete di un provider per collegare utenti o siti geografici, con il Livello 3 la rete aziendale e l’indirizzo di rete del nodo remoto sono a tutti gli effetti separati dalla infrastruttura del service provider o da altre reti aziendali connesse al medesimo service provider.
L2Pt è uno degli standard affermatisi per la realizzazione dei tunnel. Una volta instaurato quest’ultimo tramite il dispositivo prescelto, si è compiuto un primo passo nella realizzazione di una Vpn. Quello successivo consiste nel fornire all’utilizzatore remoto un accesso sicuro alla Lan. L2Tp viene in questo caso abbinato a un altro protocollo di ampia adozione, denominato IpSec (Internet protocol security) e dedicato alla realizzazione di connessioni sicure tra utente remoto e Lan su reti Vpn. IpSec prevede la realizzazione di due diverse modalità di protezione dei dati. La prima permette di autenticare i dati inviati, mentre la seconda aggiunge a questo la cifratura degli stessi. In sostanza, IpSec, che è stato sviluppato dallo Ietf, costituisce una architettura aperta per la realizzazione di reti sicure e al suo interno possono essere inseriti nuovi metodi di cifratura man mano che vengono sviluppati o che i sistemi usati per attaccare i dati si perfezionano. Le modalità di cifratura possono seguire, per esempio, lo standard triplo Des a 168 bit o Aes a 256 bit. L’autenticazione degli utenti può, invece, prevedere alternative quali quelle basate sull’uso di password esterne, di smart card, di sistemi basati su token quali SecurId, di server Radius, di certificati X.509, sino ad arrivare a tecniche evolute di analisi di caratteristiche biometriche. Infine, nelle reti più evolute, soprattutto di service provider, è possibile realizzare soluzioni Pki basate su chiavi pubbliche.
I protocolli per la sicurezza del livello di rete quali l’IpSec hanno, quindi, la funzione di assicurare ai protocolli dei livelli superiori la protezione delle informazioni trasportate nel campo dati, riferito come payload, di un datagramma Ip. Ovviamente non si ottiene gratis.
