Pensiero Profondo BLOG

Se non piove, pioverà...

diceva lo slogan che negli anni '70 invitava ad acquistare un impermeabile tascabile. Cosa può servire oggi per far fronte alle conseguenze di un attacco RANSOMWARE?

Le NUVOLE del RANSOMWARE incombono su di noi

Non passa giorno senza la notizia di un nuovo episodio di RANSOMWARE ai danni di una Azienda, di un Comune, di una Scuola o di una Utility.

Inutile ormai chiedersi SE capiterà a noi.
Bisogna solo pensare a QUANDO capiterà...

Si può cercare di prevenire questa evenienza mettendo in atto tutta una serie di misure di protezione, come suggerito da numerosi articoli che sono apparsi recentemente sulla stampa specializzata.
Ci si può anche tutelare stipulando una adeguata copertura assicurativa.
Ci si può addirittura preparare a ripristinare tempestivamente i dati persi, a partire dalle copie di BACKUP, fino ad attivare - se necessario - i piani di Disaster Recovery.

Ma cosa fare QUANDO capita ?

Essere pronti a gestire gli incidenti di sicurezza non basta

Le Organizzazioni che hanno predisposto piani e procedure per la gestione degli incidenti di Cyber Security sono preparate a far fronte alle conseguenze di un attacco alle proprie infrastrutture IT e sono in grado di attivare tempestivamente una task force di tecnici (l'Incident Response Team) in grado di analizzare la situazione ed intervenire per ripristinare i sistemi colpiti.

Analizzando i casi di RANSOMWARE recentemente capitati, ho però pensato che sarebbe stato utile prevedere alcune attività specifiche che avrebbero aiutato le Aziende colpite a reagire meglio a questo particolare tipo di attacco.

Vorrei condividere con voi queste mie riflessioni.

1. "Spegnere" la Rete Locale

In caso di attacco RANSOMWARE, la prima cosa da fare è contenere l'infezione.

Per far questo occorre isolare i sistemi colpiti dal resto della Rete Aziendale, in modo da evitare che il RANSOMWARE si propaghi ad altri sistemi.

Tutte le moderne architetture LAN prevedono l'impiego di apparati di rete "gestiti", ovvero provvisti di una apposita interfaccia di amministrazione e configurazione.

La gestione può essere effettuata:

• "in-band", ossia utilizzando una qualsiasi tra le porte di accesso che forniscono la connettività di rete ai Client Aziendali;
• "out-of-band", ovvero attraverso una porta di rete dedicata e separata dalle altre porte di accesso, oppure attraverso la porta seriale RS-232.

Dal punto di vista della Network Security, la soluzione migliore è certamente quella che prevede la gestione "out-of-band" mediante una rete separata.

Utilizzando l'interfaccia di gestione, gli Amministratori di Rete sono in grado di gestire la configurazione dell'apparato ed in particolare di "spegnere" (shutdown) o "accendere" (no shutdown)  ciascuna delle porte di accesso:

Non sarebbe quindi complicato realizzare uno SCRIPT in grado di "spegnere" immediatamente tutte le porte di accesso di una Rete Locale o di porzioni di essa.

Questo SCRIPT potrebbe essere utile proprio per isolare dalla rete i sistemi colpiti dal RANSOMWARE o, in caso di emergenza, per disconnettere l'intera Rete Locale.

Gli Amministratori di Rete avrebbero così a disposizione una sorta di pulsante di arresto di emergenza della Rete Locale, pronto per essere premuto in caso di attacco RANSOMWARE !

La disattivazione a livello LOGICO della Rete Locale ha il vantaggio di essere certamente più immediata ed efficace della disattivazione a livello FISICO, come invece qualcun altro propone:

2. Avvertire tutti i Dipendenti

Se capita un attacco RANSOMWARE occorre avvertire tempestivamente tutti i nostri Dipendenti, indicando loro cosa fare e cosa non fare.

Per avvertirli però non possiamo pensare di utilizzare i canali di comunicazione consueti (es. la mail) in quanto i relativi servizi potrebbero essere compromessi dall'attacco in corso !

Anche qualunque altro sistema di contatto basato sulla connettività di Rete (ad es. un avviso sul Portale Intranet Aziendale) non è adatto.

L'intera Rete Locale potrebbe essere stata resa inutilizzabile dal malware stesso o dagli Amministratori di Rete, che magari l'hanno "spenta" di proposito, proprio per evitare la propagazione del contagio.

Moltissime Aziende rendono disponibili ai propri Dipendenti il cellulare Aziendale. Si tratta in genere di uno smartphone su cui possono essere installate anche alcune APP Aziendali, da utilizzare per effettuare alcune operazioni in mobilità.

Si potrebbero pertanto utilizzare i Cellulari Aziendali per comunicare coi Dipendenti, anche quando la Rete Aziendale è fuori uso.

Se possibile, però, sarebbe meglio evitare l'utilizzo di servizi di messaggistica basati su Internet, quindi perchè non usare gli SMS ?

Gli SMS non hanno bisogno di Internet per funzionare. Utilizzano la rete cellulare e sono in grado di raggiungere tempestivamente un gran numero di utenti. Basta il numero di telefono e si può inviare un breve messaggio di 160 caratteri a chiunque.

Le Aziende che forniscono ai propri Dipendenti un cellulare Aziendale conoscono certamente i loro numeri di telefono, in quanto assieme al cellulare viene fornita la relativa scheda SIM e i costi di telefonia vengono addebitati all'Azienda.

Da qualche parte quindi è certamente presente un elenco aggiornato di tutte le SIM Aziendali e dei corrispondenti numeri di telefono.

Dovrebbe perciò essere relativamente facile inviare rapidamente un SMS a tutti i cellulari Aziendali, semplicemente componendo il testo e inserendo la lista di tutti i numeri a cui deve essere inviato.

Le uniche 2 cose di cui abbiamo bisogno per mettere in piedi questo servizio di comunicazione di emergenza sono:

• la lista dei numeri di telefono da contattare (meglio se organizzata per Reparto e mansione dei destinatari, in modo da poter inviare comunicazioni "mirate", se necessario...);
• una piattaforma software per l'invio massivo di SMS, che può essere installata su un PC dedicato oppure realizzata attraverso appositi servizi in CLOUD.

...ma anche i cartelloni possono essere utili !

In aggiunta agli SMS può essere utile predisporre anche un sistema di comunicazione più "diretto", come ad esempio dei cartelloni posti agli ingressi:

3. Pagare o non pagare il riscatto ?

In caso di attacco RANSOMWARE andrebbe messa in conto - tra le altre - anche l'eventualità di essere costretti a pagare il riscatto per tentare di rientrare in possesso dei dati Aziendali cifrati.

Questa eventualità dovrebbe essere valutata in anticipo dai Vertici Aziendali, definendo una apposita Politica Aziendale in merito.

Questa Politica dovrebbe:

• essere coerente con le altre Politiche Aziendali relative alla gestione dei rischi e sulla Responsabilità Sociale;
• stabilire anticipatamente un livello di soglia di rischio al di sopra del quale si potrebbe decidere di optare per il pagamento del riscatto;
• definire chi in Azienda ha l'autorità per decidere in merito;
• indicare eventuali limiti operativi (es. l'importo massimo del riscatto che l'Azienda sarebbe disposta a pagare);
• individuare le possibili modalità di pagamento e dare indicazioni in merito alla predisposizione delle operazioni necessarie (es. "come ci procuriamo i Bitcoin necessari a pagare l'eventuale riscatto ?").

E' importante evitare di farsi trovare impreparati:

4. Definire una strategia di comunicazione

Per evitare che l'attacco RANSOMWARE possa avere un impatto devastante sulla reputazione dell'Azienda, è necessario definire in anticipo una strategia di comunicazione verso gli stakeholder e i media.

Tentare di nascondere i fatti di solito peggiora le cose, quindi chi si occupa di Relazioni coi Clienti, di Relazioni Esterne e di Relazioni con gli Investitori dovrà farsi carico di comunicare quello che sta accadendo.

E' importante che questa strategia di comunicazione:

• stabilisca in modo chiaro il "taglio" e la tempistica delle comunicazioni, indicando se l'Azienda intende optare per una piena divulgazione, ispirata al principio della massima trasparenza, o se invece prevede di limitare le comunicazioni verso l'esterno allo stretto indispensabile;
• sia condivisa tra tutte le Funzioni Aziendali coinvolte;
• sia attuata in modo coordinato tra di esse.

Insomma, in 2 parole...

«Estote Parati !»

Cordialmente vostro,
Autostoppista Cyber Galattico.

Oggi voglio parlarvi del più fantastico TOOL di Hacking che mi sia mai capitato di vedere ! Nessun programma su GITHUB. Niente PLUGIN per METASPLOIT. Si tratta semplicemente di questo:

Come ne sono venuto a conoscenza

Un giorno, girando per il Magazzino, mi capita di notare che sul tavolo - vicino ad ogni postazione informatica - c'era un bel bullone da 15 come quello che vedete qui sopra. Ho subito pensato: «Che bel fermacarte !».

Poi ho visto questo:

e mi sono chiesto: «cosa cavolo ci fa un bullone del 15 appoggiato sul tasto "Alt" della tastiera di una delle Postazioni di Lavoro usata per caricare su SAP le transazioni di Magazzino ?»

L'addetto al Magazzino era tra gli scaffali a reperire il materiale per una consegna, quindi ho dovuto attendere che tornasse per chiedere spiegazioni...

Quando il Magazziniere è tornato, col carrello pieno di materiale, ha tolto il bullone dalla tastiera, lo ha appoggiato sulla scrivania ed ha iniziato a digitare a terminale la lista del materiale in consegna.

Vi confesso che mi ci sono voluti diversi minuti per capire che il bullone serviva per impedire la chiusura automatica della sessione di lavoro sul PC !

In tutte le Postazioni di Lavoro è impostato, mediante una Group Policy, l'avvio in automatico del Salvaschermo dopo un tempo di inattività pari a 10 minuti. L'avvio del Salvaschermo chiude ovviamente anche la sessione di lavoro eventualmente rimasta aperta e mette in blocco il PC. Per sbloccare il PC occorre reinserire le credenziali di accesso.

Con il bullone, invece, la sessione rimane aperta anche quando non c'è nessuno !
Ingegnoso, vero ?

Ma come funziona ? E perchè proprio sul tasto "Alt" ?

Per capire come e perchè questo semplice trucchetto funziona, è necessario prima di tutto andare a vedere nel dettaglio come è fatta la tastiera di un PC.

Dentro la tastiera...

Una tastiera è molto simile a un computer in miniatura. Ha un proprio processore e circuiti che trasportano informazioni da e verso quel processore.

I tasti funzionano come degli interruttori. Il tasto premuto chiude il circuito e fa arrivare la corrente al microprocessore. Il tasto rilasciato apre il circuito e la corrente non arriva più.

Ogni tasto è inserito in una matrice circuitale di righe e colonne.

Quando un tasto viene premuto, due segnali (uno identifica la riga e l'altro la colonna) arrivano al microprocessore interno che contiene una mappa dei caratteri nella sua ROM e può quindi codificarli e comunicare al PC il tasto premuto.

Tasti "speciali"

Nella tastiera sono presenti anche dei tasti chiamati "modificatori". Un tasto modificatore è un tasto speciale che modifica temporaneamente la normale azione di un altro tasto, quando viene premuto insieme a questo. I più comuni sono:
Shift (Maiuscolo)
Ctrl (Controllo)
Alt (Alternativo)
AltGr (Grafica alternativa)
Win (logo Windows)
Fn (Funzione)

Di per sé i tasti modificatori di solito non fanno nulla. In altre parole, premendo uno qualsiasi dei tasti Shift, Alt, Ctrl ecc. non si attiva (in genere) alcuna azione sul Computer.

Come viene rilevato il "tempo di inattività" ?

Il Sistema Operativo del PC prevede un Timer di inattività, ossia un contatore che conta i secondi che trascorrono mentre il PC non riceve segnali di input dalla tastiera o dal mouse.

Ogni volta che viene premuto un tasto sulla tastiera o che viene rilevato un movimento o un click del mouse, il Timer si resetta.

Quando il Timer di inattività raggiunge il valore impostato per il Salvaschermo, il Sistema Operativo avvia automaticamente il programma Salvaschermo e mette in blocco il PC.

Il ruolo dei tasti "speciali" nel calcolo del Tempo di inattività

Non tutti i tasti "speciali" resettano il Timer di inattività, quando sono premuti.

Tra i vari tasti "speciali" (cioè quelli che - quando premuti da soli - non attivano alcuna azione sul PC) vi sono alcuni tasti per cui il Timer di inattività continua ad incrementarsi anche quando questi sono premuti. Anche la loro pressione continua non resetta il Timer di inattività.

I restanti tasti "speciali" invece resettano correttamente il Timer di inattività, quando premuti.

Questo differente comportamento tra i vari tasti "speciali" nei confronti del Timer di inattività dipende da come sono scritti alcuni componenti del Sistema Operativo e del BIOS del PC.

Possiamo vedere tutto questo con un esempio:

Ecco quindi dove sta il "trucco"...

L'abilissimo HACKER che ha trovato questo ingegnoso sistema per superare il problema del blocco del PC non ha dovuto far altro che trovare "sperimentalmente" quale tasto "speciale" tenere premuto con il bullone, in modo che:

• quel tasto "speciale" - anche se tenuto continuamente premuto dal bullone - non interferisse con le finestre delle applicazioni aperte (SAP);
• quel tasto "speciale" - quando tenuto continuamente premuto dal bullone - mantenesse il Timer di inattività del PC a ZERO, impedendo così l'attivazione automatica del Salvaschermo;
• quel tasto "speciale" si trovasse sulla tastiera in una posizione relativamente "comoda" per poterci appoggiare sopra il bullone.

Ma PERCHE' l'ha fatto ?

Viene da chiedersi: perchè mai un Magazziniere-HACKER avrebbe voluto "neutralizzare" una misura di sicurezza imposta dalle Security Policy Aziendali, rischiando anche tra l'altro di incorrere in possibili sanzioni ?

La spiegazione l'ho trovata quando ho provato a fare il suo lavoro "senza il bullone".

Un Magazziniere non passa tutto il suo tempo davanti al Computer. Il suo compito principale consiste nel movimentare le merci, quindi è spesso in giro per gli scaffali del magazzino con un carrello ed utilizza il PC solo quando deve registrare a Sistema le operazioni di carico e scarico merci, per tenere aggiornate le giacenze.

Il Sistema SAP-MM utilizzato in Azienda è implementato dal punto di vista tecnico mediante una architettura particolare (un ambiente di Virtualizzazione Applicativa) e (per ragioni "storiche") prevede un proprio sistema di autenticazione degli utenti con user-name e password diverse da quelle utilizzate per autenticarsi al PC.

Tutto ciò comporta, per il Magazziniere che deve registrare un movimento merci su SAP da un Computer la cui sessione di lavoro è stata automaticamente bloccata dallo Screensaver, i seguenti passi:

1. Sbloccare il Salvaschermo del PC, inserendo le proprie credenziali di Dominio;
2. Eseguire l'accesso all'ambiente di Virtualizzazione, inserendo anche qui le proprie credenziali di Dominio;
3. Eseguire l'accesso a SAP, inserendo le apposite credenziali (diverse da quelle di Dominio).

E' chiaro quindi come questa violazione delle Security Policy Aziendali non sia stata innescata dalla volontà di nuocere alla sicurezza delle informazioni, bensì da una comprensibilissima esigenza di semplificare una operatività quotidiana, divenuta eccessivamente complessa.

Questa è la ragione per cui l'ignoto Magazziniere-HACKER non è stato in alcun modo sanzionato. Anzi, questa è stata l'occasione per rivedere e SEMPLIFICARE il funzionamento dei meccanismi di autenticazione degli utenti ai Sistemi ed alle Applicazioni Aziendali.

Resta però il problema...

L'attivazione in automatico del Salvaschermo ed il corrispondente "blocco" del PC dopo un determinato tempo di inattività è una delle misure di sicurezza di base in qualsiasi realtà Aziendale.

Il "trucco del BULLONE" scoperto dal misterioso Magazziniere-HACKER è risultato in grado di neutralizzare totalmente questa misura di sicurezza in modo molto semplice, e non è stato possibile trovare una diversa configurazione dei parametri legati all'attivazione automatica del Salvaschermo in grado di superare questo problema.

La soluzione al "trucco del BULLONE"

Dopo svariate ricerche sono finalmente riuscito a trovare una possibile soluzione in grado di garantire l'avvio in automatico del Salvaschermo sul PC anche quando un BULLONE tiene costantemente premuto il tasto "speciale".

La soluzione sta nell'utilizzare un meccanismo di calcolo del Tempo di inattività che non tenga conto dei segnali di input provenienti dalla tastiera, ma solo dei segnali di input provenienti dal mouse.

Esiste un programma (IdleMonitor) che rileva lo stato di attività o inattività dell’utente solo in relazione al movimento del mouse. La pressione di un qualsiasi tasto sulla tastiera non resetta il suo timer di inattività, come è possibile vedere nel seguente esempio:

Il programma IdleMonitor può essere configurato in modo da attivare, alla scadenza di un tempo predefinito di inattività del mouse, un qualsiasi programma. E' pertanto possibile utilizzarlo per attivare il blocco del Desktop di Windows dopo un periodo definito di inattività del mouse, indipendentemente dal fatto che la tastiera del PC sia o meno utilizzata.

Purtroppo però esiste la Kryptonite anche per IdleMonitor...

Ma la soluzione trovata per il "trucco del BULLONE" è realmente a prova di bomba ?
Purtroppo no !

Esistono programmi come AutoMouseMover che, una volta attivati sul PC, lavorano in modo nascosto simulando periodicamente minuscoli movimenti del mouse.

In questo modo è possibile resettare automaticamente anche il tempo di inattività calcolato da IdleMonitor e fare in modo che il Salvaschermo non venga mai attivato.

Conclusioni

La chiusura automatica della sessione di lavoro di un PC, in caso di inattività dell'utente, è una tra le misure di sicurezza di base suggerita dagli Standard e dalle Best Practice di Security. Serve a proteggere il PC quando non è in uso, nel caso in cui l'utente si dimentichi di chiudere la sessione prima di allontanarsi - anche temporaneamente - dalla postazione di lavoro, evitando così che la sessione lasciata aperta possa essere indebitamente utilizzata da altri.

L'applicazione rigida ed indiscriminata di questa regola di sicurezza può però avere conseguenze rilevanti sulla usabilità dei Sistemi Informatici, causando ansia e frustrazione negli utenti. Questi utenti cercheranno ogni modo per aggirare la barriera di sicurezza !

La necessità aguzza l'ingegno. E' così che il nostro Magazziniere-HACKER ha scoperto il "trucco del BULLONE".

Nessuna misura di sicurezza è "a prova di bomba". Esiste il modo di forzare qualunque serratura, disponendo delle risorse necessarie.

La scelta e l'implementazione delle misure di sicurezza dovrebbe sempre essere improntata su un giusto equilibrio, che tenga conto dell'impatto che essa può avere sull'operatività degli utenti.

Solo una misura di sicurezza ragionevolmente applicabile sarà realmente efficace, perchè potrà essere accettata dagli utenti.

Cordialmente vostro,
Autostoppista Cyber Galattico.

In questo ultimo periodo dell'anno stiamo assistendo ad una escalation di attacchi informatici, con particolare riguardo al fenomeno del RANSOMWARE.

I sistemi informatici di molte Aziende, ma anche di Ospedali o addirittura di intere Città sono stati bloccati da quelli che la stampa generalista chiama "attacchi HACKER".

I sistemi informatici di una importante Multiutility come IREN sono stati messi fuori uso per un paio di settimane.
L'Ospedale di Erba ha visto "sparire" 35 mila immagini radiografiche digitalizzate dai propri sistemi.
Le Cantine Ferrari hanno dovuto mettere fuori linea alcuni dei loro sistemi ed isolare tutte le comunicazioni telematiche verso l'esterno per due giorni a causa di un attacco.
La Città di New Orleans ha dichiarato lo stato di emergenza a causa di un attacco informatico.

Colpa degli HACKER...

I media parlano di "attacchi HACKER", creando una notevole confusione di termini.

In realtà gli HACKER non hanno nulla a che fare con questi criminali informatici che operano con il chiaro intento di danneggiare le infrastrutture IT per ricattare le Aziende ed ottenere il pagamento di un riscatto.

L'HACKER è prima di tutto un ricercatore esperto di reti e sistemi informatici che indaga sul loro funzionamento.

La definizione del termine "HACKER" (v. RFC 1983 - Internet Users' Glossary) parla di «una persona che si diletta ad avere una comprensione intima del funzionamento interno di un sistema, in particolare dei computer e delle reti di computer.»

Quindi gli HACKER sono Buoni o Cattivi ?

«Il mio crimine è la curiosità» si legge nell'Hacker Manifesto del lontano 1986.

Anche se in genere un Hacker, quando scopre una vulnerabilità all'interno di un sistema, ne informa il proprietario in modo che questi possa prendere i necessari provvedimenti (secondo il principio della responsible disclosure), non tutti purtroppo gradiscono che qualcuno vada a curiosare nei propri sistemi, anche se a fin di bene.

Accade quindi che anche un "Hacker etico" venga denunciato per accesso abusivo ad un sistema informatico, come è successo di recente a Catania.
Per fortuna, in questo caso, il Giudice per le Indagini Preliminari ha rilevato che le azioni compiute sono state condotte nel rispetto della metodologia della divulgazione responsabile ed ha archiviato il procedimento penale.

Significativo è anche il caso accaduto nel 2017 relativo alla Piattaforma Rousseau del MoVimento 5 Stelle, in cui un ventisettenne studente di matematica (l'Hacker etico Evariste Gal0is) avendo scoperto numerose falle di sicurezza nel sistema, le aveva immediatamente comunicate al Gestore della Piattaforma.
Successivamente la Piattaforma fu attaccata da un criminale informatico che si faceva chiamare Rogue0 e fu sottratto un vasto database di password, indirizzi mail e numeri di telefono degli iscritti. 
A finire nei guai però fu solo Evariste Gal0is, denunciato dall’Associazione Rousseau che, solamente dopo due anni, ha riconosciuto l'errore ed ha ritirato la querela.

Nel frattempo, in Azienda...

Succede che gli Utenti non prestano attenzione alle precauzioni indicate nelle Security Policy e diventano così incosapevolmente COMPLICI di questi attacchi informatici.

L'ansia di cliccare su qualunque link e di aprire qualunque allegato è una delle cause primarie alla base di questi episodi di Ransomware.

Se dovessi stilare una lista dei CATTIVI per la Sicurezza Informatica, metterei certamente assieme ai criminali informatici anche gli "Utonti" che - con il loro comportamento sconsiderato - fanno sì che questi episodi si possano verificare.

Non tutto ciò che viene fatto per la Security è realmente utile

All'interno dell'Azienda adottiamo gli Standard, seguiamo le Best Practice, ci dotiamo dei migliori strumenti di Cyber Security, ma...

Come se non bastasse, spesso quello che si fa non è quello che si dovrebbe fare:

...ma la Lista di Babbo Natale è al SICURO dal RANSOMWARE ?

Sì, ve lo posso confermare.

Sono stato nell'ufficio di Babbo Natale a Rovaniemi, in Finlandia:

Mi ha detto che conserva una copia di backup cartacea della famosa Lista, avvolta su un grande rotolo:

Mi ha detto anche di non sottovalutare le capacità di Cyber Security degli Elfi, potenziate anche dalla raffinatissima Intelligence che viene da sempre utilizzata per discriminare i Buoni dai Cattivi:

Buon Natale a tutti dal sempre vostro,
Autostoppista Cyber Galattico.

Di recente sono venuto a conoscenza di questo nuovo termine: "cavallocacchisti".

E' stato coniato dal trainer Enrico Luciolli, che qui ci racconta come è nato:

«Nella difesa personale i cavallocacchisti sono quella tipologia di persone che intervengono non solo nel momento più stupido possibile per attuare una difesa ma lo fanno anche applicando delle tecniche che sono assolutamente idiote e che rischiano di metterti più in pericolo che altro.»

«Il termine deriva dall'idea di risolvere il problema di un cavallo che si è intrufolato in casa tua e che ti ha fatto la cacca sul tappeto, cercando di rimettere la cacca dentro al sedere del cavallo !»

«Nella difesa personale capita una cosa simile a questa: cioè le persone cercano di risolvere per esempio il problema di un potenziale aggressore che punta il coltello o la pistola addosso alla vittima insegnando alla vittima a reagire togliendo di mano l'arma all'aggressore.»

«In questo modo non solo stiamo reagendo nel momento più stupido possibile, ovvero quando l'altro ci ha già puntato l'arma contro, ma per di più lo facciamo facendo qualcosa di estremamente pericoloso.»

«Infatti come non riesco ad immaginare un cavallo che stia fermo mentre tu cerchi di rimettergli la cacca dentro, così non riesco ad immaginare un aggressore che, dopo essere arrivato in casa tua armato di tutto punto, quando tu provi a toccargli l'arma quello sta lì, bello rincoglionito, a farsi disarmare e a farsi pilotare come una marionetta solo perchè tu hai studiato la tua magica tecnica coreografica in palestra.»

Quanti CAVALLOCACCHISTI ci sono nella Cyber Security ?

Quanti presunti "Security Manager" pensano che sia realmente possibile affrontare i problemi di Cyber Security solo affidandosi a sofisticati strumenti da utilizzare in caso di attacchi ?

Perchè spendere così tante energie nella prevenzione degli incidenti di sicurezza, attraverso la continua ricerca e mitigazione delle vulnerabilità nell'infrastruttura IT ?
Perchè investire così tanto nella formazione per rendere tutte le persone consapevoli dei rischi per la sicurezza delle informazioni Aziendali ?
Perchè sprecare così tanto tempo e risorse nella impegnativa rilevazione ed analisi degli innumerevoli segnali premonitori contenuti nei file di LOG ?

Non serve una particolare preparazione: basta sapere usare gli strumenti giusti.
Non serve nemmeno una procedura per la gestione degli incidenti...

Riprendendo il paragone con i cavallocacchisti di cui parla Enrico Luciolli, per affrontare correttamente i problemi di Cyber Security  è necessario un cambio di paradigma.

Dice infatti Enrico Luciolli:
«Se io dovessi ragionare correttamente dovrei pormi la domanda non tanto come rimettere la cacca nel cavallo o come pulire il tappeto dopo che il cavallo ci ha cagato sopra (che già quello sarebbe un passo avanti in termini di intelligenza nella difesa personale) ma davvero il risultato migliore lo ottengo quando il cavallo riesco a tenerlo fuori di casa, quindi quando mi doto di tutta una serie di competenze per cui quando c'è un potenziale pericolo io lo riesco a comprendere da lontano.»

«Chi ragiona da cavallocacchista e pensa invece di poter risolvere il problema nel punto più stupido e nella maniera più stupida al giorno d'oggi sinceramente sta rischiando troppo.»

«Il problema è che il cavallocacchista trova tanto terreno fertile oggi nel promuovere le sue idee perché le persone sono sempre più alla ricerca di soluzioni facili e veloci e non vogliono ragionare in termini di sicurezza cercando di capire di cosa si devono dotare, di quali abilità servono davvero per contrastare il problema, ma pretendono di intervenire quando oramai è troppo tardi: quando il cavallo ha già fatto la cacca sul tappeto e vorrebbero appunto poi riuscirlo a fare con queste tecniche particolarmente assurde.»

Però i "cavallocacchisti" sono difficili da convincere...

Come tutti gli "...isti", anche i cavallocacchisti sono talmente convinti di avere ragione da ritenere che chi non la pensa come loro faccia parte di un "gomblotto": una cospirazione sapientemente ordita da chissà quali poteri forti che mirano ad ottenere la supremazia attraverso la mistificazione della verità.

Non si arrendono nemmeno davanti alla dimostrazione matematica che il "gomblotto" a cui stanno pensando è molto improbabile che possa davvero esistere:

La vera Sicurezza sta nella PREVENZIONE

Se dedicassimo sufficienti energie nella raccolta, rilevazione, classificazione ed analisi degli eventi di sicurezza che vengono continuamente registrati nei nostri sistemi informatici e nelle nostre infrastrutture di rete, saremmo in grado di individuare un potenziale pericolo ben prima che questo si trasformi in un incidente.

Potremmo così riuscire a tenere il cavallo fuori di casa nostra, evitando di essere poi costretti a pulire la cacca sul tappeto...

Ma, come anche i recenti disastri di origine naturale hanno dimostrato, la prevenzione non è il nostro forte. Lo dice anche Renzo Piano in un recente articolo sul Corriere della Sera:

Che fare ? Fate come Bill...

Cordialmente vostro,
Autostoppista Cyber Galattico.

Stanno lì, nel corridoio, pronte ad ogni nostro comando.
Fanno TUTTO ! Sono le Stampanti Multifunzione.

Sono ormai diventate un tradizionale punto di ritrovo tra i Colleghi di Ufficio.
C'è chi attende l'uscita del documento che ha inviato in stampa, chi deve mandare un Fax, chi vuole scannerizzare un documento cartaceo per archiviarlo sul PC.

Nell'attesa, si chiacchera come si fosse davanti alla macchinetta del caffè...

«Ciao ! E' già uscita la stampa del mio Foglio Excel con i dati del Budget ?»
«No, c'ero prima io... Sai, ho lanciato la stampa dell'inventario di Magazzino...»
«Saranno più di 40 pagine ! Mi sa che ti tocca aspettare un tot...»
«Vabbè, allora passo dopo...»
«Però se intanto esce il mio Foglio Excel del Budget me lo prendi ?»
«...sai, non vorrei che andasse perso come l'altra volta...»
«Pensa che poi l'ha trovato il Collega delle Vendite, in mezzo agli Ordini dei Clienti !»
«Scusate, mentre sta stampando posso scannerizzare un documento del Tribunale ?» «Sapete, devo mandare una copia elettronica di questa citazione all'Ufficio Legale...» «...com'è l'indirizzo mail ? ufficio.legale@nostrazienda.com, vero ?»
«Mi hanno detto che ci pensa la stampante a mandarlo via e-mail...»
«Aspetta, arriva Ugo, che sa bene come funzionano queste stampanti !»
«Ciao Ugo ! Ci puoi dire per favore quanti lavori ci sono ancora in coda ?»
«Sai, abbiamo tutti fretta...»
«Nessun problema !»
«Basta schiacciare qui e poi qua, ed ecco fatto: ci sono 6 stampe in memoria...»
«Queste sono di Aldo degli Acquisti, poi ci sono un paio di documenti Word del Marketing, una bozza del nuovo Ordine di Servizio da quelli del Personale, e poi...»
«...ma guarda !»
«Cristina, la Segretaria del Direttore ha mandato in stampa un album di figure da colorare: vedi il titolo del documento ? "Colora-la-Pimpa.docx"...»
«...sarà per sua figlia che va all'Asilo...»
«...meglio che il Direttore non lo sappia, altrimenti potrebbe arrabbiarsi con lei !»
«Guarda ! Ne ha mandato in stampa un altro anche la settimana scorsa...»
«E' meglio che le dica qualcosa, perchè tutte le stampe rimangono registrate in questo elenco e qualcuno poi potrebbe accorgersene...»

Fantastico, ma la SICUREZZA delle Informazioni  dov'è ?

Come può essere che quelli delle Vendite si siano ritrovati tra le mani i dati di Budget che l'Ufficio Amministrazione non aveva ancora discusso con la Direzione ?

Come può succedere che la copia scannerizzata di un Atto Giudiziario del Tribunale in cui si formulano accuse di responsabilità penali verso i Vertici dell'Azienda sia stata recapitata per errore alla mail di un Dipendente rancoroso, che non vede l'ora di mettere in piazza i problemi dell'Azienda ?

Come è possibile che «basta schiacciare qui e poi qua» per vedere tutto ciò che è stato inviato in stampa da chiunque ?

Non è che le Stampanti Multifunzione sono un bel grimaldello per i ladri di dati ?

Vediamo di approfondire...

Le Stampanti Multifunzione sono connesse in Rete

...e attraverso la rete possono anche inviare i documenti scannerizzati ad un indirizzo e-mail a piacere, oppure (se la rete è connessa anche al centralino telefonico) inviarli ad un numero di Fax.

Le Stampanti Multifunzione espongono servizi WEB

All'interno delle Stampanti Multifunzione è presente un WEB Server che può essere utilizzato dai Client in Rete per la gestione dei lavori e la configurazione dei parametri.

Dentro le Stampanti Multifunzione c'è un capiente Archivio

Tutti i documenti inviati in stampa sono memorizzati in un disco rigido all'interno della Stampante Multifunzione.

In questo modo la Stampante Multifunzione ha la possibilità di immagazzinare il lavoro da svolgere, senza intasare la rete mentre sta stampando.

Inoltre è possibile tenere traccia dei consumi (carta, inchiostro) relativi ad ogni lavoro, riferendoli all'utenza di chi ha lanciato ogni stampa. Così l'Amministrazione può ripartire puntualmente i relativi costi tra i diversi Reparti.

Accedendo (anche via rete) al Pannello di Controllo si può sapere tutto quello che la Stampante ha fatto. Si può anche sapere se è già ora di sostituire le cartucce o se si sono verificati guasti, in modo da organizzare per tempo l'intervento di un tecnico.
Occorre però tenere conto che - se non viene cancellata periodicamente - la "memoria" della Stampante può anche essere molto, ma molto lunga...

Cosa può andare storto ? Facciamo qualche esempio...

Dati giusti in mani sbagliate

Anna della Direzione Amministrazione, Finanza e Controllo lancia la stampa della bozza del Budget (un Foglio Excel), da discutere con la Direzione, ma non si reca subito a ritirarla quando esce...
Peccato che così la stampa finisca in mezzo ai fogli del Collega delle Vendite, che si trova in questo modo tra le mani informazioni "riservate", che non doveva conoscere.

Antonio dell'Ufficio Protocollo riceve dal Tribunale un Atto Giudiziario che deve essere scannerizzato per essere recapitato (in maniera confidenziale) all'Ufficio Legale...
Se però Antonio sbaglia a digitare sulla Stampante Multifunzione l'indirizzo e-mail dell'Ufficio Legale, il documento può finire per errore nella casella di posta di un Dipendente rancoroso, che non vede l'ora di mettere in piazza i problemi dell'Azienda.

File protetti che non sono più protetti

I File che contengono importanti informazioni Aziendali sono memorizzati sui File Server e l'accesso a questi File è controllato attraverso apposite Access Control List (ACL) configurate secondo il Principio del Minimo Privilegio.
Tutto questo certosino lavoro di messa a punto di regole di controllo degli accessi ai File può essere vanificato se una copia di tutti i File stampati rimane memorizzata all'interno del disco della Stampante Multifunzione (dove queste regole di controllo accessi purtroppo non esistono).

Mail "anonime"

Tramite la funzionalità "Scan-to-mail" Enrico può scannerizzare un documento e la Stampante provvede ad inviarlo all'indirizzo e-mail che viene inserito.
La mail risulta però inviata dalla casella di posta della Stampante e non da quella di Enrico...
Questo dà la possibilità ad Enrico (e a chiunque altro in Azienda) di inviare mail "anonime" come questa:

Come se non bastasse...

Un attaccante connesso alla Rete Locale dell'Azienda potrebbe utilizzare degli strumenti di HACKING come ad esempio il Printer Exploitation Toolkit per interagire in modo improprio con la Stampante:

effettuando una serie di operazioni malevole sulla Stampante Multifunzione, come queste:

Mandare in TILT la Stampante lanciando un PostScript loop infinito

Dopo aver lanciato il comando "hang" la Stampante non può più essere utilizzata in quanto lo script malevolo impegna tutte le sue risorse nella esecuzione di un ciclo infinito di istruzioni inutili.
E' necessario spegnere e riaccendere la Stampante per poterla nuovamente utilizzare.

Sfruttare il disco interno della Stampante come REPOSITORY di file malevoli

Tramite il comando "put" è possibile per l'attaccante memorizzare un file arbitrario sul disco installato all'interno della Stampante.
Questo file può ad esempio contenere un MALWARE...

Cosa fare ?

Per evitare tutti questi problemi è necessario adottare alcuni accorgimenti per configurare le Stampanti Multifunzione sulle Rete Aziendale in modo SICURO.

Prevedere una Rete SEGREGATA per le Stampanti

Le Stampanti Multifunzione sono gestite dal Printer Server. I Client che debbono stampare un documento non lo inviano direttamente alla stampante, ma al Printer Server che si incarica poi di pilotare le stampe.

Se si connettono le Stampanti Multifunzione ad una VLAN segregata dal resto della Rete Aziendale non è più possibile per un Client malevolo accedere all'interfaccia di rete della stampante e quindi gli strumenti di HACKING che abbiamo visto prima non funzionano.

Prevedere l'AUTENTICAZIONE degli Utenti sulle Stampanti

Gli Utenti utilizzano il BADGE Aziendale per autenticarsi quando hanno necessità di utilizzare i servizi forniti dalle Stampanti Multifunzione.

In questo modo:

• il documento che è stato inviato in stampa può essere stampato solo in presenza dell'utente (funzione "pull printing"), eliminando così il problema delle "stampe-che-si-perdono" e migliorando il livello di sicurezza delle informazioni stampate;
• l'invio tramite e-mail di un documento scannerizzato sulla stampante può essere effettuato in modo sicuro, ad esempio prevedendo che possa essere inviato solo alla casella di posta dell'utente (funzione "send to me"), risolvendo così il problema delle "mail anonime".

"Hardenizzare" la configurazione delle Stampanti

Le Stampanti Multifunzione sono a tutti gli effetti dei Computer, per questo il Dipartimento IT deve provvedere non solo alla loro installazione ma anche alla loro configurazione SICURA.

Gli aspetti di cui tenere conto sono:

• Modifica delle Password di DEFAULT configurate per accedere alla Console di Gestione della Stampante;
• Disabilitazione dei servizi di rete non necessari;
• Utilizzo di protocolli di rete SICURI;
• Minimizzazione delle informazioni memorizzate localmente sul disco della Stampante (es. cancellazione dei Files già stampati dalla memoria del disco);
• Minimizzazione delle informazioni visualizzabili da Utenti non Amministratori sul display della Stampante (es. i dati di dettaglio relativi alla coda di stampa, i dati di configurazione, l'elenco dei lavori svolti e dei relativi Utenti che li hanno richiesti, ecc.).

Per tutto il resto, rivolgetevi all'Help Desk...

Ah, e ricordatevi che è meglio evitare di caricare la CARTA INFESTATA sulle Stampanti Multifunzione eh ?

Cordialmente vostro,
Autostoppista Cyber Galattico.

CAPTCHA è un acronimo che sta per "Completely Automated Public Turing test to tell Computers and Humans Apart", ovvero "Test di Turing pubblico e completamente automatico per distinguere i Computer dagli Umani"

il CAPTCHA è una forma particolare del test che Alan Turing formulò nel 1950 per determinare se una macchina fosse "in grado di pensare".

Viene soventemente utilizzato nei Siti WEB dove l'utente deve inserire dati identificativi o che servono per richiedere alcuni servizi.

Lo scopo è quello di impedire che sistemi automatici vengano utilizzati per abusare del sito. Se il test CAPTCHA viene superato, allora è altamente probabile che chi sta usando il sito sia realmente una persona e non un programma malevolo che sta tentando di abusare dei servizi offerti dal sito stesso.

Sappiamo distinguere i Computer dagli Umani ?

Da quando, nella prima metà del 900, è stato coniato il termine ROBOT per indicare un essere artificiale (un automa o un androide), che replichi e somigli a un uomo è nata la preoccupazione che i robot possano competere con l'uomo, sino a ribellarsi ad esso o addirittura sterminarlo.

Anche per questo i robot sono stati spesso in passato rappresentati dalla fantascienza in modo da risultare facilmente distinguibili dagli umani nell'aspetto, nel comportamento e soprattutto nella voce.

Robby, il robot del film di fantascienza "il Pianeta Proibito" del 1956, pur avendo fattezze antropomorfe non somigliava affatto ad un umano. Inoltre ogni sua frase era preceduta da un ticchettìo che ricordava una calcolatrice meccanica, a significare che il robot aveva necessità di elaborare la frase prima di pronunciarla:

Anche Twiky, il robot della serie televisiva "Buck Rogers nel 25° secolo" del 1979 si presentava in modo alquanto diverso da un umanoide, e quando parlava emetteva sempre uno strano gorgoglìo:

Nei primi anni '80 però sono comparse sullo schermo nuove tipologie di robot "umanoidi" che risultavano completamente indistinguibili dagli umani, come il replicante Roy Batty nel film "Blade Runner" del 1982:

...per arrivare poi ad Andrew Martin ("l'Uomo Bicentenario" - 1999) che, nel desiderio di avvicinarsi sempre più all'essere umano, elabora un progetto per modificare il suo aspetto con organi e protesi umani, sino ad implementare su di sè una radicale "miglioria" per diventare a tutti gli effetti un essere umano ed essere finalmente riconosciuto come tale: quella di invecchiare e morire.

Siamo circondati da Computer...

Non è più fantascienza: oggi i Computer fanno parte integrante della nostra vita.

Parliamo abitualmente con loro...

...e "loro" ci ascoltano ! (a volte anche quando non vorremmo...):

Perfino nei più comuni elettrodomestici è ormai presente un Computer:

Ci siamo talmente abituati, che ormai non ci facciamo neanche più caso...

Debbo dire però che - nonostante tutto questo - fino ad ora siamo bene o male riusciti a distinguere tra "noi" (Umani) e "loro" (i Computer)...

Fino ad ora...

Oggi - grazie all'Intelligenza Artificiale - siamo ormai vicini ad un punto di svolta, oltre il quale potrebbe essere difficile - se non impossibile - capire se siamo di fronte ad un Umano o ad un Computer che sta imitando un Umano.

Mi era già capitato di avere qualche dubbio quando, alcuni mesi fa, mi trovavo impegnato in una conversazione via chat con un servizio di Assistenza Clienti...
Ad un certo punto non ho potuto fare a meno di scrivere: "...potresti per favore togliermi una curiosità ? Sto chattando con un CHATBOT o con una Persona ?"
La risposta è arrivata subito: "...sono donna, no CHATBOT !".
Confesso però che sono ancora dubbioso: possibile che un CHATBOT possa essere programmato per ammettere di esserlo, se per caso gli viene chiesto ? Mah !

...e adesso ?

Quello che il CEO di Google, Sundar Pichai, ha mostrato alla Google I/O Conference dell'anno scorso è veramente sconvolgente !

Nell'ambito della sessione principale della Conferenza è stata presentata la dimostrazione di una nuova funzionalità che sta per essere introdotta nell'Assistente Vocale di Google: si chiama Duplex.

Duplex è un’intelligenza artificiale che può essere in grado di effettuare chiamate telefoniche, parlando al nostro posto, per svolgere semplici compiti come ad esempio fissare appuntamenti.
Il bello è che le conversazioni di Duplex sembrano del tutto naturali, dato che la voce virtuale è spontanea e il parlato include interiezioni, pause dubitative e (quando necessario) richieste di ripetere alcune informazioni, proprio come avviene fra due persone che parlano al telefono. Per ottenere questi risultati, gli sviluppatori hanno migliorato la capacità del sistema di comprendere le richieste, di interagire, di scegliere i tempi giusti (la coordinazione: ovvero la capacità di inserire pause e rispondere a tono quando necessario) e il linguaggio.

Il CEO di Google Sundar Pichai ha spiegato che quello che avremmo ascoltato era la registrazione di una vera telefonata fatta ad una parrucchiera che non sapeva di far parte di un esperimento e che stava parlando con un Computer.
Ha lanciato Duplex chiedendo a Google Assistant di prenotare un appuntamento per martedì mattina. L'intelligenza artificiale ha fatto il resto:

(Parrucchiera) “Ciao, come posso esserti utile ?”;
(Duplex) “Ciao, chiamo per prenotare un taglio di capelli per una cliente”;
(Duplex) “per martedì 3 maggio”;
(Parrucchiera) “Bene, dammi un secondo”;
(Duplex) “Mm-hmm”;
(Parrucchiera) “Perfetto. A che ora ?”;
(Duplex) “Per mezzogiorno”...

E' così convincente che si fa fatica a distinguere chi sia la Parrucchiera che risponde al telefono e chi (o cosa) sia l'AI Duplex.
È senza dubbio la più straordinaria conversazione uomo-computer che io abbia mai ascoltato e la cosa più vicina ad una Intelligenza Artificiale in grado di passare il test di Turing.

Del resto, lo stesso Alan Turing aveva a suo tempo ipotizzato che negli anni 2000 i Computer sarebbero stati in grado di ingannare gli esseri Umani, facendo loro credere di conversare con altri Umani, almeno nel 30% dei casi.
Aveva ragione. Nel 2014, un CHATBOT di nome Eugene Goostman è riuscito ad impersonare con successo un esperto programmatore durante lunghe chat testuali con Umani ignari.

Turing però non aveva preso in considerazione i sistemi basati su interazioni vocali che, per ovvie ragioni legate alla complessità della lingua parlata rispetto allo scritto, sono intrinsecamente meno abili ad ingannare gli Umani.
Provate a conversare per un pò con il vostro assistente vocale preferito e scoprirete ben presto i suoi limiti...

L'Assistente di Google, potenziato con l'Intelligenza Artificiale di Duplex, invece sembra proprio una giovane assistente femminile che pianifica attentamente un taglio di capelli per il suo capo.
Oltre alla cadenza naturale, Duplex ha aggiunto al discorso interiezioni (“Mm-hmm”), ritardi e pause che si verificano naturalmente quando le persone parlano. Il risultato è una voce perfettamente Umana prodotta interamente da un Computer !

I Computer con Intelligenza Artificiale ci soppianteranno ?

Forse no.

Per ora (fortunatamente) siamo ancora i soli a riuscire a superare con successo il test di Turing...

Cordialmente vostro,
Autostoppista Cyber Galattico.

Abbiamo provato a mettere una sentinella a guardia dell'accesso della Rete Aziendale, implementando due diverse soluzioni di Network Access Control (NAC).

Ecco come è andata...

La soluzione NAC 802.1x

La sperimentazione di una soluzione NAC 802.1x richiede interventi di configurazione sugli apparati di rete, sui Client che si connettono e sull'infrastruttura di Autenticazione.

Per questo motivo si è scelto di allestire all'interno di un Laboratorio un apposito ambiente di Rete il più possibile simile all'attuale ambiente di Rete Aziendale, in cui poter effettuare tutte le modifiche e le prove necessarie.

Architettura Laboratorio NAC 802.1x

La rete locale del Laboratorio è stata interconnessa con la Rete Dati Aziendale e con la Rete VoIP Aziendale, in modo da poter utilizzare l'infrastruttura di Autenticazione esistente (DB Account utenti e Certificate Authority) e per utilizzare le funzionalità di configurazione (TFTP Server) e di servizio (Centralino) della telefonia VoIP Aziendale.

All'interno della rete locale del Laboratorio sono stati installati i dispositivi necessari a riprodurre le  principali casistiche di connessione di rete da sottoporre a test:

• Un PC Aziendale connesso in cascata ad un telefono VoIP (configurazione standard di una generica postazione di lavoro Aziendale);
• Una Stampante di rete (che può anche non essere in grado di supportare nativamente l'autenticazione 802.1x);
• Un PC Aziendale connesso direttamente in rete;
• Un Adattatore per Telefoni Analogici (ATA) dietro il quale può essere connesso un dispositivo telefonico analogico (ad es. un FAX), ed anche un PC.

All'interno della rete locale del Laboratorio è inoltre stato predisposto un Server RADIUS che svolge il ruolo di autenticatore:

• in modo "diretto" per quei dispositivi che non sono in grado di supportare nativamente l'autenticazione 802.1x (es. i telefoni VoIP, le Stampanti di rete, gli ATA);
• in modo "mediato" (come PROXY verso l'infrastruttura di Autenticazione Aziendale) per tutti gli altri dispositivi.

Le prove effettuate

I test hanno visto coinvolte diverse marche e modelli di SWITCH utilizzati nelle Reti Aziendali. La configurazione degli SWITCH è stata opportunamente modificata per attivare i meccanismi di autenticazione 802.1x sulle porte di rete. Allo stesso modo sono state abilitate sui PC le funzionalità di autenticazione di rete 802.1x utilizzando come credenziali i certificati utente rilasciati dalla Certificate Authority (CA) Aziendale.

All'interno di ogni SWITCH sono state configurate differenti VLAN:

La strategia di utilizzo delle VLAN implementata nel Laboratorio NAC si è basata sui seguenti presupposti:

• La VLAN configurata "in access" di default sulle porte degli SWITCH non può essere la Rete Dati Aziendale, per evitare accessi alla Rete Aziendale da parte di Client non autorizzati;
• Un Client avrà accesso alla Rete Dati Aziendale solamente in modo dinamico (grazie agli attributi passati via RADIUS), in seguito al superamento  di una fase di autenticazione;
• I Client che non superano la fase di autenticazione devono avere accesso unicamente alla VLAN GUEST (o di quarantena);
  
• La VLAN configurata "in access" di default deve comunque consentire il provisioning dei file di configurazione per gli apparati VoIP (tramite TFTP Server).

I test condotti nel Laboratorio hanno avuto come obiettivo la verifica del comportamento dell’infrastruttura di rete LAN a fronte di diverse casistiche.
I principi generali che hanno guidato l’individuazione dei vari casi di test e la definizione del comportamento atteso sono:

• Solo DATA-DEVICE autorizzati devono poter operare a pieno titolo sulla Rete Dati Aziendale, ottenendo accesso alla relativa VLAN configurata sullo SWITCH di accesso:
  1. PC dotati di un Certificato Utente X.509 emesso dalla CA Aziendale;
  2.  Stampanti di rete che non supportano l’autenticazione 802.1x;
  3.  Stampanti di rete che supportano l’autenticazione 802.1x.
• Solo VOICE-DEVICE autorizzati devono poter operare a pieno titolo sulla rete Rete VoIP Aziendale, ottenendo accesso alla relativa VLAN configurata sullo SWITCH di accesso:
  1. Telefoni VoIP;
  2. Adattatori ATA (Analog Telephone Adapter).

I risultati ottenuti

La soluzione NAC 802.1x sperimentata in Laboratorio ha mostrato che è effettivamente possibile realizzare un efficace controllo dell'accesso dei dispositivi alla Rete Aziendale per tutti gli scenari di utilizzo previsti, attribuendo dinamicamente le VLAN ai dispositivi che si connettono e subordinando l'accesso ad un processo di autenticazione.

E' stato relativamente semplice utilizzare i Certificati Utente emessi dalla CA Aziendale come meccanismo di autenticazione per l'accesso alla Rete. Per contro, tale scelta impone di subordinare l'implementazione della soluzione NAC 802.1x al rilascio massivo di Certificati per tutti gli Utenti Aziendali (oggi questi Certificati sono rilasciati solo per gli utenti abilitati all'accesso remoto tramite VPN).

L'implementazione della soluzione NAC 802.1x richiede l'applicazione di sostanziali modifiche alla configurazione attuale degli SWITCH di accesso. Non è necessario che tali modifiche siano applicate a tappeto su tutti gli SWITCH della Rete Aziendale perchè la soluzione sia operativa. E' possibile prevedere una implementazione "per gradi" (es. Sede per Sede), facilitando così il compito dei tecnici.

L'aspetto più critico della soluzione NAC 802.1x riguarda l'effettiva compatibilità degli SWITCH con i meccanismi di autenticazione e controllo previsti. Solo i modelli più recenti sono risultati pienamente compatibili.

Per implementare la soluzione NAC 802.1x diventa pertanto necessario procedere alla graduale e completa sostituzione di tutti gli SWITCH non compatibili attualmente installati in produzione, con un notevole impatto economico.

Una ultima osservazione riguarda l'autenticazione dei dispositivi che non supportano nativamente lo standard IEEE 802.1x.

Per consentire a tali dispositivi di essere comunque riconosciuti ed abilitati all'accesso alla Rete Aziendale è necessario configurare per essi una apposita regola di "bypass" dei meccanismi di autenticazione (MAB - MAC Authentication Bypass) basata sull'indirizzo fisico (MAC) della loro scheda di rete.

Quindi l'implementazione della soluzione NAC 802.1x richiede preventivamente il censimento del MAC Address di tutti i dispositivi (es. Stampanti di Rete, Telefoni VoIP, Adattatori per Telefono Analogici) che non supportano nativamente l'autenticazione 802.1x ma che devono essere connessi alla Rete Aziendale.

Poichè è possibile per un eventuale attaccante "falsificare" l'indirizzo MAC della scheda di rete, allo scopo di autenticarsi sfruttando l'indirizzo di un dispositivo Aziendale autorizzato, è inoltre necessario prevedere una soluzione in grado di contrastare gli effetti di un possibile attacco basato su tecniche di “MAC spoofing” (ad esempio autorizzando i dispositivi che si autenticano tramite MAC address all’accesso a VLAN segregate dal resto della Rete Dati Aziendale).

La soluzione "Next Generation NAC"

A differenza della soluzione precedente, la soluzione "Next Generation NAC" non richiede particolari modifiche sugli apparati di rete, se non la configurazione per la NAC appliance di alcune "mirror ports" da cui poter osservare il traffico di rete e l'abilitazione dell'accesso alle interfacce di "management" degli SWITCH.

Per questo motivo si è scelto di testare la soluzione direttamente in ambiente di produzione.

Architettura Ambiente di test "Next Generation NAC"

All'interno di un segmento della Rete Aziendale è stata installata una NG-NAC Appliance che è stata connessa alle "mirror ports" sui Router di accesso, in modo da consentirle di analizzare tutto il traffico di rete. L'interfaccia di gestione attraverso cui l'Appliance interagisce con gli apparati di rete è stata connessa alla Rete di MANAGEMENT degli apparati stessi ed è stata abilitata all'accesso sia in lettura che in scrittura dati tramite il protocollo SNMP.

Le prove effettuate

Dopo l'accensione e la configurazione dell'Appliance, le prime verifiche hanno riguardato la completezza e la reattività dei seguenti processi attuati della sonda NG-NAC:

• Individuazione dei dispositivi connessi alla rete;
• Classificazione dei dispositivi in base alla tipologia e all'utilizzo osservato;
• Individuazione dell’identità utente per i dispositivi legati in maniera univoca ad utenti finali.

Sono quindi state testate le seguenti azioni previste a fronte delle "policy" configurate :

• Attribuzione dinamica della VLAN in base al profilo utente;
• Blocco temporaneo della porta cablata cui è connesso un dispositivo non autorizzato;
• Redirezione del traffico Web su una apposita pagina di registrazione per richiedere l'autorizzazione all’accesso (Captive Portal per Ospiti).

I risultati ottenuti

Individuazione dei dispositivi connessi alla rete

I test effettuati hanno mostrato che, nella configurazione implementata, la sonda NG-NAC è stata in grado di individuare sostanzialmente tutti i dispositivi connessi alla rete, in tutti gli scenari d’uso (anche quando più dispositivi sono connessi dietro ad un'unica porta switch). Le informazioni essenziali recuperate dalla sonda per ciascun dispositivo sono:

• Indirizzo IP;
• Indirizzo MAC;
• Porta switch;
• Nome Netbios (se disponibile).

Tali informazioni sono state recuperate dalla sonda utilizzando un mix di tecniche, tra loro complementari:

• Tramite analisi passiva del traffico di rete osservato sulle porte in mirroring;
• Tramite ricezione di trap SNMP dagli SWITCH;
• Tramite interrogazione attiva degli SWITCH attraverso l'interfaccia a riga di comando (CLI) e SNMP;
• Tramite scansione attiva (NMAP) dei dispositivi individuati;
• Tramite connessione attiva (WMI) ai dispositivi Windows a Dominio individuati;
• Tramite ricezione di informazioni da parte di agenti eventualmente installati sui dispositivi.

Le informazioni recuperate tramite analisi passiva del traffico e tramite l’agente installato sul dispositivo vengono rese disponibili sulla console di gestione della sonda con latenze molto ridotte (dell’ordine di pochi secondi).
Le informazioni recuperate invece interagendo direttamente con gli SWITCH vengono rese disponibili con una latenza superiore (dell’ordine di qualche minuto).

Classificazione dei dispositivi connessi alla rete

I test effettuati hanno mostrato che, nella configurazione implementata, la sonda NG-NAC è stata generalmente(*) in grado di classificare correttamente la maggior parte dei dispositivi connessi alla rete in tutti gli scenari d’uso (anche quando più dispositivi sono connessi dietro ad un'unica porta switch). La classificazione base è stata:

• PC Windows a Dominio;
• PC Windows non a Dominio;
• PC Linux (*);
• Telefoni VOIP;
• Stampanti;
• Altri dispositivi.

(*) Nota: Senza l’installazione dell’agente, molti PC Linux non vengono classificati come tali, ma erroneamente inseriti nella categoria “altri dispositivi”.

Individuazione dell’identità degli utenti connessi

I test effettuati hanno mostrato che, nella configurazione implementata, la sonda NG-NAC è stata in grado di recuperare (con un mix di tecniche) l’identità degli utenti che stanno utilizzando i dispositivi connessi. Le tecniche utilizzate sono:

• Per i dispositivi Windows a Dominio, tramite connessione via WMI (utilizzando una utenza di servizio) ed esecuzione di Script Visual Basic (VBScript);
• Per tutti i dispositivi Windows e Linux, tramite colloquio tra agente preinstallato e sonda;
• Per PC non a Dominio sprovvisti di agente, tramite redirezione del traffico Web su una apposita pagina di Login del Captive Portal.

Attivazione delle azioni previste dalle "Security Policy"

I test effettuati hanno mostrato che, nella configurazione implementata, la sonda NG-NAC è stata in grado di applicare tutte le azioni previste dalle "security policy":

• Attribuzione dinamica della VLAN in base al profilo utente;
• Blocco della porta cablata cui è connesso un dispositivo non autorizzato;
• Redirezione del traffico Web sulla pagina di Login di un Captive Portal.

Una volta bloccata la porta relativa ad un dispositivo non autorizzato campione, la sonda è stata configurata per forzarne automaticamente la riabilitazione dopo un intervallo temporale prestabilito. Putroppo nelle prove effettuate non si è riusciti ad ottenere il comportamento atteso (la porta è rimasta bloccata).

La redirezione del traffico Web di un PC può avvenire solo per quei dispositivi di cui la sonda è in grado di effettuare l'esame del traffico Web. La redirezione ha quindi successo solo in presenza di traffico HTTP (non riesce in caso di traffico HTTPS).

Conclusioni

La soluzione standard per conseguire l'obiettivo di controllare l'accesso alla Rete Aziendale sarebbe quella di adottare un approccio basato sullo standard IEEE 802.1x, secondo una logica che subordina l’ammissione del dispositivo alla Rete Aziendale alla verifica delle credenziali di accesso dell’utente.

Le prove svolte in Laboratorio hanno però mostrato che la soluzione 802.1x richiede la sostituzione e la riconfigurazione di buona parte degli apparati di rete esistenti per essere pienamente implementata.

La soluzione Next Generation NAC, si basa invece su un approccio diverso, che prevede la regolamentazione dell’accesso alla rete successivamente alla connessione del dispositivo alla stessa.

Le prove effettuate nell'ambiente di test hanno dimostrato che è possibile implementare un set di azioni automatiche di riconfigurazione dinamica delle connessioni di rete in base alle caratteristiche del dispositivo (tra cui il differente profilo dell’utente che lo utilizza) senza dover sostituire gli apparati di rete.

Non è infine da sottovalutare l'elevata utilità della Console di Gestione della sonda NG-NAC, su cui sono mostrate in tempo reale le informazioni relative a tutti i dispositivi connessi. La disponibilità di tali informazioni può rendere più semplice ed efficace l'assistenza agli Utenti da parte degli Operatori del Dipartimento IT, in caso di problemi legati alla connettività di rete.

La soluzione Next Generation NAC presenta in particolare i seguenti vantaggi:

• minimo impatto sulla rete: può essere attivata senza dover sostituire gli apparati di rete,
• minimo impatto sugli utenti: prevede l’autenticazione alla rete mediante le stesse credenziali già utilizzate per regolare l’accesso agli altri servizi informatici aziendali (quali posta elettronica, navigazione web, accesso a file server, etc.etc.),
• maggiore controllo sull’utilizzo della rete: permette il monitoraggio estensivo di tutti i dispositivi connessi alla rete,
• miglioramento della sicurezza di rete: consente l’accesso alla rete solo agli utenti autorizzati.

pertanto...

Cordialmente vostro,
Autostoppista Cyber Galattico.

Una sentinella a guardia della Rete Aziendale

Come abbiamo visto, la Rete LAN Aziendale non è nativamente dotata di meccanismi di controllo in grado di garantire che solo dispositivi ed utenti espressamente autorizzati possano accedervi.
Questo è un problema in quanto, in assenza di un controllo di accesso, possono essere connessi alla rete anche dispositivi in grado di intercettare le comunicazioni e rubare informazioni Aziendali (come è successo alla NASA).

Occorre mettere una «sentinella» a guardia della Rete Aziendale, che:

• faccia passare gli amici
  cioè i Dipendenti che utilizzano i dispositivi (PC e Notebook) Aziendali per svolgere il loro lavoro e gli eventuali Collaboratori Esterni che lavorano all'interno dell'Azienda per un periodo di tempo stabilito, utilizzando anche dispositivi di loro proprietà per accedere in rete.
  Tra gli "amici" vanno annoverati anche i dispositivi come le stampanti di rete, gli orologi marcatempo, i telefoni VoIP e tutti gli altri dispositivi la cui connessione in rete è stata esplicitamente autorizzata dal Dipartimento IT.

• respinga i nemici
  cioè gli attaccanti e gli spioni che tentano di connettersi in rete allo scopo di carpire informazioni o creare danni.
  Tra i "nemici" vanno annoverati anche gli apparati di rete, gli SWITCH da tavolo e gli altri dispositivi elettronici (come ad esempio le schede Raspberry Pi) la cui connessione in rete non è stata esplicitamente autorizzata dal Dipartimento IT e la cui presenza in rete potrebbe creare problemi e disservizi.

• trattenga in un'area apposita gli eventuali Ospiti
  che hanno necessità di usufruire di alcuni servizi di connettività dell'Azienda (ad esempio per effettuare stampe o per connettersi a Internet), ma non debbono poter interagire con tutti gli altri Sistemi Aziendali.

Il Network Access Control (NAC)

Il Network Access Control ha lo scopo di fare esattamente ciò che implica il nome: controllare l'accesso a una rete di computer attraverso un insieme di regole che devono essere soddisfatte affinchè la connessione logica sia abilitata e fornisca i servizi di comunicazione richiesti.

In senso lato, il NAC rappresenta una vasta categoria di prodotti e soluzioni per la sicurezza delle reti la cui definizione è allo stesso tempo in evoluzione e controversa.

Senza addentrarci nella complessità di tutte le funzionalità che vanno sotto questo nome, nel seguito esamineremo come - attraverso il NAC - è effettivamente possibile realizzare una «sentinella» in grado di implementare le tre regole di accesso fin qui descritte, ossia:

• far passare gli amici;
• respingere i nemici;
• trattenere in un'area apposita gli Ospiti.

NAC 802.1x e "Next Generation NAC"

Una prima importante distinzione va fatta con riferimento alle modalità tecniche utilizzate per l'implementazione della soluzione NAC.

NAC 802.1x

Lo standard IEEE 802.1x fornisce un meccanismo di autenticazione ai dispositivi che vogliono collegarsi tramite uno SWITCH o un access point WiFi ad una rete LAN o WLAN, stabilendo un collegamento punto a punto e impedendo collegamenti non autorizzati alla rete locale. Viene di norma utilizzato nelle reti locali wireless per gestire le connessioni agli access point, ma è possibile implementarlo anche per le reti cablate.

Nel NAC 802.1x il ruolo di "autenticatore" viene svolto dallo SWITCH di rete.

Le porte di accesso dello SWITCH sono inizialmente configurate in modo da bloccare ogni tipologia di traffico, lasciando passare solo le richieste di autenticazione provenienti dai Client (Supplicant) e dirette al RADIUS Server, secondo il protocollo EAP-Over-Lan (EAPOL).
Solo dopo che l'autenticazione è avvenuta con successo, la porta di accesso dello SWITCH viene configurata in modo da lasciar passare tutto il traffico verso la rete.
Per l'autenticazione possono essere utilizzati diversi metodi: USERNAME e PASSWORD oppure Certificati Digitali.
In funzione dei parametri legati all'identità del richiedente è possibile configurare l'accesso ad una determinata "Virtual LAN" (VLAN): ad esempio alla VLAN "Ospiti", segregata dal resto della Rete Aziendale, per gli utenti riconosciuti come tali.
Per i dispositivi che non sono in grado di autenticarsi secondo lo standard 802.1x, ma devono comunque poter lavorare in rete (ad esempio le stampanti di rete, i marcatempo, i telefoni VoIP) è possibile impostare una abilitazione specifica ("MAC Authentication Bypass") basata sull'indirizzo della scheda di rete (MAC Address) del dispositivo.

Next Generation NAC

Molti vendor rendono oggi disponibili soluzioni tecniche di "Next Generation NAC". Tali soluzioni sono state sviluppate sia per superare alcune limitazioni del NAC "tradizionale" (il controllo di accesso 802.1x funziona solo con i dispositivi che supportano tale standard) che per estenderne le funzionalità ben oltre il semplice controllo di accesso alla rete.

Queste soluzioni non richiedono alcun ruolo attivo degli SWITCH nel processo di autenticazione (lo SWITCH non deve più svolgere il ruolo di "autenticatore") ma delegano invece tali funzioni a dispositivi dedicati (NAC appliance) in grado di:

• analizzare attraverso apposite "mirror ports" tutto il traffico di rete generato dai dispositivi che si connettono;
• identificare e classificare i dispositivi connessi in rete, in base alle varie tipologie di traffico che generano;
• interagire con gli apparati di rete (SWITCH) attraverso le interfacce di "management",  modificando dinamicamente la configurazione delle porte di accesso, in funzione di "policy" appositamente configurate.

Alcune particolarità degli scenari di implementazione

La scelta di una soluzione NAC deve necessariamente tenere conto di alcuni vincoli imposti dal modo in cui la Rete Locale Aziendale è stata implementata nella realtà.

Natura, tipologia e configurazione degli SWITCH di rete

La realizzazione e l'evoluzione nel tempo dell'architettura della Rete Locale Aziendale ha certamente portato ad una configurazione piuttosto eterogenea, con la contemporanea presenza di differenti marche e modelli di SWITCH e l'implementazione di diverse configurazioni, in funzione delle necessità operative delle varie aree Aziendali.

La soluzione NAC dovrà pertanto:

• essere compatibile con le varie tipologie di SWITCH già presenti in Azienda, evitando se possibile di richiedere la sostituzione massiva degli apparati esistenti;
• minimizzare l'impatto sulle prestazioni nell'accesso alla rete da parte degli utenti autorizzati, evitando se possibile di introdurre ritardi a causa del processo di autenticazione e controllo di accesso;
• garantire il funzionamento della rete anche in caso di guasto dei componenti che fanno parte della soluzione NAC,  prevedendo se possibile in tal caso una modalità di accesso "non autenticata".

SWITCH da tavolo ("moltiplicatori di porte di rete")

Nelle reti Aziendali è molto frequente rilevare la presenza di SWITCH "da tavolo", che generalmente vengono installati dagli stessi utenti per poter disporre di  porte di accesso aggiuntive rispetto a quelle già installate negli uffici.
Di solito questi SWITCH si trovano nelle Sale Riunioni e vengono utilizzati per consentire a tutti i partecipanti di collegare il PC portatile alla rete locale, durante la riunione, per consultare dati e documenti nell'ambito dell'incontro.

Si tratta di dispositivi che non prevedono una interfaccia di gestione (quindi non compatibili con le soluzioni "Next Generation NAC") e che sono utilizzati come semplici "moltiplicatori di porte di rete".
Poichè il controllo di accesso alla rete viene effettuato solo sulle porte direttamente connesse agli SWITCH centrali, la presenza di questi moltiplicatori di porte può essere una seria minaccia per il NAC, in quanto è sufficiente che uno solo dei dispositivi connessi allo SWITCH da tavolo sia autorizzato a connettersi in rete per abilitare alla connessione anche tutti i restanti dispositivi (autorizzati o no) a lui collegati.

La soluzione NAC dovrà pertanto:

• identificare la presenza di questi "moltiplicatori di porte";
• bloccare di conseguenza la porta di accesso sullo SWITCH centrale;
• mantenere il blocco sino alla eventuale rimozione dello SWITCH da tavolo.

PC connessi "in cascata" ai telefoni VoIP

Nelle reti Aziendali è frequente l'utilizzo di una sola porta di rete per connettere simultaneamente un telefono VoIP ed un PC.
In questo caso all'interno del telefono VoIP è presente un piccolo SWITCH con una porta principale da collegare alla presa di rete ed una porta ausiliaria per collegare il PC "in cascata" al telefono.
In questo modo si risparmiano le prese di rete da installare negli uffici e si realizza un cablaggio più ordinato.

La soluzione NAC dovrà quindi:

• individuare la presenza simultanea sulla stessa porta dello SWITCH centrale di un "voice device" (il telefono VoIP) e di un "data device" (il PC);
• consentire la connessione simultanea di due dispositivi alla stessa porta dello SWITCH centrale, attraverso lo switch locale presente sul telefono, purchè si tratti di un "data device" connesso in cascata ad un "voice device";
• connettere ciascuno dei due dispositivi alla relativa VLAN di competenza ("voice VLAN", "data VLAN").

Stampanti di rete, marcatempo ed altri dispositivi "non 802.1x enabled"

Alla rete Aziendale sono solitamente connessi anche altri dispositivi, che possono non essere in grado di supportare alcun processo di autenticazione.

La soluzione NAC dovrà:

• identificare e classificare tali dispositivi;
• prevedere per essi appositi meccanismi di autenticazione alla connessione in rete, che siano compatibili con le loro caratteristiche (ad es. il "MAC Authentication Bypass").

La rete WiFi

Quasi tutte le realtà Aziendali sono ormai dotate di una infrastruttura di connessione Wireless, affiancata alla tradizionale infrastruttura basata su rete cablata.

E' opportuno che la soluzione NAC per la rete cablata sia in grado di integrarsi con l'architettura della rete WiFi, in termini di:

• interconnessione degli Access Point WiFi alla rete cablata;
• autenticazione all'accesso alla rete WiFi;
• gestione e controllo di accesso per Dipendenti, Collaboratori ed Ospiti;
• monitoraggio e controllo dei dispositivi connessi (sia alla rete WiFi che alla rete cablata).

Impatto sulla gestione

La scelta di una soluzione NAC deve infine fare i conti con l'attuale modalità di gestione, evitando per quanto possibile di introdurre nuovi processi e cercando di minimizzare l'impatto sulle attività e sui compiti attualmente svolti dai Sistemisti di Rete.

Processo di PROVISIONING per Dipendenti e Collaboratori 

Le attività necessarie per configurare l'abilitazione di accesso alla rete locale per i Dipendenti ed i Collaboratori Esterni dovrebbero poter essere ricondotte all'attuale processo di "provisioning", ovvero le operazioni di configurazione che gli Amministratori dei Sistemi e della Rete debbono svolgere ogni volta che è necessario generare e fornire agli utenti autorizzati le credenziali di identificazione.

Andrebbe evitato, per quanto possibile, l'impiego di un processo specifico per configurare le abilitazioni richieste dal NAC.

Processo di PROVISIONING per Consulenti ed Ospiti

Le attività inerenti l'abilitazione all'accesso in rete per Consulenti ed Ospiti dovrebbero essere supportate da un processo automatizzato (possibilmente gestito dalla soluzione NAC), che preveda:

• l'identificazione automatica del dispositivo che richiede l'autorizzazione ad accedere in rete;
• l'acquisizione - mediante un "Captive Portal" - dei dati identificativi del richiedente e delle ragioni per cui si richiede l'accesso;
• la creazione automatica di una identità logica da associare al richiedente e delle relative credenziali di accesso;
• la consegna di tali credenziali attraverso un canale alternativo sicuro (ad es. mediante un SMS).

Processi di Monitoraggio della Rete e Supporto agli Utenti

L'introduzione di una soluzione NAC dovrebbe facilitare le operazioni di monitoraggio della rete e di assistenza tecnica svolte dai Sistemisti di Rete.

La soluzione NAC dovrebbe rendere disponibile una console dove è riportata una mappa organizzata dei dispositivi connessi alla rete, del loro stato e delle loro caratteristiche.
Dovrebbero essere disponibili inoltre funzionalità di ricerca ed analisi dei guasti e dei problemi.

I risultati di una sperimentazione svolta in Laboratorio

Di questo parleremo nel prossimo articolo.

Restate sintonizzati.

Cordialmente vostro,
Autostoppista Cyber Galattico.

Succede...

Anche alle squadre di calcio più famose e blasonate succede ogni tanto di subire un gol "a porta vuota".
Forse se ne sente parlare poco, anche perchè fanno più notizia invece i casi in cui un attaccante riesce incredibilmente a sbagliare un tiro così facile...

Ma anche le Reti Aziendali beccano dei "gol a porta vuota" !

Il caso più recente è capitato nientemeno che al Jet Propulsion Laboratory della NASA, che si è trovato "in rete" una scheda Raspberry Pi attraverso la quale pare siano stati sottratti ben 500 Mbyte di dati nell'arco di 10 mesi:

Come può accadere ?

Facciamo un esperimento:

• prendete un qualunque PC portatile da casa e portatelo con voi in Ufficio;
• una volta in Ufficio, collegate il PC ad una qualsiasi delle prese di rete (se non ne trovate una libera o non avete con voi un cavetto di rete, scollegate temporaneamente un qualunque PC Aziendale che per il momento è inutilizzato);
• accendete il PC ed accedete a Windows con lo Username e la Password che usate a casa;
• una volta entrati nel PC, aprite una finestra di comandi (premendo i tasti  "Windows" e "R", e poi digitando "cmd.exe");

• nella finestra di comandi, digitate il comando "ipconfig" e vedete cosa viene fuori:

Posso scommettere che quasi nel 100% dei casi il risultato di questo semplice esperimento sarà molto simile a quello che vedete qui sopra, cioè che la vostra Rete Aziendale avrà "regalato" al vostro PC di casa un indirizzo IP (nell'esempio: 10.0.0.2).

Perchè "regalato" ?

Perchè per ottenere quell'indirizzo IP (ovvero per "entrare in rete") il PC di casa non ha dovuto chiedere alcun permesso, nè ottenere alcuna autorizzazione dai sistemi Aziendali preposti alla gestione della sicurezza della Rete della vostra Azienda !
E' bastato solo che il PC di casa dicesse alla Rete Aziendale:
"Ciao ! Sono un PC con una scheda di rete il cui MAC Address è 54-E1-AD-68-7A-D3. Mi servirebbe un indirizzo IP".
Questa richiesta è stata immediatamente ricevuta dal Server che ha il compito di gestire gli indirizzi IP di tutti i dispositivi connessi alla Rete (DHCP Server), il quale ha risposto con tutti i parametri necessari a configurare la scheda di rete del PC per consentirle di connettersi alla Rete Aziendale.

In pratica, il PC di casa è entrato in Rete a porta vuota !

...e adesso, cosa può succedere ?

Beh, il PC di casa non ha ovviamente le "chiavi" per entrare nei Sistemi Aziendali, quindi non è (almeno teoricamente) in grado di costituire una minaccia diretta.
Però è come avere uno sconosciuto nascosto nel corridoio che - anche se non può entrare in nessuna stanza perchè tutte le porte sono chiuse a chiave - può stare lì ad osservarci quando passiamo e (se vuole) farci anche paura.

Se poi questo "estraneo" ha le capacità e gli strumenti necessari, può anche tentare di origliare le nostre conversazioni private, ad esempio utilizzando le tecniche di ARP-Poisoning di cui vi ho parlato qui.

E' probabilmente in questo modo che i cyber criminali sono riusciti a sottrarre tutte quelle informazioni alla NASA !

L'accesso alla Rete Aziendale non può essere "regalato" così !

In pratica, chiunque abbia accesso ai locali della nostra Azienda può connettere alla Rete Aziendale un PC o un altro dispositivo (come ad esempio il Raspberry Pi che i cyber criminali hanno installato nei Laboratori della NASA) senza che il Dipartimento IT ne sappia nulla !

Ci sono delle soluzioni per evitare tutto questo ?

Sì. Ad esempio nelle reti WiFi questo non succede, perchè per accedere alla rete WiFi è necessario come minimo conoscere la chiave di rete.
Inoltre la rete WiFi può essere facilmente configurata in modo da richiedere che l'utente si autentichi (ad es. con USERNAME e PASSWORD) prima di accedere.

Nelle reti CABLATE (che sono nate molto tempo prima delle reti WiFi) invece questi meccanismi di sicurezza non sono nativamente presenti.
Se non si implementano misure aggiuntive, il controllo di accesso alla rete cablata è delegato unicamente al controllo dell'accesso fisico ai locali dove sono presenti le prese di rete (es. gli Uffici) o dove sono presenti gli apparati di rete (es. i vani tecnici che contengono gli SWITCH  e i PATCH PANEL).

DHCP Enforcement

Dal momento che (come abbiamo visto) è il Server DHCP che "regala" l'accesso alla rete cablata a qualsiasi dispositivo lo chieda, sembrerebbe ovvio cercare la soluzione nella implementazione sul Server DHCP di meccanismi per fare in modo che sia il Server stesso a verificare in qualche modo l'identità di chi richiede l'accesso, prima di concederlo.

Questi meccanismi (che vanno sotto il nome di "DHCP Enforcement") risentono però di significative limitazioni:

• possono essere facilmente aggirati (l'utente che accede può impostare la configurazione della scheda di rete in modo statico - inserendo manualmente l'indirizzo IP e gli altri parametri necessari - evitando così che il PC debba rivolgersi al DHCP Server per accedere);
• richiedono di norma l'installazione di un apposito programma "agent" sul PC, per funzionare correttamente.

Ethernet Remote Annihilator

Tempo fa, qualche Amministratore di Rete particolarmente infastidito dalla continua presenza di dispositivi non autorizzati connessi alla rete cablata si è inventato una soluzione piuttosto drastica al problema...

L'Ethernet Remote Annihilator (letteralmente "disintegratore di schede di rete a distanza") è un apparecchio elettrico di semplice realizzazione ed uso, di cui vi riporto qui sotto lo schema costruttivo:

Una volta individuato il dispositivo indebitamente connesso alla rete, basta recarsi nel vano tecnico, staccare dal PATCH PANEL il cavo che collega la presa di rete allo SWITCH e connettere al suo posto l'Ethernet Remote Annihilator, avendo cura di inserire bene la spina Trifase.

Dopo aver sentito il botto provocato dall'esplosione della scheda di rete, si rimette tutto a posto come prima, portandosi via l'Ethernet Remote Annihilator che potrà quindi essere successivamente riutilizzato per ulteriori "interventi risolutivi" ;-D

Scherzi a parte...

La soluzione al problema si chiama NAC (Network Access Control).

Ne parleremo nel prossimo articolo.
Restate sintonizzati.

Cordialmente vostro,
Autostoppista Cyber Galattico.

Auguri di Buon Anniversario !

Per sempre vostro,
Autostoppista Cyber Galattico.