Public key infrastructure (PKI) è una tecnologia basata su certificati standard che combina autenticazione e protezione, garantendo la sicurezza e l’integrità delle connessioni e delle comunicazioni remote. Ad accendere i riflettori sulla Public key infrastructure gli esperti, che inquadrano sia il contesto che le motivazioni d’uso. Il punto di partenza del ragionamento è l’incremento del telavoro e dello smart working di questi ultimi 3 anni. Consentire alla quasi totalità dei lavoratori di accedere in modo sicuro alle reti da remoto è una grande sfida per qualsiasi organizzazione. Anche perché il cybercrime sa come bypassare i tradizionali strumenti di autenticazione basati su password e sistemi di autenticazione a più fattori.
Public key infrastructure: come funziona
Un’alternativa migliore e più sicura per supportare la forza lavoro mobile e remota, presidiando l’accesso alla rete, è implementare la Public key infrastructure. La PKI si basa su coppie di chiavi asimmetriche che, tramite crittografia, consentono alla tecnologia di convalidare in modo facile e immediato le identità. A differenza delle password, un certificato digitale PKI:
- non può essere indovinato
- può provare crittograficamente l’identità di un utente o di un dispositivo
Queste due capacità garantiscono che le informazioni di un’entità siano corrette e pienamente corrispondenti.
Inoltre, i certificati PKI sono più facili da gestire rispetto alle password, poiché hanno una data di scadenza e possono essere revocati in qualsiasi momento, rimuovendo istantaneamente la capacità di un utente o dispositivo di accedere alle risorse aziendali.
Applicazioni PKI: esempi
Le comunicazioni da utente a utente, da utente a macchina e da macchina a macchina possono essere tutte protette utilizzando la Public key infrastructure. La tecnologia è nota per la sua capacità di proteggere le interazioni degli utenti con i siti Web, ma anche su altri ambiti applicativi come, ad esempio, per proteggere:
- reti
- dispositivi mobili
- dispositivi IoT
- documenti
Questo è il motivo per cui la Public key infrastructure viene implementata a supporto di molti servizi quotidiani critici come, ad esempio:
- fornire connessioni sicure tra client e server Lightweight Directory Access Protocol
- consentire alle VPN di autenticare le comunicazioni degli endpoint su reti non sicure
- crittografare e decriptare i messaggi di posta elettronica
- proteggere i dati remoti accedere tramite SSH
Come implementare una piattaforma PKI
In passato implementare e gestire le PKI era piuttosto complicato. I prodotti di ultima generazione oggi non richiedono competenze specialistiche e offrono la possibilità di emettere e gestire certificati di crittografia e autenticazione su una varietà di sistemi e dispositivi. In più, forniscono controlli di accesso utente senza interruzioni, che sostituiscono l’autenticazione a più fattori (MFA) convenzionale con l’autenticazione no-touch.
Grazie all’evolutiva tecnologica, le organizzazioni possono creare ed emettere velocemente e facilmente PKI e certificati digitali il che è consigliato quando si emettono certificati solo per uso interno. Le Public key infrastructure costruite internamente, tuttavia, sono difficili da scalare e di solito richiedono molte risorse. Inoltre, i certificati autofirmati non sono considerati attendibili da browser o sistemi operativi.
Modelli distributivi di una Public key infrastructure platform
L’opzione migliore è distribuire una piattaforma PKI centralizzata. A questo proposito è possibile scegliere tra diverse opzioni, flessibili, scalabili e affidabili, che possono essere basate su cloud, on-premise, ibride o offerte con un modello di PKI as-a-service. Grazie a una cabina di regia centralizzata, i team di sicurezza o gli amministratori di rete possono emettere, revocare e sostituire i certificati in modo rapido, semplice e affidabile, automatizzando molte attività di gestione delle emissioni e del ciclo di vita delle PKI. Semplificando la gestione delle chiavi, le squadre di sicurezza hanno più tempo da dedicare al monitoraggio delle identità degli utenti e dei dispositivi connessi alla rete.
Mappare bene le esigenze operative, funzionali e normative
Prima di adottare una Public key infrastructure, le organizzazioni devono verificare che la tecnologia sia in grado di soddisfare specifiche esigenze a livello aziendale, di sicurezza e degli utenti, in conformità con le normative locali, industriali e nazionali. Dal punto di vista della sicurezza, le vulnerabilità relative al rischio di accesso non autorizzato si hanno in presenza di:
- chiavi deboli
- chiavi sviluppatore
- chiavi non autorizzate
- relazioni di fiducia non tracciate tra sistemi e account
Networking: certificazioni basate sulla fiducia
Il meccanismo della Public key infrastructure stabilisce relazioni di fiducia a partire dall’Autorità di certificazione (CA). Una CA attendibile emette un certificato per un’entità, che include la chiave pubblica della stessa. Nel caso di una rete in cui è richiesta un’autenticazione forte, le entità peer si fidano dell’autorità di certificazione e di conseguenza del certificato, anche perché possono verificare la firma dell’Autorità di certificazione, facendo affidamento su varie informazioni di cui la più importante è l’associazione dell’entità con la chiave pubblica. Lo schema di funzionamento è il seguente:
- Un Security Gateway che partecipa alla creazione di un tunnel VPN deve disporre di una coppia di chiavi RSA e di un certificato emesso da una CA affidabile. Il certificato contiene i dettagli sull’identità del modulo, la sua chiave pubblica, i dettagli sul recupero dell’elenco CRL ed è firmato dalla CA.
- Quando due entità tentano di stabilire un tunnel VPN, ciascuna parte fornisce al proprio peer informazioni casuali firmate dalla sua chiave privata e con il certificato che contiene la chiave pubblica.
- Il certificato consente di instaurare un rapporto di fiducia tra i Security Gateway. Ogni Security Gateway utilizza la chiave pubblica peer Security Gateway per verificare l’origine delle informazioni firmate e la chiave pubblica della CA per convalidare l’autenticità del certificato. In altre parole, il certificato convalidato viene utilizzato per autenticare il peer.
Cosa succede se un’autorità di certificazione è compromessa
I certificati digitali vengono utilizzati per associare una chiave pubblica di una coppia di chiavi pubblica-privata (ad esempio RSA, ECC) con l’identità del suo proprietario. Per autenticare che l’identità rivelata nel certificato digitale, il proprietario deve rispondere a una sfida utilizzando la chiave privata appartenente alla coppia di chiavi, a cui solo lui ha accesso.
Dunque, se è vero che le Public key infrastructure offrono la forma più efficace di autenticazione dell’identità, è vero anche che devono essere gestite in modo inadeguato. Se una CA è compromessa, infatti, l’intera PKI viene compromessa ed è necessario emettere nuovi certificati.
I punti di attenzione del PKI management
Una PKI presuppone che le chiavi private siano controllate e accessibili esclusivamente dai loro proprietari. Rubare o controllare la chiave privata significa che l’identità rappresentata da questa chiave è compromessa.
Per questo è fondamentale dedicare tempo e risorse per distribuire strumenti di gestione completi e abilitare una formazione adeguata durante l’implementazione o l’aggiornamento dei servizi PKI. Questa tecnologia dovrebbe essere utilizzata insieme a solide pratiche di gestione delle chiavi, unitamente a politiche e procedure di audit complete. Per capirci: utilizzare i fogli excel è caldamente sconsigliato.
PKI: l’importanza degli inventari e degli audit
Una buona pratica di gestione delle chiavi PKI è analizzare le relazioni abilitate da ciascuna chiave. Gli audit dovrebbero essere condotti regolarmente per identificare chiavi scadute o inutilizzate e certificati non autorizzati. Mantenere un inventario delle chiavi aggiornato significa che i team di sicurezza possono ruotare le chiavi in modo coerente per evitare problemi come quelli relativi a chiavi che non soddisfano più i requisiti delle politiche di sicurezza o ex dipendenti o appaltatori che hanno accesso alle chiavi.
Tutte le chiavi devono essere archiviate in una posizione centralizzata e sicura (ad esempio un modulo di sicurezza hardware), con accesso limitato agli utenti privilegiati con password complesse e controlli di accesso basati sui ruoli.
Come implementare le PKI per i lavoratori remoti
Lato dipendenti e collaboratori, prima di implementare PKI è fondamentale lavorare sulla formazione. Gli utenti devono completare un corso di sensibilizzazione alla sicurezza per assicurarsi di comprendere le politiche pertinenti e sapere come seguire le migliori pratiche di sicurezza informatica.
I datori di lavoro dovrebbero imporre a tutti i dispositivi che si connettono alla rete di disporre di un Trusted Platform Module (TPM). I TPM, ora standard sui dispositivi moderni, forniscono funzioni di sicurezza basate sull’hardware che includono controllo dell’accesso e autenticazione.
La chiave privata per il certificato di ciascun utente è archiviata nel TPM del dispositivo, il che consente agli utenti di autenticarsi e accedere in modo sicuro ad applicazioni e risorse senza richiedere ulteriori interventi. Anche con la maggiore efficienza, questa forma di MFA è molto più forte delle password comuni e dell’MFA basata sul telefono.
