Articolo Pubblicazioni
Zero Trust: dall’idea di Kindervag (2010) al BeyondCorp di Google (2014)
di Vincenzo Calabrò · Pubblicato il 15 dicembre 2014
Abstract
Nel 2010 un analista di Forrester Research, John Kindervag, ha proposto il modello Zero Trust, che rifiuta la distinzione tra rete interna fidata e rete esterna ostile. A dicembre 2014 Google ha descritto BeyondCorp, l’architettura con cui sta portando i propri dipendenti a lavorare senza una rete aziendale privilegiata. L’articolo ricostruisce le due tappe, ne spiega i principi e indica che cosa possono trarne le organizzazioni.
Il problema del perimetro
Per decenni la sicurezza delle reti aziendali si è basata su un’idea semplice. All’esterno c’è Internet, ostile. All’interno c’è la rete aziendale, considerata fidata. Tra le due si colloca il firewall. Una volta dentro, un utente o un programma può raggiungere quasi tutto. È il modello che Kindervag ha descritto come «guscio duro e cuore morbido».
Già nel 2004 il Jericho Forum aveva segnalato che il perimetro stava perdendo significato a causa di portatili, connessioni dei partner, accessi remoti e servizi esterni. Gli attacchi degli ultimi anni lo hanno confermato. Molte intrusioni partono da una postazione interna compromessa con un messaggio di phishing e si espandono lateralmente senza incontrare ostacoli, perché la rete interna non controlla il traffico tra i propri sistemi.
Il modello di Kindervag
Nel settembre 2010 Forrester ha pubblicato il rapporto in cui Kindervag introduce lo Zero Trust Model of Information Security. Il nome riassume il principio. Nessun traffico è considerato affidabile per il solo fatto di provenire dalla rete interna. I principi indicati sono tre:
- garantire che tutte le risorse siano raggiunte in modo sicuro, indipendentemente dalla loro posizione;
- adottare una strategia del minimo privilegio e applicare in modo rigoroso il controllo degli accessi;
- ispezionare e registrare tutto il traffico, anche quello interno.
Sul piano architetturale Kindervag propone di dividere la rete in segmenti piccoli, raggruppati per funzione o per livello di sensibilità dei dati, e di collocare tra un segmento e l’altro un dispositivo di controllo, chiamato segmentation gateway, che unisce le funzioni di firewall, prevenzione delle intrusioni, filtraggio dei contenuti e cifratura. Il traffico tra segmenti passa sempre da un punto di controllo e viene registrato.
Dalla teoria alla pratica
Per alcuni anni lo Zero Trust è rimasto soprattutto un tema di analisti e conferenze. Le difficoltà sono note. Richiede di conoscere i flussi applicativi, di riprogettare la rete e di gestire un numero elevato di regole. Le aziende con reti cresciute nel tempo, piene di eccezioni e di sistemi poco documentati, faticano a intraprendere questo lavoro.
Il caso Google
A dicembre 2014 alcuni ingegneri di Google hanno pubblicato sulla rivista ;login: un articolo intitolato «BeyondCorp: A New Approach to Enterprise Security». L’azienda, colpita nel 2009 dall’operazione che ha preso il nome di Aurora, ha deciso di cambiare il modo in cui i dipendenti accedono alle applicazioni interne. L’obiettivo è permettere a qualunque dipendente di lavorare da qualunque rete, senza VPN, con lo stesso livello di sicurezza.
L’architettura descritta comprende alcuni elementi:
- un inventario dei dispositivi gestiti, ciascuno identificato da un certificato, che registra lo stato di ogni apparecchio;
- un database degli utenti e dei gruppi, collegato ai processi delle risorse umane;
- una rete interna non privilegiata, per cui anche il computer collegato in ufficio ha le stesse possibilità di uno collegato da casa;
- un proxy di accesso attraverso cui passano tutte le richieste alle applicazioni interne;
- un motore di controllo degli accessi che decide per ogni richiesta in base a utente, dispositivo, stato del dispositivo e risorsa richiesta.
La fiducia diventa una proprietà dell’utente e del dispositivo, valutata a ogni accesso, e non più della rete da cui ci si collega. Un dipendente con un portatile aggiornato e gestito può accedere a molte applicazioni, lo stesso dipendente da un computer sconosciuto a poche o a nessuna.
Una migrazione graduale
L’articolo di Google insiste sul percorso. La migrazione procede per gruppi di utenti e di applicazioni, con una fase in cui il traffico viene osservato senza essere bloccato, per capire che cosa si romperebbe con le nuove regole. Le eccezioni vengono gestite una per una. È un approccio che altre organizzazioni possono imitare anche senza le risorse di Google.
Due strade compatibili
Le due proposte si concentrano su aspetti diversi. Kindervag parte dalla rete e dal controllo del traffico tra segmenti. Google parte dall’identità e dallo stato dei dispositivi, con l’applicazione come punto di controllo. Le due strade sono compatibili. Una rete segmentata limita i movimenti laterali, un controllo di accesso basato su identità e dispositivo limita chi può raggiungere le applicazioni. Entrambe partono dalla stessa premessa, cioè che la posizione nella rete non dice nulla sull’affidabilità di chi chiede l’accesso.
I limiti
Nessuno dei due modelli è privo di costi. La microsegmentazione moltiplica le regole e richiede strumenti per gestirle, altrimenti diventa ingovernabile. Il controllo basato su identità e dispositivo richiede un inventario affidabile, una gestione centralizzata degli apparecchi e applicazioni raggiungibili tramite un proxy, condizioni difficili per sistemi legacy, apparati industriali e applicazioni client server di vecchia generazione. Lo Zero Trust è un obiettivo verso cui muoversi per gradi, iniziando dalle aree a maggior rischio.
Da dove iniziare
Per un’organizzazione italiana alcuni passi sono alla portata già oggi:
- censire applicazioni, dati e flussi di comunicazione tra i sistemi;
- separare dalla rete degli utenti i segmenti che ospitano i dati più sensibili, con regole esplicite;
- rafforzare l’autenticazione, introducendo il secondo fattore almeno per gli accessi remoti e amministrativi;
- costruire un inventario dei dispositivi e verificarne lo stato prima di consentire l’accesso;
- registrare e analizzare anche il traffico interno, per individuare comportamenti anomali.
Vedi anche: l’articolo del 2004 Identity management, l’articolo del 2019 Zero Trust Technology e l’articolo del 2026 Zero Trust negli ambienti OT.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn