Cos'è "Zero Fiducia"

Immagina di lavorare in un grande ufficio (forse non hai bisogno di immaginare). Può essere aziendale, governativo, legale, senza scopo di lucro, non importa. Ora immagina di aver bisogno di un documento consegnato a mano a un collega, firmato e restituito. Il motivo di questa procedura non è importante, quindi crea uno scenario. In ogni caso, comunque, tale documento dovrà essere consegnato in formato cartaceo e firmato fisicamente. Ok, hai tutto questo nella tua mente? Pensiamo a tre modi in cui questo potrebbe svolgersi:

Scenario 1: fiducia al 100%.

Immagina di prendere personalmente questo documento tra le mani, di camminare lungo il corridoio fino alla scrivania del tuo collega, consegnargli il documento, guardarlo mentre lo firma e poi riceverlo indietro. Ecco cosa vuol dire avere fiducia al 100% in un processo: non ci sono intermediari, il documento non è mai stato perso di vista, non c'è spazio per ambiguità o incertezze.

Scenario 2: Fiducia ragionevolmente buona

Ora aggiungiamo una piccola complicazione: sei un pezzo grosso. Non lo percorri tu stesso lungo il corridoio (chi ha tempo per quello?), lo consegni al tuo assistente amministrativo. Portano il documento in fondo al corridoio. Forse lo passano anche all'amministratore del tuo collega. Quindi quel processo viene annullato dopo che è stato firmato.

In questo scenario, abbiamo alcuni intermediari. Ma quegli intermediari sono piuttosto affidabili: sono i tuoi amministratori sempre presenti e altamente competenti. E il documento non lascia mai il tuo piano o edificio, quindi sei abbastanza sicuro che nulla possa andare storto. Questo è uno scenario di fiducia "ragionevolmente buona". Nella sicurezza informatica potremmo paragonarlo a quello che ora è noto come "modello di sicurezza perimetrale". In quel modello, le reti di computer sono progettate per funzionare come sistemi interni chiusi come l'ufficio che abbiamo descritto sopra. Le informazioni vengono trasferite tra i singoli sistemi sulla rete utilizzando una serie di intermediari interni, ma non lasciano mai l'edificio (virtuale). Finché la rete interna è sicura, lo sono anche quelle informazioni. Potresti avere un amministratore segretamente malvagio che in realtà ti sta spiando per conto di un rivale? Sicuro, questa è una possibilità teorica. Allo stesso modo, nel modello di sicurezza perimetrale potresti avere dispositivi compromessi all'interno della rete. Ma se fai un buon lavoro proteggendo quel perimetro (un buon lavoro assumendo i tuoi amministratori, nella nostra analogia), il rischio è basso e puoi operare con ragionevole fiducia che la rete sia sicura (proprio come ti fideresti ragionevolmente che i tuoi amministratori consegnare il documento). O almeno, questa è la teoria. Ci torneremo tra poco. questa è la teoria. Ci torneremo tra poco. questa è la teoria. Ci torneremo tra poco.

Scenario 3: zero fiducia

Ora diventiamo molto più complicati. Il collega a cui devi far firmare questo documento non lavora nel tuo edificio. Lavori per un'organizzazione gigantesca con molti uffici in tutta la regione/paese/mondo. Il tuo collega è in un'altra struttura. Per portare il documento a quella struttura, l'amministratore chiama un servizio di messaggistica. Il servizio di messaggistica arriva nel tuo edificio, prende il documento dal tuo amministratore e se ne va. Alla fine, un altro rappresentante del servizio di messaggistica si presenta nell'edificio in cui lavora il tuo collega. Portano il documento attraverso il punto di controllo di sicurezza dell'edificio, fino al piano dove lavora il tuo collega, attraverso l'addetto alla reception, fino all'amministratore del tuo collega. Ora torniamo al "sistema interno". Quando il documento è firmato, invertiamo il processo attraverso il servizio di messaggistica, la sicurezza del tuo edificio e l'addetto alla reception del tuo piano. Molte più mani hanno toccato questo documento e inserito una gigantesca scatola nera nel mezzo del processo: cosa succede mentre il documento è in possesso del corriere? Non è che non ti fidi affatto di questo servizio di messaggistica (altrimenti, perché dovresti assumerli?). Ma nonostante la fiducia che potresti avere per loro, non hai visibilità sul loro processo interno. Come ordinano, danno priorità, e gestire le consegne? Fanno tutto da soli o ci sono altri intermediari o subappaltatori? Quante persone al servizio di messaggistica hanno accesso al tuo documento mentre è in loro possesso? Quali sono le loro politiche interne sulla gestione dei documenti? Qual è il processo di assunzione/selezione? Forse il tuo amministratore sa qualcosa di questo o forse il tuo team legale o di relazioni con i partner lo sa, ma immagino che tu non lo sappia.

Questo è l'aspetto di Zero Trust. Si affida a feste che sono una specie di scatola nera: sai che dai loro un messaggio e salta fuori dall'altra parte, ma non hai idea di cosa succede nel mezzo. Nella sicurezza informatica, questo è analogo ai sistemi che vengono eseguiti nel cloud o al traffico che deve attraversare la rete Internet aperta. Man mano che sempre più lavoro avviene in remoto, sempre più sistemi si adattano a questa descrizione, dall'e-mail ai database interni o CRM o strumenti di gestione dei progetti o unità di documenti, ecc., soprattutto se devono essere accessibili dai dipendenti da postazioni remote. I servizi di messaggistica in questa analogia sono i fornitori di servizi cloud e Internet che ospitano questi servizi o trasportano informazioni da e verso di essi.

Perché lo chiamiamo zero trust? Ovviamente, ci fidiamo almeno un po' di alcuni di questi fornitori di servizi cloud e internet (altrimenti non useremmo i loro servizi). Ma ci sono alcuni avvertimenti su quella fiducia: potremmo anche non sapere che stiamo utilizzando alcuni fornitori (immagina che il nostro servizio di messaggistica abbia subappalti per le tratte tra le città di cui non siamo a conoscenza) e altri ancora potremmo non avere altra scelta che uso (ad esempio, il tuo provider Internet locale potrebbe avere il monopolio). Anche quando abbiamo un certo grado di fiducia in un fornitore, non controlliamo né comprendiamo appieno i suoi processi interni e quell'effetto scatola nera dovrebbe lasciarci qualche preoccupazione. Ripensando alla nostra analogia con il servizio di messaggistica, ecco alcune "minacce" che potrebbero sorgere:

1. Qualcuno nel corso della gestione del nostro documento da parte del servizio di messaggistica lo legge e apprende informazioni riservate. Potrebbero farlo a proprio vantaggio (insider trading, forse) o per qualcun altro (spionaggio aziendale).
2. Qualcuno nel corso della gestione del nostro documento da parte del servizio di messaggistica apporta una nefasta modifica al documento che ne altera l'intento o l'effetto. Ad esempio, se il documento contiene istruzioni per inviare denaro da qualche parte, modificano tali istruzioni per includere il proprio conto bancario come destinazione.
3. Qualcuno che sa che utilizziamo questo servizio di messaggistica invia un messaggio tramite loro al tuo collega che finge di provenire da te (o da un altro collega) e li convince ad agire. In altre parole, una classica (ma forse più sofisticata) truffa.

Le prime due preoccupazioni hanno mitigazioni abbastanza semplici. Nella nostra analogia con il servizio di messaggistica, se il documento contiene qualcosa di riservato o sensibile, potremmo sigillare il nostro documento in modo da rivelare manomissioni o scrivere il documento in una sorta di codice. Sappiamo come fare entrambe queste cose con i documenti fisici fin dai tempi antichi, e una o entrambe queste tattiche rendono molto più difficile leggere o alterare il documento mentre è in transito senza che il destinatario se ne accorga. Queste idee si traducono facilmente anche nella sicurezza informatica: la crittografia è l'equivalente della scrittura in codice e la "firma" crittografica è l'equivalente di apporre un sigillo su un documento per rivelare la manomissione.

Lo scenario finale - qualcuno che finge di essere noi - è una delle principali preoccupazioni del networking zero trust. Nell'analogia con il documento, la nostra attività probabilmente svilupperebbe pratiche che fornirebbero un certo grado di protezione contro questo: avvisare il destinatario di aspettarsi una consegna in tale giorno da tale persona, chiamare il mittente per verificare i dettagli di un documento e le sue istruzioni, firmare le cose in entrata e in uscita per creare una traccia di custodia, richiedere un documento d'identità con foto su ciascuna estremità per confermare il mittente e il destinatario, ecc. Alcune di queste potrebbero essere misure impiegate dal servizio di messaggistica stesso per migliorare la sicurezza e aumentare il nostro livello di confidenza.

In una rete di computer Zero Trust, ci affidiamo a solidi metodi di "autenticazione reciproca". Quando qualcuno accede a un sistema protetto da zero trust, non ci crediamo sulla parola che è chi dice di essere, glielo facciamo dimostrare utilizzando Multi-Factor Authentication e controlliamo gli indicatori sospetti, come l'accesso da una località dall'altra parte del paese/mondo da dove normalmente lavorano. Inoltre, non gli facciamo credere sulla nostra parola che il sistema a cui si stanno connettendo è quello che pensano che sia, il sistema fornisce una "prova" (di solito usando qualcosa chiamato certificato) per mostrare all'utente che è il sistema giusto. Questo in genere accade "in modo trasparente", il che significa che l'utente viene avvisato solo se qualcosa non va. Seguiamo un processo simile quando i sistemi parlano tra loro, facendo in modo che ciascuno provi all'altro la propria identità (di nuovo, utilizzando certificati). Questo ci dà la certezza che nessuno si trovi tra questi due sistemi leggendo e/o alterando le informazioni che fluiscono tra di loro.

Limitazioni Zero Trust

Un buon riassunto di zero trust potrebbe essere questo: cifrare e firmare tutto, autenticare fortemente tutti. Ciò si traduce in una rete estremamente resistente ai tentativi di malintenzionati esterni di utilizzare i nostri "servizi di messaggistica" contro di noi. Questa architettura Zero Trust non è infallibile (dato che un avversario ha abbastanza tempo e determinazione e alla fine troverà un modo per entrare), ma è molto robusto contro la maggior parte degli attacchi esterni.

Ciò comporta un potenziale svantaggio: potrebbe rendere più potenti le minacce interne. Immagina che il tuo collega nell'altra struttura sia il cattivo attore. Stanno cercando di rubare dalla tua azienda. Poiché conoscono molto bene il processo e dispongono delle autorizzazioni necessarie per avviare una transazione, possono utilizzare i tuoi processi interni contro di te. Date tutte le garanzie che hai messo in atto, quando ricevi il loro messaggio hai molta fiducia che sia genuino (come, in effetti, lo è; è anche nefasto). Quindi, fintanto che la richiesta non è ovviamente di natura dannosa, quella fiducia potrebbe renderti più propenso ad accettarla. In altre parole, il processo Zero Trust può effettivamente dare credibilità alle azioni di un insider malintenzionato a causa di tutte le caselle che spuntano lungo il percorso.

Dal punto di vista della sicurezza informatica, ciò richiede ciò che chiamiamo "difesa in profondità". Non ci affidiamo solo alle nostre protezioni Zero Trust, implementiamo anche la separazione dei compiti (nota anche come "Principio del privilegio minimo"), l'approvazione di più parti per determinate azioni e il monitoraggio di attività insolite o anomale (anche se proviene da addetti ai lavori). Le aziende fanno cose simili anche nel mondo fisico, perché ogni sistema ha i suoi punti deboli, quindi sovrapporli uno sull'altro si traduce in una protezione complessiva più forte.

Perché avere Zero Trust ovunque?

Quello che ci siamo resi conto nella sicurezza informatica è che il modello di perimetro di "fiducia ragionevole" di cui abbiamo discusso nello scenario due sopra non esiste davvero. Anche quando pensiamo che le cose siano completamente contenute all'interno delle nostre reti private, ci sono spesso aperture nell'armatura di cui non siamo consapevoli (cose che sono state accidentalmente aperte o cose che hanno punti deboli che non conosciamo). Una volta sfruttate queste aperture, il modello basato sul perimetro rende molto, molto facile per i malintenzionati impazzire.

Sempre più spesso, però, la maggior parte delle cose non è contenuta nelle nostre reti private. Da anni le aziende spostano sempre più i propri servizi IT “nel cloud” invece di gestirli su data center interni. Ciò inizia a introdurre l'effetto "scatola nera" di cui abbiamo discusso. Aggiungete a ciò i telelavoratori, un settore della forza lavoro che è esploso durante la pandemia, e avrete altre "scatole nere" di cui preoccuparvi. Sempre più spesso tutto ciò che fa il personale della tua organizzazione passa attraverso più reti che non controlli e funziona su un'infrastruttura che non è tua.

Il punto non è lanciare calunnie su quei fornitori. Si spera che tu abbia scelto un fornitore di servizi cloud di cui ti fidi ragionevolmente. Spero che i tuoi fornitori di servizi Internet non siano malvagi. Ma anche nella migliore delle ipotesi, fai affidamento su di loro. Cosa succede se vengono violati? Cosa succede se non si rendono conto di essere stati violati? Zero Trust è un modo per mitigare non solo eventuali preoccupazioni che potresti avere sui tuoi fornitori stessi, ma anche per proteggerti da qualsiasi attività dannosa diretta nei loro confronti in cui potresti essere catturato. In combinazione con la difesa in profondità, crea una posizione di sicurezza molto robusta.

Riepilogo

Le architetture di rete Zero Trust sono motivate dall'effetto "scatola nera" di affidarsi a provider che non controlli (ad esempio, servizi cloud o Internet pubblico). Poiché non abbiamo visibilità e controllo su questi servizi, non possiamo sapere chi potrebbe leggere o interferire con le nostre attività. Per proteggerci, implementiamo una combinazione di crittografia (che trasmette la nostra attività in codice), firma crittografica (che ci consente di rilevare manomissioni) e robusti meccanismi per verificare reciprocamente le identità di entrambe le parti in un'interazione virtuale. Questo ci dà un'altissima fiducia che l'attività sulla nostra rete sia "genuina", fornendo una solida sicurezza contro tutti tranne gli aggressori esterni più determinati. Quella fiducia potrebbeessere sfruttati da minacce interne, quindi abbiamo ancora bisogno di altre misure di sicurezza, soprattutto il principio del privilegio minimo e il monitoraggio di comportamenti insoliti, per completare il nostro approccio alla sicurezza.