Controlli degli accessi fisici: badge, serrature e mantrap

L'accesso fisico all'hardware vanifica quasi ogni controllo logico. Un attaccante con accesso fisico a un server può eseguire l'avvio da un supporto esterno, aggirare la crittografia del disco senza la chiave (attacco cold boot), installare keylogger hardware, rimuovere i dischi rigidi o semplicemente portare via l'apparecchiatura. Nessuna quantità di firewall, crittografia o autenticazione protegge i dati se una persona non autorizzata può toccare fisicamente l'hardware. La sicurezza fisica è la base su cui poggiano tutti gli altri controlli.

Una sicurezza fisica efficace utilizza zone stratificate con restrizioni di accesso crescenti. La zona più esterna è il perimetro dell'edificio (recinzioni, guardie di sicurezza, telecamere del parcheggio). Lo strato successivo è l'ingresso dell'edificio (lettori di badge, reception). Le zone interne comprendono le aree degli uffici (accesso tramite badge in base al reparto), le sale server (accesso ad alta sicurezza) e il nucleo del data center (accesso più restrittivo). Ogni strato dispone di controlli propri: la compromissione di quello più esterno non garantisce l'accesso a quello più interno.

I badge di accesso sono le credenziali più comuni per l'accesso fisico. I badge moderni utilizzano la tecnologia di prossimità (RFID/NFC), che i lettori rilevano senza contatto, oppure la tecnologia delle smart card, dotate di chip crittografici integrati. Le smart card sono più sicure perché il chip esegue una challenge-response crittografica, invece di trasmettere semplicemente un numero identificativo. Le schede PIV (Personal Identity Verification) rilasciate ai dipendenti del governo degli Stati Uniti soddisfano gli standard FIPS 201 e supportano sia l'accesso fisico sia quello logico (ai computer).

Le aree ad alta sicurezza richiedono l'autenticazione fisica a più fattori, che combina qualcosa che si possiede (badge), qualcosa che si conosce (PIN) e qualcosa che si è (dati biometrici). Una combinazione comune per l'accesso ai data center è: passaggio del badge + inserimento del PIN + scansione dell'impronta digitale. In questo modo, un badge rubato da solo non può consentire l'accesso, un'impronta digitale fotografata non può essere utilizzata senza il badge e un PIN conosciuto non può essere usato senza il badge fisico. L'autenticazione a tre fattori per l'accesso fisico è comune negli ambienti della difesa e finanziari.

Una mantrap (chiamata anche interblocco o vestibolo di controllo degli accessi) è una piccola stanza con due porte interbloccate: la prima porta deve chiudersi e bloccarsi prima che la seconda possa aprirsi. Questo meccanismo fisico impedisce il tailgating (quando una persona non autorizzata segue una persona autorizzata attraverso una porta protetta). Le mantrap possono integrare sensori di peso, contatori a infrarossi e telecamere per rilevare l'ingresso di più di una persona nella camera e attivare automaticamente un allarme quando viene rilevato un tentativo di tailgating.

Il tailgating si verifica quando una persona non autorizzata segue una persona autorizzata attraverso una porta protetta, senza che quest'ultima ne sia a conoscenza. Il piggybacking è simile, ma avviene con la collaborazione della persona autorizzata, che tiene aperta la porta. Entrambi aggirano completamente i controlli di accesso fisico. Le contromisure includono mantrap, tornelli che consentono il passaggio di una sola persona per ogni lettura del badge, formazione sulla cultura della sicurezza (i dipendenti non devono tenere aperte le porte a persone sconosciute) e telecamere per il rilevamento del tailgating con analisi video.

Le serrature fisiche variano da modelli di base a sistemi altamente sicuri. Le serrature a cilindro con pistoncini sono basilari e vulnerabili allo scassinamento e alla duplicazione delle chiavi. Le serrature ad alta sicurezza (Medeco, Abloy) dispongono di meccanismi resistenti allo scassinamento e di programmi di controllo delle chiavi. Le serrature a combinazione richiedono un PIN noto, ma non dispongono di una traccia di audit. Le serrature elettroniche con keycard o tastierini PIN mantengono i registri degli accessi e possono essere bloccate da remoto. Le serrature a codice (a pulsanti) richiedono un codice memorizzato: non serve alcuna scheda, ma la combinazione è statica e condivisa tra gli utenti autorizzati.

I controlli biometrici autenticano l'identità sulla base di caratteristiche fisiche uniche. I tipi più comuni includono gli scanner di impronte digitali (veloci, economici e più diffusi), i lettori della geometria della mano (tecnologia meno recente, presente nei data center), gli scanner dell'iride (molto precisi ma costosi) e il riconoscimento facciale (comodo, ma potenzialmente poco accurato in condizioni di scarsa illuminazione). Le metriche principali dei sistemi biometrici sono il False Acceptance Rate (FAR), ovvero la frequenza con cui viene ammessa una persona non autorizzata, e il False Rejection Rate (FRR), ovvero la frequenza con cui viene negato l'accesso a una persona autorizzata.

I visitatori, gli appaltatori e il personale addetto alla manutenzione che necessitano legittimamente di accesso fisico devono seguire procedure controllate. Le best practice includono: preapprovazione di tutti i visitatori prima dell'arrivo, verifica di un documento d'identità rilasciato dal governo alla reception, emissione di badge per visitatori con validità limitata che si disattivano automaticamente, obbligo di un accompagnatore designato che rimanga con il visitatore per tutta la durata della visita e mantenimento di un registro dei visitatori con ora di arrivo, ora di uscita, aree visitate e motivo della visita. I registri dei visitatori supportano le indagini forensi se si verifica un incidente dopo la visita.

I controlli di sicurezza fisica devono essere testati regolarmente mediante penetration test fisici (esercitazioni di red team). I tester tentano di effettuare tailgating, manipolare socialmente il personale della reception, clonare badge e scassinare serrature, per identificare le debolezze prima degli attaccanti. Gli audit dei badge verificano che le credenziali dei dipendenti cessati vengano disattivate tempestivamente. Gli audit di revisione degli accessi verificano che solo il personale attualmente autorizzato mantenga l'accesso alle aree sensibili. I test regolari rivelano se i controlli che funzionano sulla carta funzionano davvero nella pratica.

Ogni evento di accesso a una porta controllata tramite badge deve essere registrato: chi (ID del badge), dove (porta/stanza), quando (marca temporale) e se l'accesso è stato autorizzato o negato. Questi registri consentono di condurre indagini di sicurezza quando si verificano incidenti («c'era qualcuno nella sala server quando è scomparsa l'attrezzatura?»), di eseguire audit di conformità (chi ha effettuato l'accesso alle aree PCI-DSS?) e di rilevare anomalie (un dipendente che accede all'edificio alle 3 del mattino nei fine settimana). I registri dei badge devono essere archiviati in modo sicuro e conservati per almeno 90 giorni, o più a lungo secondo i requisiti di conformità.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: la sicurezza fisica utilizza zone a livelli, con controlli progressivamente più rigorosi verso le aree sensibili; le mantrap impediscono il tailgating, richiedendo che una porta si chiuda prima che si apra quella successiva; e l'autenticazione fisica a più fattori, che combina badge, PIN e dati biometrici, garantisce che le sole credenziali rubate non siano sufficienti per ottenere l'accesso. Ora esamineremo i sistemi di sorveglianza: CCTV, sensori di movimento e registrazione degli eventi per il monitoraggio della sicurezza fisica.