Protocolli di tunneling e cifratura

Un tunnel VPN viene creato da specifici protocolli che definiscono come il traffico viene incapsulato, crittografato e autenticato. Protocolli diversi rispondono a esigenze diverse, bilanciando sicurezza, velocità e compatibilità.

I due protagonisti della tecnologia VPN sono IPsec e SSL/TLS. Comprenderne i ruoli aiuta a riconoscere come è effettivamente costruita quasi ogni VPN che si utilizza.

IPsec (Internet Protocol Security) è una suite di protocolli che protegge il traffico a livello di rete (Livello 3). Può crittografare e autenticare ogni pacchetto tra due endpoint ed è alla base della maggior parte delle VPN site-to-site.

Poiché opera al Livello 3, IPsec protegge tutto il traffico in modo trasparente, indipendentemente dall'applicazione che lo invia, caratteristica che lo rende ideale per collegare intere reti.

IPsec utilizza diversi componenti:

• AH (Authentication Header): fornisce integrità e autenticazione, ma non crittografia.
• ESP (Encapsulating Security Payload): fornisce crittografia e integrità ed è il componente più utilizzato.
• IKE (Internet Key Exchange): negozia le chiavi e configura l'associazione sicura.

ESP con IKE è la combinazione comune che garantisce piena riservatezza e integrità.

IPsec funziona in due modalità. La modalità transport crittografa solo il payload del pacchetto, lasciando intatta l'intestazione IP originale; viene utilizzata per i collegamenti host-to-host. La modalità tunnel crittografa l'intero pacchetto originale e lo incapsula in uno nuovo.

La modalità tunnel è quella utilizzata dalle VPN site-to-site, perché nasconde gli indirizzi interni e protegge l'intero pacchetto originale tra i due gateway.

Le VPN SSL/TLS (Secure Sockets Layer / Transport Layer Security) proteggono il traffico a un livello superiore e spesso funzionano direttamente all'interno di un browser web o tramite un client leggero. TLS è lo stesso protocollo che protegge i siti web HTTPS.

Le VPN SSL sono diffuse per l'accesso remoto dei client perché sono facili da implementare, attraversano facilmente firewall e NAT e possono non richiedere software speciale oltre al browser.

Le due tecnologie eccellono in ambiti diversi:

• IPsec: ideale per collegamenti site-to-site e accesso a intere reti, ma può avere difficoltà con NAT e firewall e richiede una configurazione più complessa.
• SSL/TLS: ideale per l'accesso client ad applicazioni specifiche, compatibile con i browser e con i firewall.

Molte organizzazioni utilizzano IPsec tra gli uffici e SSL/TLS per gli utenti remoti.

I protocolli più recenti migliorano quelli classici. WireGuard è un protocollo moderno, veloce e leggero, con una base di codice ridotta, più facile da sottoporre ad audit e molto efficiente.

OpenVPN è un'opzione open source flessibile e ampiamente utilizzata, basata su TLS. IKEv2/IPsec è apprezzato sui dispositivi mobili perché si riconnette rapidamente quando cambia la rete, ad esempio passando dal Wi-Fi alla rete cellulare.

Alcuni protocolli VPN meno recenti sono ormai insicuri e non devono essere utilizzati. PPTP (Point-to-Point Tunneling Protocol) presenta vulnerabilità note e una crittografia compromessa. Il semplice L2TP (Layer 2 Tunneling Protocol) non offre crittografia autonomamente e deve essere abbinato a IPsec.

Riconoscere i protocolli obsoleti è importante: utilizzarli crea una falsa sensazione di sicurezza lasciando il traffico esposto.

Tutti questi protocolli si basano sulla crittografia. Utilizzano la crittografia simmetrica (un'unica chiave condivisa) per i dati in quantità, perché è veloce, e la crittografia asimmetrica (coppie di chiavi), insieme agli algoritmi di scambio delle chiavi, per concordare in sicurezza quella chiave condivisa.

Cifrari moderni e robusti e un corretto scambio delle chiavi rendono un tunnel realmente sicuro; una crittografia debole o obsoleta compromette anche una VPN progettata correttamente.

La configurazione di una VPN ruota attorno agli endpoint, alle chiavi e al traffico consentito. Questo frammento semplificato mostra il tipo di impostazioni utilizzate da un peer WireGuard.

IPsec protegge il traffico al Livello 3 utilizzando ESP e IKE, con la modalità tunnel per i collegamenti site-to-site. Le VPN SSL/TLS proteggono l'accesso dei client e sono compatibili con browser e firewall. Opzioni moderne come WireGuard, OpenVPN e IKEv2 migliorano velocità e mobilità, mentre il vecchio PPTP va evitato.

Verifichi le proprie conoscenze sui protocolli VPN.

IPsec protegge il traffico a livello di rete con AH, ESP e IKE, utilizzando la modalità tunnel per le VPN site-to-site. Le VPN SSL/TLS sono adatte all'accesso client tramite browser. I protocolli moderni includono WireGuard, OpenVPN e IKEv2, mentre le opzioni obsolete e insicure come PPTP devono essere dismesse.