Sul Wi-Fi dell’ufficio e ti chiedono ancora la VPN? Ecco perché

Il portatile è sull’SSID aziendale, la richiesta del certificato è stata accettata, e un’applicazione web chiede ancora la VPN. Sembra doppio lavoro, e a volte lo è. I due accessi impongono di solito decisioni diverse, e l’unico modo per sapere se il secondo merita il suo posto è chiedere che cosa cambia.

Unirsi a una rete è una decisione di ammissione

Una distribuzione 802.1X risponde a una domanda: questo dispositivo o utente può collegarsi a questa rete? Il punto di accesso passa le credenziali a un server RADIUS, e la risposta può portare attributi che collocano la sessione in una VLAN particolare o applicano un filtro. È ammissione e segmentazione, non autorizzazione per una determinata applicazione.

Una volta ammessa la sessione, il collegamento senza fili è cifrato tra il client e il punto di accesso. La protezione finisce lì, al margine della rete cablata.

Tutto ciò che sta oltre quel punto è normale instradamento all’interno dell’edificio, con la raggiungibilità interna che il segmento consente.

Che cosa protegge davvero EAP-TTLS

EAP-TTLS costruisce un tunnel TLS durante l’autenticazione e vi esegue un metodo interno. Il metodo interno è spesso PAP, e la sua presenza in un progetto non significa che la password attraversi l’aria in chiaro, perché è il tunnel TLS a trasportarla. Il client deve comunque verificare l’identità del server e fidarsi della CA giusta, e un SSID familiare non è quella verifica. Leggi la scelta del metodo interno come un formato di credenziali, non come un’affermazione sulla cifratura esterna.

Questo è uno scambio di autenticazione, non un tunnel dati per il traffico successivo del portatile.

Quando l’autenticazione finisce, il tunnel TLS sparisce e i pacchetti del client viaggiano sul segmento ammesso. Confondere le due cose è la radice della convinzione che la cifratura Wi-Fi faccia già il lavoro della VPN.

La VPN è una seconda decisione, più stretta

Una VPN risponde a un’altra domanda: a quali risorse private può arrivare questa identità, e a quali condizioni? Termina su un gateway con una propria politica, propri controlli di identità e spesso propri requisiti sullo stato del dispositivo. L’insieme raggiungibile dopo l’attivazione del tunnel è di solito più piccolo della rete interna dell’edificio e specifico per il ruolo.

Per questo un ruolo di manutenzione può essere ammesso al Wi-Fi come tutti gli altri e avere comunque bisogno di un tunnel per raggiungere una sottorete di gestione. La decisione Wi-Fi è stata presa al punto di accesso; questa si prende al gateway.

Entrambe le fasi possono essere cifrate e comunque imporre politiche non correlate.

Dove si spezza la fiducia basata sulla posizione

Trattare la rete dell’ufficio come implicitamente affidabile fallisce per una ragione semplice: la posizione di rete è una proprietà della connessione, non della persona. Le linee guida zero-trust del NIST lo dicono direttamente, ed è per questo che l’accesso alle risorse si decide per richiesta e non per edificio. Chiunque si unisca allo stesso SSID eredita la stessa posizione. È anche per questo che un portatile compromesso sulla rete del personale merita lo stesso scetticismo di uno sulla rete degli ospiti.

La conseguenza pratica è che l’autorizzazione delle applicazioni deve comunque esistere. Una VPN che concede un’intera sottorete, più un’applicazione che si fida di ogni richiesta da quella sottorete, è a una credenziale da una brutta giornata.

Nessuno dei due strati sostituisce l’altro, perché rispondono a domande su scale diverse.

Come capire se il secondo accesso merita il suo posto

Chiedete al proprietario della rete due cose: che cosa diventa raggiungibile dopo la connessione della VPN, e quali condizioni di identità o del dispositivo vengono verificate per consentirlo? Poi verificate le risposte provando che cosa risponde davvero. Se il tunnel non cambia né la raggiungibilità né la garanzia, può essere un’abitudine operativa più che un controllo, e questa è una decisione del proprietario, non qualcosa che un utente debba aggirare.

Cercate anche percorsi diretti non voluti, perché una risorsa raggiungibile senza il tunnel rende il tunnel decorativo.

Documentate ogni confine e il suo scopo, e la persona successiva non dovrà indovinare perché ci sono due accessi.