Identità delle macchine e gestione: una guida

Senza un’adeguata gestione dell’autenticazione, il numero sempre crescente di interazioni tra macchine, inerente ai processi digitalizzati, rappresenta un rischio significativo per la continuità operativa. Le identità univoche consentono a questi processi di determinare se l’interazione è affidabile attraverso l’uso di chiavi crittografiche e certificati digitali. In sostanza, questa identità delle macchine è la credenziale digitale o “impronta digitale” utilizzata per stabilire la fiducia, autenticare altre macchine e crittografare le comunicazioni.

È essenziale che l’intero ciclo di vita delle identità delle macchine sia gestito correttamente, garantendo che l’accesso sia concesso solo a utenti o macchine legittimi, indipendentemente dal numero di identità delle macchine coinvolte o dalla complessità della rete aziendale.

La convalida delle identità delle macchine è particolarmente importante a sostegno di una strategia di sicurezza Zero Trust, in cui la fiducia non viene mai concessa implicitamente e deve essere continuamente valutata. Questo approccio prevede la concessione di un controllo dettagliato degli accessi, di un controllo degli accessi privilegiati e di autorizzazioni a ciascun dispositivo e processo all’interno di una rete, nonché alle identità umane presenti nell’ambiente. L’utilizzo di certificati PKI (Public Key Infrastructure) e di coppie di chiavi crittografiche può rafforzare la verifica e può anche servire a proteggere le connessioni tra entità che si trovano al di fuori dell’architettura di rete protetta da firewall.

In questa era di trasformazione digitale, il modello Zero Trust migliora la protezione delle identità delle macchine, aumentando al contempo la necessità di un approccio consolidato, automatizzato e moderno alla PKI.

Che cos'è un'identità macchina?

Un'identità macchina è molto più di un numero di identificazione digitale o di un semplice identificatore, come un numero di serie o un codice articolo. Si tratta invece di un insieme di credenziali autenticate che certificano che una macchina o un utente sia autorizzato ad accedere a risorse online o a una rete.

È importante notare che non si tratta di un concetto universale, poiché qualsiasi identità è valida solo all’interno della rete o del sistema per cui è stata creata. Le moderne reti informatiche, infatti, utilizzano un’intera categoria di software per gestire sia le identità delle macchine che quelle degli utenti. Il software di gestione delle identità e degli accessi (IAM) ha il compito specifico di garantire che tutte le identità digitali siano gestite in modo corretto e sicuro.

Esempi di identità delle macchine

Le identità delle macchine costituiscono un sottoinsieme di un più ampio sistema di identità digitali che comprende anche tutte le identità umane e delle applicazioni in un ambiente aziendale. A ciascuno dei seguenti elementi, ad esempio, verrebbe assegnata un’identità univoca:

• Dispositivi mobili e smartphone
• Dispositivi dell’Internet delle cose (IoT)
• Server web e server applicativi
• Apparecchiature di rete e router

Con l’espansione delle iniziative di trasformazione digitale, aumenterà anche il numero di macchine coinvolte nel renderne possibili i benefici. Le organizzazioni necessitano sia di una strategia che di tattiche per implementare un sistema organizzato di identità digitali che protegga, gestisca e verifichi in modo affidabile le comunicazioni da macchina a macchina.

Perché la gestione delle identità delle macchine è importante

Con l’evoluzione della tecnologia negli ultimi anni, il panorama della sicurezza aziendale è diventato sempre più complesso. Applicazioni e dati in esecuzione in ambienti cloud e multi-cloud, forze lavoro distribuite e dispositivi connessi innovativi si intrecciano in modi che richiedono un approccio solido alle identità digitali, in grado di proteggere da minacce persistenti ed emergenti.

È importante comprendere che molte di queste interazioni sono caratterizzate dall’automazione; non vi è alcuna interazione umana durante la comunicazione da macchina a macchina. Le implicazioni per la sicurezza sono enormi. Le interazioni tra macchine devono essere sicure e rapide per garantire l’affidabilità e la scalabilità necessarie a ottenere una protezione a livello aziendale su scala globale.

Le aziende si affidano ormai ai certificati PKI come standard di riferimento per garantire l’identità. La PKI funge da componente fondamentale di un’architettura Zero Trust che rispetta rigorosi parametri di sicurezza per tutte le identità degli utenti finali, dei dispositivi e delle applicazioni.

Tuttavia, man mano che ambienti già complessi e sistemi critici si espandono fino a includere dispositivi mobili, infrastrutture cloud, DevOps, Internet delle cose e altri dispositivi fisici, i rischi finanziari inerenti a una gestione inefficace dei certificati PKI sono aumentati drasticamente. Se da un lato una gestione inadeguata dei certificati rende le aziende più vulnerabili ai criminali informatici, al malware e alle frodi, dall’altro espone le organizzazioni a rischi legati alla produttività dei dipendenti, a problemi relativi all’esperienza dei clienti, a carenze di conformità e ad altre potenziali criticità.

In che modo la gestione delle identità digitali è più sicura delle password e dell’autenticazione a più fattori?

I team di sicurezza IT di oggi devono disporre del know-how necessario per riconoscere e autenticare le identità in tutta l’azienda, indipendentemente dal fatto che tali identità appartengano a persone, dispositivi, dati o applicazioni. In passato le password offrivano un certo livello di sicurezza, ma oggi non sono più efficaci come un tempo. Questo perché i malintenzionati sono diventati sempre più abili nel rubarle attraverso una serie di metodologie subdole, tra cui:

• Indurre gli utenti a inserire le password su siti web di phishing.
• Rubare le identità degli utenti dalle transazioni in transito su Internet.
• Sottrarre le password dagli archivi di password.
• Individuare i luoghi in cui le password rubate sono state riutilizzate.
• Ottenere le password tramite attacchi di forza bruta.

Per quanto riguarda le identità delle persone, molte organizzazioni hanno adottato l’autenticazione a due fattori (2FA), l’autenticazione a più fattori (MFA) e, in alcuni casi, l’autenticazione basata su dati biometrici. Spesso pubblicizzate come un’alternativa sicura alle password, al telefono e al token OATH con password monouso, le soluzioni di autenticazione multifattoriale sono piene di numerose vulnerabilità di sicurezza informatica documentate e si sono dimostrate suscettibili ad attacchi di alto profilo che sono tanto facili e scalabili quanto il furto di password. Inoltre, lo sforzo che un dipendente deve compiere per utilizzare un’applicazione con l’MFA — molto più oneroso rispetto al semplice ricordo di una password — rende la vita ancora più complessa sia per i dipendenti che per gli amministratori IT.

Le password e l’autenticazione a più fattori (MFA) pongono un’ulteriore serie di problemi quando si tratta di autenticare i dispositivi. Come discusso in precedenza, la comunicazione da macchina a macchina è caratterizzata dall’automazione. I dispositivi non possono rispondere a uno smartphone o a un dispositivo IoT per ottenere una password monouso. La memorizzazione o il trasferimento di password all’interno di processi di comunicazione automatizzati apre la porta a vulnerabilità. Data la proliferazione della trasformazione digitale delle aziende, le organizzazioni necessitano di un approccio fondamentalmente diverso e migliore all’autenticazione delle identità dei dispositivi.

A differenza di entrambi i metodi, la gestione delle identità digitali con PKI elimina la dipendenza da segreti da condividere (o da intercettare da parte dei criminali informatici). L’autenticazione avviene quando l’utente o la macchina dimostra di essere in possesso della chiave privata. La transazione viene quindi firmata dalla chiave privata e verificata dalla chiave pubblica. Questa coppia di chiavi pubblica/privata viene generata da uno dei numerosi algoritmi crittografici robusti.

Questo processo offre una protezione dei dati e una sicurezza contro gli hacker di gran lunga superiori rispetto all’autenticazione basata su password per una serie di motivi:

• La chiave privata non lascia mai il dispositivo dell’utente. A differenza delle password, che sono facili da condividere, intenzionalmente o meno, tramite attacchi di phishing.
• La chiave privata non può essere rubata durante il trasferimento, poiché non viene mai trasmessa. A differenza delle password, che possono essere rubate durante il trasferimento su Internet, le chiavi private non vengono mai trasmesse.
• La chiave privata non può essere rubata dall’archivio del server. Le password memorizzate in archivi centralizzati sui server possono essere rubate; le chiavi private sono note solo al dispositivo dell’utente e non vengono memorizzate centralmente.
• Non è necessario che gli utenti ricordino le password o inseriscano nomi utente. Il dispositivo dell’utente memorizza semplicemente una chiave privata da presentare quando necessario, garantendo un’esperienza utente più fluida.

Perché automatizzare la gestione delle identità delle macchine?

Sebbene non esista una soluzione di autenticazione e crittografia più sicura e facile da usare dell’identità digitale fornita dalla PKI, la sfida per i team IT, sempre molto impegnati, è che l’implementazione e la gestione manuale dei certificati richiedono molto tempo e possono comportare rischi inutili. In conclusione? La gestione manuale delle chiavi non è né sostenibile né scalabile.

Che un'azienda distribuisca un singolo certificato SSL per un server web o gestisca milioni di certificati per tutte le identità dei dispositivi collegati in rete, il processo end-to-end di emissione, configurazione e distribuzione dei certificati può richiedere ore. La gestione manuale dei certificati espone inoltre le aziende al rischio significativo che i certificati trascurati scadano inaspettatamente e a lacune nella titolarità: errori che possono causare interruzioni legate ai certificati, guasti ai sistemi aziendali critici, violazioni della sicurezza e attacchi.

I clienti e gli utenti interni si affidano alla disponibilità costante dei sistemi aziendali critici. Tuttavia, negli ultimi anni, i certificati scaduti hanno causato numerose interruzioni di servizio e di siti web di grande rilievo. Il risultato è stato una perdita di ricavi pari a miliardi di dollari, penali contrattuali, cause legali e il costo incalcolabile della reputazione del marchio compromessa e della perdita di fiducia da parte dei clienti.

Le organizzazioni devono rispettare le normative o andare incontro a sanzioni esorbitanti

Una sicurezza delle identità insufficiente può certamente esporre le organizzazioni al rischio di attacchi e violazioni dei dati sensibili. Ma le vulnerabilità di sicurezza possono anche mettere le imprese a rischio di non riuscire a rispettare i requisiti normativi. Le normative sulla privacy come HIPAA/HITECH, il GDPR e il DFARS del governo federale degli Stati Uniti definiscono casi e scenari d’uso che richiedono la crittografia per mitigare o ridurre al minimo le conseguenze di una violazione — tutte misure volte a proteggere dalle vulnerabilità legate al furto di informazioni.

Il mancato rispetto dei requisiti di conformità può comportare multe ingenti. Ad esempio, l’UE ha inflitto multe relative al GDPR a Google per 50 milioni di euro, a Marriott per 99 milioni di sterline e a British Airways per 183 milioni di sterline. Inoltre, il GDPR prevede che le multe siano calcolate in base sia alla portata della singola violazione sia al grado di negligenza dimostrato dall’organizzazione. Pertanto, l’adozione di una soluzione di sicurezza efficace per i propri certificati digitali contribuisce a ridurre il rischio di una violazione. Ma ciò dimostra anche uno sforzo in buona fede o l’assenza di negligenza, il che può contribuire a ridurre l’importo della sanzione qualora si verifichi una violazione.

Anche i costi amministrativi aumentano rapidamente

Sebbene la gestione dei certificati possa talvolta essere considerata un’attività semplice e quotidiana per un amministratore IT o web, garantire la validità dei certificati uno per uno è costoso. L’utilizzo di processi manuali per individuare, installare, monitorare e rinnovare tutti i certificati PKI all’interno di un’organizzazione è laborioso e tecnicamente impegnativo.

Si consideri, ad esempio, che anche un’installazione manuale minima di certificati SSL/TLS su un singolo server web e un’istanza di dominio comporta diversi passaggi e può facilmente superare i 50 dollari per server web. Ora si moltiplichi tale sforzo per le migliaia o milioni di certificati PKI presenti in un’organizzazione, e diventa subito evidente che i costi della gestione manuale dei certificati aumentano rapidamente.

Come automatizzare la gestione delle identità delle macchine

Considerate le insidie sopra menzionate e le ripercussioni finanziarie inerenti alla gestione manuale dei certificati PKI, il ritorno sull’investimento per gli strumenti automatizzati di gestione delle identità delle macchine è evidente agli occhi dei CIO e dei CSO.

I professionisti IT devono ripensare le proprie strategie di gestione del ciclo di vita dei certificati. Soprattutto ora che le aziende immettono sempre più sul mercato servizi che si basano su ambienti DevOps in rapida evoluzione, le organizzazioni hanno bisogno di una soluzione automatizzata che garantisca che i certificati siano configurati e implementati correttamente senza l’intervento umano. Questo tipo di soluzione contribuisce a ridurre i rischi, ma aiuta anche i reparti IT a controllare i costi operativi e a snellire i tempi di immissione sul mercato di prodotti e servizi.

Recentemente, la PKI si è evoluta fino a diventare ancora più versatile. L’interoperabilità, l’elevata disponibilità e la governance rimangono vantaggi fondamentali. Tuttavia, le soluzioni PKI odierne sono anche funzionalmente in grado di migliorare l’amministrazione e la gestione del ciclo di vita dei certificati attraverso:

• Automazione: esecuzione di singole attività riducendo al minimo i processi manuali.
• Coordinamento: utilizzo dell’automazione per gestire un ampio portafoglio di attività.
• Scalabilità: gestione di centinaia, migliaia o addirittura milioni di certificati.
• Cripto-agilità: aggiornamento della sicurezza crittografica e revoca e sostituzione rapida dei certificati a rischio con certificati a prova di quantistica, in risposta a minacce nuove o mutevoli.
• Visibilità: visualizzazione dello stato dei certificati in un unico pannello di controllo per tutti i casi d’uso.

Data la disparità di sistemi, applicazioni e dispositivi che utilizzano certificati digitali, i team IT si trovano spesso a gestire servizi di automazione distinti provenienti da molti fornitori diversi. L’utilizzo di più piattaforme comporta in genere una riduzione dell’efficienza. Un’unica dashboard di gestione dei certificati che automatizzi l’individuazione, la distribuzione e la gestione del ciclo di vita in tutti i casi d’uso e su tutte le piattaforme dei fornitori offre l’efficienza promessa dall’automazione. Inoltre, i team IT mantengono il controllo sulle definizioni e sulle regole di configurazione, in modo che tutte le fasi vengano eseguite correttamente.

In qualità di autorità di certificazione (CA) affidabile, Sectigo fornisce soluzioni di automazione per la gestione delle identità digitali che consentono alle aziende di essere agili, efficienti e di avere il pieno controllo di tutti i certificati presenti nel proprio ambiente, comprese le identità delle macchine. Sectigo supporta l’installazione, la revoca e il rinnovo automatizzati dei certificati SSL/TLS e non SSL tramite protocolli leader del settore, API e integrazioni di terze parti. Inoltre, Sectigo elimina il problema dei limiti di volume dei certificati che può verificarsi con le alternative open source.

In sintesi, le soluzioni di automazione di Sectigo consentono al vostro team di sicurezza di:

• Applicare le politiche di sicurezza crittografica.
• Proteggere le comunicazioni.
• Prevenire la perdita di dati personali a causa di accessi non autorizzati.
• Rendere sistemi, applicazioni e dispositivi a prova di futuro in tutta l’azienda.

Per saperne di più su come utilizzare la PKI per sostituire le password per l’identità e l’accesso, leggi il white paper “L’azienda senza password”.