Public key infrastructure (PKI): che cos’è, come funziona e a cosa serve

pittogramma Zerouno

Technology Tech InDepth

Public key infrastructure (PKI): che cos’è, come funziona e a cosa serve

Per proteggere gli accessi a una rete remota, l’infrastruttura a chiave pubblica è l’opzione più sicura rispetto all’autenticazione basata su password o alla multifactor authentication. Gli esperti spiegano i vantaggi e i rischi di questa tecnologia.

27 Mag 2022

di Laura Zanotti - Fonte TechTarget

Public key infrastructure (PKI) è una tecnologia basata su certificati standard che combina autenticazione e protezione, garantendo la sicurezza e l’integrità delle connessioni e delle comunicazioni remote. Ad accendere i riflettori sulla Public key infrastructure gli esperti, che inquadrano sia il contesto che le motivazioni d’uso. Il punto di partenza del ragionamento è l’incremento del telavoro e dello smart working di questi ultimi 3 anni. Consentire alla quasi totalità dei lavoratori di accedere in modo sicuro alle reti da remoto è una grande sfida per qualsiasi organizzazione. Anche perché il cybercrime sa come bypassare i tradizionali strumenti di autenticazione basati su password e sistemi di autenticazione a più fattori.

Public key infrastructure: come funziona

Un’alternativa migliore e più sicura per supportare la forza lavoro mobile e remota, presidiando l’accesso alla rete, è implementare la Public key infrastructure. La PKI si basa su coppie di chiavi asimmetriche che, tramite crittografia, consentono alla tecnologia di convalidare in modo facile e immediato le identità. A differenza delle password, un certificato digitale PKI:

WHITEPAPER
Pharma: come gestire grandi volumi di dati eterogenei e non strutturati?
  • non può essere indovinato
  • può provare crittograficamente l’identità di un utente o di un dispositivo

Queste due capacità garantiscono che le informazioni di un’entità siano corrette e pienamente corrispondenti.

Inoltre, i certificati PKI sono più facili da gestire rispetto alle password, poiché hanno una data di scadenza e possono essere revocati in qualsiasi momento, rimuovendo istantaneamente la capacità di un utente o dispositivo di accedere alle risorse aziendali.

Applicazioni PKI: esempi

Le comunicazioni da utente a utente, da utente a macchina e da macchina a macchina possono essere tutte protette utilizzando la Public key infrastructure. La tecnologia è nota per la sua capacità di proteggere le interazioni degli utenti con i siti Web, ma anche su altri ambiti applicativi come, ad esempio, per proteggere:

  • reti
  • dispositivi mobili
  • dispositivi IoT
  • e-mail
  • documenti

Questo è il motivo per cui la Public key infrastructure viene implementata a supporto di molti servizi quotidiani critici come, ad esempio:

  • fornire connessioni sicure tra client e server Lightweight Directory Access Protocol
  • consentire alle VPN di autenticare le comunicazioni degli endpoint su reti non sicure
  • crittografare e decriptare i messaggi di posta elettronica
  • proteggere i dati remoti accedere tramite SSH

Come implementare una piattaforma PKI

In passato implementare e gestire le PKI era piuttosto complicato. I prodotti di ultima generazione oggi non richiedono competenze specialistiche e offrono la possibilità di emettere e gestire certificati di crittografia e autenticazione su una varietà di sistemi e dispositivi. In più, forniscono controlli di accesso utente senza interruzioni, che sostituiscono l’autenticazione a più fattori (MFA) convenzionale con l’autenticazione no-touch.

Grazie all’evolutiva tecnologica, le organizzazioni possono creare ed emettere velocemente e facilmente PKI e certificati digitali il che è consigliato quando si emettono certificati solo per uso interno. Le Public key infrastructure costruite internamente, tuttavia, sono difficili da scalare e di solito richiedono molte risorse. Inoltre, i certificati autofirmati non sono considerati attendibili da browser o sistemi operativi.

Modelli distributivi di una Public key infrastructure platform

L’opzione migliore è distribuire una piattaforma PKI centralizzata. A questo proposito è possibile scegliere tra diverse opzioni, flessibili, scalabili e affidabili, che possono essere basate su cloud, on-premise, ibride o offerte con un modello di PKI as-a-service. Grazie a una cabina di regia centralizzata, i team di sicurezza o gli amministratori di rete possono emettere, revocare e sostituire i certificati in modo rapido, semplice e affidabile, automatizzando molte attività di gestione delle emissioni e del ciclo di vita delle PKI. Semplificando la gestione delle chiavi, le squadre di sicurezza hanno più tempo da dedicare al monitoraggio delle identità degli utenti e dei dispositivi connessi alla rete.

Mappare bene le esigenze operative, funzionali e normative

Prima di adottare una Public key infrastructure, le organizzazioni devono verificare che la tecnologia sia in grado di soddisfare specifiche esigenze a livello aziendale, di sicurezza e degli utenti, in conformità con le normative locali, industriali e nazionali. Dal punto di vista della sicurezza, le vulnerabilità relative al rischio di accesso non autorizzato si hanno in presenza di:

  • chiavi deboli
  • chiavi sviluppatore
  • chiavi non autorizzate
  • relazioni di fiducia non tracciate tra sistemi e account
L'infrastruttura a chiave pubblica (PKI) si riferisce alla distribuzione e alla gestione di un sistema di crittografia a chiave pubblica, in cui vengono utilizzate chiavi di crittografia asimmetriche per consentire l'autenticazione sicura e lo scambio delle chiavi di crittografia.
L’infrastruttura a chiave pubblica (PKI) si riferisce alla distribuzione e alla gestione di un sistema di crittografia a chiave pubblica, in cui vengono utilizzate chiavi di crittografia asimmetriche per consentire l’autenticazione sicura e lo scambio delle chiavi di crittografia.

Networking: certificazioni basate sulla fiducia

Il meccanismo della Public key infrastructure stabilisce relazioni di fiducia a partire dall’Autorità di certificazione (CA). Una CA attendibile emette un certificato per un’entità, che include la chiave pubblica della stessa. Nel caso di una rete in cui è richiesta un’autenticazione forte, le entità peer si fidano dell’autorità di certificazione e di conseguenza del certificato, anche perché possono verificare la firma dell’Autorità di certificazione, facendo affidamento su varie informazioni di cui la più importante è l’associazione dell’entità con la chiave pubblica. Lo schema di funzionamento è il seguente:

  • Un Security Gateway che partecipa alla creazione di un tunnel VPN deve disporre di una coppia di chiavi RSA e di un certificato emesso da una CA affidabile. Il certificato contiene i dettagli sull’identità del modulo, la sua chiave pubblica, i dettagli sul recupero dell’elenco CRL ed è firmato dalla CA.
  • Quando due entità tentano di stabilire un tunnel VPN, ciascuna parte fornisce al proprio peer informazioni casuali firmate dalla sua chiave privata e con il certificato che contiene la chiave pubblica.
  • Il certificato consente di instaurare un rapporto di fiducia tra i Security Gateway. Ogni Security Gateway utilizza la chiave pubblica peer Security Gateway per verificare l’origine delle informazioni firmate e la chiave pubblica della CA per convalidare l’autenticità del certificato. In altre parole, il certificato convalidato viene utilizzato per autenticare il peer.

Cosa succede se un’autorità di certificazione è compromessa

I certificati digitali vengono utilizzati per associare una chiave pubblica di una coppia di chiavi pubblica-privata (ad esempio RSA, ECC) con l’identità del suo proprietario. Per autenticare che l’identità rivelata nel certificato digitale, il proprietario deve rispondere a una sfida utilizzando la chiave privata appartenente alla coppia di chiavi, a cui solo lui ha accesso.

Dunque, se è vero che le Public key infrastructure offrono la forma più efficace di autenticazione dell’identità, è vero anche che devono essere gestite in modo inadeguato. Se una CA è compromessa, infatti, l’intera PKI viene compromessa ed è necessario emettere nuovi certificati.

I punti di attenzione del PKI management

Una PKI presuppone che le chiavi private siano controllate e accessibili esclusivamente dai loro proprietari. Rubare o controllare la chiave privata significa che l’identità rappresentata da questa chiave è compromessa.

Per questo è fondamentale dedicare tempo e risorse per distribuire strumenti di gestione completi e abilitare una formazione adeguata durante l’implementazione o l’aggiornamento dei servizi PKI. Questa tecnologia dovrebbe essere utilizzata insieme a solide pratiche di gestione delle chiavi, unitamente a politiche e procedure di audit complete. Per capirci: utilizzare i fogli excel è caldamente sconsigliato.

PKI: l’importanza degli inventari e degli audit

Una buona pratica di gestione delle chiavi PKI è analizzare le relazioni abilitate da ciascuna chiave. Gli audit dovrebbero essere condotti regolarmente per identificare chiavi scadute o inutilizzate e certificati non autorizzati. Mantenere un inventario delle chiavi aggiornato significa che i team di sicurezza possono ruotare le chiavi in ​​modo coerente per evitare problemi come quelli relativi a chiavi che non soddisfano più i requisiti delle politiche di sicurezza o ex dipendenti o appaltatori che hanno accesso alle chiavi.

Tutte le chiavi devono essere archiviate in una posizione centralizzata e sicura (ad esempio un modulo di sicurezza hardware), con accesso limitato agli utenti privilegiati con password complesse e controlli di accesso basati sui ruoli.

Come implementare le PKI per i lavoratori remoti

Lato dipendenti e collaboratori, prima di implementare PKI è fondamentale lavorare sulla formazione. Gli utenti devono completare un corso di sensibilizzazione alla sicurezza per assicurarsi di comprendere le politiche pertinenti e sapere come seguire le migliori pratiche di sicurezza informatica.

I datori di lavoro dovrebbero imporre a tutti i dispositivi che si connettono alla rete di disporre di un Trusted Platform Module (TPM). I TPM, ora standard sui dispositivi moderni, forniscono funzioni di sicurezza basate sull’hardware che includono controllo dell’accesso e autenticazione.

La chiave privata per il certificato di ciascun utente è archiviata nel TPM del dispositivo, il che consente agli utenti di autenticarsi e accedere in modo sicuro ad applicazioni e risorse senza richiedere ulteriori interventi. Anche con la maggiore efficienza, questa forma di MFA è molto più forte delle password comuni e dell’MFA basata sul telefono.

Z

Laura Zanotti - Fonte TechTarget

Giornalista

Ha iniziato a lavorare come technical writer e giornalista negli anni '80, collaborando con tutte le nascenti riviste di informatica e Telco. In oltre 30 anni di attività ha intervistato centinaia di Cio, Ceo e manager, raccontando le innovazioni, i problemi e le strategie vincenti delle imprese nazionali e multinazionali alle prese con la progressiva convergenza tra mondo analogico e digitale. E ancora oggi continua a farlo...

Public key infrastructure (PKI): che cos’è, come funziona e a cosa serve

Il tuo indirizzo email non sarà pubblicato.

    LinkedIn

    Twitter

    Whatsapp

    Facebook

    Link

    Articolo 1 di 3