Se si lavora da casa in smart working e si ha bisogno di accedere al computer di lavoro in ufficio, generalmente si hanno due opzioni a disposizione: ci si può connettere con un servizio di VPN (Virtual Private Network) e successivamente usufruire di un accesso RDP (Remote Desktop Protocol), oppure connettersi direttamente utilizzando un servizio di connessione desktop remoto con i rischi di sicurezza che ciò comporta.
Molte persone credono che questi due servizi siano la stessa cosa, in realtà RDP e VPN forniscono diversi livelli di accesso e di sicurezza ad una rete remota.
In questo articolo cercheremo quindi di capire perché le aziende continuano a utilizzare il protocollo RDP e le VPN anche se in parte sono obsolete. Analizzeremo, inoltre, i difetti di sicurezza inerenti a questi sistemi e gli approcci più moderni per il controllo degli accessi, più sicuri, performanti e più semplici da gestire.
Indice degli argomenti
RDP e VPN: panoramica sui sistemi di accesso remoto
Sicuramente il Remote Desktop Protocol (RDP) e le Virtual Private Network (VPN) sono i metodi di accesso remoto più comunemente utilizzati. Il primo consente agli utenti di accedere e controllare, per esempio, i computer desktop dell’ufficio tramite un accesso di rete, di solito via Internet. Il secondo consente agli utenti di accedere alle risorse di rete condivise mentre si trovano al di fuori del firewall aziendale.
Mentre un servizio VPN consentirà di accedere alle risorse sulla rete, un accesso RDP può fornire una gamma più ampia di processi perché consente di accedere al terminale del proprio computer e, tramite questo, alla rete.
Entrambe le opzioni possono essere utilizzate su computer Windows, Linux e Mac, e allo stesso modo entrambe le opzioni hanno vantaggi e svantaggi a seconda di ciò che si sta tentando di fare.
Oltre a essere la scelta tecnologica più popolare tra le aziende, RDP e VPN sono anche il bersaglio preferito dei criminali informatici. Molte delle peggiori violazioni della sicurezza degli ultimi anni hanno avuto origine da falle di sicurezza in queste tecnologie talvolta per software obsoleto, senza aggiornamenti e con grosse falle di sicurezza.
Che cos’è il protocollo RDP (Remote Desktop Protocol)?
La connessione RDP (Remote Desktop Protocol) consente di accedere a un computer o server tramite una rete o Internet. Nella sua forma più semplice, un client RDP avvia una connessione tra il dispositivo di un utente e un computer host, sia esso un desktop o un server. L’utente remoto può controllare il computer come se fosse fisicamente seduto di fronte ad esso.
Gli amministratori di rete utilizzano spesso una semplice connessione RDP diretta per gestire i server nei data center. Senza lasciare l’ufficio, possono utilizzare il RDP per eseguire la manutenzione del sistema.
Le piccole e medie imprese consolidano il traffico RDP tramite un server Gateway Desktop remoto. Oltre ad essere più efficiente, il server si integra con i sistemi di autenticazione e autorizzazione.
Le aziende più grandi utilizzano RDP con la virtualizzazione del desktop. Eseguono istanze di Windows su un server o nel Cloud per evitare il sovraccarico dei desktop fisici. In quest’ultimo caso, un’applicazione o un software di collegamento RDP trasforma qualsiasi dispositivo in un client per il computer virtuale.
L’utilizzo di accessi RDP ha una curva di apprendimento poco profonda poiché funziona perfettamente con gli strumenti di gestione della rete e le soluzioni di virtualizzazione di Microsoft.
Allo stesso modo, i dipendenti che lavorano in smart working hanno meno da imparare poiché ottengono la stessa esperienza desktop che avevano in ufficio. Con una configurazione minima, i client RDP di Microsoft funzionano senza sforzo su desktop Windows e Mac, nonché su dispositivi mobili Android e iOS.
L’output del display del computer host è l’unico dato che i dispositivi personali degli utenti ricevono. Le applicazioni e i file rimangono sui sistemi controllati dall’azienda, quindi i dati proprietari dell’azienda sono più al sicuro.
L’invio di output di monitor desktop a utenti remoti trasforma l’azienda in un servizio di “streaming video”. In questi casi potrebbe essere necessario investire in hardware di rete aggiuntivo per alleviare la congestione risultante in quanto tutte le elaborazioni rimangono sempre all’interno dei computer gestiti dall’azienda.
La connessione RDP si basa su porte aperte e pubblicamente visibili per abilitare le connessioni remote. E questo aspetto potrebbe rappresentare un problema di sicurezza in quanto i criminali informatici possono facilmente scansionare Internet per trovare una qualsiasi delle porte RDP visibili.
Inoltre, le configurazioni RDP controllano l’accesso con le password desktop esistenti, che siano locali o di Active Directory. Quindi usare connessioni RDP pubbliche necessita di politiche di password molto forti per far fronte alle vulnerabilità create per le aperture indiscriminate di porte di questo tipo.
Come funziona il protocollo RDP (Remote Desktop Protocol)
Il Remote Desktop Protocol (RDP) è un protocollo proprietario sviluppato da Microsoft che consente di connettersi dal proprio PC a un altro PC in esecuzione sulla stessa rete locale (LAN). Per connettersi a un PC remoto, quel computer deve essere acceso e gli accessi da setup al desktop remoto devono essere abilitati.
Quando ci si connette a un PC remoto usando una connessione desktop remoto, si sta creando una connessione peer-to-peer. Ciò significa che è necessario l’accesso diretto al PC remoto tramite LAN, WAN o Internet. Per connettersi a un PC in esecuzione al di fuori della rete locale, normalmente si deve configurare una VPN o configurare un port forwarding sul proprio router o firewall.
RDP è ottimo perché consente di condividere lo schermo e, nel complesso, è più facile da usare rispetto alla VPN, anche se è più limitativo quando si parla di condivisione di risorse dirette. C’è da dire, però, che nella maggior parte dei casi un RDP viene utilizzato in abbinata a una VPN.
Purtroppo, gli RDP sono molto insicuri e con gli strumenti adeguati qualcuno potrebbe violare l’accesso alla rete. Inoltre, i problemi RDP sono più difficili da risolvere se si verificano errori di protocollo, possono essere difficili da configurare correttamente all’interno di rete complesse e segmentate e possono entrare in delay (effetto scatti) se la larghezza di banda non è adeguata.
L’esecuzione di connessioni RDP da sola va bene purché si mantengano pratiche di sicurezza e crittografia sicure. Se non si dispone di larghezza di banda adeguata, sarà necessario ricadere in un servizio VPN. Tuttavia, la maggior parte delle persone preferisce utilizzare RDP per comodità. Infine, a causa della quantità di problemi di sicurezza che devono affrontare gli RDP, è meglio utilizzarlo insieme a un software che esegua servizi di crittografia.
Che cos’è una VPN (rete privata virtuale)
Per quasi tre decenni, le reti private virtuali sono state la soluzione preferita per l’accesso remoto. La VPN crea portali crittografati attraverso il perimetro di rete sicuro per consentire agli operatori remoti di accedere alla posta elettronica e ad altre risorse di rete.
I casi d’uso delle VPN
Lo scopo originale della VPN era creare reti WAN sicure su Internet. Era un modo conveniente per le aziende di collegare i loro uffici remoti alle risorse informatiche centrali.
I provider di soluzioni VPN hanno adattato questa tecnica per consentire l’accesso remoto per gli utenti finali. Il tunnel crittografato tra il client VPN dell’utente e il gateway VPN dell’azienda ha esteso la rete al dispositivo dell’utente.
I vantaggi delle VPN
La VPN commerciale consente di crittografare il traffico Internet per la dovuta protezione, consente di abilitare e disabilitare i servizi di geolocalizzazione e di aggirare le restrizioni sui contenuti. Utilizzando una VPN, si può accedere a una rete direttamente da casa, consentendo di lavorare senza doversi spostare e di accedere ai file dal proprio computer di lavoro.
Accesso remoto sicuro
Data la scarsa sicurezza delle connessioni Internet pubbliche, l’invio dei dati degli utenti remoti attraverso tunnel crittografati mantiene le informazioni aziendali lontane da occhi indiscreti.
Compatibilità con i sistemi di rete
Le soluzioni Business VPN sono disponibili da molti anni, il che rende relativamente facile trovare una soluzione VPN che possa essere integrata con i sistemi di sicurezza e amministrativi esistenti della rete.
Ecosistema scalabile
Sia le piccole imprese sia le grandi organizzazioni possono trovare la soluzione VPN giusta per soddisfare le proprie esigenze, le politiche di sicurezza e i budget a disposizione.
Gli svantaggi della VPN
La VPN, purtroppo, utilizza larghezza di banda in base al traffico richiesto dal client, poiché i file a cui si accede verranno trasferiti sul proprio computer in modo che si possa accedervi e modificarli.
Inoltre, il traffico della VPN viene instradato attraverso la propria connessione Internet, anche se i file non richiedono l’accesso a Internet per accedervi, il che significa che si avrà bisogno di una buona connessione Internet per utilizzare una VPN.
Infine, l’utilizzo di una VPN può causare errori di sistema se non configurata correttamente, ma nel complesso gli errori sono più facili da risolvere rispetto a quelli associati a una connessione RDP.
Impatto della VPN sulle prestazioni della rete
Il gateway VPN è un collo di bottiglia per il traffico remoto della propria azienda. L’unico modo per risolvere i problemi di backhaul, congestione della larghezza di banda e latenza è acquistare più gateway o gateway più sofisticati.
I costi delle VPN
Per le VPN esistono soluzioni gratuite ma relativamente difficili da configurare per il personale non IT e esistono soluzioni anche costose ma semplici da configurare.
È bene tenere presente, però che affidarsi a VPN di terze parti meno costose al di fuori del perimetro dell’Unione Europea può essere rischioso relativamente a una possibile violazione delle normative sul trattamento dei dati personali.
Impatto della VPN sulla sicurezza
Come gli host RDP, i gateway VPN devono essere visibili su Internet. Diventa quindi obbligatorio l’utilizzo di hardware e software aggiornato all’ultima versione disponibile di prodotto per evitare attacchi informatici con relativa violazione del perimetro.
Sfide di distribuzione
Le soluzioni VPN spesso richiedono competenze di rete per essere implementate e supportate in un’organizzazione.
L’implementazione sicura di una VPN aziendale può anche richiedere la riconfigurazione dell’infrastruttura di rete esistente, portando a un intenso processo di adattamento di distribuzione.
Le differenze tra RDP e VPN
Sebbene sia RDP sia VPN forniscano funzionalità di accesso remoto, rispondono a diverse esigenze aziendali. Lo scopo principale dell’accesso RDP è consentire agli utenti di utilizzare i file e applicazioni conservati localmente su un computer in azienda. Lo scopo principale della VPN, invece, è fornire agli utenti l’accesso remoto alle risorse di rete condivise.
Quando è meglio usare una VPN
Utilizzare una soluzione di accesso basata su VPN è preferibile se la propria azienda segue una filosofia IT incentrata sulla rete che:
- richiede l’archiviazione di rete di tutti i file;
- ospita le applicazioni aziendali sui server aziendali;
- utilizza applicazioni basate su Cloud e soluzioni Business Service.
Quando è meglio usare il protocollo RDP
Utilizzare una soluzione di accesso basata su RDP è preferibile se la propria azienda segue una filosofia IT incentrata sul desktop che:
- consente ai dipendenti di conservare i file in locale;
- si basa su applicazioni desktop.
Quando è meglio usare sia RDP sia VPN
In molti casi, le aziende potrebbero scegliere di usare sia il protocollo RDP sia una VPN per aumentare il livello di sicurezza negli accessi alle proprie infrastrutture IT.
L’utilizzo combinato di entrambe le tecnologie garantisce una migliore sicurezza RDP: infatti, sebbene permangano gli svantaggi della VPN, si riducono comunque i rischi per la sicurezza di RDP mettendolo dietro un gateway VPN (anche se, così facendo, in realtà si sposta parte del rischio per la sicurezza sul gateway VPN stesso).
Francamente, nessuna delle due tecnologie è un’ottima opzione rispetto alle alternative moderne più sicure.
Soluzioni di accesso remoto: le alternative a RDP e VPN
La soluzione di accesso remoto che offre al giorno d’oggi la migliore combinazione di sicurezza, flessibilità e valore aggiunto è sicuramente lo ZTNA (Zero Trust Network Access) in quanto consente l’implementazione di un SDP (Software Defined Perimeter).
I vantaggi dello Zero Trust Network Access
Gli approcci tradizionali alla sicurezza della rete operano secondo un principio di fiducia una volta che utenti, dispositivi o reti superano i criteri di sicurezza iniziali. Questa è la principale debolezza che apre falle di sicurezza in tecnologie come RDP e VPN. La fiducia non viene mai assunta in un sistema di controllo con accessi ZTNA che opera su tre principi:
- Fiducia zero, verifica sempre. ZTNA tratta un dirigente che lavora in ufficio non diversamente da un consulente che lavora in un aeroporto. Ogni utente deve verificare la propria identità ogni volta che si connette e indipendentemente dalla rete utilizzata per connettersi.
- Assumere scenari di violazioni. Non si può mai prevedere quando arriveranno attacchi informatici, quindi di default si suppone che le proprie difese siano già compromesse. Quindi privilegi minimi per tutti, accesso basato sui ruoli per ridurre al minimo i danni causati dagli attacchi riusciti.
- Verifica in modo esplicito. Non si farà affidamento su un semplice nome utente e password per la verifica di autenticazione e autorizzazione. Si verificheranno in parallelo processi sul dispositivo e la posizione dell’utente per determinare il grado di accesso ricevuto da un utente.
L’implementazione di un Software Defined Perimeter
Il problema con i tradizionali perimetri sicuri è che le violazioni riuscite danno ai criminali informatici l’accesso a tutto ciò che si trova sulla rete protetta.
Un SDP (Software Defined Perimeter) riorienta la sicurezza dalla rete a ciò che conta davvero: le risorse di un’azienda. Né i server locali né le applicazioni Cloud possono essere visti, tanto meno accessibili, senza passare attraverso il controllo degli accessi.
Un SDP ben implementato consente inoltre ai server RDP di essere veramente nascosti da occhi indiscreti su Internet pubblico, senza limitarsi a spostare il problema su un gateway VPN che di per sé è visibile.
Oltre la sicurezza: i vantaggi di ZTNA e SDP
Sebbene la sicurezza si focalizza in gran parte sull’interesse per un SDP e ZTNA per la sua natura, queste soluzioni di accesso offrono molti altri vantaggi.
Gestione unificata
I metodi di sicurezza tradizionali funzionano solo per determinati scenari. Le persone che lavorano in sede, i lavoratori remoti, le reti proprietarie e le risorse basate su Cloud sono protette da sistemi diversi. Le soluzioni basate su SDP e ZTNA supportano tutti questi scenari all’interno di un sistema amministrativo unificato.
Architettura di rete efficiente
La segmentazione della rete e altri tentativi di mitigare i punti deboli dei sistemi obsoleti richiedono investimenti costosi e spese generali considerevoli. Un SDP crea la segmentazione definitiva disegnando il perimetro sicuro attorno a ciascuna risorsa, senza la necessità di hardware supplementare.
Prestazioni di rete migliorate
Una volta autenticato e autorizzato, il sistema SDP crea una connessione diretta tra una risorsa e il dispositivo di un utente. Ciò elimina i colli di bottiglia imposti dalla VPN e da altri endpoint di rete. I sistemi SDP possono anche utilizzare lo split tunneling per inviare traffico non essenziale direttamente attraverso la rete Internet pubblica anziché instradarlo attraverso le reti aziendali.
Scalabilità
Il controllo degli accessi basati su SDP e ZTNA sono più reattivi alle mutevoli esigenze aziendali rispetto agli approcci tradizionali. È possibile eseguire l’abilitazione e revoca degli utenti, la modifica dei ruoli e altre attività amministrative tramite console semplici e centralizzate.
Perché le aziende continuano a usare RDP e VPN
Nonostante i chiari vantaggi delle soluzioni moderne, le aziende sono sempre lente a cambiare. Storicamente, le soluzioni aziendali erano incompatibili con i sistemi esistenti. Migrare a SDP significava investire in un’architettura completa prima di effettuare il passaggio tecnologico. Con tutte le sue risorse, anche Google ha impiegato anni per implementare il suo sistema ZTNA.
Questa situazione, però, sembra stia iniziando a cambiare. Le nuove politiche dei governi sulla cyber security richiedono sempre più alle agenzie statali di adottare e fare adottare sistemi ZTNA e SDP.
L’effetto a catena di queste decisioni si estenderà al settore privato e accelererà l’accettazione della sicurezza ZTNA di ultima generazione.
