Quasi tutte le aziende con cui lavoriamo hanno una VPN, e quasi tutte l’hanno messa in piedi allo stesso modo: un servizio acceso sul firewall della sede, una porta pubblicata verso Internet, un programma installato sui portatili di chi lavora fuori. Da allora funziona e nessuno ci ha più rimesso mano. Il guaio è che nel frattempo si è spostato tutto il resto, dalla posta ai gestionali, mentre quella porta è rimasta dov’era, con la stessa logica di vent’anni fa.
I nomi in circolazione sono sempre gli stessi: IPsec, OpenVPN, da qualche anno anche WireGuard. Cambiano il protocollo, la velocità, la facilità con cui si configurano, ma l’idea di fondo resta identica in tutti e tre, e cioè costruire un tunnel che porti un computer lontano dentro la rete aziendale come se stesse in ufficio. È quell’idea, più che la tecnologia che la realizza, ad aver fatto il suo tempo.
Perché il modello classico non basta più
Una VPN tradizionale, per funzionare, deve farsi trovare. Da qualche parte esiste un indirizzo pubblico che risponde a chi bussa, e quell’indirizzo lo vedono tutti, non soltanto i dipendenti. Non dipende da come la si configura, perché chi deve entrare da fuori deve pur poter arrivare alla porta. Così, quando esce una vulnerabilità su questi sistemi, e capita con una certa regolarità, il danno arriva subito, dal momento che la porta era già lì in bella vista e a chi trova la falla non resta che attraversarla.
Meno evidente, ma più pesante, è la questione di cosa succeda dopo il login. Una VPN ragiona per confini, sicché superata la soglia si è dentro, e dentro si vede quasi tutto. Il portatile di casa di un dipendente si ritrova a condividere la rete con il server, con il NAS e con i backup, e può muoversi con la stessa libertà di una postazione in ufficio. Finché nessuno sbaglia niente il meccanismo regge; quando invece a qualcuno viene sottratta una password, quello che si è perso non è l’accesso a un’applicazione ma l’accesso all’azienda.
Restano infine le noie di manutenzione, che sulla carta contano poco e nella pratica si mangiano intere giornate. Il traffico di chi lavora da remoto passa tutto per la linea dell’ufficio, che va in sofferenza proprio nei momenti di maggior carico. Il firmware del firewall va aggiornato, i programmi sui portatili anche, e i certificati prima o poi scadono, di solito senza che nessuno se ne sia ricordato per tempo.
Che cosa è cambiato
Negli ultimi anni si è affermata una famiglia di soluzioni che, anziché perfezionare il tunnel, ha cambiato la domanda di partenza. Non più come far entrare una persona nella rete, ma come metterla in comunicazione con la singola applicazione che le serve senza farla entrare da nessuna parte. È il principio che va sotto il nome di zero trust, dove la fiducia non discende più dal luogo da cui ci si collega. Di fornitori che lo propongono ormai ce ne sono parecchi; noi lavoriamo soprattutto con Cloudflare Zero Trust.
La differenza più vistosa sta nel fatto che non c’è più alcuna porta da esporre. Non è chi sta fuori a bussare alla sede, ma è la sede che apre una connessione verso l’esterno, allo stesso modo in cui la apre un qualunque computer mentre naviga; e verso l’esterno si collega anche il portatile del dipendente. I due si ritrovano a metà strada, senza che su Internet resti pubblicato nulla da cercare e da attaccare. Il firewall della sede torna così a essere un muro, e basta.
Cambia anche quanto si concede per volta. Al posto dell’intera rete si pubblica una risorsa alla volta, il gestionale, una cartella condivisa, un singolo server, cosicché chi ha il permesso per il gestionale veda soltanto quello. Il resto non gli viene nascosto dietro un divieto: per lui non esiste proprio.
Si entra con le credenziali che l’azienda ha già
Di solito quello che convince non è l’argomento della sicurezza, ma un dettaglio molto più prosaico, e cioè che non bisogna imparare nessuna password nuova. Se l’azienda lavora con Microsoft 365 le persone entrano con il proprio account Microsoft, lo stesso della posta e con la stessa verifica in due passaggi; se invece usa Google Workspace, entrano con l’account Google. Non si mette in piedi nessun secondo elenco di utenti da tenere allineato a mano, che è poi l’incombenza che nessuno ha mai voglia di sbrigare.
Per chi amministra, il vantaggio si vede soprattutto il giorno in cui qualcuno lascia l’azienda. Lo si disattiva una volta sola, là dove lo si è sempre disattivato, e nello stesso momento gli si chiude anche l’accesso ai file e al gestionale. Con la VPN quel secondo passaggio è separato dal primo, tanto che capita con una frequenza imbarazzante che se ne perda memoria.
Che cosa cambia davvero in una piccola azienda
Chi lavora da casa smette di dipendere dalla linea dell’ufficio, e quindi smette anche di telefonare perché il gestionale va a singhiozzo. Al consulente esterno che deve mettere le mani su un server per due giorni si dà quel server per due giorni, e nient’altro. Se un portatile sparisce in aeroporto lo si esclude in un minuto, senza dover cambiare le credenziali a mezza azienda. E quando esce l’ennesima vulnerabilità sui sistemi VPN, la mattina dopo non c’è nulla da correre a chiudere.
Quanto ai costi, per molte realtà semplicemente non ci sono, dato che Cloudflare arriva a cinquanta utenti senza chiedere niente e oltre quella soglia si parla di pochi dollari a persona al mese. In un’azienda da venti o trenta dipendenti la licenza non è la voce che pesa; pesa il tempo necessario a stabilire con criterio chi debba accedere a che cosa, ed è lì che conviene investirlo.
Quando la VPN di sempre va benissimo
Non c’è ragione di smontare quello che funziona soltanto perché è nato prima. Certe applicazioni datate pretendono di trovarsi nella stessa rete per parlarsi, e con quelle il tunnel classico resta la via più breve. Se poi si tratta di tenere collegate due sedi con una banda garantita, siamo davanti a un’altra categoria di prodotti e ad altri costi. Va messo nel conto anche un cambio di dipendenze, perché con la VPN, se salta la connessione, in ufficio si continua comunque a lavorare sui server locali.
Nella maggior parte dei casi, del resto, non si tratta di scegliere. Si sposta sul modello nuovo l’accesso delle persone, che è la parte esposta e quella che cambia di continuo, e si tiene il collegamento tradizionale dove serve per davvero. Il punto non sta nel cambiare tecnologia, ma nello smettere di lasciare una porta pubblicata su Internet soltanto perché si è sempre fatto così.
Per capire in quale dei due casi ricada la tua azienda di solito basta poco: si guarda l’elenco di quello che serve davvero da fuori, che è quasi sempre più corto di come viene raccontato, e da lì si vede subito se il passaggio fila liscio. Se intanto ti va di ripassare le basi, abbiamo scritto anche una guida alle VPN e ai loro utilizzi e un articolo sul ruolo del firewall nella sicurezza della rete.
