Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

Nel mondo digitale di una grande organizzazione, la rete è l'autostrada invisibile che trasporta ogni email, trasferimento di file e videochiamata. Per decenni, il modo in cui questa autostrada veniva gestita era sorprendentemente semplice e statico: un cavo fisico collegato a una presa a muro determinava esattamente dove un computer potesse andare. Se quella presa era cablata verso una specifica sezione della rete, chiunque collegasse un dispositivo ad essa otteneva l'accesso a quell'intera sezione, indipendentemente da chi fosse. Questo approccio si affidava interamente alla sicurezza fisica; se una persona non autorizzata riusciva a raggiungere la presa a muro, poteva entrare direttamente nei dati privati dell'azienda. Man mano che le organizzazioni diventavano più complesse, con dipendenti, studenti e ospiti che necessitavano di diversi livelli di accesso, questo metodo "plug-and-play" è diventato una significativa debolezza. La soluzione risiede nel rendere la rete abbastanza intelligente da chiedere "Chi sei?" prima di aprire il cancello, e poi indirizzare quella persona nella stanza specifica a cui è autorizzata ad entrare, invece di lasciare la porta spalancata per chiunque possieda una chiave.

Questo è il problema affrontato da uno studio recente condotto da Abdulraheem Hamoud Mohammed Almaweri presso l'Académie des sciences et technologies industrielles di Gibuti. Il ricercatore si è posto l'obiettivo di costruire e testare un sistema che sostituisca il vecchio metodo statico con uno dinamico. In questo nuovo approccio, un computer si connette alla rete e la rete chiede immediatamente una prova d'identità. Se l'utente fornisce credenziali valide, il sistema controlla il suo ruolo all'interno dell'organizzazione e lo assegna automaticamente alla corretta zona digitale. Se l'utente è un membro dello staff, viene inviato alla rete dello staff; se è uno studente, viene inviato alla rete degli studenti. Se l'utente non può provare chi è, o se il sistema che controlla la sua identità va offline, la rete non si limita a lasciarlo entrare o a lasciarlo a terra. Invece, lo sposta gentilmente in un'area di attesa, una sala d'aspetto digitale dove può essere riparato o ispezionato senza mettere a rischio il resto del sistema.

Per testare se questa complessa catena di eventi potesse funzionare in modo affidabile, il ricercatore ha costruito un vero e proprio laboratorio virtuale. Non si è trattato di un piccolo esperimento con un singolo computer; era una simulazione su larga scala di una rete aziendale. L'allestimento comprendeva un server centrale che fungeva da custode dell'identità, un server delle policy che stabiliva le regole e uno switch di rete che controllava le porte fisiche. Il ricercatore ha creato due gruppi distinti di utenti: un gruppo che rappresentava lo staff e un altro che rappresentava gli studenti. Ogni gruppo è stato assegnato a una diversa zona digitale, nota come VLAN, che funge da stanza separata e invisibile all'interno dello stesso edificio. Il gruppo dello staff è stato mappato su una stanza, e il gruppo degli studenti su un'altra. Il sistema è stato progettato per utilizzare un protocollo di "handshake" sicuro, in cui il computer e il server si scambiano messaggi criptati per verificare l'identità prima che qualsiasi dato sia autorizzato a passare.

Il ricercatore ha poi eseguito una serie di venticinque test per vedere come si comportava il sistema sotto diverse condizioni. Nel primo set di test, utenti validi sia del gruppo dello staff che di quello degli studenti hanno effettuato l'accesso con le loro password corrette. In ogni singolo caso, il sistema li ha identificati con successo e li ha collocati nella loro corretta stanza digitale. I membri dello staff sono stati costantemente indirizzati alla zona dello staff, e gli studenti alla zona degli studenti. Anche la velocità di questo processo è stata misurata. Dal momento in cui un utente collega il proprio cavo al momento in cui gli viene concesso l'accesso, l'intero processo ha richiesto poco più di un secondo e mezzo. Questo è abbastanza veloce che un utente umano non noterebbe alcun ritardo, rendendo la sicurezza invisibile al lavoro quotidiano.

Lo studio non si è fermato ai login riusciti; ha testato specificamente cosa succede quando le cose vanno male. In uno scenario, un uta ha inserito l'username corretto ma la password errata. In un altro, un utente ha tentato di accedere con un account che non apparteneva a nessun gruppo autorizzato. In entrambi i casi, il sistema ha rifiutato correttamente il tentativo. Invece di lasciare l'utente senza accesso o di lasciarlo accidentalmente entrare nell'area sbagliata, la rete ha spostato automaticamente la sua connessione in una zona di quarantena. Questa è un'area sicura e isolata, dove l'utente può essere indagato o aiutato senza poter toccare le parti sensibili della rete. Il sistema ha eseguito questo contenimento perfettamente ogni volta che la password era errata o l'account non era autorizzato.

Forse il test più critico ha comportato la simulazione di un guasto all'autorità centrale stessa. Il ricercatore ha spento il server responsabile del controllo delle identità, lasciando lo switch di rete senza nessuno a cui chiedere il permesso. In un sistema mal progettato, questo potrebbe causare il panico dello switch e l'apertura di tutte le porte, oppure il blocco totale di tutti gli accessi. In questo esperimento, lo switch è stato configurato con una rete di sicurezza. Quando si è reso conto che il server era irraggiungibile, ha atteso alcuni secondi e poi ha spostato automaticamente tutte le nuove connessioni nella stessa zona di quarantena. Ciò ha garantito che, anche quando il "cervello" del sistema era addormentato, il "corpo" della rete rimanesse sicuro, prevenendo l'accesso non autorizzato pur mantenendo aperta la porta per la risoluzione dei problemi.

I risultati dei venticinque tentativi sono stati coerenti e chiari. Il sistema ha indirizzato con successo gli utenti autorizzati alle loro zone, ha rifiutato gli utenti non autorizzati e ha contenuto in sicurezza i guasti in ogni singolo tentativo. Il ricercatore ha osservato che, sebbene il sistema funzioni perfettamente in questo ambiente controllato, il piccolo numero di test significa che, mentre il meccanismo è dimostrato funzionare, la sua affidabilità a lungo termine in una rete massiccia e reale richiederebbe ulteriori studi. Lo studio non ha sostenuto di aver risolto ogni possibile problema di sicurezza, né ha testato ogni tipo di metodo di autenticazione. Si è concentrato specificamente sul dimostrare che un sistema costruito partendo da componenti standard e commerciali può collegare con successo l'identità di un utente alla sua posizione di rete in modo dinamico.

Le conclusioni offrono una guida pratica su come le organizzazioni possano allontanarsi dal vecchio e rigido modo di gestire l'accesso alla rete. Dimostrando che la posizione digitale di un utente può seguire la sua identità anziché il suo collegamento fisico, lo studio dimostra una strada verso reti che siano sia più sicure che più flessibili. Il sistema ha mostrato che è possibile costruire una rete che sappia chi sei, ti tratti in base al tuo ruolo e protegga se stessa quando le cose vanno male, il tutto senza che l'utente debba comprendere la complessa ingegneria che lavora dietro le quinte. Per l'osservatore curioso, l'esperimento conferma che il sogno di una rete che si adatta ai suoi utenti, piuttosto che costringere gli utenti ad adattarsi alla rete, non è solo un'idea teorica ma una realtà operativa che può essere costruita oggi stesso.