La sicurezza della rete e la mobilità sono diventati argomenti sempre più importanti da quando i computer sono usciti dagli ambienti protetti degli uffici. Il diffuso impiego sia di Wi-Fi sia di wireless a banda larga, unito all'accesso da casa dei dipendenti alla rete aziendale, ha portato a un maggiore uso delle reti VPN. Ma mantenere vivi i collegamenti di rete, mentre i nodi valicano i confini della rete, è un problema davvero difficile da risolvere.
Entrare in un'architettura mobile sicura
I lavori sulla Secure Mobile Architecture (SMA) sono iniziati nel 2001, in occasione dell'Open Group. Successivamente, per continuare lo sviluppo è stato ingaggiato un gruppo di lavoro dell'IETF, che sta ancora affinando le specifiche.
SMA è stato sviluppato per affrontare tre seguenti requisiti:
- Superare i confini della rete senza incorrere in cadute delle connessioni
- Garantire l'identità degli endpoint di rete
- Proteggere il contenuto della comunicazione
Un'implementazione preliminare è attualmente in uso presso la Boeing. La Federal Aviation Administration statunitense richiede ai costruttori di aeromobili di mantenere record dettagliati che mostrino quale dipendente si occupi di ogni passaggio all'interno del processo di costruzione di un aereo. E i dipendenti utilizzano computer portatili per registrare ogni fase del montaggio.
Gli impianti di assemblaggio degli aerei sono troppo grandi per una singola sottorete 802.11. Così, un'architettura mobile sicura consente ai dipendenti di accedere all'inizio del'attività e di muoversi all'interno della struttura attraverso i confini della sottorete, mantenendo collegamenti sicuri. I dipendenti possono anche collegarsi a una rete cablata o trasferirsi in una zona supportata da una WAN wireless.
Superare i confini della rete
La chiave della capacità SMA di superare i confine della rete è lo sviluppo di un nuovo namespace. Gli indirizzi IP infatti rappresentano un efficace modo per identificare i sistemi fino a che i punti di connessione alla rete rimangono fissi (in effetti un indirizzo IP identifica un sistema tramite la descrizione del luogo in cui tale sistema è collegato alla rete).
Un altro problema che sorge è che i sistemi con multeplici interfacce di rete hanno più indirizzi IP. Un sistema può essere raggiunto attraverso uno qualsiasi di tali indirizzi, ma la scelta influenza il percorso attraverso la rete.
SMA definisce un valore chiamato Host Identifier che identifica un sistema indipendentemente da come questo è collegato al network e dal numero di interfacce di rete che possiede. A differenza di un indirizzo IP, l'Host Identifier resta costante anche se il sistema si muove e se cambia la modalità di connessione alla rete.
L'esempio di Boeing
SMA usa la crittografia a chiave pubblica per garantire l'identità degli endpoint. Nell'installazione di Boeing, i dipendenti effettuano il log all'inizio di uno spostamento. Per generare le chiavi pubbliche e private, che hanno validità solo per la durata del turno di lavoro, vengono utilizzate le informazioni sul badge del dipendente.
Un sistema a chiave pubblica diventa il suo Host Identifier. Il pieno utilizzo della chiave pubblica negli scambi tra pacchetti sarebbe inefficiente, così è stato creato un Host Identifier Tag (HIT a 128 bit) usando un hash crittografico dell'Host Identifier. Dall'HIT può così essere generato un Local Scope Identifier a 32 bit da che è utilizzato per semplificare l'interfaccia con le applicazioni progettate per gli indirizzi IPv4.
La Secure Mobile Architecture aggiunge un ulteriore livello allo stack di rete. L'Host Identity Protocol (HIP) è situato sopra il livello di internetworking e al di sotto di quello di trasporto: in pratica si colloca tra il TCP o l'UDP e l'IP.
Per creare una connessione, l'HIP utilizza gli Host Identifier in modo da inizializzare sia il sistema di origine sia quello di destinazione. Gli Host Identifier sono le chiavi pubbliche del sistema. L'HIP utilizza poi una scambio di chiavi Diffie-Hellman per definire una chiave privata da usare per tutta la durata del collegamento.
Se i nodi si spostano, gli indirizzi IP possono cambiare, ma l'Host Identifier non cambia. HIP opera sulle modifiche di rete, rendendole invisibili a livello di trasporto e di applicazione. In aggiunta alla capacità di spostarsi da un IPv4 di rete a un altro, un sistema è in grado di spostarsi da una rete IPv4 a una IPv6 e ritornare a quella IPv4 senza perdere mai la connessione.
Proteggere il contenuto della comunicazione
IPsec è utilizzato per proteggere il contenuto di una comunicazione nei confronti di eventuali intercettazioni da parte di soggetti non autorizzati e anche per garantire che i contenuti non siano modificati durante il transito. L'opzione di IPsec viene utilizzata per fornire l'autenticazione del mittente e del contenuto del pacchetto di crittografia. HIT prende il posto del Security Parameter Index nel pacchetto IPsec.
Un Location Enabled Network Service (LENS) aggiunge la sicurezza, mantenendo le informazioni dell'attuale posizione di ciascun nodo di rete. LENS può utilizzare sia 802.11, la tecnologia di geolocalizzazione GPS o qualsiasi altro meccanismo appropriato. Informazioni sulla posizione possono essere utilizzate per limitare l'accesso a specifici nodi localizzati in aree protette e per prevenire l'accesso wireless da luoghi esterni ai confini dell'azienda.
Dati come gli indirizzi IP correnti e le informazioni sulla sicurezza e sui sistemi di localizzazione risiedono in una directory centralizzata, che fornisce un metodo unificato per accedere a tutte le informazioni pertinenti il supporto della rete. Può essere utilizzata qualsiasi tecnologia di directory e la struttura può prevedere più directory accessibili attraverso un'interfaccia comune.
Il futuro
Gli aggiornamenti delle specifiche HIP sono disponibili presso il gruppo di lavoro IETF, mentre le implementazioni open source possono essere invece scaricate dal progetto OpenHIP. Anche se i requisiti di Boeing sembrino essere specifici per la costruzione di aerei, sono molte le aziende che hanno esigenze simili. Altre realtà saranno sicuramente indotte a impiegare la Secure Mobile Architecture come misura in grado di soddisfare requisiti di identità e di riservatezza.
