Una rete privata virtuale (in inglese virtual private network, in sigla VPN) è una rete privata, instaurata come connessione tra soggetti che utilizzano, come tecnologia di trasporto, un protocollo di trasmissione pubblico e condiviso, come ad esempio la suite di protocolli Internet.
Le VPN possono garantire diversi tipi di protezione dei dati, tra cui confidenzialità, integrità, autenticazione e protezione dagli attacchi replay.
Lo scopo delle reti VPN è offrire alle aziende, a un costo inferiore, funzionalità analoghe a quelle delle linee private a noleggio, ma sfruttando reti condivise pubbliche. Una VPN può essere considerata come l'estensione geografica di una rete locale (LAN) privata, che consente di collegare tra loro siti interni all'azienda stessa variamente dislocati su un ampio territorio, tramite l'instradamento IP per il trasporto su scala geografica. In questo modo si realizza di fatto una rete LAN, detta appunto "virtuale" e "privata", equivalente a un'infrastruttura fisica di rete (ossia con collegamenti fisici) dedicata.
Descrizione Il termine "VPN" è un termine generico che definisce l'idea e non un marchio o uno standard; in particolare non esiste alcun ente che regoli la denominazione di un prodotto come VPN: quindi ogni produttore può utilizzare la denominazione a suo piacimento. Esistono tuttavia vari organismi indipendenti, largamente riconosciuti, che certificano interoperabilità (la capacità di un sistema o di un prodotto informatico di cooperare e di scambiare informazioni) e sicurezza dei sistemi informatici, come ad esempio ICSA Labs. Un apparato o un software, che riporti il marchio di ICSA Labs per le VPN IPsec, ha sicuramente superato una serie di esami oggettivi e replicabili, che garantiscono la compatibilità con tutte le altre implementazioni certificate e un adeguato livello di sicurezza. Una VPN correttamente progettata può offriere un elevato grado di sicurezza nelle reti pubbliche.
Tramite una VPN, utilizzando una connessione Internet (o anche radiofonica), è ad esempio possibile collegarsi da remoto (cioè dall'esterno) alla rete informatica della propria azienda. In termini semplificati: tramite una connessione VPN ci si può "collegare" da un client (utilizzatore, sia hardware che software) come se si fosse fisicamente (cavo di rete o intramezzo wireless) cablati. La connessione si svolge attraverso un tunnel "virtuale" (protetto e sicuro) supportato da Internet esattamente come fosse il cavo fisico abituale. In questo modo si possono utilizzare le risorse di rete abituali: cartelle, sistemi informatici gestionali, posta elettronica aziendale e così via. A parte l'esempio aziendale, questo vale per qualsiasi applicazione dove sia necessaria una connessione di rete da remoto. A titolo esemplificativo, un istituto universitario può attivare una VPN per consentire ai propri studenti la consultazione da casa di pubblicazioni per le quali ha sottoscritto degli abbonamenti; finché l'utente ha il servizio VPN attivato, tutte le sue richieste transitano dai server dell'istituto, come se la connessione fosse effettuata in locale, ottenendo pertanto l'accesso ai servizi di abbonamento riservati; nel contempo l'utente è anche soggetto alle politiche del gestore che può ad esempio crittografare o meno la connessione server-utente o inibire alcuni protocolli come il P2P o l'accesso ai siti internet inseriti in una black list.
Le VPN possono essere implementate attraverso i sistemi operativi più comuni (Windows, Linux, Android, iOS e macOS) oppure tramite software di terze parti (esempio: Cisco VPN Client o OpenVPN) che permette configurazioni più complesse e gestibili. Una VPN permette di creare un canale di comunicazione sicuro attraverso una rete pubblica, come Internet, proteggendo il traffico tra due o più nodi della rete privata. Le reti VPN utilizzano collegamenti che prevedono meccanismi di autenticazione per limitare l'accesso ai soli utenti autorizzati; per proteggere i dati trasmessi via Internet da intercettazioni o accessi non autorizzati, le reti utilizzano sistemi di cifratura. Le reti VPN sicure adottano dunque protocolli che cifrano il traffico transitante sulla rete virtuale. Oltre alla cifratura, una VPN sicura deve prevedere nei suoi protocolli dei meccanismi che impediscano violazioni della sicurezza, come ad esempio il furto dell'identità digitale o l'alterazione dei messaggi. In alcune implementazioni, le VPN possono essere integrate con un firewall e sistemi centralizzati di autenticazione. Tali sistemi contribuiscono al controllo degli accessi e alla protezione della rete.
Un utente autenticato può essere provvisto di privilegi particolari per accedere a risorse che generalmente non sono accessibili alla generalità degli utenti. In molte configurazioni, il traffico destinato alla rete privata passa attraverso un "tunnel virtuale" tra le reti utilizzando Internet come mezzo di collegamento. Dal punto di vista dell'utente, quando la connessione VPN è attiva, il traffico instradato attraverso il tunnel può essere soggetto alle stesse politiche di sicurezza applicate alla rete privata, come se l'utente fosse connesso dall'interno della rete sicura. Questo riduce il rischio che utenti esterni possano accedere alla rete privata dell'azienda.
Un meccanismo utilizzato in questo contesto è il tunneling, cioè la trasmissione di dati attraverso una rete pubblica tramite incapsulamento; i nodi della rete pubblica instradano i pacchetti esterni senza interpretare il traffico incapsulato. In questo modo è possibile utilizzare la rete pubblica per trasportare dati destinati a utenti o reti autorizzati, mantendendo la comunicazione logicamente separata dal traffico ordinario.
In genere il tunneling viene creato incapsulando i dati o i pacchetti di un protocollo all'interno di un altro protocollo di trasporto; nelle VPN sicure, la cifratura rende il contenuto dei dati non leggibile a terzi che intercettino la comunicazione. La sicurezza della connessione VPN è particolarmente importante quando il traffico attraversa rete pubbliche o non sicure. La protezione complessiva dipende tuttavia anche dalla protezione dei dispositivi collegati e dalle politiche di gestione degli accessi.
Autenticazione degli utenti Poiché una VPN consente il transito di dati privato attraverso reti pubbliche, la gestione dell'autenticazione e della sicurezza degli accessi assume particolare importanza. Nei sistemi VPN, l'autenticazione consente di verificare l'dentità di un utente, di un dispositivo o di sistema prima di concedere l'accesso alle risorse di rete.
I fattori di autenticazione sono comunemente classificati in tre categorie : qualcosa che l'utente conosce, come una password o un PIN; qualcosa che l'utente possiede, come una smart card, un token o un dispositivo crittografico; qualcosa che caratterizza l'utente, come un'impronta digitale o un altro dato biometrico.
L'autenticazione basata esclusivamente su password è generalmente considerata meno robusta rispetto all'autenticazione mulitfattore. L'effettivo livello di sicurezza dipende dal contesto, perché per esempio una smartcard può essere rubata, mentre le credenziali di accesso possono essere difficili da individuare. Dati di sicurezza rubati o persi possono consentire più attacchi e necessitano di più schemi di autenticazione.
Nessuna tecnica offre completa sicurezza di autenticazione, neanche quelle biometriche (impronte digitali, impronte vocali e mappatura della retina).
Uso nelle reti aziendali In ambito aziendale, le VPN sono utilizzate per collegare risorse e utenti attraverso reti pubbliche, limitando l'esposizione del traffico tramite meccanismi di sicurezza.
Tra gli impieghi più comuni rientrano: il collegamento tra sedi distanti; l'accesso remoto alle risorse delle reti interne; la protezione della comunicazione su reti pubbliche tramite protocolli sicuri; la riduzione, in alcuni scenari, al ricorso a collegamenti dedicati.
L'adozione di una VPN richiede una corretta gestione delle politiche di sicurezza, dell'autenticazione degli utenti e dei dispositivi autorizzati: Devono essere definiti criteri per l'autenticazione degli utenti, l'autorizzazione degli accessi e la configurazione del client. l'accesso alle risorse di rete deve essere limitato in base alle necessità operative degli utenti; le politiche di registrazione e monitoraggio degli eventi devono essere definite e riesaminate periodicamente.
Le organizzazioni che trattano dati personali, sanitari o riservati devono inoltre considerare gli obblighi normativi applicabili alla sicurezza e alla protezione delle informazioni. Nell'Unione europea, il regolamento generale sulla protezione dei dati (GDPR) richiede l'adozione di misure tecniche e organizzative adeguate al rischio, tra cui, se appropriate, la pseudonominizzazione e la cifratura dei dati personali. Negli Stati Uniti la normativa HIPAA prevede requisiti di sicurezza per la protezione delle informazioni sanitarie elettroniche protette.
Tipi di VPN Trusted VPN Secure VPN Hybrid VPN VPN Multi-Thread Open VPN
Trusted VPN La garanzia che offre la rete Trusted VPN è la sicurezza che nessun terzo non autorizzato possa usufruire del circuito del cliente. Questo implica che il cliente abbia un proprio indirizzo IP e una propria politica di sicurezza.
Il circuito viaggia attraverso uno o più "interruttori" di comunicazione che possono essere compromessi da chi vuole disturbare il traffico della rete. Il cliente di una VPN si aspetta quindi che il fornitore (provider) della VPN mantenga l'integrità del circuito in modo da impedire l'accesso di intrusi.
Le aziende che utilizzano una Trusted VPN vogliono avere la sicurezza che i loro dati si muovano attraverso una serie di percorsi che hanno proprietà specifiche e che sono controllati da un ISP (Internet Service Provider). Il cliente ha quindi fiducia che i percorsi attraverso i quali questi dati si muovono siano mantenuti sicuri secondo i criteri di un precedente accordo, anche se generalmente il cliente non conosce quali siano i percorsi utilizzati dal fornitore della VPN Trusted.
Più recentemente i fornitori di servizio hanno cominciato a offrire un nuovo tipo di Trusted VPN, questa volta usando Internet invece della rete telefonica come substrato di comunicazione. Queste nuove Trusted VPN non offrono sicurezza, ma danno ai clienti un modo di creare facilmente segmenti di rete su vasta scala (WAN). I segmenti Trusted VPN possono essere inoltre controllati da un posto unico e spesso con una qualità di servizio garantita (QoS - quality of service) dal provider.
Requisiti necessari Nessuno al di fuori del fornitore della VPN Trusted può influire sulla creazione o la modifica del percorso VPN. Nessuno al di fuori del rapporto di fiducia può cambiare alcuna parte della VPN. Nessuno al di fuori del fornitore della VPN Trusted può modificare i dati in entrata o quelli eliminati dal percorso della VPN. I dati viaggiano all'interno dei vari percorsi che sono condivisi da più clienti del fornitore, il percorso deve quindi essere specificato dal VPN e nessuno a parte il fornitore di fiducia può modificare i vari dati. Il percorso e l'indirizzo usati in una VPN Trusted devono essere stabiliti prima che il VPN venga creato. Il cliente deve sapere ciò che si aspetta dal fornitore, così che entrambi possano pianificare e creare la rete per la quale stanno collaborando.
Tecnologie utilizzate dal Trusted VPN Con riferimento alla pila ISO/OSI, le tecnologie utilizzate si suddividono in tecnologie a livello 2 e livello 3;
Livello 2 Circuiti ATM (Asynchronous Transfer Mode) Circuiti di trasmissione.
Livello 3 MPLS con distribuzione limitata delle informazioni del percorso attraverso il BGP (Border Gateway Protocol).
Secure VPN