VPN, czyli szyfrowany tunel między urządzeniem a siecią firmy: uwierzytelnienie, wymiana kluczy, trasy oraz różnica między dostępem zdalnym a łączeniem oddziałów.
Dane wysyłane przez internet przechodzą przez kilkanaście urządzeń, których nikt w firmie nie kontroluje. Jeżeli program po drodze nie szyfruje, to, co jedzie, jest czytelne dla każdego, kto ma dostęp do jednego z tych punktów, a w hotelu albo kawiarni takim punktem bywa cudza sieć bezprzewodowa.
Tunel działa jak zapieczętowana walizka wysłana kurierem. Kurier widzi adres nadawcy i odbiorcy, wie, ile paczka waży i kiedy jedzie, ale zawartości nie otwiera. Po drugiej stronie walizkę odbiera urządzenie w firmie, otwiera ją i dopiero wtedy zawartość rusza dalej, po sieci wewnętrznej. Dlatego komputer pracownika w domu może korzystać z serwera plików tak, jakby stał w biurze, mimo że po drodze przeszedł przez cudze łącza.
Najpierw obie strony sprawdzają, kto jest kim. Służy do tego hasło z kontem użytkownika, certyfikat zainstalowany na urządzeniu albo klucz wygenerowany dla tego jednego połączenia. Potem następuje uzgodnienie kluczy szyfrujących, i to jest część, która daje bezpieczeństwo: klucz sesji powstaje na obu końcach osobno i nie przejeżdża przez sieć w całości.
Kiedy tunel stoi, na komputerze pojawia się dodatkowa karta sieciowa, a razem z nią trasy, czyli reguły mówiące, który ruch ma iść tunelem. To one rozstrzygają o zachowaniu połączenia. Ustawienie, w którym tunelem idzie wszystko, kieruje przez firmę także oglądanie filmów, obciąża jej łącze i bywa źródłem skarg na wolne działanie. Ustawienie odwrotne, w którym tunelem idzie tylko ruch do zasobów firmy, jest wygodniejsze, natomiast wymaga świadomej decyzji, co należy do firmy.
Pierwsze to dostęp zdalny: pojedyncza osoba łączy się ze swojego komputera lub telefonu. Program klienta uruchamia człowiek, a połączenie żyje tyle, ile trwa praca.
Drugie to spięcie lokalizacji. Tunel powstaje wtedy między urządzeniami brzegowymi dwóch biur, stoi na stałe i jest niewidoczny dla użytkowników. Dla komputera w magazynie serwer w centrali wygląda po prostu jak urządzenie w sąsiedniej sieci. Konfiguracja jest tu inna, bo zamiast kont pracowników rozstrzygają uzgodnione adresy sieci po obu stronach.
Usługi sprzedawane w reklamach pod tym samym skrótem robią coś odwrotnego niż VPN firmowy. Kierują ruch użytkownika do serwera dostawcy, żeby strony w internecie widziały jego adres zamiast domowego. Celem jest ukrycie się przed stroną, którą się odwiedza, a nie dostęp do zasobów w firmie. Firmowy tunel prowadzi do konkretnej sieci i nikogo nie ukrywa.
Bywa też mylony z pulpitem zdalnym. Pulpit zdalny przenosi obraz komputera, który stoi gdzie indziej. VPN nie przenosi obrazu, tylko wpuszcza urządzenie do sieci, więc programy pracują lokalnie i korzystają z zasobów w firmie. Te dwie rzeczy często występują razem: najpierw tunel, potem pulpit zdalny w środku niego, bo pulpit wystawiony wprost do internetu zbiera próby logowania z całego świata już pierwszego dnia.
Konta bez terminu ważności są najczęstszym długiem. Dostęp założony dla firmy zewnętrznej na czas wdrożenia zostaje aktywny latami, a nikt tego nie zauważa, bo nic się nie psuje. Podobnie działa jeden wspólny klucz rozdany całemu zespołowi: odejście jednej osoby wymaga wtedy wymiany konfiguracji u wszystkich, więc zwykle nie następuje.
Druga rzecz to drugi składnik logowania. Sam login i hasło wystarczają, żeby wejść do sieci firmy z dowolnego miejsca na świecie, więc wykradzione hasło jest tu równoznaczne z wejściem do biura. Kod z aplikacji albo klucz sprzętowy zmienia tę arytmetykę.
Trzecia to zakres dostępu. Tunel domyślnie wpuszcza do całej sieci, choć zdalnemu pracownikowi zwykle potrzebne są dwie rzeczy: serwer plików i program handlowy. Zawężenie tego regułami na zaporze jest pracą na godzinę, a zmienia skutki przejęcia jednego komputera.
Czwarta to urządzenie po drugiej stronie. Komputer prywatny, bez aktualizacji i bez ochrony, wpuszczony tunelem do sieci firmy wnosi do niej wszystko, co ma w środku.
Jeśli praca zdalna sprowadza się do poczty i plików w usłudze chmurowej, tunel nie jest potrzebny, bo te usługi są dostępne z internetu i mają własne mechanizmy logowania. Jeżeli udostępniana jest jedna aplikacja internetowa, prościej i bezpieczniej jest wystawić ją przez bramę wymagającą logowania niż wpuszczać ludzi do całej sieci. To jest zresztą kierunek, w którym idą nowsze rozwiązania: zamiast wpuszczać urządzenie do sieci, dają dostęp do pojedynczej usługi, po sprawdzeniu, kto i z czego się łączy.
Mogę Ci jakoś pomóc?
Testy penetracyjne ujawniły krytyczną lukę, dane klientów biura rachunkowego były dostępne z sąsiednich środowisk. Zbudowaliśmy izolowaną infrastrukturę z VPN, wielowarstwowym backupem i monitoringiem SOC 24/7. Dziś FIBU spełnia wymogi NIS2.
Czytaj wpisKlikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.