Negli ultimi anni, la sicurezza informatica è diventata una preoccupazione sempre più grande per le aziende e i singoli utenti. Con l'aumento del numero di minacce informatiche, come gli attacchi hacker, la perdita di dati sensibili e le violazioni della privacy (data breach GDPR in base alle previsioni del Regolamento (UE) 2016/679), è diventato sempre più importante proteggere la propria connessione internet attraverso l'utilizzo di una Virtual Private Network (VPN) invece dell'inoltro porte. In questo articolo, esamineremo le ragioni per cui l'utilizzo della VPN è preferibile all'inoltro porte, e come può aiutare a garantire una maggiore sicurezza sul web.
TL;DR
L'inoltro porte è molto vulnerabile e in alcuni casi il traffico è intercettabile.
Con le VPN roadwarrior è possibile accedere in modo sicuro e criptato alla rete (tutta o in parte in base alle regole impostate) da qualsiasi dispositivo.
Inoltro porte: come funziona
L'utilizzo dell'inoltro porte è stato a lungo considerato uno dei modi per proteggere la connessione dai pericoli del web. Tuttavia, ci sono alcune limitazioni nell'utilizzo di questa tecnica.
Una delle limitazioni principali dell'inoltro porte è la sua vulnerabilità alle tecniche di sniffing.
Questo significa che i dati trasmessi attraverso una porta aperta possono essere facilmente intercettati e analizzati da terze parti malevole.
Pericoli dell'inoltro porte
L'esposizione di una porta attraverso a internet, se non vengono limitati correttamente gli IP sorgente, permette di effettuare il port scanning attraverso strumenti come nmap. Attraverso questa operazione è facile capire quale dispositivo si trova dall'altra parte, quale versione del software esegue e com'è configurato. Con questi dati è possibile risalire ad una vulnerabilità nota (CVE), al conseguente PoF (proof of concept) che permette di effettuare l'exploit. Utilizzando il packet trace di nmap è anche possibile ottenere il TTL e di conseguenza sapere chi ci sta rispondendo dall'altra parte.
nmap -sC -sV INDIRIZZO_IPUna volta effettuato l'accesso a questo dispositivo è normalmente possibile accedere agli altri dispositivi della rete.
Se all'interno della rete c'è per esempio una cartella condivisa su protocollo SMB (condivisione windows) dove si è dimenticato di mettere la protezione con password, tutti i dati saranno accessibili.
Come evitare i rischi dell'inoltro porte?
Se proprio non si può fare a meno di utilizzare l'inoltro porte, è possibile limitare il più possibile la configurazione utilizzando:
- regole basate sugli orari
- regole basate sull'IP sorgente
- limitazioni geografiche
- blacklists, firewall e fail2ban sui dispositivi
La soluzioni migliore invece è l'utilizzo di una VPN roadwarrior. Questa permette di creare un tunnel punto-punto crittografato dal client al server.
In questo caso verrà esposta soltanto la porta del server VPN e, dopo l'autenticazione, sarà possibile accedere a tutta la rete in modo sicuro e non intercettabile.
Possono essere anche impostate delle regole per limitare l'accesso solo a determinate risorse via VPN.
Quali sono i protocolli VPN più diffusi?
Il protocollo Wireguard permette di effettuare connessioni estremamente sicure con un throughput elevatissimo. Dai nostri test possiamo affermare che Wireguard riesce ad avere un throughput 4 volte superiore a quello di OpenVPN pur mantenendo un livello elevatissimo di sicurezza.
Attraverso la VPN è possibile accedere a tutte le risorse di rete come se si fosse in sede. Inoltre è configurabile su tutti i dispositivi, compresi gli smartphones.
| OpenVPN | Wireguard | |
| User Data Protection | Perfect Forward Secrecy (PFS) | Perfect Forward Secrecy (PFS) |
| Transport Layer Protocol | UDP or TCP | UDP |
| Key derivation & Agreement | RSA, DSA, X25519, Ed25519, SM2, etc. | HKDF, Curve25519 for Elliptic-Curve Diffie-Hellman |
| Hashing | MD5, MD4, SHA-1, SHA-2, MDC-2, BLAKE2, etc. | BLAKE2, SipHash24 |
| Encryption & Authentication | AES, Blowfish, Camellia, ChaCha20, Poly1305, DES, Triple DES, GOST 28147-89, etc. | ChaCha20, Poly1305 using AEAD RFC7539 construction, etc. |
Protocolli VPN su Mikrotik RouterOS
Mikrotik come sempre non si fa trovare impreparata per le VPN.
Da sempre supporta i protocolli SSTP, L2TP/IPSEC, PPTP e OpenVPN TCP. Dalla release 7 di RouterOS ha aggiunto anche Wireguard e OpenVPN UDP sia come client che server. Inoltre supporta attraverso un pacchetto installabile a parte il protocollo ZeroTier.
Conclusione
In conclusione, l'utilizzo della VPN è preferibile all'inoltro porte per molti motivi. La VPN offre una maggiore sicurezza e privacy sulla connessione internet, oltre ad essere facile da configurare e utilizzare. Se stai cercando di proteggere la tua connessione internet, ti consigliamo di utilizzare una VPN per garantire la massima protezione dei tuoi dati sensibili e della privacy online.
Gianmarco Bonan