VPN IPSec/OpenVPN classica vs architettura Zero Trust (Eziwan)
| Criterio | VPN classica (IPSec/OpenVPN) | Zero Trust (Eziwan) |
|---|---|---|
| Modello di fiducia | ✗ Fiducia implicita nella rete | ✓ Non fidarsi mai, controllare sempre |
| Perimetro di sicurezza | ✗ Perimetro di rete (castle-and-moat) | ✓ Identità + dispositivo + contesto |
| Authentification | — Chiave pre-condivisa / certificato | ✓ MFA + certificato + contesto |
| Gestione dei diritti | ✗ Accesso globale alla sottorete | ✓ Microsegmentazione per risorsa |
| Registro di controllo | ✗ Log di base relativi alla connessione e alla disconnessione. | ✓ Registrazione dettagliata delle azioni |
| Facilità di implementazione | ✗ Complesso (firewall, PKI, regole NAT) | ✓ Semplice con gateway moderno (ZTP) |
| Compatibilità con i sistemi OT legacy | ✓ Eccellente (trasparente) | ✓ Funziona bene con l'edge enforcement |
| Conformità alla direttiva NIS2 | ✗ Parziale con compensazioni | ✓ Allineamento nativo |
| Conformità alla norma IEC 62443 | — Possibile con una determinata configurazione | ✓ Configurazione consigliata |
| Costo iniziale | ✗ Elevato (concentratore, firewall) | ✓ Moderato (gateway cloud) |
| Scalabilità | ✗ Limitata (collo di bottiglia) | ✓ Orizzontale, cloud-native |
| Rischio di lateralizzazione | ✗ Elevato (accesso all'intera rete) | ✓ Bassa (microsegmentazione) |
| Tempo di implementazione | ✗ 2-4 settimane (sito tipico) | ✓ 1-3 giorni (con gateway ZTP) |
La VPN classica si basa su un modello perimetrale: una volta connesso al tunnel, l'utente ha accesso all'intera rete o a un'ampia sottorete. Si tratta del modello "castle-and-moat" — difficile da penetrare dall'esterno, ma una volta all'interno, i movimenti laterali sono quasi illimitati. In un contesto OT, ciò significa che un tecnico VPN può potenzialmente accedere non solo al PLC di cui deve occuparsi, ma anche ai sistemi SCADA, alle interfacce uomo-macchina (HMI) e ad altre apparecchiature critiche. Il modello Zero Trust ribalta questo approccio: nessuna connessione è considerata affidabile per impostazione predefinita, nemmeno dalla rete interna.
La microsegmentazione Zero Trust consente di definire politiche precise: «Il tecnico X può accedere al PLC Y dalle 9:00 alle 17:00 nei giorni lavorativi, esclusivamente da un dispositivo approvato». Questo livello di granularità è impossibile da ottenere con una VPN tradizionale. Per gli ambienti OT, dove un incidente di sicurezza informatica può avere conseguenze fisiche (interruzione della produzione, incidenti), tale precisione è fondamentale. Eziwan implementa questa politica a livello di gateway, in modo trasparente per le apparecchiature industriali legacy.
La direttiva NIS2 impone agli operatori di importanza vitale e agli enti rilevanti di attuare misure di gestione dei rischi legati alla sicurezza informatica, tra cui il controllo degli accessi, la registrazione degli eventi e la continuità operativa. La norma IEC 62443 (standard di sicurezza informatica industriale) raccomanda una segmentazione per zone e canali. L'architettura Zero Trust soddisfa nativamente entrambi questi standard. Una VPN IPSec può soddisfare tali requisiti, ma richiede configurazioni aggiuntive (registrazione esterna, regole firewall complesse, gestione dei certificati) che aumentano la complessità e il rischio di errore.
Questo è il punto di forza della VPN classica: un controllore Siemens S7-300, un HMI Schneider Magelis o un convertitore di frequenza collegato tramite Modbus TCP non ha alcuna possibilità di eseguire un agente Zero Trust. La soluzione Eziwan risolve questo problema tramite l’“edge enforcement”: la policy Zero Trust viene applicata a livello del gateway di rete, mentre le apparecchiature industriali vedono semplicemente una rete Ethernet locale standard. Questo approccio combina la compatibilità universale della VPN con la sicurezza del modello Zero Trust.
Un'implementazione VPN IPSec tradizionale per un sito industriale richiede: un concentratore VPN (hardware o VM), un firewall configurato, una PKI per i certificati, la gestione degli utenti e delle chiavi, oltre alla manutenzione di tutta questa infrastruttura. Eziwan elimina il concentratore, la PKI e gran parte della configurazione del firewall. La configurazione zero-touch provisioning (ZTP) consente di implementare un nuovo gateway in meno di un’ora, contro le giornate necessarie per un’infrastruttura VPN tradizionale.
Questi episodi documentati dimostrano perché il modello VPN tradizionale non sia sufficiente per le reti industriali
Un hacker ha sfruttato un accesso tramite TeamViewer (un software di accesso remoto privo di autenticazione a più fattori, o MFA) per tentare di aumentare la concentrazione di soda caustica nell'acqua potabile fino a livelli pericolosi. L'accesso remoto non protetto è stato il vettore diretto dell'attacco.
Lezione: Senza MFA e senza la registrazione degli accessi remoti, ogni connessione legittima è indistinguibile da un attacco.
Il gruppo Industroyer2 è riuscito a penetrare nella rete OT di un operatore del settore energetico utilizzando credenziali VPN sottratte durante un attacco di phishing ai danni di un subappaltatore. Risultato: 3 giorni di interruzione della produzione, 4,2 milioni di euro di perdite.
Lezione: Le credenziali VPN condivise con un subappaltatore rappresentano l'unico punto di fallimento. L'approccio Zero Trust avrebbe limitato l'accesso al perimetro del subappaltatore.
Una configurazione NAT errata su un hub VPN IPsec ha esposto accidentalmente le interfacce utente SCADA Siemens direttamente su Internet. Indicizzate da Shodan, sono state compromesse in meno di 48 ore. Con l'architettura "outbound-only" di Eziwan non è aperta alcuna porta in entrata.
Lezione: La complessità delle configurazioni IPsec/NAT è fonte di errori umani. La modalità "outbound-only" elimina questa vulnerabilità.
Rapporto Dragos 2024: il 60% delle apparecchiature OT esposte su Internet utilizzava ancora credenziali predefinite. Una rete idrica comunale è stata compromessa tramite un semplice attacco brute force su una porta VPN aperta — rilevato durante un audit di conformità NIS2.
Lezione: Le credenziali predefinite sulle VPN OT rappresentano la vulnerabilità più sfruttata nel settore. Un'architettura "outbound-only" rende impossibile questo vettore di attacco.
Migrazione senza interruzioni della produzione — durata tipica: da 1 a 3 settimane
Elencare tutti gli accessi remoti attivi: VPN IPSec, OpenVPN, TeamViewer, RDP diretto. Identificare gli utenti, le apparecchiature accessibili e la frequenza di utilizzo. Durata: 1-2 giorni.
Installare il gateway Eziwan sulla rete OT senza modificare la VPN esistente. Configurazione ZTP automatica in meno di un'ora. I due sistemi coesistono senza conflitti. Durata: 30 minuti.
Definire le politiche: quali utenti possono accedere a quali apparecchiature, in quali fasce orarie e da quali dispositivi. Importare l'elenco degli utenti esistenti, se disponibile. Durata: 1-2 giorni.
Eseguite la migrazione degli utenti uno per uno verso il client OpenVPN Eziwan. La vecchia VPN rimarrà attiva come soluzione di riserva per 2 settimane. Verificate gli accessi critici prima di disattivare la VPN. Durata: 1-2 settimane.
Una volta che tutti gli utenti sono stati migrati e verificati, chiudete le porte VPN in entrata sul vostro firewall. Verificate con una scansione Shodan esterna che non vi siano più punti esposti. Durata: 30 minuti.
Una VPN site-to-site estende la rete e presuppone un rapporto di fiducia una volta stabilito il tunnel. Il modello Zero Trust industriale ribalta questa logica: nessuna fiducia implicita, accesso verificato in base all’identità e alla risorsa, tunnel in uscita senza porta in entrata. Ecco il quadro normativo e l’architettura di riferimento.
Architettura Zero Trust di riferimento: verifica continua, principio del privilegio minimo, microsegmentazione, decisioni di accesso basate su criteri e sessioni.
Requisiti di sicurezza OT: zone e canali, autenticazione forte, crittografia dei flussi, registrazione degli eventi — fondamenti dell'accesso remoto industriale.
Impone la gestione degli accessi, la tracciabilità e la notifica degli incidenti per le entità essenziali; l'accesso remoto deve essere verificabile dall'inizio alla fine.
Raccomanda l'interruzione del flusso, l'assenza di porte in entrata sull'OT e una rigorosa separazione tra IT e OT tramite un gateway controllato.
Tunnel crittografati collaudati. Nell’approccio Zero Trust, diventano canali in uscita verso un broker, non ponti di rete permanenti.
Autenticazione reciproca tramite certificati X.509: ogni dispositivo e ogni operatore dimostra la propria identità prima di ogni accesso.
Modello "reverse-tunnel": il gateway avvia la connessione verso il broker (nessuna porta in entrata aperta sul sito). L'operatore accede solo alle apparecchiature esplicitamente autorizzate, per la durata di una sessione tracciata — non all'intera sottorete.
| Criterio | VPN classica | Zero Trust OT |
|---|---|---|
| Porta in entrata sull'OT | Spesso richiesto | Nessuno (tunnel in uscita) |
| Ambito di accesso | Intera sottorete | Risorsa unitaria |
| Confiance | Implicito dopo il tunnel | Verificata costantemente |
| Authentification | Chiave/ID condiviso | Identità + MFA + mTLS |
| Tracciabilità | Logs di rete non elaborati | Audit per sessione/risorsa |
| Revoca dell'accesso | Globale (chiave) | Granulare, immediata |
La VPN non è obsoleta: sta diventando un elemento fondamentale del trasporto crittografato nell'ambito di una strategia Zero Trust, e non più il confine della sicurezza.
Sostituzione dei client VPN eterogenei con un broker di accesso Zero Trust: nessuna apertura del firewall lato client, accesso per macchina e per tecnico.
Gateway industriale 4G/LTE con VPN OpenVPN/IPSec senza porte in entrata. Implementazione in meno di un'ora, conforme allo standard NIS2.