Negli ultimi mesi, mentre ransomware e hacker continuano a fare notizia, stiamo ricevendo sempre più domande sui protocolli di sicurezza per le soluzioni di accesso remoto, insieme a domande sulle vulnerabilità delle VPN (Virtual Private Network) e su RDP (Remote Desktop Protocol). In alcuni casi, abbiamo appreso che le persone possono addirittura paragonare RDP e il suo rischio intrinseco alle soluzioni offerte da Splashtop.
Il nostro CMO, Michelle Burrows, ha incontrato il cofondatore e CTO di Splashtop, Phil Sheu, insieme a Jerry Hsieh, Direttore senior per la sicurezza e la conformità di Splashtop, per capire se le preoccupazioni sull'RDP sono giustificate e per confrontarlo con le soluzioni di Splashtop.
Michelle: Ultimamente mi è capitato di leggere spesso riguardo a quanto sia rischioso usare RDP, anche in questo recente articolo in cui si parlava di tutte le ragioni per cui RDP non è sicuro. Perché anche tu credi che RDP non sia la scelta giusta per le organizzazioni attente alla sicurezza?
Jerry: Prima di affrontare il motivo per cui RDP rappresenta una minaccia per le aziende e le imprese che se ne servono, parliamo prima di cosa è e perché esiste. RDP è una vecchia tecnologia che è stata originariamente progettata per il personale IT affinché potesse accedere ai server senza dover fisicamente recarsi nella stanza dei server. Il protocollo è stato creato per risolvere un problema molto specifico: la stanza dei server è solitamente molto fredda, ed è anche rumorosa perché contiene molte apparecchiature. È facile capire perché gli informatici non vogliano frequentarla frequentemente, per non parlare di lavorarci dentro. Ecco che arriva il protocollo RDP, che consente al personale IT di eseguire sessioni RDP per lavorare sui server in remoto, senza bisogno di recarsi in una fredda e rumorosa sala server.
Con il tempo, il personale IT si è reso conto che RDP non era particolarmente sicuro, cosicché qualcuno ha iniziato ad aggiungere altre impostazioni di sicurezza come ACL, criteri di firewall o l'inserimento di un gateway VPN per aggiungere un altro livello di sicurezza, qualora fosse necessario accedere all'RDP al di fuori della rete aziendale. Mi è capitato di parlare con dei team che pensano sia sicuro, ma un'errata configurazione del sistema comporta spesso la sua compromissione.
E, proprio come avevamo discusso qualche settimana fa in questa intervista, anche le VPN non sono sicure per diversi motivi. Ciò che noto è che i team, credendo di aggiungere un altro tassello alla loro infrastruttura di sicurezza, stanno invece associando due tecnologie che sono più vecchie e vulnerabili. È come mettere un recinto intorno alla vostra casa e poi lasciare il recinto e la porta d'ingresso aperti. Se entrambi vengono lasciati aperti, né il recinto né la porta proteggeranno i beni presenti in casa. Le opzioni di sicurezza delle VPN non compensano le vulnerabilità dell'RDP.
Michelle: Mentre ti ascolto, considerando tutte le ragioni per non usare RDP o una VPN, devo chiedermi, perché i team continuano a usare questo tipo di tecnologia?
Jerry: Il motivo principale per cui il personale IT usa RDP e RDP più una VPN sta nel fatto che è quasi gratis ed è di facile utilizzo. È integrato in Microsoft ed è a disposizione dell'utente come parte delle funzionalità di Windows. Questo significa che i team IT non devono acquistare nulla di speciale poiché viene fornito con la tua licenza Microsoft, sebbene RDS (Remote Desktop Services) richieda licenze aggiuntive.
Michelle: Phil, hai qualcosa da aggiungere all'RDP e alle sue vulnerabilità?
Phil: Il protocollo RDP esiste da molto tempo, addirittura prima che HTTPS e TLS diventassero lo standard aureo per la sicurezza del traffico Internet. RDP è stato progettato per funzionare su una particolare porta e risponderà a chiunque effettui un "ping" su quella porta. Un computer collegato a Internet con questa porta aperta e RDP attivo può iniziare a ricevere attacchi in soli 90 secondi. Gli aggressori sono estremamente abili nel cercare e trovare endpoint RDP vulnerabili. Con l'accesso a un endpoint RDP, gli hacker possono poi spostarsi per accedere alla rete aziendale a cui il computer è collegato.
Michelle: Dimmi in che modo Splashtop è diverso dall'RDP.
Phil: Innanzitutto, abbiamo progettato Splashtop per essere nativo per il cloud e utilizziamo protocolli di sicurezza standard del settore, come HTTPS e TLS. I dati vengono passati sulla porta 443 proprio come tutto il traffico Web crittografato standard e le connessioni sono agevolate dai nostri server di inoltro in tutto il mondo. Per i nostri clienti, tutto ciò significa che non sono necessarie porte speciali e i firewall non devono consentire eccezioni particolari. I computer che utilizzano Splashtop non devono essere lasciati esposti su Internet o posti in DMZ per consentire ai malintenzionati di effettuare una scansione e attaccare facilmente.
Michelle: Significa che Splashtop ha una tecnologia proprietaria?
Phil: Sì, abbiamo la nostra tecnologia proprietaria. C'è molto poco in comune tra le architetture di Splashtop e RDP per l'accesso remoto. Mi vengono in mente aziende che hanno scelto di basarsi su RDP, ma noi abbiamo deciso di sviluppare qualcosa di unico per il bene della sicurezza e dell'esperienza dell'utente.
Oltre alla sicurezza, questo approccio consente ai nostri clienti IT e Help Desk di accedere all'ampia gamma di dispositivi che non supportano RDP (ad esempio Mac, iOS, Android e persino alcune versioni di Windows), il tutto con le stesse prestazioni elevate e la stessa usabilità.
Per concludere l'argomento dell'RDP, approfondirò l'analogia che Jerry ha espresso sul fatto di lasciare la propria porta aperta ai ladri. Diciamo che hai una casa che si affaccia sulla strada, la porta è aperta e tutte le tue cose sono praticamente in bella mostra. Mentre tutta la zona circostante non saprebbe che la tua porta è aperta, chiunque passi di lì può facilmente accorgersi che non c'è nessuno in casa e che la porta è aperta. Ecco come funziona l'RDP. Ora, prendi questa stessa casa e piazzala dentro una comunità protetta da un cancello. Però lascia la porta spalancata e il cancello aperto. Ecco, adesso abbiamo a che fare con l'RDP, con in più una VPN.
Consideriamo questa analogia per mettere a confronto il funzionamento di Splashtop. Prendi questa stessa casa e posizionala in una comunità protetta da un cancello e da un guardiano. Ora chiudi la porta e serra il cancello. Il guardiano controlla i permessi dei visitatori. Nessuno oltre il cancello può vedere la tua casa e il suo contenuto. Infatti, la casa potrebbe anche non essere visibile da dietro il cancello. E nessuno può vedere la tua casa, gli oggetti che contiene o se sei in casa. Ora, puoi invitare una persona in particolare ad entrare, ma non puoi invitare chiunque a sbirciare dentro. Ecco come funziona Splashtop ai livelli più alti.
Michelle: Grazie per le analogie e per il tempo che ci hai dedicato. Puoi indicarmi dove i lettori del nostro blog possono approfondire il tema della sicurezza di Splashtop?
Phil: Mi piacerebbe condividere alcune risorse sulla sicurezza con i nostri clienti e con i futuri clienti. Abbiamo creato una sezione del nostro sito web dedicata alla sicurezza e alle domande che le persone possono avere. Puoi accedervi qui: https://www.splashtop.com/security
