definizione di mTLS #

Mutual Transport Layer Security (mTLS), spesso indicato come Two-Way TLS, rappresenta un'estensione avanzata del protocollo Transport Layer Security (TLS) ampiamente utilizzato. Lo scopo principale di mTLS è garantire che entrambe le parti in un canale di comunicazione, il client e il server, si autentichino a vicenda attraverso lo scambio di certificati digitali. Questo processo di autenticazione reciproca si basa sui principi fondamentali di TLS, un protocollo che a sua volta si è evoluto dal precedente protocollo Secure Sockets Layer (SSL) creato da Netscape Communications a metà degli anni '1990.

Che cosa sono la chiave privata e la chiave pubblica #

In mTLS, le chiavi private e pubbliche svolgono un ruolo cruciale nello stabilire una comunicazione sicura:

chiave pubblica #

Definizione: Una chiave pubblica è una chiave crittografica che può essere condivisa apertamente.
Utilizzare in mTLS: fa parte di un certificato digitale e viene utilizzato da altri per crittografare i dati o verificare le firme dalla chiave privata corrispondente.

chiave privata #

Definizione: Una chiave privata è una chiave crittografica segreta, mantenuta riservata dal proprietario.
Utilizzare in mTLS: Viene utilizzato per decrittografare i dati crittografati con la chiave pubblica o per creare firme digitali.

Come lavorano insieme in mTLS #

• crittografia: I dati crittografati con una chiave pubblica possono essere decrittografati solo dalla chiave privata corrispondente, garantendo che solo il destinatario previsto possa leggerli.
• Autenticazione: Una firma creata con una chiave privata può essere verificata da chiunque abbia la chiave pubblica corrispondente, confermando l'identità del mittente.

Nell'mTLS:

• Autenticazione client e server: Entrambe le parti si scambiano certificati contenenti le loro chiavi pubbliche. Ciascuna parte li utilizza per autenticare l'altro.
• Scambio di chiavi sicuro: negoziano in modo sicuro una chiave segreta condivisa utilizzata per crittografare ulteriori comunicazioni, sfruttando le proprietà delle loro chiavi pubbliche e private.

Questo meccanismo garantisce che sia il client che il server siano verificati e che la comunicazione rimanga sicura.

Cos'è la crittografia simmetrica e asimmetrica #

In mTLS, per proteggere le comunicazioni vengono utilizzate sia la crittografia simmetrica che quella asimmetrica:

Crittografia asimmetrica #

Definizione: Utilizza una coppia di chiavi (pubblica e privata). La chiave pubblica crittografa i dati e solo la chiave privata corrispondente può decrittografarli.
Utilizzare in mTLS:

• Scambio di certificati: Durante l'handshake, le chiavi pubbliche nei certificati vengono utilizzate per stabilire l'identità e autenticare entrambe le parti.
• Firme digitali: ciascuna parte firma i messaggi con la propria chiave privata e l'altra parte verifica la firma con la chiave pubblica.

Crittografia simmetrica #

Definizione: utilizza un'unica chiave segreta condivisa sia per la crittografia che per la decrittografia dei dati.
Utilizzare in mTLS:

• Comunicazione sicura: Dopo l'handshake, viene generata una chiave simmetrica che viene utilizzata per crittografare tutti i successivi scambi di dati, garantendo riservatezza e velocità.

Come lavorano insieme in mTLS #

• Scambio di chiavi: La crittografia asimmetrica scambia in modo sicuro le chiavi e verifica le identità.
• Crittografia della sessione: La crittografia simmetrica crittografa i dati durante la sessione, offrendo una comunicazione veloce ed efficiente.

Questa combinazione sfrutta i punti di forza di entrambi i tipi di crittografia per garantire una comunicazione sicura, autenticata ed efficiente.

Evoluzione del TLS #

TLS è stato introdotto come successore di SSL per risolvere i difetti di sicurezza e le limitazioni inerenti al protocollo SSL. TLS 1.0, la prima versione ufficiale di TLS, è stata standardizzata nel 1999 con RFC 2246. Nel corso degli anni, TLS è stato sottoposto a numerose revisioni per migliorare la sicurezza e le prestazioni, e TLS 1.3 è l'ultima versione al momento della stesura di questo documento.

Il ruolo dell'autenticazione reciproca in TLS #

Fin dal suo inizio, il protocollo TLS includeva la funzionalità di autenticazione reciproca, sebbene questa funzionalità non fosse comunemente utilizzata in molte applicazioni tradizionali. Nelle tipiche implementazioni TLS, solo l'identità del server viene autenticata presso il client utilizzando un certificato X.509, mentre la verifica dell'identità del client è spesso lasciata al livello dell'applicazione. Ciò è evidente quando vedi l'icona del lucchetto nella barra degli indirizzi del tuo browser web, che indica una connessione sicura in cui l'identità del server è stata verificata.

Tuttavia, l'autenticazione reciproca in TLS prevede che entrambe le parti presentino i propri certificati. Questa verifica bidirezionale garantisce che sia il client che il server possano fidarsi delle rispettive identità, creando un canale di comunicazione più sicuro. Nonostante i notevoli vantaggi in termini di sicurezza, l’autenticazione reciproca ha tradizionalmente avuto un uso limitato nelle applicazioni consumer a causa della complessità e del sovraccarico operativo coinvolti nella gestione dei certificati lato client.

Come funziona l'mTLS #

mTLS, o Mutual TLS, migliora la sicurezza richiedendo sia al client che al server di autenticarsi a vicenda. Ecco una ripartizione dettagliata dei passaggi coinvolti:

1. Il client si connette al server:

• Il cliente invia un "Cliente Ciao" messaggio al server.
• Questo messaggio include versioni TLS supportate, suite di crittografia e un numero generato casualmente per la sicurezza della sessione.

2. Il server presenta il certificato TLS:

• Il server risponde con un "Server Ciao" Messaggio.
• Seleziona la versione TLS, la suite di crittografia e fornisce il proprio numero casuale.
• Il server invia il proprio certificato digitale, firmato da un'autorità di certificazione (CA) attendibile.
• Il certificato contiene la chiave pubblica del server e le informazioni sull'identità.
• Il server richiede il certificato del client, indicando che richiede l'autenticazione del client.

3. Il client verifica il certificato del server rispetto alla CA:

• Il client verifica il certificato del server rispetto al suo elenco di CA attendibili.
• Se la verifica fallisce, la connessione viene interrotta.

4. Il cliente presenta il certificato TLS:

• Il client invia il proprio certificato, che include anche la chiave pubblica e l'identità.
• Questo certificato viene utilizzato dal server per verificare l'identità del client.

5. Il server verifica il certificato del client rispetto alla CA:

• Il server verifica il certificato del client rispetto al proprio elenco di CA attendibili.
• Se la verifica fallisce, la connessione viene interrotta.

6. Scambio di chiavi e comunicazione sicura:

• Entrambe le parti utilizzano i numeri casuali scambiati e il pacchetto di crittografia selezionato per generare una chiave segreta condivisa. Questo segreto condiviso viene utilizzato per crittografare ulteriori comunicazioni.
• Entrambe le parti inviano "Finito" messaggi, crittografati con la chiave segreta condivisa. Ciò conferma che la stretta di mano è avvenuta con successo ed è sicura.
• Dopo l'handshake, tutte le comunicazioni vengono crittografate utilizzando la crittografia simmetrica basata sulla chiave segreta condivisa. Ciò garantisce la riservatezza e l'integrità dei dati scambiati.

Richiedendo sia al client che al server di autenticarsi a vicenda, mTLS fornisce un livello di sicurezza più elevato, fondamentale per gli ambienti sensibili in cui la fiducia è fondamentale.

Come implementare mTLS con RELIANOID #

Per implementare mTLS con RELIANOID, Segui questi passi:

1. Specificare i certificati server: carica uno o più certificati server, inclusi i certificati con caratteri jolly, se necessari, per proteggere le comunicazioni del server.
2. Richiesta di certificato cliente: Scegli la modalità per la gestione dei certificati client:

• Richiedi il Certificato: Facoltativo, non ha esito negativo se il client non presenta un certificato.
• Chiedi e fallisci: Richiede un certificato; la connessione fallisce se non presentata.
• Chiedi ma non verifica: accetta il certificato senza verifica.

3. Configurazione della cifratura: definire un elenco di cifre accettabili per garantire l'utilizzo di protocolli di crittografia sicuri.
4. File dell'elenco CA: fornire un file contenente autorità di certificazione (CA) attendibili che il server utilizzerà per verificare i certificati client.
5. Verifica elenco: carica un file con i certificati root CA in formato PEM. Questo elenco viene utilizzato per autenticare i certificati client rispetto a CA attendibili.
6. Elenco CRL: include un file con elenchi di revoche di certificati (CRL) in formato PEM. Viene utilizzato per verificare e rifiutare eventuali certificati revocati.

Impostando queste configurazioni, garantisci una configurazione mTLS sicura che facilita l'autenticazione reciproca e la comunicazione sicura.

mTLS nelle applicazioni moderne #

L’adozione di mTLS è aumentata in modo significativo negli ultimi anni, in particolare in risposta alle crescenti minacce alla sicurezza informatica e ai requisiti normativi. Gli anni 2010 e oltre hanno visto un aumento sostanziale nell’implementazione di mTLS in vari settori, spinto dalla necessità di misure di sicurezza rafforzate per proteggere i dati sensibili in transito.

Casi d'uso e vantaggi di mTLS #

mTLS è particolarmente diffuso negli ambienti business-to-business (B2B) in cui gli standard di sicurezza elevati sono fondamentali. In tali scenari, un numero limitato di clienti omogenei spesso interagisce con servizi web specifici. L'onere operativo della gestione dei certificati in questi ambienti controllati è mitigato dai sostanziali vantaggi in termini di sicurezza offerti da mTLS. Alcuni casi d'uso chiave per mTLS includono:

Comunicazioni API sicure #

mTLS è ampiamente utilizzato per proteggere le comunicazioni tra diversi microservizi in un sistema distribuito, garantendo che solo i servizi autenticati possano interagire tra loro.

Servizi finanziari #

Nel settore finanziario, mTLS aiuta a salvaguardare le transazioni sensibili garantendo che sia il cliente (ad esempio un'applicazione bancaria) che il server (ad esempio il sistema backend di un istituto finanziario) possano fidarsi l'uno dell'altro.

Protezione dei dati sanitari #

mTLS viene utilizzato per proteggere la trasmissione di dati sanitari sensibili tra dispositivi medici, operatori sanitari e servizi cloud, garantendo la conformità a normative come HIPAA.

Conclusione #

Mutual Transport Layer Security (mTLS) si basa sugli elementi fondamentali di TLS, estendendo le sue capacità per includere l'autenticazione reciproca. Sebbene il concetto faccia parte di TLS sin dalle sue prime versioni, la sua adozione è diventata più diffusa negli ultimi anni a causa della crescente necessità di robuste misure di sicurezza nelle applicazioni moderne. Garantendo che entrambe le parti in un canale di comunicazione possano autenticarsi a vicenda, mTLS fornisce un livello più elevato di fiducia e sicurezza, rendendolo uno strumento essenziale per proteggere i dati sensibili nell'odierno panorama digitale interconnesso.

Implementazione di mTLS con RELIANOID è semplice, grazie alle sue opzioni di configurazione intuitive. Specificando i certificati server, gestendo i requisiti dei certificati client e selezionando le crittografie accettabili, puoi garantire una sicurezza solida. Inoltre, l'utilizzo di elenchi CA, elenchi di verifica e file CRL migliora l'attendibilità e la convalida dei certificati. Questa configurazione completa facilita l'autenticazione reciproca sicura e l'integrità dei dati, rendendo il processo di implementazione di mTLS efficiente ed efficace.