Panoramica sullo sviluppo di soluzioni wireless per il Sistema Informativo della Regione Piemonte fra il 2000 e il 2007

Transcript

1 Le tecnologie wireless per il Sistema Informativo della Regione Piemonte Panoramica sullo sviluppo di soluzioni wireless per il Sistema Informativo della Regione Piemonte fra il 2000 e il I primi passi: la rete senza fili dipartimentale Le prime esperienze del Settore Sistemi Informativi ed Informatica della Regione Piemonte sulle reti locali senza fili risalgono alla fine del 2000, con lo studio, la progettazione e realizzazione di soluzioni secondo lo standard , che consentivano a dispositivi mobili, computer portatili e palmari di collegarsi alla Rete Unitaria della Pubblica Amministrazione Regionale (RUPAR Piemonte) e di fruire delle applicazioni e dei servizi dell intranet aziendale. Attraverso queste esperienze si sono evidenziate le potenzialità e i vantaggi delle reti locali wireless (WLAN) riassumibili in: mobilità per gli utenti, forte riduzione dei cablaggi; tempestiva costruzione di reti temporanee; riduzione dei costi di installazione e di manutenzione; variazione facmente gestibile del numero di utenti della rete. L utilizzo delle tecnologie senza fili ha però evidenziato il tema della sicurezza che è più delicato rispetto a quello delle reti cablate. Infatti se è relativamente facile installare una LAN wireless più difficile è renderla sicura. La natura omnidirezionale dei segnali elettromagnetici fa sì che qualsiasi tipo di comunicazione radio, e quindi anche quelle delle WLAN, possa essere captata da chiunque sia dotato di un idoneo apparato ricevente e opportunamente posizionato nelle vicinanze dell edificio in cui è collocato il dispositivo trasmittente. Per garantire la sicurezza della comunicazione, evitando accessi non consentiti alla rete e possibili furti di informazioni, è necessario perciò

2 proteggere la connessione radio con l impiego di tecniche crittografiche efficienti ed adottare altri accorgimenti di carattere tecnico e organizzativo. Verso la metà del 2002, quando la tecnologia wireless era sufficientemente consolidata, diffusa e relativamente poco costosa, il Settore Sistemi Informativi ha pensato di costruire una rete wireless di palazzo secondo lo standard b presso la sede di Corso Regina Margherita 174, adottando come misure minime di sicurezza il cambio settimanale delle chiavi WEP, la disabilitazione del SSID (Service Set Identifier) broadcasting e il filtraggio degli indirizzi MAC (Media Access Control). Lo scopo del progetto è stato quello di ricercare un modello di rete Wi-Fi (Wireless Fidelity), indipendente dalla rete fissa, in grado di offrire un livello adeguato di efficienza e di sicurezza, estendibile alle altre sedi regionali e condivisibile con le altre Pubbliche Amministrazioni regionali. L approccio progettuale tenuto nella costruzione della WLAN è stato un ciclo continuo di pianificazione, realizzazione, verifica, gestione ed ottimizzazione. Tale approccio ha permesso di superare rapidamente alcune criticità legate all assenza di segnale in alcune zone dell edificio, alle vulnerabilità del WEP statico e alla gestione onerosa degli account degli utenti e delle chiavi di cifratura. Nel corso del 2003 il Settore Sistemi Informativi ha pianificato e poi realizzato una revisione completa del modello di rete wireless adottato, inserendo consistenti modifiche fisiche e logiche che hanno migliorato le performance generali della soluzione. Si è considerato la rete senza fili come untrust e la si è isolata dalla rete di produzione attraverso un firewall. Sono stati stesi nuovi cavi per il collegamento con gli access point, direttamente connessi con un unico switch con tecnologia inline power; in questo modo è diventato possibile fornire o meno l alimentazione agli AP e quindi attivare o disattivare totalmente o parzialmente la copertura radio, in modo da renderla fruibile solo durante l orario di apertura degli uffici. Il buon compromesso ottenuto dal sensato posizionamento degli AP, la potenza del segnale e l utilizzo di antenne semidirettive ha consentito di avere una soddisfacente copertura all interno dell edificio con una limitata dispersione

3 elettromagnetica utilizzabile all esterno. Per incrementare il livello di sicurezza è stato adottato lo standard 802.1x. Tale standard 802.1x definisce un sistema di autenticazione basato su Extensible Authentication Protocol (EAP), protocollo che prevede la derivazione delle chiavi di sessione da utilizzare per l autenticazione, l integrità e la segretezza dei pacchetti sfruttando algoritmi standard come il Transport Layer Security (TLS). Il protocollo TLS utilizza per l autenticazione certificati digitali X.509 sia lato client che lato server e usa chiavi simmetriche di sessione, ottenute nella fase iniziale di negoziazione, per la cifratura dei dati. Figura 1 - Copertura elettromagnetica della sede della direzione Organizzazione Nella soluzione individuata i certificati digitali sono custoditi in token usb ed utilizzati dall utente mobile per l autenticazione sui computer portatili o direttamente installati sui palmari. Tutto il traffico di rete in ingresso viene filtrato dal firewall che svolge una funzione di controllo e di instradamento (routing) fra la rete wireless, per sua natura più facilmente soggetta ad attacchi, e la rete wired aziendale. I client non autenticati della rete wireless non possono raggiungere direttamente la rete aziendale, ma per ottenere i permessi di accesso sono obbligati a dialogare con il RADIUS (Remote Authentication Dial-in User Service) server, che insieme a un DHCP (Dynamic Host Configuration Protocol) server è posizionato in una DMZ (demilitarized

4 zone). Se la fase di autenticazione va a buon fine, gli utenti wireless ottengono l indirizzo IP dal DHCP Server. In questa fase, il firewall svolge la funzione di DHCP relay. In particolare, il processo di assegnamento dell indirizzo prevede i seguenti passi: il client invia in broadcast la richiesta di un indirizzo IP, il firewall intercetta il messaggio e lo invia in unicast al DHCP server che, a sua volta, risponde con un messaggio contenente l indirizzo da inviare Ottenuto l utente al client. l indirizzo IP, mobile ha finalmente accesso alla rete aziendale e quindi a tutti i servizi informativi, applicativi e decisionali erogati prevalentemente in modalità web. Figura 2 - L'architettura di autenticazione centralizzata 2. L estensione del modello dipartimentale Alla fine del 2004 vi è stata la migrazione della WLAN verso lo standard g, compatibile con lo standard b in modalità mixed mode, senza incidere sugli investimenti già effettuati sull architettura di rete e sui device. Il passaggio ha consentito di fruire di una velocità di trasmissione dati teorica di 54 Mbps contro gli 11 Mbps attuali. Inoltre si è adottato lo standard Wi-Fi Protect Access (WPA), che consente di rafforzare ulteriormente il livello di sicurezza complessivo grazie all utilizzo del Temporal Key Integrity Protocol (TKIP) per la componente crittografica. Una volta che la rete ha raggiunto una certa stabilità, si è richiesto al SecureLab del CSP di effettuare un test per valutarne la sicurezza, utilizzando strumenti e tecnologie tipiche del wardriving. Tale attività ha evidenziato un buon grado di protezione della soluzione adottata.

5 L esperienza positiva effettuata per la sede della Direzione Organizzazione è stata estesa dal CSI-Piemonte a partire dalla fine del 2005 alle altre strutture regionali, centralizzando i servizi di controllo della rete wireless, l autenticazione e l indirizzamento per i client mobili. Per facilitare la gestione degli account e ridurre i tempi si è deciso di adottare l autenticazione per i dipendenti regionali attraverso lo username e la password integrata col dominio di Windows 2000 server. Tale modalità è consentita dal protocollo Protected Extensible Authentication Protocol (PEAP), che permette di autenticare i client wireless senza richiedere loro di avere certificati digitali. Figura 3 - Pagina di accesso WiFi per gli utenti guest L'architettura di autenticazione per la rete dipendenti prevede l interazione tra client, access point, server RADIUS e server Active Directory. L accesso inizialmente limitato all utenza interna è stato esteso anche ad utenti ospiti (guest), attraverso l utilizzo di una soluzione proprietaria che permette di fornire servizi di controllo di accesso e autenticazione per reti hot-spot attraverso un architettura di tipo captive portal ovvero un portale web realizza l interfaccia con cui interagisce l utente mobile per autenticarsi ed acquisire i diritti di accesso verso la rete fissa, da cui si erogano i servizi. Il captive portal non richiede di installare alcun software sul client poiché utilizza il browser tradizionale come dispositivo per effettuare l autenticazione. Quando un utente non ancora autenticato apre il browser e richiede una qualsiasi pagina web, il portale captive forza l utente ad una pagina di

6 autenticazione su cui vengono inserite le proprie credenziali. Queste vengono verificate dal server di autenticazione e dopo aver identificato l utente, il gateway, in base ai privilegi posseduti dall utente, provvederà a fornire i servizi richiesti. 3. Recenti iniziative del Laboratorio ICT in ambito wireless Nell ambito del Laboratorio ICT della Regione Piemonte, nato con lo scopo di studiare e sperimentare le nuove tecnologie dell informazione e della comunicazione per individuarne le possibili applicazioni nel contesto del Sistema Informativo Regionale (SIRe), sono state intraprese ulteriori iniziative nel settore della wireless mobility. Figura 4 Schema dell infrastruttura tecnologica del Laboratorio ICT Nel corso del 2005 sono stati attivati due progetti sperimentali riguardanti le tecnologie wireless: la rete Wireless Open-WLAN per utenti ospiti e il prototipo per il Wireless VoIP (W-VoIP). Per entrambi i progetti sono state adottati soluzioni Open Source. L architettura della rete Wireless Open-WLAN comprende un sistema captive portal per la gestione degli accessi alla rete wireless e un server RADIUS Freeradius, per l autenticazione e la gestione dei profili utente.

7 Il secondo progetto ha attivato un servizio sperimentale che permette agli utenti di utilizzare sia i PC portatili sia i palmari come telefoni senza fili, utilizzando come infrastruttura di base la rete wireless preesistente e progettando l infrastruttura necessaria per gestire i client telefonici installati sui terminali mobili e l interconnessione verso la rete PSTN. Le componenti significative dell architettura W-VoIP sono un gatekeeper e un voice gateway. In particolare, il voice gateway è un dispositivo hardware dedicato interconnesso da una parte alla rete locale e dall altra parte alla rete telefonica tramite un interfaccia ISDN BRI. Come gatekeeper è stata utilizzata l ultima versione stabile rilasciata dal progetto GnuGk su piattaforma FreeBSD; tale software si occupa di gestire la registrazione degli utenti e dell associazione tra numero di telefono e indirizzo IP del terminale. Sono stati adottati due client software per lo svolgimento della sperimentazione, a seconda della piattaforma utilizzata. In particolare, per Windows 2000 e Windows XP si utilizza OpenPhone, un client H.323 Open Source. Per i terminali PocketPC, invece, si utilizza WiFive323. Sulle macchine Linux è stato utilizzato GnomeMeeting. Nei mesi di Agosto e Settembre 2006 il Laboratorio ICT ha effettuato un test di valutazione sulle reti Mesh o magliate attraverso il kit proposto da Nortel. Una rete di tipo Mesh consente di realizzare rete WIFI estese a livello metropolitano o di campus, in cui solo pochi access point (AP) sono collegati con gateway alla rete fissa a larga banda, mentre tutti agiscono come nodo intermedio di trasmissione dati collegati tra loro. Gli AP forniscono accessi di tipo b o g e lavorano a 2,4 Ghz, mentre le connessioni wireless tra loro funzionano a 5 Ghz, la frequenza del Wi-Fi di tipo a. Il kit testato, composto da un AP gateway (nap) e da un AP mesh ha rivelato un sistema di management accurato ed architettura complessa ma ben strutturata. La riduzione dei collegamenti di backhaul e la mobilità senza perdita di collegamento nell area di copertura della rete mesh sono i punti di forza di questo tipo di infrastruttura, insieme alla facilità di installazione. Il Laboratorio ICT si propone di approfondire lo studio di una rete estesa composta da più punti magliati al fine di verificare le potenzialità auto-

8 configuranti della rete e valutare le criticità legate alla sicurezza e al maggiore carico di utilizzo. Ad inizio 2007 è stato attivato un progetto pilota di e-work o telelavoro mobile, che prevede il collegamento in VPN alla rete aziendale regionale da parte di portatili dotati di scheda WLAN e HSDPA/UMTS. L obiettivo principale di tale iniziativa sperimentale, che coinvolge al momento 5 dipendenti regionali, è quello di consentire la remotizzazione del posto di lavoro e la mobilità degli utenti regionali tramite soluzioni che permettano l accesso alle informazione e ai servizi del portale aziendale, l utilizzo di strumenti di groupware e di applicazioni basate su tecnologie VoIP e di web conference.