L2 tunnel: aspetti di sicurezza e cifratura

TL;DR

Il tunnel L2 di Sefthy protegge il traffico con cifratura TLS 1.3, autenticazione mutua via certificati X.509 e segregazione totale fra tenant. Le 5 domande di sicurezza da fare a qualsiasi vendor L2.

Le 5 garanzie di sicurezza che servono

1. Cifratura del tunnel

Il traffico fra Connector e datacenter deve essere cifrato. Tipico: TLS 1.3 con cipher suite forte. Non accettate "tunnel non cifrato" anche se il provider dichiara di "stare in rete sicura".

2. Autenticazione mutua

Il Connector deve autenticare il datacenter (no MITM) e viceversa. Tipico: certificati X.509 mutui. Senza, un attaccante potrebbe impersonare il datacenter.

3. Segregazione tenant

Il traffico di un cliente non deve mai poter raggiungere un altro cliente. Tipico: VLAN/VRF dedicate, broadcast domain isolati. Verificare con audit.

4. Gestione delle chiavi

Le chiavi crittografiche devono essere ruotate periodicamente. Tipico: rotazione automatica ogni 12 mesi. Senza, il rischio compromissione cresce nel tempo.

5. Audit e logging

Ogni sessione di tunnel deve produrre log auditabili. Necessario per ISO 27001 e NIS2.

Threat model dell'L2 Sefthy

Attacchi gestiti

• MITM su Internet pubblico: bloccato da TLS 1.3 + auth mutua.
• Tampering dei pacchetti: bloccato da TLS 1.3.
• Reuso di credenziali: gestito da rotazione automatica chiavi.
• Cross-tenant traffic leak: bloccato da VRF dedicate.

Attacchi che richiedono attenzione

• Compromissione fisica del Connector: richiede accesso fisico. Mitigato da tamper detection.
• Compromissione delle credenziali Console: mitigato da MFA obbligatoria.
• Insider threat al datacenter: mitigato da controlli amministrativi (ISO 27001).

Come Sefthy gestisce le chiavi

• chiavi private generate sul Connector al boot (non escono mai);
• certificati firmati da CA dedicata Sefthy;
• rotazione automatica con periodo configurabile;
• HSM nel datacenter per chiavi master.

Compliance e audit

Per ISO 27001:2022 e NIS2:

• log delle sessioni VPN/tunnel disponibili (rolling 90 giorni);
• evidenza di rotazione chiavi documentata;
• attestazione del provider di test penetration annuali.

FAQ

Posso ispezionare il traffico nel tunnel?

Sì, dal Connector. Il traffico è in chiaro all'origine (è cifrato solo nel tunnel).

Cosa succede se il certificato del Connector è compromesso?

Si revoca via Console e si rigenera. Tempo: 5 minuti.

Sefthy può accedere al traffico nel tunnel?

No. Il datacenter trasmette i pacchetti, non li ispeziona.

Per il pillar L2, L2 tunnel per il DR. Per la latenza, Latenza L2 cloud.