Per molto tempo la rete di fabbrica è stata un piccolo mondo a sé. Le macchine comunicavano con i loro controllori e il collegamento con gli uffici era un unico gateway, sorvegliato con cura. Quel mondo non esiste più: i dati delle macchine confluiscono in dashboard, sistemi ERP e cloud, i fornitori fanno manutenzione da remoto sugli impianti e ogni mese si aggiungono nuovi sensori.
Ogni nuova connessione è utile, e al tempo stesso una possibile porta d’ingresso. Questo articolo spiega perché la sola cifratura non rende sicura una fabbrica, che cosa c’entrano i certificati e perché ruotarli regolarmente è una delle misure più efficaci e più trascurate.
Perché la sicurezza OT è diversa dalla sicurezza IT
In ufficio i sistemi vengono aggiornati ogni mese e riavviati durante la notte. In produzione spesso non è possibile:
- Lunghi cicli di vita: Macchine e controllori restano in funzione quindici o vent’anni, molto più a lungo di quanto qualsiasi sistema operativo riceva supporto.
- Nessun fermo: Aggiornamenti e riavvii significano fermare la produzione. Si pianificano con mesi di anticipo, se si fanno.
- Protocolli datati: Molti dispositivi comunicano senza cifratura e non sono in grado di verificare con chi stanno parlando.
- Reti piatte: Una volta entrato, un attaccante spesso raggiunge ogni dispositivo, perché la rete non è mai stata suddivisa in zone.
Per questo la sicurezza OT non può contare sul fatto che ogni dispositivo si protegga da solo. La protezione deve venire dalla rete attorno ai dispositivi.
La cifratura ha bisogno di identità
La cifratura garantisce che nessuno possa leggere o modificare i dati lungo il percorso. Ma serve solo se si sa anche chi c’è dall’altra parte. Altrimenti un attaccante non deve far altro che stabilire una propria connessione cifrata.
A questo servono i certificati. Un certificato è una carta d’identità digitale: dimostra che un dispositivo o un servizio è davvero chi dice di essere. Con il mutual TLS (mTLS) entrambe le parti presentano il proprio certificato e passano solo i dispositivi noti e autorizzati. OPC UA applica lo stesso principio con i propri certificati applicativi.
In breve: la cifratura protegge il contenuto, i certificati proteggono dall’interlocutore sbagliato. Una rete di fabbrica sicura ha bisogno di entrambi.
Il problema sottovalutato: certificati che non cambiano mai
In molti stabilimenti i certificati vengono emessi una volta e poi dimenticati. Questo crea tre problemi:
- Le identità rubate restano valide: Se un certificato e la sua chiave vengono copiati, l’attaccante può usarli per tutto il periodo di validità del certificato, spesso per anni.
- I certificati condivisi estendono il danno: Se più dispositivi o sedi usano lo stesso certificato, un solo dispositivo compromesso apre la porta a tutti gli altri.
- La scadenza causa interruzioni: Quando scade un certificato che nessuno tiene d’occhio, le connessioni si interrompono all’improvviso, e con loro la produzione.
Per questo standard di sicurezza come la IEC 62443 e, nell’UE, la direttiva NIS2 si aspettano che certificati e chiavi vengano gestiti e rinnovati regolarmente. Farlo a mano per centinaia di connessioni è poco realistico, e così nella pratica spesso non succede.
Come si presenta un approccio praticabile
Invece di aggiornare ogni macchina, si protegge il traffico nel punto in cui entra in fabbrica o passa da un’area all’altra:
- Un proxy di cifratura al confine: Un proxy in fabbrica cifra e decifra tutto il traffico che lo attraversa. I dispositivi meno recenti continuano a funzionare senza modifiche.
- Certificati propri per ogni tipo di connessione: Dati delle macchine, manutenzione remota e collegamento all’ERP ricevono ciascuno i propri certificati, così un problema in uno non tocca gli altri.
- Whitelisting: Passano solo i dispositivi esplicitamente autorizzati. Tutto il resto viene respinto.
- Rotazione automatica: I certificati vengono rinnovati automaticamente a intervalli prestabiliti, senza che nessuno debba ricordarsene.
- Nessun certificato condiviso: Ogni proxy e ogni sede ha i propri certificati, così una compromissione resta isolata.
Come RALUS CertProxy mette in pratica questo approccio
Abbiamo sviluppato RALUS CertProxy proprio per questo approccio. Funziona su un server nella Sua fabbrica o on-premise e cifra e decifra tutto il traffico che lo attraversa. Ogni tipo di comunicazione usa certificati propri da un pool gestito, e passano solo i dispositivi autorizzati.
CertProxy supporta tutti i tipi di certificato comuni, tra cui certificati di CA pubbliche e private, autofirmati, OPC UA, client mTLS e certificati di dispositivo IEEE 802.1AR. I certificati ruotano automaticamente all’intervallo che Lei stabilisce, così l’IT rispetta gli standard di rotazione senza lavoro manuale.
Più CertProxy lavorano insieme: ruotano i certificati in modo casuale, senza ripetizioni e senza che due proxy condividano un certificato. Che a essere compromessa sia la rete IT o una fabbrica, CertProxy isola la fabbrica.
Da dove iniziare
- 1Elencare le connessioni: Quali sistemi comunicano con la rete di fabbrica e quali protocolli usano? Per iniziare basta un semplice elenco.
- 2Ordinarle per rischio: Di solito vengono prima la manutenzione remota e le connessioni al cloud, poi i collegamenti tra le sedi.
- 3Proteggere prima una connessione: Inizi dalla connessione più critica, verifichi che funzioni in modo affidabile e poi prosegua passo dopo passo.
- 4Stabilire un intervallo di rotazione: Concordi con l’IT ogni quanto vanno rinnovati i certificati e lasci che avvenga automaticamente.
- 5Monitorare: Tenga d’occhio connessioni e certificati, così che nulla scada o cambi senza che nessuno se ne accorga.
Conclusione
Una fabbrica connessa ha bisogno di più di un firewall al perimetro. Cifratura, identità chiare e certificati rinnovati regolarmente fanno la differenza tra una rete semplicemente cifrata e una davvero protetta, e niente di tutto ciò deve tradursi in più lavoro manuale.
Vuole sapere quali connessioni proteggere per prime? Richieda una demo di CertProxy.