Benvenuti ad un nuovo episodio. Prima di iniziare con
l'argomento di oggi vi invito a iscrivervi, attivare la
campanella e a lasciare una valutazione positiva.
Il vostro supporto è fondamentale per far crescere
questa comunità e migliorare gli episodi.
Se avete dubbi, domande ocuriositapoteteiscrivermiamauro.spezzaferro@gmail.com.
Oggi trattiamo un argomento che probabilmente non avete mai
visto, non è un'interfaccia bella, non ha un'icona sul
desktop, non è un'APP che aprite ogni giorno.
Eppure senza di lui molte aziende si fermerebbero nel giro
di pochi minuti. Oggi parliamo del domain
Controller. Immaginate di entrare in
un'azienda con 102, 100, magari 1000 computer, ogni dipendente
ha un account, ogni persona ha una password, ci sono cartelle
condivise, stampanti, software aziendali, accessi riservati.
Ora, immaginate che ogni computer sia indipendente, che
ogni PC abbia la sua lista di utenti, che quando un dipendente
cambia ruolo, qualcuno debba andare fisicamente su decine di
macchine a modificare i permessi, è il caos.
E per risolvere questo caos nasce il concetto di dominio.
Un dominio e una comunità di computer che si fidano di
un'autorità centrale. Quell'autorità si chiama
domaincontroller nel mondo Windows.
Questa autorità è costruita sopra un'insieme chiamato Active
Directory che gira su Windows Server.
Ma cosa significa davvero è mattina accendete il vostro
computer, scrivete la vostra username e la vostra password e
premete invio. In quel momento il vostro
computer non sta controllando la password salvata in locale.
Sta facendo una domanda alla rete, questa persona è davvero
che dice di essere? Il computer?
Contatta il domin controller ma non invia la password in chiaro.
Non la manda in giro per la rete.
Qui entra in gioco un protocollo chiamato Kerberos.
Kerberos funziona come un sistema di biglietti di ticket,
quando inserite la password, il computer ne calcola Nash
crittografico. Usa quell'hash per dimostrare
che conoscete la password senza rilevarla davvero.
Se la verifica va a buon fine, il domin controller vi rilascia
un primo ticket. Questo ticket possiamo vederlo
come homepage digitale firmato Crittograficamente.
Ha una durata limitata, continua la vostra identità, da quel
momento non dovete più dimostrare continuamente la
password. Quando avrete una cartella
condivisa o vi collegate a un server, presentate il vostro
badge, il sistema controllare la firma.
Se è valida vi lascio passare. Ma il Domin Controller non
decide solo chi siete, decide cosa potete fare.
Di intractive directory esiste un database strutturato.
Ogni utente è un oggetto. Ogni oggetto ha degli attributi
e soprattutto ha un identificativo univoco chiamato
Sid Security identifier. Non è il nome da IDENTIFICARVI
davvero è quel numero. Quando li autenticate, il
sistema costruisce un Access token.
Dentro quell'access token ci sono il vostro seed, i seed dei
gruppi a cui appartenete, i privilegi assegnati.
Ogni volta che aprite un file, il server confronta
quell'insieme di identificatori con una lista di controllo
accessi. Se trovate corrispondenza e
trade, se non la trovate risulta essere eccesso negato.
È tutto logica e tutto confronto matematico.
E qui arriviamo a uno dei segreti più importanti, i
gruppi. Immaginate un'azienda con 500
dipendenti, non potete assegnare permessi uno per uno.
Allora create un gruppo chiamato amministrazione.
Dentro inserite tutte le persone di quell'area e assegnate i
permessi al gruppo. Da quel momento non gestite più
persone, gestite ruoli. Quando vi autenticate nel vostro
Access token non c'è solo la vostra identità, ci sono anche
tutte le vostre appartenenze. Il sistema non vi chiede più
username e password, ma chiede appartiene al gruppo che può
entrare identità individuale, contamino nel ruolo.
Poi ci sono le gruppo policy. Le gru policy non decidono chi
siete, decidono come devono comportarsi i computer, sono
regole centralizzate che il dove in controller distribuisce
automaticamente IPC del dominio. Possono imporre lunghezza minima
di password, bloccare impostazioni di sistema,
installare software automaticamente, configurare
firewall, definire criteri di sicurezza.
Quando il computer si accende, contatta il domain controller,
scarica le policy, le applica silenziosamente.
È per questo che in azienda non potete fare certe cose, non
perché il computer non sia capace, ma perché una regola
centrale lo impedisce. E allora allarghiamo lo sguardo,
un'azienda grande può avere più domini, Europa, America, Asia.
Questi domini possono essere collegati in una struttura più
ampia chiamata foresta. Una foresta e un'insieme di
domini che condividono una sorta di fiducia comune.
All'interno della foresta i domini si fidano tra loro,
possono esistere relazioni di trust, le identità possono
attraversare confini. È come avere più Stati federati
sotto una stessa costituzione digitale.
E poi c'è la replica, un'azienda strutturata non ha un solo
domain controller, ne ha diversi i domain controller.
Si copiano le informazioni tra loro.
Se uno cade, gli altri continuano a funzionare, perché
se il domain controlli si spegne completamente, l'azienda si
blocca, nessuno accede, nessuno apre il file, nessuno lavora.
E a questo punto fermiamoci un attimo, il Domin Controller non
è solo un sistema tecnico, è un modello in un'azienda.
Voi non siete semplicemente voi, siete un oggetto in un database,
un identificativo numerico, un'insieme di appartenenza a
gruppi, un'insieme di privilegi. Quello che potete fare non
dipende dal vostro computer, non dipende nemmeno direttamente da
voi. Dipende da un'autorità centrale
che decide chi siete, a quali gruppi appartenete, quali regole
vi vengono applicate. Questa è centralizzazione del
potere mi è anche ciò che rende possibile ordine, sicurezza e
coerenza. Senza centralizzazione
risulterebbe essere caos concentralizzazione abbiamo il
controllo e ora facciamo la domanda scomoda, cosa succede se
il domain controller viene compromesso?
Succede che non è più solo un server ad essere violato e
l'identità stessa dell'azienda ad essere violata.
Perchè dove in controller non contiene solo utenti.
Come abbiamo visto contiene il potere di dire chi è
l'amministratore, chi può leggere, chi può scrivere, chi
può cancellare. Se un attaccante ottiene
privilegi di Domain Admin, non ha accesso a un computer, ha
accesso a tutti. Creare nuovi account
amministrativi, aggiungersi a gruppi privilegiati.
Mo. Dificare Le Group policy
distribuire malware automaticamente su ogni PC del
dominio. Leggere database sensibili,
accedere ai file server, intercettare autenticazione più.
La parte più pericolosa è questa, può farlo in modo
invisibile. Esiste una tecnica o nel past
hash in cui non serve conoscere la password in chiaro, basta
avere il suo hash. Esistono attacchi come il Golden
ticket, in cui un attaccante riesce a falsificare un ticket
kerberos valido per chiunque, per qualsiasi servizio con
qualsiasi privilegio. In quel momento non sta più
bucando il sistema, sta impersonando l'autorità e se può
generare badge validi, il sistema TI crede sempre.
Ecco perché domain controller sono i server più protetti di
un'infrastruttura, perché non costruiscono dati, costituiscono
fiducia. Se cade un file server perdi dei
file, se cade un domin controller perdi il controllo e
quando perdi il controllo dell'identità l'azienda si
ferma. Non perché i computer non
funzionino, ma perché nessuno può dimostrare più chi sei.
Come possiamo notare, l'informatica non è solo
scrivere codice, creare algoritmi non è solo
programmare, non è solo sviluppare applicazioni e
progettare sistemi di fiducia. Un domain controller basato su
Active directory non è una riga di codice, è un modello di
organizzazione tradotto in struttura tecnica.
Dentro abbiamo visto che ci sono gerarchie, ruoli, deleghe,
responsabilità. Il codice, come sempre, è solo
uno strumento, l'infrastruttura è solo il mezzo, ma dietro c'è
sempre una scelta. Una scelta su come distribuire
l'autorità, su quanto fidarsi, su chi deve avere il controllo.
E il domain Controller è uno degli esempi più concreti di
questa verità. L'identità digitale non è
qualcosa che possediamo, è qualcosa che viene riconosciuto
da un sistema. E finché qualche sistema regge
noi esistiamo nella rete. Questo.
Il sistema cade, cade anche la nostra diritta digitale.
Ed è lì che capiamo che l'informatica non è solo
tecnica. E organizzazione e potere.
Siamo giunti al termine di questo episodio.
Come sempre vi ringrazio per avermi dedicato parte del vostro
tempo. Vi aspetto al prossimo episodio.