(8 gennaio 2025) Il passaggio dalle tradizionali reti analogiche alle reti IP ha offerto alle emittenti radiofoniche e televisive opportunità senza precedenti in termini di scalabilità, flessibilità e resilienza. Tuttavia, questa transizione ha anche introdotto nuove sfide per la sicurezza. Mentre in passato la sicurezza fisica era sufficiente per proteggere le reti SDI, le reti IP sono vulnerabili agli attacchi informatici, provenienti da qualsiasi parte del mondo. Un interessante documento sul tema, dal quale, a seguire, traiamo alcuni interessanti spunti di riflessione, è stato prodotto da Lawo e reso pubblico sulla piattaforma specializzata The Broadcast Bridge.
Le conseguenze di una transizione
Sino a non molto tempo fa i broadcaster hanno utilizzato soluzioni che non richiedevano tecnologia IT.
In televisione lo standard di riferimento era quello della rete in modalità Serial Digital Interface (comunemente chiamata SDI), un’interfaccia digitale seriale utilizzata per il trasporto di segnali video in ambito professionale.
Nelle emittenti radiofoniche, invece, analoghi all’SDI, erano presenti diversi standard, ognuno con le sue peculiarità.
In primis, certamente AES/EBU (Audio Engineering Society/European Broadcasting Union), che offre similitudini con la SDI, permettendo la trasmissione digitale dell’audio su un singolo cavo coassiale. In alternativa, possiamo citare le reti Multichannel Audio Digital Interface (MADI), caratterizzate da una tecnologia specificamente progettata per la trasmissione di segnali audio digitali a molteplici canali, che si basa su principi informatici e di trasmissione dati, condividendo quindi alcuni aspetti con la tecnologia IT in generale, pur non essendo propriamente una tecnologia IP.
Versatile, ma vulnerabile
È fondamentale comprendere che la sicurezza IP non è solo una questione tecnica, ma coinvolge anche la psicologia di chi utilizza e gestisce i sistemi. La sicurezza è responsabilità di tutti e ignorarla può avere conseguenze disastrose.
L’intrinseca insicurezza dei sistemi IP deriva, innanzitutto, dalla natura aperta del protocollo IP, progettato per essere flessibile e instradare i pacchetti tra diverse reti.
L’intestazione IP, leggibile da chiunque abbia accesso alla rete, espone il sistema a potenziali attacchi se i dati non sono crittografati. Un hacker potrebbe intercettare i pacchetti di dati, monitorarne il contenuto, decodificarlo e modificarlo, ad esempio inserendo virus o sostituendo il contenuto originale.
Oltre alla vulnerabilità del protocollo IP, anche i sistemi operativi rappresentano un punto debole.
Essendo il cuore di ogni sistema informatico, i sistemi operativi sono potenziali bersagli per gli hacker, che possono sfruttare le vulnerabilità del software per ottenere l’accesso non autorizzato. Mantenere i sistemi operativi aggiornati con le ultime patch di sicurezza è quindi fondamentale per mitigare questi rischi, ‘soprattutto ora che l’adozione diffusa del lavoro da remoto e delle infrastrutture cloud, accelerata dalla pandemia, ha ulteriormente amplificato le vulnerabilità delle reti IP.
Un ventaglio di soluzioni
Le tradizionali strategie di sicurezza perimetrale, basate sulla protezione dei punti di accesso alla rete, non sono più sufficienti in un mondo in cui gli utenti accedono alle risorse da diverse posizioni e dispositivi. Per far fronte a queste sfide, le emittenti devono adottare un approccio olistico alla sicurezza, considerandola sin dalle prime fasi di progettazione dell’infrastruttura.
Tecnologie come IPsec, VPN e MACsec offrono soluzioni efficaci per crittografare i dati e proteggere le comunicazioni.
IPsec e MACsec sono protocolli di crittografia, mentre VPN è una tecnologia che utilizza questi protocolli per creare connessioni sicure. IPsec opera a livello di rete, criptando i pacchetti IP. MACsec opera a livello di data link, criptando i frame Ethernet. VPN utilizza spesso IPsec per creare flussi sicuri su reti pubbliche.
La scelta tra IPsec, VPN e MACsec dipende dalle esigenze specifiche: una VPN è ideale per l’accesso remoto sicuro e la privacy online, IPsec è adatta per proteggere le comunicazioni tra reti remote e per creare VPN, mentre MACsec è utilizzata per proteggere le comunicazioni Ethernet all’interno di una rete locale, soprattutto se si hanno dispositivi non gestiti. I dispositivi “non gestiti” sono quelli connessi alla rete, ma che non sono sotto il controllo diretto del sistema di gestione centralizzato. A differenza dei dispositivi gestiti, come i server o i PC aziendali, i dispositivi non gestiti non hanno software o agenti installati che consentono all’amministratore di rete di monitorarli, configurarli o aggiornarli a distanza. Rientrano in questa tipologia, tipicamente, i dispositivi personali dei collaboratori esterni, quali gli smartphone, i tablet e laptop degli utenti che si connettono alla rete aziendale, ma non sono sotto il controllo IT della stessa.
Poi ci sono i sistemi centralizzati di gestione degli accessi, come Radius, che consentono di controllare e monitorare l’accesso degli utenti alle risorse di rete, garantendo che solo gli utenti autorizzati abbiano i privilegi necessari.
Standard aperti come NMOS, progettati per l’interoperabilità dei dispositivi multimediali IP, integrano protocolli di sicurezza come Https e OAuth 2.0 per proteggere le API e l’autorizzazione degli utenti.
La messaggistica avanzata NATS, grazie alla crittografia TLS e all’autenticazione del client, facilita la comunicazione sicura tra microservizi e applicazioni distribuite, elementi sempre più presenti nelle moderne infrastrutture broadcast.
Le raccomandazioni EBU R143 (la versione recente è di marzo 2024 ed è consultabile a questo link: https://tech.ebu.ch/docs/r/r143.pdf), infine, offrono un quadro di riferimento completo per le pratiche di sicurezza, indirizzando sia gli aspetti tecnici che quelli organizzativi. La conformità a queste raccomandazioni, che coprono aree come la gestione della sicurezza delle informazioni, la sicurezza operativa, lo sviluppo sicuro e la gestione degli eventuali incidenti, è un segnale importante dell’impegno di un’emittente e dei suoi fornitori verso la sicurezza.
Rischi e soluzioni
Ignorare la sicurezza IP può avere gravi conseguenze per le emittenti. Gli hacker potrebbero rubare o manomettere contenuti editoriali di valore, causando perdite finanziarie e danni alla reputazione. Attacchi denial-of-service (DoS) potrebbero interrompere i servizi di trasmissione, con conseguenti interruzioni e perdite di entrate. Un attacco informatico riuscito, inevitabilmente, finisce non solo col produrre danni tecnologici o agli archivi, ma anche con il danneggiare la reputazione di un’emittente.
Per costruire un’infrastruttura IP sicura, le emittenti dovrebbero quindi adottare una strategia di sicurezza cosiddetta “zero trust”, in cui nessun dispositivo o utente è considerato affidabile per impostazione predefinita.
Implementare il principio del privilegio minimo, concedendo agli utenti solo i diritti di accesso necessari per svolgere le loro mansioni, è un’altra misura fondamentale per limitare i danni potenziali di un attacco.
La formazione del personale sulle migliori pratiche di sicurezza è cruciale per creare una cultura della sicurezza a tutti i livelli dell’organizzazione. Collaborare con i fornitori per garantire la conformità agli standard di sicurezza pertinenti, come la citata EBU R143, è un passo importante per costruire un ecosistema informatico sicuro.
Infine, è raccomandabile implementare il cosiddetto “logging forense”, una disciplina che si occupa della raccolta, analisi e conservazione dei dati di log (registri di eventi) prodotti da sistemi informatici, con l’obiettivo di utilizzarli come evidenza in contesti legali o investigativi.
Raccogliendo registri dettagliati sull’attività di rete, il logging forense permette, in caso di necessità, di fornire agli specialisti IT gli strumenti necessari per analizzare eventuali violazioni della sicurezza e adottare misure correttive.
Rischi psicologici ed eccesso di controllo
Oltre ai rischi tecnologici, la sicurezza IT presenta anche rischi di tipo psicologico che possono compromettere l’efficacia delle misure di sicurezza. Un eccesso di controllo, spesso motivato dalla volontà di mitigare i rischi tecnologici, può paradossalmente aumentare le vulnerabilità del sistema.
Gli utenti spesso sono percepiti come un anello debole della catena di sicurezza e, di conseguenza, sono soggetti a politiche di sicurezza rigide e complesse. Tali politiche, pur essendo logicamente sensate, possono generare stress e frustrazione negli utilizzatori del sistema.
Ad esempio, l’imposizione di password complesse e con frequenti cambiamenti può portare gli utilizzatori ad adottare comportamenti che vanificano gli sforzi di sicurezza, come l’annotare le password su post-it o in altri luoghi facilmente accessibili. In questo modo, una password teoricamente inattaccabile diventa una falla nel sistema.
Inoltre, l’eccesso di controllo può creare un clima di diffidenza e ostilità tra gli utenti, soprattutto i collaboratori esterni, e l’emittente, ostacolando la collaborazione e la comunicazione, che sono, invece, essenziali per una gestione efficace della sicurezza.
Gli utilizzatori delle reti potrebbero essere meno propensi a segnalare potenziali problemi o incidenti di sicurezza per paura di ripercussioni. In un ambiente lavorativo frenetico come quello di un’emittente, la frustrazione derivante da misure di sicurezza eccessive può aumentare il rischio di errori umani, con potenziali conseguenze negative, sia sulla sicurezza, sia sulla qualità delle produzioni.
La cultura della sicurezza deve essere basata su una responsabilità condivisa.
Anche fornire agli utenti una formazione adeguata sui rischi e sulle best practice di sicurezza è fondamentale per renderli consapevoli del ruolo individuale nella protezione del sistema. Invece di imporre regole rigide e incomprensibili, è importante spiegare agli utenti il contesto e le motivazioni delle politiche di sicurezza, incoraggiandoli ad adottare comportamenti responsabili.
Conclusioni
In definitiva, la sicurezza IP non è solo una questione tecnica, ma è anche un modo di pensare e di operare.
Le emittenti devono adottare un approccio proattivo, considerando la sicurezza come una priorità in ogni fase del processo, dalla progettazione dell’infrastruttura alla formazione del personale. Solo così potranno mitigare i rischi, proteggere i loro preziosi contenuti e garantire la continuità del servizio in un mondo sempre più interconnesso. (AR)
Vedi anche:
Codifica e trasporto segnali ad IBC 2024
L’acquisizione delle immagini ad IBC 2024
Al via IBC 2024: dal 13 al 16 settembre, il broadcasting europeo si incontra ad Amsterdam.